远程接入要控制的要素
远程运维是生产现场绕不开的需求：设备厂商需要支持、本厂工程师需要在非工作时间处理故障、集团技术团队需要跨厂区协助。控制的思路是把这些访问收敛到统一入口，让每一次接入都可认证、可授权、可限制、可审计、可关闭。具体包括：接入必须经过受控通道而不是设备自身的管理端口；身份必须可识别到人而不是共享账号；权限按当次任务最小化；开通按需限时并自动收回；会话全程留痕；来源地址与终端状态可校验。做到这些，远程接入的风险就从「不可见」变成「可管理」。
基本信息
| 入口方式 | 专用远程维护网关、运维 VPN 加堡垒机、厂商专用维护通道（需本厂侧可控） |
|---|---|
| 认证要求 | 一人一账号加多因素认证，禁止共享账号与默认口令 |
| 授权模型 | 按任务与时段授权，最小权限，涉及关键操作需本厂人员在线或二次确认 |
| 来源限制 | 限定来源地址或设备指纹，禁止任意地址接入 |
| 审计要求 | 会话录制或命令日志，记录操作人、时间、目标、动作 |
| 开通与关闭 | 申请、审批、开通、到期自动关闭，关闭后核实并记录 |
落地要点
- 统一入口：所有远程访问先到受控入口，再由入口向内转发，不允许设备侧直接对外暴露
- 身份到人：为每个外部人员建立独立账号并绑定所属单位与有效期，避免「厂商账号」长期共用
- 权限最小化：只开放本次任务所需的设备与操作范围，其他一律不可见
- 时限与自动收回：给出明确截止时间，到期自动禁用，续期需重新申请
- 全程审计：命令行、图形界面与工控软件操作都要能被记录并保存到受控位置
- 现场配合：关键操作约定由本厂人员在场或在线陪同，避免无人监督的长时间操作
反模式与替代做法
| 反模式 | 风险 | 替代做法 |
|---|---|---|
| 设备管理端口直接映射公网 | 暴露在高频扫描与爆破之下，漏洞利用风险极高 | 经统一入口转发，设备侧不开对公网端口 |
| 共享账号与默认口令 | 无法追责，人员变动后权限收不回来 | 一人一账号，定期清理离职与离场人员 |
| 长期开启的供应商通道 | 暴露面长期存在，无人在意是否仍需要 | 按需开通、限时、到期自动关闭 |
| 不限来源的远程接入 | 任何位置都可尝试登录，爆破与撞库成本极低 | 限定来源并对异常登录告警 |
| 无会话审计 | 出了问题说不清谁做了什么，取证困难 | 全程录制与集中留存，纳入定期审查 |
远程接入是攻击者最偏好的路径之一，因为它看起来合法。建议把所有远程接入的开通记录单独成册，定期回顾：还有哪些通道处于开启状态、上次使用是什么时候、是否仍有业务必要。没有这个回顾机制，通道只会越来越多。