迪康端点安全一体化管理系统在兵工财务的屏幕审计实践探索
◉ 客户实践·资金密集+强监管+信创并行
迪康端点安全一体化系统在
兵工财务的实践探索以「一个代理、一个控制台、一套策略」替代杀毒、桌管、DLP、准入、审计多系统并行，优先落地
屏幕录像审计与员工终端时间画像，并在信创终端上保证策略不降级。🔍屏幕录像审计
🧬时间画像
🖥️信创统一纳管
Background
客户背景与建设诉求
中国兵工财务有限责任公司承担集团资金集中管理、账户结算、信贷融资、票据与资金监控等职能。终端广泛承载核心业务系统、网银/银企直联、U 盾/CA、财务共享与办公协同数据，安全建设面临四类压力。
A / 01
资金类终端高风险
结算、放款、票据、账户权限变更等操作需要强审计与快速取证。
A / 02
信创改造并行
Windows 与麒麟 / 统信 UOS、国产 CPU、国产办公与版式软件长期并存，策略容易割裂。
A / 03
合规监管要求高
等保 2.0、数据安全与个人信息保护、行业资金安全监管要求「可管控、可审计、可追溯」。
A / 04
管理诉求升级
不仅防病毒、防泄密，还要看清终端「谁在何时用何应用、访问何网页、产生何流量、是否有异常外发」。
Solution
建设方案：一体化平台 + 审计取证 + 信创适配
以「一个代理、一个控制台、一套策略」为核心，形成统一资产视图、统一策略基线、统一日志取证。
国密与审计对接支持国密算法、日志签名、三员管理，向 SIEM/SOC/日志平台输出标准字段
时间画像
聚合程序、办公、网页、活动、流量五类数据，形成多维分析视图
信创终端支持
适配麒麟、统信 UOS 及国产 CPU，兼容 WPS/OFD/国产浏览器，策略与 Windows 同源下发
Feature 01
屏幕录像审计
将「全天候无差别录屏」改造为「风险触发 + 策略补证」的模式，兼顾取证效力与隐私边界。
触发场景示例
资金结算 / 网银 / 票据 / 授信审批 / 核心账务涉敏窗口
U 盾 / CA 使用
特权账号登录
运维通道开启
移动介质接入
打印 / 刻录
大文件复制 / 压缩加密外发
违规网站访问
未知或被禁进程运行
违规外联或横向移动迹象
非工作时段异常登录
地理 / 网络环境突变
多次认证失败
关键机制
1事件发生时自动生成「前后上下文片段」（如违规前 5 分钟至后 10 分钟），避免海量无目的存储。
2录像叠加终端编号、账号、时间水印，支持断网续传、低带宽压缩、边缘缓存与集中归档。
3调阅采用「申请—审批—限时—留痕—脱敏」，敏感字段按权限打码；默认保留周期按制度设定（如高事件 180 天、普通事件 90 天），到期自动销毁。
4与进程、窗口标题、URL、外设、流量五元组、文件哈希联动，形成「操作—画面—证据」闭环。
Adaptation
信创终端落地要点
信创不是简单「换个系统」，而是要保证安全策略不降级。项目按「同策略、灰度、可回退」推进。
🔹平台适配
服务端与控制台支持主流国产 OS 与数据库 / 中间件组合；代理端覆盖麒麟、统信 UOS 及国产 CPU 架构。
🔹应用兼容
对 WPS/OFD、国产浏览器、电子签章、银行控件、打印 / 刻录、U 盾 / CA 做兼容清单与白名单；不能兼容的旧控件通过虚拟化 / 过渡区隔离。
🔹统一策略
Windows 与信创共用准入、补丁、外设、水印、审计策略模板；差异项单独成组，避免「两套制度」。
🔹性能保障
审计代理 CPU / 内存 / 磁盘写入限额可调，录像本地缓存加密，弱网断点续传，避免影响柜台式办公与资金高峰。
🔹切换机制
先信息科技与非核心部门灰度 2–4 周，再扩展到结算 / 财务共享；保留镜像回退与应急卸载口令；关键日期冻结变更。
🔹验收指标
信创终端纳管覆盖率、代理在线率、策略下发成功率、兼容应用通过率、误报率、录像补证完整率纳入验收。
在兵工财务这类「资金密集 + 强监管 + 信创并行」的环境中，
迪康端点安全一体化系统的价值不止于「管住终端」，
更在于把屏幕录像变成可信证据、把时间画像变成风险雷达，
同时用信创一致化策略守住改造过程中的安全底线。