① 项目背景
稀土大厦一家集团客户做安全年检，我们先用测绘工具从公侧扫了一遍它六个分公司出口，结果让人坐不住：三处出口有未登记的远程桌面映射，一处出口挂着五年前调试用后忘删的VPN服务，还有一台nas的管理界面直接暴露在公网，弱密码登录页连验证码都没有。客户IT主管一脸无辜：这些设备我们台账里都没有。很多企业以为防火墙买了就是安全的，实际上开口子的人永远比堵口子的人勤快。
② 咨询设计
方案三步。第一步测绘建档：用外部视角把全部公网IP的开放端口、服务指纹、证书信息摸一遍，输出攻击面清单，和内部台账比对，找出影子资产，首轮就揪出11台台账外设备。第二步分类收敛：必须对外的服务（官网、邮件、远程接入）迁到统一入口，加WAF和登录防护；内部服务一律撤下公网映射，远程运维收口到一条VPN通道加双因素；确认无主设备先断网隔离再查明身份。第三步常态监控：测绘探针每周自动扫一遍出口，新增开放端口当天告警，防止边收边漏。
③ 施工规划
收敛不是一刀切拔线，按业务影响分级执行。裸奔的NAS当晚断公网，改走VPN访问，财务部第二天才发现原来外面一直能摸到它的登录页；那台五年前的VPN服务查出来是某任外包工程师搭的临时通道，密码还是设备默认的，直接停用重做。六个出口的防火墙策略逐条审计，三百多条规则里两条目重叠一百多条，合并后规则数砍掉四成，策略一清爽，排障都变快了。收敛动作全程留快照，回退方案先备好再动手。
④ 安全补丁
收敛只是第一步，我们又补了三件事。口令专项：全出口设备口令强度审计，发现三台设备还在用admin加弱密码的组合，当场清零重置；补丁窗口：暴露过的设备一律按失陷假设处理，重装或全盘查杀后才能回网；蜜标布设：在收敛后的出口放了几个假端口蜜标，一旦有人扫描尝试，告警直接进值班群，等于给边界装了门铃。
⑤ 验收交付
收敛后复测：公网暴露端口从217个降到26个，全部为登记在册的业务端口；弱密码设备清零；测绘平台连续观察四周无新增暴露。给客户交付了攻击面清单、收敛前后对照报告、防火墙策略优化表和每周自动扫描的告警流程，IT主管说这回台账和现实终于是一张图了。
⑥ 售后承诺
攻击面每周扫描已纳入常年服务，季度出一份收敛趋势报告。热线17704868686，2小时上门，大年三十随叫随到，终身技术咨询，不舍昼夜。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）