强制启用mfa（手机短信或authenticator app）、密码策略设为≥12位且含四类字符、核心操作限总部ip白名单、登录日志全量保留180天并开启异地告警。
服务新干线平台账号面临弱密码爆破、会话劫持、异常登录等高频风险，需从身份验证、访问控制、日志审计三层面同步加固，避免因单点疏漏导致整套业务权限失控。
强制启用多因素认证（MFA）
进入「账户中心 → 安全设置 → 双重验证」，点击「立即启用」；【必须使用手机短信或Authenticator App作为第二因子，禁用邮箱验证】，因为邮箱通道易被社工接管或DNS劫持。
绑定手机号后，系统将发送6位动态码；输入成功即完成绑定。此后每次登录、修改密码、变更绑定设备均需二次校验。
这一步操作起来很简单，直接把验证码填进去就行。但若跳过MFA启用，攻击者一旦获取密码，3秒内即可完成全部敏感操作。
重置并锁定管理员密码策略
方法一：通过后台管理端强制重置
登录服务新干线后台 → 左侧导航栏点击「系统管理 → 账号策略」→ 找到「密码强度规则」模块 → 启用以下四项：
• 密码长度 ≥ 12位
• 必须含大小写字母 + 数字 + 特殊符号（如!@#）
• 禁止包含用户名、姓名、常见词（如admin、123456）
• 历史密码记录保留数设为8次
方法二：命令行批量加固（适用于Linux部署环境）
执行：sudo /opt/xinhangdian/bin/set-pwd-policy --minlen=12 --require-upper --require-lower --require-digit --require-special --history=8
【执行前必须确认当前会话已具备root权限，否则策略写入失败且无报错提示】
限制高危操作IP白名单
第一步：梳理核心操作范围
仅允许财务审批、用户权限分配、API密钥生成这三类动作在公司总部出口IP段（如203.107.45.0/24）内执行。
第二步：配置访问控制列表
进入「安全中心 → 访问控制 → IP策略」→ 新建规则 → 选择「管理员角色」→ 设置「仅允许」→ 输入总部IP段 → 绑定动作类型为「财务审批」「权限分配」「密钥管理」。
第三步：启用实时拦截开关
勾选「违反IP策略时自动拒绝请求并记录事件」→ 点击「保存并激活」。
未配置此策略前，任何公网IP均可发起权限变更请求；开启后，即使密码正确，非白名单IP也无法执行关键操作。
开启登录行为全量审计
在「安全中心 → 日志审计 → 登录事件」中，打开「记录所有登录尝试（含成功与失败）」开关；【日志保留周期必须设为180天，低于该值无法满足等保2.0三级合规要求】。
启用「异常登录告警」：当同一账号1小时内出现3次以上异地登录（基于IP地理定位判断），系统自动向管理员企业微信推送告警，并冻结该账号2小时。
导出日志样本时，注意勾选「包含设备指纹」字段——它能识别是否为模拟器、远程桌面或自动化工具发起的登录，这是区分真实用户与Bot攻击的关键依据。
