买腾讯 iOA

交换机支持二层隔离，可以防止 arp 攻击。

1. arp 攻击检测由很成熟的方案了，硬件软件都有
2. 被黑之后光想着那点数据已经没用了，厉害的红队直接找域或者通过工作组横向直接把你几十台机器控了，什么加密通信都没用

有条件可以上 IPSG （需要网管交换机+电脑都是 DHCP 分配的地址）防止 IP 欺骗，安全性要求高的，可以把端口隔离也打开，没条件就在 NAS 部署个 VPN 服务，内网电脑通过 VPN 通道跟 SMB 访问，SMB3 也支持加密特性（不过新技术，支持的设备不会很多）

@BadFox  赞同零信任的方案，使用零信任架构后，就没有内网的概念了，所有设备在一个虚拟网络中，并且所有的流量都是加密的。
我用的零信任架构有本地发现和点对点连接，内网外网访问，和直接用局域网 IP 访问没有什么能感觉到的速度差异。

上 360 企业安全云，saas 化的团队版无广告卫士，支持管理员纳管。基础防护免费，增值服务丰俭由人。你的场景很合适

标准的终端安全场景，花钱买对应的软件或者服务产品就完事了，我在上家公司推过这个事情，成本其实也不是特别高，常规产品差不多几百块一个终端，如果是买断制的产品还要再花点钱买个后台控制端和对应的硬件。

功能上不用考虑太多，大家的功能都差不多，你有 ABC ，我有 BCD ，实际上真正有用的 BC 大家都一样，剩下的 A 或者 D 是厂家挣钱的部分，看需求吧~

其实真正的风险还是在于人，当时上终端安全项目主要的目的还是在于规范人的行为，后来没搞成~
人的风险我这里提一下，当时和终端安全一起提的项目还有打印监控，我上家单位因为业务性质问题，每个月打印量少的几千，多的大几万。这里面风险非常高，经常在打印机边上看到一些不该看到的东西，所以当时也提了打印监控。后来也没搞成~

开启交换机端口隔离，开启 MAC 绑定

防火墙对内部防御效果不大

我们以前是严格限制每一台新电脑的 MAC ，但是最常见的内网入侵，是领导的 PC 被木马远程控制。

这其实挺难的，NAS 分不清是领导访问还是木马访问。