我們在工作中經常需要用到QQ和微信來交流和發送截圖，但是QQ和微信方便的外發文件功能，卻給企業的信息安全帶來挑戰。很多用戶咨詢如何在保留截圖功能的同時，又要屏蔽QQ和微信的外發文件功能。所以我們的技術人員專門做了針對性的測試。
本文中，我將介紹如何用WSG硬件網關（WFilter NGF）來屏蔽QQ和微信外發文件，同時保留截圖功能。
首先，QQ和微信的發送截圖和發送文件走的是同樣的數據通道。無法通過IP地址、通訊端口，以及協議特征來進行區分。這里我們要用到WSG行為管理的一個特色功能：屏蔽疑似文件上傳功能。如下圖：
為滿足出差在外人員和分支機構辦公的需要，企事業單位一般采用如下的兩種方式：
端口映射，把對應的服務端口映射到公網，供終端訪問。
VPN。客戶端需要先撥入VPN，然后再訪問內網服務。
這兩個辦法各有優缺點：端口映射的方式，配置簡單但是不夠安全。內網的服務系統直接暴露在公網上，容易被攻擊導致嚴重的損失。VPN的方式，安全系數要高很多。但是VPN需要配置客戶機，配置和維護比較復雜。
在本文中，我將介紹WFilter NGF（WSG網關）中新加的一個功能：Web VPN。采用Web VPN可以帶來如下好處：
隨著釘釘辦公的普及，越來越多的企事業單位采用釘釘作為日常的辦公工具。而釘釘使用是需要連接互聯網的，而且釘釘具有非常快捷方便的文件上傳功能。那么對局域網的網絡安全就帶來了一定的挑戰。主要在于如下兩點：
如何不允許上外網的電腦使用釘釘，并且禁止其他的所有應用？
如何防止員工通過釘釘軟件外發文件導致資料泄露？
下面我將針對這兩點需求來介紹具體的實現方案。
釘釘(DingTalk)是中國領先的智能移動辦公平臺，用于商務溝通和工作協同。越來越多企業采用釘釘來進行辦公自動化，但是由此帶來的信息安全問題也不能忽視。釘釘軟件可以很容易的上傳附件、外發和接收文件，從而威脅到網絡內部的信息安全。近來很多客戶提出需要屏蔽釘釘的外發文件功能，所以我們做了針對性的測試。下文是釘釘外發文件的協議詳解和如何屏蔽的方案。
通過多次的抓包分析，釘釘PC版的外發文件和手機版的外發文件采用的不同的方式。
釘釘PC版的外發文件，主要通過sh.trans.dingtalk.com和lippi-space-ssh.oss-accelerate.aliyuncs.com這兩個網站進行轉發。抓包分析如下圖：
企業開展在家辦公，需要滿足員工從外網接入到企業內網的工作需要，那么在選擇網絡設備的時候，主要關注以下幾點：
VPN的訪問安全不能只依賴用戶名和密碼，至少要可以提供雙重認證。比如SSL VPN的ca證書加用戶名密碼的方式。用戶既需要有正確的ca證書，還需要正確的用戶名密碼才可以接入。這是內網數據安全的第一道防線。
疫情期間，很多企事業單位都選擇在家辦公。員工在家通過虛擬局域網連接到企業內部的ERP、OA、財務等系統，既可以滿足疫情防控的需要，又不影響工作。那么企業要進行遠程辦公應該如何搭建網絡環境呢？本文中，我將結合WSG上網行為管理網關，來描述企業如何準備在家遠程辦公的網絡環境。
WFilter NGF（WSG硬件網關）的“Web認證”模塊中，我們新增了“重定向HTTPS”的功能。對于未經認證的HTTPS訪問，一樣可以重定向到認證地址。具體配置如下圖：
PPTP雖然飽受安全性詬病，但是由于PPTP速度快、支持的系統多（windows、andriod默認都可以支持），仍然有很多人選擇PPTP作為遠程辦公的撥入協議。有一點我們要注意的是，PPTP的安全性依賴用戶名密碼，而且通訊加密強度不夠。如果對安全性要求高，建議采用SSL VPN（openvpn）等更安全的VPN通訊協議。
在本文中，我講介紹PPTP遠程辦公撥入的具體步驟。
首先要在遠程網絡上開啟PPTP服務，以WSG上網行為管理網關為例，具體配置如下圖：
入侵檢測系統IDS（“Intrusion Detection System”）可以對網絡、系統的運行狀況進行監視，發現各種攻擊企圖、攻擊行為或者攻擊結果，以保證網絡系統資源的機密性、完整性和可用性。而入侵防御系統IPS（“Intrusion Prevention System”）在入侵檢測的基礎上添加了防御功能，一旦發現網絡攻擊，可以根據該攻擊的威脅級別立即采取抵御措施。兩者的差別在于：
功能不同。入侵防御系統在入侵檢測的基礎之上還實現了防護的功能。
實時性要求不同。入侵防御必須分析實時數據，而入侵檢測可以基于歷史數據做事后分析。
部署方式不同。入侵檢測一般通過端口鏡像進行旁路部署，而入侵防御一般要串聯部署。
之前我們介紹過如何用釘釘認證和企業微信認證來實現企業內部的實名上網認證。此外郵箱認證也是企業進行wifi實名認證的一個有效手段。因為很多企業都給員工開通了企業郵箱，直接讓員工輸入郵箱賬號和密碼進行認證上網。配置、使用和維護都相對比較簡單。
本文我將介紹企業郵箱進行wifi實名認證的具體步驟。本例中用的是163的企業郵箱。
在WFilter的“應用過濾”中，有個智能過濾的選項，可以選擇”屏蔽超過N字節的疑似上傳行為“。如下圖：
通過網絡上傳和外發文件有很多種方式，比如：
各種文件傳輸方式，比如QQ文件、微信文件、FTP上傳等等。
各類傳文件的網站，網盤和文件共享站點。直接在瀏覽器里面就可以上傳。
通過郵件發送附件的方式。
互聯網上存在著大量的惡意網站和釣魚網站，這些網站通過在網頁上掛木馬程序，利用瀏覽器和操作系統的漏洞來入侵訪問者的電腦。一旦中毒，會給局域網帶來不可預知的損失，極大的危害到局域網的網絡安全。
本文將介紹如何用WFilter NGF來屏蔽惡意網站，并且保護局域網不受惡意釣魚網站的攻擊。總體來說，有以下兩個途徑：
入侵防御系統（Intrusion Prevention System）是對防病毒軟件和防火墻的有效補充。IPS可以監視網絡中的異常信息，并且能夠即時的中斷、阻止、告警內外網的異常網絡行為。
在WFilter NGF中，我們集成了基于snort的入侵防御系統，該系統主要可以實現如下三個方面的功能：
保護內網的web服務器、文件服務器、郵件服務器。
檢測內網終端的木馬和惡意軟件。
檢測內網終端的異常網絡行為。
在本文中，我簡單介紹下如何實現這三個方面的功能。
企業內網的服務器都存有企業的重要信息，包括CRM用戶信息、技術資料等。所以內網服務器的信息安全是企業網絡管理的重點。內網服務器不但面臨外來的攻擊，也會受到來自內部的攻擊。在本文中，我將介紹如何用WFilter NGF的入侵防御模塊來保護內網服務器。網絡結構圖如下：
WFilter NGF用網橋部署模式，接在內網和服務器網段以及互聯網之間，既可以做外網上網行為管理，又可以保護服務器網段。
DDOS全稱Distributed Denial of Service，中文叫做“分布式拒絕服務”，就是利用大量合法的分布式服務器對目標發送請求，從而導致正常合法用戶無法獲得服務。DDOS會耗盡網絡服務的資源，使服務器失去響應，為實施下一步網絡攻擊來做準備。比如用KaLi_Linux的hping3就可以很容易的實現DDOS攻擊。
如圖，未受攻擊時，netstat -nat可以查看到只有少量的網絡鏈接。
在本文中，我將介紹如何用WSG上網行為管理網關結合中國移動的10086云MAS平臺，來實現局域網WiFi實名認證。
對于三層交換機劃分多個VLAN的局域網來說，要設置IP-MAC綁定可真不容易。在三層交換機上進行IP-MAC綁定，不但配置復雜而且維護工作量很大，所以大部分網管都不會直接在三層交換機上進行綁定。在本文中，我將介紹用WSG上網行為管理，在網橋部署的模式下，如何來實現三層交換機下的IP和MAC綁定。
Win10的自動更新非常的頻繁，而且windows的更新很耗帶寬資源。所以，如果網內的windows電腦比較多，那么一旦windows發布了新的更新包，會占用大量的網絡帶寬資源。
當然，windows的更新很多都是安全方面的更新，保持系統更新有助于提高終端的安全，我們并不建議關閉更新。不過，有些網絡為了節省帶寬資源，需要屏蔽局域網內電腦的自動更新。在沒有部署上網行為管理的情況下，你需要在路由器或者網關設備上屏蔽站點“.*(officecdn|mp|updates)\.microsoft\.com“（正則表達式）和".*\.windowsupdate\.com”（正則表達式）。“windows更新”的通訊協議描述如下圖：
日前，深圳市網絡與信息安全信息通報中心發出緊急通告，指出目前知名遠程辦公工具TeamViewer已經被境外黑客組織APT41攻破，提醒企業組織做好防護措施。也就是說，APT41已經攻破TeamViewer公司的所有防護體，并取得有相關數據權限，危險等級非常高。在teamviewer官方提供解決方案和發布相關補丁之前，我們建議用戶暫停teamviewer軟件的使用，避免造成不必要的損失。
以下是teamviewer通訊方式介紹，以及如何用WSG上網行為管理來禁止teamviewer。
teamviewer在啟動時，首先會連接teamviewer官網（http和https方式都有），來獲取ID和路由信息。如果直接連接不了，teamviewer還會獲取本機的代理配置，嘗試通過代理服務器去連接。
teamviewer后續的點對點遠程控制，大部分通過的端口是tcp 5938。也存在其他動態端口的通訊數據。
有些公司為了安全需要，只允許使用微信等指定軟件，同時屏蔽所有的其他網站和軟件。這樣的管理需求，必須要用專業的上網行為管理產品才可以實現。以我司的WSG上網行為管理為例，只需要兩條行為管理規則，即可實現該功能。配置的思路是“應用過濾屏蔽所有+例外設置開通部分應用”這兩者結合的方式。下面是具體配置的步驟介紹：
如圖，應用過濾添加規則，禁止所有應用的訪問。
WSG上網行為管理的一些型號，如WSG-500E、WSG-XE都可以支持光口，設備接口如下圖：
本文我將介紹如何來使用WSG上網行為管理的光纖接口。
IOS系統的自動更新非常耗帶寬，每次IOS版本更新動輒好幾個G。每次IOS推出新版本，都是對企業帶寬資源的一大考驗。
WFilter NGF上網行為管理系統（WSG網關）提供了豐富的系統調用API接口，具體的API接口請參考：。在本文中，我將介紹如何用WFilter的API接口來直接訪問統計報表系統。
如圖，WFilter中有一系列的內置統計報表，您也可以自己定義需要的報表格式。
本文將介紹如何用WSG上網行為管理網關來記錄局域網內的郵件收發內容。郵件收發主要有兩種方式：
客戶端郵件，比如outlook, foxmail，thundbird等客戶端。
網頁郵件，國內比較普遍的是qq和163的網頁郵件。
