《 “网络准入和应用准入” 》 有 13 条评论

1. 应用准入控制
   http://www.victory-info.com/yingyzr.html
   `
   应用准入控制产品是针对局域网内部终端访问互联网或企业关键服务器做准入控制，**应用准入网关通过和安全客户端软件（网络版杀毒软件、内网桌面管理软件、非法外联客户端）的跨界组合，“自助式部署，一体化管理”，实现各自防护效果的互相加强，并简化终端安全产品的部署和管理**。

   应用准入控制同时还具备上网实名认证、智能网络流量控制、网络应用协议过滤（聊天工具帐号/邮件发送帐号审计、BBS发贴控制、URL网址过滤）、IPSEC/SSL VPN、防火墙等功能，严格控制了内网用户的网络行为，解决终端的随意访问外网、内部应用系统的访问控制，以及病毒泛滥等安全问题。是一个集安全准入、流量控制、网络行为管理、防火墙、VPN、终端安全管理功能于一体的网络安全纵深防御产品。

   应用准入模块
   应用准入模块通过网页自动重定向，对不合规的终端，进行个性化的友好提示，发送执行合规管理的客户端软件，真正实现了最终用户“自助式”的客户端部署，不仅大幅度减少系统维护人员的工作量，也极大减少用户的厌烦和抵触行为，有效增强了最终用户在内网合规管理系统实施中的积极性，促进内网合规更快获得良好收效。

   与应用准入模块联动的客户端，可以是网络版杀毒软件，也可以是内网桌面管理软件或非法外联检测客户端，它们对接入主机做特定的检查：操作系统补丁是否打齐？终端软硬件环境是否符合企业网络接入规范？是否存在非法外联行为？并向应用准入网关发送不同的准入消息，由应用准入网关给出不同的安全解决方案的下载链接。

   * 可分网段分步实施应用准入控制；
   * 对特定的接入主机可不做应用准入控制；
   * 对特定的应用服务器的访问可不做应用准入控制；
   * 可定义终端入网后指定的时间段后再做应用准入控制；
   * 可定义终端准入控制检测周期时间；
   `

   回复

2. 终端准入控制
   https://www.h3c.com/cn/Solution/Mobility/EAD/
   `
   目前，在企业网络中，用户的终端计算机不及时升级系统补丁和病毒库、私设代理服务器、私自访问外部网络、滥用企业禁用软件的行为比比皆是，脆弱的用户终端一旦接入网络，就等于给潜在的安全威胁敞开了大门，使安全威胁在更大范围内快速扩散，进而导致网络使用行为的“失控”。保证用户终端的安全、阻止威胁入侵网络，对用户的网络访问行为进行有效的控制，是保证企业网络安全运行的前提，也是目前企业急需解决的问题。

   网络安全从本质上讲是管理问题。H3C终端准入控制（EAD，End user Admission Domination）解决方案从控制用户终端安全接入网络的角度入手，整合网络接入控制与终端安全产品，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动，对接入网络的用户终端强制实施企业安全策略，严格控制终端用户的网络使用行为，有效地加强了用户终端的主动防御能力，为企业网络管理人员提供了有效、易用的管理工具和手段。

   对于要接入安全网络的用户，EAD解决方案首先要对其进行身份认证，通过身份认证的用户进行终端的安全认证，根据网络管理员定制的安全策略进行包括病毒库更新情况、系统补丁安装情况、软件的黑白名单、U盘外设使用情况、软硬件资产信息等内容的安全检查，根据检查的结果，EAD对用户网络准入进行授权和控制。通过安全认证后，用户可以正常使用网络，与此同时，EAD可以对用户终端运行情况和网络使用情况进行审计和监控。

   • 全方位准入控制

   EAD解决方案提供完善的接入控制，可以支持局域网、广域网、VPN、无线各种接入方式，支持包括HUB在内的各种复杂网络、思科等异构网络环境下的部署，保证从任何地点、任何方式下的接入安全。

   • 严格的身份认证

   除基于用户名和密码的身份认证外，EAD还支持身份与接入终端的MAC地址、IP地址、所在VLAN、接入设备IP、接入设备端口号等信息进行绑定，支持智能卡、数字证书认证，增强身份认证的安全性。

   • 完备的安全状态评估

   根据管理员配置的安全策略，用户可以进行的安全认证检查包括**终端病毒库版本检查、终端补丁检查、终端安装的应用软件检查、是否有代理、拨号配置、U盘审计、外设管理、桌面资产管理等**；EAD客户端支持和瑞星、江民、金山、Symantec、MacAfee、Trend Micro、安博士、卡巴斯基等国内外主流病毒厂商联动，同时为了更好的满足客户的需求，也支持与微软SMS、LANDesk、BigFix等业界高端的桌面安全产品的配合使用。例如已经购买微软的桌面管理工具SMS的用户，EAD可以与SMS配合，由EAD实现终端用户的准入控制，由SMS实现各种Windows环境下用户的桌面管理需求：资产管理、补丁管理、软件分发和安装等。

   • 精细化的权限控制

   在用户终端通过病毒、补丁等安全信息检查后，EAD可基于终端用户的角色，向安全联动设备下发事先配置的接入控制策略，按照用户角色权限规范用户的网络使用行为。终端用户的所属VLAN、ACL访问策略、是否禁止使用代理、是否禁止使用双网卡等安全措施均可由管理员统一配置实施。
   `

   回复

3. 网络准入：正在变，即将变？
   https://www.aqniu.com/vendor/67353.html
   `
   1、终端全面收集，精准定位

   2、零信任安全理念运用
   信任不是一次性的，也不是恒久不变的，需要持续验证。动态访问控制策略，访问决策的制定以每一次重新建立起的信任为基础。

   3、持续监控能力
   现有的网络准入控制系统是“静态”的看设备，设备入网前严格检查，入网后终端就自由通行，即使设备合规状态变化了也无从知晓。面对现在愈发复杂的网络环境和攻击威胁，新一代网络准入控制系统除了强制安全基线合规外，更应加强对终端的威胁检测、行为分析、网络流量分析，实现对终端的情报检测、大数据分析、异常威胁画像，提高对终端安全威胁的检测和发现能力。

   4、联合其他网络安全系统构建纵深防御体系
   传统管理思路的局限性体现在不能完整覆盖终端类型和网络环境，不能统一管理，导致形成安全系统的孤岛建设，不仅管理效率低，还存在安全系统间的安全空隙风险；且终端上将会积累越来越多的客户端，使得终端运行越来越慢，用户体验感变差，运维压力变大。随着技术的新运用，终端准入控制产品将更有效地加强用户终端主动管理能力，并加强与其他网络安全系统的联动，例如与VPN/SDP/EMM-APN/EDR等结合起来，进一步对网络端和终端实现同等保护服务。
   `
   准入认证介绍
   https://support.huaweicloud.com/qiankuncmn-qiankuncs/qiankuncs_cmn_05_0086.html

   回复

4. 《新一代终端安全防护技术应用指南》报告发布
   https://www.aqniu.com/vendor/96523.html
   `
   报告研究认为，新一代终端安全技术应该包括以下典型特征：

   * 体系化：最初的终端防护是针对问题的，出现了哪些问题就产生了针对问题的防护措施，但是当前安全运营是一个整体，终端防护只是其中一个部分，新一代终端防护已经转变为体系化的能力构建；
   * 数据驱动：终端安全防护的目的，已经从防病毒、防入侵转变为防护终端上的数据和应用；
   * 多维度：随着移动设备的普及，新一代终端安全防护需要适应多种终端设备的特点，包括对移动设备的安全保护；同时，新一代终端安全防护需要采用多层次的防护机制，包括物理层、操作系统层、应用程序层等不同层次的安全措施；
   * 智能化：新一代终端安全防护应该借助人工智能、大数据分析等技术，实现对终端设备安全状态的实时监测和风险评估。同时，还应该通过技术手段将终端安全运营的各个环节进行自动化或者半自动化处理，提高运营效率。

   在新一代终端防护技术的整体建设时，可以从防护管理视角、防护措施视角、防护对象视角三个维度进行分析。从防护管理视角看，新一代终端安全防护需要技术与管理融合；从防护对象视角来看，新一代终端安全主要增加了数据防护的维度；从终端安全防护措施的视角看，新一代终端安全防护更加注重全流程的实时防护。

   防护管理视角：
   安全目标、差距分析、安全策略

   防护对象视角：
   * 物理硬件
   * 设备系统
   * 上层应用
   * **数据防护**
   * **网络接入**

   防护措施视角：
   * 威胁防护
   * **监测感知**
   * **应急响应**
   * 处置恢复

   需要特别指出的是，**新一代终端安全能力建设不是独立的，而是需要与整体的安全防护框架及体系紧密融合**。它不仅要保证终端自身的安全，也要保证其他层面的安全。整体的安全防护包括网络安全、应用安全、数据安全等多个方面。在整体防护的基础上，通过对终端设备的加强防护，可以有效防范终端设备被攻击的风险，保障企业的信息安全。

   # 新一代终端安全建设原则

   调研发现，虽然我国企业组织目前的终端安全防护意识方面已经显著提升，但在新一代终端安全防护建设的过程中，依然会遇到种种问题。为了应对挑战，企业在新一代终端安全建设的过程中应该坚持以下原则：

   * 资产全面覆盖：终端安全建设应该全面覆盖企业内部的各种终端设备，包括台式机、笔记本、移动设备等，确保每个终端设备都能得到有效的安全保护。
   * 智能化技术应用：终端安全建设应该引入人工智能、机器学习等先进技术，提高安全防护手段的智能化程度，能够自动学习和适应新的安全威胁。
   * 更加细粒度的管控：终端安全建设应该具备细粒度的安全控制和处理能力，能够对不同的终端设备、应用程序、用户等进行精细化的安全管理和控制。
   * 提升终端可见性：终端安全建设应该采用共享的安全策略和信息，将安全管理和监测信息共享给各个安全防护系统和设备，实现信息的整合和共享。
   * 提高实时响应能力：终端安全建设应该具备实时的安全监测和响应能力，能够在发现安全威胁时及时做出反应，并采取有效的应对措施。
   * 持续优化和改进：终端安全建设应该是一个持续不断的过程，需要不断地更新、升级安全防护手段和技术，以应对新的安全威胁和攻击。同时也需要持续地对终端设备进行安全教育和培训，提高员工的安全意识和素养。
   `

   新一代终端安全防护的挑战与趋势
   https://www.aqniu.com/homenews/96190.html
   https://www.makeuseof.com/endpoint-security-challenges-and-how-to-overcome-them/
   `
   终端是指连接到企业网络系统中的各种计算设备，主要包括了笔记本电脑、台式机、平板电脑、智能手机以及新型物联网终端设备等。如果威胁分子成功利用这些终端设备上的安全漏洞，就可以轻松进入企业网络并非法访问数据资源，造成难以挽回的危害。因此，增强终端安全对于确保整体组织的数字化应用安全至关重要。

   但是，要实现全面的终端安全防护并不容易，企业安全团队在开展终端安全能力建设时将面临以下7大挑战：

   01-缺乏可见性
   02-远程办公
   03-BYOD设备
   04-影子IT
   05-未打补丁的设备
   06-网络钓鱼
   07-USB端口

   研究机构Forrester在其发布的《终端安全管理的未来》研究报告中指出，终端安全防护市场将在未来五年保持快速增长态势。对所有终端设备进行有效的安全防护和管理是保护企业数字化转型安全开展的基础。而组织在开展新一代终端安全防护能力建设时，也需要重点关注以下技术发展趋势：

   01-加大AI技术应用
   02-体系化的终端安全能力
   03-增强用户的应用体验感
   04-以隐私数据保护为中心
   `

   回复

5. 金融行业终端安全面临的挑战及应对策略
   https://www.secrss.com/articles/53502
   `
   终端作为金融行业日常办公、业务处理、系统维护的设备，承载着重要的金融数据。终端是企业外部与内部系统连接的切入点，在严峻的外部网络环境下面临非法访问、病毒入侵、信息泄露等安全风险。随着移动办公、远程办公需求的不断增长，终端安全面临更大的挑战。如何加强终端的安全管理，抵御外来攻击，确保数据得到有效保护是金融行业面临的重要课题。

   金融行业终端安全概述

   金融行业的终端安全管理对象主要包括传统终端、移动终端、业务终端这三类终端。传统终端主要是指台式计算机、笔记本电脑、柜员用于业务操作的柜面终端、人工坐席、生产运维操作终端等，是员工日常办公使用的终端。移动终端主要是指iOS、Android、Windows平板电脑、手机等便携式移动智能终端，是员工处理业务或移动办公的终端。业务终端主要是指现金类自助设备（如ATM）、非现金类自助设备（如自助终端），是对外提供金融服务的设备。

   1、传统终端安全

   传统终端使用范围广、终端环境复杂，是外部攻击的重点对象。传统终端安全管理大体上包括行为安全、数据安全、边界安全、系统安全四大方面，内容涵盖非授权软件管理、互联网访问控制、行为监控与处置、敏感信息扫描、文档加密、数据外发管控、防火墙、漏洞防护、病毒查杀、网络准入、外联及移动存储管控等，详见图一。

   2、移动终端安全

   对于移动终端的安全管理，金融行业普遍基于移动终端沙盒技术实现移动终端安全管理整体解决方案（EMM），通过统一的接入平台和接入标准，实现统一的用户身份认证、设备管理（包括设备注册、使用、注销在内的生命周期管理）、数据加密、数据隔离以及企业应用商店等，详见图二。

   3、业务终端安全

   相对传统终端，金融行业的业务终端网络环境相对封闭，终端上运行的软件也是标准化的。业务终端的安全管控主要为病毒防护、漏洞防护、外设连接管控、网络访问控制等，同时通过定制程序运行界防止桌面暴露给客户,通过软件远程分发系统进行应用程序、系统补丁等的更新，不需到现场进行维护。

   金融行业终端安全面临的挑战

   金融行业经过多年的探索和建设，已逐步建立了适合自身业务发展的终端安全管理体系。但随着计算机技术的发展及攻击手段的提高，终端安全面临着严峻的挑战。从系统安全、边界安全、数据安全三个方向分析，终端安全面临如下挑战：

   （一）网络边界防护不再安全
   （二）被动防御难防外部攻击
   （三）信息防泄露存在安全隐患

   金融行业终端安全应对策略

   （一）加强网络身份认证与访问控制
   （二）提高终端主动防御能力
   （三）提升终端信息防泄露水平
   `

   回复

6. 浅谈企业办公终端的软件管控方法 | 总第205周
   https://mp.weixin.qq.com/s/4rUbS2AU5PzXacILgR_b7w
   `
   基础工作，有资源有人，做好SOP及时oncall，愿意花时间就好搞。其它的情况就具体问题具体分析了（能搞就搞，不能搞就换个方向思路搞其他的，等时机成熟了再搞，没必要为了搞某个项目而搞某个项目，别先把自己搞没了）。
   ==

   话题：大家是怎么管理终端软件的？软件白名单管控有哪些注意点？比如大家是内外网都做，还是只做内网？感觉外网环境太复杂，禁用非白名单软件运行，很影响用户体验？

   A1：软件标准化，按照免费，开源，付费等分类，制定标准。另外一些银行内外网都做，终端连管理员权限都没有，是power user权限。

   A2：跟内外网没关系，直接在终端上定期扫描软件注册的卸载目录与安装目录，发现就直接在内网准入替掉权限。装了就不让上内网或者外网，只做了黑名单，白名单会一直被业务追着添加名单。

   A3：我们自己开了合规软件商店，有需要的软件安装包逐个审核后上架，非商店的软件一律会被桌管拦截，无法运行和安装。也就开始一个月比较手忙脚乱，审核过程去掉一些确实和工作不相干的，其实也没想象工作量那么巨大。

   一些绿色版软件，商店也可以处理这个情况，打印机驱动多可以采取特权模式安装或者改web打印也行。

   Q：白名单软件怎么定出来的，比如一下子对所有终端安装软件拉出来，自己也没法确定哪些是白的，哪些是需要的？

   A4：**通过建立软件商店是最靠谱的软件准入管理。桌面管理本身会收集生成软件资产库，管理员花时间进行批量操作维护，工作量其实不大。软件资产库收集的信息有软件的版本，签名各类信息，是可以有效进行分类和鉴别。**

   A5：等同于权限最小原则，**原则上全部都是黑名单，清单发给各部门领导，审阅后提交汇总清单，运维组一一核实，并确定哪些属于白名单可加到软件商店，其他统统驳回，如有特别需要，需各部门领导签字，运维组对该提议重新复核，检验安全资格再予添加**。桌管白名单管控不会拦截系统自身的进程。

   另外软件黑白名单的控制看公司部门怎么划分职能的，除去基准清单以外的软件白名单控制可以归属到运维，也可以归属到安全。

   A6：我们这是标准的准入机制，软件白名单不单是安全问题，还有软件正版化的考量。要准入的软件必须经过审核和测试，通过后纳入一个准入清单，后续可以通过桌管分发，员工自动选择安装，部分涉及授权点数的需要提单登记，由专门的同事协助安装，用户没管理员权限。

   Q：绿色版软件怎么管控？

   A7：目前解决不好的是绿色版的软件，不过我们会在网关上拦截一道，过滤掉大部分，内部严管。后续考虑推针对绿色软件的进程白名单。

   A8：我们有个软件的catelog，理论上只能安装这些软件。但是有些人有权限就可能安装非标软件，比如自行安装杀毒软件后导致和公司杀毒软件冲突。所以我们封掉很多软件安装的网站，但是微软官方的软件库，没办法封，还是存在一些问题。

   A9：绿色软件主要封有版权的，不可能穷尽的。**最好是回收管理员权限，能减少很多麻烦。**

   A10：**基础工作就是堆人，没啥花头，管得好，服务质量和效率跟得上，就问题不大。**

   A11：采用黑白灰三种：定期发布黑白名单，管控白名单，预警黑名单；灰名单要安全和直线经理审批，还要做沙箱测试。做自动化报表，定期分析。从头开始很重要，开始走了一段时间再来管，很困难，只能先从管理制度上下功夫。

   A12：我们是两个，一个是标准的装机清单，科技统一维护，一个就是员工自己提的非标准入清单，此外不允许其他的了。管理好能省不少麻烦。

   A13：**我们从08年开始，从老板到所有员工都是user权限，之后就少了很多问题。**

   Q：大家桌面权限的管控，是通过加域实现的吗？安装软件如何处理呢？域的安全问题如何解决的？如果不用域，还有什么好的解决方案推荐的吗？

   A14：第一步加域，第二步安装桌面管理及helpdesk。桌面管理的软件商店里的可以自己安装，特殊的写申请，领导审批后，helpdesk安装。

   A15：**收掉管理员应用安装权限后，少很多问题，但是存在临时在非职场环境下安装软件等问题和绿色软件确实管不了。会上黑名单禁止或卸载删除绿色或已安装的非法应用。上网行为辅助封杀外联软件等。**

   Q：加域之后很容易域控失陷被整体拿下的问题如何解决的？

   A16：首先，我认为不容易，更谈不上很容易，我曾经找安全厂家搞对赌，都不敢接活。其次，犹如行军打仗，首领也能被定点处理掉，难道不要首领。

   A17：是不是可以考虑异构的技术方案。域控和桌管有很多共性的。域控有很多敏感操作需要限制使用并做监控，桌管策略灵活很多。另外集权系统的管理要统一规划好。

   A18：看需要实现的管理要求，最好不同方案能相互制约。比如说我们桌面终端使用AD域统一管理，但桌面收回管理员权限，软件安装通过软件仓库，或者helpdesk的手动安装。AD域账号使用做限制，也不给helpdesk，helpdesk使用的本地管理员账号，但这个账号需要定期修改，一机一密。用一些辅助信息做密码片段，比如说资产编号；可以通过脚本自动化设置密码。

   Q：helpdesk一机一密如何维护？

   A19：域内的话使用laps技术可以实现一机一密。laps是微软官方技术，有很多文档。

   A20：如果能持续落地下去，确实可以解决密码dump风险，看桌面运维的意愿，有可能支持的时候要记很多密码，桌面运维可能就不干了。

   A21：都有一机一密的需求了，必然每台pc密码不一致，这么多密码只能使用的时候查询一下，不然哪里记得住啊，可以使用完再轮换一下密码，安全。

   A22：看了一下，这个密码是自动生成的？helpdesk每次登录用户电脑，还要查一下密码是多少？那是不是可以搞个堡垒机，把所有pc的管理员密码都纳管了，利用堡垒机把所有电脑密码都改成随机的，管理员通过堡垒机登录pc桌面，管理员可以不用每次登录pc的时候再找密码。

   A23：堡垒机可能根据IP来维护资源的？pc环境下dhcp IP会变化，而且每个pc相同账户不同密码在堡垒机存储可能也会有问题，域内方便根据主机名走，可以忽视IP，当然了方案很多，laps只是一种，看选择。
   `

   回复

7. Defense Evasion(防御规避)
   https://mp.weixin.qq.com/s/F0asRsaqOMvxHcu70kavZg
   `
   “ 终端对抗向技巧型文章，闭门沙龙精华提炼版。”

   0x01 Static Analysis Evasion(静态文件规避)

   一、检测机制
   * 基于签名的检测：文件hash、特征码、文件名、图标
   * 启发式查杀：导入导出表、API调用链
   * 文件熵分析：文件中字节的熵
   * 元数据分析：编译器、时间戳、数字签名
   * PE节表：PE文件中异常节
   * 机器学习：例如常见的QVM HEUR 202

   二、规避技巧
   * 加密/压缩：使用自实现加密算法
   * 常规方法：
   * XOR
   * Base64
   * AES
   * RC4
   * 针对shellcode的检测
   * 代码混淆：混淆源代码（llvm+pass、ollvm）
   * 控制流平坦化
   * 虚假控制流
   * 指定替换
   * Pass插件
   * LLVM 混淆
   * OLLVM 混淆
   * 字符串加密：避免基于字符串的检测
   * 利用C++模板：constexpr 编译时间字符串加密
   * 动态加载windows api：隐藏导入表

   使用GetProcAddress()/GetModuleHandle()动态获取windows API，隐藏导入表

   * 降低文件熵
   * shellcode 转 English words
   * MAC、IPV4、IPV6、UUID编码
   * 分离加载（远程拉取或突破隐写）
   * 添加大资源文件
   * 加壳：自写壳、商业壳
   * UPX
   * VMProtect
   * Shielden
   * Themida
   * ASPack
   * Enigma Protector
   * 模拟正常文件：签名、文件名、图标、属性信息、资源给Exe或Dll添加签名、图标、版本属性信息、图片、对话框等资源文件，使文件看起来更加合法，以规避启发式查杀以360为例，常规我们编译出来的文件经常爆QVM202，但是当我们添加资源文件后，我们即可绕过QVM202

   * 动态生成
   * 动态生成加密key
   * 动态编译生成文件
   * ……

   0x02 Dynamic Behavioral Evasion (动态行为规避)

   一、检测机制
   * Sandbox：沙箱运行观察判断行为是否恶意
   * 子进程/线程创建：例如监控Cmd.exe、Powershell.exe
   * 敏感高危操作：修改注册表、添加用户、添加系统服务、添加计划任务、提权、获取凭证、截图等等….
   * 敏感目录读写：注册表、自启动目录
   * 进程链检测：监控父子进程间关系判断是否异常，例如word.exe—powershell.exe
   * 代码注入检测：例如远程线程注入、DLL注入等等
   * 网络通信：监控网络流量，分析可能的C2流量
   * API调用：Hook 常见 Windows API

   二、规避技巧
   * Anti sandbox：反沙箱
   * 使用质数运算延迟执行
   * 检测系统开机时间是否大于某个设定值
   * 检测物理内存是否大于4G
   * 检测CPU核心数是否大于4
   * 检测文件名是否修改
   * 检测磁盘大小是否大于100G
   * 判断是否有参数代入
   * Anti VM：反虚拟机
   * 检测进程名
   * 检测注册表
   * 检测磁盘中文件

   * Unhook：从磁盘加载ntdll
   * 通过读取磁盘上ntdll.dll的.text节，覆盖内存当中的ntdll.dll的.text节，达到脱钩的效果

   * Syscall：Direct syscall、Indirect syscall

   * PE in Memory：内存加载
   * 利用 Inline-Execute-PE 在内存中加载运行PE文件
   * 利用 BOF.NET 在内存中执行.NET程序集文件
   * 进程断链：断掉父子进程链
   * 利用模拟运行断链
   * 利用WMIC断链
   * 利用Com断链

   0x03 Memory Scanners Evasion (内存扫描规避)

   一、检测机制
   * 内存扫描：扫描内存查找注入的恶意代码，并检测进程内存空间中的可疑API调用
   * 检测项：进程信息、shellcode特征、堆栈、内存映像

   二、规避技巧
   * 睡眠混淆：hook sleep函数，实现内存加密和解密

   * 总结：堆栈欺骗+内存加密配合使用实战效果极佳，参考Cobalt Strike 4.7的SleepMask

   0x04 Network traffic Evasion(网络流量规避)

   一、检测机制
   * 威胁情报：IP、域名
   * 流量特征：固定通信流量特征

   二、规避技巧
   * 使用HTTPS
   * 云函数
   * 域前置
   * 更改C2、webshell等工具通信流量

   0x05 总结

   抛出沙龙上，交流提出的两个问题。
   * 以后杀软的发展趋势会着重在哪些地方？
   * 以后对抗难点会在哪些地方？

   逃逸技术是和反病毒技术的长期对抗。欢迎各位师傅和笔者沟通交流！
   `

   回复

8. 除了 VPN，还有什么安全方式在外网访问公司资源？
   https://www.v2ex.com/t/1003747
   `
   公司内有个内容管理平台，有些编辑同事想在公司外使用，目前的方式是先连 OpenVPN 。

   但是多数的编辑同事都不是技术，使用 OpenVPN 对于他们来说有点麻烦，有什么办法可以提供类似于 OpenVPN 的安全性但又更简单使用方法吗？

   内容管理平台本身有登录，也已经放在 WAF 后面了，期望的效果是类似于 VPN 一样，未连 VPN 的用户连内容管理平台登录页都发现不了。
   ==

   openvpn 不已经几乎最简单了吗，双击连接然后访问网页就行了。webvpn 、vnc 之类的反而麻烦了呀
   ==
   zero trust
   ==
   HTTPS 双向认证，客户端必须装指定的客户端证书才能打开内容管理平台登录页，这种可以保证没有客户端证书的情况下触发不了业务漏洞。
   ==
   这个我也能理解你的痛点，唯一办法，升级，让上一级的人要求。安全应该是红线
   ==
   你应该想想你做的系统的目的到底是什么？是为了安全还是为了提高效率？如果是为了安全，它必须是一个行政命令才能推的动。如果是为了提高效率，你想在保证安全的情况下实现这个目标，应该对平台本身的安全性下功夫并且寻求安全部门的建议，根据他们的建议去做安全性的改进
   ==
   Best practice: 迁移到 SaaS 平台，开启 MFA ，开放公网访问
   ==
   不要自己做决定，要和上面沟通好。
   我这边有一个开发，自己搞了一个 frp 穿透，在家里用。差点被开掉。
   ==
   最大的问题不是用什么技术方案，而是让管理层认可安全的重要性。
   ==
   专门登录上来回复一下。

   看到楼上都在为 VPN 打抱不平，其实 OP 的问题我也遇到过……
   你说安装个 VPN 真的很难吗？不难，拿到配置后下一步下一步就好了；
   你说安装个 VPN 很容易吗？不容易，“那你能帮帮我吗”。

   根本问题不在 VPN ，而是客户端需要额外配置这一个动作，即使客户端是技术人员，也有那种不会不学不想的人。
   如果换掉 VPN 用另外一个产品也需要客户端做配置的话，没什么意义，他们仍然不愿意。

   幸好 OP 遇到了我，不然你就遇不到我了。

   假设你的业务是 BS 架构
   关键字：nginx + auth + vouch + OIDC
   nginx auth 模块先验证浏览器的 IP ，如果在白名单，直接请求到你的 web
   如果不在白名单，auth 模块请求 vouch ，转给 OIDC 协议的产品；
   OIDC 可以用 okta ，auth0 ，站内有个老哥做了 logto 也很不错，认证方式支持邮箱验证码、用户名密码、短信验证码等等。建议用邮箱验证码，心智负担小；
   OIDC 认证完之后给浏览器发 token ，浏览器再到 nginx 验证 token 后放行，到业务界面，原来怎么登录还怎么登录；
   如果你的 nginx 是付费版本的，可以不用 vouch ，免费版本的 nginx 无法对接 OIDC 所以才需要 vouch

   客户端访问就变成了：
   浏览器访问业务网站 –> 业务最外层的 nginx –> nginx auth –> vouch –> OIDC 登录验证 –> 验证通过 –> 业务登录页面
   整个过程客户端只会看到浏览器多跳了几个网站，多输入一次验证码，我觉得推动起来没啥难度。

   如果实际的业务也是你负责的，你可以做点改动，OIDC 验证完之后到业务那里就不用登录了，不过这是后话，不想改可以不改
   ==

   除了楼上老哥说的 vouch ，oauth2-proxy 也可以实现相同功能
   ==
   其实前面有不少朋友都提到了“零信任”甚至“oauth2-proxy”，但只是提及个名词就作罢，实质上核心都是“访问控制”。

   传统的 VPN 打通了局域网与内网，但如果 ACL （访问控制列表）没做好，一旦工作人员的设备被侵入，公司内网将面临危机，对于入侵者而言就是一览无余。

   「零信任」的核心理念就是八个字：“永不信任、持续验证”。在业界，厂商的简单实现通常就是做好“访问控制”。

   站在应用角度，主要分为以下两种应用场景：

   – Web 代理应用：“编辑想在公司外访问内容管理平台”，如果「内容管理平台」是一个 Web 应用，那么只需在 Web 应用前面的网关加上“认证”机制。当公网上访问 URL 时，未登录用户无访问权限，将被重定向到登录页面；登录后才能访问「内容管理平台」。这解决了「零信任」中的一种场景。

   – 隧道应用：这种场景是将应用隐藏在公司防火墙后面，不对外暴露服务。通常的解决方式是安装厂商提供的客户端（适用于 Windows 、Mac 、Linux 、Android 、iOS ），用户登录后，设备只会和“被授权”的内网应用建立隧道连接。这样，只有授权的人才能知道内网应用的存在并访问到。因为这需要建立隧道才能访问，没有登录的人自然无法发现「内容管理平台」，即使登录了没有权限也是一样，这也是「零信任」能解决的另一种场景。

   综上所述，对于暴露在公网的 Web 应用，我们应只允许“授权用户”访问，并通过网关为当前会话连接赋予“身份”；对于不想暴露在公网的应用，就像传统 VPN 一样，使用隧道技术，只允许与“授权应用”建立连接，当然要比传统的 VPN 做得更好。

   类似 oauth2-proxy 、authelia 这样的开源组件，都是不错的解决方案，但不一定能提供最佳体验。例如，如果有一个 docs 应用隐藏在 authelia 的网关之后，未登录的用户会被重定向到 authelia 的登录页面，但由于 authelia 目前仅支持账号密码、LDAP 方式登录，并不支持主流的 OAuth2.0 、OIDC ，因此在公司层面可能难以推广，这毕竟只是一个开源项目。

   当然还有很多其他方面值得注意，但先就这样吧。
   ==
   不论是啥方案，注意合规，不要自己做决定，这种涉及到重大风险的，请示领导
   `

   回复

9. 深信服SDP零信任工作空间
   https://www.yun88.com/product/4812.html
   `
   学习了解一下类似安全产品应该如何介绍，图怎么画会比较好看，以及厂商想到的一些管控方式和思路，也算是拓展知识面了。

   数据可信：工作空间文件隔离与加密

   数据可信：工作空间网络隔离

   数据可信：沙箱外设隔离

   数据可信：工作空间运行程序管控

   数据可信：工作空间文件导入导出控制和审计

   数据可信：工作空间之剪切板隔离与审计

   数据可信：工作空间屏幕水印、截屏/录屏限制

   身份可信：多种认证方式实现流量身份化

   环境可信：多维度终端环境检测

   环境可信：终端应用进程检测

   环境可信：联动EDR，增强终端环境感知能力（可选）

   权限可信：静态权限管理+动态访问控制

   权限可信：异常访问灰度处置

   业务可信：安全发布，隐藏业务暴露面

   业务可信：安全发布，隐藏业务暴露面 – 第三代SPA

   业务可信：访问行为全面审计

   业务可信：联动SIP，异常威胁实时检测（可选）
   `

   回复

10. question:
    在哪些IT、安全的日志中会同时记录电脑的IP地址、mac地址（或其它可以唯一标识出设备ID的信息）等字段，请全面的列出来并给出解释

    answer:
    在IT和安全领域，一些日志文件会同时记录计算机的IP地址和MAC地址（或其他可以唯一标识设备的信息）。以下是可能包含这些信息的日志类型及其解释：

    1. **DHCP日志**：
    – **解释**：动态主机配置协议（DHCP）服务器日志记录了分配给客户端的IP地址、MAC地址、租约时间等信息。每当设备请求IP地址时，DHCP服务器会记录相关信息。
    – **用途**：用于网络管理和故障排除，帮助管理员跟踪设备的IP地址分配情况。

    2. **网络防火墙日志**：
    – **解释**：防火墙日志记录了通过防火墙的所有网络流量，包括源和目的IP地址、MAC地址、端口号、协议类型等。
    – **用途**：用于监控和分析网络流量，检测和防御网络攻击。

    3. **入侵检测系统/入侵防御系统（IDS/IPS）日志**：
    – **解释**：这些系统会记录检测到的可疑活动，包括源和目的IP地址、MAC地址、攻击类型等。
    – **用途**：用于实时监控和响应网络威胁，保护网络安全。

    4. **交换机和路由器日志**：
    – **解释**：交换机和路由器日志记录了设备连接和数据包转发的详细信息，包括端口状态、MAC地址、IP地址、流量统计等。
    – **用途**：用于网络流量管理、故障排除和安全监控。

    5. **无线访问点（WAP）日志**：
    – **解释**：无线访问点日志记录了连接到无线网络的设备信息，包括MAC地址、IP地址、连接时间、信号强度等。
    – **用途**：用于管理无线网络连接、监控无线网络活动和排除连接问题。

    6. **VPN日志**：
    – **解释**：虚拟专用网络（VPN）日志记录了VPN连接的详细信息，包括源IP地址、MAC地址、用户身份、连接时间等。
    – **用途**：用于管理和监控VPN连接，确保安全访问远程网络资源。

    7. **网络流量分析工具（如NetFlow、sFlow）日志**：
    – **解释**：这些工具记录了网络流量的详细信息，包括源和目的IP地址、MAC地址、端口号、协议类型、流量大小等。
    – **用途**：用于流量监控、网络性能分析和安全事件检测。

    8. **日志管理和分析工具（如SIEM系统）**：
    – **解释**：安全信息和事件管理（SIEM）系统收集、分析和存储来自各种来源的日志，包括上述所有类型的日志。它们可以关联和分析MAC地址、IP地址等信息，提供全面的安全态势感知。
    – **用途**：用于集中管理和分析安全事件，提供实时威胁检测和响应。

    9. **端点检测与响应（EDR）工具日志**：
    – **解释**：这些工具记录了端点设备的活动，包括IP地址、设备ID、MAC地址、用户活动等。
    – **用途**：用于监控和响应端点安全事件，提供详细的设备活动日志。

    10. **网络访问控制（NAC）日志**：
    – **解释**：NAC系统记录了网络访问的详细信息，包括设备的IP地址、MAC地址、用户身份、接入时间等。
    – **用途**：用于控制和监控设备对网络的访问，确保只有合规的设备可以连接到网络。

    这些日志文件在网络管理和安全监控中扮演着重要角色，帮助管理员了解网络活动、检测异常行为、排除故障并确保系统安全。

    回复

11. question:
    包含电脑的设备唯一标识符（类似mac地址）的日志都有哪些？分别有哪些字段，主要用来做什么，请详细解释

    answer:
    包含电脑的设备唯一标识符（类似MAC地址）的日志主要用于网络管理、安全监控和设备追踪。以下是几种常见的日志类型及其字段和用途的详细解释：

    ### 1. DHCP 日志
    DHCP（Dynamic Host Configuration Protocol）日志记录了设备从DHCP服务器获取IP地址的过程，通常包含设备的MAC地址。

    **常见字段**：
    – **Timestamp**: 事件发生的时间。
    – **MAC Address**: 设备的MAC地址。
    – **Assigned IP Address**: 分配给设备的IP地址。
    – **Lease Duration**: 租约期限。
    – **Client Hostname**: 客户端设备的主机名。
    – **DHCP Message Type**: DHCP消息类型，如DISCOVER、OFFER、REQUEST、ACK等。

    **用途**：
    – 追踪和管理网络设备的IP地址分配。
    – 监控网络活动和设备连接情况。
    – 排查网络连接问题。

    ### 2. ARP 日志
    ARP（Address Resolution Protocol）日志记录了IP地址到MAC地址的映射关系。

    **常见字段**：
    – **Timestamp**: 事件发生的时间。
    – **IP Address**: 设备的IP地址。
    – **MAC Address**: 设备的MAC地址。
    – **Interface**: 记录ARP信息的网络接口。

    **用途**：
    – 维护IP地址和MAC地址的映射关系。
    – 监控网络设备的连接状态。
    – 检测和防范ARP欺骗攻击。

    ### 3. 无线接入点日志
    无线接入点日志记录了设备连接到无线网络的详细信息，包括设备的MAC地址。

    **常见字段**：
    – **Timestamp**: 事件发生的时间。
    – **MAC Address**: 设备的MAC地址。
    – **SSID**: 连接的无线网络的名称。
    – **Signal Strength**: 信号强度。
    – **Authentication Type**: 认证类型，如WPA2、WPA3等。
    – **Event Type**: 事件类型，如连接、断开等。

    **用途**：
    – 监控无线网络的使用情况。
    – 追踪设备的连接历史。
    – 增强无线网络的安全性。

    ### 4. 网络交换机/路由器日志
    网络交换机和路由器日志记录了设备通过交换机或路由器的流量信息，通常包含MAC地址。

    **常见字段**：
    – **Timestamp**: 事件发生的时间。
    – **Source MAC Address**: 源设备的MAC地址。
    – **Destination MAC Address**: 目的设备的MAC地址。
    – **Source IP Address**: 源设备的IP地址。
    – **Destination IP Address**: 目的设备的IP地址。
    – **Port**: 通过的端口号。
    – **Event Type**: 事件类型，如流量转发、端口状态变化等。

    **用途**：
    – 监控和管理网络流量。
    – 追踪设备的通信活动。
    – 检测和防范网络攻击。

    ### 5. 认证服务器日志（如RADIUS/TACACS+）
    认证服务器日志记录了设备的认证请求，通常包含设备的MAC地址。

    **常见字段**：
    – **Timestamp**: 事件发生的时间。
    – **User-Name**: 用户名。
    – **MAC Address**: 设备的MAC地址。
    – **NAS-IP-Address**: 网络接入服务器的IP地址。
    – **NAS-Port**: 网络接入服务器的端口号。
    – **Service-Type**: 请求的服务类型。
    – **Result**: 认证结果，如成功、失败。

    **用途**：
    – 记录和审计用户认证请求。
    – 监控设备的认证活动。
    – 增强网络安全性。

    ### 6. 网络入侵检测系统（NIDS）日志
    NIDS日志记录了网络中的可疑活动，通常包含设备的MAC地址。

    **常见字段**：
    – **Timestamp**: 事件发生的时间。
    – **Source MAC Address**: 源设备的MAC地址。
    – **Destination MAC Address**: 目的设备的MAC地址。
    – **Source IP Address**: 源设备的IP地址。
    – **Destination IP Address**: 目的设备的IP地址。
    – **Alert Type**: 警报类型。
    – **Severity**: 严重程度。

    **用途**：
    – 监控网络安全威胁。
    – 记录和分析可疑活动。
    – 提供安全事件的审计轨迹。

    ### 总结
    这些日志类型中的设备唯一标识符（如MAC地址）字段对于网络管理、安全监控和设备追踪至关重要。通过记录和分析这些日志，可以有效地管理网络设备、监控网络活动、检测异常行为并增强整体网络安全性。

    回复

12. 飞连-网络准入场景最佳实践
    https://www.volcengine.com/docs/6427/1278523
    `
    本文旨在为 IT 管理员提供一系列办公网络配置的教程。企业管理员可以借鉴本文内容，根据各自企业的具体需求，定制并实施飞连 Wi-Fi 功能的相关设置。

    # 功能概述

    飞连提供自研 RADIUS 组件完成入网的认证计费对接，可支持对接 802.1X 认证协议的网络设备，保证入网的安全性。此外，对于提高入网便捷性，飞连提供了 Portal 入网方式，摆脱了对飞连客户端的依赖，完成一键入网。
    在飞连管理后台的 Wi-Fi 管理功能中，支持配置企业 Wi-Fi 网络以及有线网络和管理企业内所有员工的办公入网权限。当您根据企业实际办公环境，在飞连中配置好 Wi-Fi 网络或者有线网络后，员工即可在办公网络覆盖范围内通过飞连客户端一键连接办公网络。

    # 场景一：员工一键上网（ 802.1X 认证 ）

    方案一：配置员工 Wi-Fi （无线控制器以 H3C 为例）

    ## 场景介绍
    在数字化办公环境中，企业对网络安全和便捷性的需求日益增长。飞连提供的 802.1X 认证方案，确保网络接入的安全性，并通过简化的一键入网流程，提升员工的工作效率。员工可以通过飞连客户端，在任何办公网络覆盖的地点，快速且安全地接入企业网络。
    本场景介绍了 Wi-Fi 网络 802.1x 认证接入的配置，您需要分别在飞连管理后台以及本地的无线控制器设备中进行配置。

    ## 操作结果
    配置完成后，员工只需打开飞连客户端，一键点击即可连接到企业 Wi-Fi，无需进行繁琐的认证步骤。

    方案二：配置有线网络（交换机以 H3C 为例）

    ## 场景介绍
    在数字化办公环境中，企业对网络安全和便捷性的需求日益增长。飞连提供的 802.1X 认证方案，确保网络接入的安全性，并通过简化的一键入网流程，提升员工的工作效率。员工可以通过飞连客户端，在任何办公网络覆盖的地点，快速且安全地接入企业网络。
    本场景介绍了 Wi-Fi 网络 802.1x 认证接入的配置，您需要分别在飞连管理后台以及本地的无线控制器设备中进行配置。

    ## 操作结果
    配置完成后，员工只需打开飞连客户端，一键点击即可连接到企业 Wi-Fi，无需进行繁琐的认证步骤。

    # 场景二：员工快捷上网（ Portal 认证）

    ## 场景介绍
    为了满足不同企业对网络接入方式的多样化需求，飞连提供了基于 Portal 的入网方案。该方案适合希望保留传统登录习惯，同时提升登录便捷性的企业。通过 Portal 入网，员工可以在连接 Wi-Fi 后，通过一个简单的网页界面完成认证，即可使用网络服务。

    ## 操作结果
    部署 Portal 入网方案后，员工在连接 Wi-Fi 时将自动弹出登录页面。他们可以使用企业分配的账号信息，或者通过短信验证码等方式快速登录，整个过程无需下载客户端。

    # 场景三：访客临时上网

    ## 场景介绍
    飞连为企业提供了一个既安全又便捷的访客入网解决方案，通过区分员工和访客的 SSID，确保了企业网络的安全，同时也优化了访客的上网体验。飞连支持访客入网和员工入网的同时配置，只需要设置不同 SSID 以及后台的对接配置。访客接入飞连访客 Wi-Fi 时，支持多种登录方式：

    短信发送账密，访客无需再手动输入复杂账密。
    员工协助扫码，访客只需要展示二维码即可完成登录。
    短信自助认证，访客输入手机号即可完成自助认证，为访客提供高自由度。

    ## 操作结果
    通过飞连的访客入网配置，访客将能够通过简单的短信验证、二维码扫描或自助认证等方式，快速获得网络访问权限。

    # 场景四：AD 域认证入网

    ## 场景介绍
    为已部署 Microsoft AD 的企业，飞连提供一种无缝的网络接入方案。员工可通过单一 SSID 使用其 AD 域账号和密码接入企业网络。此方案利用 Windows 身份验证组件和协议，将身份验证请求转发至 AD 域进行校验，确保只有完全匹配的账户才能成功认证。

    ## 操作结果
    完成 AD 域账号入网配置后，员工可以使用他们熟悉的 AD 账号和密码，通过飞连系统进行网络认证。

    # 场景五：多地办公统一入网认证

    方案一：将 RADIUS 服务部署在公有云，对外暴露认证与计费端口

    ## 场景介绍
    对于拥有多个办公地点的企业，实现网络入网的统一管理和认证是一个挑战。飞连提供的统一入网认证解决方案，无论是通过公有云部署 RADIUS 服务，并对外网开放认证和计费端口，还是企业各个办公区分别配置无线控制器设备或者交换机，并关联 RADIUS 服务器开放的认证与计费端口，都能够实现入网的统一管理。

    ## 操作结果
    部署完成后，企业将拥有一个集中管理的网络认证系统。无论是通过云部署还是本地部署 RADIUS 服务，员工都能在任何办公地点通过飞连客户端一键入网。

    方案二：将 RADIUS 服务部署在各个办公区

    ## 场景介绍
    在多地办公的企业环境中，确保网络的一致性和安全性是至关重要的。飞连提供的解决方案允许企业在每个办公地点独立部署 RADIUS 服务节点，实现本地化的网络认证和管理。这种分布式部署策略不仅能够降低对中央服务器的依赖，还能提高网络的响应速度和可靠性，确保即使在网络分区或故障情况下，各个办公区的网络服务也能独立运行，保障业务连续性。

    ## 操作结果
    部署完成后，每个办公区都将拥有自己的 RADIUS 服务节点，负责处理该区域内所有设备的认证请求。员工在各自的办公地点使用飞连客户端进行一键入网时，认证请求将直接发送到本地 RADIUS 服务节点，从而实现快速认证和网络接入。

    方案三：将 RADIUS 服务部署在其中一个办公区（内网不互通的情况）

    ## 场景介绍
    在某些企业中，可能由于安全策略或网络架构的限制，不同办公区之间的网络并不互通。针对这种情况，飞连提供的解决方案是在其中一个中心办公区部署 RADIUS 服务节点，并将其认证和计费端口对外网暴露，以供其他办公区远程接入和认证。这样，即使在内网不互通的情况下，也能实现统一的网络认证和管理。

    ## 操作结果
    通过这种配置，所有远程办公区的网络设备将通过安全的 VPN 连接或其他加密通道，将认证请求发送到中心办公区的 RADIUS 服务节点。一旦认证成功，员工便能获得网络访问权限。

    # 场景六：配置主备 RADI US 服务器

    ## 场景介绍
    为了提高企业网络的稳定性和可靠性，在飞连管理后台配置两个 RADIUS 节点，并对应的在本地无线控制器设备（以 Huawei AP3050DE 为例）添加服务器模板并配置主备模式。这种配置可以在主 RADIUS 服务器出现故障时，自动切换到备用服务器，确保网络认证服务的连续性，以增强企业 Wi-Fi 网络的稳定性。

    ## 操作结果
    配置主备 RADIUS 后，企业将拥有更加稳定和可靠的网络认证服务。即使在主服务器发生故障的情况下，备用服务器也能够迅速接管，保证员工的网络连接不受影响。
    `

    回复

13. 可怕！字节的飞连原来真的在后台明目张胆的截屏
    https://www.v2ex.com/t/1050989
    `
    Ubuntu 环境，安装了飞连，但是在界面上把进程退出了，后台任务能杀的也都杀死了，无意通过 htop 看到飞连的一个 screenshot 进程，woc ，可怕。

    正在截屏的进程，然后进目录看了一下，果然有几张 png 图片，打开看了一下，确实是刚刚截取的屏幕，也太流氓了。

    dev@dell:/opt/Corplink/edlp/back_paks/ui$ ls
    1718806963.png 1718806967.png 1718806971.png 1718806975.png

    虽然只保留 4 张，但这几张图片都是在 1 分钟内截取的，看来截屏的频率还挺高。

    真可怕，幸好我这个是虚拟机，平时只是通过 ssh 远程连接来用。奉劝各位小心，不要在安装了此类软件的电脑上做不该做的事情。
    ==

    总结一下各位的留言，结论就是：
    1. 个人设备和公司设备要物理隔离，公司设备确实会被监控。
    2. 如果需要在个人设备安装类似软件，比如远程 vpn 连接，这个设备也会被监控。
    3. 不只是截屏，可能还有其他的，比如网络请求，dns 解析请求，这些都很好实现，飞连就是内置了 dnsmasq 做的转发，它肯定也能监控到域名解析。
    4. 建议不要试图通过技术手段把它关小黑屋，工作无关的事情请转到其他设备。

    ==

    很高兴看到大家都很关心个人隐私，也建议大家把工作和个人设备分开使用。这里还是需要额外说明一下，避免带来歧义：
    本人非字节员工，帖子描述的不是发生在字节。飞连是火山引擎（字节旗下）的产品，为企业客户提供私有化服务。具体安全策略由使用企业管理员自主配置和管理，与字节无关。
    据了解，企业管理员开启DLP（数据防泄露）功能后，会按照一定时间间隔循环截图：
    1. 当截图内容未命中企业设定的敏感数据时，新截图会覆盖旧截图，历史截图会被删除。这些截图只会存在于设备本地；
    2. 当截图内容命中敏感数据时，截图会传到购买服务的企业服务器，由企业进行安全审计。
    ==

    还以为是啥软件呢 企业的合规软件全程录屏+监控加密流量以及保活、无法卸载等等一切都是合理的

    你这种针对合规软件的操作才是有可能违反公司规定的
    ==
    而且有一说一，非公司办公设备开虚拟机安装公司合规软件访问生产网进行工作，这几个 buff 叠加在一起，在任何公司的安全部门都是高危行为。截图取证都是轻的，遇上严格的都是直接冻结公司内所有账户访问权限去合规部门线下签保证书
    `

    回复