像类似华为这样的公司如何控制在公司/员工电脑上监控文件不外泄的？

[godall]

难道电脑不允许上网？如果允许上网的话，现在网站都是 SSL 加密的，根本监控不到传了什么数据啊，最多访问哪个 IP 地址。

[coolcoffee]

DLP 会给监控的电脑装根证书，自动给 Chrome 装扩展，我想这个应该足够用了吧。

[hijoker]

@bolide2005 华为我知道成研所这边 2015 年(应该比这个早)普通正式员工都有外网权限(有些网站还是不行,比如: 网盘类),不需要特殊申请

[hijoker]

@codeRhythm 研发普通员工都是桌面云了, 大量的台式机在研发部门是真没见到

[xmoiduts]

听说哪家有非授权 ap （ wifi 热点）自动干扰功能来着，所以手机开热点也……

[loveWilliam1314]

不是华为的，但是用的华为提供的软件，叫什么 TSM，我觉得挺难受的。具体说下吧，入职的时候会给软件，必须在内网下安装，安装之后重启。重启之后呢，你电脑就不是你的了。首先，不能安装腾讯部分系列（ QQ 开头都不行什么 QQ 音乐，QQ 影音全部 gg，QQ 飞车也是），然后网页上的邮箱网址通通都无法访问，git hub 跟码云这类开源仓库也无法访问，然后你用 tim 的话，消息会延迟好久，微信也是一样，全部延迟，图片有些会被拦截。然后网盘能进去，但是你分享的文件的链接对面接不到，虽然给了秘钥依然进不去（最近才发现的） 然后蓝牙，热点这些都无法打开（自动关闭服务，开启要停软件重启电脑，我电脑重启黑屏但是外接显示没问题，如果重装系统不装那个垃圾监控软件就 OK，原因不止网上无解，就是重启屏幕无法点亮只能关机再开机），如果你要插 u 盘会 win10 会直接蓝屏，就那个崩溃页面，插手机即使充电也是直接蓝屏，但是如果你用 hub 再接键盘鼠标没问题，单插口也没问题。win10 的自动更新不受影响，最近还发现 tim 有段时间特别吃 cpu，直接未响应。工位上有监控，平时摸鱼没事。但是千万别举起手机拍屏幕，哪怕扫码都不行。 嗯，保密这个蛮重要的

[loveWilliam1314]

@loveWilliam1314 再补充一下，要弄复杂度密码，有限定就是电脑里边改下电脑密码策略然后设置不低于 8 位的密码，然后电脑离开要自动锁屏，而且还要设置不低于 3 分钟的自动锁屏。然后好像没了，不过手机开热点这个没问题，嘻嘻嘻。

[lostpg]

一路看下来应该大家都没在华为待过。。。

[Weixiao0725]

笔记本的话我链接自己手机上的移动网络行不行

[ladypxy]

@godall 你说的华为云终端就是 Citrix 套皮……

[xfelix]

DLP 不止部署在网关处，电脑 /服务器终端都会装客户端，防火墙，web 代理，邮件服务器上可以装 DLP 插件。
装了客户端，不管你 ssl 加不加密都不重要了。
通过 web 代理上互联网，证书是企业内部签发的，你必须信任，所以 web 代理能看到你所有上网行为，包括 https 的网页。有些企业做的人性一点，不去替代 gmail，hotmail 邮箱以及银行站点的证书。但是仍可以通过 http 的 post 和 get 来禁止你贴附件等操作。如果实在防不了，就把这些站点封了。
DLP 的好处是，老大可以定义哪些关键字是敏感信息，一旦查到网页内容，邮件等监控的通道流出了这些敏感词，就会屏蔽或者告警。最典型的是识别信用卡卡号。
另外 office 的文档也有自己的权限管理，你把一个设置了权限的文档发给指定的人，只有他登录他的账号才能打开或打印等授权操作，其他人就算拿到了文件也打不开。
信息泄露最难防的不是公司电脑设备，而是个人的手机照相机等摄屏。虽然有些水印技术可以追查，但是信息还是漏出去了。

[wangyuescr]

不请自来 ，说说之前在 wh 未来科技城软通 hw 项目，
进去有安检(排除 U 盘等存储介质)，到每个对应的工作区还有个安检(有些工作区不能带手机进去的)。
本地电脑 USB 口封住，整个主机有个上锁箱子。
小组组长给你申请邮箱和华为云主机(跑 IDE 没问题，eclipse 没问题)
账号密码，这个时间倒还好，申请门禁卡基本接近两周，所以面试过了签了合同前两周干坐着很正常。
屋里遍布摄像头，就算你的工作区可以带手机进去，也要避免手机正对电脑屏幕。
人离开电脑必须锁屏，必须有锁屏密码。
总之，甲方防你乙方也防你。

[futandrew]

听说华为用自己造的系统？从根源阻止？🙃

[avalanchecoke]

为什么都是在讨论 HW 怎么监控。且不说什么公司，作为员工，在任何公司，难道不是保证公司利益，敬业负责吗？如果不满意，不开心，不应该换工作吗？

[nefuer]

加密证书，公司通过第三方也是可以改的。

看看 V2EX 的证书在我司是什么样的吧。 表面是 ssl/https， 其实对公司来说就是明文随时都可以解密。

-----BEGIN CERTIFICATE-----
MIIECTCCAvGgAwIBAgIQXhv9ApADPV3SZEA8iRxurzANBgkqhkiG9w0BAQsFADCB
ijELMAkGA1UEBhMCVVMxEzARBgNVBAgTCkNhbGlmb3JuaWExFTATBgNVBAoTDFpz
Y2FsZXIgSW5jLjEVMBMGA1UECxMMWnNjYWxlciBJbmMuMTgwNgYDVQQDEy9ac2Nh
bGVyIEludGVybWVkaWF0ZSBSb290IENBICh6c2NhbGVyLm5ldCkgKHQpIDAeFw0y
MDAxMTExNjAxMjJaFw0yMDAxMjUxNjAxMjJaMGAxCzAJBgNVBAYTAlVTMQswCQYD
VQQIEwJDQTEWMBQGA1UEBxMNU2FuIEZyYW5jaXNjbzEZMBcGA1UEChMQQ2xvdWRG
bGFyZSwgSW5jLjERMA8GA1UEAxMIdjJleC5jb20wggEiMA0GCSqGSIb3DQEBAQUA
A4IBDwAwggEKAoIBAQDEomCNYtE0kWO7sp2CTIK0HkiNjZzwFPwN+DpRnU8PJCY2
rk3W5TPVOtnZB9wNOxkk6A0mnEqcyP8CBfgf7d0xUeRDVYvqbOFRz7Cs7ZHOOVq9
tmClOJY/Xr6wMW2JYPlG+zd0DWU3E0Sl8E2GEEj3L5yLQotZZmcIwwHi+dzr9jbD
uP32p0nfqI1NZSZCADraJiQBFApqJDpxQcvnGNQr/GmqmAm8cGUriC4G6ZCA1Cbh
ldctjaBt9GrX18752DByXPjZtTx0VKK9hTa49eTMgOLVG1yg6gY7iI/6K5lOLwsZ
UW4VMajPxDsEn4eveHrgYAQ5ylwdJt3PQ+DZzF+FAgMBAAGjgZMwgZAwHwYDVR0R
BBgwFoIIdjJleC5jb22CCioudjJleC5jb20wHQYDVR0lBBYwFAYIKwYBBQUHAwEG
CCsGAQUFBwMCMAwGA1UdEwEB/wQCMAAwQAYDVR0fBDkwNzA1oDOgMYYvaHR0cDov
L2dhdGV3YXkuenNjYWxlci5uZXQvenNjYWxlci16c2NybC0tNC5jcmwwDQYJKoZI
hvcNAQELBQADggEBAJVTJ/2ceZ/d73JOHlo/UV+cCdjP9fgArSM1rYlKI8QfZvUJ
GwTXUwjZSspxAaLvyp7BDwhHXZj5OTLKlyV1/bQE97QDjpBLxnwJn3Q1jF5tHopJ
a+0jXax3xG9l6PgW41RqjHgMTzB5DgcUYXMwdDcWgfHGtwj4ozHIcAs1e7eVHJNM
Zj11T29qwxx1GxgtyzNKjMBw44RimUap3gr80iydV3S0jRYRANxgfvlYPpWDtT3m
Efpxnh44POqsneliKNPGjK0BPe8Fq2lRU2h6uBMruBsnHS9IVYYsw7xJuzCQbfqI
M+CMVP4bFKaYrsqSMdnOtowZaehpAhqpK7I8tqw=
-----END CERTIFICATE-----

[aosailuolierwang]

17 年的时候，我跳槽到一个飞行模拟器公司，入职前几天给我培训，然后资料都在办公室电脑上，我寻思要好好学习，想把资料拷贝到 U 盘晚上回去多看看，然后 U 盘刚插上没有几分钟，安全管理处开门进来俩人直接到我工位旁，问我拷贝的什么，然后把我 U 盘没收后，把我领导和我一起叫走，我领导一个劲儿地给我辩解说新来的新来的还在接受培训，后来就是邮件通报+公司内网通报。

[avrillavigne]

忘了 ali 的事了吗？ 最初听说水印是 ali

[FFFire]

直接监控你键盘屏幕啊

[openbsd]

@bolide2005 #22
这个早看过不能防拍摄吧 ？

[bolide2005]

@openbsd #76

那个答案其实就是介绍一种思路，也不是论文，但是原理上不能排除类似的可以对抗拍照的方法

[openbsd]

@godall #28
这种太弱鸡了，早年见过比较底层的监控是直接截屏
判断屏幕上有变化的时候就截一幅图，然后保存一个时间段内容最多的图写入存储