兰州一家做工程监理的公司，办公网和项目网接在一起。有人以为装了屏幕监控就稳了，结果一台电脑私接无线网卡，数据顺着WiFi溜出去，日志里屏幕干干净净。
监控局域网内网的方法，难点不在看屏幕，在管住那张网。屏幕看动作，网络层才拦得出网，两层一起上才叫真监控。
一、监控局域网先分清两层
监控局域网，先得想清楚要盯哪一层。两层管的事不一样，别混着上：屏幕层看人做了啥，网络层拦数据去哪了，分工清楚才不漏。
1、屏幕层看动作
（1）实时屏幕、屏幕录像、屏幕快照：谁在干嘛、跑了什么程序，画面和回放都能调。
（2）程序使用记录和文件操作记录：装了啥、文件删了改了拷了，一条条留着，事后对得上。
光有画面没日志，出事还是说不清。日志和画面凑一对，监控才算闭环。
2、网络层拦出网
（1）程序网站黑名单：违规软件和违规站直接禁，少一桩是一桩。
（2）硬件软件变化记录和报警：谁偷偷装了东西、换了设备，变动作了就报，不等人发现才后知。
二、防火墙把出网先卡住
网络防火墙是内网的关键闸，专管出网，不管杀毒。
1、访问三档
（1）仅允许访问内网：机器只连内网，外网访问一律挡。
（2）禁止所有网络访问：涉密终端干脆断外网，干净省心。
（3）IP端口防火墙：禁某网站某项服务，也能禁程序访问指定端口和地址。
三档按密级挑：普通办公机走仅内网，涉密机直接断外网。
2、端口与地址封堵
（1）禁止程序访问指定端口：比如禁80和443，https上网就走不了，特定程序出不了网，也防它偷偷回传数据。
（2）禁止程序访问指定地址：内网地址拦住，防程序扫描内网里的打印机、共享文件、路由器，挡住病毒横向移动的路。
三、无线与流量把绕路堵死
无线和流量是员工常会绕路的地方，屏幕层管不到这里。
1、无线两道锁
（1）禁用USB无线网卡：拔掉绕开管控的念想，防接WiFi、4G网，私接网卡是常出现的漏网口。
（2）无线网黑白名单：能连的无线网列白名单，其余一律不认，访客机也别想蹭。
2、流量限速
（1）宽带流量限速：网络流量和程序流量分开限，某软件占满带宽就掐，办公高峰也不卡。
（2）内网忽略内网：限速只算外网，内部传文件不受影响，不误伤办公，也不让内网大文件把统计冲歪。
四、外设管控与资产统计
外设、权限、资产这几样，是收尾也是日常，漏了前面都白搭。
1、外设与分发
（1）USB外设管控：U盘、光驱、蓝牙等一键禁用，也能远程U盘管理。
（2）文件和软件分发：补丁、通知、小工具统一推，不用挨台跑，也顺手把违规软件一并卸了。
2、权限与报警
（1）系统权限管理：禁用安全模式、注册表、控制面板，禁止改IP、计算机名，机器伪装不了身份。
（2）硬件软件资产统计：装了什么、资产多少实时知；违规外联报警断网锁屏关机，出事按在现场，不留处置空窗。
监控局域网内网的方法，说到底是把屏幕层和网络层叠起来。看得见的动作有回放，出网的通道有闸门，两层都堵，数据才不至于从看不见的缝里溜走。
责编：安企神-小赵
