内网监控软件的作用，防火墙管不到的那一半：内网横向流转为什么是无审计区

聊企业数据安全，多数方案的注意力都放在出口——上网行为、外发审批、网关拦截。这条线确实该管，但它有个天然盲区：数据根本不出网，只在内网里横向流动的时候，出口设备什么也看不见。

一份报价从共享盘被拷到另一台终端，再从那台终端插U盘带走；一个源码目录在部门间传来传去；一份文档在打印机上输出——这些动作全程没碰防火墙。很多企业上了外发管控之后依然出泄密事件，复盘时发现关键环节都发生在内网流转这段"管不到的一半"里。

这篇就讲这一半：内网横向流转的审计为什么难做、难在哪三处、以及落地时怎么把这块盲区补上。

一、先分清：内网监控到底在看什么

内网环境里值得监控的行为分三类，风险特征完全不同：

第一类：终端本地行为。 文件的创建、修改、删除、打印，软件安装卸载，窗口切换。这是最基础的一层，多数终端管控产品都能覆盖。

第二类：内网流转行为——这是被忽略最多的一层。 共享盘的读写、局域网内跨设备拷贝、内网打印。它的特殊性在于：这些行为的审计责任分布在服务器和终端两侧，只配任何一边都会漏（下一节详说）。

第三类：外设接入。 U盘、移动硬盘接入内网终端。这是内网数据外流的最后一跳，也是管控最成熟的一层——区分存储设备与键鼠、白名单、只读审批，技术方案都很现成。

多数企业第一类和第三类多少都配了，第二类普遍是空白。而且它恰恰是"文件被带走"故事的前半段：U盘插上之前，文件先要在内网里流转到那台能插U盘的机器上。

二、内网流转审计的三个难点

难点一：共享盘审计开在服务器侧，还是终端侧？

正确答案是两侧都要开，且记录的字段不同：

• 服务器侧（Windows文件服务器审计/SACL）：记录"谁在什么时间访问了哪个共享目录"，这是责任认定的锚点。但它的盲区是只看得到访问动作，看不到访问之后文件去了哪。

• 终端侧（Agent审计）：记录"这份文件到了这台机器之后发生了什么"——另存、再拷贝、打印、上传。

只开服务器侧，你知道有人拿了文件，但不知道文件之后去了哪；只开终端侧，你能看到文件流动，但不知道最初的访问是否越权。两侧日志用"账号+时间+文件路径"关联，才构成完整链条。

难点二：跨设备拷贝，责任记在谁头上？

A机的账号通过共享盘把文件拷到B机，B机上操作的是另一个人——这条记录算谁的？

实务上的处理原则：服务器侧记录发起访问的账号（A的账号），终端侧记录落盘的终端和当时登录的账号（B机/B的账号）。 追责时两端都能定位：发起方看服务器日志，接收方看终端日志。这也是为什么日志字段必须包含账号、终端名、源路径、目标路径四要素——缺任何一项，这类场景就断链。

难点三：内网传输靠什么识别？

服务器侧审计覆盖的是共享盘这条路径，但内网传输还有别的形态：终端之间直接 SMB 互拷、即时通讯软件走内网服务器中转、甚至飞鸽这类局域网传输工具。

• SMB 层的传输，可以在交换侧做流量镜像识别，但只能看到"有大流量传输"，看不到文件内容与归属；

• 终端 Agent 可以在文件读写层面记录每一次跨目录、跨主机的拷贝，颗粒度到文件。

结论是同样的：网侧定位范围，终端侧定位内容。 单靠任何一边，内网流转就还是雾里看花。

三、审计和管控：不是二选一，是有先后

很多企业纠结"上监控会不会太严"。这个纠结的前提就错了——审计和管控是两套能力，，集合这两套能力为一体的域智盾系统，正确的用法是有先后的组合：

先审计，后管控，中间隔两到三周。

• 审计阶段只记录不拦截，拿到三样东西：谁在频繁访问核心共享盘、内网横向拷贝的真实规模、哪些终端在反复插拔外设；

• 拿这份真实清单去配管控策略：高频访问核心目录的岗位收紧、几乎不用共享盘的部门保持只审计；

• 管控上线后继续保留审计，作为策略效果和误拦截的观测手段。

直接上管控而没有审计阶段的企业，几乎都会经历"业务投诉→全线放开→管控形同虚设"三连。顺序本身就是成功率。

四、日志的价值判断：无效日志等于没有日志

内网监控最终交付物是日志，但日志质量天差地别：

无效日志只有"设备上线/下线"这种事件。真出了事，你只能知道"那天网络是通的"，其他什么都还原不了。

有效日志至少带四个字段：账号、终端、时间、文件路径（外加操作类型和源/目标位置），就比如域智盾系统的。检验标准很简单：随机挑一条日志，能不能不查任何其他资料就回答"谁、什么时候、对哪个文件、做了什么"。 答不上来，这套日志在溯源场景下约等于零。

另外两个实务点：

• 告警必须降噪。如果每次共享盘访问都告警，一周之后管理员就不看告警了——真实风险会淹没在噪声里。只对"非工作时段批量访问""短时间高频拷贝""陌生终端访问核心目录"这类模式告警。

• 留存与权限。日志留存按《网络安全法》不少于六个月，等保2.0对审计记录另有保护和备份要求；同时日志查看与删除权限必须分离——能查日志的人不该能删日志，否则审计记录本身成了风险点。

五、落地：还是那句话，由点到面

具体步骤之前讲过多篇（资产梳理→划范围→差异化策略→试运行），不重复。只强调一个和"内网流转"直接相关的要点：

第一步盘点时，把"核心共享盘清单"单独列出来。

哪些服务器上放着核心资料、哪些目录是跨部门共享的、各自由谁负责——这张清单是内网流转审计的靶心。没有它，终端侧审计开着也只是记流水账，不知道哪些记录值得看。

写在最后

外网出口的管控这几年的普及度已经很高，内网横向流转才是多数企业还没有的那块板。它不出现在流量报表里，不出现在上网日志里，但泄密事件的关键环节经常就在这里。

评估内网监控方案时，别只问"能不能管U盘、能不能看屏幕"，多问一句："内网共享盘的读写、终端之间的文件拷贝，你们的日志能记到什么程度、两侧怎么关联？" 这一问，基本能分出方案的高下。

责编：璇玑