2022年桌面云解决方案-企业 .pdf

XX 企业360 桌面云管理系统解决方案2017 年 9 月名师资料总结-精品资料欢迎下载-名师精心整理-第 1 页，共 19 页 -目 录一、概述.3二、现状与需求分析.32.1 数据安全.42.2 用户行为无法监督.42.3 病毒木马破坏.42.4 系统运维困难.5三、总体设计.63.1 设计目标.63.2 设计原则.73.3 参考标准.8四、360桌面云管理系统解决方案.84.1虚拟终端管理系统结构与部署.84.2 系统部署方案.14五、选型及配置.19名师资料总结-精品资料欢迎下载-名师精心整理-第 2 页，共 19 页 -一、概述随着信息网络的迅速发展,在当今的信息时代，信息技术已经彻底改变我们的生活和工作方式，也改变着现行企业单位的管理模式。作为信息的管理部门，必须考虑当前技术的发展给我们的工作所带来的利益和威胁。如何更好的利用信息网络及终端进行安全的工作和通信，同时保护计算机自身信息的安全性，成为当前终端管理与信息安全迫在眉睫的问题。目前各企业单位都对IT 建设和管理提出了更高的要求，各企业单位开始意识到在 IT 系统建设和管理中，必须有一套规范、可管理的IT 服务管理流程，同时要从不断发展的新技术中寻求真正满足和适合企业信息化需求的IT 产品，加强 IT 系统的建设和管理。确保系统的正常运转，保证企业工作的开展，促进企业工作的和谐发展。然而建设和管理很重要，科学有效的管理理念更加重要。二、现状与需求分析信息化社会的今天，信息化建设已经得到了极大地发展，各种信息数据已经成为企业单位最重要的资产之一，重要应用系统、涉密的内部数据更是一个机构组织核心技术、核心竞争力和核心秘密的载体，往往关系到组织机构的生死存亡。如何控制这些重要数据，防止其失、泄密，已经成为企业单位今天最为关注的问题。系统崩溃、蓝屏死机、病毒木马、数据泄密、误删除系统文件等，使得企业信息网络及终端的管理和安全问题变得格外紧迫，而且加重了信息中心技术人员的日常工作量，也为各企业工作人员的日常工作带来诸多不便。名师资料总结-精品资料欢迎下载-名师精心整理-第 3 页，共 19 页 -XX 公司目前有接近 XX 台信息终端，通过多条光纤线路接入互联网。主要业务应用包括了邮件系统、用友U8 财务系统和 ERP系统。经过多年的信息化建设，XX企业在终端安全与信息数据管理依然存在较多的风险和问题，具体如下：2.1 数据安全目前企业内网的很多涉密数据是非加密存储在本地硬盘，如果电脑或硬盘被盗，将导致数据泄密问题。内部人员可能通过U 盘、邮件、网盘或者 qq 等多种途径将数据资料进行泄漏。2.2 用户行为无法监督目前所有工作用计算机均缺乏有效技术手段实现行为管理，对计算机的使用过于自由化，同一部门中的电脑安装的操作系统与应用软件版本都难以达到统一，缺少标准化流程。经常导致文件交换中出现问题。而且严重损害企业的形象。工作人员可以不受限制访问任意网站，含色情反动信息类，且无记录可追查，可以不受限制运行各类应用软件，含炒股、游戏类软件，也可以采用各种未知不可控的手段盗取资料，且无记录无法进行追查问责。2.3 病毒木马破坏由于网络隔离及还原卡等原因，导致病毒库得不到有效升级，无法有效防护新病毒。而杀毒软件本身主要以规则检测为主，稍微经过变异处理的病毒木马都很难有效检测出来，往往落后于病毒的发展，无法真正保障系统安全。再加上内名师资料总结-精品资料欢迎下载-名师精心整理-第 4 页，共 19 页 -部工作人员进行内外网的网线相互拔插，不但外网，连内网都很可能感染病毒木马。近年来木马技术越来越先进，通常只在盗取资料时进行连接，用户很难发觉，往往以后自己电脑还处于安全环境之中。2.4 系统运维困难企业终端多、分散、维护人员不足，出现无法及时更新系统补丁和应用软件。而 80%的电脑故障都是软件故障，而绝大多数的软件故障均与误操作和文件损坏有关，信息中心经常需要为各部门的同事重新安装系统与应用软件，也需要根据工作与业务需求变化，不定期地为大量的计算机更新操作系统与应用软件，而这些维护工作都需要占用计算机，会严重影响企业日常工作的顺利进行。因此，通过对企业网络和应用问题的实际分析，我们认为通过在企业内外网部署虚拟终端管理系统平台，能切实解决目前企业内外网终端管理所存在的问题。虚拟终端管理系统是以桌面虚拟化技术为基础实现动态的应用交付，将服务和应用集中于服务器端，不需要改变原有网络结构，只需部署和配置服务器，客户端便可通过网络得到自己的虚拟桌面，并运行工作业务所需要的各种应用程序。完全避免了传统 IT 架构下，终端管理软件部署和运维复杂的问题。它不仅可以集中部署、统一管理、而且支持个性化设置。从安全角度讲，集中的管理也避免了传统分散、庞大的终端管理体系中，因少数终端脱离管理而使企业整个网络的安全出现短板的情况。名师资料总结-精品资料欢迎下载-名师精心整理-第 5 页，共 19 页 -三、总体设计3.1 设计目标根据企业信息化办公环境要求，对终端实现统一、集中的管理，并最大可能的保护其企业各网络和系统资源与数据的安全性，获得良好的管理。同时，无缝的整合企业现有安全保密产品，且保持终端用户自由、灵活的使用习惯，保证良好的用户体验。在达到良好的管理和安全的前提下实现深入的成本控制。总体设计目标是在不影响企业信息化办公环境网络正常工作的前提下，从虚拟防护、合规高效、桌面管理、现有安全保密产品无缝整合等多个角度构建一套完整的虚拟终端系统管理体系，实现对企业中终端及数据的安全管理，最终达到企业信息化建设的相关要求。主要达到以下目标：实现对企业终端信息系统的安全和有效管理保护企业终端的可用性及企业系统服务的业务连续性使企业满足等级保护和分级保护的合规性要求保护企业信息的机密性、完整性和规范性防范企业终端受病毒和木马的侵害减少企业运维成本保持良好的用户体验完全兼容企业内部已部署的各类安全保密产品名师资料总结-精品资料欢迎下载-名师精心整理-第 6 页，共 19 页 -3.2 设计原则为保证方案的能够最终达到企业信息化建设的相关要求,在设计方案时遵循如下的设计原则:方案先进原则：信息化办公环境的桌面虚拟化系统平台要求功能完善、技术先进、安全可靠、服务领先；系统安全原则：管理系统自身安全包括物理安全、系统安全、数据安全和运行安全等；可扩展原则：统一规划，兼顾长远，既要满足现有的需求，又要兼顾系统的可扩展性，保证分布实施的延续性。系统在结构、规模、应用能力等各个方面都必须具备很强的扩展能力；可靠性原则。执行 ISO9002 质量认证体系要求，确保安全保密设备的高可靠性和稳定性；经济性原则。桌面虚拟化系统平台的建设、运行维护以及将来的扩展建设，必须符合经济性原则；易操作原则。桌面虚拟化系统平台的使用、维护、管理、发行等方面要易操作；高效原则。桌面虚拟化系统平台的处理能力要求能满足现阶段的实际需求，保证系统的高效运行，并能根据系统的发展进行不断提升；功能完整原则。桌面虚拟化系统平台的功能完整，应用安全扩展系统功能完整；灵活性原则。桌面虚拟化系统平台的系统扩展、应用安全建设方面都必须满足灵活性要求。名师资料总结-精品资料欢迎下载-名师精心整理-第 7 页，共 19 页 -规范性原则。桌面虚拟化系统平台必须满足国家各种相关规定和标准。3.3 参考标准信息安全等级保护管理办法（公通字200743 号）信息系统安全等级保护基本要求（GB/T 22239-2008）信息安全技术信息系统通用安全技术要求（GB/T 20271-2006）信息安全技术信息系统安全管理要求（GB/T 20269-2006）信息安全技术信息系统安全工程管理要求（GB/T 20282-2006）信息安全技术操作系统安全技术要求（GB/T 20272-2006）电子计算机场地设计规范GB50174-2000计算站场安全要求GB9361-1998用户终端设备耐过压和过电流能力要求和试验方法YD/T870-906信息技术设备包括电气设备的安全GB4943-95四、360桌面云管理系统解决方案4.1虚拟终端管理系统结构与部署我们采用360 桌面云管理系统产品部署，通过集中在数据中心的操作系统镜像来实现对终端PC桌面的统一管理和交付，管理企业成千上万台PC等同于管理一台 PC。部署之后，企业终端PC遇到任何木马病毒只需重启系统就能够自动恢复到安全状态，对系统应用程序、软件补丁、策略配置可以实现统一升级、分发名师资料总结-精品资料欢迎下载-名师精心整理-第 8 页，共 19 页 -与加固。它的部署可以充分发挥企业部门现有的本地硬盘的存储功能，启本地缓存后能将服务端分配给自己的标准镜像，全盘缓存到本地，这样即使是断开了服务器，不仅也能从虚拟系统启动并应用，有效的保障了业务连续性。当重新连接上服务器后，可以立即校验脱离服务器期间的数据变化更新数据,且完全不需要改变原来的网络结构和PC硬件，更不会影响原有业务应用，能够在短时间内平滑升级，且可对本地硬盘进行加密，脱离环境无法打开本地硬盘读取数据，保证安全性。4.1.1 系统结构基于 VOI（VirtualOS Infrastructure）的 360 桌面云管理系统是指将传统 PC 计算机分散的终端软资源(含操作系统、客户应用策略、应用软件、客户数据)集中在数据中心统一管理，进行有效地组织、安全地存储、按需地分配，并充分利用原有本地硬件资源，提升安全性和可用性，具体架构图如下图所示：名师资料总结-精品资料欢迎下载-名师精心整理-第 9 页，共 19 页 -基于 VOI 的系统架构图4.1.2 系统功能360 桌面云管理系统主要功能如下：虚拟防护:远程虚拟化管理 网关控制 病毒库同步 防 ARP 欺骗 驱动防火墙桌面管理:资产管理 补丁管理 软件群发行为控制:名师资料总结-精品资料欢迎下载-名师精心整理-第 10 页，共 19 页 -外设控制 应用软件控制 上网监控 行为监控4.1.3 系统特点集中、统一化管理桌面虚拟化在终端管理方面的优势体现在可集中、统一的对终端进行管理，可完全改变传统分散的终端管理模式；终端以远程启动的方式，根据部门或应用访问相应的，经过统一配置的操作系统镜像。因终端使用统一的操作系统镜像，所以管理员可以通过对一台终端的管理而实现对全部门的管理，这将会大大改变传统分散终端管理模式的复杂性，使终端管理变得简捷。保障数据和硬件资产安全从数据安全来看，360 桌面云管理系统能够实现对终端硬盘的全面加密，即使有非法人员将硬盘窃走也无法访问里面的数据。虚拟终端还能够实现对U 盘等移动存储介质、光驱、打印机等各种外接设备的限制，杜绝外接设备成为泄密通道。可以实现数据与系统、应用隔离，将所有数据都直接集中在服务器上，保障数据安全。从硬件资产安全来看，非法用户非法拆卸终端内部硬件，360 桌面云管理系统管理控制台发出报警提示管理员。建立合规基线企业信息化的快速发展既带来了便利也带来了风险。按照相关规定，企业建设必须符合等级保护和分级保护的规范要求。而目前国家等级保护和分级保护的名师资料总结-精品资料欢迎下载-名师精心整理-第 11 页，共 19 页 -管理规范都对终端PC 提出了更加细粒度的合规性要求。传统PC 桌面的管理方式松散无序，且停留在应用程序层面，很难实现细致的合规配置，并长期维持更新。360 桌面云管理系统从硬件底层起全面接管操作系统，任何的合规性要求均可以直接在数据中心的单一镜像中实现，无需逐一配置PC，真正形成了终端桌面的统一化合规基线，任何时刻都能够迅速满足等保、分保等各类国家规范的标准。任何时候都可以轻松应对相关部门的合规性检查。全面保障终端安全通过部署 360 桌面云管理系统，企业信息技术人员可以对所有终端桌面操作系统进行统一安全加固，达到C 级操作系统安全水平。终端桌面在每次重启后将自动重新加载操作系统镜像，任何写入到操作系统注册表、后台服务、系统进程、关联文件的木马病毒都被彻底清除，完全不依赖病毒木马数据库检测方式，确保终端桌面的安全可靠。而任何由于误操作或者软件冲突等常见行为导致的运行缓慢、系统崩溃、蓝屏死机等问题也无需管理员介入，重启终端桌面后将自动恢复到正常工作状态。同时，360 桌面云管理系统本身采用了灰度更新、数据校验、驱动守护、进程监控、负载均衡等十多项核心技术全面保证桌面系统的稳定可靠360 桌面云管理系统还提供了流量控制、arp防护、时间控制等众多管理功能，能够防止工作人员对终端和网络资源的滥用，避免一些不恰当的用户行为。降低运维成本采用传统分布式计算模式，IT必须对企业内的数百台或数千台桌面进行逐一管理：员工人数越多，IT支持负担就越重，因为每个应用和操作系统的实例会增多，每台桌面的复杂度也越高。采用360 桌面云管理系统后，企业信息管名师资料总结-精品资料欢迎下载-名师精心整理-第 12 页，共 19 页 -理员只需要维护数据中心的操作系统镜像，各自补丁、软件的安装升级维护只需要在一台 PC 上进行部署，其他终端桌面在下一次重启后自动拥有了该补丁和软件，无需再次安装维护。根据IDC 调查数据表明，部署了虚拟终端管理系统的企业机构，配置和管理成本减少了93%；技术支持电话的数量也减少了72%。大型设计及应用极佳体验360 桌面云管理系统从桌面应用交付提升到了OS（操作系统）的标准化与即时分发，终端对 PC 本地资源的充分利用，不再依靠于 GPU 虚拟化与 CPU 虚拟化技术，而是直接在I/O层实现对物理存储介质的数据重定向，以达到虚拟化的操作系统完全工作于本机物理硬件之上，从驱动程序、应用程序到各种设备均不存在远程端口映射关系，因此杜绝了传统VDI 桌面虚拟化软硬件兼容性问题，能够近乎完美的支持计算密集型和图形密集型应用以及视频、AdobeFlash和流媒体的良好运行，使得企业设计部门在大型应用（如AutoCAD/3Dmax/UG/pro-e等大型工业软件）具备极佳体验。快速灵活的部署方式360 桌面云管理系统的部署不需要改变企业现有的网络环境和PC 硬件，也不会影响企业原有业务应用系统，同时保留了用户的个性化设置要求，能够平滑地从传统桌面管理过渡到基于VOI 桌面虚拟化体系中。360桌面云管理系统安装步骤非常简单方便，只需要在服务器上安装好服务器端程序，建立用户定制的操作系统镜像文件，然后将所有客户机的开机启动顺序改为从网络启动即可管理，不需要逐一安装客户端代理软件。与企业现有安全保密产品整合名师资料总结-精品资料欢迎下载-名师精心整理-第 13 页，共 19 页 -在企业安全保密部门往往部署了各大厂商的安全保密产品，360 桌面云管理系统虚拟终端管理系统完全兼容各大厂商安全保密产品，如文档加密、终端认证、终端审计产品等，可以通过授权统一部署下发客户端，对安全软件授权进行统一的迁移，保留安全保密厂商的认证与运行方式。4.2 系统部署方案4.2.1 系统拓扑图针对企业部门实际情况分析，为了有效的满足企业部门终端管理实现的要求，采用 360 桌面云管理系统作为终端管理系统的架构，从管理运维、安全及应用等方面为各终端提供全面的桌面虚拟化解决方案，在系统部署过程中，采用集群服务器、负载均衡方案，确保系统高可靠性与数据库的高可用性，具体拓扑结构如下：名师资料总结-精品资料欢迎下载-名师精心整理-第 14 页，共 19 页 -4.2.2 部署方式将 360 桌面云管理系统服务器无缝嵌入到企业部门现有业务、安全保密产品服务器群里。在安装部署前保证企业各个VLAN 下终端与业务服务器群互联互通，系统支持跨网段、跨VLAN 部署。（1）360桌面云管理系统虚拟终端管理系统部署方式360 桌面云管理系统服务器集群部署方式：可通过多台服务器构建服务器集群实现冗余、负载均衡，无缝嵌入到企业现有业务、安全保密产品服务器群，当单台服务器出现故障，依然保证企业各个部门终端正常工作，保证业务的连续性。Web 控制台部署方式：控制台主要用于信息管理人员对企业部门各终端管理，在企业网内任何终端通过浏览器可实现对终端的便捷性管理。客户端部署方式：环境下分别任选一台终端机器上进行安装，并将系统封装上传到服务器上。其他所有终端机器只需要将系统启动改为从网络启动即可，无须逐一安装。安全保密产品兼容部署：在 360 桌面云管理系统终端管理系统受控终端下任选一台终端统一安装下发、安全保密产品客户端，通过虚拟终端管理系统迁移功能保留安全保密产品软件授权机制。根据企业部门的实际情况，采用360 桌面云管理系统部署如下：根据企业实际情况，为各组织结构建立相应的操作系统镜像、应用及数据存储平台，按照组织架构方式的实现从操作系统、应用、策略配置以及数据的按需交互。对于重要保密部门，为防止资料外泄，可以通过磁盘加密功能加密企业名师资料总结-精品资料欢迎下载-名师精心整理-第 15 页，共 19 页 -计算机物理硬盘，同时下发限制使用USB 等外置接口的管理策略，当硬盘被非法获取后，非法用户也无法访问磁盘数据，且无法通过外设任意拷贝数据导致泄密问题。通过屏幕截屏功能，可以有效威慑用户私下窃取拷贝公司数据的行为。企业部门工作人员在使用终端时遇到系统崩溃、感染病毒木马或者其他软件冲突，只需重启机器即可完全恢复正常，无需系统管理员协助处理。通过进程白名单，可以控制用户使用的应用程序。360 桌面云管理系统虚拟终端管理系统工作流程如下：1、管理员根据企业需要，分别制作操作系统镜像，根据部门需要在各个操作系统镜像里部署应用程序及制定终端管理策略；2、部署 360 桌面云管理系统后，企业部门员工终端一旦发生软件冲突、系统蓝屏、系统运行缓慢、病毒感染等问题，终端使用者只需要重启电脑，操作系统自动恢复到初始正常工作状态，而之前各种终端数据将依然保存下来，包括桌面文件、壁纸、IE收藏夹、cookie、office保留文件等；3、企业员工在络新增终端接入后自动获得相应的工作环境，无需花费大量时间安装符合办公所需要的操作系统。4、当安全审计产品、系统补丁、应用软件需要升级或者安装新的软件时，管理员只需在选择任意一台工作终端以管理员身份登录，进行升级或者安装，保存重启后所有的工作终端都将获得升级和更新。名师资料总结-精品资料欢迎下载-名师精心整理-第 16 页，共 19 页 -4.2.3 应用效果通过在企业部门里部署360 桌面云管理系统将完全满足其需求，部署效果如下：提高企业终端高可用性与连续性在企业部署 360 桌面云管理系统后，企业网络内所有终端系统及应用可实现重启恢复，无论因误操作还是病毒木马造成的系统及应用问题都会在重启后瞬间得到恢复。所有的终端计算机的安全补丁和系统补丁都能够及时得到更新，系统管理可以快速实现所有终端操作系统的安全加固工作。所有的终端计算机从此告别了系统反复重装，实现了 100%的操作系统可用性，提高了企业工作人员的工作效率。提高企业数据与资产安全360 桌面云管理系统通过外设控制、数据集中存储、屏幕截屏、进程白名单等多种功能对企业内网商业数据进行进行保护。即使机器或硬盘被盗，非法人员也无法获取涉密及商业数据，将减少数据泄密发生。同时还可以通过邮件系统进行邮件内容的过滤监控，防止用户外发泄密邮件，使得企业数据与资产安全得到大大的提高。提高企业用户行为监督360 桌面云管理系统通过arp 防护、进程管理、上网行为管理、带宽管理、外设控制等用户监督行为，对企业资源、应用、用户上网行为、外设使用等进行监控，杜绝企业员工不良或非法占用、泄密行为发生，当不良或非法行为发生后，及时追究非法行为责任。实现服务器集群部署、冗余存储和备份恢复名师资料总结-精品资料欢迎下载-名师精心整理-第 17 页，共 19 页 -360 桌面云管理系统通过集群部署，负载均衡、冗余存储等技术，保证终端的高可用性与连续性，实现业务不中断；通过数据冗余、灾难备份，为企业部门提供高可靠、高安全的终端管理平台。无缝兼容企业现有安全保密产品在企业部署安全保密产品，可以实现在 360 桌面云管理系统环境下统一安全客户端程序，同时通过系统迁移功能，保留安全保密产品软件授权，实现安全保密产品在系统环境下的无缝整合与稳定运行。4.2.4 价值体现（1）保证企业业务连续性与高可用性，任何操作导致终端系统、应用崩溃,只需一键重启，1 分钟即可恢复到正常工作状态。（2）给企业带来极致安全，保证管理单一终端，即可完成成千上万台终端的系统补丁、病毒库更新100%有效升级，全面提升安全防护能力；10分钟实现操作系统安全加固，达到C 级安全系统水平；（3）实现企业计算机终端的标准化，可加强软件正版化管理，提升企业终端安全，完全符合国家相关要求和国际发展趋势的，属于目前国内各省市企业信息化中最为先进的管理系统。（4）降低企业成本投入，一台部门级服务器和百兆网络即可支持至少300 台PC 桌面；集中化管理平台，实现终端桌面“0”维护，成本下降73%；大大降低维护人员要求，无需专业的系统管理员与存储管理员。（6）能够集中用户数据，防止用户私自使用非授权允许的软件，威慑用户窃取资料的行为，定期记录用户操作行为，避免数据泄漏；名师资料总结-精品资料欢迎下载-名师精心整理-第 18 页，共 19 页 -（7）系统部署的网络环境最差可以低至1Mb，甚至网络故障或者中断，终端仍然可以继续单机工作，避免IT 事故。（8）全面无缝兼容市面上各类安全保密厂商的安全保密产品。五、选型及配置根据 XX 省 XX 企业的实际应用需求，360桌面云管理系统配置如下：商品名称商品描述单位数量瘦客户机ZMY-VDC-VOI-H2桌面型，CPU：Core i3；内存：4GB；硬盘：128GBSSD；1*HDMI1*GbE；包含 3 年维保服务。台瘦客户机管理授权政企版ZMY-VDC-VDS-PS-S瘦客户机管理授权政企版点桌面云管控中心基础管理授权桌面云管控中心基础管理授权套管控&存储服务器ZMY-VDSS-S5标准 2U 机箱，单电源，2 个千兆电口。CPU：E5-2620v4*1；内存：32G ECC；：板载 3008 ITRaid卡；硬盘：800G SSD*2；4T SATA 硬盘*10；120SSD*1；包含 3 年维保服务。台桌面云系统安装调试安装服务桌面云系统安装调试安装服务/人天5名师资料总结-精品资料欢迎下载-名师精心整理-第 19 页，共 19 页 -