终端管理：守住接入内网的最后一道门
导语：一台未打补丁、装了私件的电脑接入内网，就可能成为横向移动的跳板。终端管理（Endpoint Management）是零信任与等保的落地前沿。
一、为什么要关注
政企大量办公与业务终端分散在科室、网点，是攻击的高频入口。终端若缺乏统一管控，易出现弱口令、未加密、私装软件、长期不更新等问题，一旦失陷即威胁内网与核心数据。等保2.0对终端提出了身份、补丁、外设、审计等要求，信创替代也把终端操作系统多样化，管理复杂度上升。终端管理让"接入即受控"。
二、核心原理
终端管理核心是"集中策略+统一代理"：通过管理端下发策略，终端代理执行并回传状态。关键能力包括：资产清点、补丁与基线核查、外设管控、软件白名单、磁盘加密、行为审计。进阶结合零信任思路，按终端健康度决定可访问的资源范围，实现"不健康不放行"。
终端是零信任落地的前哨。传统终端管理重"管控"轻"体验"，容易与业务必要使用冲突。进阶做法是基于"终端健康度"做动态授权：合规终端可访问正常资源，异常终端被限制或引导修复，而非一刀切阻断。把终端态势作为访问决策的因子，既守住入口，又不误伤业务，这正是等保2.0与零信任的共同思路。
三、落地做法/步骤
- 统一纳管：所有终端安装管理代理并登记。
- 定基线：明确口令、补丁、加密、审计标准。
- 软件白名单：禁止来路不明软件运行。
- 外设管控：按角色限制USB等接口。
- 合规核查：定期扫描基线达标率并整改。
- 接零信任：健康度联动访问权限。
终端管理要与数据防泄漏（见86）联动：终端上的敏感文件一旦落入私盘或外设，风险即外溢。通过把终端文档统一归集到受控存储（信创云盘），可实现"本地不落地、集中可审计"，从源头切断数据出域的路径。终端与数据管控一体，防护才无缺口，合规才落地。
四、与群晖NAS/信创云盘的对应能力
终端产生的文档需回到受控存储。群晖DS925+、DS1525+、DS1825+可作为终端备份与文件集中归集的存储底座；信创云盘（软件化部署、支持信创）可作为终端文档的统一归集与共享空间，配合终端管控实现"本地不落地、集中可审计"，满足等保2.0对终端审计与数据分类分级GB/T 43697对敏感数据集中保护的要求。
五、常见误区
- 只管服务器不管终端，入口被突破。
- 策略一刀切，影响业务必要外设使用。
- 装了代理不核查，达标率无人看。
六、小结与行动建议
从"补丁+基线+软件白名单"切入，终端要可纳管、可核查、可审计。让每台终端成为防线而非缺口。