微软政府桌面安全管理解决方案.doc

微软政府桌面安全管理解决方案微软（中国）有限公司2020年2月20日目 录1综述41.1背景41.2安全需求41.3设计原则51.3.1可管理性51.3.2性能与支持能力51.3.3系统整合与互用性61.3.4参照标准和指导方针62安全体系架构建设82.1安全体系架构定义82.2建立层次化安全防御体系82.3安全体系架构建设要素82.3.1人-建立安全小组82.3.2过程-风险评估102.3.3优化与完善152.4主机层防御-桌面安全管理152.4.1桌面安全管理需求分析152.4.2微软桌面安全管理系统163桌面安全管理系统详述183.1产品结构183.2软硬件资产收集193.3软硬件资产报表193.4补丁管理203.5应用软件分发223.6远程访问233.7AD目录服务集成243.8高级管理特点244方案优势264.1产品优势264.2技术优势264.3实施优势275总结28 1 综述实现确保电子政务信息系统的安全稳定运行，建立电子政务信息系统安全体系，更好的为我国“以信息化带动工业化”的基本国策，为国民生产发展服务的目标。1.1 背景电子政务是指政府运用现代电脑和网络技术，将其承担的公共管理和服务职能转移到网络上进行，同时实现政府组织结构和工作流程的重组优化，超越时间、空间和部门分隔的制约，向社会提供高效优质、规范透明和全方位的管理与服务。电子政务的实施为政府和组织承担的公共管理和服务实现电子化、网络化和透明、高效开辟了广阔的空间。然而电子政务信息系统的安全问题也变得更加突出、严重，影响电子政务信息系统功能的发挥，甚至对政府部门和社会公众产生危害，严重的还将对国家信息安全乃至国家安全产生威胁。认识电子政务信息系统安全的威胁，把握系统安全的影响因素和要求，建设系统安全保障体系，对保证电子政务的有效运行具有重要意义。1.2 安全需求电子政务信息系统通过政务信息的共享、交流、协作，使电子政务的管理活动成为电子政务的增值过程：通过该系统实现政府在政治、经济、社会、生活等领域的管理服务职能；实现政府决策信息的发布与存取，支持决策活动：实现办公业务信息交流和交互式处理，支持政务执行活动，以完成政务活动的全过程。然而，电子政务信息系统功能的发挥，是建立在系统安全、有效的基础上的，电子政务信息系统的安全是实现系统功能的关键所在。为了满足安全需求，赢得挑战，必须建立完善的安全体系架构，以适应迅速发展的业务需求与技术要求。安全体系结构的设计目标是为了保护电子政务信息的机密性、完整性和可用性。u 机密性：需要保护，不能向非授权用户公开的信息。机密性可以确保只有授权用户才可以访问这些信息，其具体的实现方法是在数据处理的每个阶段上强制执行必要的安全性级别，以防止信息的未授权公开。在数据处理的各个阶段（驻留在系统中时、在传输过程中驻留在网络间层上时，以及到达目的地后）都应该维护数据机密的一致性级别。u 完整性：必须进行保护，以使其免受未授权修改、意外修改或是无意识修改的信息，如调查统计信息、经济指示器和财务处理数据。数据完整性保护的实现方法是对信息的准确性和完全性以及数据的处理方法进行保护，以使其免受未授权修改的破坏。u 可用性：一些特定服务或具有一些特定信息，这些服务或信息都必须及时提供才能满足关键任务的要求或避免造成实际损失。可用性保证网络和信息系统随时可用，运行过程中不出现故障，若遇意外打击能够尽量减少损失并尽快恢复正常。1.3 设计原则实现成功的安全体系架构，在进行设计时就需要考虑到规划、实施、未来发展等方面的关键内容，因此，在设计解决方案时还需要考虑以下内容：“可管理性”，“性能”，“支持能力”，“整合”，“互操作性”，“标准和指导方针”。1.3.1 可管理性安全体系结构的可管理性是它的基本定义特征。在没有监视机制的情况下，很难对不可管理的安全体系结构进行保护，还可能在不注意时使潜在的安全性威胁通过。如果没有诊断手段，要解决安全性问题会更加困难。u 基于角色的管理-安全角色群集的存在可以确保企业数据的机密性、完整性和可用性。u 系统管理-对安全管理人员而言，集中管理安全性的方法既简单又直接，因为它将所有风险都集中到了一块儿。1.3.2 性能与支持能力安全体系结构的性能主要取决于实际环境中实施的技术与限制。从某一方面说，安全是要牺牲一部分性能的，一个系统不能为了达到最高安全而导致不可用，例如把应用系统的网络连接断掉，锁在机房里，所以人员不可访问；也不能把它放置在公共区域，甚至没有口令保护，所有人可以做任何操作。安全需要掌握安全与性能的平衡点。另外，安全体系架构的建设应考虑到目前系统的支持能力，以及未来一段时间的业务发展所带来新的负载压力，提供良好的扩展能力。1.3.3 系统整合与互用性安全体系架构与其支持的网络和软件系统体系结构，可能完全不同，也可能十分统一。安全体系架构的设计与部署可以促进服务器和网络设备的合并，但在合并时仍需要考虑到数据的安全需求，以及安全体系结构设计所支持的区域结构的现有和未来安全需求。1.3.4 参照标准和指导方针企业经营对信息技术系统的依赖性正在日益增强，因此也更容易受到这些系统中产生的故障的影响。为了满足企业安全管理需求，IT 部门需要满足更高的要求（迅速转变的要求、财务限制、安全性和可靠性的考虑以及连通性的要求）。尽管成熟严密的技术对于满足有关 IT 服务的可靠性、可用性和安全性是非常必要的，但是光凭技术是不够的，还必须具备合理的过程和优秀的人员（技能、角色和责任）。必须具备对安全体系架构设计和部署的最佳实践及指导方法。Microsoft 能够充分理解当今企业计算环境所面对的难题，并通过同类最优技术和经验证的最佳方法指导为企业提供帮助，通过这些技术和方法能够有效地设计、发展、部署、操作和支持以 Microsoft 技术为基础的各种解决方案。这些知识来自于 Microsoft 在大规模软件开发和服务操作项目中的积累的内部 IT 经验和操作经验，来自于其服务顾问在为各种规模和世界各地的机构实施项目时积累的经验，以及来自世界范围内的整个 IT 行业的最佳经验。它们是 Microsoft 操作框架（MOF）和 Microsoft 解决方案框架（MSF）。Microsoft 操作框架提供的指导原则用于规划、部署和维护 IT 操作过程，以及支持关键性服务的解决方案。 MOF 是一种结构化的灵活的方法，其基础在于：u Microsoft 的咨询和支持小组，以及他们在与企业客户和合作伙伴协作的过程中积累的经验，Microsoft 的内部 IT 操作组。 u IT 基础结构库 (ITIL)，它可以介绍用来提交关键服务解决方案所必须的过程和最佳方法。 u 来自于 International Organization for Standardization (ISO) 的 ISO 15504（又称为 SPICE），它提供了一种标准的方法，用于评估软件进程的成熟性。更进一步的信息，请访问下面的 URL：/mof Microsoft 解决方案框架是一种适用性很强的软件开发和部署方法，通过它能够在更短的时间内成功地交付技术解决方案，而所需的人员数量会更少，风险会更低，同时还能带来更高的质量结果。MSF 对下述方面进行了说明：u 调整商业和技术目标。u 制定明确地项目目标、角色和职责。u 执行迭代式的、由里程碑驱动的过程。u 主动的风险管理。u 对变化做出有效地响应。更进一步的信息，请访问下面的 URL：/msf 2 安全体系架构建设2.1 安全体系架构定义组织安全体系架构即人员、流程和技术的整合，以确保组织信息资产得到正确使用，且只有获得授权的个人能够使用这些资产。人员、流程和技术是相互依赖的元素，缺少任何一种都会增加安全性被攻破的潜在可能。2.2 建立层次化安全防御体系建立深度防御以使电子政务信息安全得到最大程度保护。深度防御是一种多层方法，它对资源应用多种策略以保护其免受外部和内部威胁。深度防御有时被视为深层安全性或多层安全性，深度防御是描述安全性对策（用于形成一个具有凝聚力的安全性环境）层级的术语。深度防御策略部署包括全方位的保护性措施，从外部路由器直到组织资源的所在位置以及两者之间的所有位置点。部署多层安全性可以保证在某个层受到损害时，其他的层仍能够提供所需的安全性用于保护企业信息资源。例如，损坏组织的防火墙并不能使攻击者不受限制地访问组织最敏感的数据。理想情况下，每一层都应提供不同形式的安全对策，以阻挡在多个层中使用的同一种攻击方法。主要包括有物理层、边缘层、网络层、主机层、应用层、数据层防御。2.3 安全体系架构建设要素2.3.1 人-建立安全小组建立完备的技术支持队伍对于保证电子政务安全起着至关重要的作用，安全小组在几乎所有的 IT 活动中都发挥着重要的作用。 一个信息系统如果其安全基础脆弱的话，最终将会受到安全攻击。 根据信息系统和攻击严重程度的不同，结果可能会有所不同，从困难到数据损失，到收入的损失乃至使用寿命的缩短。安全小组的基本目的在于确保数据的保密、数据的完整性、数据的可用性。安全小组需要不断接受系统的，新的培训才能适应新的挑战，担负起实现电子政务生产安全保障的责任。安全小组的主要责任包括： u 帮助监测对 IT 资源进行正确的操作。 u 检测入侵行为并预防病毒攻击。 u 提供对拒绝服务病毒的保护。u 规定数据保留和可靠数据处理的策略。u 进行审查跟踪和报告。u 提供有效的网域安全设计和管理。 u 测试并实施战略安全技术。 u 检测和评估网络弱点。 u 提供快速、实时的网络入侵响应。 u 努力满足 Public Key Infrastructure （PKI）技术需求。 u 努力满足 Internet Protocol （IP）安全需求。u 努力满足身份验证和访问方法的需求。u 努力满足用于策略使用和需求（例如口令策略）。u 努力满足外部和物理安全性的需求（例如对计算机房的使用）。u 努力满足可靠的消息服务需求。u 为公司内部的安全计划提供持续不断的技术支持和有关主题的专门知识。安全小组需要的主要技能包括：u 对安全策略的理解力和审查其完整性的能力。u 对业务领域和他们处理的数据类型的理解力，以改善安全性。 u 在各种服务器上建立共享区域的能力。u 对公司的操作平台的安全模型深入的理解。u 丰富的组网知识。u 了解病毒和抗病毒方法。u 兼顾安全问题和生产率问题的能力，确保二者都不因安全策略受到很大削弱。u 为不同组的用户建立安全配置文件的能力。u 教育并通知员工，使其了解安全流程的能力。u 出现安全问题时与其他 IT 组合作协商的能力。u 了解保障数据和文件安全的方法，例如身份验证和加密，以及实现和改善这些方法的产品。u 与提供安全解决方案的供应商合作的能力，以评估其提供的产品。u 监控员工外出等安全风险的能力，帮助维护安全。 u 进行安全检查的能力。2.3.2 过程-风险评估没有风险评估，风险管理的过程，安全建设无从谈起。我们建议采用“安全风险管理原则”指导风险评估工作。 资产评估和估价“资产评估和估价”步骤的目的是识别那些如果出现问题便会对电子政务造成不利影响的资产。r 资产识别识别资产可能很简单，也可能很困难，这都取决于组织中使用的后续采购流程和资产跟踪机制。识别资产的第一步就是对组织中需要维护的数据类型进行分类。例如，硬件设备通常仅包含设备的配置数据，这种配置数据只包含一定量的数据值。除了包含完全不在同一级别的客户和员工数据值外，主机和设备通常还包含一些类似的信息。资产还包括商业秘密、智能财产和专利，所有这些资产在受到危害后，都会对组织的财产造成显著的影响。r 资产估价识别资产后，还有重要的一点，就是要确定以下列术语表示的每种资产的价值或货币价值：u 物理价值：资产物理价值可通过定义下列信息来确定： 硬件成本 软件成本 支持成本 替换成本u 业务价值：数据的业务价值可能基于数据对组织的整体财务目标所做出的贡献或对外部人员或组织数据的价值。一般说来，这种价值很难量化。按相对价值计算，业务价值应当提供数据损失所造成的影响与其他资产损失所造成的影响的对比数据。数据的价值通常远远超过存储该数据的硬件的价值。另外，此价值还可能包括由资产损失所导致的资产替换或资产修复成本。u 间接价值：间接价值可能是最难量化的价值。此价值是指损失资产或资产受到危害时，组织在承担负面报道、诉讼、业务流失过程中所损失的价值。例如，通过恶意公开客户私人数据而使组织声誉或品牌受到破坏。u 竞争价值：这是对竞争者的数据价值，也是很难量化的。它应当反映出外部机构愿意为资产中包含的实际数据支付多少的货币价值。资产价值是一个货币数字，用于计算资产的预期损失。是上述四种价值的总和。r 资产优先级识别资产是一个定性的过程。确定每层中资产的潜在价值时，应谨记组织的整体收益业务目标，这有助于定义每层的资产优先级 (AP) 和数据类型，以便于将精力集中在优先级最高的项目上。需要考虑的主要因素包括：u 资产的财务价值。u 构建资产所需成本。u 保护资产所需成本。u 支持资产所需成本。u 恢复资产所需成本。u 资产竞争的价值。 安全风险识别“安全风险识别”步骤包括收集可用的威胁知识、创建当前攻击方法和攻击技术的列表，分析可能会被攻击者利用而对组织资产造成破坏的系统漏洞和策略漏洞。“安全风险识别”步骤的目的是识别可能受到危害的组织资产、这些资产所面对的威胁、威胁对资产造成破坏的可能性，以及威胁破坏对资产所造成的影响。此步骤中使用下列术语：u 威胁：潜在的危险，通常指可能对资产造成破坏的人员、物品或事件。u 威胁代理：威胁的形式，如电脑黑客、入侵者或自然事件，如飓风。u 漏洞：被威胁发现为潜在攻击点的软/硬件缺陷或程序缺陷，其中包括攻击成功的可能性。u 攻击脚本：威胁代理用于攻击漏洞的方法。u 风险：资产、威胁、漏洞和攻击脚本组合的可量度表现形式。它是指该组合对组织具有的潜在影响。r 安全风险陈述鉴定安全风险陈述是对组织的现有安全性状态与潜在未实现的安全性威胁所造成的后果之间关系的一种表达。安全风险陈述的第一部分被称为“风险条件”，该部分对可能导致伤损坏出现的现有状况或潜在威胁进行了描述。风险陈述的第二部分被称为“风险结果”，该部分描述了人们不希望出现的，由风险条件而导致的资产机密性、完整性和可用性损失。安全风险陈述鉴定是一个为了便于将资产风险进行优先级划分而将风险陈述用更精确的陈述来表达的过程。下图说明了这一过程。以下步骤提供了上图所述过程中每一部分的详细信息：1. 以一个风险陈述开始，在前面的解释中，风险陈述被定义为“风险陈述鉴定”的一部分。2. 按照前面详细介绍的“威胁分析”过程，使用 0 到 100 的尺度为威胁分配一个威胁概率 (TP)，其中 0% 表示威胁概率最低，100% 表示威胁概率最高。威胁概率是潜在的威胁代理入侵您环境的概率。3. 使用 1 到 10 的尺度分配一个临界因子 (CF)，其中 1 代表最低，10 代表最高。临界因子是对资产构成威胁的潜在攻击脚本的级别。4. 使用 1 到 10 的尺度为投入力度 (E) 分级，其中 1 代表最低级别，10 代表最高级别。投入力度是指攻击者使用一个特殊的攻击代码所需的专业技术水平。5. 确定风险因子 (RF)。风险因子是临界因子除以投入力度所得的值。6. 使用公式 (TP RF) 来确定威胁频率级别。7. 使用 1 到 10 的尺度为漏洞因子 (CF) 分配级别，其中 1 代表最低级别，10 代表最高级别。漏洞因子 (VF) 是对特殊形式攻击感染能力的一种度量。8. 按 SRMD 过程的“资产评估和估价”步骤中所定义的内容确定资产优先级 (AP)。9. 使用公式 (VF AP) 来确定影响因子 (IF)。10. 使用公式（威胁频率级别 影响因子 / 1,000) 来确定曝光因子 (EF)。曝光因子以百分比形式表示。 安全风险分析定义好组织中的风险后，将对这些风险进行分析，以确定应针对哪种威胁对哪种资产加以保护。r 安全风险概率此输入是指安全风险陈述中风险条件所描述的情况实际发生的概率。在对风险划分等级时最好使用数值来表示，因为数值可以提供一种以连续的形式表达风险的方法。如果安全风险概率为 0，那么威胁将不会形成安全风险。如果概率为 100%，那么威胁肯定构成了安全风险，而且可能是一个已知问题。r 安全风险影响安全风险影响是对资产负面影响所导致损失的严重性的估计，或是对资产失去机密性、完整性或可用性而导致的损失量的估计。r 安全风险暴露安全风险暴露是一种单一的数值估计，用于测量资产的整体安全风险，其中包括关于实际损失可能性和潜在损失量的信息。安全小组使用风险暴露量来对安全性问题进行等级划分。在最简单的量化风险分析方法中，将风险概率与风险影响相乘来计算风险暴露。 安全风险补救和开发安全风险对策和操作过程的开发对于组织的安全策略来说至关重要。通过技术加固过程或通过开发组织范围内的策略，可以前摄管理安全风险。安全策略开发过程还包括开发系统、策略的过程，以及跟踪和报告未发生的安全风险的过程。这些机制可以帮助组织确保技术基础设施中的预防性措施能够正常工作，并确保新的安全策略和过程有效。2.3.3 优化与完善安全系统的建立非一日之功，是一个长久持续的建设过程。企业业务需求随市场的变化而变化，新的技术的出现，新的系统的投产，新的安全问题、漏洞、攻击手段的出现，都要求我们不断学习、调整、优化安全系统，定制新的安全防范措施。我们可使用循环并且结构化的五阶段流程来实施风险管理，这五个阶段是：识别、分析、计划、跟踪和控制。2.4 主机层防御-桌面安全管理深度防御安全体系架构的各层面涉及不同内容的安全防御手段和技术，这里不做过多赘述，本文主要就微软桌面安全管理解决方案做出介绍。2.4.1 桌面安全管理需求分析r 资产与风险管理建设电子政务安全体系架构的安全要素中，资产统计和漏洞分析起到基础作用。没有准确的资产统计和漏洞分析数据，对于数量庞大的桌面系统，绝大多数使用的操作系统为Windows系列操作系统，安全管理无从谈起。u 集中的弱点管理u 自动的软件资产到弱点对比-对比资产细节，同时用一个有效的弱点数据库准确地列出影响资产的弱点。自动进行繁重的手工过程，节约时间和成本，消除人为错误的可能性。u 自动发现/自动资产库存和清单-确定资产，从版本到Hotfix级别，对运行在资产上面的应用进行精确的盘存。自动跟踪资产和应用。另外，它还提供用于弱点管理的实时的精确盘存，支持对新的威胁的实时反应。u 动态的代码和内容更新-按照客户确定的更新时间安排，动态地更新资产和漏洞的特征数据库。提供及时的数据，降低维护应用的成本，反应更快。u 统计分析 各资产安全补丁更新状态； 各严重程度级别的漏洞数量分布； 各严重程度级别的漏洞在各类型资产中的分布； 各严重程度级别的漏洞在各资产中的分布； 每个月新发现的漏洞数、消除的漏洞数、残留的漏洞数等等。r 软件正版化管理我国政府越来越重视知识产权保护问题，各级政府部门正在进行或已完成软件正版化工作。在这种情况下，保证电子政务系统满足正版化要求，也成为桌面安全管理的重要内容。同时，通过限制各类非正版软件的安装使用，也避免了更多的系统漏洞出现和病毒攻击的条件。u 自动软件资产统计-自动进行软件信息收集、汇总和统计，包括操作系统和各类应用软件；u 软件计量-进行软件使用统计，计量License。r 系统加固电子政务系统中数量庞大的桌面系统，绝大多数使用的操作系统为Windows系列操作系统，很容易受到各种针对微软产品的病毒攻击，而且危害大、传播速度快、隐蔽性强、暴发频繁已经成为新型病毒的四大特点。打补丁是防止病毒利用系统漏洞实施攻击的最好防护措施，同时可以防止黑客利用漏洞实施入侵。u 自动补丁下载/安装-及时更新系统及应用补丁，防止网络安全威胁。2.4.2 微软桌面安全管理系统基于微软的系统管理服务器System Management Server 2003 (SMS2003) 构建，Systems Management Server（SMS）为基于Microsoft Windows的桌面计算机和服务器系统提供了极具成本效益的、可伸缩性的资产与补丁管理。Systems Management Server与Microsoft SQL Server和Windows 2000 Server以及Windows 2003 Server操作系统完全集成-使其在任何规模的网络中都容易安装、配置和维护。主要提供功能包括：u 对计算机软硬件资产自动扫描发现u 统计分析系统存在漏洞u 自动下载最新补丁包并根据各系统基于MBSA扫描结果的安全漏洞进行更新安装u 可自动分发安装其它应用程序u 可支持断点续传及管理节点冗余u 对客户端进行远程诊断管理u 定制生成资产及软件或补丁分发管理报表3 桌面安全管理系统详述Systems Management Server 2003提供了集中式变更与配置管理解决方案，以帮助IT管理人员大大简化对基于Windows操作系统的PC设备进行自动化管理，分发最新软件、及时更新系统和应用补丁、远程技术支持、软硬件资产跟踪统计等。3.1 产品结构SMS 完全可以适于管理各级部门分布于不同网络内大量桌面系统，它使用了一种允许自身超越当今已知规模最大的客户环境实现扩展的分布式、层级化体系结构。由于Systems Management Server的早期产品版本就已被成功用来对由数十万基于Windows平台之PC系统构成的环境实施管理，因此，这种体系结构可谓“久经考验”。r 站点层级模型在大规模环境下，IT部门可配置多个SMS站点，以便使体系结构适应不同网络结构。SMS的基本构建模块是站点服务器。每个SMS环境至少需要一台站点服务器，而管理人员则可根据实际需要配置多台站点服务器。这就允许为节省带宽资源、分散工作负载并提供冗余支持而对站点服务器实施战略部署。至少有一台站点服务器应被指定为主控服务器，并配备用来存储配置与操作数据的SQL Server数据库。除此之外的附加站点既可以是主控站点服务器，又可以是辅助站点服务器；所不同的是，辅助站点服务器无需配备SQL Server数据库和本地管理支持。3.2 软硬件资产收集SMS可以收集基于Windows的桌面系统所有软件和硬件信息，如操作系统版本、安装的Office、SAP软件、内存、CPU、网卡信息等。各种各样的报告将基于结果数据生成，以帮助组织机构制定软件升级计划，跟踪计算机与软件资产，或检查软件许可证的有效性。举例来说，在部署某个新软件包之前，管理人员可能需要编制一份报告，以便显示具备足以为相关应用提供支持的内存与磁盘空间的目标PC设备数量。这就允许那些不符合要求的系统在部署开始前得到升级，从而，确保实现较高的项目整体成功率。从Windows 98开始就已被内建于Windows操作系统的Windows管理规范（WMI）提供了组成扩展使用情况的信息。SMS借助WMI提供内容尽可能丰富的系统数据集（包含BIOS、主板和封装数据）。3.3 软硬件资产报表SMS提供了包含120多种预建报告模板在内的Web报告服务，以及在管理人员控制下利用自定义报告对上述预建报告进行扩展的选择。已经提供的标准报告涉及多种目录、软件使用活动和SMS操作选项。SMS Web报告服务还提供了深层挖掘特性，用户只需在自己感兴趣的报告中点击某一行，即可进一步调阅底层报告。每个底层报告均可为管理人员提供更多详细信息，直到关于单个计算机或用户的完整目录信息被全部显示出来。SMS提供灵活的查询报告方式，可以检查所有客户端的补丁安装情况，也可以就某一安全补丁查询所有客户端安装情况，同时还可以根据自定义的分类来灵活查询。3.4 补丁管理SMS的安全修补程序管理特性将参照记录着已发布重要更新的Microsoft网上在线数据库对所有受控系统上的已安装软件进行检验，并就每台受控计算机所需安全修补程序做出报告。管理人员可借助一个向导程序自动下载最新修补程序，并将其部署至需要它们的目标系统，从而，实现根据实际需要安排部署计划、定位部署对象，提高补丁安装成功率。建立保障系统安全运行的补丁分发体系，对于保障电子政务网络安全具有重要意义，可以最大限度的减少由于系统漏洞导致的病毒攻击或黑客入侵。r 获得最新补丁发布的消息/获取补丁来源为了及时了解补丁发布情况，补丁管理员应该参考完成下列工作：u 在/security/security_bulletins/alerts2.asp 订阅安全公告的电子邮件通知（你可以选择中文电子邮件通知）；u 定期查阅最新的安全公告，及时查阅微软安全服务信息，进行补丁分发工作；u 如果SMS服务器不能连接Internet，需要定期下载最新的安全补丁列表/download/xml/security/1.0/nt5/en-us/mssecure.cab并复制到SMS服务器上；u 当有新的安全公告发布后，评估它对企业内部环境的影响并决定是否安装该安全补丁；u 若决定安装该安全补丁，下载该安全补丁(若该补丁对不同的操作系统有不同的文件，则不同操作系统的补丁都要下载)并先在测试实验室中的计算机上部署；u 该安全补丁通过测试后，正式部署到企业中所有计算机；u 检查安全补丁分发结果，定期生成报表。r 补丁分发机制/自动识别版本通过网络管理员对不同系统集合的管理和定制，结合补丁分析Microsoft Baseline Security Analyzer 即Microsoft 基准安全分析器MBSA（以下简称MBSA工具）的扫描，可以让系统自动识别软件的版本情况。MBSA 可以通过引用 Microsoft 不断更新和发布的可扩展标记语言XML文件（mssecure.xml），来确定将哪些关键安全更新应用于系统。该 XML 文件包含哪些安全更新可用于特定的 MIcrosoft 产品的信息。该文件包含安全公告名称和标题以及有关特定产品安全更新的详细数据，其中包括：每个更新程序包中的文件及其各个版本和校验和、更新安装程序包所应用的注册表项、有关哪些更新可代替其他更新的信息以及 Microsoft 知识库中相关文章的编号等等。r 新机器或长时间关机的机器自动补丁升级对于新机器和一些很久没有连入网络的机器而言，通过网络发现后，使用软件安全策略，在发现这些机器不符合企业网络的安全要求时，网络补丁服务器将自动把补丁发到这些机器上，并且在这些机器安装完补丁前，将禁止这些机器在网络中的权限和使用。在普遍连接实现之前，商务旅行者仍将继续利用缓慢的、不可预知的网络连接来开展他们的业务。SMS同样可以管理以确保对关键的业务应用程序的访问并保持最新的安全配置，同时还向IT人员提供应用程序配置、状态和使用情况等方面的信息。r 补丁分级发送对于复杂网络架构，由于网络带宽和管理策略的要求，可能需要建立补丁的分级分发模式，SMS在建立多级架构时，可以在各级分发服务器自动完成补丁的分发同步操作，优化网络带宽使用。3.5 应用软件分发SMS特性集的一项关键优势一直是该产品针对基于Windows操作系统之桌面计算机、笔记本电脑和服务器的强大而灵活的软件部署支持。管理人员可基于中央控制台在将软件包部署至遍布网络系统的目标计算机时对它们执行封装、复制、定位、推荐和跟踪。软件包还可在允许最终用户干预或无需最终用户干预的情况下实现部署，而任何IT支持人员均不必亲身前往目标系统。无论软件产品是像Windows XP Professional这样的操作系统、像Microsoft Office这样的完整应用套件，还是由第三方厂商提供或自行编写的日常商务应用，亦或较为重要的Windows系统更新，SMS均可借助简单易用的界面、向导以及与操作系统服务之间的高度集成大幅降低确保软件处于即时更新状态所需付出的工作量。举例来说，管理人员可借助SMS将一个新的服务软件包部署至公司范围内基于Windows NT操作系统的所有服务器。安装服务软件包所必需的源文件被首先复制到遍布全球的SMS站点，这有可能借助非高峰时段内的网络WAN链接得以实现。而软件包的实际安装则可被安排在非高峰时段分别针对全球范围内的每个办公机构执行。每台计算机均可利用网络系统上距离最近的拷贝执行服务软件包安装操作，并将由此产生的网络流量控制在最低水平。在各级网络以本地方式部署SMS并配备多种带宽管理特性的分布式体系结构允许在不会导致网络超负荷运转、关键业务通讯中断或为用户带来不便的前提下轻而易举地将软件部署至规模极大的应用环境。状态报告允许管理人员在任何安装问题发生的第一时间对它们做出突出标识，并在此基础上迅速采取补救措施避免出现类似故障，从而，为大规模部署方式提供更高水平的援助支持。3.6 远程访问管理员日常工作中有大量工作是对桌面系统的使用问题或故障提供技术支持，SMS 提供了一系列的信息技术支持工具让管理员进行远程访问，提高支持效率，降低工作负担。这些工具包括：u 远程启动当管理员为一个远程客户端提供支持的时候，他们可能需要重新启动客户端来测试启动过程中作出的改变，或者调入一个新的配置，或者在一个客户端计算机由于硬件或软件的误操作而被锁住以后而重新启动。通过使用远程启动工具，管理员可以重新启动客户端计算机。u 远程对话 通过远程对话工具，管理员可以和任意客户端计算机的用户进行对话。当一个管理员启动一个会话进程时，在Systems Management Server Administrator计算机和被选中的客户端计算机上都将出现远程对话窗口。当管理员或者客户端上的用户在自己的窗口中键入文字时，在对方的窗口中将出现相同的内容。u 文件传输使用文件传输工具，管理员可以在基于 Systems Management Server的控制台计算机和被选中的客户端计算机之间传输文件。u 远程执行远程执行功能能够让管理员在远程基于Windows的客户端计算机上运行应用程序或者批处理文件。当管理员用远程执行而不是远程控制工具时，用户看不见被执行的命令行，而且命令的执行也更加迅速。3.7 AD目录服务集成SMS支持与Active Directory之间的高度集成将允许管理人员根据组织单位成员资格、用户组、计算机组乃至Microsoft Exchange 2000分发列表等非安全对象进行软件部署定位。这种Active Directory支持的实现途径为：发现与目录附带之所有用户和计算机相对应的对象成员资格，并将这些成员资格作为属性添加到由SMS数据库存储的目录数据当中。管理人员将可通过与硬件或软件目录属性使用方法完全相同的途径借助这些Active Directory属性创建目标集合。管理人员可对Active Directory搜索进程实施定制化处理，选择不同日程计划，并将所需执行搜索的Active Directory层级组成部分纳入定位范围。这种粒度控制将确保目录整体性能不会受到搜索进程的重大影响。SMS还可借助Active Directory面向网络系统上的客户端发布特定SMS服务与服务器所处位置。SMS能够将Active Directory用作定位服务，并在此基础上简化客户端操作，并尽可能降低客户端服务搜索期间产生的网络流量。此外，SMS站点界限可在逻辑上与Active Directory站点定义相对应。Active Directory站点定义特性允许管理人员使用子网通配符定义站点边界，这就允许将覆盖面较大的IP地址轻松集成到SMS站点界限集合当中。u 提供高级安全模式，提高SMS安全保障u 自动桌面系统发现及SMS客户端安装，节省时间，避免网络发现压力3.8 高级管理特点r 支持补丁和应用分发断点续传SMS使用BITS（后台智能传输服务），对于检查点/重启的情况均可处理。一度被中断的客户端文件下载进程将可随网络连接的重建实现断点续传。BITS可提高文件传输的速度，改进恢复功能并减少网络带宽损耗。BITS在客户端和服务器之间传输文件，并向客户端返回文件上载和下载操作的进度信息。BITS 并发前台传输使用全部带宽来支持多个作业的文件的传输，而只使用空闲带宽来支持后台传输。如果文件传输过程被中断，BITS 可以准确地从中断点恢复文件传输，而不是重新传输整个文件。由于 BITS 可以准确地从中断点重新开始传输，因此在发生诸如网络中断和计算机重启等故障时，可以有效地恢复所有传输。 BITS提供以下功能： u 执行并发前台下载。u 支持远程名称的服务器消息块 (SMB) 协议。u 支持文件范围下载。它是一种可更改文件传输源的程序。u 减少客户端带宽消耗。r 网络带宽感知自动检测客户端网络连接的容量并有效地调整传输速率，使传统台式机和移动PC都能以一种带宽感知的方式下载软件。在其他服务开始使用共享链接时，下载速度将得到动态的调整。还可以配置为不在连接时安装应用程序和更新，而是下载整个程序包，在以后运行安装程序，即使当时网络已不可访问，也不受影响。SMS高级客户端借助后台智能传输服务（BITS）技术自动检测客户端网络连接带宽，并以高效方式对传输速率进行调整。当使用共享链接的其它服务启动时，下载速率会以动态方式接受调节，以便将SMS网络流量降至后台水平。避免业务数据传输受到影响。r 增量内容复制当一个应用软件出现升级版本时，可能只是更新其中的某个文件，如果需要重传整个软件包，会对网络利用形成极大浪费。SMS提供了增量软件包复制的特性，增量软件包复制特性可在无需重传送整个更新软件包映象的前提下，在站点间对软件包修改内容进行复制。4 方案优势4.1 产品优势多年来，IT管理人员一直成功运用Microsoft Systems Management Server对组织机构内部基于Windows操作系统的桌面计算机和服务器实施管理。近年来，随着企业机构中Windows PC部署数量的大幅增长，SMS已帮助IT管理人员在支持PC和应用部署规模持续扩张的同时，有效控制分布程度如此之高的系统管理成本，并将总体拥有成本保持在较低水平。当然，随着新技术不断得到采用和PC应用配置的日趋复杂化，基于Windows操作系统的PC设备部署环境也处在持续变化之中，SMS专门设计用来对这些发生在PC领域内的变化趋势进行追踪并提供支持，同时，面向新兴应用情境和技术手段提供支持。4.2 技术优势SMS为处理和解决企业桌面安全管理需求提供了一款综合解决方案。u 简单高效的部署模式-SMS特别适用于大型企业、机构部署的实施，项目困难和成本可能会随企业规模而增加， SMS支持多层次的企业架构，上、下级系统的数据可根据系统管理的需求进行汇聚；并可在中心节点（主站点）实施全网的统一配置、管理策略。u 有效的管理-SMS是 Microsoft Corporation 针对 Windows 系统变更和配置管理的策略性解决方案。随着硬件和软件资产成为 IT 预算的一个大的组成部分，在持续交付重要业务功能的同时，组织也在愈发努力地寻找降低这些成本的方式。SMS 通过降低管理和部署软件的整体操作成本实现了这一目标。u 了解软件资产-随着各级组织对降低成本的日益关注以及正版化管理的要求，准确跟踪软件的生命周期和保持符合供应商的许可策略