先说个真事
有个算法工程师提了离职，走流程那两周，每晚十点后把核心算法打包传私人网盘。
竞品三个月后上线同款功能，老板才回过味来去查。官司赢了，可产品窗口也黄了。
这事如果当时内网有监控，本该在第几天就被看见？
下面顺着时间线拆一下，局域网监控软件到底能在哪一层拦住这种事。
第一天：屏幕和录像能看见"在干什么"
局域网监控最基础的一层是屏幕。
现在主流用 Windows 的 DXGI Desktop Duplication 接口抓帧，不侵入具体应用、CPU 占用也低，既能实时看屏幕，也能按策略录成片段存着。
实时屏幕适合管理员巡检，录像片段适合事后取证，两件事分开用。
老周那两周每晚十点后的"打包压缩、登录网盘、拖文件上传"动作，在屏幕墙上是一眼能看出反常的。
这里看的不是文件内容，是"这个时间点、这台机器、这个人在干不像正常工作的事"。
第三天：网页和文件留痕能拼出"传了什么"
光看屏幕不够细，得上层审计。
上网行为审计能记下访问了哪些站点、对外传了多大文件；
文件操作审计靠在文件系统过滤框架（minifilter）里挂一脚 I/O 请求包（IRP），谁在几点复制、改名、压缩、删了什么，无感地全留痕，又不拖慢业务。
老周把代码目录打成压缩包、拖进网盘上传页的那几步，在文件操作日志里是连成一条线的。
这一步拼出来的，就是他动了哪些代码、往哪传，比屏幕录像更精确。
第七天：流量基线和敏感词该报警了
再往上是异常检测。
网络流量审计抓 NetFlow 级的五元组（源、目的、端口、协议、字节数），给每台机器建"日常流量画像"，用统计方法判异常；
一旦某台机器夜里外发流量陡增、或连了陌生外网，基线就破了。
再叠敏感词或文件指纹（相似度匹配，防改名绕过）匹配，该触发实时告警。
老周连续两周的夜间大流量上传，到第七天早该弹告警。
可惜他们没这块能力，等竞品上线才发现，代价是整段窗口。
这套能力现在大多已模块化
屏幕采集、上网和文件审计、流量基线、敏感词报警，这些在不少终端安全产品里已是标准模块。
关键不是装了摆着，而是把它们串成"能实时看、能事后查、能异常报警"的闭环，规则讲清楚员工才服气，HTTPS 解密这类动作务必合规公示。
回到那个深夜
老周的故事里，老板赢的是官司，输的是窗口。
如果当时开着屏幕录像，第一天就能看见反常；
如果开着文件操作留痕，第三天就拼出传了什么；
如果开着流量审计，第七天第一次上传就该报警。
监控拦不住人心，但能让你在"还没上竞品"之前就发现问题。
责编：小赵
