补丁管理系统.ppt

1、目 录 第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,目前网络安全管理工作量最大的对象是什么？

2、 不停的给终端操作系统打补丁,补丁安全管理的相关话题 如何有效监控系统安全补丁的安装情况？ 如何监控外来设备（笔记本电脑等）的随意接入网络现象？ 如何有效保障网络的物理隔离？ 如何对终端防病毒软件进行有效监控？ 如何对非正常（带有漏洞）终端快速定位，有效阻断？ 如何有效进行网络终端的资源管理？,工作站 通过电子邮件,工作站,防火墙,Internet,工作站,典型病毒： 尼姆达、蠕虫王、冲击波 震荡波等,网站服务器,病毒混合式攻击同漏洞有着极为密切的关系,消除漏洞的根本办法就是安装软件补丁： 每一次大规模蠕虫病毒的爆发，都提醒人们要居安思危，打好补丁，做好防范工作补丁越来越成为安全管理的一个重要

3、环节。 黑客技术的不断变化和发展，留给管理员的时间将会越来越少，在最短的时间内安装补丁将会极大地保护网络和其所承载的机密，同时也可以使更少的用户免受蠕虫的侵袭。 对于机器众多的用户，繁杂的手工补丁安装已经远远不能适应大规模网络的管理，必须依靠新的技术手段来实现对操作系统的补丁自动修补。,第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,1、及时性：微软发布MS04011公

4、告时，NGS的David在看到公告的8分钟后写出了攻击代码 ；Xfocus成员在6小时内写出了通用的攻击代码 。2004年9月份发生的Half Life2源代码泄漏事件就是由于企业内部客户端没有及时打补丁，而导致被IE漏洞攻击，造成重大损失。 2、严密性:补丁测试同补丁的发布时间关联：补丁发布的越早，测试时间越少。安全性就降低。 针对系统底层的一些补丁，很容易导致应用不能正常运行，甚至系统不能正常启动，盗版操作系统的大量使用，也要求对补丁进行严密安全测试。需要建立一个企业内部补丁测试环境，确保安装补丁的可靠性。 3、持续性：补丁管理工作不是一蹴而就的，而是一个长期的，持续性的工作 。,自动补丁

5、管理系统通过自动跟踪需要修补的系统并在企业范围内部署所需要的补丁程序，可以将网管员从繁重的工作中解放出来。,与安全预警保持同步、评估安全漏洞给企业网造成的风险、测试并部署补丁程序，是每一位网管员每天都必需面对的繁重工作。,第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,一、 建立有效的安全补丁自动分发系统,对于大型机关和企业网络，靠有限的人力手工进行终端的安全加固是不现

6、实的。为此，微软提出了两个解决方案： SMS：Microsoft System Management SUS：Software Update Services,SMS技术是基于主域控制技术，通过域控制器对管辖的计算机的安全补丁进行统一的升级和管理。此方法存在的问题是：机关单位一般不使用主域控制进行网络管理。,SMS技术,国内用户一般不使用主域控制进行管理; 对于游离于主域控制以外的终端无法监控; 功能实现所需的工作复杂; 不能对流量进行控制; 对于内外网物理隔离的网络，系统补丁导入工作烦琐; 无法根据不同的操作系统或IP区域定制补丁安装策略;,对于机关网络，SMS技术存在的一些问题:,SUS技

7、术 此技术应用了Windows Update的技术，即客户端可通过在内网建立的SUS Server自动下载升级补丁。采用此方法的优点是简单方便，但是此系统也有不易控制的缺点。,北信源提供的终端补丁管理解决办法：整个补丁管理运行平台构架是通过北信源外网补丁下载服务器及时从补丁厂商网站获取最新补丁；补丁经过安全测试后，通过补丁分发管理中心服务器对网络用户进行分发、安装；补丁安装支持自动和手动两种方式。,北信源补丁分发管理系统具体功能包括：补丁下载分离、补丁分析归类、补丁策略制订（分发）、补丁文件分发、客户端补丁检测、补丁分发控制等。,北信源补丁监控功能图,补丁管理级联部署构架,系统特色： 1、系统

8、漏洞自动检测。 2、补丁自动推送。 3、补丁闭环安全测试。 4、补丁自动执行安装。 5、流量控制。 6、策略中心自定义。,第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,补丁管理工作流程,第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源

9、补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,补丁自动分发系统基于B/S结构设计，通过在客户端设备中植入驻留程序实现补丁检测、分发功能。 系统前台使用Web浏览器方式对进行操作配置管理和客户端注册，后台通过SQL数据库对用户数据加以统计和存储。,补丁分发管理模块组成,补丁下载服务器： 安装在能与Internet网络连接的机器上，用于实时下载补丁，支持补丁导出前病毒过滤。补丁下载服务器下载补丁导入时，分离出新下载的补丁和原有补丁，只导入新下载的补丁，即仅进行“增量式”的补丁升级，以提高效率。 模块组成： 补丁索引下载和解析模块 补丁下载模块 补丁增量

10、导出分离模块,管理信息库： 管理信息库中用来存放和管理各种策略、系统组件运行参数配置、网络客户端设备信息、补丁及相关信息、报警、日志等各种信息。,中央管理配置平台： 系统的操作管理中心，基于web浏览器方式工作，用于系统应用策略制订，配置系统组件运行参数，维护系统等操作，并显示网络设备和本系统组件状态信息、报警信息和各种日志记录等。在中央管理配置平台进行的所有操作过程和结果数据均存储在管理信息库中。,区域管理器： 系统数据处理中心，从管理信息库获取来自控制台的各种策略和命令操作，发送到客户端和扫描器后执行。区域管理器接收扫描器的信息和客户端程序提供的各类状态和报警信息，发送至管理信息库，管理人

11、员通过中央管理配置平台查阅这些数据。,设备扫描器： 设备扫描器，扫描网络中主机状态。查看是否已经安装补丁注册程序，巡检网络设备状态变化信息，及时通知补丁客户端驻留程序更新应用参数。对客户端的违规行为的阻断也是由扫描器在接收控制台命令后执行。,客户端程序： 该程序模块按策略自动探测系统补丁相关信息和状态并上报给区域管理器，然后将这些数据存储到数据库；通过区域管理器接收管理员制定的策略，根据策略进行补丁下载，同时，可以提供扩展安全管理功能。,策略中心： 策略中心用于提供对计算机终端的状态、行为控制功能项的规则设置，设置功能的开启、关闭，策略的执行范围、周期等参数项。,策略中心,第一章 补丁分发管理

12、系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,补丁自动下载 在外网启动补丁下载服务器，自动下载补丁到：VRVRegionManageDistributePatch。 拷贝上述所有Patch目录内容到内部网络区域管理器安装根目录VRVRegionManageDistribute下。,补丁下载界面,补丁检测主页,在内部网主页上设置补丁检测链接到补丁控制平台Patchweb主页,客户端补丁检测

13、主页链接：,补丁检测IIS主页调试,补丁库分类,补丁下载策略定义： 终端补丁策略分发（一）,终端补丁策略分发（二）,指定补丁文件分发 （一）,指定补丁文件分发 （二）,文件分发,控制执行脚本分发 （一）,控制执行脚本分发 （二）,补丁分发综合查询 查询：已安装补丁 未安装补丁 分发下载补丁,任务定义 文件分发、消息通知、控制执行脚本（略）、任务列表维护（对所设定任务进行修改、删除，如下图）。,任务分发：按区域分发,任务分发：按设备分发,任务完成情况统计,人工补丁设置（补丁检测、下载）,补丁自动检测,访问http:/网页管理平台ip/vrveis/patchweb检测客户端是否已经注册补丁检测程

14、序。,显示系统漏打的补丁，并可以手动选择下载安装。,数据查询（一）,数据查询（二）,远程呼叫帮助中心（用户自主选择）,提供备选的远程控制模块，网络管理员可在服务器端对终端进行接管，直接对终端进行操作，可方便的进行远程终端管理和操作。,远程呼叫帮助管理端,远程呼叫帮助用户端,可扩展接口,通过专用的数据接口与网络防火墙相联动； 预留数据接口，可与需要的软件系统进行 联动或数据交换。,第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章

15、系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,1.系统数据库数据备份及还原 停止SQL SERVER服务管理器数据库服务，默认安装路径为：C:Program FilesMicrosoft SQL ServerMSSQLData 中，找到此目录下VRVEIS.ldf 和 VRVEIS.mdf两个文件，将此两个文件拷贝到另外的路径下完成数据备份。 如果系统升级不成功，造成数据损坏，请按照以上步骤进行相反操作，将VRVEIS.ldf和 VRVEIS.mdf 两个文件拷贝到SQL SERVER 安装路径下，例如：C:Program FilesMicrosoft SQL ServerMSSQ

16、LData 中即可。,系统组件升级 访问北信源公司网站获取升级组件：upweb、upregmange、upscan三个组件，或者在区域管理系统配置中设置自动探测升级文件下在路径为c:vrvvrveisupdate，正常升级要求区域管理器、区域扫描器、WEB网页管理平台都必须默认安装在C盘下。 区域管理器升级 升级前停止所有组件的运行，然后点击升级文件upmanage.exe，此时升级文件会将区域管理器自动退出，并在升级完成后自动启动区域管理器。 区域扫描器升级 直接点击升级文件upscan.exe，此时升级文件会将区域扫描器自动退出，并在升级完成后自动启动区域扫描器。 升级网页管理平台 点击升

17、级文件upweb.exe，此时能够把网页平台自动升级更新为最新版本；必要时候，可能会发布fullupweb.exe升级文件，主要由于中间多次没有升级，进行完全升级。 完成上述工作后，必须访问安装目录，进入download目录，修改devieceregist.exe文件中watchclient.ini文件的regip地址为区域管理地址。,客户端注册程序升级 网络管理员在完成网页管理平台的升级工作后，需要在网页管理平台上“区域管理器”详细配置中将“允许客户端升级”选项选中即可。 此时客户端探头通过以下两种方式升级： A、扫描器扫描到客户端机器的同时对探头进行自动探测升级； B、客户端计算机每次重新

18、启动后，会在第5分钟时主动进行探头自动升级，否则会在持续开机的过程中每24小时自动升级一次。,检查系统是否升级成功 1）区域管理器和区域扫描器的升级检查：找到安装路径下的可执行文件RegionManage.exe和RegionScan.exe，右键单击后察看其属性，在选项卡上选择 “版本”，此时文件版本号应该显示为最新版本号码，否则说明升级没有成功。 2） 网页管理平台升级检查：打开并进入到网页管理平台，察看系统帮助菜单中“关于”选项，弹出的窗口会显示出当前的网页平台的版本号码。 3） 客户端注册程序升级检查：网络管理员通过WEB页面中的查询功能对版本号进行查询统计，完成客户端注册程序的升级检

19、查。 注：在此过程中必须注意对SQL数据库的备份，如果升级失败，请进行数据的备份还原工作，保证原始数据不能丢失。,级联管理模式升级及配置 在级联管理方式中，其上级区域升级方法同单一区域管理模式升级方法，其它各级区域均不需要进行手动升级。在上级手动升级完毕以后，需要系统管理员将3个升级文件手动放在C:VRVVRVEISupdate目录下，为下级区域的自动升级提供链接文件。 下级区域网络管理人员在系统安装成功完成后，需要进入到区域管理器界面，点击“系统配置”图标，在弹出的系统配置界面中将“上报给上级管理器”前的复选框选中，在“上级管理器”地址一栏中添加多级管理模式上级区域管理器的IP地址，其它选项

20、均选择为默认即可，此时下面的“升级配置”窗口中的“升级服务器地址”会同时自动发生改变，同时系统会每间隔一段时间对上级区域管理器进行一次探测，自动完成对系统升级即可。,第一章 补丁分发管理系统研制背景 第二章 补丁管理的特性 第三章 北信源补丁分发管理系统 第四章 北信源补丁分发管理系统工作流程 第五章 北信源补丁分发管理系统软件模块 第六章 北信源补丁分发管理系统操作指南 第七章 系统备份及系统升级 第八章 补丁分发管理系统应用注意事项,1、监控服务器在网络中放置位置注意点： 确保该监控服务器能够ping通所有被管理网络中任意一台客户端机器，同时被管理客户端可以正常连接服务器的TCP的80,8

21、8两个端口。 监控服务器给客户端下达策略的端口为：TCP端口22105； 监控服务器扫描发现客户端利用以下协议及端口： ICMP协议（发现IP地址存在的其中一种方式） NETBIOS协议,UDP端口137(为了发现机器名和MAC地址) SNMP协议,TCP端口161（为了发现智能设备如路由器、交换机等） 在本地网络中若划分了VLAN、或本地网络存在防火墙，请应注意上述问题。,2.存在网中子网（如经过地址转换）的网络布置点 对于网络中存在网中网现象，如采用NAT或者代理方式在10.*.* .*网络中接入192.* .* .*网段，这些子网用户的管理 方式如下： 情况一：子网有专人管理，并且有独立

22、机房 应在该子网中安装一套完整的监控系统。 情况二：子网无专人管理，或无独立机房，可采用以下3种 方式之一处理 机器数量少的建议统一更改ip为10.* .* .*网段。 由管理员监督子网中所有机器进行注册并保证不得遗漏。 在该网络中指定一台工作站专门安装区域管理器软件和区域扫描软件，并将区域管理器配置中SQL服务器地址指向监控服务器。,3.必须按照软件安装步骤进行安装 1）确认本机IIS服务正常； 2）确认本机SQL已正常安装并能正常使用（以本地系统账户方式安装）； 3）确认目标安装盘剩余空间不小于10G； 4）请务必按照指定顺序安装各个模块； 5）安装完所有系统模块后，请一定按照说明文挡进行

23、客户端程序的配置及分发安装。,4.管理器配置中红色标注的配置不得随意修改 :,5.监控服务器的安全性问题 管理服务器安装Windows2000 Server操作系统（带IIS）、SQL Server2000数据库后，一定要确保对Windows2000、SQL和IE 进行重要安全补丁修补，规范操作系统、数据库的口令和密码设置，保证SQL、IIS的正常启动运行。确保本服务器无病毒，同时可配置本服务器网络通讯端口仅打开： 80，88， 8800，8900，22105，2388，2399 。,6.保护机制的应用 对交换机、路由器、非Windows设备因在网页配置中将其ip进行保护，具体方法参见说明书。

24、 对有些机房重要服务器，若网管认为一定不会发生补丁分发管理现象无需注册的，可将其进行保护。 对保护的计算机阻断不起作用。,7.客户端登录主页自动注册配置 补丁分发管理系统所有组件安装完毕后，即开始客户端注册，编辑已有主页的源程序（本单位内网主页），在主页的源代码中放入以下代码： 之前,注意修改IP为区域管理器ip地址 注意：需要将其中的/vrveis/quest.asp换成http:/安装该区域内网安全管理网页平台计算机IP/vrveis/quest.asp即可，此时当网络中计算机访问该内部主页时，会自动弹出注册窗口。,8.访问主页时无法弹出注册窗口的原因和解决办法 注册过程中，访问注册web页面时，如果在