一、功能概述

企业员工终端浏览器访问行为是内网安全重要风险源，访问恶意钓鱼网站、通过网页上传内部敏感文档，极易引发病毒入侵、核心资料泄露等安全事故。
迪康端点安全一体化管理系统的网站访问控制安全策略模块，将管控能力下沉至每一台终端本地，即便终端处于离线、异地办公断开内网服务器的场景，安全策略依旧可以本地生效，弥补传统出口网关、上网行为管理设备的管控盲区。

核心包含两大能力：网址黑白名单管控、HTTP 文件上传行为管控，支持按部门、用户、单台终端差异化下发策略，同时配套完整审计日志，满足企业安全管理以及等保审计溯源需求。

二、网址黑白名单功能

网址黑白名单分为黑名单、白名单两种工作模式，企业可根据终端岗位安全等级灵活选用。

1. 黑名单模式
默认允许互联网访问，拦截黑名单列表内网站。适合普通办公终端。管理员录入钓鱼站点、恶意下载站点、高危娱乐网站，终端访问名单内网址直接拦截，其余业务网站不受影响。部署简单，对员工日常办公干扰较小。

局限：仅能拦截已知风险站点，需要搭配杀毒、威胁情报等能力协同防护。

2. 白名单模式
仅允许访问白名单登记的网站，其余网页访问全部阻断。适用于财务工位、涉密工作站等高安全等级终端。只放行业务必需内网系统、可信外部站点，大限度缩小网络攻击面。

注意：白名单维护工作量较大，业务依赖的 CDN、第三方资源域名需要同步录入，避免业务页面异常。上线建议先小范围试点，不要全量终端直接启用。

三、HTTP 文件上传管控功能

很多企业只管控网站访问权限，忽略网页上传接口带来的数据泄露风险。即便网站本身可信，员工也可能误操作通过网页上传内部文档。
迪康端点安全一体化管理系统支持对 HTTP 网页上传行为做精细化约束，支持两类规则：

禁止指定 URL 上传文件：拦截终端向外部网盘、第三方表单等非可信地址执行网页上传，阻断网页泄密通道；
仅允许指定 URL 上传文件：严格限制，终端只能够向 OA、内部文档库等可信业务地址执行文件上传。

规则支持通配符 URL 配置，例如`https://pan‑xxx.xx***/pcuserpan/*`，可批量匹配同一域名下全部子路径，减少重复录入工作量。

使用建议：网址黑白名单与 HTTP 上传管控组合启用，同时管住 “访问什么网站” 和 “网页可执行哪些操作”，构建完整网页防护闭环。

四、策略灵活配置与审计能力

1. 多维度策略生效条件
可设置策略生效时间段、起止日期；支持区分客户端在线 / 离线状态策略是否生效，适配员工出差、居家离线办公场景；可分时段调整管控强度，平衡安全管控与员工合理网络使用需求。
2. 完整审计日志留存
配套浏览网站审计功能，记录终端访问 URL、网页标题、访问时间、拦截事件。发生安全事件时，可回溯访问行为，定 位终端、操作人员，满足合规审计要求。

提示：大规模部署需要规划日志存储、归档策略，避免日志占用过多服务器磁盘。

五、典型应用场景

1. 普通办公终端场景
采用黑名单模式，拦截高危风险网站，同时禁止向外部网盘执行 HTTP 上传，兼顾办公效率和基础安全防护。
2. 高安全岗位终端（财务、涉密工位）
启用网址白名单模式，仅放行业务必需站点，搭配仅允许业务系统上传文件的规则，降低网页侧泄密、入侵风险。
3. 混合办公异地终端场景
开启离线策略生效选项，员工笔记本出差脱离企业内网，网页访问管控策略依旧本地运行，不会出现防护失效。

六、能力边界说明

迪康端点安全一体化管理系统网站访问控制模块是企业整体安全防护的组成部分，并非防护手段，存在一定能力边界：

1. 无法防护代理、隧道类工具绕开浏览器的网络访问行为；
2. 黑名单模式无法防御全新未知钓鱼域名；
3. 防护效果依赖客户端正常运行，客户端异常、卸载将导致管控失效。

建议和外设管控、终端防火墙、文档安全、补丁管理等安全模块联动使用，搭建多层次的企业端点安全防护体系。