「網絡安全」安全設備篇（15）——上網行為管理
員工隨意使用網絡將導致很多問題，例如：工作效率低下、網速越來越慢、安全隱患不斷、信息和機密外洩、網絡違法行為。
什麼是上網行為管理
上網行為管理是指幫助互聯網用戶控制和管理對互聯網的使用。其包括對網頁訪問過濾、網絡應用控制、帶寬流量管理、信息收發審計、用戶行為分析。
亟待解決的五大難題
- 缺乏有效的統計方法，無法得知網絡的使用情況
對於網絡的使用情況、有限的公網出口帶寬的佔用情況、用戶最常發生的網絡訪問行為、TOP10用戶最常訪問的網站等，IT管理者無法掌握真實情況，只能靠部分員工的反映和抱怨，通過簡單記錄一些IP的訪問情況，查詢和審計非常不方便。
- 無法做到細緻的訪問控制
因為需要獲取外部信息和資源，公司需要與Internet實現互聯，通過Email等軟件系統，內網員工不僅可以與合作伙伴、第三方單位保持溝通，而且外網用戶也可以通過Internet訪問公司內部的網站、FTP下載服務器等。
但是如果沒有完善的互聯網訪問權限控制手段，而僅僅依靠傳統的防火牆等設備，將無法有效管控內網員工的各種網絡訪問行為。內網員工在上班時間使用QQ、MSN、微信等聊天，瀏覽各種網站（甚至黃色、反動網站），BBS、論壇發帖（包括不負責任的反動言論等），在線炒股、網絡遊戲娛樂等，不僅降低了工作效率，甚至通過Email洩露機構機密信息，給機構帶來直接經濟損失，還可能引起不必要的法律糾紛。
- 無法有效管理帶寬流量，無法保障業務系統的帶寬需求
公司現有的公網出口帶寬通常都比較有限。一個帶寬2M的Internet出口，即使有兩個內網用戶全速下載BT、網盤等，其他用戶和業務系統的訪問和開展都會極其緩慢，甚至完全不可用。而IT管理者一方面無法有效的獲知公司現有帶寬資源的使用情況和利用率，同時對於各種P2P等非業務相關的網絡訪問行為也無法有效管控。
業務系統收發Email緩慢，領導的視頻會議系統無法正常工作，合作伙伴的文件傳輸速度緩慢等，都需要IT管理者優化公司有限帶寬的使用情況，有效的限制業務系統對帶寬的佔用，合理的劃分和分配更多的帶寬供業務系統所使用。
- 無法保證客戶端的端點安全性
類似於木桶原理，內網網絡安全的等級取決於安全最薄弱的環節。如果有內網員工的終端設備使用陳舊的操作系統、不更新操作系統補丁、不安裝指定的殺毒/防火牆軟件、甚至不更新，反而使用和安裝公司不允許的軟件，都將造成該終端設備成為內網的安全短板。如果用戶使用該終端設備肆意訪問互聯網，來自Internet的病毒、木馬、惡意程序等極易感染和侵害該終端，從而進一步感染和氾濫到整個內網，影響更多用戶的網絡使用和業務的開展。
- 無法對用戶網絡行為進行有效監控和審計
對於網絡安全問題，大多數用戶都只關注外網安全，但其實公司內部的信息資產更多的不是被黑客竊取，而是通過內部洩露的。所有雖然公司已經部署了防火牆等安全設備，但是無法對內網員工的網絡行為進行有效的監控和審計。
內網員工可能通過微信聊天將公司的機密信息無意間洩露出去，而更典型的是通過Email郵件，將公司的信息通過郵件及附件發送到公網，還可能通過向公網BBS、論壇、頭條發帖的方式，不僅洩露公司的信息，還可能發表不良言論、網絡造謠等，不僅洩露公司的信息資產，還難免招致法律問題。這些都需要有別於傳統防火牆的解決方案，對用戶的網絡訪問行為進行有效的監控和審計，做到有據可查。
上網行為管理的作用
- 有效管理用戶上網
通過細緻的權限控制，有效管理用戶的上網行為。如：對於內網員工的訪問行為，上網行為管理系統通過內置的URL庫，關鍵字過濾等方式進行管控；對於採用ssl方式加密的網頁，如釣魚網站等，通過證書驗證鏈接，並使用黑白名單進行管控；對於文件的上傳和下載，通常會限制類型和大小；對於郵件地址的後綴進行管控；將用戶的IP和MAC進行綁定等。
- 有效管理帶寬和流量
通過上網行為管理產品，用戶可以制定精細的帶寬管理策略，對不同崗位的員工、不同網絡應用劃分帶寬通道，並設定優先級，合理利用有限的帶寬資源，節省投入成本。
- 防止機密信息洩露和法律違規事件
上網行為管理系統通過訪問審計和監控，能夠有效防止信息通過Internet洩露，並建立強大的內部安全威懾，減少內部洩密行為。例如：通過郵件延遲審計，保證先審計再發送；對於webmail站點發送的郵件，全面記錄郵件正文及附件；對於BBS、論壇發帖根據關鍵字進行過濾， 已發佈的內容全面記錄；內網員工訪問的url地址、網頁標題、甚至整個網頁內容，進行完全的監控和記錄。