企业终端网页访问管控：黑白名单与 HTTP 上传管控落地实践

前言

在企业日常运维工作当中，终端网络访问一直是安全治理的重点。很多安全事件的起点，都来自终端浏览器：访问钓鱼站点中招恶意程序、在网页网盘上传内部文档、浏览高危网站带入病毒等。

传统防火墙、上网行为管理 AC 这类边界设备大多聚焦于网络出口，能够做全局互联网访问管控，但很难针对每一台终端、不同部门、不同用户做细粒度的网页访问管控。边界策略是一刀切，很难区分普通办公终端、涉密终端、财务终端差异化的上网权限。

而终端侧的网站访问控制能力，可以下沉到每一台端点，弥补边界安全设备的管控短板，实现终端颗粒度的网页行为约束。

下面简单对比网关侧与终端侧网页管控的适用差异：

网关适合管控内网统一出口流量；当企业存在大量异地办公、离线终端、需要按岗位做差异化策略时，就需要终端管控作为补充。
本文基于迪康端点安全一体化管理系统的网站访问控制功能，从实际运维视角梳理网址黑白名单、HTTP 文件上传管控两大核心能力，同时聊落地配置、审计溯源以及业务场景适配的经验。

1 网址黑白名单：两种模式适配不同安全等级

网址黑白名单是终端网页管控最基础的能力，分为黑名单、白名单两种模式，运维人员需要结合业务风险等级选择对应的模式，不能一概而论全部拦截或者全部放行。

1.1 黑名单模式

逻辑：默认放行互联网访问，仅拦截黑名单内登记的网站。

适用场景：绝大多数普通办公终端。
企业内部大部分员工需要正常访问互联网开展工作，不适合做严格的全网限制。管理员将钓鱼站点、恶意下载网站、赌博色情站点、无关娱乐站点加入黑名单。终端访问名单内的网站直接拦截，其余业务网站正常访问。

优点：对员工业务干扰小，部署成本低，只维护风险站点列表即可。
注意点：黑名单模式只能拦截已知风险站点，无法防御新型未知钓鱼网站，一般需要搭配终端杀毒、漏洞防护等其他安全能力共同使用。

1.2 白名单模式

逻辑：仅允许访问白名单内登记的网站，其余全部网页访问直接拦截。

适用场景：高安全要求终端，例如涉密工位、财务终端、专用业务工作站。
这类终端上网需求少，只需要访问少数业务系统、可信业务网页。管理员梳理业务必需的内网系统、可信外部站点加入白名单，不在名单内的所有网页访问请求全部阻断，极大缩小攻击面。

优点：安全强度高，从源头规避网页侧的攻击风险。
注意点：白名单维护工作量更大，业务系统域名发生变更、业务依赖 CDN 节点时，需要及时更新名单，避免影响正常业务使用。

配置小提示：在平台策略模块新建网站访问控制策略后，可以针对部门、用户、单台终端做策略下发，支持调用系统内置分类网址库，减少手动录入网址的工作量。

2 HTTP 文件上传管控：堵住网页渠道的数据外泄通道

很多运维容易忽略一个风险点：就算网页访问做了限制，员工依旧可以通过可信网页的上传接口向外发送内部文件。比如外部网盘网页版、第三方表单网站，即便网站本身是可信站点，文件上传行为依旧会带来泄密风险。

HTTP 文件上传管控，就是针对网页端文件上传动作做精细化约束，支持两类规则：

1. 禁止以下 URL 上传文件：拦截终端向指定域名执行网页上传操作，常用于拦截外部网盘、非可信表单站点，阻断通过网页向外泄密的路径；
2. 仅允许以下 URL 上传文件：严格限制，终端只能够向 OA、内部文档库等可信业务地址执行文件上传，其余网页上传动作全部拦截。

规则支持通配符 URL 配置，示例格式：https://pan‑xxx.xxx.com/pcuserpan/*，可以对一个域名下全部子页面批量生效，不用逐个录入页面地址，降低运维配置工作量。

实践建议：网址黑白名单和 HTTP 上传管控要配合使用。前者管控 “终端能看哪些网页”，后者管控 “在网页上可以做什么操作”，二者组合才能完成网页访问完整防护。

3 策略生效条件与审计溯源，满足合规要求

单纯配置拦截策略还不够，企业安全管理还需要满足可审计、可追溯的要求。

3.1 灵活的策略生效条件

网站访问控制策略支持配置丰富生效条件：

• 可以设置策略生效时间段，区分上班、下班执行不同管控强度；
• 支持设置策略起止日期；
• 区分客户端在线、离线状态策略是否生效，适配员工出差、居家办公离线使用终端的场景。

举个例子：工作日上班时间执行严格上网管控，下班时间段放宽部分限制，平衡安全管控与员工合理使用网络的诉求。

3.2 审计日志配套开启

网站访问控制需要同步开启浏览网站审计。开启审计之后，系统会完整记录终端网页访问行为，包含访问 URL、网页标题、访问时间、拦截事件记录。

当发生访问拦截、疑似泄密事件，管理员可以回溯审计日志，定位行为发生的终端、操作人员、发生时间，满足等保、保密相关审计溯源要求。

小提示：长期大规模部署需要关注日志存储容量，定期规划日志清理或者日志外转，避免日志占用服务器大量磁盘空间。

4 落地的典型业务场景总结

表格

运维踩坑提醒：白名单模式上线前，需要充分调研业务域名，做小范围试点验证，避免因为漏加域名、漏加 CDN 节点，造成业务系统无法访问，影响员工工作。

5 运维实操踩坑总结

结合终端网页管控落地的常见问题，整理几个高频坑点，供大家配置时参考：

1. 白名单漏放 CDN / 跳转域名：很多业务页面会调用第三方 CDN、静态资源域名，只添加业务主域名会出现页面打不开，上线前要收集完整依赖域名。
2. 通配符配置错误：URL 通配符仅匹配域名后的路径，不要错误写在域名前面，会导致规则完全不生效。
3. 离线策略不生效：确认策略勾选 “客户端离线时生效”，否则终端断开内网服务器连接后管控策略失效。
4. 策略下发不生效：下发策略后检查终端策略更新时间，排查客户端离线、策略优先级冲突问题。
5. 审计日志膨胀：全量记录网页访问会产生海量日志，建议做好日志过滤或者配置日志外报，避免存储打满。

6 网站访问控制能力的局限性

网页访问控制不是万能的安全手段，它存在能力边界，需要客观看待：

1. 无法防护代理、隧道、VPN 工具绕开浏览器的网络访问；
2. 对 HTTPS 加密流量，部分管控能力依赖客户端代理解析；
3. 黑名单永远滞后于新型钓鱼、恶意站点，不能单独作为唯一安全防线。

因此网站访问控制需要和外设管控、终端防火墙、文档安全、补丁管理等策略联动，形成多层次的端点防护体系。

7 写在最后

网站访问控制只是终端安全防护体系其中一环。从运维视角来看，没有一套策略可以适配全部终端，终端网页管控切忌 “一刀切”。需要根据岗位安全等级，区分普通办公、高安全工位，平衡安全风险和业务可用性。

很多企业容易犯的误区：直接全员强制启用白名单，上线后大量业务报错。比较稳妥的流程是：先全量运行黑名单模式一段时间，收集业务访问域名，完成域名梳理后，再针对高风险岗位小范围试点白名单模式。