【正文】 將從可用更新列表中刪除，而不再進(jìn)行任何其他操作。在批準(zhǔn)更新時(shí)，你可以選擇客戶端計(jì)算機(jī)安裝更新的不同方式： 使用客戶端計(jì)算機(jī)的設(shè)置來決定如何安裝更新。 批準(zhǔn)更新 當(dāng) WSUS服務(wù)器同步后，將根據(jù)配置情況獲得相應(yīng)的更新列表。 對(duì)于具有 500個(gè)或者更低數(shù)目的客戶端計(jì)算機(jī)的 WSUS服務(wù)器的硬件需求 需求 最低 推薦 CPU 750 MHz 1 GHz 或更高 內(nèi)存 512 MB 1 GB 數(shù)據(jù)庫(kù)軟件 WMSDE/MSDE WMSDE/MSDE 對(duì)于具有 500 個(gè)～ 15000 個(gè)客戶端計(jì)算機(jī)的 WSUS 服務(wù)器的硬件需求 需求 最低 推薦 CPU 1 GHz 或更高 3 GHz 或更高的雙處理器（超過 10000 個(gè)客戶時(shí)使用雙處理器） 內(nèi)存 1 GB 1 GB 數(shù)據(jù)庫(kù)軟件 WMSDE/具有 SP3a 的 SQL Server2020 WMSDE/具有 SP3a 的 SQL Server2020 決定計(jì)算機(jī)組分配選項(xiàng) 23 決定如何將計(jì)算機(jī)分配到計(jì)算機(jī)組具有三個(gè)步驟：首先，你必須選擇計(jì)算機(jī)組分配的選項(xiàng)，你可以選擇服務(wù)器端定位或客戶端定位；其次，在 WSUS服務(wù)器中創(chuàng)建對(duì)應(yīng)的計(jì)算機(jī)組；最后，根據(jù)你選擇的分配選項(xiàng)，使用不同的方式來將計(jì)算機(jī)進(jìn)行分組。 更新程序通常是由客戶端計(jì)算機(jī)上已經(jīng)安裝的文件的更新版本組成，在文件的二進(jìn)制級(jí)別上來說，它們的區(qū)別并不大。 21 延遲更新下載和批準(zhǔn)更新進(jìn)行檢測(cè)時(shí)一起工作非常有用，一方面節(jié)省了大量的外部網(wǎng)絡(luò)帶寬，另外一方面，通過更新程序元數(shù)據(jù)的下載以及批準(zhǔn)進(jìn)行檢測(cè)，就可以知道客戶端計(jì)算機(jī)是否需要此更新程序。 決定性能選項(xiàng) WSUS 提供了一些節(jié)省帶寬的特性，你可以根據(jù)你的部署來進(jìn)行選擇。 將更新同步到 WSUS服務(wù)器時(shí)，元數(shù)據(jù)和更新文件將存儲(chǔ)在兩個(gè)不 同的位置。 具有 SP3a補(bǔ)丁的 Microsoft SQL Server 2020，在安裝 WSUS之前必須啟用了 SQL Server的嵌套觸發(fā)器選項(xiàng)。 你可以使用和 Microsoft SQL 完全兼容的數(shù)據(jù)庫(kù)來作為 WSUS 數(shù)據(jù)庫(kù)，但是推薦你使 用以下三種之一： WSUS附帶的 Microsoft Windows SQL Server 2020桌面引擎（ WMSDE），只存在于安裝 19 在 Windows server 2020 上的 WSUS 服務(wù)器中，并且在 Windows server 2020 上安裝 WSUS時(shí)默認(rèn)會(huì)安裝 WMSDE。這避免了當(dāng)在主服務(wù)器上修改了語言選項(xiàng)時(shí)，主服務(wù)器上批準(zhǔn)的更新程序數(shù)和復(fù)制服務(wù)器上批準(zhǔn)的更新程序數(shù)不匹配。 部署 WSUS 服務(wù)時(shí)， 補(bǔ)丁管理員 先 通過在其他連接到 Inter 上的 WSUS 服 務(wù)器上導(dǎo)出更新程序數(shù)據(jù)，再通過其他媒體復(fù)制到政務(wù)網(wǎng)的 WSUS 服務(wù)器上，最后導(dǎo)入更新程序數(shù)據(jù)，此過程如下圖所示。 ? 新機(jī)器或長(zhǎng)時(shí)間關(guān)機(jī)的機(jī)器自動(dòng)補(bǔ)丁升級(jí) 對(duì)于新機(jī)器和一些很久沒有連入網(wǎng)絡(luò)的機(jī)器而言，通過網(wǎng)絡(luò)發(fā)現(xiàn)后，使用軟件安全策略，在發(fā)現(xiàn)這些機(jī)器不符合政府部門網(wǎng)絡(luò)的安全要求時(shí)，網(wǎng)絡(luò) 補(bǔ)丁服務(wù)器將自動(dòng)把補(bǔ)丁發(fā)到這些機(jī)器上，并且在這些機(jī)器安裝完補(bǔ)丁前，將禁止這些機(jī)器在網(wǎng)絡(luò)中的權(quán)限和使用。 System Center Configuration Manager 2020 的安全修補(bǔ)程序管理特性將參照記錄著已發(fā)布重要更新的 Microsoft 網(wǎng)上在線數(shù)據(jù)庫(kù)對(duì)所有 受控系統(tǒng)上的已安裝軟件進(jìn)行檢驗(yàn)，并就每臺(tái)受控計(jì)算機(jī)所需安全修補(bǔ)程序做出報(bào)告。服務(wù)器系統(tǒng) 補(bǔ)丁類型有 ： ? 服務(wù)器操作系統(tǒng) 補(bǔ)丁 。 用戶無需參與，實(shí)現(xiàn)系統(tǒng)自動(dòng)的檢測(cè)、自動(dòng)分發(fā)和安裝。的桌面計(jì)算機(jī)和服務(wù)器系統(tǒng)提供了極具成本效益的、可伸縮性的資產(chǎn)與補(bǔ)丁管理。 System Center 是一系列 Microsoft 產(chǎn)品，旨在相互協(xié)作使復(fù)雜 IT 基礎(chǔ)結(jié)構(gòu)的日常管理變得更加容易、更加經(jīng)濟(jì)高效。 12 第三 章 建 議方案 微軟的 System Center Configuration Manager 2020（ SCCM） 正是為實(shí)現(xiàn)上述目標(biāo)而推出 的企業(yè)級(jí) IT 系統(tǒng)管理平臺(tái)，可幫助組織輕松 實(shí)現(xiàn) 一目了然 的系統(tǒng)資產(chǎn)管理、 “ 外科手術(shù)” 般精確的軟件分發(fā)、靈活的遠(yuǎn)程控制等，并具有良好的系統(tǒng)擴(kuò)展能力 。 管理規(guī)范、標(biāo)準(zhǔn)及流程 為了 有效地管理 IT資源的使用， 有效地實(shí)施最終用戶管理，完成本項(xiàng)目桌面計(jì)算機(jī)安全管理的目標(biāo)，有必要針對(duì) IT 桌面計(jì)算機(jī)的管理制定一系列管理制度，內(nèi)容包括規(guī)范、標(biāo)準(zhǔn)和流程。 ? 及時(shí)報(bào)警：當(dāng)管理系統(tǒng)捕獲、評(píng)估各種事件后，可以通過預(yù)先配置的手段及時(shí)報(bào)警，通知系統(tǒng)管理員。 隔斷病毒桌面的技術(shù)手段是通過定位獲得了病毒桌面的局域網(wǎng)絡(luò)交換機(jī)的端口號(hào)，然后通過 SNMP指令向局域網(wǎng)交換機(jī)下達(dá)關(guān)閉的指令。 部署計(jì)算機(jī)證書和部署用戶證書可以采用目錄服務(wù)的策略進(jìn)行自動(dòng)分發(fā)，前提條件是，在一個(gè)可聯(lián)網(wǎng)的環(huán)境中將兩個(gè)證書分發(fā)，然后，將桌面下發(fā)給用戶使用。 建議如下安全解決方案： ? 建立基于應(yīng)用層的安全防火墻； ? 建立、健全 網(wǎng)絡(luò) 訪問 監(jiān)控 機(jī)制； ? 完善網(wǎng)絡(luò) 入侵檢測(cè) 系統(tǒng)； ? 構(gòu)建 病毒過濾網(wǎng)關(guān) 防護(hù)機(jī)制； 采用的互聯(lián)網(wǎng)安全和加速（ Inter Security and Acceleration， ISA）服務(wù)器可實(shí)現(xiàn)上述功能，并同時(shí)提供訪問代理（ Proxy）和網(wǎng)站緩存服務(wù)（ Web Cache），且有良好的擴(kuò)展性。 接入控制 接入控制主要解決桌面計(jì)算機(jī)對(duì)于網(wǎng)絡(luò)資 源的使用問題。我們推薦考慮采用深度防御的思想建立層次化的安全防御系統(tǒng)。很多用戶桌面計(jì)算機(jī)由于配置較低無法接受有效管理，從本質(zhì)上不利于發(fā)揮工作人員的工作效率 ? 對(duì)于系統(tǒng)出現(xiàn)嚴(yán)重問題時(shí)的相應(yīng)機(jī)制。 System Center Configuration Manager 2020 對(duì)政務(wù)網(wǎng)桌面終端 實(shí)現(xiàn) 資產(chǎn)、軟件分發(fā)、補(bǔ)丁管理 、信息安全和監(jiān)控系統(tǒng)的管理建議和手段 . 需求 分析 結(jié)合 政務(wù)網(wǎng) 的管理實(shí)際現(xiàn)狀，需要強(qiáng)化對(duì)桌面計(jì)算機(jī)的自動(dòng)化管理能力的地方有如下幾個(gè)方面： ? 政務(wù)網(wǎng)內(nèi)的桌面終端由于不能和 Inter 網(wǎng)直接互連，導(dǎo)致桌面系統(tǒng)的補(bǔ)丁尤其是操作系統(tǒng)的補(bǔ)丁不方便更新，給政務(wù)網(wǎng)內(nèi)部的安全帶來極大的隱患。 網(wǎng)絡(luò)覆蓋市委、市政府各職能部門，總共有 約 5000 余臺(tái)計(jì)算機(jī)設(shè)備，其中包括了 數(shù)十 臺(tái) Windows 服務(wù)器。當(dāng) 業(yè)務(wù) 需求或技術(shù)需求變化時(shí)該設(shè)計(jì)可能會(huì)被修改和優(yōu)化。為了滿足安全需求，贏得挑戰(zhàn)， 必須建立完善的安全體系架構(gòu)，以適應(yīng)迅速發(fā)展的業(yè)務(wù)需求與技術(shù)要求。三層交換機(jī)、路由器和核心政務(wù)網(wǎng)之間做靜態(tài)路由，從而使各業(yè)務(wù)部門系統(tǒng)數(shù)據(jù)運(yùn)行在一條專用通 道上，在網(wǎng)絡(luò)層上為各業(yè)務(wù)部門內(nèi)部的各種應(yīng)用系統(tǒng)提供一個(gè)安全、保密的運(yùn)行環(huán)境。此外，缺乏工具對(duì)補(bǔ)丁的分發(fā)給出及時(shí)有效地分析和監(jiān)控 ； ? 提供 IT 管理相應(yīng)的手段、政策和制度。 ? 信息安全管理的基礎(chǔ)平臺(tái)，奠定 IT 管理和應(yīng)用服務(wù)的基礎(chǔ)，為信息化建設(shè)構(gòu)筑堅(jiān)強(qiáng)的技術(shù)架構(gòu)。深度防御策略部署包括全方位的保護(hù)性措施，從外部路由器直到您資源的所在位置以及兩者之間的所有位置點(diǎn)。在目前的網(wǎng)絡(luò)資源使用中，有如下突出問題需要解決： ? Inter 訪問控制； ? VPN 接入控制。其技術(shù) 方案如下圖： 6 V P N 桌 面內(nèi) 部 網(wǎng) 絡(luò)隔 離 網(wǎng) 絡(luò) 資 源客 戶 端 桌 面 連 接12V P N 服 務(wù) 器 （ I S A S e r v e r ） 將 桌 面連 接 到 隔 離 的 網(wǎng) 絡(luò) 資 源 ， 只 能 訪 問有 限 服 務(wù)3運(yùn) 行 在 桌 面 的 腳 本 進(jìn)行 桌 面 配 置 的 檢 查4腳 本 發(fā) 送 “ 成 功 ”命 令 給 V P N 服 務(wù) 器 5V P N 服 務(wù) 器 將 桌 面 連 接 到內(nèi) 部 網(wǎng) 絡(luò)???? VPN接入控制在客戶端需要進(jìn)行腳本的定義和開發(fā)，可以根據(jù)安全規(guī)范的要求定義出客戶端腳本的需求。 安全域策略的下發(fā)前經(jīng)過測(cè)試，然后大規(guī)模部署。在管理中 心通過集中的管理監(jiān)控系統(tǒng)，還可以集中監(jiān)控、管理用于搭建桌面計(jì)算機(jī)支撐平臺(tái)的各種應(yīng)用服務(wù)器。同時(shí)，還可以不斷完善、豐富知識(shí)庫(kù)內(nèi)的內(nèi)容，以提高 IT管理的水平。要求對(duì)桌面計(jì)算機(jī)用戶進(jìn)行定期培訓(xùn)，內(nèi)容根據(jù)最終用戶操作管理政策的更改及時(shí)更新。 IT 管理員 System Center Configuration Manager 2020 來管理組織內(nèi) Windows174。 Configuration Manager 2020 只是 System Center 系列的一部分。 補(bǔ)丁管理包括兩個(gè)方面，針對(duì)桌面的補(bǔ)丁管理和針對(duì)服務(wù)器系統(tǒng)的補(bǔ)丁管理。 ? 應(yīng) 用程序的 補(bǔ)丁 。在評(píng)估應(yīng)用軟件更新 對(duì)現(xiàn)有系統(tǒng)的影響后，有選擇的更新服務(wù)器應(yīng)用軟件。 ? 獲得最新補(bǔ)丁發(fā)布的消息 /獲取補(bǔ)丁來源 為了及時(shí)了解補(bǔ)丁發(fā)布情況，補(bǔ)丁管理員應(yīng)該參考完成下列工作： 在 訂閱安全公告的電子郵件通知（你可以選擇中文電子郵件通知）； 定期查閱最新的安全公告 ，及時(shí)查閱微軟安全服務(wù)信息，進(jìn)行補(bǔ)丁分發(fā)工作 ； 如果 SCCM 服務(wù)器不能連接 Inter ，需要定期下載最新的安全補(bǔ)丁列表 并 復(fù) 制 到SCCM 服務(wù)器上 ； 當(dāng)有新的安全公告發(fā)布后，評(píng)估它對(duì) 政府部門 內(nèi)部環(huán)境的影響并決定是否安裝該安全補(bǔ)??； 若決定安裝該安全補(bǔ)丁，下載該安全補(bǔ)丁 (若該補(bǔ)丁對(duì)不同的操作系統(tǒng)有不同的文件，則不同操作系統(tǒng)的補(bǔ)丁都要下載 )并先 在 測(cè)試實(shí)驗(yàn)室中的計(jì)算機(jī)上部署 ； 該安全補(bǔ)丁通過測(cè)試后，正式部署到 政府 中所有計(jì)算機(jī) ； 檢查安全補(bǔ)丁分發(fā)結(jié)果，定期生成報(bào)表。 ? 補(bǔ)丁分級(jí)發(fā)送 對(duì)于復(fù)雜網(wǎng)絡(luò)架構(gòu)，由于網(wǎng)絡(luò)帶寬和管理策略的要求，可能需要建立補(bǔ)丁的分級(jí)分發(fā)模式， SCCM 在建立多級(jí)架構(gòu)時(shí)，可以在各級(jí)分發(fā)服務(wù)器自動(dòng)完成補(bǔ)丁的分發(fā)同步操作，優(yōu)化網(wǎng)絡(luò)帶寬使用 。你在主服務(wù)器上創(chuàng)建的計(jì)算機(jī)組和更新的批準(zhǔn)信息將復(fù)制到所有的復(fù)制服務(wù)器中。你可以配置 WSUS服務(wù)器從 Windows Update 或者從其他 WSUS服務(wù)器中獲取更新程序，但是如果配置為從其他 WSUS服務(wù)器中獲取更新程序時(shí)，上游 WSUS服務(wù)器只把更新元數(shù)據(jù)和更新文件同步到下游 WSUS服務(wù)器中，而不包含其他的信息，例如計(jì)算機(jī)組和更新批準(zhǔn)信息。建議你總 是在 Windows server 2020 上部署 WSUS服務(wù)，并且總是使用 WMSDE數(shù)據(jù)庫(kù)。 ? 無論使用任何數(shù)據(jù)庫(kù)類型， WSUS 只支持 Windows 認(rèn)證。為了進(jìn)行本地存儲(chǔ)，安裝時(shí) WSUS服務(wù)器至少需要 6G 的剩余空間來存儲(chǔ)更新文件，推薦 30G，但是根據(jù)不同的產(chǎn)品及分類同 20 步選項(xiàng)，更新文件可能會(huì)超過 30G。這種方案同時(shí)節(jié)省了帶寬和 WSUS 服務(wù)器空間，因?yàn)橹挥行枰惭b的更新程序才會(huì)完全下載到 WSUS服務(wù)器。 在鏈?zhǔn)?WSUS 服務(wù)器環(huán)境中， WSUS 自動(dòng)設(shè)置所有下游服務(wù)器使用直接連接到 Windows Update的 WSUS服務(wù)器的更新過濾選項(xiàng)，從另一方面來說，你不能在任何下游服務(wù)器上設(shè)置過濾選項(xiàng)。 因?yàn)榭焖侔惭b文件必須考慮每個(gè)文件的任何可能性，所以 WSUS 服務(wù)器從 Microsoft Update 下載的快速安裝文件通常比正常的更新文件大，當(dāng)使用快速安裝文件特性時(shí)，它所 22 消耗的外部網(wǎng)絡(luò)帶寬要比正常的更新文件多。 在你可以在 WSUS 服務(wù)器上管理某個(gè)客戶端計(jì)算機(jī)之前，你必須先讓此客戶端計(jì)算機(jī)和WSUS服務(wù)器進(jìn)行通訊。但是， WSUS會(huì)在批準(zhǔn)更新對(duì)話框上所應(yīng)用到的計(jì)算機(jī)組上進(jìn)行檢測(cè)，以確定此更新是否適合客戶端計(jì)算機(jī)或者客戶端計(jì)算機(jī)是否需要。當(dāng)你使用此方式，你可以指定更新程序在客戶端計(jì)算機(jī)上安裝的日期和時(shí)間，此設(shè)置會(huì)覆蓋客戶端計(jì)算機(jī)上的任何設(shè)置。此選項(xiàng)只有更新支持刪除時(shí)才會(huì)出現(xiàn)。 另外，你可以選擇自動(dòng)批準(zhǔn)更新的最新修訂，這也是默認(rèn)選項(xiàng)。對(duì)于這種情況，你應(yīng)該批準(zhǔn)此取代更新進(jìn)行檢測(cè)，然后觀察此取代更新檢測(cè)后的狀態(tài)，看客戶端計(jì)算機(jī)是否需要此取代更新，然后再根據(jù)情況進(jìn)行批準(zhǔn)安裝操作。必須設(shè)置為已啟用，然后選擇以下方式之一： ? 通知下載并通知安裝。例如，他們可以選擇自己的計(jì)劃安裝時(shí)間 ，但是不允許本地管理員禁用自動(dòng)更新。各種各樣的報(bào)告將基于結(jié)果數(shù)據(jù)生成，以幫助組織機(jī)構(gòu)制定軟件升級(jí)計(jì)劃，跟蹤計(jì)算機(jī)與軟件資產(chǎn)，或檢查軟件許可證的有效性。每個(gè)底層報(bào)告均可為管理人員提供更多詳細(xì)信息，直到關(guān)于單個(gè)計(jì)算機(jī)或用戶的完整目錄信息 被全部顯示出來。而軟件包的實(shí)際安裝則可被安排在非高峰時(shí)段分別針對(duì)全球范圍內(nèi)的每個(gè)辦公機(jī)構(gòu)執(zhí)行。當(dāng)一個(gè)管理員啟動(dòng)一個(gè)會(huì)話進(jìn)程時(shí)，在 Systems Management Server Administrator 計(jì)算機(jī)和被選中的客戶端計(jì)算機(jī)上都將出現(xiàn)遠(yuǎn)程對(duì)話窗口。 遠(yuǎn)程訪問 管理員日常工作中有大量工作是對(duì)桌面系統(tǒng)的使用問題或故障提供技術(shù)支持， SCCM 提供了一系列的信息技術(shù)支持工具讓管理員進(jìn)行遠(yuǎn)程訪問， 提高支持效率，降低工作負(fù)擔(dān)。軟件包還可在允許最終用戶干預(yù)或無需最終用戶干預(yù)的情況下實(shí)現(xiàn)部署，而任何 IT 支持人員均不必親 身前往目標(biāo)系統(tǒng)。 SCCM借助 WMI提供內(nèi)容盡可能豐富的系統(tǒng)數(shù)據(jù)集（包含 BIOS、主板和封裝數(shù)據(jù)）。 除此