迪康端点安全一体化管理系统实战：让每一次拍照、截屏、打印都有据可查
做终端安全项目时经常遇到一个尴尬：U 盘封了，外发审批上了，网盘也拦了，可泄密事件还在发生。追查下去会发现，文件根本没走出网络——它是被手机拍走的、被截图工具截走的、被打印成纸带出去的。
这三个通道有个共同点：不经过网络，也不产生可拦截的文件流，传统 DLP 的检测点全在它们上游。所以这类问题只能从终端侧解决，思路也不是"堵死"，而是"让带走的东西自带证据"。
下面按落地顺序，把这套配置拆开讲。这套思路来自迪康端点安全一体化管理系统（迪康大成软件）的终端安全策略体系，四个出口各有一套策略，但共用同一个水印模板中心。
一、先把水印做成可复用的资产：模板中心
很多企业做水印是"一个需求配一次"，结果屏幕水印、打印水印、文档水印各配一套，内容还不一致。更合理的做法是先建模板，再让各种策略引用同一份模板。
水印模板的展现方式有四种：
水印内容可以写死，也可以绑定变量：IP 地址、MAC 地址、计算机名、客户端昵称、当前时间。实际项目里最常用的是"IP 加时间"，因为这两项能唯一锁定"哪台机器、哪一刻"。
水印参数包括字体、字号、颜色（RGB 直接填数值）、显示位置（满屏平铺、右上、右下）、是否充溢、是否置底显示。置底这一项很关键：水印要压在其他窗口内容下面，不能挡住正文，但截图和拍照照样能拍到。
模板建好之后，屏幕水印、打印水印、文档水印都指向它。改一次水印内容，所有引用它的策略同步生效，这在几百上千台的规模上，直接决定了后期维护成本。
图 1 水印模板管理界面：文字、点阵、图片、二维码四种展现方式并存，一份模板可被屏幕水印、打印水印等多处策略引用
二、屏幕水印：不要全屏铺，要按程序铺
全屏水印的问题是挡视线，员工第一反应就是找管理员关掉。更实用的做法是按程序生效：只对指定的敏感程序窗口叠加水印，其他窗口干干净净。
配置上有两个开关：
开启屏幕水印，引用水印模板；
仅在以下程序窗口显示水印，填入程序名（支持多个，按分号分隔）。
图 2 屏幕水印策略：开启水印并引用模板，"仅在以下程序窗口上显示水印"处填写程序名，同面板还能一并管桌面壁纸、屏幕保护与锁屏壁纸
实际项目里常见的是把 CAD、图纸查看器、加密文档阅读器、财务客户端放进去。员工在这些窗口里看到的每一屏都带 IP 和时间，用手机拍下来，照片里也带着。
图 3 实际效果：满屏斜向平铺的 IP 地址与时间水印，压在正文下层，不挡阅读，但照片带出后仍可溯源
顺带一提，同一个策略面板里通常还有桌面壁纸、屏幕保护、锁屏壁纸的统一设置。这些不算安全能力，但对"把公司终端界面统一起来"有实际价值，很多管理员顺手就配了。
三、截屏：三档工作模式，别一刀切
截屏管控的常见误区是直接全禁。结果是员工改用手机拍屏，反而更难追。
比较成熟的做法是给三档：
图 4 截屏管控：三档工作模式加截屏水印模板，另有"对内置截屏工具生效"开关，堵掉系统自带截图的绕过路径
第三档是折中方案里最实用的：员工要截图发工作群，正常发，但截出来的图上带着 IP 和时间。图流出去了，也还找得到源头。
还有一个容易漏的细节：截屏水印要覆盖"内置截屏工具"。系统自带的截图、部分办公软件内置的截图入口，如果不在水印覆盖范围内，就成了绕过路径。所以截屏水印一般设成对所有进程生效，并把内置工具勾上。
四、打印：纸出了门，就归别人了
打印是三个出口里最容易被忽略的，因为它看起来"很传统"。但纸质文件一旦带出办公室，任何技术手段都追不回来，能做的只有两件事：让纸自带信息，让打印这件事有记录。
打印侧的能力可以分四块。
一是打印水印。开启后所有打印任务自动加水印，水印同样引用模板。可以只对指定打印机生效（按打印机名精确匹配），也可以三档进程模式：对全部进程生效、仅对指定进程生效、仅对指定进程不生效。后两档解决的是"票据、快递单这类不需要水印的东西"。
图 5 打印水印策略：引用水印模板，可按打印机名精确限定生效范围，工作模式三档区分全进程、仅指定进程、指定进程除外
二是打印机禁用。把虚拟打印机（各类 PDF 虚拟打印机、Fax）列入禁用名单，堵掉"打印成 PDF 再拷走"的绕过路径。程序打印规则里还可以按进程给权限，比如表格处理程序禁止一切打印。
三是打印申请。全部禁死会影响业务，所以一般保留"允许提交打印申请"：员工点打印，任务被拦下并生成申请，管理员审批后放行。审批记录本身就是审计材料。
四是打印审计。这一块字段最实在：客户端、用户、所属部门、进程名、文档名称、打印机名称、份数、页数、纸张、处理动作（允许打印或禁止打印可申请）、附件、审计时间。附件这一项是重点，它保留了被打印文档的副本，事后能核实"到底打出去的是什么"。
图 6 打印审计字段：客户端、用户、部门、进程名、文档名、打印机、份数页数、处理动作、审计时间与原文附件一应俱全
五、拍照：从"防不住"到"拍一次就是一次事故"
拍照是唯一一个连文件都不产生的通道。手机在员工手里，技术上没法阻止他按下快门。所以这一层的能力目标要摆正：不是不让拍，是让拍这件事留下痕迹、并且付出代价。
实现方式是基于画面的智能检测：终端持续分析屏幕前的场景，识别画面中是否出现手机、相机、人手举持等特征，给出一个置信度，超过阈值就触发动作。这套检测在迪康端点安全一体化管理系统的防拍照模块里是独立开关，可以按终端或终端组开启。
图 7 防拍照策略：置信阈值、锁屏方式（系统锁屏或桌面锁屏）、检查画面遮挡与摄像头拔除、触发时记录日志并同时留屏截图
触发动作可以选锁屏。锁屏之后不是简单黑屏，而是弹出提示：“检测到您有拍照或其他相关风险动作，屏幕已经锁定”，同时给出重启、关机、申请解锁的入口。系统锁屏模式下，输入系统登录密码才能解锁；桌面锁屏模式下，要联系管理员解锁。重启是绕不过去的。
图 8 触发后的实际界面：提示"检测到您有拍照或其他相关风险动作，屏幕已经锁定"，下方给出重启、关机、申请解锁三个入口
同时，每一次触发都会进日志，字段包括客户端、用户、所属部门、场景描述（画面中被识别到的对象，如"人、手机、椅子、笔记本电脑"）、置信度、采取动作、附件、发生时间。附件是触发瞬间的现场抓拍照片，这一条决定了它的性质：它不只是拦了一下，而是留下了一份能对照人、对照时间、对照屏幕内容的证据。
图 9 防拍照日志：场景描述列出画面中被识别到的对象，置信度给出数值，附件即触发瞬间的抓拍照片
阈值是这类能力最需要调的地方。设太低，员工正常举手、拿水杯都可能触发；设太高，真的举手机反而放过。一般先在一个部门试点，跑一两周看日志里的置信度分布，再定阈值。
落地顺序建议
这套能力不建议一次全上，容易一次性把员工得罪完。比较稳的顺序是：
一、模板中心建好，先上"仅指定程序窗口"的屏幕水印。这一批几乎没有投诉，因为员工感知不到。
二、截屏管控切到"允许截图加截屏水印"，同时把内置截屏工具纳入覆盖。
三、打印水印加打印机白名单加打印审计。这一批要先跟财务、行政对好哪些打印机要保留。
四、防拍照。只对高密级终端开，阈值先宽后严，配套一份"触发后如何解锁"的说明发给员工。
这四批做完，三个物理出口就从"完全看不见"变成了"每一次都留痕"。
最后
物理出口的防护，本质是把不可控变成可追溯：水印让照片和纸自带身份，管控让截图和打印有记录，检测让拍照本身变成一次需要解释的动作。这些能力在迪康端点安全一体化管理系统（迪康大成软件）里属于同一套策略体系，模板、策略、日志共用一套管理入口，落地时不用为每个出口单搭一套系统。
对企业来说，判断标准其实很简单：真出了事，能不能在半小时内说清是谁、在哪台机器、什么时间、带走了什么。能做到，这套东西就值。