06 · 远程访问安全管理（Remote Access Security）

一句话秒懂

远程办公 = 把公司网络延伸到员工家里/咖啡厅。便利背后是：物理安全变弱、可能带毒回内网、难以打补丁——所以必须强认证 + 全程加密 + 严格策略。

对应原书：Chapter 12 — “Remote Access Security Management”

生活类比

公司大门（边界防火墙）守得再严，员工从后门（远程接入）拿自家钥匙进来，家里门锁松、还可能顺手带进感冒病毒（ malware）。后门也得装指纹锁 + 监控。

核心概念（大白话 + 原书定义）

远程访问形式：VPN over Internet、WAP 接入、终端服务器/VDI/VMI 瘦客户、远程桌面、云桌面、拨号 modem。前三种是”全功能客户端”（像直连 LAN），后三种”计算都在中心系统”。（注：VPN remote node operation = 远程客户端直连 LAN，见 Ch11。）

远程访问技术分类：service-specific（只连单项服务如邮件）、remote control（完全控制远端系统）、remote node operation（直连 LAN）。

远程连接的安全要求（原书要点）：

授权前严格认证（stringently authenticated）。
只给确实需要远程办公的人授权。
所有远程通信必须防拦截/窃听（加密，保护认证流量与数据）。
传敏感信息前先建安全信道。

远程系统的潜在隐患：

削弱物理安全收益（任何人可尝试攻击）。
员工用不安全设备访问敏感数据 → 泄露风险。
远程机可能带恶意代码”回流”内网。
物理安全差、易被盗/被未授权使用。
难排错、补丁/升级不及时（连接少、带宽慢）。
若无法维持与内网同等安全，应重新评估是否开放远程。

远程访问安全策略要素：

连接技术：逐个审视（蜂窝/ PSTN modem / DSL / 光纤 / 无线 / 卫星）。
传输保护：VPN、TLS 等加密组合。
认证保护：安全认证协议 + 集中式认证 + 多因素（MFA）。
用户支援：远程技术支持通道。
基于身份/设备/协议/应用/内容/时间的过滤与访问控制（引出 Ch14 的 ABAC）。
禁止私接 modem：便携机入网前拆 modem 或禁用驱动；无线/蜂窝同理。

网络管理功能（管理员远程用）：配置管理（远程改路由器/交换机/防火墙）、监控分析、排错诊断、安全管理（远程配策略/访问控制/认证）。

口诀：“远程先认证、全程要加密、只给需之人；私接 modem 一律禁，带毒回流要提防。”

真实案例

疫情期间全员 VPN 居家办公，公司强制 MFA + 全隧道 VPN + 终端合规检查（NAC），并禁用个人热点直连，避免员工的弱安全家庭网络成为入侵跳板。

考试怎么考

远程访问的安全要求（强认证、加密、最小授权）。
远程系统的隐患（物理弱、带毒回流、补丁难）。
远程访问策略应覆盖的要素（技术/传输/认证/支援/过滤）。
为何禁止未授权 modem（防绕过边界）。

记忆口诀

“远程办公三件事：严认证、强加密、最小权；后门不比前门松，回流病毒要严防。”

自测

远程访问的三种技术形式是什么？
远程系统可能给内网带来哪些安全隐患？列出 3 条。
远程访问安全策略必须覆盖哪几个方面？
为什么组织要禁止未授权 modem？
远程访问为何推荐强制 MFA？