常被问到：上网行为监控到底是看人还是看网？先说结论：看网，但光"看"不够。
哈尔滨一家做对俄贸易的公司就吃了这个亏——IT 只开了网站浏览记录，员工改用网盘把客户名单传走，日志里干干净净。
记录只是头一桩，光记不拦，等于装了软件没让它上岗。
下面按三个常被问的问题，把记录、限制、拦截这三桩一次说清。
一、问：上网记录到底记哪些？
1、网站和程序两条线
（1）网站浏览、搜索、上传下载一条线拉清，谁上了啥站、搜了啥词、传了啥文件查得到。
（2）程序使用记录补全另一条线，哪些软件跑了、跑了多久、什么时候开的全有迹。
（3）两线一对，员工上网干了啥不再是一笔糊涂账，事后追也有处对。其中上传下载这条线，直接暴露网盘、邮箱这类私传入口。
2、记录不是摆着看
记录按时间筛，调阅不用翻全部；异常先发现、不后知后觉。但也要认清：只记不拦，记录再全也只是事后诸葛——东西早传走了。
二、问：限制和拦截从哪下手？
1、黑名单先划线
（1）违规网站和程序直接限制，风险入口先堵。
（2）无线网黑白名单、USB 无线网卡禁用，私接热点绕开管控的路先断。
（3）敏感词报警，正文出现涉密词立刻提醒，把口子收在前头。
2、权限按场景卡
（1）只访问内网、禁止所有网络访问两种模式按岗位发，涉密岗严、普通岗松。
（2）IP 端口防火墙，禁止程序访问指定端口和地址，文件外传的路先窄下来。
（3）指定程序运行时断网，关键工序不联网也不断活，既不误事也少漏洞。
3、流量和外联收尾
（1）宽带流量监控和限制，总流量和单程序流量都能限速，大文件外传先慢下来。
（2）违规外联报警，发现违规连接当场报警、断网、锁屏，严重的直接关机。
（3）禁止程序执行 bat、vbs 脚本，木马借脚本起手的路一并堵上。
拦得住才叫管得住：记是把账记下来，拦是把门看住，两样都得有。
三、问：屏幕这块要不要一起看？
1、屏幕补收尾这眼
实时屏幕、屏幕录像、屏幕快照补上，网页关了也能回看当时画面。快照带时间和用户名，事后对得上是谁动了这台机，扯皮少一大半。
2、两路拼完整经过
屏幕还原出"当时在干啥"，上网记录说清"去了哪、传了啥"，两路拼出完整经过。少了屏幕这路，查到异常却还原不出画面，追责断半截。
先把记录、限制、拦截三桩配齐，再让屏幕补上收尾这眼，监控才算真上岗。
责编：安企神-小赵
