引言： 目前大多数企业在内网和互联网的边界建立了较为完善的由外而内的安全防护措施，能够有效地防护来自互联网的攻击。笔者所在单位有线网络用户有1500个，无线网络用户有500个，面对庞大的网络结构和复杂的网络应用，我们通过基于行为管控的企业网络出口安全改造加强了由内而外访问的安全管理。

目前大多数企业在内网和互联网的边界建立了较为完善的由外而内的安全防护措施，能够有效地防护来自互联网的攻击。

笔者所在单位有线网络用户有1500个，无线网络用户有500个，面对庞大的网络结构和复杂的网络应用，如何对网络效能行为进行统计、分析和评估，如何监控、控制一些非工作上网行为和非正常上网行为，如何杜绝用户通过电子邮件、IM等途径泄漏内部机密资料，如何在日常办公过程中采取相应的流控机制，以保障核心业务系统的正常访问，以及管理员如何在发生问题时有查证的依据？这些都成为了网络安全管理需要解决的问题。为此，我们通过基于行为管控的企业网络出口安全改造加强了由内而外访问的安全管理，解决以上问题。

方案设计

图1 原网络出口拓扑图

原网络出口拓扑如图1，公司网络出口连接行业网、互联网和DMZ区对外服务器。目前对网络出口的安全防护采取二层防护的方式，第一层部署思科PIX525防火墙，通过NAT内外网IP地址转换和访问控制策略进行防护；第二层部署UTM安全网关，通过ISP地址映射、访问控制策略、病毒和入侵防御，及流量控制对公司内网连接行业网、互联网和DMZ区服务器进行安全防护。……