阻止用戶下載某些文件

Question

我在一個幫助精神障礙者的組織工作。他們所有人都在我們的 AD 中擁有一個用戶帳戶。

客戶端電腦運行 Windows 7 和 8.1 的混合作業系統，伺服器是 Win2k8R2。

最近，我們發現一些用戶正在下載不需要的文件，例如 .mp3 和 .flac 文件。有時，這些檔案會存檔為 .rar 或其他存檔格式。

我現在正在尋找一個程序，可以幫助我們防止或至少在下載完成後立即掃描文件中不需要的文件。

我確信這很難透過 GPO 來修復，因為我們不僅使用 IE，還使用 Chrome 和 Firefox。

你們中有人對如何實現這一目標有任何想法嗎？

最好的問候/里卡德

Answer 1

典型的技術方法是安裝一個HTTP代理伺服器您實施下載限制/政策的地方。

然後，您可以使用 GPO 強制使用代理伺服器（假設您的電腦都是 AD 網域成員），下一階段您將阻止在網關/防火牆處直接存取 Internet。

通常，您在技術實施之前需要同意網路使用政策（SANS 範本）與管理層和您的用戶聯繫，因為人們可能（合理地）抱怨他們可能與「受監控的網路存取」相關的潛在隱私問題。

Answer 2

這取決於使用者如何使用相關工作站——他們應該保存文件，還是這些通用工作站？問題是您不希望他們聽音樂，還是他們用音樂下載病毒？ （我也不知道你的預算。）

根據這一點，我可能會使用多種方法。

1. HBrujin 和 Benjamin Dénécé 很好地介紹了代理伺服器。有開源和付費選項。這應該是第一道防線。
2. 某些防毒程式會阻止下載具有某些擴展名的檔案 - 也許您的就是其中之一？ （您的AV有集中管理控制台嗎？）
3. 軟體限制群組策略，禁止常見的解壓縮程式、iTunes等。
4. 透過群組原則阻止 USB 隨身碟（以阻止它們從家中帶入音樂、視訊和病毒）。
5. 如果他們根本不應該在工作站上節省材料，那麼像這樣的產品深度凍結或者競爭對手可能會提供幫助。 （如果您選擇這種方式，您可能需要允許 USB 驅動器為它們提供保存檔案的合法位置。）

祝你好運！

Answer 3

我現在正在尋找一個程序，可以幫助我們防止或至少在下載完成後立即掃描文件中不需要的文件。

從下一代防火牆開始

安裝 UNTANGLE 作為路由器。有了它，您可以阻止下載帶有 mp3、mov 等擴展名的檔案。

您可以針對各種網路事件設定日誌記錄和電子郵件事件警報。

我確信透過 GPO 很難解決這個問題

無法在本機硬碟上透過 gpo 設定檔篩選。使用ad 和gpo 可以做的一件事是，防止在本機磁碟上儲存任何數據，並將使用者重新導向到網路共享，您可以在其中使用檔案伺服器資源管理器在Windows Server 上設定檔案篩選，並有效地停止儲存特定文件類型。

另一個想法是運行簡單的批次文件，它將定期掃描硬碟並刪除具有指定擴展名的所有文件。

Answer 4

我認為從長遠來看，Watchguard 或 Sonicwall 等 UTM 設備將是一個更便宜的選擇，而不是花費所有時間嘗試使用群組原則來處理網路流量。堅持使用專為工作而設計的東西...