【文章內容簡介】 解決問題，但是它的缺點是，需要采購高成本的網(wǎng)絡交換機和部署客戶端證書的工作相對復雜。 另一種技術方案是采用 IPSec通道在實際網(wǎng)絡中組建邏輯上的安全網(wǎng)域，其技術實現(xiàn)如下圖： 8 U1U2U2X XBDHCPDNSWINSDC安 全 域桌 面非 信 任 區(qū) 域測 試環(huán) 境外 來 機 器邊 界 服 務 器基 礎 服 務排 除 區(qū) 域東 風 有 限 網(wǎng) 絡電 子 郵 件 系 統(tǒng)企 業(yè) 門 戶辦 公 自 動 化其 他 機 器 安全域的建立是由 IPSec通道組建的， IPSec通道的部署可以通過目錄服務的策略進行下發(fā)，只要是加入到目錄服務域中的桌面都實施此策略，即建立 IPSec通道，加入到安全域，從而可以 訪問網(wǎng)絡資源，如電子郵件服務、企業(yè)門戶、辦公自動化等等。 安全域策略的下發(fā)前經(jīng)過測試，然后大規(guī)模部署。 病毒桌面隔離 一旦桌面感染病毒，桌面系統(tǒng)就可能成為一個病毒源感染其他桌面，或者通過大量發(fā)送數(shù)據(jù)包影響局域網(wǎng)絡的正常運行，從而造成用戶無法使用網(wǎng)絡資源。 病毒桌面的隔離需要兩個方面的技術保障，一方面是快速定位感染病毒的桌面，另一個方面是從網(wǎng)絡連接上迅速隔斷病毒桌面。這兩個方面共同構成了病毒桌面隔離的解決方案。 定位感染病毒的桌面可以通過多種手段，比如，通過網(wǎng)絡監(jiān)控設備監(jiān)控局域網(wǎng)交換機的各個端口，一旦發(fā) 現(xiàn)流量異常即進行報警，通知管理員，也可以通過安全掃描程序，定期掃描網(wǎng)絡上的桌面系統(tǒng)狀況，如果發(fā)現(xiàn)感染某種病毒的桌面系統(tǒng)，即進行報警，通知管理員。 隔斷病毒桌面的技術手段是通過定位獲得了病毒桌面的局域網(wǎng)絡交換機的端口號，然后通過 SNMP指令向局域網(wǎng)交換機下達關閉的指令。當病毒桌面被網(wǎng)絡隔離后，用戶即會找到網(wǎng)絡管理員，尋求幫助，網(wǎng)絡管理員可以協(xié)助用戶檢查病毒感染情況，必要時重新安全操作系統(tǒng)，然后開啟網(wǎng)絡端口。 9 管理監(jiān)控 建立桌面管理監(jiān)控中心，對整個 政務網(wǎng) 范圍內的桌面計算機進行集中管理、維護和支持。在管理中 心通過集中的管理監(jiān)控系統(tǒng)，還可以集中監(jiān)控、管理用于搭建桌面計算機支撐平臺的各種應用服務器。 通過建設管理監(jiān)控系統(tǒng)，技術上可以實現(xiàn)： ? 系統(tǒng)、服務的實時監(jiān)控 ； ? 及時報警，以便及時發(fā)現(xiàn)系統(tǒng)故障隱患，盡快采取措施解決； ? 生成各種統(tǒng)計報表，為 IT系統(tǒng)規(guī)劃提供有力支持。 通過該管理監(jiān)控系統(tǒng)的使用，可以達到如下目的， ? 提高系統(tǒng)管理的水平； ? 及時發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來或潛在的故障問題，及時響應，保證關鍵系統(tǒng)的運行，提高 IT部門的業(yè)務支持能力； ? 可以 提高工作量， 降低 IT維護人員的工作量 ，將 IT資源分配到有效提高企業(yè)業(yè)務能力 的工作中。 在管理中心，通過集中的管理監(jiān)控系統(tǒng)，可以集中監(jiān)控、管理基于桌面計算機支撐平臺內的各種應用服務器。通過桌面計算機管理監(jiān)控系統(tǒng)的使用，可以： ? 提高系統(tǒng)管理的水平； ? 及時發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來或潛在的故障問題，及時響應，保證關鍵系統(tǒng)的運行，提高 IT部門的業(yè)務支持能力； ? 還可以降低 IT維護人員的工作量，減少 IT 管理人員數(shù)量的要求 通過管理監(jiān)控系統(tǒng)，具體可以實現(xiàn)以下功能： ? 系統(tǒng)、服務的實時監(jiān)控：通過對 Windows平臺和 Windows平臺上應用系統(tǒng)的事件、健康情況、性能狀況的監(jiān)控，可以實現(xiàn)對管理范圍內的 重要事件信息的捕獲、評估并及時呈現(xiàn)給系統(tǒng)管理員，讓系統(tǒng)管理員可以及時做出反應，盡快解決各種潛在的隱患，不至于影響關鍵應用的正常運行。 ? 及時報警：當管理系統(tǒng)捕獲、評估各種事件后，可以通過預先配置的手段及時報警，通知系統(tǒng)管理員。報警的手段可以是多種多樣的，像呼機、手機、短信等，非常靈活。 ? 知識庫支持：管理系統(tǒng)通過內置的職能知識庫系統(tǒng)幫助系統(tǒng)管理員根據(jù)發(fā)生的事件盡快診斷出問題所在，以便對癥下藥，解決問題。同時，還可以不斷完善、豐富知識庫內的內容，以提高 IT管理的水平。 ? 報表生成：管理系統(tǒng)提供 智 能和靈活的報表生成功 能，它預制多個針對系統(tǒng)、應用系統(tǒng)和 IT環(huán)境的報表模板。這些模板涵蓋了常用系統(tǒng)監(jiān)控、操作報告、系統(tǒng)規(guī)劃、 10 性能分析圖表和應用有關的資源、流量和可用性監(jiān)控。而且報表也可以靈活定制，生成滿足企業(yè)不同級別管理人員要求的報表。 ? 應用系統(tǒng)集成：管理監(jiān)控系統(tǒng)針對常用的系統(tǒng)預制了 Management Pack，可以提供針對這些系統(tǒng)的管理模板。 管理規(guī)范、標準及流程 為了 有效地管理 IT資源的使用， 有效地實施最終用戶管理，完成本項目桌面計算機安全管理的目標，有必要針對 IT 桌面計算機的管理制定一系列管理制度，內容包括規(guī)范、標準和流程。桌面計算機管理制度應參考國際流行的 IT管理最佳實踐方法制定。 圖 10 內部定期進行桌面計算機安全管理規(guī)范檢查。要求對桌面計算機用戶進行定期培訓，內容根據(jù)最終用戶操作管理政策的更改及時更新。桌面計算機用戶管理規(guī)范包括如下主要內容： 1. 終端設備使用職責； 2. 安全保密規(guī)范 ； 3. 知識產(chǎn)權相關規(guī)定 ； 4. 身份識別相關規(guī)定 ； 5. 終端設備使用安全區(qū)域 ； 6. 桌面和屏幕管理規(guī)范 ； 7. 終端設備及信息媒介的使用與處置規(guī)范； 8. 操作系統(tǒng)使用規(guī)范； 9. 電子郵件使用規(guī)范； 10. 互聯(lián)網(wǎng)訪問和使用規(guī)范； 11. 惡意代碼和計算機犯罪防御。 內部定期盤 點硬件及軟件資產(chǎn)，并在信息技術軟件資產(chǎn)數(shù)據(jù)庫內準確記錄有關資料，同 11 時應包括記錄最終用戶所要求的軟件及檢測實際的安裝情況。 參照國際流行的 IT管理最佳實踐方法，在桌面計算機管理的建設原則指導下，最終完成適合的一整套完善的桌面計算機運維支撐管理流程，實現(xiàn)桌面計算機服務體系的搭建和管理。完善如桌面計算機特殊軟件的申請流程、桌面計算機軟件系統(tǒng)介質測試流程、桌面計算機硬件更換標準及流程、桌面計算機維護流程等多種滿足桌面計算機系統(tǒng)運行管理需求的流程，以達到對桌面計算機服務體系的管理和桌面計算機標準化的目的。 12 第三 章 建 議方案 微軟的 System Center Configuration Manager 2020（ SCCM） 正是為實現(xiàn)上述目標而推出 的企業(yè)級 IT 系統(tǒng)管理平臺，可幫助組織輕松 實現(xiàn) 一目了然 的系統(tǒng)資產(chǎn)管理、 “ 外科手術” 般精確的軟件分發(fā)、靈活的遠程控制等，并具有良好的系統(tǒng)擴展能力 。 Microsoft 致力于提供整合的技術和產(chǎn)品，讓 Windows 架構系統(tǒng)可以成為最具管理性的使用環(huán)境。這項完整的 Windows 管理解決方案，是以內建在 Windows 操作系統(tǒng)內的管理服務和技術，以及從 Microsoft 所取得可使用的獨立管理產(chǎn)品等整合為基礎。 IT 管理員 System Center Configuration Manager 2020 來管理組織內 Windows174。 架構的桌面計算機。因為部署于這些組織內的部分 Windows PC 已大幅地成長， Systems Management Server 除了幫助了 IT 管理員控制廣泛分散系統(tǒng)的管理費用，維持較低的整體成員費用，同時并允許某些部署的 PC 及應用程序可以繼續(xù)成長。 Systems Management Server (SMS) 2020 已成為面向全球管理員的重要配置管理和軟件交付工具。現(xiàn)在 Microsoft 正在準備引入新版的企業(yè)管理解決方案，該新版本采用了新功能和新名稱： System Center Configuration Manager 2020。 System Center 是一系列 Microsoft 產(chǎn)品，旨在相互協(xié)作使復雜 IT 基礎結構的日常管理變得更加容易、更加經(jīng)濟高效。 System Center 解決方案基于從 Microsoft174。 Operations Framework (MOF) 和信息技術基礎結構庫 (ITIL) 派生的自動化和最佳實踐，并可用于組織的所有級別。 Configuration Manager 2020 只是 System Center 系列的一部分。 System Center Data Protection Manager 提供企業(yè)系統(tǒng)備份和恢復。 System Center Operations Manager 為您提供前瞻性的系統(tǒng)監(jiān)視和自動化。 System Center Capacity Planner 可用于容量規(guī)劃和基礎結構部署的假設性分析。 基于微軟的 System Center Configuration Manager 2020 (SCCM 2020) 構建， System Center Configuration Manager（ SCCM）為基于 Microsoft Windows174。的桌面計算機和服務器系統(tǒng)提供了極具成本效益的、可伸縮性的資產(chǎn)與補丁管理。 System Center Configuration Manager與 Microsoft SQL Server?和 Windows 2020 Server 以及 Windows 2020 Server 操作系統(tǒng)完全集成 ， 為桌面終端 提供集 中式變更與配置管理解決方案，以幫助 IT 管理人員大大簡化對基于 Windows 操作系統(tǒng)的 PC設備進行自動化管理，分發(fā)最新軟件、及時更新系統(tǒng)和應用補丁、遠程技術支持、軟硬件資產(chǎn)跟蹤統(tǒng)計等。 主要提供功能包括： ? 對計算機軟硬件資產(chǎn)自動掃描發(fā)現(xiàn) ? 統(tǒng)計分析系統(tǒng)存在漏洞 ? 自動下載最新補丁包并根據(jù)各系統(tǒng)基于 MBSA 掃描結果的安全漏洞進行更新安裝 13 ? 可自動分發(fā)安裝其它應用程序 ? 可支持斷點續(xù)傳及管理節(jié)點冗余 ? 對客戶端進行遠程診斷管理 ? 定制生成資產(chǎn)及軟件或補丁分發(fā)管理報表 補丁 中心 補丁管理內容 在 本方案 中，如何快速 有效的 為政務網(wǎng) 的 桌面終端提供一個統(tǒng)一、及時、高效和便捷的補丁中心是一 個 最重要的環(huán)節(jié) 。 補丁管理包括兩個方面，針對桌面的補丁管理和針對服務器系統(tǒng)的補丁管理。 ? 桌面系統(tǒng)的補丁管理 通常意義上的桌面系統(tǒng)補丁管理 的方式有以下兩種 手段 ： ? 用戶自助。 用戶通過客戶端工具檢查需要的更新，從 微軟補丁網(wǎng)站 下載軟件進行安裝。管理員通過電子郵件通知用戶及時安裝安全補丁。 ? 系統(tǒng)自動更新。 用戶無需參與，實現(xiàn)系統(tǒng)自動的檢測、自動分發(fā)和安裝。 桌面系統(tǒng)的補丁類型有 ： ? 操作系統(tǒng)補丁 。及時安裝操作系統(tǒng)更新補丁，避免成為黑客和病毒的攻擊對象。 ? 應 用程序的 補丁 。及時安裝應用程序的補丁，減少安全隱患，增加應用程序穩(wěn)定性和功能。應用程序包括了 Office 的 補丁 和其它專用應用程序的 補丁 。 ? 服務器系統(tǒng)的補丁管理 服務器系統(tǒng)是 政務網(wǎng) 信息系統(tǒng)運行核心業(yè)務應用的服務器，因此，對服務器系統(tǒng)的補丁需要經(jīng)過評估對現(xiàn)有系統(tǒng)的影響，避 免出現(xiàn)業(yè)務系統(tǒng)故障。 服務器系統(tǒng)的 補丁 需要利用自動檢測技術，通過人工的評估，再實現(xiàn)自動分發(fā)和手工安裝。服務器系統(tǒng) 補丁類型有 ： ? 服務器操作系統(tǒng) 補丁 。在評估更新對系統(tǒng)的影響后，有選擇的更新服務器的操作系統(tǒng)補丁。 ? 服務器應用軟件 補丁 。在評估應用軟件更新 對現(xiàn)有系統(tǒng)的影響后，有選擇的更新服務器應用軟件。 補丁中心 功能 通過為所有軟件更新和所需配置管理信息創(chuàng)建一個新的基于狀態(tài)的高優(yōu)先級通道，System Center Configuration Manager 2020 將向托管代理推出更新和定期程序包的方法分離 14 出來。 Configuration Manager 將使用運行 Windows Server Update Services (WSUS) 的新軟件更新點 (SUP) 服務器角色在后端作為軟件更新引擎和數(shù)據(jù)庫。 在 Configuration Manager 中， WSUS 能夠在一個集中位置進行所有更新管理。 WSUS支持 Windows 系統(tǒng)（ Windows 2020 全系列、 Windows XP 全系列和 Windows server 2020 全系列）的更新管理外，還可以支持 SQL Server、 Exchange 2020/20 Office XP/2020 等微軟全系列產(chǎn)品 的更新管理 。 System Center Configuration Manager 2020 的安全修補程序管理特性將參照記錄著已發(fā)布重要更新的 Microsoft 網(wǎng)上在線數(shù)據(jù)庫對所有 受控系統(tǒng)上的已安裝軟件進行檢驗，并就每臺受控計算機所需安全修補程序做出報告。管理人員可借助一個向導程序自動下載最新修補程序，并將其部署至需要它們的目標系統(tǒng)，從而，實現(xiàn)根據(jù)實際需要安排部署計劃、定位部署對象，提高補丁安裝成功率。建立保障系統(tǒng)安全運行的補丁分發(fā)體系，對于保障電子政務網(wǎng)絡安全具有重要意義，可以最大限度的減少由于系統(tǒng)漏洞導致的病毒攻擊或黑客入侵。 ? 獲得最新補丁發(fā)布的消息 /獲取補丁來源 為了及時了解補丁發(fā)布情況，補丁管理員應該參考完成下列工作： 在 訂閱安全公告的電子郵件通知（你可以選擇中文電子郵件通知）； 定期查閱最新的安全公告 ，及時查閱微軟安全服務信息，進行補丁分發(fā)工作 ； 如果 SCCM 服務器不能連接