凌晨两点，开展运维老周被电话叫醒——财务部三台电脑同时弹窗勒索病毒，计算机终硬盘文件全部加密。端安洞排第二天排查发现，全漏起因是查整上个月安全通告里那条“请及时修复MS17-010漏洞”没人当回事，而其中一台机器恰好没打补丁，开展成了跳板。计算机终

这种事不新鲜。端安洞排终端漏洞不像服务器漏洞那么显眼，全漏但真出事时，查整整个内网都跟着遭殃。开展我们做过一次内部扫描，计算机终两百台办公电脑里，端安洞排有三十七台存在高危漏洞，全漏其中一半是查整Java运行时和Flash插件的老版本，另一半是Windows系统补丁缺失。最讽刺的是，那台放着核心客户资料的机器，用的还是三年前的浏览器内核。

排查整改这件事，不能靠喊口号。第一步得先摸清家底——用漏洞扫描工具跑一遍全盘，别只看系统补丁，第三方软件才是重灾区。PDF阅读器、压缩工具、输入法，这些平时没人更新的东西，恰恰是攻击者最爱用的入口。我见过某家公司把精力全花在系统补丁上，结果被人用一款办公软件的漏洞打穿了整个网络。

摸清底数后，整改得按风险排序来。别想着一次性全修完，那不现实。先把暴露在公网的终端处理掉，再管能访问核心服务器的机器，最后才是普通办公机。每台机器修完要复测，别信运维小哥嘴上说“都打了补丁”，拿扫描结果说话。上个月我们给某分公司做复查，发现号称全部修复的三十台电脑里，还有五台没重启——补丁装了但不生效，等于白干。

光靠技术手段还不够，流程得跟上。漏洞修复要定责任人，每台机器都对应到具体员工。有人嫌重启麻烦，有人怕丢未保存的文档，这些理由都听过。那就规定好修复时间窗口，比如午休时间统一推送补丁，下午上班前强制重启。真有特殊情况的，单独报备，但必须限定时间补上。

这里有个容易被忽略的细节——U盘和移动硬盘的管理。不少漏洞是通过物理方式带入内网的，你堵住了网络入口，人家拿个U盘插一下，照样中招。整改时顺便把USB口策略收紧，非授权设备一律禁用，比单纯打补丁管用得多。

最后说句实在话，终端安全是场持久战，不是整改完就一劳永逸。新漏洞天天出，员工照样会点陌生邮件里的链接。所以排查整改要定期做，至少每季度来一次，平时靠EDR盯实时行为，发现异常马上隔离。老周那次事件之后，我们给全公司装了统一管控软件，再没出过类似幺蛾子。别嫌麻烦，等真出事再后悔，代价可比整改大得多。