一家甲级设计院的遭遇更直接，一套重磅项目的投标图纸在开标前一周被竞争对手拿到，项目丢了，还因泄密违约被甲方追责，溯源时却发现文件在协作方、打印店之间辗转流转，根本找不到从哪一环漏出去的。
下面从网络管控这一层，拆三个最容易被忽视的口子，看终端安全软件具体是怎么堵的。
编辑
问：端口到底是什么？普通办公电脑上，哪些端口算“高危”？
端口可以理解成电脑和外界通信的“门牌号”。正常业务用它们是合理的，问题在于，攻击者也最爱走这两扇门。
问：那把所有高危端口一律封死，不就行了？
一刀切封端口，最先停摆的往往是业务本身。财务要连税控系统，研发要访问内部代码库，车间工控机有固定的通信端口，全封了，活没法干。真正可行的思路不是“全关”，而是“该关的关死，该留的留准”。
编辑
问：标书泄密和“访问什么网站”有什么关系？员工上什么网，真的需要管吗？
大多数标书泄露不是黑客硬闯出来的，是终端先被人“领进了门”。钓鱼邮件伪装成招标方发来的补充文件，点开就是一个仿冒的登录页；员工搜“标书模板”搜到一个挂着木马的下载站；甚至私人网盘、在线转换工具，都可能在上传文件的瞬间把核心内容留在外部服务器上。
问：网站访问管控，通常有哪几种做法？区别在哪？
常见的是黑白名单两条路。黑名单是“禁止访问列表里的站点，其余正常放行”，适合普通办公电脑，主要挡掉炒股、视频、已知钓鱼站和可疑网盘。白名单是“只允许访问列表内的网站，其余全部拦截”，管控力度更强，适合财务机房、前台、生产工位这类只需要打开固定业务系统的终端。两种模式不是谁替代谁，是按岗位分场景用。
三、非可信网络一接，内网边界就形同虚设问：“非可信网络”指的是什么？办公室的网线不是已经够安全了吗？
员工把办公笔记本带回家连自家 WiFi，在咖啡厅连公共热点，或者更隐蔽的，在工位上插一个随身 WiFi、用手机开热点让电脑连上去。
问：这种“私自连外网”的行为，靠人工发现现实吗？
不现实。一台电脑连了热点，屏幕上不会有任何异常提示，等人去巡查、去翻日志，泄密可能早就完成了。这件事必须让终端自己“发现—判定—处置”，不能靠人盯。
问：这套软件对非可信网络是怎么处置的？
它的违规外联报警功能对每台终端做持续监测：一旦检测到终端尝试连接内网之外的陌生网络或非授权地址，系统先触发报警，紧接着自动断网并锁屏，全程不需要管理员手动操作。操作的人来不及反应，回传链路已经断了。这套逻辑的精髓不在于“事后追责”，而在于把发现异常的时机从“人发现”提前到“系统发现” ，在数据还没离开终端的那一刻把门关上。
编辑
三条线各堵各的，合起来才是一道完整的防线。泄密的代价从来不只是丢一个订单。丢单之后还有违约追责、客户信任折损，以及“查不清从哪漏的”那种被动。技术管控做不到百分之百，但它能把绝大多数“本来可以不发生”的出口提前关掉。对天天和标书、报价、技术方案打交道的企业来说，这道防线晚建一天，风险就多敞开一天。
小编：小杨
