笨驴信息(IMFirewall)博客

有些单位出于工作目的，需要允许员工访问百度网盘和百度文库，但是又要屏蔽员工通过网盘和文库上传文件。由于百度旗下网站已经全面采用https的方式，传统的基于IP地址、端口、甚至域名来做过滤，都无法实现这样的需求。要实现类似功能，必须要有专业的上网行为管理产品。

以我们的WSG上网行为管理为例，应用过滤模块中的“屏蔽疑似上传”功能，可以对每个链接的上传下载数据大小进行检查，一旦发现疑似外发文件的行为，立刻切断该连接。而且不会影响正常的浏览和下载。相关配置如下图：

我们在工作中经常需要用到QQ和微信来交流和发送截图，但是QQ和微信方便的外发文件功能，却给企业的信息安全带来挑战。很多用户咨询如何在保留截图功能的同时，又要屏蔽QQ和微信的外发文件功能。所以我们的技术人员专门做了针对性的测试。

本文中，我将介绍如何用WSG硬件网关（WFilter NGF）来屏蔽QQ和微信外发文件，同时保留截图功能。

通讯协议分析

首先，QQ和微信的发送截图和发送文件走的是同样的数据通道。无法通过IP地址、通讯端口，以及协议特征来进行区分。这里我们要用到WSG行为管理的一个特色功能：屏蔽疑似文件上传功能。如下图：

为满足出差在外人员和分支机构办公的需要，企事业单位一般采用如下的两种方式：

1. 端口映射，把对应的服务端口映射到公网，供终端访问。
   

2. VPN。客户端需要先拨入VPN，然后再访问内网服务。

这两个办法各有优缺点：端口映射的方式，配置简单但是不够安全。内网的服务系统直接暴露在公网上，容易被攻击导致严重的损失。VPN的方式，安全系数要高很多。但是VPN需要配置客户机，配置和维护比较复杂。

在本文中，我将介绍WFilter NGF（WSG网关）中新加的一个功能：Web VPN。采用Web VPN可以带来如下好处：

随着钉钉办公的普及，越来越多的企事业单位采用钉钉作为日常的办公工具。而钉钉使用是需要连接互联网的，而且钉钉具有非常快捷方便的文件上传功能。那么对局域网的网络安全就带来了一定的挑战。主要在于如下两点：

1. 如何不允许上外网的电脑使用钉钉，并且禁止其他的所有应用？
   

2. 如何防止员工通过钉钉软件外发文件导致资料泄露？

下面我将针对这两点需求来介绍具体的实现方案。

钉钉(DingTalk)是中国领先的智能移动办公平台，用于商务沟通和工作协同。越来越多企业采用钉钉来进行办公自动化，但是由此带来的信息安全问题也不能忽视。钉钉软件可以很容易的上传附件、外发和接收文件，从而威胁到网络内部的信息安全。近来很多客户提出需要屏蔽钉钉的外发文件功能，所以我们做了针对性的测试。下文是钉钉外发文件的协议详解和如何屏蔽的方案。

1. 钉钉外发文件的协议分析

通过多次的抓包分析，钉钉PC版的外发文件和手机版的外发文件采用的不同的方式。

钉钉PC版的外发文件，主要通过sh.trans.dingtalk.com和lippi-space-ssh.oss-accelerate.aliyuncs.com这两个网站进行转发。抓包分析如下图：

企业开展在家办公，需要满足员工从外网接入到企业内网的工作需要，那么在选择网络设备的时候，主要关注以下几点：

1. 提供安全可靠的VPN远程拨入服务

VPN的访问安全不能只依赖用户名和密码，至少要可以提供双重认证。比如SSL VPN的ca证书加用户名密码的方式。用户既需要有正确的ca证书，还需要正确的用户名密码才可以接入。这是内网数据安全的第一道防线。

疫情期间，很多企事业单位都选择在家办公。员工在家通过虚拟局域网连接到企业内部的ERP、OA、财务等系统，既可以满足疫情防控的需要，又不影响工作。那么企业要进行远程办公应该如何搭建网络环境呢？本文中，我将结合WSG上网行为管理网关，来描述企业如何准备在家远程办公的网络环境。

1. 先上网络拓扑图