局域网监控软件能看到什么、管到什么？——从资产、行为到出口的三层落地

温州一家做低压电器的工厂，厂区三栋楼、两百多台电脑，IT 只有两个人。

去年一批新品参数出现在同行展台上，倒查时才发现连网设备清单都对不全：测试机没登记，车间那台电脑说不清是谁在用。

设备先要看得见，行为才管得住。

安企神这类终端管理平台把资产、行为、出口放在同一套客户端里，好处是数据能互相印证；代价是没装客户端的老旧设备仍在视野之外。

一、第一层：先把网里有什么点清楚

局域网监控的第一个动作不是看屏幕，是出清单。

1. 全网资产扫描。 对指定网段发起扫描，把在网的电脑、服务器、打印机、摄像头、路由器逐台列出来，主板、内存、硬盘这些配置信息一并记录。
2. 设备台账。 扫描结果沉淀成台账：哪台机器、什么配置、挂在哪个部门、由谁在用。台账给出的"应该有什么"，是后面判断异常的参照。
3. 软硬件变化报警。 内存被拆走、硬盘被换、多插一块网卡、系统被重装，这类变化会被记录并报警。它管的是"清单之外多出来的东西"。

清单不全，后面所有记录都对不上人。这一层是地基，不是可选项。

二、第二层：知道设备上在干什么

有了清单，问题从"有什么"变成"在干什么"。

1. 程序使用记录。 哪个程序、什么时候启动、运行了多久。研发机一整天挂在绘图软件上，和挂在游戏上，记录是两个样子。
2. 上网记录。 网站浏览、搜索关键词、上传与下行动作。查资料和刷视频都会产生流量，区别在访问了什么站点、在哪个页面停了多久。
3. 文件操作记录。 新建、修改、重命名、复制、移动、删除、打印按时间轴排列，源路径和目标路径都在案。哪份文件从哪个盘挪到了哪个共享目录，查得到。
4. 屏幕与画面。 实时屏幕、屏幕录像、屏幕快照。录像按日期归档，事后回放不受终端开关机影响；快照按间隔自动留存，长页面可以滚动、放大看清。

文字记录和画面是互补的：日志回答"做了这个动作"，画面回答"做的是什么内容"。

三、第三层：把出口收住

看得到不等于管得住，这一层解决"拦不拦得住"。

1. 外设与移动存储。 U 盘按禁用、只读、只写、加密四种模式按岗位下发：车间测试机设只读，U 盘里的程序能读进来、机器里的文件拷不出去；财务和档案岗位只认登记过的 U 盘。蓝牙、光驱、串口、无线网卡一并纳入管控，插拔动作留记录。
2. 上网与程序。 网站与程序黑白名单按部门下发，研发放开技术站点、行政限制娱乐站点；违规进程一运行就报警。
3. 网络出口。 终端防火墙按 IP 和端口设规则，只放行业务服务器和指定端口，其余走不通；私接手机热点、连接外部 WiFi、双网卡切换这类绕行会被识别，触发后告警并可联动断网、锁屏。
4. 流量。 按主机和按程序限制上下行带宽，给持续拉取类程序单独设限，核心业务不被挤掉。

三层合起来回答的是一个具体问题：这台机器上，什么出得去、什么出不去。

四、第四层：让记录能拿出来用

记录埋在系统里没有意义，需要的时候调得出来才有价值。

1. 集中与加密。 审计日志集中存储、加密保存，按部门、按人、按时间段调取。
2. 报表。 上网行为、资产变更、违规事件按维度生成报表，检查或追责时直接导出。
3. 查看权限分级。 日志查看按管理端账号分级，部门负责人只看本部门，跨部门调阅交给更高权限，避免审计记录自己变成新的泄露口。
4. 远程处置。 远程协助、远程分发文件、远程卸载、远程开关机，出了问题不用跑到现场。

做到这一步，一套局域网监控才算闭环：进来有台账，过程有记录，出去有闸门，事后有材料。

五、落地时容易做反的两件事

1. 先管后看。 台账没建就急着禁网禁 U 盘，规则一定误伤——分不清哪些设备、哪些岗位属于正常业务，被停掉的往往是最需要干活的那批机器。
2. 只堆记录不分权。 日志成了所有人的公共抽屉，审计材料反而变成新的风险点。

局域网里真正稀缺的不是监控手段，而是"网里有什么、谁在动、动到哪儿去了"这三个问题能不能一次答清。

责编：小赵