“
云部署把 U8 搬上了公网，方便是真方便， 攻击面也一起搬了过去 。
最近用友集团接连收到客户反馈——这不是个例，而是一批人正在遇到的问题。
—— 整理自用友集团安全提醒公告
各 U8 云部署用户：近期，用友集团收到部分客户反馈，云部署环境直接暴露于公共网络，其 攻击面明显大于内网部署 ，遭受端口扫描、暴力破解、入侵攻击及数据泄露、中勒索病毒的风险显著升高。
为此，用友就 U8（V16.5、V18）云部署环境的操作系统与数据库选型、云服务商选择、端口开放策略、不必要服务收敛等事项发出提醒，请各单位结合自身实际环境， 对照自查、逐项落实 。
下面这版，是我们把公告要点重新梳理成的自查清单，按“先看风险、再逐项落地”的顺序排，方便你们直接拿着去核。
📌 本文看点
01
2016 别再上了
02
端口能不开就不开
03
三件事先做完
RISK
风险：为什么云部署比内网更危险
先说清楚一件事： 云服务器一旦直接挂在公网上，就会持续被扫。 这不是“有没有人盯上你”的问题，而是 自动化扫描器 7×24 小时在跑 ——端口扫到、弱口令撞上，流程就走通了。端口扫描、暴力破解、入侵攻击、数据泄露、中勒索病毒，是一条已经很成熟的黑产流水线。
内网部署天然有一层边界挡在前面；云部署把这层边界去掉了。而 U8 里放的是什么？ 账套数据、财务凭证、往来客户资料 。这些东西一旦被加密或被拖走，损失不是重装一台机器能补回来的。
「这份公告真正的意思不是「注意安全」，而是「请你们这周就安排人对照核一遍」。」
💡 判断标准很简单：这台云主机如果能让公网直接摸到登录界面或数据库端口，它就已经在扫描器的名单上了。
OS & DB
操作系统与数据库：优先 2022
版本选择
服务器操作系统与 SQL Server 均应选择较新版本。U8 安装手册中标注为“不推荐”的版本 不得使用 ，即不建议使用 Windows Server 2016 与 SQL Server 2016。
推荐配置
操作系统使用 Windows Server 2022 或更高版本，数据库使用 SQL Server 2022 或更高版本。
|
|
|
|
|---|---|---|
|
|
|
|
|
|
|
|
补丁更新
云部署服务器应及时安装 Windows 与 SQL Server 的 月度安全更新 ，建议将其纳入日常运维检查项。
如果现在跑的还是 2016，问题已经不是“要不要升”，而是“排到哪个停机窗口”。版本越老，能对上的已知漏洞越多。
CLOUD
云服务商：优先阿里云、腾讯云
推荐使用 阿里云、腾讯云 。此类服务商除提供云主机外，还在主机内附带针对云服务器优化的安全软件，并提供基础网络安全服务、Windows 内网补丁服务等配套能力。
不建议使用 纯设备租用类服务商 。此类环境通常缺少上述安全配套，防护责任与实施成本主要由用户自行承担。
区分方法其实很简单： 看对方能不能提供主机层面的安全防护和补丁服务 。只给你一台机器、其余全自理，那就是纯租用。
PORT
端口策略：首选 U8 远程接入
云服务器暴露在公网时，最先要考虑的不是“开哪些端口”，而是 “能不能一个都不开” 。公告给出的优选方案是 U8 远程接入。
安全收益
使用 U8 远程方式无需对外开放 U8 业务端口，可显著缩小网络攻击面，网络安全性大幅提高。
使用体验
当云服务器与客户端不在同一城市时，U8 远程的流畅性明显优于传统客户端／服务器方式。异地办公、多门店、外派财务的客户感受最明显。
端口要求
不同远程产品所需的端口开放要求不同，具体以对应产品文档为准，也可以直接找我们确认。
费用提示
采用 U8 远程方式，无论使用 U8 OEM 的异速联，还是直接采购的云联、天联高级版，均需额外付费。
💡 暂时不上远程方案也可以，但端口收敛这一步不能省：数据库端口与远程桌面端口不得直接对公网开放，按固定 IP 做白名单。这是性价比最高的一步。
HARDENING
服务收敛：不用即关
云部署环境应遵循 “按需启用、不用即关” 的最小化原则，及时禁用未使用的服务、删除未使用的 IIS 虚拟目录与页面文件，减少可被利用的入口。
公告点名的高风险项
未使用的系统服务 —— 确认无业务依赖后禁用
未使用的 IIS 虚拟目录与页面文件 —— 删除
暴露在公网的业务端口 —— 收敛
sa 账号 —— 禁用
数据库弱口令 —— 整改
不用的入口，就是别人进来的门
留着不用，收益为零、风险为正。
ACTION
落实要求：三件事必须先做完
一、安排人核，并留下记录
请安排运维或实施人员对照本公告逐项核查，形成整改记录。涉及服务禁用、端口调整、配置变更的操作，应先完成 数据库与配置文件备份 ，建议在停机窗口内实施。
二、没把握的，别自己硬上
涉及补丁安装、IIS 虚拟目录及页面文件删除等操作，如无把握，请联系服务商或代理商协助实施，避免影响业务正常运行。
三、条件不够，也要先做三项
对暂不具备整改条件的项目，应至少完成 端口收敛 、 sa 账号禁用 与 数据库弱口令整改 三项高风险项，并制定后续整改计划。
！特别提示：涉及“已知安全漏洞”的服务与组件，在未使用的情况下应尽快禁用或删除；确需保留的，请立即联系服务商或升级至相应补丁版本，避免长期暴露在公网环境。
我们亦将持续同步最新安全漏洞预警与补丁更新。如果您有任何疑问、技术协助需求或需要了解更多信息，请第一时间联系我们处理。
感谢您的理解与配合，让我们共同筑牢企业网络安全防线。
THE END
无锡拓友能帮你做什么
上面这些事，你们可以自己做，也可以交给我们做。
无锡拓友软件科技有限公司，是用友／畅捷通在无锡地区的服务商，长期为本地企业提供 U8+、T+、好会计、易代账等产品的实施、运维与安全加固服务。
具体能承接的
云部署环境安全自查 ：端口、账号、弱口令、补丁、无用组件，出一份整改清单
U8 远程接入方案选型与部署 ：异速联／云联／天联高级版，按人数与场景给建议
操作系统与数据库版本升级 ：含升级前评估、备份方案、停机窗口安排
账套备份与恢复演练 ：确认备份真的能恢复，而不是“以为有备份”
联系我们
联系人：【汪鹏】
电话：【18951502037／0510-88102928】
地址：【无锡惠山经济开发区清华创新大厦A903】
END
无锡拓友软件科技有限公司，专注用友系产品的落地与运维。
如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，也欢迎直接找我们做一次云部署自查，我们下篇见。