【项目背景】
上个月，稀土高新区一家稀土企业的办公电脑中了勒索软件，48 小时内从办公网摸到了生产调度网，两个冶炼车间的调度终端全部锁死，生产停摆等恢复。排查发现：企业内网是平面的——办公电脑、调度终端、监控 NVR、智能电表全挂在同一个广播域里，一台中毒的电脑能摸到所有带 IP 的设备。包头不少国企和大型民企的内网都是这个样子的，十几年增量建设，从来没有划过分界线。很多客户觉得内网装好杀毒软件就行了，但我们现场测下来：超过六成的传播路径是平面内网的直连，杀毒只防单机，防不住横向移动。
【咨询设计】
方案就八个字：分域、设卡。内网切四个域——办公域、生产域、监控域、DMZ 摆渡域，域间通信一律过下一代防火墙（NGFW，吞吐不低于 10Gbps），IPS 入侵防御默认开启，办公到生产默认拒绝、只放白名单端口；对外网站和小程序的入口部署 WAF，全部入站流量过 IPS 扫描；默认账号的设备清一遍，弱密码一次改到位。生产域与办公域的互联点从几十处压到三处，每一处带审计记录。
【施工规划】
两个周末窗口滚动实施：先做办公域、监控域的 VLAN 分离，纯网络层操作，业务零中断；再插生产域边界防火墙，旧直连线保留作冷备份，切换后连续抓包比对 72 小时，确认无业务漏放才拆旧线。所有业务侧改点逐项登记，业务部门签字确认后才动下一项。
【安全补丁】
内网隔离做完，数据出口也要管：生产终端开启 USB 管控，只认指定加密 U 盘；服务器备份改每日增量加每周全量，备份介质异地存放；本次清退的旧硬盘按标准销毁并留存记录。内网隔离管的是横向扩散，数据销毁管的是出口带失，两条线合起来才是闭环。
【验收交付】
验收指标：域间访问控制列表审计通过率 100%；办公域向生产域的未授权访问测试零突破；勒索病毒演练（办公终端投放样本）被限制在办公域内、无横向扩散，演练全程留痕。交付物是域拓扑图、ACL 台账和演练报告，不靠嘴说。
【售后承诺】
一年服务期含每季度策略调优与弱密码复测，每年一次渗透测试。包头市区 4 小时上门、远程 30 分钟响应。内网安全不是一次性工程，是持续运营，我们替客户盯着。
【不舍昼夜技术 · 呼包鄂巴乌全生命周期IT服务】
业务全闭环： 咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的： 修电脑/装监控/拉网线/做系统/救数据/办软件/做设计/布AI。
技术范畴： 5G通信、大数据服务、信息系统集成、网络安全、商用密码、软件开发。
服务区域： 包头、鄂尔多斯、巴彦淖尔、乌兰察布全境，随叫随到。
技术热线： 17704868686（本地专业团队，不舍昼夜为您守候！）