微软政府桌面安全管理解决方案.docx

《微软政府桌面安全管理解决方案.docx》由会员分享，可在线阅读，更多相关《微软政府桌面安全管理解决方案.docx（36页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、微软政府府桌面安安全管理理解决方方案微软（中中国）有有限公司司2022年11月d日目 录录1综述441.1背背景41.2安安全需求求41.3设设计原则则51.3.1可管管理性551.3.2性能能与支持持能力551.3.3系统统整合与与互用性性61.3.4参照照标准和和指导方方针62安全体体系架构构建设882.1安安全体系系架构定定义82.2建建立层次次化安全全防御体体系82.3安安全体系系架构建建设要素素82.3.1人-建立安安全小组组82.3.2过程程-风险评评估1002.3.3优化化与完善善152.4主主机层防防御-桌面安安全管理理152.4.1桌面面安全管管理需求求分析1152.4.2微

2、软软桌面安安全管理理系统1163桌面安安全管理理系统详详述1883.1产产品结构构183.2软软硬件资资产收集集193.3软软硬件资资产报表表193.4补补丁管理理203.5应应用软件件分发2223.6远远程访问问233.7AAD目录录服务集集成2443.8高高级管理理特点2244方案优优势2664.1产产品优势势264.2技技术优势势264.3实实施优势势275总结2281 综述实现确保保电子政政务信息息系统的的安全稳稳定运行行，建立立电子政政务信息息系统安安全体系系，更好好的为我我国“以信息息化带动动工业化化”的基本本国策，为为国民生生产发展展服务的目目标。1.1 背景电子政务务是指政政府

3、运用用现代电电脑和网网络技术术，将其其承担的的公共管管理和服服务职能能转移到到网络上上进行，同同时实现现政府组组织结构构和工作作流程的的重组优优化，超超越时间间、空间间和部门门分隔的的制约，向向社会提提供高效效优质、规规范透明明和全方方位的管管理与服服务。电电子政务务的实施施为政府府和组织织承担的的公共管管理和服服务实现现电子化化、网络络化和透透明、高高效开辟辟了广阔阔的空间间。然而而电子政政务信息息系统的的安全问问题也变变得更加加突出、严严重，影响电电子政务务信息系系统功能能的发挥挥，甚至至对政府府部门和和社会公公众产生生危害，严严重的还还将对国国家信息息安全乃乃至国家家安全产产生威胁胁。认

4、识电电子政务务信息系系统安全全的威胁胁，把握握系统安安全的影影响因素素和要求求，建设设系统安安全保障障体系，对对保证电电子政务务的有效效运行具具有重要要意义。1.2 安全需求求电子政务务信息系系统通过过政务信信息的共共享、交交流、协协作，使使电子政政务的管管理活动动成为电电子政务务的增值值过程：通过该该系统实实现政府府在政治治、经济济、社会会、生活活等领域域的管理理服务职职能；实实现政府府决策信信息的发发布与存存取，支支持决策策活动：实现办办公业务务信息交交流和交交互式处处理，支支持政务务执行活活动，以以完成政政务活动动的全过过程。然然而，电电子政务务信息系系统功能能的发挥挥，是建建立在系系统

5、安全全、有效效的基础础上的，电电子政务务信息系系统的安安全是实实现系统统功能的的关键所所在。为为了满足足安全需需求，赢赢得挑战战，必须须建立完完善的安安全体系系架构，以以适应迅迅速发展展的业务务需求与与技术要要求。安安全体系系结构的的设计目目标是为为了保护护电子政政务信息息的机密密性、完完整性和和可用性性。u 机密性：需要保保护，不不能向非非授权用用户公开开的信息息。机密密性可以以确保只只有授权权用户才才可以访访问这些些信息，其其具体的的实现方方法是在在数据处处理的每每个阶段段上强制制执行必必要的安安全性级级别，以以防止信信息的未未授权公公开。在在数据处处理的各各个阶段段（驻留留在系统统中时、

6、在在传输过过程中驻驻留在网网络间层层上时，以以及到达达目的地地后）都都应该维维护数据据机密的的一致性性级别。u 完整性：必须进进行保护护，以使使其免受受未授权权修改、意意外修改改或是无无意识修修改的信信息，如如调查统统计信息息、经济济指示器器和财务务处理数数据。数数据完整整性保护护的实现现方法是是对信息息的准确确性和完完全性以以及数据据的处理理方法进进行保护护，以使使其免受受未授权权修改的的破坏。u 可用性：一些特特定服务务或具有有一些特特定信息息，这些些服务或或信息都都必须及及时提供供才能满满足关键键任务的的要求或或避免造造成实际际损失。可可用性保保证网络络和信息息系统随随时可用用，运行行过

7、程中中不出现现故障，若若遇意外外打击能能够尽量量减少损损失并尽尽快恢复复正常。1.3 设计原则则实现成功功的安全全体系架架构，在在进行设设计时就就需要考考虑到规规划、实实施、未未来发展展等方面的的关键内内容，因因此，在在设计解解决方案案时还需需要考虑虑以下内内容：“可管理理性”，“性能”，“支持能能力”，“整合”，“互操作作性”，“标准和和指导方方针”。1.3.1 可管理性性安全体系系结构的的可管理理性是它它的基本本定义特特征。在在没有监监视机制制的情况况下，很很难对不不可管理理的安全全体系结结构进行行保护，还还可能在在不注意意时使潜潜在的安安全性威威胁通过过。如果果没有诊诊断手段段，要解解决

8、安全全性问题题会更加加困难。u 基于角色色的管理理-安全角角色群集集的存在在可以确确保企业业数据的的机密性性、完整整性和可可用性。u 系统管理理-对安全全管理人人员而言言，集中中管理安安全性的的方法既既简单又又直接，因因为它将将所有风风险都集集中到了了一块儿儿。1.3.2 性能与支支持能力力安全体系系结构的的性能主主要取决决于实际际环境中中实施的的技术与与限制。从从某一方方面说，安安全是要要牺牲一一部分性性能的，一一个系统统不能为为了达到到最高安安全而导导致不可可用，例例如把应应用系统统的网络络连接断断掉，锁锁在机房房里，所所以人员员不可访访问；也也不能把把它放置置在公共共区域，甚甚至没有有口

9、令保保护，所所有人可可以做任任何操作作。安全全需要掌掌握安全全与性能能的平衡衡点。另另外，安安全体系系架构的的建设应应考虑到到目前系系统的支支持能力力，以及及未来一一段时间间的业务务发展所所带来新新的负载载压力，提提供良好好的扩展展能力。1.3.3 系统整合合与互用用性安全体系系架构与与其支持持的网络络和软件件系统体体系结构构，可能能完全不不同，也也可能十十分统一一。安全全体系架架构的设设计与部部署可以以促进服服务器和和网络设设备的合合并，但但在合并并时仍需需要考虑虑到数据据的安全全需求，以以及安全全体系结结构设计计所支持持的区域域结构的的现有和和未来安安全需求求。1.3.4 参照标准准和指导

10、导方针企业经营营对信息息技术系系统的依依赖性正正在日益益增强，因因此也更更容易受受到这些些系统中中产生的的故障的的影响。为了满足企业安全管理需求，IT 部门需要满足更高的要求（迅速转变的要求、财务限制、安全性和可靠性的考虑以及连通性的要求）。尽管成熟严密的技术对于满足有关 IT 服务的可靠性、可用性和安全性是非常必要的，但是光凭技术是不够的，还必须具备合理的过程和优秀的人员（技能、角色和责任）。必须具备对安全体系架构设计和部署的最佳实践及指导方法。Micrrosooft 能够充充分理解解当今企企业计算算环境所所面对的的难题，并并通过同同类最优优技术和和经验证证的最佳佳方法指指导为企企业提供供帮

11、助，通通过这些些技术和和方法能能够有效效地设计计、发展展、部署署、操作作和支持持以 MMicrrosooft 技术为为基础的的各种解解决方案案。这些些知识来来自于 Miccrossoftt 在大大规模软软件开发发和服务务操作项项目中的的积累的的内部 IT 经验和和操作经经验，来来自于其其服务顾顾问在为为各种规规模和世世界各地地的机构构实施项项目时积积累的经经验，以以及来自自世界范范围内的的整个 IT 行业的的最佳经经验。它它们是 Miccrossoftt 操作作框架（MOF）和 Microsoft 解决方案框架（MSF）。Micrrosooft 操作框框架提供供的指导导原则用用于规划划、部署署

12、和维护护 ITT 操作作过程，以以及支持持关键性性服务的的解决方方案。 MOFF 是一一种结构构化的灵灵活的方方法，其其基础在在于：u Micrrosooft 的咨询询和支持持小组，以以及他们们在与企企业客户户和合作作伙伴协协作的过过程中积积累的经经验，MMicrrosooft 的内部部 ITT 操作作组。u IT 基基础结构构库 (ITIIL)，它它可以介介绍用来来提交关关键服务务解决方方案所必必须的过过程和最最佳方法法。u 来自于 Intternnatiionaal OOrgaanizzatiion forr Sttanddarddizaatioon (ISOO) 的的 ISSO 1155

13、004（又又称为 SPIICE），它它提供了了一种标标准的方方法，用用于评估估软件进进程的成成熟性。更进一步步的信息息，请访访问下面面的 UURL：htttp:/wwww.mmicrrosooft.ccom/moffMicrrosooft 解决方方案框架架是一种种适用性性很强的的软件开开发和部部署方法法，通过过它能够够在更短短的时间间内成功功地交付付技术解解决方案案，而所所需的人人员数量量会更少少，风险险会更低低，同时时还能带带来更高高的质量量结果。MSF 对下述方面进行了说明：u 调整商业业和技术术目标。u 制定明确确地项目目目标、角角色和职职责。u 执行迭代代式的、由由里程碑碑驱动的的过程

14、。u 主动的风风险管理理。u 对变化做做出有效效地响应应。更进一步步的信息息，请访访问下面面的 UURL：htttp:/m/mssf2 安全体系系架构建建设2.1 安全体系系架构定定义组织安全全体系架架构即人人员、流流程和技技术的整整合，以以确保组组织信息息资产得得到正确确使用，且且只有获获得授权权的个人人能够使使用这些些资产。人员、流程和技术是相互依赖的元素，缺少任何一种都会增加安全性被攻破的潜在可能。2.2 建立层次次化安全全防御体体系建立深度度防御以以使电子子政务信信息安全全得到最最大程度度保护。深度防御是一种多层方法，它对资源应用多种策略以保护其免受外部和内部威胁。深度防御有时被视为深

15、层安全性或多层安全性，深度防御是描述安全性对策（用于形成一个具有凝聚力的安全性环境）层级的术语。深度防御策略部署包括全方位的保护性措施，从外部路由器直到组织资源的所在位置以及两者之间的所有位置点。部署多层层安全性性可以保保证在某某个层受受到损害害时，其其他的层层仍能够够提供所所需的安安全性用用于保护护企业信信息资源源。例如如，损坏坏组织的的防火墙墙并不能能使攻击击者不受受限制地地访问组组织最敏敏感的数数据。理理想情况况下，每每一层都都应提供供不同形形式的安安全对策策，以阻阻挡在多多个层中中使用的的同一种种攻击方方法。主主要包括括有物理理层、边缘层层、网络层层、主机层层、应用层层、数据层层防御。

16、2.3 安全体系系架构建建设要素素2.3.1 人-建立立安全小小组建立完备备的技术术支持队队伍对于于保证电电子政务务安全起起着至关关重要的的作用，安全小组在几乎所有的 IT 活动中都发挥着重要的作用。 一个信息系统如果其安全基础脆弱的话，最终将会受到安全攻击。 根据信息系统和攻击严重程度的不同，结果可能会有所不同，从困难到数据损失，到收入的损失乃至使用寿命的缩短。安全小组的基本目的在于确保数据的保密、数据的完整性、数据的可用性。安全小组需要不断接受系统的，新的培训才能适应新的挑战，担负起实现电子政务生产安全保障的责任。安全小组组的主要要责任包包括： u 帮助监测测对 IIT 资资源进行行正确的

17、的操作。u 检测入侵侵行为并并预防病病毒攻击击。 u 提供对拒拒绝服务务病毒的的保护。u 规定数据据保留和和可靠数数据处理理的策略略。u 进行审查查跟踪和和报告。u 提供有效效的网域域安全设设计和管管理。 u 测试并实实施战略略安全技技术。 u 检测和评评估网络络弱点。 u 提供快速速、实时时的网络络入侵响响应。 u 努力满足足 Puubliic KKey Inffrasstruuctuure （PKKI）技技术需求求。 u 努力满足足 Innterrnett Prrotoocoll （IIP）安安全需求求。u 努力满足足身份验验证和访访问方法法的需求求。u 努力满足足用于策策略使用用和需求求

18、（例如如口令策策略）。u 努力满足足外部和和物理安安全性的的需求（例例如对计计算机房房的使用用）。u 努力满足足可靠的的消息服服务需求求。u 为公司内内部的安安全计划划提供持持续不断断的技术术支持和和有关主主题的专专门知识识。安全小组组需要的的主要技技能包括括：u 对安全策策略的理理解力和和审查其其完整性性的能力力。u 对业务领领域和他他们处理理的数据据类型的的理解力力，以改改善安全全性。 u 在各种服服务器上上建立共共享区域域的能力力。u 对公司的的操作平平台的安安全模型型深入的的理解。u 丰富的组组网知识识。u 了解病毒毒和抗病病毒方法法。u 兼顾安全全问题和和生产率率问题的的能力，确确保

19、二者者都不因因安全策策略受到到很大削削弱。u 为不同组组的用户户建立安安全配置置文件的的能力。u 教育并通通知员工工，使其其了解安安全流程程的能力力。u 出现安全全问题时时与其他他 ITT 组合合作协商商的能力力。u 了解保障障数据和和文件安安全的方方法，例例如身份份验证和和加密，以以及实现现和改善善这些方方法的产产品。u 与提供安安全解决决方案的的供应商商合作的的能力，以以评估其其提供的的产品。u 监控员工工外出等等安全风风险的能能力，帮帮助维护护安全。 u 进行安全全检查的的能力。2.3.2 过程-风风险评估估没有风险险评估，风风险管理理的过程程，安全全建设无无从谈起起。我们们建议采采用“

20、安全风风险管理理原则”指导风风险评估估工作。2.3.2.1 资产评估估和估价价“资产评评估和估估价”步骤的的目的是是识别那那些如果果出现问问题便会会对电子子政务造造成不利利影响的的资产。r 资产识别别识别资产产可能很很简单，也也可能很很困难，这这都取决决于组织织中使用用的后续续采购流流程和资资产跟踪踪机制。识别资产产的第一一步就是是对组织织中需要要维护的的数据类类型进行行分类。例例如，硬硬件设备备通常仅仅包含设设备的配配置数据据，这种种配置数数据只包包含一定定量的数数据值。除除了包含含完全不不在同一一级别的的客户和和员工数数据值外外，主机机和设备备通常还还包含一一些类似似的信息息。资产还包包括

21、商业业秘密、智智能财产产和专利利，所有有这些资资产在受受到危害害后，都都会对组组织的财财产造成成显著的的影响。r 资产估价价识别资产产后，还还有重要要的一点点，就是是要确定定以下列列术语表表示的每每种资产产的价值值或货币币价值：u 物理价值值：资产产物理价价值可通通过定义义下列信信息来确确定： 硬件成本本 软件成本本 支持成本本 替换成本本u 业务价值值：数据据的业务务价值可可能基于于数据对对组织的的整体财财务目标标所做出出的贡献献或对外外部人员员或组织织数据的的价值。一一般说来来，这种种价值很很难量化化。按相相对价值值计算，业业务价值值应当提提供数据据损失所所造成的的影响与与其他资资产损失失

22、所造成成的影响响的对比比数据。数数据的价价值通常常远远超超过存储储该数据据的硬件件的价值值。另外外，此价价值还可可能包括括由资产产损失所所导致的的资产替替换或资资产修复复成本。u 间接价值值：间接接价值可可能是最最难量化化的价值值。此价价值是指指损失资资产或资资产受到到危害时时，组织织在承担担负面报报道、诉诉讼、业业务流失失过程中中所损失失的价值值。例如如，通过过恶意公公开客户户私人数数据而使使组织声声誉或品品牌受到到破坏。u 竞争价值值：这是是对竞争争者的数数据价值值，也是是很难量量化的。它它应当反反映出外外部机构构愿意为为资产中中包含的的实际数数据支付付多少的的货币价价值。资产价值值是一个

23、个货币数数字，用用于计算算资产的的预期损损失。是是上述四四种价值值的总和和。r 资产优先先级识别资产产是一个个定性的的过程。确确定每层层中资产产的潜在在价值时时，应谨谨记组织织的整体体收益业业务目标标，这有有助于定定义每层层的资产产优先级级 (AAP) 和数据据类型，以以便于将将精力集集中在优优先级最最高的项项目上。需需要考虑虑的主要要因素包包括：u 资产的财财务价值值。u 构建资产产所需成成本。u 保护资产产所需成成本。u 支持资产产所需成成本。u 恢复资产产所需成成本。u 资产竞争争的价值值。2.3.2.2 安全风险险识别“安全风风险识别别”步骤包包括收集集可用的的威胁知知识、创创建当前前

24、攻击方方法和攻攻击技术术的列表表，分析析可能会会被攻击击者利用用而对组组织资产产造成破破坏的系系统漏洞洞和策略略漏洞。“安全风险识别”步骤的目的是识别可能受到危害的组织资产、这些资产所面对的威胁、威胁对资产造成破坏的可能性，以及威胁破坏对资产所造成的影响。此步骤中使用下列术语：u 威胁：潜潜在的危危险，通通常指可可能对资资产造成成破坏的的人员、物物品或事事件。u 威胁代理理：威胁胁的形式式，如电电脑黑客客、入侵侵者或自自然事件件，如飓飓风。u 漏洞：被被威胁发发现为潜潜在攻击击点的软软/硬件缺缺陷或程程序缺陷陷，其中中包括攻攻击成功功的可能能性。u 攻击脚本本：威胁胁代理用用于攻击击漏洞的的方

25、法。u 风险：资资产、威威胁、漏漏洞和攻攻击脚本本组合的的可量度度表现形形式。它它是指该该组合对对组织具具有的潜潜在影响响。r 安全风险险陈述鉴鉴定安全风险险陈述是是对组织织的现有有安全性性状态与与潜在未未实现的的安全性性威胁所所造成的的后果之之间关系系的一种种表达。安安全风险险陈述的的第一部部分被称称为“风险条条件”，该部部分对可可能导致致伤损坏坏出现的的现有状状况或潜潜在威胁胁进行了了描述。风风险陈述述的第二二部分被被称为“风险结结果”，该部部分描述述了人们们不希望望出现的的，由风风险条件件而导致致的资产产机密性性、完整整性和可可用性损损失。安安全风险险陈述鉴鉴定是一一个为了了便于将将资产

26、风风险进行行优先级级划分而而将风险险陈述用用更精确确的陈述述来表达达的过程程。下图图说明了了这一过过程。以下步骤骤提供了了上图所所述过程程中每一一部分的的详细信信息：1. 以一个风风险陈述述开始，在在前面的的解释中中，风险险陈述被被定义为为“风险陈陈述鉴定定”的一部部分。2. 按照前面面详细介介绍的“威胁分分析”过程，使使用 00 到 1000 的的尺度为为威胁分分配一个个威胁概概率 (TP)，其中中 0% 表示示威胁概概率最低低，1000% 表示威威胁概率率最高。威威胁概率率是潜在在的威胁胁代理入入侵您环环境的概概率。3. 使用 11 到 100 的尺尺度分配配一个临临界因子子 (CCF)，

27、其其中1 代表最最低，110 代代表最高高。临界界因子是是对资产产构成威威胁的潜潜在攻击击脚本的的级别。4. 使用 11 到 100 的尺尺度为投投入力度度 (EE) 分分级，其其中1 代表最最低级别别，100 代表表最高级级别。投投入力度度是指攻攻击者使使用一个个特殊的的攻击代代码所需需的专业业技术水水平。5. 确定风险险因子 (RFF)。风风险因子子是临界界因子除除以投入入力度所所得的值值。6. 使用公式式 (TTP RFF) 来来确定威威胁频率率级别。7. 使用 11 到 100 的尺尺度为漏漏洞因子子 (CCF) 分配级级别，其其中1 代表最最低级别别，100 代表表最高级级别。漏漏洞

28、因子子 (VVF) 是对特特殊形式式攻击感感染能力力的一种种度量。8. 按 SRRMD 过程的的“资产评评估和估估价”步骤中中所定义义的内容容确定资资产优先先级 (AP)。9. 使用公式式 (VVF APP) 来来确定影影响因子子 (IIF)。10. 使用公式式（威胁频频率级别别 影响因因子 / 1,0000) 来来确定曝曝光因子子 (EEF)。曝曝光因子子以百分分比形式式表示。2.3.2.3 安全风险险分析定义好组组织中的的风险后后，将对对这些风风险进行行分析，以以确定应应针对哪哪种威胁胁对哪种种资产加加以保护护。r 安全风险险概率此输入是是指安全全风险陈陈述中风风险条件件所描述述的情况况实

29、际发发生的概概率。在在对风险险划分等等级时最最好使用用数值来来表示，因因为数值值可以提提供一种种以连续续的形式式表达风风险的方方法。如如果安全全风险概概率为 0，那那么威胁胁将不会会形成安安全风险险。如果果概率为为 1000%，那那么威胁胁肯定构构成了安安全风险险，而且且可能是是一个已已知问题题。r 安全风险险影响安全风险险影响是是对资产产负面影影响所导导致损失失的严重重性的估估计，或或是对资资产失去去机密性性、完整整性或可可用性而而导致的的损失量量的估计计。r 安全风险险暴露安全风险险暴露是是一种单单一的数数值估计计，用于于测量资资产的整整体安全全风险，其其中包括括关于实实际损失失可能性性和

30、潜在在损失量量的信息息。安全全小组使使用风险险暴露量量来对安安全性问问题进行行等级划划分。在在最简单单的量化化风险分分析方法法中，将将风险概概率与风风险影响响相乘来来计算风风险暴露露。2.3.2.4 安全风险险补救和和开发安全风险险对策和和操作过过程的开开发对于于组织的的安全策策略来说说至关重重要。通通过技术术加固过过程或通通过开发发组织范范围内的的策略，可可以前摄摄管理安安全风险险。安全全策略开开发过程程还包括括开发系系统、策策略的过过程，以以及跟踪踪和报告告未发生生的安全全风险的的过程。这这些机制制可以帮帮助组织织确保技技术基础础设施中中的预防防性措施施能够正正常工作作，并确确保新的的安全

31、策策略和过过程有效效。2.3.3 优化与完完善安全系统统的建立立非一日日之功，是是一个长长久持续续的建设设过程。企企业业务务需求随随市场的的变化而而变化，新新的技术术的出现现，新的的系统的的投产，新新的安全全问题、漏漏洞、攻攻击手段段的出现现，都要要求我们们不断学学习、调调整、优优化安全全系统，定定制新的的安全防防范措施施。我们们可使用用循环并且且结构化化的五阶阶段流程程来实施施风险管管理，这这五个阶阶段是：识别、分分析、计计划、跟跟踪和控控制。2.4 主机层防防御-桌桌面安全全管理深度防御御安全体体系架构构的各层层面涉及及不同内内容的安安全防御御手段和和技术，这这里不做做过多赘赘述，本本文主

32、要要就微软软桌面安安全管理理解决方方案做出出介绍。2.4.1 桌面安全全管理需需求分析析r 资产与风风险管理理建设电子子政务安安全体系系架构的的安全要要素中，资资产统计计和漏洞洞分析起起到基础础作用。没有准准确的资资产统计计和漏洞洞分析数数据，对对于数量量庞大的的桌面系系统，绝绝大多数数使用的的操作系系统为WWinddowss系列操操作系统统，安全全管理无无从谈起起。u 集中的弱弱点管理理u 自动的软软件资产产到弱点点对比-对对比资产产细节，同同时用一一个有效效的弱点点数据库库准确地地列出影影响资产产的弱点点。自动动进行繁繁重的手手工过程程，节约约时间和和成本，消消除人为为错误的的可能性性。u

33、 自动发现现/自动动资产库库存和清清单-确确定资产产，从版版本到HHotffix级级别，对对运行在在资产上上面的应应用进行行精确的的盘存。自自动跟踪踪资产和和应用。另另外，它它还提供供用于弱弱点管理理的实时时的精确确盘存，支支持对新新的威胁胁的实时时反应。u 动态的代代码和内内容更新新-按照客客户确定定的更新新时间安安排，动动态地更更新资产产和漏洞洞的特征征数据库库。提供供及时的的数据，降降低维护护应用的的成本，反反应更快快。u 统计分析析 各资产安安全补丁丁更新状状态； 各严重程程度级别别的漏洞洞数量分分布； 各严重程程度级别别的漏洞洞在各类类型资产产中的分分布； 各严重程程度级别别的漏洞洞

34、在各资资产中的的分布； 每个月新新发现的的漏洞数数、消除除的漏洞洞数、残残留的漏漏洞数等等等。r 软件正版版化管理理我国政府府越来越越重视知知识产权权保护问问题，各各级政府府部门正正在进行行或已完完成软件件正版化化工作。在在这种情情况下，保保证电子子政务系系统满足足正版化化要求，也也成为桌桌面安全全管理的的重要内内容。同同时，通通过限制制各类非非正版软软件的安安装使用用，也避避免了更更多的系系统漏洞洞出现和和病毒攻攻击的条条件。u 自动软件件资产统统计-自自动进行行软件信信息收集集、汇总总和统计计，包括括操作系系统和各各类应用用软件；u 软件计量量-进行行软件使使用统计计，计量量Liccens

35、se。r 系统加固固电子政务务系统中中数量庞庞大的桌桌面系统统，绝大大多数使使用的操操作系统统为Wiindoows系系列操作作系统，很很容易受受到各种种针对微微软产品品的病毒毒攻击，而而且危害害大、传传播速度度快、隐隐蔽性强强、暴发发频繁已已经成为为新型病病毒的四四大特点点。打补补丁是防防止病毒毒利用系系统漏洞洞实施攻攻击的最最好防护护措施，同同时可以以防止黑黑客利用用漏洞实实施入侵侵。u 自动补丁丁下载/安装-及时更更新系统统及应用用补丁，防防止网络络安全威威胁。2.4.2 微软桌面面安全管管理系统统基于微软软的系统统管理服服务器SSysttem Mannageemennt SServver

36、 20003 (SMSS20003) 构建，SSysttemss Maanaggemeent Serrverr（SMMS）为为基于MMicrrosooft Winndowws的桌面计计算机和和服务器器系统提提供了极极具成本本效益的的、可伸伸缩性的的资产与与补丁管管理。SSysttemss Maanaggemeent Serrverr与Miicroosofft SSQL Serrverr和Wiindoows 20000 SServver以以及Wiindoows 20003 SServver操操作系统统完全集集成-使其在在任何规规模的网网络中都都容易安安装、配配置和维维护。主主要提供供功能包包括：

37、u 对计算机机软硬件件资产自自动扫描描发现u 统计分析析系统存存在漏洞洞u 自动下载载最新补补丁包并并根据各各系统基基于MBBSA扫扫描结果果的安全全漏洞进进行更新新安装u 可自动分分发安装装其它应应用程序序u 可支持断断点续传传及管理理节点冗冗余u 对客户端端进行远远程诊断断管理u 定制生成成资产及及软件或或补丁分分发管理理报表3 桌面安全全管理系系统详述述Systtemss Maanaggemeent Serrverr 20003提提供了集集中式变变更与配配置管理理解决方方案，以以帮助IIT管理理人员大大大简化化对基于于Winndowws操作作系统的的PC设设备进行行自动化化管理，分分发最

38、新新软件、及及时更新新系统和和应用补补丁、远远程技术术支持、软软硬件资资产跟踪踪统计等等。3.1 产品结构构SMS 完全可可以适于于管理各各级部门门分布于于不同网网络内大大量桌面面系统，它它使用了了一种允允许自身身超越当当今已知知规模最最大的客客户环境境实现扩扩展的分分布式、层层级化体体系结构构。由于于Sysstemms MManaagemmentt Seerveer的早早期产品品版本就就已被成成功用来来对由数数十万基基于Wiindoows平平台之PPC系统统构成的的环境实实施管理理，因此此，这种种体系结结构可谓谓“久经考考验”。r 站点层级级模型在大规模模环境下下，ITT部门可可配置多多个S

39、MMS站点点，以便便使体系系结构适适应不同同网络结结构。SMS的基基本构建建模块是是站点服服务器。每每个SMMS环境境至少需需要一台台站点服服务器，而而管理人人员则可可根据实实际需要要配置多多台站点点服务器器。这就就允许为为节省带带宽资源源、分散散工作负负载并提提供冗余余支持而而对站点点服务器器实施战战略部署署。至少少有一台台站点服服务器应应被指定定为主控控服务器器，并配配备用来来存储配配置与操操作数据据的SQQL SServver数数据库。除除此之外外的附加加站点既既可以是是主控站站点服务务器，又又可以是是辅助站站点服务务器；所所不同的的是，辅辅助站点点服务器器无需配配备SQQL SServ

40、ver数数据库和和本地管管理支持持。3.2 软硬件资资产收集集SMS可可以收集集基于WWinddowss的桌面面系统所所有软件件和硬件件信息，如如操作系系统版本本、安装装的Offficce、SSAP软软件、内内存、CCPU、网网卡信息息等。各各种各样样的报告告将基于于结果数数据生成成，以帮帮助组织织机构制制定软件件升级计计划，跟跟踪计算算机与软软件资产产，或检检查软件件许可证证的有效效性。举例来说说，在部部署某个个新软件件包之前前，管理理人员可可能需要要编制一一份报告告，以便便显示具具备足以以为相关关应用提提供支持持的内存存与磁盘盘空间的的目标PPC设备备数量。这这就允许许那些不不符合要要求的

41、系系统在部部署开始始前得到到升级，从从而，确确保实现现较高的的项目整整体成功功率。从Winndowws 998开始始就已被被内建于于Winndowws操作作系统的的Winndowws管理理规范（WWMI）提提供了组组成扩展展使用情情况的信信息。SSMS借借助WMMI提供供内容尽尽可能丰丰富的系系统数据据集（包包含BIIOS、主主板和封封装数据据）。3.3 软硬件资资产报表表SMS提提供了包包含1220多种种预建报报告模板板在内的的Webb报告服服务，以以及在管管理人员员控制下下利用自自定义报报告对上上述预建建报告进进行扩展展的选择择。已经经提供的的标准报报告涉及及多种目目录、软软件使用用活动和

42、和SMSS操作选选项。SSMS Webb报告服服务还提提供了深深层挖掘掘特性，用用户只需需在自己己感兴趣趣的报告告中点击击某一行行，即可可进一步步调阅底底层报告告。每个个底层报报告均可可为管理理人员提提供更多多详细信信息，直直到关于于单个计计算机或或用户的的完整目目录信息息被全部部显示出出来。SSMS提提供灵活活的查询询报告方方式，可可以检查查所有客客户端的的补丁安安装情况况，也可可以就某某一安全全补丁查查询所有有客户端端安装情情况，同同时还可可以根据据自定义义的分类类来灵活活查询。3.4 补丁管理理SMS的的安全修修补程序序管理特特性将参参照记录录着已发发布重要要更新的的Miccrossof

43、tt网上在在线数据据库对所所有受控控系统上上的已安安装软件件进行检检验，并并就每台台受控计计算机所所需安全全修补程程序做出出报告。管管理人员员可借助助一个向向导程序序自动下下载最新新修补程程序，并并将其部部署至需需要它们们的目标标系统，从从而，实实现根据据实际需需要安排排部署计计划、定定位部署署对象，提提高补丁丁安装成成功率。建立保障障系统安安全运行行的补丁丁分发体体系，对对于保障障电子政政务网络络安全具具有重要要意义，可可以最大大限度的的减少由由于系统统漏洞导导致的病病毒攻击击或黑客客入侵。r 获得最新新补丁发发布的消消息/获获取补丁丁来源为了及时时了解补补丁发布布情况，补补丁管理理员应该该

44、参考完完成下列列工作：u 在htttp:/m/seecurrityy/seecurrityy_buulleetinns/aalerrts22.assp订阅阅安全公公告的电电子邮件件通知（你你可以选选择中文文电子邮邮件通知知）；u 定期查阅阅最新的的安全公公告，及及时查阅阅微软安安全服务务信息，进进行补丁丁分发工工作；u 如果SMMS服务务器不能能连接IInteerneet，需需要定期期下载最最新的安安全补丁丁列表hhttpp:/dowwnlooad.miccrossoftt.coom/ddownnloaad/xxml/seccuriity/1.00/ntt5/een-uus/mmsseecur

45、re.ccab并并复制到到SMSS服务器器上；u 当有新的的安全公公告发布布后，评评估它对对企业内内部环境境的影响响并决定定是否安安装该安安全补丁丁；u 若决定安安装该安安全补丁丁，下载载该安全全补丁(若该补补丁对不不同的操操作系统统有不同同的文件件，则不不同操作作系统的的补丁都都要下载载)并先先在测试实实验室中中的计算算机上部部署；u 该安全补补丁通过过测试后后，正式式部署到到企业中中所有计计算机；u 检查安全全补丁分分发结果果，定期期生成报报表。r 补丁分发发机制/自动识识别版本本通过网络络管理员员对不同同系统集集合的管管理和定定制，结结合补丁丁分析MMicrrosooft Basseli

46、ine Seccuriity Anaalyzzer 即Miicroosofft 基基准安全全分析器器MBSSA（以以下简称称MBSSA工具具）的扫描描，可以以让系统统自动识识别软件件的版本本情况。MBSSA 可可以通过过引用 Miccrossoftt 不断断更新和和发布的的可扩展展标记语语言XMML文件件（mssseccuree.xmml），来来确定将将哪些关关键安全全更新应应用于系系统。该该 XMML 文文件包含含哪些安安全更新新可用于于特定的的 MIIcroosofft 产产品的信信息。该该文件包包含安全全公告名名称和标标题以及及有关特特定产品品安全更更新的详详细数据据，其中中包括：每个更

47、更新程序序包中的的文件及及其各个个版本和和校验和和、更新新安装程程序包所所应用的的注册表表项、有有关哪些些更新可可代替其其他更新新的信息息以及 Miccrossoftt 知识识库中相相关文章章的编号号等等。r 新机器或或长时间间关机的的机器自自动补丁丁升级对于新机机器和一一些很久久没有连连入网络络的机器器而言，通通过网络络发现后后，使用用软件安安全策略略，在发发现这些些机器不不符合企企业网络络的安全全要求时时，网络络补丁服服务器将将自动把把补丁发发到这些些机器上上，并且且在这些些机器安安装完补补丁前，将将禁止这这些机器器在网络络中的权权限和使使用。在普遍连连接实现现之前，商商务旅行行者仍将将继续利利用缓慢慢的、不不可预知知的网络络连接来来开展他他们的业业务。SSMS同同样可以以管理以以确保对对关键的的业务应应用程序序的访问问并保持持最新的的安全配配置，同同时还向向IT人员员提供应应用程序序配置、状状态和使使用情况况等方面面的信息息。r 补丁分级级发送对于复杂杂网络架架构，由由于网络络带宽和和管理策策略的要要求，可可能需要要建立补补丁的分分级分发发模式，SSMS在在建立多多级架构构时，可可以在各各级分发发服务器器自动完完成补丁丁的分发发同步操