【正文】 和還原規(guī)劃 .......................................................................................... 44 項(xiàng)目實(shí)施進(jìn)度和工作量估算 ........................................................................ 44 第六章 方案優(yōu)勢(shì) .................................................................................................... 45 產(chǎn)品優(yōu)勢(shì) ........................................................................................................... 45 技術(shù)優(yōu)勢(shì) ........................................................................................................... 45 實(shí)施優(yōu)勢(shì) ........................................................................................................... 46 附件一： AD+SCCM 所需的系統(tǒng)軟硬件 .......................................................................... 47 附件二：廈門(mén)市政務(wù)網(wǎng)桌面安全管理系統(tǒng)預(yù)算方案 ......................................................... 48 第 一章 綜述 這篇文檔描述在 廈門(mén)市政務(wù)網(wǎng) 設(shè)計(jì)和部署 Microsoft174。 背景 電子政務(wù)信息系統(tǒng)通過(guò)政務(wù)信息的共享、交流、協(xié)作，使電子政務(wù)的管理活動(dòng)成為電子政務(wù)的增值過(guò)程：通過(guò)該系統(tǒng)實(shí)現(xiàn)政府在政治、經(jīng)濟(jì)、社會(huì)、生活等領(lǐng)域的管理服務(wù)職能；實(shí)現(xiàn)政府決策信息的發(fā)布與存取，支持決策活動(dòng)：實(shí)現(xiàn)辦公業(yè)務(wù)信息交流和交互式處理，支持政務(wù)執(zhí)行活動(dòng)，以完成政務(wù)活動(dòng)的全過(guò)程 。 廈門(mén)市政務(wù)信息網(wǎng) 分為內(nèi)網(wǎng)和外網(wǎng)， 以政務(wù)信息中心機(jī)房作為網(wǎng)控中心，已經(jīng)建成了連結(jié)市委、市政府各委辦局的內(nèi)部辦公網(wǎng)絡(luò)。擁有郵件服務(wù)、辦公自動(dòng)化服務(wù)、內(nèi)部 WWW 服務(wù)和自身的業(yè)務(wù)系統(tǒng)服務(wù)。 為了保證 政務(wù)網(wǎng) 的可靠性和可用性， 政務(wù)信息中心 每年都為 政務(wù)網(wǎng)的維護(hù)付出大量的人力和物力。 ? 加強(qiáng)完整有效的補(bǔ)丁管理能力。企業(yè)網(wǎng)絡(luò)出口多，一些桌面計(jì)算機(jī)用戶直接通過(guò) ADSL 接入 Inter。受病毒感染的桌面不能及時(shí)隔離和處理，成為病毒源，波及整個(gè)網(wǎng)絡(luò)安全 系統(tǒng)建設(shè)目標(biāo) 在本方案中，信息安全管理建設(shè)中我們將實(shí)現(xiàn)如下目標(biāo)： ? 建立 統(tǒng)一的補(bǔ)丁管理中心， 通過(guò) 政務(wù)網(wǎng)內(nèi)部的補(bǔ)丁中心，可 以及時(shí)從 Inter 下載最新的補(bǔ)丁到政務(wù)網(wǎng)的補(bǔ)丁服務(wù)器，使政務(wù)網(wǎng)內(nèi)的桌面終端能自動(dòng)訪問(wèn)補(bǔ)丁服務(wù)器，及時(shí)進(jìn)行補(bǔ)丁更新。包括接入 控制如管理Inter接入、 Inter 訪問(wèn)控制、桌面計(jì)算機(jī)資產(chǎn)訪問(wèn)許可、病毒桌面隔離、郵件病毒和垃圾郵件控制。深度防御是一種多層方法，它對(duì)資源應(yīng)用多個(gè)策略以保護(hù)其免受外部和內(nèi)部威脅。例如，損壞組織的防火墻并不能使攻擊者不受限制地訪問(wèn)組織最敏感的數(shù)據(jù)。網(wǎng)絡(luò)資源包括局域網(wǎng)絡(luò)和 VPN網(wǎng)絡(luò)。屬于信息產(chǎn)業(yè)局桌面資產(chǎn)的計(jì)算機(jī)在使用網(wǎng)絡(luò)資源時(shí)，感染病毒， 5 并且成為病毒源，利用局域網(wǎng)絡(luò)大量發(fā)送病毒信息，干擾正常的網(wǎng)絡(luò)資源使用； 訪問(wèn)控制 內(nèi)部桌面用戶對(duì)網(wǎng)絡(luò)的使用不只是局限于內(nèi)部網(wǎng)，還需要通過(guò)外部網(wǎng)、互聯(lián)網(wǎng)訪問(wèn)其它應(yīng)用。 接入控制 桌面能夠接入 VPN網(wǎng)絡(luò)的條件是，這臺(tái)桌面正確的安裝了相應(yīng)補(bǔ)丁，安裝了防病毒軟件，并且沒(méi)有感染病毒，這樣的嚴(yán)格要求能夠最大化的減少因?yàn)?VPN接入帶給信息產(chǎn)業(yè)局辦公網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)。 桌面資產(chǎn)訪問(wèn)許可 桌面資產(chǎn)允許訪問(wèn)網(wǎng)絡(luò)資源，例如，可以使用代理服務(wù)器訪問(wèn) Inter，可以訪問(wèn)郵件服務(wù)器收發(fā)郵件，可以訪問(wèn)企業(yè)門(mén)戶、辦公自動(dòng)化等等企業(yè)應(yīng)用，可以訪問(wèn)網(wǎng)絡(luò)打印機(jī)進(jìn)行打印等等。 技術(shù)解決方案從網(wǎng)絡(luò)層面解決問(wèn)題，但是它的缺點(diǎn)是，需要采購(gòu)高成本的網(wǎng)絡(luò)交換機(jī)和部署客戶端證書(shū)的工作相對(duì)復(fù)雜。 病毒桌面的隔離需要兩個(gè)方面的技術(shù)保障，一方面是快速定位感染病毒的桌面，另一個(gè)方面是從網(wǎng)絡(luò)連接上迅速隔斷病毒桌面。當(dāng)病毒桌面被網(wǎng)絡(luò)隔離后，用戶即會(huì)找到網(wǎng)絡(luò)管理員，尋求幫助，網(wǎng)絡(luò)管理員可以協(xié)助用戶檢查病毒感染情況，必要時(shí)重新安全操作系統(tǒng)，然后開(kāi)啟網(wǎng)絡(luò)端口。 通過(guò)該管理監(jiān)控系統(tǒng)的使用，可以達(dá)到如下目的， ? 提高系統(tǒng)管理的水平； ? 及時(shí)發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來(lái)或潛在的故障問(wèn)題，及時(shí)響應(yīng)，保證關(guān)鍵系統(tǒng)的運(yùn)行，提高 IT部門(mén)的業(yè)務(wù)支持能力； ? 可以 提高工作量， 降低 IT維護(hù)人員的工作量 ，將 IT資源分配到有效提高企業(yè)業(yè)務(wù)能力 的工作中。報(bào)警的手段可以是多種多樣的，像呼機(jī)、手機(jī)、短信等，非常靈活。這些模板涵蓋了常用系統(tǒng)監(jiān)控、操作報(bào)告、系統(tǒng)規(guī)劃、 10 性能分析圖表和應(yīng)用有關(guān)的資源、流量和可用性監(jiān)控。桌面計(jì)算機(jī)管理制度應(yīng)參考國(guó)際流行的 IT管理最佳實(shí)踐方法制定。 內(nèi)部定期盤(pán) 點(diǎn)硬件及軟件資產(chǎn)，并在信息技術(shù)軟件資產(chǎn)數(shù)據(jù)庫(kù)內(nèi)準(zhǔn)確記錄有關(guān)資料，同 11 時(shí)應(yīng)包括記錄最終用戶所要求的軟件及檢測(cè)實(shí)際的安裝情況。 Microsoft 致力于提供整合的技術(shù)和產(chǎn)品，讓 Windows 架構(gòu)系統(tǒng)可以成為最具管理性的使用環(huán)境。因?yàn)椴渴鹩谶@些組織內(nèi)的部分 Windows PC 已大幅地成長(zhǎng)， Systems Management Server 除了幫助了 IT 管理員控制廣泛分散系統(tǒng)的管理費(fèi)用，維持較低的整體成員費(fèi)用，同時(shí)并允許某些部署的 PC 及應(yīng)用程序可以繼續(xù)成長(zhǎng)。 System Center 解決方案基于從 Microsoft174。 System Center Operations Manager 為您提供前瞻性的系統(tǒng)監(jiān)視和自動(dòng)化。 System Center Configuration Manager與 Microsoft SQL Server?和 Windows 2020 Server 以及 Windows 2020 Server 操作系統(tǒng)完全集成 ， 為桌面終端 提供集 中式變更與配置管理解決方案，以幫助 IT 管理人員大大簡(jiǎn)化對(duì)基于 Windows 操作系統(tǒng)的 PC設(shè)備進(jìn)行自動(dòng)化管理，分發(fā)最新軟件、及時(shí)更新系統(tǒng)和應(yīng)用補(bǔ)丁、遠(yuǎn)程技術(shù)支持、軟硬件資產(chǎn)跟蹤統(tǒng)計(jì)等。 用戶通過(guò)客戶端工具檢查需要的更新，從 微軟補(bǔ)丁網(wǎng)站 下載軟件進(jìn)行安裝。 桌面系統(tǒng)的補(bǔ)丁類型有 ： ? 操作系統(tǒng)補(bǔ)丁 。應(yīng)用程序包括了 Office 的 補(bǔ)丁 和其它專用應(yīng)用程序的 補(bǔ)丁 。在評(píng)估更新對(duì)系統(tǒng)的影響后，有選擇的更新服務(wù)器的操作系統(tǒng)補(bǔ)丁。 Configuration Manager 將使用運(yùn)行 Windows Server Update Services (WSUS) 的新軟件更新點(diǎn) (SUP) 服務(wù)器角色在后端作為軟件更新引擎和數(shù)據(jù)庫(kù)。管理人員可借助一個(gè)向?qū)С绦蜃詣?dòng)下載最新修補(bǔ)程序，并將其部署至需要它們的目標(biāo)系統(tǒng)，從而，實(shí)現(xiàn)根據(jù)實(shí)際需要安排部署計(jì)劃、定位部署對(duì)象，提高補(bǔ)丁安裝成功率。 MBSA 可以通過(guò)引用 Microsoft 不斷更新和發(fā)布的可擴(kuò)展標(biāo)記語(yǔ)言 XML 文件（ ），來(lái)確定 將哪些關(guān)鍵安全更新應(yīng)用于系統(tǒng)。 在普遍連接實(shí)現(xiàn)之前，商務(wù)旅行者仍將繼續(xù)利用緩慢的、不可預(yù)知的網(wǎng)絡(luò)連接來(lái)開(kāi)展他們的業(yè)務(wù)。通過(guò)這些自定義的視圖，可以快速了解整個(gè) 政務(wù)網(wǎng)內(nèi)桌面終端的補(bǔ)丁更新 狀態(tài)。 16 管理模式 WSUS 支持集中管理和分布管理兩種管理模式， 可以根據(jù)政務(wù)網(wǎng) 的實(shí)際情況進(jìn)行選擇。你只能在安裝 WSUS服務(wù)器的過(guò)程中將 WSUS服務(wù)器配置為復(fù)制服務(wù)器，如果您的組織需要集中管理更新批準(zhǔn)和計(jì)算機(jī)組，便可以實(shí)施此方案。 分布管理 分布管理模式只允許你配置每臺(tái) WSUS服務(wù)器為獨(dú)立管理服務(wù)器，組織結(jié)構(gòu)如下 圖所示，如果你需要將 WSUS委派給其他站點(diǎn)的管理員進(jìn)行控制，則可以采用此模式。 你不能通過(guò)直接訪問(wèn)數(shù)據(jù)庫(kù)來(lái)管理 WSUS，你必須通過(guò) WSUS管理控制臺(tái)來(lái)進(jìn)行管理。它和下面的 MSDE 的區(qū)別是沒(méi)有數(shù)據(jù)庫(kù)大小限制， WMSDE和 MSDE均不附帶管理工具或用戶界面。它基于 SQL Server 2020，但是數(shù)據(jù)庫(kù)大小不能超過(guò) 2GB。 WSUS 安裝時(shí)啟用了數(shù)據(jù)庫(kù)的遞歸觸發(fā)器選項(xiàng)，但是不會(huì)修改服務(wù)器全局的嵌套觸發(fā)器選項(xiàng)。 存儲(chǔ)位置 選擇 更新程序是計(jì)算機(jī)上所安裝軟件的修補(bǔ)程序或整個(gè)文件的替代， Microsoft Update 上的每個(gè)可用更新都由以下兩個(gè)部分構(gòu)成： 元數(shù)據(jù)，提供有關(guān)更新的信息，例如有關(guān)更新程序的屬性信息，從而使您能夠了解更新的用處；此外，元數(shù)據(jù)還包括最終用戶許可協(xié)議（ EULA）。元數(shù)據(jù)存儲(chǔ)在 WSUS數(shù)據(jù)庫(kù)中；而根據(jù)配置同步選項(xiàng)的方式，更新文件可存儲(chǔ)在 WSUS服務(wù)器上，也可存儲(chǔ)在 Microsoft Update 服務(wù)器上。此時(shí) ，更新文件遠(yuǎn)程存儲(chǔ)在 Microsoft Update 上。這些節(jié)省帶寬的特性有： 延遲更新下載 WSUS 允許你分開(kāi) 下載更新程序的元數(shù)據(jù)和更新文件。 對(duì)于鏈?zhǔn)?WSUS服務(wù)，不推薦你部署超過(guò)三級(jí)的鏈?zhǔn)?WSUS服務(wù)，這是因?yàn)椋? 在鏈?zhǔn)?WSUS 服務(wù)中， WSUS自動(dòng)設(shè)置所有下游服務(wù)器使用連接到 Microsoft Update 的WSUS服務(wù)器的延遲更新下載選項(xiàng)，你不能修改這一配置。只有當(dāng)客戶端計(jì)算機(jī)需要時(shí)，你再批準(zhǔn)此更新程序進(jìn)行安裝，此時(shí)WSUS服務(wù)器才會(huì)進(jìn)行更新文件的下 載。雖然你不能在下游服務(wù)器上修改更新過(guò)濾設(shè)置，但是你可以通過(guò)延遲更新下載來(lái)實(shí)現(xiàn)下游服務(wù)器只是下載上游 WSUS服務(wù)器的更新程序中的子集?？焖侔惭b文件特性就是精確的識(shí)別不同版本文件的不同的字節(jié)，然后創(chuàng)建 和分發(fā)僅僅是包含這些不同字節(jié)的更新程序，然后這些更新程序和客戶端計(jì)算機(jī)上的原始文件進(jìn)行整合，從而完成系統(tǒng)更新。 這只適合內(nèi)部網(wǎng)絡(luò)帶寬更為緊張的網(wǎng)絡(luò)環(huán)境，默認(rèn)情況下， WSUS 不使用快速安裝文件特性。 當(dāng)使用服務(wù)器端定位時(shí)，你必須在 WSUS 管理控制臺(tái)中手動(dòng)將客戶端計(jì)算機(jī)對(duì)象移動(dòng)到不同的計(jì)算機(jī)組中；而使用客戶端定位時(shí)，你必須通過(guò)組策略來(lái)告知客戶端計(jì)算機(jī)所加入的計(jì)算機(jī)組。安裝在域環(huán)境下的 WSUS 服務(wù)器也可能不能正常識(shí)別非域成員的客戶端計(jì)算機(jī)，就算這些客戶端計(jì)算機(jī)可以正常通過(guò)此WSUS服務(wù)器進(jìn)行更新。你需要對(duì)更新進(jìn)行批準(zhǔn)，以便進(jìn)行安裝或檢測(cè)；你可以選擇一個(gè)或多個(gè)更新進(jìn)行批準(zhǔn)，如果選擇多個(gè)更新，那么客戶端計(jì)算機(jī)會(huì)一次性進(jìn)行安裝。如果顯示為需要，則表明客戶端計(jì)算機(jī)需要此更新。當(dāng)你使用此方式時(shí)，批準(zhǔn)更新所應(yīng)用到的計(jì)算機(jī)組中的客戶端計(jì)算機(jī)將根據(jù)自己的設(shè)置來(lái)決定如何安裝更新程序，可能會(huì)提示當(dāng)前的用戶進(jìn)行安裝，也可以根據(jù)組策略的設(shè)置自動(dòng)進(jìn)行安裝。注意，你不能為需要用戶輸入的更新程序進(jìn)行最后期限定義的自動(dòng)安裝，否則安裝會(huì)失敗。只有在查看視圖中選擇查看已拒絕或者所有更新時(shí)才可見(jiàn)。 未許可 這是默認(rèn)的批準(zhǔn)選項(xiàng)。你可以通過(guò)更新程序的分類和計(jì)算機(jī)組來(lái)決定自動(dòng)批準(zhǔn)檢測(cè)或自動(dòng)批準(zhǔn)安裝，當(dāng)兩者規(guī)則出現(xiàn)沖突時(shí)，以自動(dòng)批準(zhǔn)安裝的規(guī)則為準(zhǔn)。如果你取消此選 項(xiàng)，你必須手動(dòng)對(duì)新的更新程序進(jìn)行批準(zhǔn)。對(duì)于取代以前某個(gè)更新的更新程序， WSUS 并不是自動(dòng)批準(zhǔn)。 配置客戶端計(jì)算機(jī)進(jìn)行自動(dòng)更新 前面所涉及的都是 WSUS服務(wù)器的配置，你還需要配置客戶端計(jì)算機(jī)通過(guò) WSUS服務(wù)器來(lái)進(jìn)行自動(dòng)更新。自動(dòng)更新是通過(guò)配置組策略中 Windows Update 管理模板來(lái)實(shí)現(xiàn)的，具體的位置在計(jì)算機(jī)配置 管理模板 Windows組件 Windows Update，如果你沒(méi)有找到此模板，可以右擊管理模板選擇添加 /刪 除 模 板 再 選 擇 添加 %systemroot% 模板。 ? 自動(dòng)下載并通知安裝。 ? 允許本地管理員選擇設(shè)置。 指定 Intra Microsoft 更新服務(wù)位置。通過(guò)此選項(xiàng)，當(dāng)你在 WSUS 服務(wù)器上配置計(jì)算機(jī)分組使用客戶端定位時(shí)，你可以配置應(yīng)用此組策略的客戶端計(jì)算機(jī)自動(dòng)加入到此選項(xiàng)所配置的計(jì)算機(jī)組中。這就允許那些不符合要求的系統(tǒng)在部署開(kāi)始前得到升級(jí)，從而，確保實(shí)現(xiàn)較高的項(xiàng)目整體成功率。已經(jīng)提供的標(biāo)準(zhǔn)報(bào)告涉及多種目錄、軟件使用活動(dòng)和 SCCM操作選項(xiàng)。 27 應(yīng)用軟件分發(fā) SCCM 特性集的一項(xiàng)關(guān)鍵優(yōu)勢(shì)一直是該產(chǎn)品針對(duì)基于 Windows 操作系統(tǒng)之桌面計(jì)算機(jī)、筆記本電腦和服務(wù)器的強(qiáng)大而靈活的軟件部署支持。 舉例來(lái)說(shuō)，管理人員可借助 SCCM將一個(gè)新的服務(wù)軟件包部署至公司范圍內(nèi)基于 Windows NT 操作系統(tǒng)的所有服務(wù)器。 在各級(jí)網(wǎng)絡(luò)以本地方式部署 SCCM并配備多種帶寬管理特性的分布式體系結(jié)構(gòu)允許在不會(huì)導(dǎo)致網(wǎng)絡(luò)超負(fù)荷運(yùn)轉(zhuǎn)、關(guān)鍵業(yè)務(wù)通訊中斷或?yàn)橛脩魩?lái)不便的前提下輕而易舉地將軟件部署至規(guī)模極大的應(yīng)用環(huán)境。通過(guò)使用遠(yuǎn)程啟動(dòng)工具，管理員可以重新啟動(dòng)客 戶端計(jì)算機(jī)。 28 文件傳輸 —— 使用文件傳輸工具，管理員可以在基于 Systems Management