【文章內(nèi)容簡介】 解決問題，但是它的缺點(diǎn)是，需要采購高成本的網(wǎng)絡(luò)交換機(jī)和部署客戶端證書的工作相對復(fù)雜。 另一種技術(shù)方案是采用 IPSec通道在實(shí)際網(wǎng)絡(luò)中組建邏輯上的安全網(wǎng)域，其技術(shù)實(shí)現(xiàn)如下圖： 8 U1U2U2X XBDHCPDNSWINSDC安 全 域桌 面非 信 任 區(qū) 域測 試環(huán) 境外 來 機(jī) 器邊 界 服 務(wù) 器基 礎(chǔ) 服 務(wù)排 除 區(qū) 域東 風(fēng) 有 限 網(wǎng) 絡(luò)電 子 郵 件 系 統(tǒng)企 業(yè) 門 戶辦 公 自 動(dòng) 化其 他 機(jī) 器 安全域的建立是由 IPSec通道組建的， IPSec通道的部署可以通過目錄服務(wù)的策略進(jìn)行下發(fā)，只要是加入到目錄服務(wù)域中的桌面都實(shí)施此策略，即建立 IPSec通道，加入到安全域，從而可以 訪問網(wǎng)絡(luò)資源，如電子郵件服務(wù)、企業(yè)門戶、辦公自動(dòng)化等等。 安全域策略的下發(fā)前經(jīng)過測試，然后大規(guī)模部署。 病毒桌面隔離 一旦桌面感染病毒，桌面系統(tǒng)就可能成為一個(gè)病毒源感染其他桌面，或者通過大量發(fā)送數(shù)據(jù)包影響局域網(wǎng)絡(luò)的正常運(yùn)行，從而造成用戶無法使用網(wǎng)絡(luò)資源。 病毒桌面的隔離需要兩個(gè)方面的技術(shù)保障，一方面是快速定位感染病毒的桌面，另一個(gè)方面是從網(wǎng)絡(luò)連接上迅速隔斷病毒桌面。這兩個(gè)方面共同構(gòu)成了病毒桌面隔離的解決方案。 定位感染病毒的桌面可以通過多種手段，比如，通過網(wǎng)絡(luò)監(jiān)控設(shè)備監(jiān)控局域網(wǎng)交換機(jī)的各個(gè)端口，一旦發(fā) 現(xiàn)流量異常即進(jìn)行報(bào)警，通知管理員，也可以通過安全掃描程序，定期掃描網(wǎng)絡(luò)上的桌面系統(tǒng)狀況，如果發(fā)現(xiàn)感染某種病毒的桌面系統(tǒng)，即進(jìn)行報(bào)警，通知管理員。 隔斷病毒桌面的技術(shù)手段是通過定位獲得了病毒桌面的局域網(wǎng)絡(luò)交換機(jī)的端口號，然后通過 SNMP指令向局域網(wǎng)交換機(jī)下達(dá)關(guān)閉的指令。當(dāng)病毒桌面被網(wǎng)絡(luò)隔離后，用戶即會(huì)找到網(wǎng)絡(luò)管理員，尋求幫助，網(wǎng)絡(luò)管理員可以協(xié)助用戶檢查病毒感染情況，必要時(shí)重新安全操作系統(tǒng)，然后開啟網(wǎng)絡(luò)端口。 9 管理監(jiān)控 建立桌面管理監(jiān)控中心，對整個(gè) 政務(wù)網(wǎng) 范圍內(nèi)的桌面計(jì)算機(jī)進(jìn)行集中管理、維護(hù)和支持。在管理中 心通過集中的管理監(jiān)控系統(tǒng)，還可以集中監(jiān)控、管理用于搭建桌面計(jì)算機(jī)支撐平臺的各種應(yīng)用服務(wù)器。 通過建設(shè)管理監(jiān)控系統(tǒng)，技術(shù)上可以實(shí)現(xiàn)： ? 系統(tǒng)、服務(wù)的實(shí)時(shí)監(jiān)控 ； ? 及時(shí)報(bào)警，以便及時(shí)發(fā)現(xiàn)系統(tǒng)故障隱患，盡快采取措施解決； ? 生成各種統(tǒng)計(jì)報(bào)表，為 IT系統(tǒng)規(guī)劃提供有力支持。 通過該管理監(jiān)控系統(tǒng)的使用，可以達(dá)到如下目的， ? 提高系統(tǒng)管理的水平； ? 及時(shí)發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來或潛在的故障問題，及時(shí)響應(yīng)，保證關(guān)鍵系統(tǒng)的運(yùn)行，提高 IT部門的業(yè)務(wù)支持能力； ? 可以 提高工作量， 降低 IT維護(hù)人員的工作量 ，將 IT資源分配到有效提高企業(yè)業(yè)務(wù)能力 的工作中。 在管理中心，通過集中的管理監(jiān)控系統(tǒng)，可以集中監(jiān)控、管理基于桌面計(jì)算機(jī)支撐平臺內(nèi)的各種應(yīng)用服務(wù)器。通過桌面計(jì)算機(jī)管理監(jiān)控系統(tǒng)的使用，可以： ? 提高系統(tǒng)管理的水平； ? 及時(shí)發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來或潛在的故障問題，及時(shí)響應(yīng)，保證關(guān)鍵系統(tǒng)的運(yùn)行，提高 IT部門的業(yè)務(wù)支持能力； ? 還可以降低 IT維護(hù)人員的工作量，減少 IT 管理人員數(shù)量的要求 通過管理監(jiān)控系統(tǒng)，具體可以實(shí)現(xiàn)以下功能： ? 系統(tǒng)、服務(wù)的實(shí)時(shí)監(jiān)控：通過對 Windows平臺和 Windows平臺上應(yīng)用系統(tǒng)的事件、健康情況、性能狀況的監(jiān)控，可以實(shí)現(xiàn)對管理范圍內(nèi)的 重要事件信息的捕獲、評估并及時(shí)呈現(xiàn)給系統(tǒng)管理員，讓系統(tǒng)管理員可以及時(shí)做出反應(yīng)，盡快解決各種潛在的隱患，不至于影響關(guān)鍵應(yīng)用的正常運(yùn)行。 ? 及時(shí)報(bào)警：當(dāng)管理系統(tǒng)捕獲、評估各種事件后，可以通過預(yù)先配置的手段及時(shí)報(bào)警，通知系統(tǒng)管理員。報(bào)警的手段可以是多種多樣的，像呼機(jī)、手機(jī)、短信等，非常靈活。 ? 知識庫支持：管理系統(tǒng)通過內(nèi)置的職能知識庫系統(tǒng)幫助系統(tǒng)管理員根據(jù)發(fā)生的事件盡快診斷出問題所在，以便對癥下藥，解決問題。同時(shí)，還可以不斷完善、豐富知識庫內(nèi)的內(nèi)容，以提高 IT管理的水平。 ? 報(bào)表生成：管理系統(tǒng)提供 智 能和靈活的報(bào)表生成功 能，它預(yù)制多個(gè)針對系統(tǒng)、應(yīng)用系統(tǒng)和 IT環(huán)境的報(bào)表模板。這些模板涵蓋了常用系統(tǒng)監(jiān)控、操作報(bào)告、系統(tǒng)規(guī)劃、 10 性能分析圖表和應(yīng)用有關(guān)的資源、流量和可用性監(jiān)控。而且報(bào)表也可以靈活定制，生成滿足企業(yè)不同級別管理人員要求的報(bào)表。 ? 應(yīng)用系統(tǒng)集成：管理監(jiān)控系統(tǒng)針對常用的系統(tǒng)預(yù)制了 Management Pack，可以提供針對這些系統(tǒng)的管理模板。 管理規(guī)范、標(biāo)準(zhǔn)及流程 為了 有效地管理 IT資源的使用， 有效地實(shí)施最終用戶管理，完成本項(xiàng)目桌面計(jì)算機(jī)安全管理的目標(biāo)，有必要針對 IT 桌面計(jì)算機(jī)的管理制定一系列管理制度，內(nèi)容包括規(guī)范、標(biāo)準(zhǔn)和流程。桌面計(jì)算機(jī)管理制度應(yīng)參考國際流行的 IT管理最佳實(shí)踐方法制定。 圖 10 內(nèi)部定期進(jìn)行桌面計(jì)算機(jī)安全管理規(guī)范檢查。要求對桌面計(jì)算機(jī)用戶進(jìn)行定期培訓(xùn)，內(nèi)容根據(jù)最終用戶操作管理政策的更改及時(shí)更新。桌面計(jì)算機(jī)用戶管理規(guī)范包括如下主要內(nèi)容： 1. 終端設(shè)備使用職責(zé)； 2. 安全保密規(guī)范 ； 3. 知識產(chǎn)權(quán)相關(guān)規(guī)定 ； 4. 身份識別相關(guān)規(guī)定 ； 5. 終端設(shè)備使用安全區(qū)域 ； 6. 桌面和屏幕管理規(guī)范 ； 7. 終端設(shè)備及信息媒介的使用與處置規(guī)范； 8. 操作系統(tǒng)使用規(guī)范； 9. 電子郵件使用規(guī)范； 10. 互聯(lián)網(wǎng)訪問和使用規(guī)范； 11. 惡意代碼和計(jì)算機(jī)犯罪防御。 內(nèi)部定期盤 點(diǎn)硬件及軟件資產(chǎn)，并在信息技術(shù)軟件資產(chǎn)數(shù)據(jù)庫內(nèi)準(zhǔn)確記錄有關(guān)資料，同 11 時(shí)應(yīng)包括記錄最終用戶所要求的軟件及檢測實(shí)際的安裝情況。 參照國際流行的 IT管理最佳實(shí)踐方法，在桌面計(jì)算機(jī)管理的建設(shè)原則指導(dǎo)下，最終完成適合的一整套完善的桌面計(jì)算機(jī)運(yùn)維支撐管理流程，實(shí)現(xiàn)桌面計(jì)算機(jī)服務(wù)體系的搭建和管理。完善如桌面計(jì)算機(jī)特殊軟件的申請流程、桌面計(jì)算機(jī)軟件系統(tǒng)介質(zhì)測試流程、桌面計(jì)算機(jī)硬件更換標(biāo)準(zhǔn)及流程、桌面計(jì)算機(jī)維護(hù)流程等多種滿足桌面計(jì)算機(jī)系統(tǒng)運(yùn)行管理需求的流程，以達(dá)到對桌面計(jì)算機(jī)服務(wù)體系的管理和桌面計(jì)算機(jī)標(biāo)準(zhǔn)化的目的。 12 第三 章 建 議方案 微軟的 System Center Configuration Manager 2020（ SCCM） 正是為實(shí)現(xiàn)上述目標(biāo)而推出 的企業(yè)級 IT 系統(tǒng)管理平臺，可幫助組織輕松 實(shí)現(xiàn) 一目了然 的系統(tǒng)資產(chǎn)管理、 “ 外科手術(shù)” 般精確的軟件分發(fā)、靈活的遠(yuǎn)程控制等，并具有良好的系統(tǒng)擴(kuò)展能力 。 Microsoft 致力于提供整合的技術(shù)和產(chǎn)品，讓 Windows 架構(gòu)系統(tǒng)可以成為最具管理性的使用環(huán)境。這項(xiàng)完整的 Windows 管理解決方案，是以內(nèi)建在 Windows 操作系統(tǒng)內(nèi)的管理服務(wù)和技術(shù)，以及從 Microsoft 所取得可使用的獨(dú)立管理產(chǎn)品等整合為基礎(chǔ)。 IT 管理員 System Center Configuration Manager 2020 來管理組織內(nèi) Windows174。 架構(gòu)的桌面計(jì)算機(jī)。因?yàn)椴渴鹩谶@些組織內(nèi)的部分 Windows PC 已大幅地成長， Systems Management Server 除了幫助了 IT 管理員控制廣泛分散系統(tǒng)的管理費(fèi)用，維持較低的整體成員費(fèi)用，同時(shí)并允許某些部署的 PC 及應(yīng)用程序可以繼續(xù)成長。 Systems Management Server (SMS) 2020 已成為面向全球管理員的重要配置管理和軟件交付工具。現(xiàn)在 Microsoft 正在準(zhǔn)備引入新版的企業(yè)管理解決方案，該新版本采用了新功能和新名稱： System Center Configuration Manager 2020。 System Center 是一系列 Microsoft 產(chǎn)品，旨在相互協(xié)作使復(fù)雜 IT 基礎(chǔ)結(jié)構(gòu)的日常管理變得更加容易、更加經(jīng)濟(jì)高效。 System Center 解決方案基于從 Microsoft174。 Operations Framework (MOF) 和信息技術(shù)基礎(chǔ)結(jié)構(gòu)庫 (ITIL) 派生的自動(dòng)化和最佳實(shí)踐，并可用于組織的所有級別。 Configuration Manager 2020 只是 System Center 系列的一部分。 System Center Data Protection Manager 提供企業(yè)系統(tǒng)備份和恢復(fù)。 System Center Operations Manager 為您提供前瞻性的系統(tǒng)監(jiān)視和自動(dòng)化。 System Center Capacity Planner 可用于容量規(guī)劃和基礎(chǔ)結(jié)構(gòu)部署的假設(shè)性分析。 基于微軟的 System Center Configuration Manager 2020 (SCCM 2020) 構(gòu)建， System Center Configuration Manager（ SCCM）為基于 Microsoft Windows174。的桌面計(jì)算機(jī)和服務(wù)器系統(tǒng)提供了極具成本效益的、可伸縮性的資產(chǎn)與補(bǔ)丁管理。 System Center Configuration Manager與 Microsoft SQL Server?和 Windows 2020 Server 以及 Windows 2020 Server 操作系統(tǒng)完全集成 ， 為桌面終端 提供集 中式變更與配置管理解決方案，以幫助 IT 管理人員大大簡化對基于 Windows 操作系統(tǒng)的 PC設(shè)備進(jìn)行自動(dòng)化管理，分發(fā)最新軟件、及時(shí)更新系統(tǒng)和應(yīng)用補(bǔ)丁、遠(yuǎn)程技術(shù)支持、軟硬件資產(chǎn)跟蹤統(tǒng)計(jì)等。 主要提供功能包括： ? 對計(jì)算機(jī)軟硬件資產(chǎn)自動(dòng)掃描發(fā)現(xiàn) ? 統(tǒng)計(jì)分析系統(tǒng)存在漏洞 ? 自動(dòng)下載最新補(bǔ)丁包并根據(jù)各系統(tǒng)基于 MBSA 掃描結(jié)果的安全漏洞進(jìn)行更新安裝 13 ? 可自動(dòng)分發(fā)安裝其它應(yīng)用程序 ? 可支持?jǐn)帱c(diǎn)續(xù)傳及管理節(jié)點(diǎn)冗余 ? 對客戶端進(jìn)行遠(yuǎn)程診斷管理 ? 定制生成資產(chǎn)及軟件或補(bǔ)丁分發(fā)管理報(bào)表 補(bǔ)丁 中心 補(bǔ)丁管理內(nèi)容 在 本方案 中，如何快速 有效的 為政務(wù)網(wǎng) 的 桌面終端提供一個(gè)統(tǒng)一、及時(shí)、高效和便捷的補(bǔ)丁中心是一 個(gè) 最重要的環(huán)節(jié) 。 補(bǔ)丁管理包括兩個(gè)方面，針對桌面的補(bǔ)丁管理和針對服務(wù)器系統(tǒng)的補(bǔ)丁管理。 ? 桌面系統(tǒng)的補(bǔ)丁管理 通常意義上的桌面系統(tǒng)補(bǔ)丁管理 的方式有以下兩種 手段 ： ? 用戶自助。 用戶通過客戶端工具檢查需要的更新，從 微軟補(bǔ)丁網(wǎng)站 下載軟件進(jìn)行安裝。管理員通過電子郵件通知用戶及時(shí)安裝安全補(bǔ)丁。 ? 系統(tǒng)自動(dòng)更新。 用戶無需參與，實(shí)現(xiàn)系統(tǒng)自動(dòng)的檢測、自動(dòng)分發(fā)和安裝。 桌面系統(tǒng)的補(bǔ)丁類型有 ： ? 操作系統(tǒng)補(bǔ)丁 。及時(shí)安裝操作系統(tǒng)更新補(bǔ)丁，避免成為黑客和病毒的攻擊對象。 ? 應(yīng) 用程序的 補(bǔ)丁 。及時(shí)安裝應(yīng)用程序的補(bǔ)丁，減少安全隱患，增加應(yīng)用程序穩(wěn)定性和功能。應(yīng)用程序包括了 Office 的 補(bǔ)丁 和其它專用應(yīng)用程序的 補(bǔ)丁 。 ? 服務(wù)器系統(tǒng)的補(bǔ)丁管理 服務(wù)器系統(tǒng)是 政務(wù)網(wǎng) 信息系統(tǒng)運(yùn)行核心業(yè)務(wù)應(yīng)用的服務(wù)器，因此，對服務(wù)器系統(tǒng)的補(bǔ)丁需要經(jīng)過評估對現(xiàn)有系統(tǒng)的影響，避 免出現(xiàn)業(yè)務(wù)系統(tǒng)故障。 服務(wù)器系統(tǒng)的 補(bǔ)丁 需要利用自動(dòng)檢測技術(shù)，通過人工的評估，再實(shí)現(xiàn)自動(dòng)分發(fā)和手工安裝。服務(wù)器系統(tǒng) 補(bǔ)丁類型有 ： ? 服務(wù)器操作系統(tǒng) 補(bǔ)丁 。在評估更新對系統(tǒng)的影響后，有選擇的更新服務(wù)器的操作系統(tǒng)補(bǔ)丁。 ? 服務(wù)器應(yīng)用軟件 補(bǔ)丁 。在評估應(yīng)用軟件更新 對現(xiàn)有系統(tǒng)的影響后，有選擇的更新服務(wù)器應(yīng)用軟件。 補(bǔ)丁中心 功能 通過為所有軟件更新和所需配置管理信息創(chuàng)建一個(gè)新的基于狀態(tài)的高優(yōu)先級通道，System Center Configuration Manager 2020 將向托管代理推出更新和定期程序包的方法分離 14 出來。 Configuration Manager 將使用運(yùn)行 Windows Server Update Services (WSUS) 的新軟件更新點(diǎn) (SUP) 服務(wù)器角色在后端作為軟件更新引擎和數(shù)據(jù)庫。 在 Configuration Manager 中， WSUS 能夠在一個(gè)集中位置進(jìn)行所有更新管理。 WSUS支持 Windows 系統(tǒng)（ Windows 2020 全系列、 Windows XP 全系列和 Windows server 2020 全系列）的更新管理外，還可以支持 SQL Server、 Exchange 2020/20 Office XP/2020 等微軟全系列產(chǎn)品 的更新管理 。 System Center Configuration Manager 2020 的安全修補(bǔ)程序管理特性將參照記錄著已發(fā)布重要更新的 Microsoft 網(wǎng)上在線數(shù)據(jù)庫對所有 受控系統(tǒng)上的已安裝軟件進(jìn)行檢驗(yàn)，并就每臺受控計(jì)算機(jī)所需安全修補(bǔ)程序做出報(bào)告。管理人員可借助一個(gè)向?qū)С绦蜃詣?dòng)下載最新修補(bǔ)程序，并將其部署至需要它們的目標(biāo)系統(tǒng)，從而，實(shí)現(xiàn)根據(jù)實(shí)際需要安排部署計(jì)劃、定位部署對象，提高補(bǔ)丁安裝成功率。建立保障系統(tǒng)安全運(yùn)行的補(bǔ)丁分發(fā)體系，對于保障電子政務(wù)網(wǎng)絡(luò)安全具有重要意義，可以最大限度的減少由于系統(tǒng)漏洞導(dǎo)致的病毒攻擊或黑客入侵。 ? 獲得最新補(bǔ)丁發(fā)布的消息 /獲取補(bǔ)丁來源 為了及時(shí)了解補(bǔ)丁發(fā)布情況，補(bǔ)丁管理員應(yīng)該參考完成下列工作： 在 訂閱安全公告的電子郵件通知（你可以選擇中文電子郵件通知）； 定期查閱最新的安全公告 ，及時(shí)查閱微軟安全服務(wù)信息，進(jìn)行補(bǔ)丁分發(fā)工作 ； 如果 SCCM 服務(wù)器不能連接