Web 过滤器 在可行的情况下，完全切断系统与互联网的连接是一个很好的防御措施，但现实情况是，在所有系统上完全阻断互联网是不可行的，并且会阻碍业务运营。应将连接到Internet的系统配置为通过允许过滤Web内容的代理服务器，并使用防火墙规则来确保代理Web访问是http和https连接的唯一出口方式。尽管对Web访问采用白名单方式最为理想，但组织至少应使用其过滤设备来阻止其对已知恶意网站、垃圾邮件/钓鱼网站、代理规避网站、色情网站和所有其他被认为对正常业务运营不必要的网站的访问。在可行的情况下，还建议屏蔽供应商尚未分类的任何网站，因为与新的有效商业网站相比，此类网站更可能是恶意的。虽然它在许多组织中可能在政治上不受欢迎，但强烈建议在这一级别阻止访问个人电子邮件、文件共享网站、社交媒体、即时消息和广告网络。文件共享网站、社交媒体等的特殊豁免可根据需要添加。还应禁止将可执行文件（例如.exe、.scr等）下载到端点。许多代理服务器/Web过滤设备还能够使用AV引擎扫描传入的Web内容。如果支持这一点，建议将其打开，并在可行的情况下，使用不同于内部使用的AV引擎，以增加发现相对新的威胁的可能性。应定期更新Web筛选器，以确保恶意网站和其他网站的分类始终是最新的。