某连锁零售企业上新系统时碰上过一件事。
总部要看门店收银机的运行情况，采购时按"能看到屏幕"挑了一套。
部署完发现，只有一半机器能看画面。
另一半门店走的是独立出口，数据压根没送到总部服务器。
功能没毛病，是链路没搭对。
一、它不是"一个软件"，是三段
装一套电脑监控，实际上装的是三段东西，少一段都不成。
1. 终端采集端：装在被管的每台机器上
它管的就一件事：把每台机器上发生了什么，如实采回来。
它随开机启动，以系统服务的形式常驻，采集的前提是权限足够。
屏幕画面、程序运行、文件动作、网络访问，都是它先拿到、再送出去。
这台机器上没装它，管理层看到的就是空白。
2. 服务端：数据汇聚与存储
（1）接收各终端上报的数据，按类型分开存放。
（2）屏幕类数据体积最大，单独放一块存储。
（3）记录类和画面类的保留周期不一样，文字记录留数月、画面留数周，容量是这么算出来的。
它解决的是"记录存在哪"这个问题：数据不落在员工自己的机器上，重装系统、格式化硬盘也带不走。
3. 管理端：决定谁能看什么
（1）按角色分权，部门主管看本部门，安全团队看全量。
（2）查看动作本身要有记录，否则监控系统自己就成了新的泄密口。
（3）分权做不好，一套监控制度就变成一套窥探工具。
这个功能解决的是"谁来用、用得多规矩"：让该看的人看得到，让不该看的人看不到，看过什么还留得下痕迹。
二、数据是怎么上来的
1. 采集端要拿到足够权限
屏幕画面在操作系统里属于受保护资源，普通用户态程序拿不全。
要持续、稳定地拿到，采集端得装成系统服务，开机即启，跟随系统权限运行。
权限拿足了，采集才谈得上连续，不会因为一次重启、一次换账号就断掉。
2. 上行靠推送，不是等人来取
采集端按周期把数据送到服务端，周期是取舍。
屏幕快照的间隔可在 2 到 60 秒之间设，间隔越短留痕越细，占用也越大。
这个参数管的是一件事：留痕的粗细和服务器负担之间怎么平衡。
3. 链路断了就会断档
（1）终端与服务器之间网络不通时，本地可以先缓冲，网络恢复后补传。
（2）缓冲有上限，超出之后最旧的记录会被丢掉。
（3）跨网段、独立出口的分支机构，如果没打通回传路径，数据就停在本地，开场那家企业遇到的就是这种。
本地缓冲解决的是"临时断网不丢数据"，但它只兜得了一段，兜不住长期不通。
三、采什么，由策略决定
一套系统能采的东西不少，但不是每样都要开。
1. 屏幕这一路
（1）实时屏幕：管的是"这台机器此刻在干什么"，画面可放大缩小，支持 6 宫格、9 宫格、16 宫格并排，用来看现场。
（2）屏幕快照：解决的是"人手不够盯不过来"，按 2 到 60 秒的间隔抓图，可带上时间与用户名，可设本地保留天数与是否上传。
（3）屏幕录像：解决的是"事后说不清过程"，机器一活动就录，采集频度、画质、单文件时长都可调，也可以只针对某个程序录。
三者回答的是三个不同的问题：现在在干什么、这段时间有没有异常、当时到底是怎么操作的。
2. 行为这一路
程序使用时长、文件操作、上网与搜索记录、打印与外设使用，都按动作记下来。
这一路数据量小、留存久，是事后追溯的主力：谁在什么时间动了什么，翻得到、对得上。
3. 流量这一路
实时查看每台机器、每个程序的流量，并能按主机或按程序限速。
拿它来发现异常上行，比拿来做考核可靠得多。
四、它看不到的地方
1. 断网与离线的机器
笔记本带回家、外勤不联网，这段时间的记录是空的。
事后再去查，看到的是一截断档，而这一截里具体做了什么，系统答不出来。
2. 没被纳管的机器
（1）没装采集端的机器、个人设备、临时服务器，都在视野之外。
（2）采集端被卸载或被停掉，需要及时发现，这既是管理问题，也是配置问题。
3. 内容层采不到
（1）屏幕上是画面，不是含义，画面上是什么内容要靠人看。
（2）加密通道里的内容，以及没上网的本机操作，记录会明显稀薄。
五、小结
公司电脑监控软件是三段结构：终端采、服务端存、管理端看。
终端采集端解决"机器上发生了什么"，服务端解决"记录存在哪、留多久"，管理端解决"谁能看、看了有没有痕迹"。
数据靠推送上行，网络不通就断档，缓冲有上限，跨分支机构要先把回传路径打通。
采什么由策略定，屏幕、行为、流量三路各有各的用途和体积。
它能看清行为，看不清含义，也不覆盖那些没被纳管的机器。
责编：安企神-小赵
