一(yi)些(xie)企事業(ye)單位為(wei)了信息安(an)全的目的，需要在允(yun)許終端訪問外網的同時屏蔽一(yi)切外發行(xing)為(wei)，即(ji)只能(neng)瀏覽(lan)和(he)下載但(dan)是(shi)不允(yun)許外發和(he)上(shang)傳(chuan)。這個功能(neng)是(shi)比較專業(ye)的功能(neng)，需要專業(ye)的上(shang)網行(xing)為(wei)管理(li)(li)產品才可(ke)以(yi)實現(xian)。以(yi)WSG上(shang)網行(xing)為(wei)管理(li)(li)為(wei)例，WSG上(shang)網行(xing)為(wei)管理(li)(li)中有(you)個“智能(neng)過(guo)濾”功能(neng)，該功能(neng)會檢測所有(you)網絡連(lian)接并(bing)且進行(xing)統(tong)計，一(yi)旦發現(xian)上(shang)傳(chuan)的數據量超過(guo)設置的閾值，就會禁止這個連(lian)接從而屏蔽上(shang)傳(chuan)行(xing)為(wei)。如下圖(tu)所示(shi)：

有(you)(you)些單位出于(yu)(yu)(yu)工作目的(de)(de)，需(xu)要(yao)允許員(yuan)工訪問百(bai)(bai)度網(wang)盤和(he)百(bai)(bai)度文(wen)(wen)庫(ku)(ku)，但是又(you)要(yao)屏蔽員(yuan)工通過網(wang)盤和(he)文(wen)(wen)庫(ku)(ku)上傳文(wen)(wen)件。由于(yu)(yu)(yu)百(bai)(bai)度旗下(xia)網(wang)站已經全面采(cai)用https的(de)(de)方式，傳統(tong)的(de)(de)基于(yu)(yu)(yu)IP地址、端口、甚(shen)至域名來做過濾，都無法實現這樣的(de)(de)需(xu)求。要(yao)實現類似(si)功能，必須要(yao)有(you)(you)專業的(de)(de)上網(wang)行為管理產品。

以(yi)我們的(de)WSG上網(wang)行為(wei)管理(li)為(wei)例，應(ying)用過濾模塊中(zhong)的(de)“屏蔽疑似(si)上傳”功(gong)能，可以(yi)對每(mei)個鏈接的(de)上傳下(xia)載數據大小進(jin)行檢查，一旦發現(xian)疑似(si)外發文件的(de)行為(wei)，立刻切斷該(gai)連接。而(er)且不會影響正常的(de)瀏覽和下(xia)載。相關配置如下(xia)圖：

我們(men)在工作中經(jing)常需(xu)要用(yong)到QQ和(he)微(wei)信來交流和(he)發(fa)送截(jie)圖，但是QQ和(he)微(wei)信方便的(de)外發(fa)文件功能，卻(que)給企業的(de)信息安全帶來挑戰。很多用(yong)戶咨詢如何在保留截(jie)圖功能的(de)同(tong)時，又要屏(ping)蔽QQ和(he)微(wei)信的(de)外發(fa)文件功能。所以我們(men)的(de)技術人(ren)員專門做了(le)針對性的(de)測(ce)試。

本文(wen)中，我將介紹如何(he)用WSG硬件網關（WFilter NGF）來屏蔽QQ和微信(xin)外發(fa)文(wen)件，同時保留截圖功(gong)能。

通訊協議分析

首先，QQ和微信的發送截圖和發送文件走的是同樣的數據(ju)通道。無法通過IP地址、通訊端口，以(yi)及(ji)協議特征來(lai)進行區分。這里我們要用到WSG行為管理的一個特色(se)功能：屏蔽疑似文件上傳功能。如下圖：

隨著釘(ding)釘(ding)辦公(gong)的(de)(de)普及，越(yue)來(lai)越(yue)多的(de)(de)企事業(ye)單位采(cai)用(yong)釘(ding)釘(ding)作為日(ri)常(chang)的(de)(de)辦公(gong)工具。而釘(ding)釘(ding)使用(yong)是(shi)需要(yao)連接互聯網(wang)的(de)(de)，而且釘(ding)釘(ding)具有(you)非(fei)常(chang)快(kuai)捷方便的(de)(de)文件上傳功能。那么對局域網(wang)的(de)(de)網(wang)絡安全就帶來(lai)了一(yi)定的(de)(de)挑(tiao)戰。主要(yao)在(zai)于如下兩點(dian)：

1. 如何不允許上外網的電腦使用釘釘，并且禁止其他的所有應用？
   

2. 如(ru)何防止員工(gong)通過釘釘軟件(jian)外發(fa)文件(jian)導(dao)致資料泄露？

下面我將針對這兩點需求來(lai)介紹具體的實(shi)現方案。

釘(ding)(ding)釘(ding)(ding)(DingTalk)是中(zhong)國領先的智能移(yi)動辦公(gong)平臺，用于商務溝(gou)通和(he)工作(zuo)協(xie)同。越來(lai)越多企業采(cai)用釘(ding)(ding)釘(ding)(ding)來(lai)進行辦公(gong)自(zi)動化，但(dan)是由此帶來(lai)的信(xin)息安(an)全問題也(ye)不能忽視。釘(ding)(ding)釘(ding)(ding)軟件可以很(hen)容(rong)易的上傳附件、外(wai)(wai)(wai)發和(he)接收文件，從而威脅(xie)到網絡內部的信(xin)息安(an)全。近來(lai)很(hen)多客(ke)戶提出需要屏蔽釘(ding)(ding)釘(ding)(ding)的外(wai)(wai)(wai)發文件功能，所以我們做了針對(dui)性的測(ce)試。下文是釘(ding)(ding)釘(ding)(ding)外(wai)(wai)(wai)發文件的協(xie)議詳解和(he)如何屏蔽的方案(an)。

1. 釘釘外發文件的協議分析

通過(guo)多次的抓包(bao)分析，釘釘PC版的外發文(wen)件和(he)手(shou)機版的外發文(wen)件采用的不同的方式。

釘釘PC版的外發文件，主要通(tong)過(guo)sh.trans.dingtalk.com和lippi-space-ssh.oss-accelerate.aliyuncs.com這兩個網站進行轉發。抓包分析(xi)如下圖：

在(zai)WFilter的(de)(de)(de)“應(ying)用(yong)過濾(lv)”中，有個智能(neng)過濾(lv)的(de)(de)(de)選項，可(ke)以選擇”屏蔽超過N字節的(de)(de)(de)疑似上傳(chuan)行(xing)為“。如下圖：

通(tong)過網絡上(shang)傳和外發(fa)文(wen)件有很(hen)多(duo)種方式，比(bi)如：

1. 各種文件傳輸方式，比如QQ文件、微信文件、FTP上傳等等。
   

2. 各(ge)類傳文件(jian)的(de)網(wang)站，網(wang)盤和文件(jian)共享站點。直(zhi)接在瀏(liu)覽(lan)器里面就(jiu)可以上(shang)傳。

3. 通過郵件發送附件的方式。
   

局域網的文件泄露，主要是通過usb拷貝以及網絡傳輸的方式。我們在企業外發文件管控方案總結一文中，已經介紹了多種管控(kong)外(wai)發文件(jian)的方案。在本文中，我將介紹利(li)用WSG上(shang)網行為管理網關如何來(lai)有效的管控(kong)外(wai)發文件(jian)。

1. 首先要屏蔽電腦的usb存儲設備。

需要在windows電腦的組策略里面禁止配置，把“禁止安裝可移動設備“修改成”已啟用“即可。當然，管理員權限就不能給使用者啦，要不然再把這個策略改回去就不起作用了。

出于信息安全(quan)的(de)(de)考慮，很多(duo)企業不允許工(gong)作電腦外發(fa)文(wen)件，但是QQ和微信又(you)是常見的(de)(de)辦公工(gong)具。所以(yi)(yi)“既允許QQ和微信聊天(tian)，同(tong)時又(you)不允許外發(fa)文(wen)件”，一直是企業管(guan)理(li)(li)(li)的(de)(de)一個難題。其實上(shang)網(wang)(wang)行(xing)為管(guan)理(li)(li)(li)技術(shu)經過十幾年(nian)的(de)(de)發(fa)展，已經可(ke)以(yi)(yi)精確的(de)(de)識別出文(wen)件傳(chuan)輸和普通聊天(tian)的(de)(de)協議特征。專業的(de)(de)上(shang)網(wang)(wang)行(xing)為管(guan)理(li)(li)(li)產品，都可(ke)以(yi)(yi)單獨屏蔽QQ和微信傳(chuan)文(wen)件。以(yi)(yi)WSG上(shang)網(wang)(wang)行(xing)為管(guan)理(li)(li)(li)網(wang)(wang)關為例，在“行(xing)為管(guan)理(li)(li)(li)”的(de)(de)“應用(yong)過濾”中，搜索QQ，可(ke)以(yi)(yi)看(kan)到20多(duo)個QQ相關的(de)(de)應用(yong)協議，包括QQ聊天(tian)、QQ發(fa)文(wen)件、QQ接收文(wen)件、QQ游戲等各種(zhong)相關應用(yong)。如(ru)下圖：

很多企業(ye)為了數據的(de)(de)安全，需(xu)要(yao)對(dui)外(wai)(wai)發文(wen)件(jian)進(jin)行(xing)管(guan)控。而手機、usb存儲的(de)(de)廣泛使(shi)用，使(shi)得(de)外(wai)(wai)發文(wen)件(jian)的(de)(de)管(guan)控非常難(nan)以實現(xian)。在本文(wen)中，我(wo)將(jiang)拋磚(zhuan)引玉，探討(tao)外(wai)(wai)發文(wen)件(jian)管(guan)控的(de)(de)幾種方式(shi)。外(wai)(wai)發文(wen)件(jian)的(de)(de)管(guan)控，需(xu)要(yao)考慮如下幾個方面(mian)：

• 屏蔽(bi)通過網(wang)絡外發(fa)文件

• 屏蔽藍牙、usb等外設外發文件
  

• 文件加密
  

有些用戶(hu)為(wei)了信息安全(quan)的需要，要求禁止所(suo)有的外(wai)(wai)發文件。不(bu)過，外(wai)(wai)發文件的途徑有很多，如：

1. 上傳到網盤。

2. 通過QQ、FTP等軟件發(fa)文件。

3. 作為郵件附件發送。

在(zai)本文(wen)中，我將演示如何用WFilter ICF上網行(xing)為(wei)管理軟件(jian)來禁(jin)止網盤等文(wen)件(jian)傳輸方式。