核心上网行为技术配置规范

核心上网行为技术配置规范

（一）身份认证与用户分组配置

所有终端接入企业网络访问互联网必须开启强制身份认证，禁止匿名上网，实现“人、终端、账号”一一绑定，精准定位上网行为主体。支持多种认证方式组合，包括企业AD域账号同步认证、静态IP绑定认证、MAC地址绑定认证、短信认证、Portal网页认证等，根据办公场景差异化配置。基于岗位、部门、权限、工作属性进行用户分组，分为管理层、普通办公组、技术运维组、访客组、外包组、生产辅助组等，不同分组配置差异化上网权限，严格落实最小权限原则。访客网络单独配置独立认证与管控策略，仅开放基础上网权限，禁止访问内网业务系统，杜绝访客违规操作风险。

（二）网站内容过滤配置

依据ISO27001风险管控要求，开启全网网站分类过滤功能，依托设备内置权威网址库，对高危、违规、非工作类网站进行精准拦截封堵。强制屏蔽色情、赌博、毒品、暴力恐怖、非法舆情、钓鱼诈骗、私服外挂、违规影音等高危违法网站；严格限制短视频、直播、娱乐游戏、购物论坛、娱乐资讯等非工作类网站的办公时段访问权限。采用“黑名单+白名单”双重管控模式，通用场景默认拦截高危网站，特殊涉密、高安全等级办公区域启用网站白名单机制，仅允许审批通过的业务网站访问，彻底杜绝违规上网行为。同时开启网页内容关键字过滤，拦截包含敏感词汇、违规言论的网页访问与搜索行为。

（三）互联网应用管控配置

全面管控各类互联网应用与网络协议，精准识别主流社交软件、影音软件、游戏软件、网盘下载、P2P传输、远程工具等应用，实现精细化权限控制。办公时段严格禁止网络游戏、影音播放、直播平台、私人网盘、迅雷等P2P高速下载工具的使用，防止占用大量网络带宽、影响办公网络稳定性。规范社交软件使用，仅开放工作必需的办公通讯工具权限，限制私人社交软件文件外发、外链分享、批量传输文件等高危操作，防范企业数据泄露。针对远程运维工具、翻墙软件、代理工具进行严格封堵，杜绝员工私自翻墙、违规外联，规避网络安全合规风险。所有应用管控规则标注适用人群、生效时段、管控原因，做到有据可依、可查可溯。

（四）流量带宽与上网时段管控

为保障核心业务网络稳定运行，配置精细化流量管控策略，对不同用户组、不同应用类型进行带宽限速与流量配额限制。核心业务应用、办公办公软件优先保障带宽，非工作类应用严格限流限速，避免大流量下载、视频播放挤占业务带宽。设置单终端**上下行流量阈值，防止单终端独占网络资源，实现网络资源均衡分配。同时配置上网时段管控策略，严格区分工作时段、休息时段、非工作时段权限，工作时段严控娱乐类上网行为，非工作时段可适度放宽管控，但持续保留审计记录，杜绝夜间违规外联、私自操作等风险。针对节假日、加班场景可配置临时权限策略，全程留存审批与配置记录。

（五）上网行为审计与日志配置

严格遵循ISO27001:2022 A.8.32日志审计要求，开启全量上网行为审计，完整记录所有终端的上网日志，包含访问网站域名、访问时间、访问时长、搜索内容、应用使用记录、流量使用情况、文件上传下载记录、外联访问记录、违规拦截记录等全部信息。日志留存时长严格执行不少于12个月的合规标准，禁止私自删除、清空、篡改日志数据。所有上网行为日志统一接入企业SIEM审计平台或本地日志服务器，实现集中存储、统一分析、可视化展示。系统自动生成上网行为报表、违规行为统计报表、流量分析报表，安全与运维人员每月开展上网行为专项审计，排查违规上网、异常流量、高危外联等风险，形成审计报告并归档留存，满足事件追溯与合规核查需求。

（六）违规行为告警与处置配置

配置智能违规告警机制，针对高频访问高危网站、私自使用翻墙工具、大流量异常传输、非工作时段违规上网、批量文件外发等异常行为，实时触发短信、平台弹窗告警，及时推送至运维与安全管理人员。同时配置自动化处置策略，对严重违规行为自动阻断网络访问、冻结终端上网权限，同步记录违规台账。建立违规行为处置机制，针对审计发现的违规上网行为，及时核查、整改、通报，形成“发现-告警-处置-复盘-优化”的闭环管控流程，持续规范全员上网行为。

五、策略变更与运维管理

上网行为管控策略的新增、修改、删除、权限放宽、临时放行等所有变更操作，必须执行标准化审批流程，由申请部门提交变更申请，说明变更场景、生效周期、风险影响，经网络运维部、信息安全部审核通过后方可实施，严禁私自修改策略、临时违规放行。策略变更完成后需进行功能测试与风险验证，确认不影响业务办公、无安全漏洞，同步更新策略台账，记录操作人、操作时间、变更内容、审批信息。每季度开展一次上网行为策略全面梳理，清理冗余、过期、无效策略，优化不合理管控规则，结合新型网络应用、新增风险场景更新封堵库与过滤规则。同时定期升级设备特征库、应用识别库、网址分类库，保障设备识别精准度与管控时效性。

六、国内主流上网行为管理品牌推荐

结合企业ISO27001合规需求、不同规模企业组网场景、设备稳定性、审计合规能力、售后运维能力，推荐国内主流合规上网行为管理品牌，适配大、中、小型各类企业：

1. 深信服（SANGFOR）AC上网行为管理：国内市场占有率领先，适配中大型企业、集团公司、涉密单位，具备完整的上网认证、应用管控、内容过滤、流量整形、全量日志审计功能，日志留存、行为追溯完全适配ISO27001合规要求，支持终端一体化管控、数据防泄漏联动，特征库更新及时、应用识别精准，可视化审计报表完善，是企业合规内审、等保、ISO体系认证的主流选型。

2. 网康（NetentSec）上网行为管理：专注网络行为管控领域，网址分类库、应用识别库全面，管控精度高，审计日志规范，适配政企、事业单位、中小型企业，设备稳定性强，操作简洁，合规性贴合国内网络安全标准，性价比突出，适合常规办公网络合规管控场景。

3. 启明星辰上网行为管理系统：安全属性突出，融合威胁检测与上网行为审计，可联动防火墙、IPS等安全设备形成一体化防护体系，适配对安全等级要求较高的生产企业、金融、政企单位，完美匹配ISO27001风险管控与合规审计要求。

4. H3C（华三）上网行为管理网关：适配中小企业、园区网络、分支办公场景，设备集成度高、稳定性强，具备完善的用户认证、流量管控、行为审计功能，兼容性好、运维简单，适合轻量化ISO27001合规落地，兼顾实用性与合规性。

5. 锐捷、TP-LINK企业级上网行为网关：主打高性价比，功能轻量化、部署便捷，适配小微企业、小型办公网点，可满足基础上网管控、行为审计、合规留痕需求，适合小型企业初步落地ISO27001上网行为合规管控。