门是你自己开的，锁却一直没上

企业最省事的那条远程通道，往往也是攻击者最省事的那条路

东莞一家五金厂，IT 统共一个人。为了下班后也能远程处理问题，他在几台电脑上装了远程控制软件：开机自启、无人值守，连接密码 123456。

某天早上，财务电脑弹出勒索提示。追查下来，攻击者既没攻边界，也没去碰外网服务器——人家根本没敲正门，走的是 IT 自己留的那道、24 小时不关的小门。进去之后不急着锁，先在系统里安安静静翻了三天，把报价单、客户资料打包传走，最后才落下勒索锁。

一条远程通道，既被搬空了数据，又被锁死了机器。

一、那条常年不上锁的「暗门」

这类事比想象中普遍。运维图方便、老板想随时看账、出差员工要连内网，各种远程控制软件、远程桌面就一层层叠在各台电脑上。危险不在「用了远程」，而在三件事没人管：

◆门开在哪，没人知道 —— 暴露面一旦失控就收不回来。不少远程工具会把设备挂到公网接入服务上，一台电脑做了 3389 端口映射，等于在防火墙上亲手凿了个洞，扫描器几分钟就能摸到门口。

◆密码形同虚设 —— 无人值守模式的连接密码，十个企业八个是简单数字，撞库爆破几乎不用等。对攻击者来说，这比发钓鱼邮件、等员工点链接省事得多。

◆进来之后，一片黑 —— 远程会话里拷了多少文件、装了什么软件、有没有往外传数据，全无日志。事后连「到底进来过几个人」都说不清，更别提追责。

二、管住远程通道，四个动作

上邦给客户清理远程通道，顺序基本固定：

◆盘点 —— 全公司扫一遍，把装了哪些远程软件、开了哪些远程端口列成清单。很多老板第一次看到清单都会愣一下：一台电脑上，居然叠着三四款远程工具。先看清门都开在哪，才谈得上关门。

◆收口 —— 清退私装软件，远程需求统一收进一条合规通道，且必须过 VPN 或堡垒机，不直接暴露公网。门只留一扇，才看得住。

◆上锁 —— 远程登录强制双因素认证，无人值守密码定期轮换，连续失败自动锁定。无人值守，不再等于无人看管。 

◆留痕 —— 会话全程留日志，接入终端的文件外传、剪贴板、上传下载逐条可审计；敏感电脑再叠一层文档加密。就算账号真被打穿，拷走的文件离开公司环境也仍是密文。

前两步解决「谁能进」，后两步解决「进来干了什么、带走了什么」。

三、远程是刚需，裸奔不是

远程办公、远程运维躲不掉，一刀切堵死既不现实，也没必要。真正要心里有数的就三句话：这条通道是谁的、谁能进、进来干了什么。

上周聊过勒索「先偷再锁」的套路，远程控制软件正是它最顺手的入口之一——不用钓鱼，不用等谁点链接，直接从你自己留的后门进来。花一个下午把全公司的远程通道盘一遍，先堵掉弱口令和暴露公网的端口，再逐步收口到带审计、带加密的合规通道，这大概是全厂数据安全里性价比最高的一个下午。

门都开在哪，得先看见。拿不准的，可以找上邦做一次免费的远程通道排查，先看清单，再谈加锁。