【文章內(nèi)容簡(jiǎn)介】 終端安全審計(jì)”等安全管理組件，并通過(guò)統(tǒng)一、聯(lián)動(dòng)的安全管控與審計(jì)平臺(tái)實(shí)現(xiàn)對(duì)不同層次架構(gòu)的集中策略配置與管理，完成對(duì)網(wǎng)絡(luò)終端的分級(jí)部署、統(tǒng)一管控，最終實(shí)現(xiàn)對(duì)內(nèi)網(wǎng)9 / 40終端全方位的控制管理，形成完整的終端安全管理體系。方案設(shè)計(jì)思路10 / 40本方案通過(guò)網(wǎng)絡(luò)接入控制管理、補(bǔ)丁及軟件分發(fā)管理、移動(dòng)存儲(chǔ)介質(zhì)管理、桌面終端安全管理，以及終端安全審計(jì)管理等五大部分，并由集中統(tǒng)一的管控和策略平臺(tái)，完成對(duì)上述安全管理組件的統(tǒng)一策略配置與下發(fā)、集中管理與審計(jì)，最終形成聯(lián)動(dòng)化的、集成化的、完整的終端安全體系建設(shè)。. 補(bǔ)丁及軟件自動(dòng)分發(fā)管理設(shè)計(jì)實(shí)現(xiàn). 補(bǔ)丁及軟件自動(dòng)分發(fā)管理概述補(bǔ)丁及軟件自動(dòng)分發(fā)管理能夠自動(dòng)識(shí)別終端計(jì)算機(jī)操作系統(tǒng)類型，并根據(jù)需求自動(dòng)下載所需補(bǔ)丁，自動(dòng)安裝并提示。系統(tǒng)向指定終端計(jì)算機(jī)（用戶組）分發(fā)文件或安裝軟件，分發(fā)時(shí)可提供軟件的運(yùn)行參數(shù)和必要的運(yùn)行控制。該管理體系可減輕網(wǎng)絡(luò)管理人員的工作負(fù)擔(dān)，軟件分發(fā)時(shí)可報(bào)告軟件安裝的狀態(tài)，無(wú)論軟件正確安裝與否，管理員均可及時(shí)了解情況。. 補(bǔ)丁及軟件自動(dòng)分發(fā)管理方案及思路補(bǔ)丁及軟件自動(dòng)分發(fā)管理支持推、拉兩種方式自動(dòng)下載補(bǔ)丁。整個(gè)補(bǔ)丁管理運(yùn)行平臺(tái)構(gòu)架是：通過(guò)北信源外網(wǎng)補(bǔ)丁下載服務(wù)器及時(shí)從補(bǔ)丁廠商網(wǎng)站獲取最新補(bǔ)??；補(bǔ)丁安全測(cè)試后，通過(guò)補(bǔ)丁分發(fā)管理中心服務(wù)器對(duì)網(wǎng)絡(luò)用戶進(jìn)行分發(fā)安裝；補(bǔ)丁安裝支持自動(dòng)和手動(dòng)兩種方式。11 / 40北 信源 補(bǔ)丁 中心(一 級(jí) )補(bǔ) 丁 庫(kù) 分 類北 信源 補(bǔ)丁 管理 中心(二 級(jí) ) 補(bǔ) 丁 增 量 導(dǎo) 入補(bǔ) 丁 測(cè) 試策 略 控 制推 拉 分 發(fā) 控 制流 量 控 制多 級(jí) 級(jí) 聯(lián) 控 制補(bǔ) 丁 分 發(fā) 檢 索 補(bǔ) 丁 自 動(dòng) 識(shí) 別客 戶 端 策 略客 戶 補(bǔ) 丁 查 詢動(dòng) 態(tài) 下 載轉(zhuǎn) 發(fā) 代 理報(bào) 表 中 心北 信源 補(bǔ)丁 管理 中心(二 級(jí) ).. 客 戶 端自 動(dòng) 測(cè) 試 組(真 實(shí) 環(huán) 境 )級(jí) 聯(lián)同 步級(jí) 聯(lián)同 步補(bǔ)丁分發(fā)管理體系網(wǎng)絡(luò)應(yīng)用對(duì)象： 連通互聯(lián)網(wǎng)的網(wǎng)絡(luò)：直接通過(guò)補(bǔ)丁下載服務(wù)器將補(bǔ)丁下○ 1載至補(bǔ)丁分發(fā)服務(wù)器； 物理隔離網(wǎng)絡(luò)：在互聯(lián)網(wǎng)連通網(wǎng)絡(luò)上安裝補(bǔ)丁下載服○ 2務(wù)器模塊，通過(guò)補(bǔ)丁下載增量分離工具，區(qū)分內(nèi)網(wǎng)已導(dǎo)入和未導(dǎo)入的補(bǔ)丁，將最新補(bǔ)丁導(dǎo)入到內(nèi)網(wǎng)補(bǔ)丁分發(fā)服務(wù)器。補(bǔ)丁及軟件自動(dòng)分發(fā)管理包括：補(bǔ)丁下載、補(bǔ)丁分析、補(bǔ)丁策略制訂、補(bǔ)丁文件分發(fā)、終端計(jì)算機(jī)補(bǔ)丁漏洞檢測(cè)、補(bǔ)丁安全性測(cè)試、補(bǔ)丁分發(fā)控制、普通文件自動(dòng)分發(fā)等，包括功能如下：1． 終端計(jì)算機(jī)漏洞自動(dòng)偵測(cè)終端計(jì)算機(jī)補(bǔ)丁自檢測(cè)，在內(nèi)網(wǎng)中建立補(bǔ)丁檢測(cè)網(wǎng)站，終端計(jì)算機(jī)用戶訪問(wèn)網(wǎng)站后，Web 網(wǎng)頁(yè)自動(dòng)檢測(cè)顯示客戶段補(bǔ)丁安裝信息，用戶可進(jìn)行補(bǔ)丁下載安裝；管理員還可以在管理控制臺(tái)上遠(yuǎn)程檢測(cè)終端計(jì)算機(jī)補(bǔ)丁安裝狀況。12 / 40補(bǔ)丁自動(dòng)檢測(cè)2． 補(bǔ)丁下載增量式補(bǔ)丁自動(dòng)分離技術(shù)在外網(wǎng)分離出已安裝、未安裝補(bǔ)丁，分類導(dǎo)入系統(tǒng)補(bǔ)丁庫(kù)，僅對(duì)內(nèi)網(wǎng)的補(bǔ)丁進(jìn)行“增量式”升級(jí)，以減少拷貝工作量；互聯(lián)網(wǎng)補(bǔ)丁自動(dòng)實(shí)時(shí)探測(cè)，支持補(bǔ)丁導(dǎo)出前病毒過(guò)濾。3． 補(bǔ)丁分析自動(dòng)建立補(bǔ)丁庫(kù)，支持補(bǔ)丁庫(kù)信息查詢。針對(duì)下載的補(bǔ)丁進(jìn)行歸類存放，按照不同操作系統(tǒng)、補(bǔ)丁編號(hào)、補(bǔ)丁發(fā)布時(shí)間、補(bǔ)丁風(fēng)險(xiǎn)等級(jí)、補(bǔ)丁公告等進(jìn)行歸類，幫助管理人員快速識(shí)別補(bǔ)丁。4． 補(bǔ)丁策略制訂（分發(fā)）支持用戶自定義補(bǔ)丁策略并自由配置分發(fā)，基于終端計(jì)算機(jī)網(wǎng)絡(luò) IP 范圍、操作系統(tǒng)種類、補(bǔ)丁類別（系統(tǒng)補(bǔ)丁、IE 補(bǔ)丁、應(yīng)用程序補(bǔ)丁以及網(wǎng)管自定義補(bǔ)丁類等）等制訂策略，發(fā)送至終端計(jì)算機(jī)后統(tǒng)一按策略執(zhí)行應(yīng)用。13 / 40補(bǔ)丁分發(fā)策略5． 補(bǔ)丁自動(dòng)修復(fù)在指定時(shí)間、指定網(wǎng)絡(luò)范圍內(nèi)以不同方式（如推、拉）分發(fā)補(bǔ)丁，或者根據(jù)腳本策略統(tǒng)一控制終端計(jì)算機(jī)下載補(bǔ)丁，當(dāng)監(jiān)測(cè)到有終端計(jì)算機(jī)未打補(bǔ)丁時(shí)，可對(duì)漏打補(bǔ)丁終端計(jì)算機(jī)進(jìn)行推送補(bǔ)丁。補(bǔ)丁分發(fā)支持流量和連接數(shù)控制，以免占用太大帶寬，影響網(wǎng)絡(luò)正常工作。6． 補(bǔ)丁下載轉(zhuǎn)發(fā)代理提供補(bǔ)丁自動(dòng)代理轉(zhuǎn)發(fā)功能，提高補(bǔ)丁下發(fā)效率，減少網(wǎng)絡(luò)帶寬的占用率，節(jié)省網(wǎng)絡(luò)資源。7． 補(bǔ)丁安全性測(cè)試補(bǔ)丁分發(fā)前閉環(huán)自動(dòng)測(cè)試，對(duì)下載的補(bǔ)丁進(jìn)行自動(dòng)測(cè)試（建立測(cè)試網(wǎng)絡(luò)組） ，測(cè)試完成后將其存入補(bǔ)丁庫(kù)，以提高打補(bǔ)丁的成功性、安全性、可靠性。8． 普通文件分發(fā)及文件自動(dòng)執(zhí)行 可以提供分發(fā)普通文件也可以分發(fā)可執(zhí)行文件及 MSI 等形式的壓縮文件并14 / 40自動(dòng)執(zhí)行。軟件分發(fā)策略制定下發(fā)成功示意圖軟件下發(fā)完成后，管理員可以在管理平臺(tái)里查看軟件下發(fā)/安裝情況，根據(jù)查看的結(jié)果即使調(diào)整軟件下發(fā)策略：軟件下發(fā)回饋信息查詢15 / 40. 移動(dòng)存儲(chǔ)介質(zhì)管理設(shè)計(jì)實(shí)現(xiàn). 移動(dòng)存儲(chǔ)介質(zhì)管理概述該設(shè)計(jì)針對(duì)內(nèi)網(wǎng)移動(dòng)存儲(chǔ)介質(zhì)管理的特點(diǎn)進(jìn)行，以移動(dòng)數(shù)據(jù)生命周期為主導(dǎo)，緊扣其存儲(chǔ)和交換的安全需求，針對(duì)移動(dòng)數(shù)據(jù)全生命周期各個(gè)環(huán)節(jié)潛在的安全隱患，綜合運(yùn)用各種安全技術(shù)和手段，進(jìn)行有效全程防護(hù)的安全產(chǎn)品。設(shè)計(jì)時(shí)考慮到了區(qū)域訪問(wèn)控制，信息保密、文件走查審計(jì)等方面，確保單位內(nèi)網(wǎng)的信息不因使用移動(dòng)存儲(chǔ)而造成威脅，做到事前有保護(hù)，事后可追查，提供安全、簡(jiǎn)單易用的數(shù)據(jù)交換安全解決方案。該設(shè)計(jì)以數(shù)據(jù)為中心，用戶作為數(shù)據(jù)的使用者，主機(jī)作為數(shù)據(jù)的存儲(chǔ)者，移動(dòng)存儲(chǔ)介質(zhì)作為數(shù)據(jù)的遷移者，在管理范圍內(nèi)均賦予唯一的標(biāo)識(shí)，三者進(jìn)行相互認(rèn)證。只有經(jīng)認(rèn)證和授權(quán)成功后，才保證合法的用戶在合法的機(jī)器上訪問(wèn)合法存儲(chǔ)介質(zhì)上的數(shù)據(jù)，并形成詳盡的日志供審計(jì)。移動(dòng)數(shù)據(jù)安全訪問(wèn)模型. 移動(dòng)存儲(chǔ)介質(zhì)管理方案及思路體系設(shè)計(jì)對(duì)移動(dòng)存儲(chǔ)介質(zhì)安全管理范圍應(yīng)該包括 U 盤(pán)、移動(dòng)硬盤(pán)、MP手機(jī)、智能卡設(shè)備等移動(dòng)存儲(chǔ)介質(zhì)，以及打印機(jī)等外設(shè)，體系設(shè)計(jì)與利用移動(dòng)存儲(chǔ)設(shè)備或其他方式進(jìn)行數(shù)據(jù)交換的相關(guān)終端計(jì)算機(jī)接口管理，包括光驅(qū)、軟驅(qū)、USB 移動(dòng)存儲(chǔ)接口、USB 全部接口、打印機(jī)接口、紅外設(shè)及藍(lán)牙設(shè)備等。16 / 40因此，體系技術(shù)設(shè)計(jì)主要包括 5 類的 USB 設(shè)備控制問(wèn)題，包括存儲(chǔ)類（Mass Storage） 、打印機(jī)類（Printer Class） 、智能卡類（Smart Card Class） 、圖像類（Imaging Class） 、HID 設(shè)備類等，并通過(guò)相關(guān)的技術(shù)手段提供統(tǒng)一的管理平臺(tái)及適用于各類存儲(chǔ)介質(zhì)的應(yīng)用管理策略，確保提供完整有效的移動(dòng)存儲(chǔ)環(huán)境和移動(dòng)存儲(chǔ)設(shè)備的安全使用方案。移動(dòng)存儲(chǔ)設(shè)備接入管理具體功能如下：1. 移動(dòng)存儲(chǔ)設(shè)備（分設(shè)備、網(wǎng)段等的）接入認(rèn)證管理，保障指定設(shè)備讀寫(xiě)指定移動(dòng)存儲(chǔ)設(shè)備的訪問(wèn)控制管理；2. 移動(dòng)存儲(chǔ)數(shù)據(jù)讀寫(xiě)控制管理；3. 移動(dòng)存儲(chǔ)設(shè)備標(biāo)簽認(rèn)證管理；4. 移動(dòng)存儲(chǔ)設(shè)備分區(qū)（普通區(qū)和加密區(qū)）管理；分區(qū)格式化5. 移動(dòng)存儲(chǔ)設(shè)備的加密管理，防止加密區(qū)的敏感信息外泄；6. 移動(dòng)存儲(chǔ)設(shè)備接入行為審計(jì)；7. 移動(dòng)存儲(chǔ)設(shè)備數(shù)據(jù)交換行為審計(jì)管理，比如設(shè)定文件后綴名等條件；8. 設(shè)計(jì)對(duì)文件操作詳細(xì)審計(jì)記錄：包括文件的創(chuàng)建