【项目背景】
昆区一家贸易公司做等保前的预扫描，扫出一个让人后背发凉的结果：公司那台网络打印机的Web管理页，居然能从公网直接访问。排查发现是半年前图省事在路由器上做过一次端口映射，用完忘了关。扫描器顺着这个口子把打印机型号、固件版本、内网网段全枚举出来了。很多客户觉得打印机就是台外设没有风险，实际上打印机有系统、有硬盘、有网卡，是最典型的"被遗忘的入口"。
【咨询设计】
整改分三步。第一步暴露面收敛：关闭公网映射，打印业务收回内网VLAN，公网复扫确认零暴露。第二步管理面加固：打印机管理页从HTTP切到HTTPS，出厂默认的admin账号改为十六位随机密码，SNMP的v1/v2c版本关闭只留v3；固件升级到修复过已知CVE的最新版本。第三步举一反三：全公司做了一轮"非PC设备"清点，打印机、网络摄像头、门禁控制器、NAS逐一登记排查，同款问题又揪出四台——包括一台硬盘录像机也开着公网端口。统一纳入NAC准入，非注册MAC设备接不进办公VLAN。
【施工规划】
NAC部署选了无感知模式：802.1X认证加MAC注册双轨，员工电脑入域自动通过，访客设备和打印机这类哑终端走MAC白名单，不影响日常办公。实施放在周末，周一早上全员无感切换，一个报障工单都没有。
【安全补丁】
这台打印机带内置硬盘，历史打印任务全存在上面——报废时不擦这块盘，等于把公司文件白送人。我们把它写进资产报废流程：任何带存储的外设，打印机、复印机、视频会议终端，处置前一律做数据擦除并留证。打印服务器同时开启任务自动删除，敏感部门打印记录定期审计。另外把"新设备进场先过安全检查"写进了采购流程：上线前默认改密码、关多余服务、登记责任人。
【验收交付】
复扫公网IP七个端口全部无暴露，内网漏扫高危和中危项清零，NAC准入策略运行两周零误拦。给行政和IT做了设备准入流程培训，交付资产台账和报废数据擦除规范。
【售后承诺】
暴露面管理是动态的，新设备进场就是新风险，我们承诺2小时上门，大年三十打17704868686也接，终身免费咨询，每季度免费复扫一次。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）