【项目背景】
九原区一家外贸公司，二十多人的团队，用一台深信服 SSL VPN 远程办公。三月的某个周一，老板收到一封邮件，说他的邮箱在凌晨两点从越南登录。查 VPN 日志，同一个账号在 02:14 从 113.x.x.x 登录，持续 47 分钟，下载了 1.2GB 文件。账号密码是半年前发给离职员工的，一直没改。
很多公司觉得 VPN 有密码就够了，复杂点就行。但实际上密码泄露的渠道太多，钓鱼、撞库、旧设备残留，单靠密码的远程入口，等于把大门钥匙挂在门上。真正有效的不是更长的密码，是登录基线加第二因子。
【咨询设计】
先做基线：统计每个账号的常用登录地、时间段、设备指纹、平均流量。这家公司正常登录集中在包头、呼和浩特，工作日 8 点到 20 点，单次下载不超过 200MB。规则设四条：非惯常地区登录、非工作时段登录、新设备首次登录、单次流量超 500MB，任一触发即要求二次验证并推管理员。
认证改双因子：VPN 接入强制 MFA，用 TOTP（微软 Authenticator 或飞书动态口令），不额外买硬件令牌。特权账号（管理员、财务）再加一层：只能从固定公网 IP 或公司内网发起的连接登录，其他位置一律拒绝。会话超时从 8 小时改成 30 分钟无操作断开，最大会话 4 小时。
【施工规划】
实施分两步，先灰度再全量。第一周给 IT 和财务开 MFA，收集问题；第二周全员推广，发一张图文操作卡，扫码绑定，绑定失败走人工核验。老账号清理：按人事名单核对，离职即禁用，三个月未登录的账号冻结，共享账号全部拆成一人一号。
VPN 设备放在 DMZ，与内网之间加防火墙，只放行到指定服务器的 RDP 和 443，禁止直接访问数据库和文件服务器。日志接进日志审计，保留 180 天，登录失败、异常地区、大流量三类事件单独设告警，短信加企业微信双通道推送。
【安全补丁】
那次入侵的入口后来查清了：离职员工的笔记本还留着保存的密码，机器被卖到二手市场，买家装了带窃密模块的系统。除了改密码，我们还做了三件事：全网账号强制重置，禁用 90 天未改的密码；开登录失败锁定，5 次锁 30 分钟；对全员做一次 20 分钟的钓鱼演示，发一封伪造的「VPN 升级通知」，23 个人里 9 个点了链接，点完当场讲，比讲十遍制度管用。终端侧装 EDR，检测到 credential dumping 行为自动断网。
【验收交付】
上线一个月：MFA 绑定率 100%，异常登录告警 7 次，其中 3 次是员工出差，4 次是撞库，全部阻断；VPN 平均登录时延增加 4 秒，用户接受度还行；离职账号清零，共享账号 0 个。给老板一份《远程接入安全基线》，一页纸，写清楚谁能连、从哪连、连上能干什么、日志存多久。
【售后承诺】
VPN、防火墙、MFA 这套我们做实施也做应急，半夜账号被盗、数据被拖，2 小时到场取证。大年三十 17704868686 打得通。安全基线每季度免费复评一次，别等出了事才想起改密码。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）