【文章內(nèi)容簡介】 解決問題，但是它的缺點是，需要采購高成本的網(wǎng)絡(luò)交換機和部署客戶端證書的工作相對復雜。 另一種技術(shù)方案是采用 IPSec通道在實際網(wǎng)絡(luò)中組建邏輯上的安全網(wǎng)域，其技術(shù)實現(xiàn)如下圖： 8 U1U2U2X XBDHCPDNSWINSDC安 全 域桌 面非 信 任 區(qū) 域測 試環(huán) 境外 來 機 器邊 界 服 務(wù) 器基 礎(chǔ) 服 務(wù)排 除 區(qū) 域東 風 有 限 網(wǎng) 絡(luò)電 子 郵 件 系 統(tǒng)企 業(yè) 門 戶辦 公 自 動 化其 他 機 器 安全域的建立是由 IPSec通道組建的， IPSec通道的部署可以通過目錄服務(wù)的策略進行下發(fā)，只要是加入到目錄服務(wù)域中的桌面都實施此策略，即建立 IPSec通道，加入到安全域，從而可以 訪問網(wǎng)絡(luò)資源，如電子郵件服務(wù)、企業(yè)門戶、辦公自動化等等。 安全域策略的下發(fā)前經(jīng)過測試，然后大規(guī)模部署。 病毒桌面隔離 一旦桌面感染病毒，桌面系統(tǒng)就可能成為一個病毒源感染其他桌面，或者通過大量發(fā)送數(shù)據(jù)包影響局域網(wǎng)絡(luò)的正常運行，從而造成用戶無法使用網(wǎng)絡(luò)資源。 病毒桌面的隔離需要兩個方面的技術(shù)保障，一方面是快速定位感染病毒的桌面，另一個方面是從網(wǎng)絡(luò)連接上迅速隔斷病毒桌面。這兩個方面共同構(gòu)成了病毒桌面隔離的解決方案。 定位感染病毒的桌面可以通過多種手段，比如，通過網(wǎng)絡(luò)監(jiān)控設(shè)備監(jiān)控局域網(wǎng)交換機的各個端口，一旦發(fā) 現(xiàn)流量異常即進行報警，通知管理員，也可以通過安全掃描程序，定期掃描網(wǎng)絡(luò)上的桌面系統(tǒng)狀況，如果發(fā)現(xiàn)感染某種病毒的桌面系統(tǒng)，即進行報警，通知管理員。 隔斷病毒桌面的技術(shù)手段是通過定位獲得了病毒桌面的局域網(wǎng)絡(luò)交換機的端口號，然后通過 SNMP指令向局域網(wǎng)交換機下達關(guān)閉的指令。當病毒桌面被網(wǎng)絡(luò)隔離后，用戶即會找到網(wǎng)絡(luò)管理員，尋求幫助，網(wǎng)絡(luò)管理員可以協(xié)助用戶檢查病毒感染情況，必要時重新安全操作系統(tǒng)，然后開啟網(wǎng)絡(luò)端口。 9 管理監(jiān)控 建立桌面管理監(jiān)控中心，對整個 政務(wù)網(wǎng) 范圍內(nèi)的桌面計算機進行集中管理、維護和支持。在管理中 心通過集中的管理監(jiān)控系統(tǒng)，還可以集中監(jiān)控、管理用于搭建桌面計算機支撐平臺的各種應用服務(wù)器。 通過建設(shè)管理監(jiān)控系統(tǒng)，技術(shù)上可以實現(xiàn)： ? 系統(tǒng)、服務(wù)的實時監(jiān)控 ； ? 及時報警，以便及時發(fā)現(xiàn)系統(tǒng)故障隱患，盡快采取措施解決； ? 生成各種統(tǒng)計報表，為 IT系統(tǒng)規(guī)劃提供有力支持。 通過該管理監(jiān)控系統(tǒng)的使用，可以達到如下目的， ? 提高系統(tǒng)管理的水平； ? 及時發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來或潛在的故障問題，及時響應，保證關(guān)鍵系統(tǒng)的運行，提高 IT部門的業(yè)務(wù)支持能力； ? 可以 提高工作量， 降低 IT維護人員的工作量 ，將 IT資源分配到有效提高企業(yè)業(yè)務(wù)能力 的工作中。 在管理中心，通過集中的管理監(jiān)控系統(tǒng)，可以集中監(jiān)控、管理基于桌面計算機支撐平臺內(nèi)的各種應用服務(wù)器。通過桌面計算機管理監(jiān)控系統(tǒng)的使用，可以： ? 提高系統(tǒng)管理的水平； ? 及時發(fā)現(xiàn)系統(tǒng)各種已經(jīng)顯現(xiàn)出來或潛在的故障問題，及時響應，保證關(guān)鍵系統(tǒng)的運行，提高 IT部門的業(yè)務(wù)支持能力； ? 還可以降低 IT維護人員的工作量，減少 IT 管理人員數(shù)量的要求 通過管理監(jiān)控系統(tǒng)，具體可以實現(xiàn)以下功能： ? 系統(tǒng)、服務(wù)的實時監(jiān)控：通過對 Windows平臺和 Windows平臺上應用系統(tǒng)的事件、健康情況、性能狀況的監(jiān)控，可以實現(xiàn)對管理范圍內(nèi)的 重要事件信息的捕獲、評估并及時呈現(xiàn)給系統(tǒng)管理員，讓系統(tǒng)管理員可以及時做出反應，盡快解決各種潛在的隱患，不至于影響關(guān)鍵應用的正常運行。 ? 及時報警：當管理系統(tǒng)捕獲、評估各種事件后，可以通過預先配置的手段及時報警，通知系統(tǒng)管理員。報警的手段可以是多種多樣的，像呼機、手機、短信等，非常靈活。 ? 知識庫支持：管理系統(tǒng)通過內(nèi)置的職能知識庫系統(tǒng)幫助系統(tǒng)管理員根據(jù)發(fā)生的事件盡快診斷出問題所在，以便對癥下藥，解決問題。同時，還可以不斷完善、豐富知識庫內(nèi)的內(nèi)容，以提高 IT管理的水平。 ? 報表生成：管理系統(tǒng)提供 智 能和靈活的報表生成功 能，它預制多個針對系統(tǒng)、應用系統(tǒng)和 IT環(huán)境的報表模板。這些模板涵蓋了常用系統(tǒng)監(jiān)控、操作報告、系統(tǒng)規(guī)劃、 10 性能分析圖表和應用有關(guān)的資源、流量和可用性監(jiān)控。而且報表也可以靈活定制，生成滿足企業(yè)不同級別管理人員要求的報表。 ? 應用系統(tǒng)集成：管理監(jiān)控系統(tǒng)針對常用的系統(tǒng)預制了 Management Pack，可以提供針對這些系統(tǒng)的管理模板。 管理規(guī)范、標準及流程 為了 有效地管理 IT資源的使用， 有效地實施最終用戶管理，完成本項目桌面計算機安全管理的目標，有必要針對 IT 桌面計算機的管理制定一系列管理制度，內(nèi)容包括規(guī)范、標準和流程。桌面計算機管理制度應參考國際流行的 IT管理最佳實踐方法制定。 圖 10 內(nèi)部定期進行桌面計算機安全管理規(guī)范檢查。要求對桌面計算機用戶進行定期培訓，內(nèi)容根據(jù)最終用戶操作管理政策的更改及時更新。桌面計算機用戶管理規(guī)范包括如下主要內(nèi)容： 1. 終端設(shè)備使用職責； 2. 安全保密規(guī)范 ； 3. 知識產(chǎn)權(quán)相關(guān)規(guī)定 ； 4. 身份識別相關(guān)規(guī)定 ； 5. 終端設(shè)備使用安全區(qū)域 ； 6. 桌面和屏幕管理規(guī)范 ； 7. 終端設(shè)備及信息媒介的使用與處置規(guī)范； 8. 操作系統(tǒng)使用規(guī)范； 9. 電子郵件使用規(guī)范； 10. 互聯(lián)網(wǎng)訪問和使用規(guī)范； 11. 惡意代碼和計算機犯罪防御。 內(nèi)部定期盤 點硬件及軟件資產(chǎn)，并在信息技術(shù)軟件資產(chǎn)數(shù)據(jù)庫內(nèi)準確記錄有關(guān)資料，同 11 時應包括記錄最終用戶所要求的軟件及檢測實際的安裝情況。 參照國際流行的 IT管理最佳實踐方法，在桌面計算機管理的建設(shè)原則指導下，最終完成適合的一整套完善的桌面計算機運維支撐管理流程，實現(xiàn)桌面計算機服務(wù)體系的搭建和管理。完善如桌面計算機特殊軟件的申請流程、桌面計算機軟件系統(tǒng)介質(zhì)測試流程、桌面計算機硬件更換標準及流程、桌面計算機維護流程等多種滿足桌面計算機系統(tǒng)運行管理需求的流程，以達到對桌面計算機服務(wù)體系的管理和桌面計算機標準化的目的。 12 第三 章 建 議方案 微軟的 System Center Configuration Manager 2020（ SCCM） 正是為實現(xiàn)上述目標而推出 的企業(yè)級 IT 系統(tǒng)管理平臺，可幫助組織輕松 實現(xiàn) 一目了然 的系統(tǒng)資產(chǎn)管理、 “ 外科手術(shù)” 般精確的軟件分發(fā)、靈活的遠程控制等，并具有良好的系統(tǒng)擴展能力 。 Microsoft 致力于提供整合的技術(shù)和產(chǎn)品，讓 Windows 架構(gòu)系統(tǒng)可以成為最具管理性的使用環(huán)境。這項完整的 Windows 管理解決方案，是以內(nèi)建在 Windows 操作系統(tǒng)內(nèi)的管理服務(wù)和技術(shù)，以及從 Microsoft 所取得可使用的獨立管理產(chǎn)品等整合為基礎(chǔ)。 IT 管理員 System Center Configuration Manager 2020 來管理組織內(nèi) Windows174。 架構(gòu)的桌面計算機。因為部署于這些組織內(nèi)的部分 Windows PC 已大幅地成長， Systems Management Server 除了幫助了 IT 管理員控制廣泛分散系統(tǒng)的管理費用，維持較低的整體成員費用，同時并允許某些部署的 PC 及應用程序可以繼續(xù)成長。 Systems Management Server (SMS) 2020 已成為面向全球管理員的重要配置管理和軟件交付工具?，F(xiàn)在 Microsoft 正在準備引入新版的企業(yè)管理解決方案，該新版本采用了新功能和新名稱： System Center Configuration Manager 2020。 System Center 是一系列 Microsoft 產(chǎn)品，旨在相互協(xié)作使復雜 IT 基礎(chǔ)結(jié)構(gòu)的日常管理變得更加容易、更加經(jīng)濟高效。 System Center 解決方案基于從 Microsoft174。 Operations Framework (MOF) 和信息技術(shù)基礎(chǔ)結(jié)構(gòu)庫 (ITIL) 派生的自動化和最佳實踐，并可用于組織的所有級別。 Configuration Manager 2020 只是 System Center 系列的一部分。 System Center Data Protection Manager 提供企業(yè)系統(tǒng)備份和恢復。 System Center Operations Manager 為您提供前瞻性的系統(tǒng)監(jiān)視和自動化。 System Center Capacity Planner 可用于容量規(guī)劃和基礎(chǔ)結(jié)構(gòu)部署的假設(shè)性分析。 基于微軟的 System Center Configuration Manager 2020 (SCCM 2020) 構(gòu)建， System Center Configuration Manager（ SCCM）為基于 Microsoft Windows174。的桌面計算機和服務(wù)器系統(tǒng)提供了極具成本效益的、可伸縮性的資產(chǎn)與補丁管理。 System Center Configuration Manager與 Microsoft SQL Server?和 Windows 2020 Server 以及 Windows 2020 Server 操作系統(tǒng)完全集成 ， 為桌面終端 提供集 中式變更與配置管理解決方案，以幫助 IT 管理人員大大簡化對基于 Windows 操作系統(tǒng)的 PC設(shè)備進行自動化管理，分發(fā)最新軟件、及時更新系統(tǒng)和應用補丁、遠程技術(shù)支持、軟硬件資產(chǎn)跟蹤統(tǒng)計等。 主要提供功能包括： ? 對計算機軟硬件資產(chǎn)自動掃描發(fā)現(xiàn) ? 統(tǒng)計分析系統(tǒng)存在漏洞 ? 自動下載最新補丁包并根據(jù)各系統(tǒng)基于 MBSA 掃描結(jié)果的安全漏洞進行更新安裝 13 ? 可自動分發(fā)安裝其它應用程序 ? 可支持斷點續(xù)傳及管理節(jié)點冗余 ? 對客戶端進行遠程診斷管理 ? 定制生成資產(chǎn)及軟件或補丁分發(fā)管理報表 補丁 中心 補丁管理內(nèi)容 在 本方案 中，如何快速 有效的 為政務(wù)網(wǎng) 的 桌面終端提供一個統(tǒng)一、及時、高效和便捷的補丁中心是一 個 最重要的環(huán)節(jié) 。 補丁管理包括兩個方面，針對桌面的補丁管理和針對服務(wù)器系統(tǒng)的補丁管理。 ? 桌面系統(tǒng)的補丁管理 通常意義上的桌面系統(tǒng)補丁管理 的方式有以下兩種 手段 ： ? 用戶自助。 用戶通過客戶端工具檢查需要的更新，從 微軟補丁網(wǎng)站 下載軟件進行安裝。管理員通過電子郵件通知用戶及時安裝安全補丁。 ? 系統(tǒng)自動更新。 用戶無需參與，實現(xiàn)系統(tǒng)自動的檢測、自動分發(fā)和安裝。 桌面系統(tǒng)的補丁類型有 ： ? 操作系統(tǒng)補丁 。及時安裝操作系統(tǒng)更新補丁，避免成為黑客和病毒的攻擊對象。 ? 應 用程序的 補丁 。及時安裝應用程序的補丁，減少安全隱患，增加應用程序穩(wěn)定性和功能。應用程序包括了 Office 的 補丁 和其它專用應用程序的 補丁 。 ? 服務(wù)器系統(tǒng)的補丁管理 服務(wù)器系統(tǒng)是 政務(wù)網(wǎng) 信息系統(tǒng)運行核心業(yè)務(wù)應用的服務(wù)器，因此，對服務(wù)器系統(tǒng)的補丁需要經(jīng)過評估對現(xiàn)有系統(tǒng)的影響，避 免出現(xiàn)業(yè)務(wù)系統(tǒng)故障。 服務(wù)器系統(tǒng)的 補丁 需要利用自動檢測技術(shù)，通過人工的評估，再實現(xiàn)自動分發(fā)和手工安裝。服務(wù)器系統(tǒng) 補丁類型有 ： ? 服務(wù)器操作系統(tǒng) 補丁 。在評估更新對系統(tǒng)的影響后，有選擇的更新服務(wù)器的操作系統(tǒng)補丁。 ? 服務(wù)器應用軟件 補丁 。在評估應用軟件更新 對現(xiàn)有系統(tǒng)的影響后，有選擇的更新服務(wù)器應用軟件。 補丁中心 功能 通過為所有軟件更新和所需配置管理信息創(chuàng)建一個新的基于狀態(tài)的高優(yōu)先級通道，System Center Configuration Manager 2020 將向托管代理推出更新和定期程序包的方法分離 14 出來。 Configuration Manager 將使用運行 Windows Server Update Services (WSUS) 的新軟件更新點 (SUP) 服務(wù)器角色在后端作為軟件更新引擎和數(shù)據(jù)庫。 在 Configuration Manager 中， WSUS 能夠在一個集中位置進行所有更新管理。 WSUS支持 Windows 系統(tǒng)（ Windows 2020 全系列、 Windows XP 全系列和 Windows server 2020 全系列）的更新管理外，還可以支持 SQL Server、 Exchange 2020/20 Office XP/2020 等微軟全系列產(chǎn)品 的更新管理 。 System Center Configuration Manager 2020 的安全修補程序管理特性將參照記錄著已發(fā)布重要更新的 Microsoft 網(wǎng)上在線數(shù)據(jù)庫對所有 受控系統(tǒng)上的已安裝軟件進行檢驗，并就每臺受控計算機所需安全修補程序做出報告。管理人員可借助一個向?qū)С绦蜃詣酉螺d最新修補程序，并將其部署至需要它們的目標系統(tǒng)，從而，實現(xiàn)根據(jù)實際需要安排部署計劃、定位部署對象，提高補丁安裝成功率。建立保障系統(tǒng)安全運行的補丁分發(fā)體系，對于保障電子政務(wù)網(wǎng)絡(luò)安全具有重要意義，可以最大限度的減少由于系統(tǒng)漏洞導致的病毒攻擊或黑客入侵。 ? 獲得最新補丁發(fā)布的消息 /獲取補丁來源 為了及時了解補丁發(fā)布情況，補丁管理員應該參考完成下列工作： 在 訂閱安全公告的電子郵件通知（你可以選擇中文電子郵件通知）； 定期查閱最新的安全公告 ，及時查閱微軟安全服務(wù)信息，進行補丁分發(fā)工作 ； 如果 SCCM 服務(wù)器不能連接