撬起网络短板 守住企业网络边界

　　【IT168专稿】网络的边界到底是什么？"边界"只是相对于网络而言的修饰词而已，边界之外是否还有其他的东西呢？没错，是人，但是曾经很多人认为网络的边界就是交换机或者路由器，但网络作为实现企业业务支撑的工具，必然它的边界也应该是这一整套工具的一个重要组成。所以这样看来，真正的网络边界其实是终端设备--电脑、PDA、手机或其他。

　　网络边界安全防护困难重重

　　从Web1.0发展到Web2.0，再到企业向实时性企业和敏捷性企业发展的思维变迁。安全的威胁与IT同步，甚至超越了IT的发展速度和想象空间，有线或者无线设备的安全缺陷、软件漏洞、安全攻击等等问题。由于其分散性、不被重视、安全手段缺乏的特点，已成为信息安全体系的薄弱环节。似乎终端设备始终也摆脱不掉作为企业安全短板的标签，死死的贴在那里。

　　有调查显示，政府、企业单位中超过80%的管理和安全问题来自终端。从这个数字可以得出一个结论，就是网络安全呈现出了新的发展趋势，安全战场已经逐步由核心与主干的防护，转向网络边缘的每一个终端。

　　确保网络边界安全，是一件非常困难的事情，因为随着组织机构向各种新的应用--Web、VoIP、即时通讯--开发其网络，他们不断的面临着高度伪装成机构所需要使用应用程序的蠕虫、缓冲区溢出以及其他攻击。这种状况通常意味着购买和部署成本高昂的单一解决方案，来弥补边界中漏洞。

　　但是，不要企图天真地认为"拔掉网线"就能保平安，曾经这种物理隔离的土办法在现在已经成为名副其实的笨办法了。安全的意义就是要降低风险，而降低风险或者说修补企业安全短板的方式有很多，针对网络边界也可以运用合理的方法论，弥补安全的缺失。

　　当然，这套方法不仅是让一个CIO给上千台终端打补丁，分发安全软件程序，或是怎样才能将这些终端设备管理好，还能够及时对终端的状态进行检测和预警。

　　终端安全保护问题包括:病毒蠕虫大规模泛滥以及新的蠕虫不断出现给用户带来损失;来自内部和外部的入侵和攻击的问题;网络边界扩展带来的对于移动办公用户、第三方接入安全防范不足从而引入安全风险的问题。

　　而系统管理问题则主要表现在对微软等操作系统不断出现漏洞的补丁措施的及时管理，以及网络中终端设备资产信息变化的精确统计管理问题。至于行为监控，则是企业主对于员工的安全监控预防和工作情况统计的措施。

　　同时，面向终端安全产品的属性又非常多，其中囊括了：管理（网管软件、单机版的系统管理、补丁管理等等）、保护（个人防火墙、单机版防病毒、主机IDS等等）、监控审计（拨号监控、上网监控、网页内容浏览监控等等）、网络准入等方面的内容。

　　游龙科技总裁张泽军认为：CIO需要的是一套面向终端威胁的工具，比如软件分发、补丁管理、资产管理、应用程序管理、外设管理和远程控制领域。基于事件检测方式的安全管理手段也许正是CIO得以解放的好办法，再通过服务器监控中心对终端进行集中、统一管理。这些功能都可以通过DM（桌面管理）工具实现。

　　桌面管理工具的结构很简单，像国内比较流行的SiteView DM，就是通过桌面代理-服务器-控制台三层结构组成，实现分布式防护、集中式分级管理功能，这种计算机管理的层次也符合国内现行企事业单位的组织与管理体系现状。

　　桌面管理软件重装出击　　

　　桌面管理软件能够自动给指定的或全部终端计算机批量分发及安装应用软件包，保证终端计算机始终处于最佳工作状态，大大减轻了管理员批量部署程序的负担。软件分发满足了大型分布式网络软件统一和数据更新的需求，每一个分发都有明晰的过程跟踪和记录，管理员可实时查询分发的即时状态。

　　传统的软件分发，对系统管理人员来说，就是将一个更新软件分发到大量工作站上，这无疑是最繁琐的任务。随着工作站数量的增加，从一个系统到另一个系统、登录、安装软件和回答用户问题很快变得繁琐费事。因此，软件分发工具的首要任务是在降低支持成本的同时提高桌面应用质量和可用性。

　　补丁管理

　　病毒和网络蠕虫日益肆虐，经常引起系统崩溃、甚至全网瘫痪。而多数病毒感染或者攻击是由于补丁没有及时更新，为病毒入侵打开了方便之门。桌面管理软件补丁管理功能可为企业计算机系统自动下载并安装补丁、及时更新病毒库等，避免因病毒侵袭及应用系统漏洞而导致损失。

　　当网络中有新的计算机补丁被公布下载后，桌面管理软件在第一时间内获得，并进行相应的分析，更新补丁索引文件。桌面管理软件会对存放到服务器上的计算机系统补丁进行相应的分析，自动得出补丁属性、类型和与之相关的补丁说明，并在网页中进行清晰明了的显示，同时在补丁导入时启动病毒检测功能，保证导入到补丁库中的补丁不被病毒感染。

　　这样可以方便管理人员根据相应的需求，高效快捷定义补丁分发策略，及时的针对不同的系统和需要分发计算机补丁。与此同时，用户的机器会定期与桌面管理软件服务器会话，了解是否需要安装新的补丁。如果需要，它会向本地子网中的打包服务器索取相应的下载补丁。所有的同步过程均可自动完成，上级服务器可以了解下级服务器补丁库是否同步成功。

如此一来，通过桌面管理软件补丁管理功能，网络管理人员不仅可以及时更新终端计算机的Windows补丁和病毒库，使终端计算机强壮化，降低Windows漏洞和病毒对终端计算机造成的危害，而且从内部管理上进一步提高网络的安全性和可靠性。

资产管理

资产管理的目的在于更大程度地解放人力资源、减少成本。桌面管理软件可自动侦测计算机详细的软硬件资产状况；自动反馈计算机的硬件变化和软件安装、卸载状况，建立资产变动记录。通过资产收集，网络管理员可以及时了解终端计算机的软件、硬件资产的配置情况，便于对资产进行统一管理。

目前企业都面临很多这样的问题，即难以清晰宏观地了解网络资源，因为客户端环境不一样，设备不统一，兼容机和品牌机参差不齐。对于这样的网络环境，桌面管理软件是一个不错的选择，它可以了解并适应各种各样复杂、繁琐的网络，并且支持Linux、Unix等平台。桌面管理软件资产管理系统支持9000多种软件资产，在硬件资源的管理方面几乎涵盖了市面上所能见到的网络硬件产品。

桌面管理软件能够收集所有的计算机软硬件资源，包括客户端计算机的BIOS参数内容、CPU类型、系统信息、操作系统版本、已安装的软件等。桌面管理软件可以对所有客户端的库存进行集中管理；快速检测客户端的磁盘利用率；检测和预测网络中故障软件并自动处理；通过注册信息等降低故障恢复的工作量；自动处理IP地址或主机名的变更，即便设备频繁移动，设置工作一样十分简单。资产管理与软件分发的配合使用就可以以用户信息系统为基础管理资产信息。

桌面管理软件具有强大的资产管理功能，能够管理企业网络内所有的软硬件资产。通过客户端的资产扫描功能，所有的软硬件信息都将及时地被扫描并存放在核心数据库中，企业可以了解当前所有计算机的资产信息，并能为软硬件升级计划及充分提高现有设备的利用率提供可靠的参考依据。

新的业务报告和扩展的资产管理工具可以使网络管理员发现拥有 IP 地址的任意设备――包括打印机、路由器和其他设备，甚至可以增加自定义数据，例如部门编号、购买日期或者是用于资产管理的任意项。

在每个功能实现的细节方面，桌面管理软件充分考虑节约资源和提高性能，采用差异扫描的方式来更新资产，仅将客户端自上次扫描以来的差异资产数据经过高度压缩后发送到服务器，从而降低对网络流量的影响；在客户端性能调优方面，只有在执行某个功能时才调用相应的系统资源，这种"按需"方式能确保占用资源最小化。

外设管理

桌面管理软件可以允许或禁止客户端计算机的USB接口、光驱、软驱、并口、串口、Modem等外部存储设备的访问使用，减少泄密途径，强化内部安全控制机制。

在审计方面，SiteView DM可以对被审计主机上光驱、软驱、USB接口的用户使用情况进行审计，文件保护安装在审计中心，可有效的对被审计主机端的文件进行管理规则设置，以及对文件保护进行用户管理。

远程控制及策略管理

桌面管理软件可在管理端直接遥控和操作任何一台电脑；可远程获取客户机的应用程序、网络连接、进程、系统信息等基本资料和运行情况，还可以在服务器端对远程需要帮助的计算机进行操作，充分发挥共享服务器端的技术优势，实现远程桌面访问、双向文件传输、远程执行、对话等功能。

通过远程协助，桌面管理软件可以帮助网络管理员远程维护终端计算机，提高管理员的工作效率和故障响应时间。远程控制可让网络管理员不必离开办公桌就能对远程地点的询问做出反应并解决问题。它提供了PC客户机与服务器之间的操作，不仅可以远程维护客户机和服务器，还能通过远程桌面功能提供远程技术支持和培训。

桌面管理软件实时监视特定计算机的屏幕键盘和网络连接情况以及计算机拨号情况，可以指定间隔时间段截取一次屏幕，时间段以开始时间和结束时间来设定，可以以月、周或日为周期，循环监视。时段监视可以设定为对所有监管计算机启用，也可为特定的计算机单独设定时段屏幕策略，也很方便随时查看获得的时段监视内容。

当最终用户不小心删除了必需的应用软件文件时，复原工具将自动修复被破坏的应用。这些复原工具能通过求助桌面重映象整个企业工作站上的应用软件注册表和文件，其保护应用软件的方式类似于备份／恢复工具保护数据的方式。复原工具能减少上门维修，降低企业的投入成本。

应用程序管理

桌面管理软件能够实时汇总网络内所有曾经运行过的应用程序名称，通过对这些数据收集整理、分析，可以制定相应的运行策略，如禁止某些计算机运行指定的软件和应用程序；同时，方便网络管理人员对应用程序的使用记录进行查询和统计，进而制定更加详细的管理策略。