盈高多维终端安全管理平台技术白皮书

盈高TM多维终端安全管理平台技术白皮书INFOGO M util-dimensional S ecurity E ndpoint management P latformVer 2009.0819版权声明：本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属盈高科技所有，并受到有关产权及版权法保护。

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

商标：盈高、INFOGO是盈高科技的注册商标，未经允许，不得引用。

目录1 建设内网终端安全管理平台的迫切性 (3)1.1 内网安全管理实际需求 (3)1.2 信息系统等级保护要求 (4)1.3 萨班斯法案及内控规范要求 (4)2 内网终端安全管理产品的选择标准 (4)2.1 全周期管理标准 (4)2.2 功能完整性标准 (4)2.3 可靠性、可管理性和可扩展性标准 (4)3 盈高TM多维终端安全管理平台MSEP介绍 (5)3.1 产品定位 (5)3.2 体系架构 (5)3.3 系统功能 (5)3.3.1 MSAC多维安全准入控制套件 (6)3.3.2 DSM桌面管理套件 (7)3.3.3 ITAM资产生命周期管理套件 (10)3.3.4 MSM移动存储介质管理套件 (11)3.4 系统部署 (12)4 盈高TM多维终端安全管理平台MSEP主要特点与优势 (13)4.1 更专业的安全准入控制 (13)4.2 完备的系统安全性检查 (13)4.3 全方位、细粒度行为审计 (14)4.4 独有的内网补丁管理模式 (14)4.5 灵活多样的统计报表 (14)4.6 多种、多级的告警模式 (14)4.7 深入系统内核，确保终端稳定和兼容性 (14)5 结论 (15)1 建设内网终端安全管理平台的迫切性在信息安全日益受到重视的今天，网关型安全产品已经较为普及，而内网安全管理却普遍存在漏洞，安全事件层出不穷，给政府、企业带来了巨大的损失。

而随着等保的逐步推进，以及萨班斯法案及内控要求的不断提升，内网安全在如下三方面存在建设的迫切性：1.1内网安全管理实际需求虽然各单位已经制定了相应的管理制度，并部署实施一些相关系统，但由于某些系统不能从“身份认证－安全检查－准入控制－行为审计－策略管理”几个环节形成一套有效的综合管理平台，导致如下方面存在漏洞：(一)不能真正有效的进行入网控制，导致：非法设备入网，试图窃取内部信息；合法设备带毒入网，在内网上不断传播病毒；对存在缺陷的终端无法及时提醒、隔离，易成为外部威胁的跳板；(二)传统桌面管理需求：如何及时发现桌面设备的系统漏洞并最快自动分发补丁；如何实时评估终端健康状态，满足企业管理要求（如安装反病毒软件等）；如何确保终端用户行为受控，并能做到事先预防、事中控制和事后审计；如何快速分发软件，快速批量更改系统设置；如何做到快速的远程支持，不到现场，胜似现场；(三)移动介质管理需求：如何对移动介质进行有效管理，防止U盘交叉使用、防止U盘摆渡木马和病毒传播、杜绝U盘泄密；(四)全面资产管理需求：如何实时了解全网的软硬件清单，并实时更新；如何从物资采购接收入库开始，对接入网络、日常维护、一直到报废的整个资产的生命周期进行跟踪管理；如何将资产管理涵盖资产领用、批准接入网络、资产维修、资产变更、资产借用、资产报废等资产管理的全过程，1.2信息系统等级保护要求等级保护明确规定，从技术和管理两个方面入手共同完成信息系统的安全保护。

与内网安全相关主要涵盖了边界完整性检查、主机身份鉴别、访问控制、安全审计、资产管理、介质管理、监控管理、恶意代码防范和系统安全管理等方面。

1.3萨班斯法案及内控规范要求按萨班斯法案信息安全提出了四项IT解决方案：一是针对网络准入控制；二是针对补丁管理；三是针对配置管理；四是终端所遵从的一些检查。

因此，部署内网终端安全管理平台是当前安全管理的迫切要求！2 内网终端安全管理产品的选择标准作为最终用户，选择合适的内网终端安全管理产品须结合自身单位的性质、安全要求、实际需求和网络状况，因此，一个完善的内网安全管理产品应满足以下几方面的要求：2.1 全周期管理标准满足一体化的从“准入控制－行为审计－安全策略管理”的全周期管理原则；内网管理涵盖了从用户入网、内网行为可控、安全策略部署等整个业务流程，不能遗漏；2.2 功能完整性标准在功能上，不仅提供传统桌面管理功能，还应在最重要的几部分，如安全准入、移动存储和资产管理方面，提供真正稳定、可靠和有效的功能模块。

2.3 可靠性、可管理性和可扩展性标准系统是一个整体平台，支持大规模部署，多级级联，安全策略灵活设置；系统业务功能模块独立设计，使得功能扩展易于实现；在性能上，平台核心稳定可靠，客户端应具有较好的兼容性和稳定性；3 盈高TM多维终端安全管理平台MSEP介绍3.1 产品定位盈高TM多维终端安全管理平台MSEP，是专为政府、电力、金融、运营商、卫生、能源等大型企事业单位而研发的内网安全管理系统。

3.2 体系架构盈高TM多维终端安全管理平台MSEP以客户真实业务管理流程为核心，采用SOA的设计思想，多层次、可堆叠模块融合而成的管理平台，主要包括MSEP-SPC 安全策略管理中心（软件）、MSEP-AMC安全准入控制中心（硬件）和MSEP-SCA 安全客户端代理（软件）。

3.3 系统功能盈高TM多维终端安全管理平台MSEP，由MSAC安全准入套件、ITAM资产管理套件、DSM桌面套件和MSM移动存储介质管理套件四个套件组成。

3.3.1 M SAC 多维安全准入控制套件模块功 能 项 功 能 价 值MSAC 多维安全准入控制套件用户身份认证 MSAC 从接入层对访问的用户进行最小授权控制，根据用户身份严格控制用户对内部网络访问范围，确保企业内网资源安全。

终端完整性检查 通过身份认证的用户还必须通过终端完整性检查，查看连入系统的补丁、防病毒等功能是否已及时升级，是否具有潜在安全隐患。

终端安全隔离与修补MSAC 对通过身份认证但不满足安全检查的终端不予以网络接入，并强制引导移至隔离修复区，提示用户安装有关补丁、杀毒软件、配置操作系统有关安全设置等。

非法终端网络阻断 MSAC 能及时发现并阻止未授权终端对内网资源的访问，降低非法终端对内网进行攻击、窃密等安全威胁，从而确保内部网络的安全。

接入强制技术MSAC 支持多种网络接入强制技术，如： 802.1X 、DNS 代理、防火墙、CISCO EOU 、H3C Portal 、VPN 等，实现从网络层到系统层接入的全面、深度控制，有效拒绝未知设备接入。

3.3.2 D SM 桌面管理套件模块功 能 项 功 能 价 值DSM 非法外联监控终端违规外联检测 通过策略检查、控制内网用户违规外网连接行为，包括终端违规连接互联网、终端同时连接了内网和互联网等方式终端违规行为检测通过安全策略实时检测、发现内网中以拨号、双网卡、无线、代理等方式企图连接外部网络的行为，并及时通知管理员。

DSM 终端安全检查及加固桌面安全性评估 MSEP 通过检查终端系统用户密码安全性、用户是否开启了非法共享、用户是否有运行高风险的服务等等，以帮助用户评估当前系统配置的整体安全性。

防病毒软件管理 MSEP 通过检测判断终端计算机上是否安装有防病毒软件及其病毒库日期、病毒日志报表等信息，以限定终端计算机访问权限，从而确保整个内网的安全。

终端用户变换审计 实时监控终端计算机上系统用户的变化（如添加/删除用户），对未授权的用户操作行为进行及时的告警。

软件和启动项管理 MSEP 实时监控终端上已安装软件列表、自启动程序列表，对未经授权的非法操作以提示用户、向管理员告警、禁止安装/删除等方式全面管理。

系统注册表管理为防止员工通过修改注册表键值来更改网络或计算机的属性，MSEP 提供对注册表锁定，以禁绝员工随意修改网络或计算机的属性，造成不可预测的信息安全事故。

网络端口通信审计 有效的防止外来计算机非法侵入公司内部网络，MSEP 可根据需要灵活的设置策略，限定外来计算机跟网内计算机的通讯方向。

网络共享管理 员工往往因为工作需要设置共享文件夹，然而，共享文件很容易被别有用心的员工或外来计算机窃取，避免网络共享泄密和网络病毒传播。

临时文件清理 通过对终端临时文件进行清理，包括最近访问的文档、上网历史记录、用户临时文件夹、回收站、office 临时文件等，以优化终端系统性能，提高员工的工作效率。

D S M 用户行为管理 文档操作管理 详细记录每个员工在本机上操作过的文件，防止非法从电脑硬盘等其它存储设备中新建、修改、拷贝、移动、删除等操作，可以有效的管理企业内部机密文档。

邮件收发管理 实现邮件收发的有效审计和管理，防止公司关键信息以邮件的方式非法泄密，提供事后追根溯源。

打印行为管理 通过策略严格控制用户文档打印行为的审核，从而节约打印成本，防止机密资料以纸质文件的方式泄密。

上网行为统计管理 实时记录终端计算机访问过那些网站，并以饼状、表单等图表方式形象的展现统计结果、访问量排行。

D S M 网络安全管理网络流量管理 针对不同用户或一个组内的用户，实现不同网段、不同端口的流量分配控制，以有效的管理内网带宽、优化网络及业务系统高效运作。

网络异常检测 通过对全网ARP 包、网络流量、TCP 连接数的检测来判断内部网络是否出现异常,以便判定是否有未知病毒存在。

反ARP 欺骗帮助管理员发现并定位进行ARP 欺骗的病毒源，并对有ARP 攻击的终端设备进行断网隔离。

桌面防火墙MSEP 提供简洁、实用的桌面防火墙功能，以方便管理员对终端的全面有效管理，防止黑客、木马病毒对内网的渗透、破坏。

网站黑白名单管理 提供以黑白名单模式对违规的网络行为在事前做到有效控制，方便管理者对员工上网行为进行监控和管理。

I P 与MAC 地址绑定 防止员工随意更改IP 地址，造成内网经常性IP 冲突，减轻管理员在IP 资源管理方面的工作压力。

D S M 终端运维管理系统设置管理 帮助管理人员防止用户自行修改网络属性、IE 属性等设置，杜绝由于用户的更改操作对计算机安全造成影响或引入安全风险。

远程维护管理 管理员可以通过控制台来维护员工的电脑,包括软件的安装、修改、进程的管理等，提高工作效率、节省管理成本。

终端漏洞自动分析 系统可以自动对终端计算机上存在的安全漏洞进行检测，并将检测结果上报到服务器，以帮助用户评估内网安全威胁。

远程控制、协助 方便管理员对网内计算机进行远程维护，同时支持异地远程维护，实现了跨区域分支机构的集中管理和控制。

终端用户屏幕查看 远程查看当前用户终端屏幕，方便管理员对用户行为的远程巡视，并在发现违规行为时能够及时纠正。