苏州一家做精密仪器出口的公司，研发部一台电脑上的图纸被人拷走了。
事后一查，那台机器装的是正版杀毒，补丁也是最新的。
员工自己插了个U盘，跑了个绿色工具把权限关掉，拷完再恢复，杀毒一个提示都没弹。
杀毒和补丁管的是"已知的坏东西"，管不住"人主动绕开规则"。
一、"底层"这个词，说的是哪一层
1. 应用层：弹个提示
外贸公司基本都装了杀毒，正版率还不低——客户验厂、平台入驻都要看。但弹窗这事，员工点个"忽略"就过去了。
2. 系统层：改设置、动权限
IP、DNS、网关、注册表、任务管理器、控制面板、组策略，是操作系统留给用户的入口。本来为了方便运维，落到不该动的人手里，就成了一把能关掉管控的开关。
3. 驱动层：在动作生效之前拦
常见做法是在文件系统和设备驱动的请求路径上挂一层过滤，动作还没落到磁盘就被记下或挡回。难点不在技术，在兼容性。
二、"杀毒加补丁"为什么防不住人
杀毒软件的工作方式是"认脸"：认识的东西才拦，没见过的放行；补丁修的是厂商公开过的漏洞。两者都冲着"外部的恶意东西"去。
可外贸公司真正头疼的泄密，多数来自内部。
客户名单和工厂成本差不多就是全部身家，一份报价流到同行手上，一个订单就没了；业务员带着客户走，也是反复上演的老故事。
而这些人知道哪台机器上有东西、也知道怎么绕开管控——这类动作对杀毒软件来说，都是不该管也不认识的正常程序行为。
要防的不是"病毒"，是"人的越权操作"。
三、终端加固真正要卡住的几个入口
1. 改设置
改IP、改DNS一旦改错，机器掉线、系统连不上，IT得跑一趟现场。
外贸公司更怕这个：报关和货代的系统、海外邮箱全靠网络通着，断一下可能误了一票货的截关时间。
注册表、任务管理器这些入口同理，收掉之后别扭的是少数人。
2. 装软件
只放行公司需要的程序，业务要用的统一进企业软件库，员工自己选着装，全网统一装或卸就一次下发。
外贸岗的零碎工具多——翻译、汇率、平台和货代的客户端，还有来源不明的绿色版，统一进库反倒省了大家到处找安装包。
这一环要的是事后对得上：装了什么、谁装的，翻得出记录。
3. 外设
U盘是最老也最有效的搬运工具。
外贸公司还有个场景：展会前把资料一次性拷进U盘带出门，报价表、产品册、客户名录常拷在一块儿，事后谁也说不清带走的是哪一份。
档位上是禁用、只读、只写、加密这几种，也可以只放行名单里的盘；插拔和文件操作都留记录，每块盘带独立身份标识，哪份文件是被哪一块带走的，分得出来。
端口、移动硬盘同理，难的是新设备层出不穷。
4. 往外联
很多公司完全没概念：机器有没有在走公司之外的网络。
手机热点、4G网卡、私自架设的代理都能绕开公司网络——一旦绕开，上网记录和文件外发审计也跟着失效。
这类行为可以检测，轻的告警，重的断网或锁屏；前提是终端上那个客户端还活着。
5. 弱口令和补丁
管理员口令设成123456，前面那些管控说破就破。
外贸公司的IT常就一两个人，甚至外包，这两件事最容易被一直搁着。
四、加固的代价落在哪
1. 兼容性
拦得越深，踩到业务软件的概率越高。
外贸公司的系统年头往往不短，老ERP、单证、报关这些对权限本来就敏感，加上研发要用的设计工具，都可能被误伤。
2. 运维与习惯
策略是活的。外贸公司常年有人进出，淡旺季用工也不一样，账号和权限得跟着动；没有专人管，一套策略挂三年，要么形同虚设，要么突然把谁卡住再被投诉着放开。
业务岗的反应也直接——翻译工具装不上、展会前U盘拷不出文件，头一句就是"这活儿没法干了"。
五、见过不少公司是在哪一步走错的
把资产台账当成加固。
设备清单做得漂亮，却看不出哪台机器上放着全套客户资料和成本表。
只在出事之后收紧，或者只看拦住没有、不看留没留痕。
外贸生意牵扯客户、工厂、货代三方，出了事得有人把记录摆得出来。
把这事全丢给IT，业务、跟单各管一段，出事没人说得上话。
写在最后
终端加固像给一栋楼换门锁：换哪几道、留哪几道、钥匙给谁，取决于里面放着什么、平时谁进出。
外贸公司最该看住的东西，往往就压在这些电脑里：海外客户名单、报出去的价格、工厂给的成本。
真要落到数据这一层，文件本身还得再收一道——对内加密，对外防泄密，终端上的门和文件上的锁配着用，才算完整。
责编：小赵
