通过防火墙与访问控制机制，减少暴露面并阻断未授权访问。
看懂这张图，基本就能理解“风险是怎么进来的，又是怎么被阻断的”。
为什么企业既需要边界安全，也需要终端安全。
传统防火墙 vs 下一代防火墙（NGFW）。
例如防火墙、入侵防御、访问控制、远程访问入口管理、公网暴露面收敛等。它的重点是减少外部风险直接进入企业环境的机会。
即使边界已经做得不错，员工仍可能通过邮件、U 盘、第三方软件、错误配置等方式把风险带到终端上。所以终端安全和边界安全并不是替代关系，而是前后配合关系。
很多企业并不是完全没有做安全，而是容易把安全理解成“买了一个设备”或“装了一个软件”就结束了。
传统杀毒能覆盖很多已知风险，但并不等于能看见所有异常行为，更不等于能理解攻击过程。
真实环境里，邮件、下载、账号问题、第三方接入都可能绕过“入口”管理，把风险带到终端上。
更完整的能力并不代表所有企业都要一步到位，关键还是看规模、场景、人员能力与管理要求。
很多风险来自配置、策略、巡检、日志、补丁和账号管理，而不仅仅是“有没有采购设备”。
办公终端、服务器、研发主机、外部接入设备的风险和管理方式并不完全相同，通常需要分层处理。
一旦发生问题，如果无法回答“哪台设备、何时开始、影响范围多大”，后续处置和审计都会更困难。
对很多企业来说，比较务实的做法不是一次性堆很多能力，而是按阶段建立“能看见、能控制、能持续运维”的防护体系。
先梳理终端数量、服务器清单、互联网出口、对外服务、远程访问入口、账号权限和现有安全工具。
终端侧把统一杀毒、补丁、最小权限、日志基础做好；边界侧把防火墙策略、公网暴露面、远程入口收敛好。
当企业希望看见异常行为、定位问题来源、提升调查能力时，再引入 EDR、细粒度边界策略或更完整的边界防护能力。
包括策略复核、告警处置、日志分析、账号治理、培训与复盘，让安全能力不是“装上就结束”，而是真正持续发挥作用。