有些單位出于工作目的，需要允許員工訪(fǎng)問(wèn)百度網(wǎng)盤(pán)和百度文庫(kù)，但是又要屏蔽員工通過(guò)網(wǎng)盤(pán)和文庫(kù)上傳文件。由于百度旗下網(wǎng)站已經(jīng)全面采用https的方式，傳統(tǒng)的基于IP地址、端口、甚至域名來(lái)做過(guò)濾，都無(wú)法實(shí)現(xiàn)這樣的需求。要實(shí)現(xiàn)類(lèi)似功能，必須要有專(zhuān)業(yè)的上網(wǎng)行為管理產(chǎn)品。
以我們的WSG上網(wǎng)行為管理為例，應(yīng)用過(guò)濾模塊中的“屏蔽疑似上傳”功能，可以對(duì)每個(gè)鏈接的上傳下載數(shù)據(jù)大小進(jìn)行檢查，一旦發(fā)現(xiàn)疑似外發(fā)文件的行為，立刻切斷該連接。而且不會(huì)影響正常的瀏覽和下載。相關(guān)配置如下圖：
我們?cè)诠ぷ髦薪?jīng)常需要用到QQ和微信來(lái)交流和發(fā)送截圖，但是QQ和微信方便的外發(fā)文件功能，卻給企業(yè)的信息安全帶來(lái)挑戰(zhàn)。很多用戶(hù)咨詢(xún)?nèi)绾卧诒Ａ艚貓D功能的同時(shí)，又要屏蔽QQ和微信的外發(fā)文件功能。所以我們的技術(shù)人員專(zhuān)門(mén)做了針對(duì)性的測(cè)試。
本文中，我將介紹如何用WSG硬件網(wǎng)關(guān)（WFilter NGF）來(lái)屏蔽QQ和微信外發(fā)文件，同時(shí)保留截圖功能。
首先，QQ和微信的發(fā)送截圖和發(fā)送文件走的是同樣的數(shù)據(jù)通道。無(wú)法通過(guò)IP地址、通訊端口，以及協(xié)議特征來(lái)進(jìn)行區(qū)分。這里我們要用到WSG行為管理的一個(gè)特色功能：屏蔽疑似文件上傳功能。如下圖：
為滿(mǎn)足出差在外人員和分支機(jī)構(gòu)辦公的需要，企事業(yè)單位一般采用如下的兩種方式：
端口映射，把對(duì)應(yīng)的服務(wù)端口映射到公網(wǎng)，供終端訪(fǎng)問(wèn)。
VPN?？蛻?hù)端需要先撥入VPN，然后再訪(fǎng)問(wèn)內(nèi)網(wǎng)服務(wù)。
這兩個(gè)辦法各有優(yōu)缺點(diǎn)：端口映射的方式，配置簡(jiǎn)單但是不夠安全。內(nèi)網(wǎng)的服務(wù)系統(tǒng)直接暴露在公網(wǎng)上，容易被攻擊導(dǎo)致嚴(yán)重的損失。VPN的方式，安全系數(shù)要高很多。但是VPN需要配置客戶(hù)機(jī)，配置和維護(hù)比較復(fù)雜。
在本文中，我將介紹WFilter NGF（WSG網(wǎng)關(guān)）中新加的一個(gè)功能：Web VPN。采用Web VPN可以帶來(lái)如下好處：
隨著釘釘辦公的普及，越來(lái)越多的企事業(yè)單位采用釘釘作為日常的辦公工具。而釘釘使用是需要連接互聯(lián)網(wǎng)的，而且釘釘具有非?？旖莘奖愕奈募蟼鞴δ?。那么對(duì)局域網(wǎng)的網(wǎng)絡(luò)安全就帶來(lái)了一定的挑戰(zhàn)。主要在于如下兩點(diǎn)：
如何不允許上外網(wǎng)的電腦使用釘釘，并且禁止其他的所有應(yīng)用？
如何防止員工通過(guò)釘釘軟件外發(fā)文件導(dǎo)致資料泄露？
下面我將針對(duì)這兩點(diǎn)需求來(lái)介紹具體的實(shí)現(xiàn)方案。
釘釘(DingTalk)是中國(guó)領(lǐng)先的智能移動(dòng)辦公平臺(tái)，用于商務(wù)溝通和工作協(xié)同。越來(lái)越多企業(yè)采用釘釘來(lái)進(jìn)行辦公自動(dòng)化，但是由此帶來(lái)的信息安全問(wèn)題也不能忽視。釘釘軟件可以很容易的上傳附件、外發(fā)和接收文件，從而威脅到網(wǎng)絡(luò)內(nèi)部的信息安全。近來(lái)很多客戶(hù)提出需要屏蔽釘釘?shù)耐獍l(fā)文件功能，所以我們做了針對(duì)性的測(cè)試。下文是釘釘外發(fā)文件的協(xié)議詳解和如何屏蔽的方案。
通過(guò)多次的抓包分析，釘釘PC版的外發(fā)文件和手機(jī)版的外發(fā)文件采用的不同的方式。
釘釘PC版的外發(fā)文件，主要通過(guò)sh.trans.dingtalk.com和lippi-space-ssh.oss-accelerate.aliyuncs.com這兩個(gè)網(wǎng)站進(jìn)行轉(zhuǎn)發(fā)。抓包分析如下圖：
企業(yè)開(kāi)展在家辦公，需要滿(mǎn)足員工從外網(wǎng)接入到企業(yè)內(nèi)網(wǎng)的工作需要，那么在選擇網(wǎng)絡(luò)設(shè)備的時(shí)候，主要關(guān)注以下幾點(diǎn)：
VPN的訪(fǎng)問(wèn)安全不能只依賴(lài)用戶(hù)名和密碼，至少要可以提供雙重認(rèn)證。比如SSL VPN的ca證書(shū)加用戶(hù)名密碼的方式。用戶(hù)既需要有正確的ca證書(shū)，還需要正確的用戶(hù)名密碼才可以接入。這是內(nèi)網(wǎng)數(shù)據(jù)安全的第一道防線(xiàn)。
疫情期間，很多企事業(yè)單位都選擇在家辦公。員工在家通過(guò)虛擬局域網(wǎng)連接到企業(yè)內(nèi)部的ERP、OA、財(cái)務(wù)等系統(tǒng)，既可以滿(mǎn)足疫情防控的需要，又不影響工作。那么企業(yè)要進(jìn)行遠(yuǎn)程辦公應(yīng)該如何搭建網(wǎng)絡(luò)環(huán)境呢？本文中，我將結(jié)合WSG上網(wǎng)行為管理網(wǎng)關(guān)，來(lái)描述企業(yè)如何準(zhǔn)備在家遠(yuǎn)程辦公的網(wǎng)絡(luò)環(huán)境。
