谁传的传了什么走的哪条路客户来做保密审查时连问三句武汉一家九十人的检测机构在场的人一个都答不上。网里几十台机器看得见的不只是屏幕更是三道门设备怎么进网、程序怎么跑、数据怎么出去。局域网管理监控把这三道门各上一把锁门里门外的动作都记下来不靠谁到现场盯着。一、进网的门不是谁的设备都能连头一道门锁接入。网络准入控制只放授信设备进内网陌生电脑、私接的路由器一插就被挡网里不再混进说不清来历的机器也防了野设备把病毒带进来。1. 网络准入控制没登记的主机拿不到内网地址想蹭网先过权限——入口这一关由网络准入控制把着。这一步把别人设备随便接进来拷东西的路堵住资产从谁能连这一刻就开始清爽。2. 系统权限管控注册表、安全模式、控制面板、改 IP、改计算机名这些入口一锁机器身份就动不了——系统权限管控做的正是这一件。机器身份不乱动配置才稳后面要追哪台干的也有固定坐标不会被随便改没。二、跑程序的门不该起的起不来第二道门锁运行。禁止违规程序把明确不合规的软件挡在门外进程一拉起就识别游戏、挖矿、带毒工具起不来机器闲忙一眼分得出。1. 网站和程序黑名单网站和程序黑名单按分类批量圈定也能单条加刷视频、逛闲站、跑违规工具都被收住。名单命中即拦员工想绕也绕不过哈希校验这一关策略调整不费劲。2. 流量监控和限制哪台机器在猛传、哪个程序在占带宽一眼就能分得出来靠的是流量监控和限制。总流量和程序流量都能限内网该快的地方快、该收的地方收不被一两台机器拖垮。三、流出去的门外联一冒头就断第三道门锁出口。手机热点、随身 WiFi 一接就报警还能报警时断网、锁屏风险按在刚冒头时——绕开内网直连外面这件事由违规外联报警盯住。1. 违规外联报警数据想从内网溜去公网动作一发生就被提示并切断——出口这一断靠的是违规外联报警。屏幕看得到、程序拦得住可网口还开着那一个漏点正是这一步要补的武汉那家机构缺的也就是这一环。2. 网络防火墙网络防火墙给出口再上一道仅允许访问内网或禁止连通外网IP端口防火墙和按程序限端口把外联通道收进白名单。研发能联外网、产线只走内网按部门分互不干扰。三道门各自的管法落到下表门做什么管到哪步进网的门网络准入控制、系统权限管控陌生设备进不来、机器身份改不动跑程序的门网站程序黑名单、流量监控限制违规程序起不来、带宽不失控流出去的门违规外联报警、网络防火墙外联一冒头就断、出口收进白名单四、兜底家底要看得清三道门之外IT资产统计加资产变化报警把网里家底兜住。每台机器的配置、装的软件、什么时候换过件一张表看全变动自动报审查要清单时当场调得出来不用临时翻台账。三道门合起来内网才不是谁都能进、都能跑、都能走的地方。把准入、外联、资产三道闸补上之后再接待审查那三问当场就能答出来。责编小赵