SPN 沙盒安全上网系统则SPN 沙箱安全上网系统

很多企业内网终端存储图纸、源代码、工艺文档、涉密业务资料，但业务工作又不可避免需要访问互联网查询资料、接收外部文件。 传统防火墙、网关、上网行为管理只做网络层面管控，无法管控终端本地文件跨域泄露；物理隔离双电脑方案硬件成本高，员工切换繁琐，落地难度大。

SPN 沙盒安全上网系统依托内核级反向沙盒一机双域技术，在同一台物理终端构建两套相互隔离运行域，把全部互联网访问约束在独立沙盒环境，既保留互联网访问能力，又守住内网核心资料安全，是兼顾安全与办公效率的终端上网隔离方案。

一、SPN 沙盒安全上网系统产品技术原理

SPN 在操作系统底层完成运行域分割：

1. 本地涉密域：存放图纸、源代码、业务文档，运行内网业务系统、PDM、代码库，默认禁止直接访问互联网。

2. 隔离上网沙盒域：浏览器、即时通讯、下载工具全部运行在此环境，全权访问互联网资源。

3. 底层阻断剪贴板复制、文件拖拽、截屏外传等跨域泄密通道；外网下载的木马、勒索病毒仅驻留沙盒内部，关闭沙盒环境即自动销毁，不会感染本地业务系统。

4. 业务确需内外交换文件，走管理员审批式受控摆渡通道，所有摆渡操作完整留痕。

二、SPN 沙盒安全上网系统核心产品功能

1、终端底层跨域隔离防护

底层阻断本地涉密文件向沙盒上网环境外泄，防范网盘上传、聊天发送、拖拽拷贝、剪贴板窃取、截屏外传等泄密行为；外网钓鱼、勒索病毒、恶意脚本被限制沙盒内，保护本机核心业务数据安全。

2、多档位安全策略模板

提供三套管控档位灵活选配：

• 高安全标准模式：沙盒界面显性展示，域边界清晰，适合科研配套、军工相关单位；

• 平衡办公模式：可自定义摆渡权限，适合研发制造企业；

• 无感知代理模式：后台静默运行，员工操作无感知，适合大规模普通办公终端批量部署。

3、受控审批数据摆渡机制

内外网文件交换不允许直接拷贝，提交摆渡申请，管理员审核通过后完成单向数据流转。支持对摆渡文件添加水印，全程记录申请人、时间、文件信息，便于事件追溯。

4、互联网应用管控能力

配置应用黑白名单，管控可联网程序，拦截匿名传输工具、破解软件、高危工具访问外网，缩小终端攻击面；可限制网页访问类别，辅助做好上网管控。

5、全量上网行为审计追溯

完整采集网页访问记录、软件联网行为、文件下载记录、跨域拷贝尝试、摆渡审批全流程日志。日志集中存储管理，支持检索、导出报表，满足等保 2.0、企业内部安全审查审计要求。

6、分组分级权限管理

按部门、岗位分配差异化安全策略，研发、生产、行政、管理岗位配置不同管控强度；支持账号权限细分，实现最小权限安全原则。

7、信创多操作系统兼容，轻量化部署

兼容 Windows、统信 UOS、麒麟国产操作系统；纯软件客户端部署，不用新增网关硬件，无需改造交换机与现有网络，现有办公电脑直接安装，快速落地规模化部署。

三、SPN 沙盒安全上网系统产品核心优势

1、替代物理双机方案，降低综合成本一台终端同时处理内网涉密业务与互联网访问，省去两套电脑硬件采购、运维成本，员工不用来回切换设备，业务流畅度高。

2、弥补网关类设备管控盲区上网行为管理、防火墙只能管控网络流量；SPN 从终端操作系统底层做域隔离，针对加密聊天、HTTPS 网页上传等网关难以拦截的泄密途径形成有效防护。

3、可与 SDC 沙盒防泄密系统组成联合防护体系SDC 沙盒管控内网环境内部源代码图纸防泄露；SPN 管控终端访问互联网带来的泄密、中毒风险，两套产品联动，覆盖内部使用‑外网访问完整终端数据安全链路。

4、资源占用低，业务无干扰客户端资源消耗低，不拖累设计软件、编译开发工具运行，不影响员工原有业务操作习惯，落地推广阻力小。

四、SPN 沙盒安全上网系统典型应用行业场景

1、装备制造、汽车零部件企业：研发电脑保护 CAD 图纸、BOM 工艺资料，防范外网带入勒索病毒，阻止资料通过网络工具外泄。

2、软件、嵌入式研发企业：源代码资产防护，管控研发人员上网行为，规避网页上传、网盘泄密风险。

3、科研院所、国企、军工配套单位：满足保密管理要求，内网终端受控访问互联网，达成上网审计合规建设。

4、电子、工控设备厂商：固件、技术方案保护，防范钓鱼攻击、恶意程序入侵内网终端。

5、政务、医疗单位：保护内部业务资料，隔离外网各类安全威胁。

五、SPN 沙盒安全上网系统系统组成模块

1. 集中管理平台：安全策略下发、部门账号权限管理、摆渡审批中心，集中存储审计日志，支持日志查询导出报表。

2. SPN 沙盒终端客户端：部署于每台办公终端，完成本地域与上网沙盒域底层隔离，执行全部安全管控策略。

企业内网终端存在既要访问互联网，又要保护内部涉密资料的需求，可申请 SPN 沙盒安全上网系统产品演示、方案评估及部署咨询。