上网监控软件记录的不只是访问了哪些网址，它要回答的是三件事：谁在用什么、占了多少带宽、有没有往外传东西。
这三件事分别落在行为记录、带宽分配和外发管控上，功能侧重不同，实际使用中容易看混。
这几层若各自独立配置，最容易出现的状况是规则互相打架，带宽策略限制了某个程序，外发策略又把它放行。
安企神这类上网行为管理工具的选择是收进同一套策略、按部门下发，代价是策略表会变得很长，改一条要顾及与之关联的其他条目。
下面按三层展开。
一、第一层：行为记录，先把情况看清
记录是后面所有判断的基础。
这几类记录合起来，才能拼出完整的对外沟通图景。
二、第二层：带宽与流量，把资源分配开
网慢往往是少数程序占用了大量带宽，不看进程就看不出问题在哪。
只做整机限速会把业务流量一起压下去，按进程区分才能做到该用的照常、不该占的受限。
三、第三层：网站过滤与违规外联
前两层是看清和分配，这一层才是拦住。
违规外联这一类的意义在于，终端一旦脱离内网，加密和审计都可能失效，及时发现比事后追查更管用。
四、三层的配合关系
三层不是并列堆叠，而是有先后顺序的。
#mermaid-svg-aPVIRl96TMhCkC5n{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-aPVIRl96TMhCkC5n .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-aPVIRl96TMhCkC5n .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-aPVIRl96TMhCkC5n .error-icon{fill:#552222;}#mermaid-svg-aPVIRl96TMhCkC5n .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-aPVIRl96TMhCkC5n .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-aPVIRl96TMhCkC5n .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-aPVIRl96TMhCkC5n .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-aPVIRl96TMhCkC5n .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-aPVIRl96TMhCkC5n .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-aPVIRl96TMhCkC5n .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-aPVIRl96TMhCkC5n .marker{fill:#333333;stroke:#333333;}#mermaid-svg-aPVIRl96TMhCkC5n .marker.cross{stroke:#333333;}#mermaid-svg-aPVIRl96TMhCkC5n svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-aPVIRl96TMhCkC5n p{margin:0;}#mermaid-svg-aPVIRl96TMhCkC5n .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-aPVIRl96TMhCkC5n .cluster-label text{fill:#333;}#mermaid-svg-aPVIRl96TMhCkC5n .cluster-label span{color:#333;}#mermaid-svg-aPVIRl96TMhCkC5n .cluster-label span p{background-color:transparent;}#mermaid-svg-aPVIRl96TMhCkC5n .label text,#mermaid-svg-aPVIRl96TMhCkC5n span{fill:#333;color:#333;}#mermaid-svg-aPVIRl96TMhCkC5n .node rect,#mermaid-svg-aPVIRl96TMhCkC5n .node circle,#mermaid-svg-aPVIRl96TMhCkC5n .node ellipse,#mermaid-svg-aPVIRl96TMhCkC5n .node polygon,#mermaid-svg-aPVIRl96TMhCkC5n .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-aPVIRl96TMhCkC5n .rough-node .label text,#mermaid-svg-aPVIRl96TMhCkC5n .node .label text,#mermaid-svg-aPVIRl96TMhCkC5n .image-shape .label,#mermaid-svg-aPVIRl96TMhCkC5n .icon-shape .label{text-anchor:middle;}#mermaid-svg-aPVIRl96TMhCkC5n .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-aPVIRl96TMhCkC5n .rough-node .label,#mermaid-svg-aPVIRl96TMhCkC5n .node .label,#mermaid-svg-aPVIRl96TMhCkC5n .image-shape .label,#mermaid-svg-aPVIRl96TMhCkC5n .icon-shape .label{text-align:center;}#mermaid-svg-aPVIRl96TMhCkC5n .node.clickable{cursor:pointer;}#mermaid-svg-aPVIRl96TMhCkC5n .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-aPVIRl96TMhCkC5n .arrowheadPath{fill:#333333;}#mermaid-svg-aPVIRl96TMhCkC5n .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-aPVIRl96TMhCkC5n .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-aPVIRl96TMhCkC5n .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-aPVIRl96TMhCkC5n .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-aPVIRl96TMhCkC5n .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-aPVIRl96TMhCkC5n .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-aPVIRl96TMhCkC5n .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-aPVIRl96TMhCkC5n .cluster text{fill:#333;}#mermaid-svg-aPVIRl96TMhCkC5n .cluster span{color:#333;}#mermaid-svg-aPVIRl96TMhCkC5n div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-aPVIRl96TMhCkC5n .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-aPVIRl96TMhCkC5n rect.text{fill:none;stroke-width:0;}#mermaid-svg-aPVIRl96TMhCkC5n .icon-shape,#mermaid-svg-aPVIRl96TMhCkC5n .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-aPVIRl96TMhCkC5n .icon-shape p,#mermaid-svg-aPVIRl96TMhCkC5n .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-aPVIRl96TMhCkC5n .icon-shape .label rect,#mermaid-svg-aPVIRl96TMhCkC5n .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-aPVIRl96TMhCkC5n .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-aPVIRl96TMhCkC5n .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-aPVIRl96TMhCkC5n :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}
否
超限
违规站点
违规外联
终端上网行为
归类并留存记录
命中策略?
正常放行
限速或限流
按分类限制访问
报警并阻断公网
汇总报表复盘
记录是原料，限流是调节，过滤与阻断才是处置。
跳过记录直接上封锁规则，往往拦住了不该拦的，放过了真正的问题。
三层里的记录一项最容易被当成"没技术含量"的环节而被敷衍。
实际上分类准确率决定了后面所有判断的质量：把业务系统误标成娱乐站点，会引发大量无谓的告警；把上传动作归错类别，真正的外发行为就可能被淹没在噪音里。
上线初期花时间校准分类，比后面反复调规则更省事。
五、落地时的三个取舍
两个坑要避开：娱乐和社交全禁，短期干净、长期被绕过；日志存了一堆没人看，等于没记。
上网监控的价值，是把说不清的"网慢"和"说不准的行为"，变成可查、可判断的记录。
真正难的从来不是功能多少，而是把管控尺度定在业务效率与合规要求的中间。
责编：小赵
