【51CTO.com綜合報道】

◆安全挑戰

從終端安全發展過程來看，終端安全產品已經從基礎的安全防范如終端打補丁、防非法外聯、病毒庫統一升級等第一代終端安全產品，發展到現在的集成終端打補丁、準入控制、U盤管理、非法外聯、甚至是流程處理等功能的多功能終端安全管理產品，即第二代終端安全產品。不論是第一代終端安全管理產品，還是第二代終端安全管理產品，都缺乏對終端安全的全面風險管理，缺乏對終端安全中重要風險細致的分析和技術防范措施，缺少主動防范機制，還面臨許多安全挑戰：

■難以對終端安全問題實施主動防范

現有終端安全產品，側重是否安裝防病毒、病毒庫是否及時升級、是否違規外聯、是否違規內聯、是否U盤違規使用等被動防護功能，缺乏入侵檢測、防火墻、防木馬等一些主動防御功能，使終端仍時常面臨諸多安全威脅。

■難以有效解決終端信息安全風險管控問題

現有終端安全管理產品還沒有對終端安全風險進行管控和全面展現，管理人員也無法及時掌握所轄區域終端信息安全的現狀，無法及時進行風險排查和處置。同時局部風險與全局風險會產生互動影響，各地小風險會導致全局大風險，甚至可能演變成全網災難性風險，而終端安全風險往往是風險的重要來源。

■難以解決終端資產在不同的使用周期面臨風險變化的問題

資產價值越高，面臨的風險就越大。信息資產因其自身易泄露、易被篡改等特點，價值越高，面臨的風險就更大，而且信息資產面臨的風險會隨其生命周期的不同階段而變化。現有終端安全管理產品還不能充分分析、提煉資產在實際管理使用過程中的不同階段的風險，不能動態跟蹤該類風險的變化并有效應對。

■人為因素、制度因素導致終端安全隱患嚴重

由于缺乏安全意識培訓和安全技術管控，內部人員存在內外網終端設備交叉使用違規行為。外來人員在允許上內網工作的前提下，缺少技術管控，一旦發生風險也無法追溯和定位。在制度制定上，由于對終端安全缺乏足夠重視、缺少終端安全應急預案和流程或應急預案準備不充分。因此人為隱患和制度缺陷導致安全事件時有發生。

■難以解決個人對終端安全管理產品使用抱抵觸情緒的尷尬現狀

現有終端安全管理產品通常需要在終端上安裝安全代理，用戶感覺自己的行為受限、受監控，通常會產生抵觸情緒。如果終端安全管理產品不能在形式上解決用戶的抵制心理，用戶很容易將日常應用中發生的問題一股腦都推到桌面管理軟件的身上，使得桌面管理軟件在推廣過程中阻力重重，最終成為了擺設或者干脆棄之不用。

◆解決方案

針對上述終端安全管理所面臨的安全挑戰，天融信公司從用戶角度出發，推出了第三代終端安全風險管理解決方案，由終端安全防護平臺與終端安全管理平臺兩大部分組成。終端安全防護從技術和管理角度對終端安全風險進行管理、防護和控制，降低風險的發生。終端安全管理對終端的各類情況進行監測和風險分析，根據監測和分析的結果不斷改進和完善防護的策略，使所有終端風險都處于可接受的范圍之內。

如下圖示，是天融信第三代終端安全風險管理解決方案架構圖。

天融信終端安全風險管理架構圖

天融信第三代終端安全管理解決方案，不僅實現了終端安全管理的各項功能，而且從終端安全風險分析著手，動態地從資產生命周期、風險生命周期、終端安全邊界、人員、信息等多角度全面分析風險，跟蹤風險、處理風險，實現對風險的全生命周期管理。同時，將終端安全風險納入到網絡總體安全風險中，既可以作為單獨的風險管理平臺管控，也可以作為總體安全的一部分，從全局分析，并以此作為網絡管理、風險告警、輔助決策的依據。

■終端安全防護平臺

端安全防護平臺分為三個部分：終端代理部分、防護平臺管理部分、聯動接口部分。核心處理層有兩大管理需求：安全風險管理和安全基礎管理，如下圖所示。

終端安全防護平臺功能架構圖

終端安全防護平臺是終端安全管理體系的核心基礎組件，負責終端信息的采集和維護、終端安全風險的管理和防護、終端安全事件的監測和控制，為終端安全管理平臺提供所需要的各類數據的采集和傳輸。

■終端安全管理平臺

終端安全管理平臺包括三個子系統：安全管理子系統、業務支撐子系統和自身管理子系統，如下圖示。

終端安全管理平臺功能架構圖

終端安全管理平臺將終端安全防護平臺的數據進行匯總，可對數據進行梳理、統計和深度關聯分析，形成關聯分析報告，為安全策略的制定提供依據；可查看安全策略全局下發后的終端安全風險整體狀況，為安全策略的調整提供決策支撐；可為不同的用戶提供不同的安全視圖，保證不同層次的用戶能夠快速、方便地了解到所關心的安全信息。

終端安全管理平臺，將安全風險分為四類：運行安全類、信息安全類、資產使用生命周期管理類和系統管理員審計類，并根據風險的類別、級別等，給予不同安全等級的處理。終端安全管理平臺所展示的信息，能夠根據風險級別進行分類展現，危險級別高的信息將在最前端展現以提醒管理員及時處理，并且對于所有的風險的處理都能產生記錄，如處理管理員名、處理時間、是否處理等信息都能夠清晰可見。

終端安全防護平臺和終端安全管理平臺的控制臺是同一平臺，無縫連接，可以直接進行界面切換和統一管理，保證所有信息的唯一視圖和全局展示。#p#

◆方案優勢

天融信第三代終端風險安全管理解決方案，以安全風險管理為主導，具有以下優勢：

■完善的終端安全風險管理體系

方案架構先進，突出風險管控，分重點防護。方案設計中技術和管理并重，注重系統間的協同防護，從組織與流程、制度與人員、場地與環境、網絡與系統、數據與應用等多方面著手，在系統設計、建設和運維的多環節進行綜合協同防范。基于統一安全管理，考慮合規性要求，統一處理各種安全事件，實現安全預警和及時響應，輸出各種合規性要求的報告，從管理和技術兩方面為企業建立完善的終端安全風險管理體系。

■強大的關聯分析引擎

安全管理平臺內置的關聯分析引擎可以對各種類型的采集源產生的數據進行實時關聯分析，以發現深層次的信息。與傳統的基于事后數據及數據庫的事件關聯分析技術相比，系統更據有實時性，這樣就為快速響應及動態網絡攻擊防御提供了基礎。系統定義特定的場景描述語言用于描述攻擊場景及用戶業務場景，語言采用XML格式，支持用戶對語言本身進行擴充。為了更好的支持動態響應特性，分析引擎可以執行用戶定義的外部動作。

■實時自動響應引擎和技術

第三代終端安全風險管理系統解決方案，設計了輔助決策系統，該系統中預置了大量的腳本和程序，可以由用戶配置，實現對部分安全問題的自動響應，響應方式包括關閉網絡設備端口、自動升級補丁、自動配置防火墻策略等。實現了從被動防守到主動防御的轉變。此外輔助決策系統還具有良好的開放性和升級性，可以在后期的維護過程中，不斷的進行豐富和改進。

■松耦合，熱插拔的設計

系統基于SOA設計，具有很高的松耦合性，能有效的整合不同的管理系統。同時系統可以在運行狀態中加入新的組件或者卸除已有組件，整個過程都不影響系統的運行。

■客戶端友好互動界面，實現信息實時公告和遠程協助。

方案改進的終端界面可以讓終端用戶和管理者之間進行通訊，為終端用戶提供防病毒，軟件安裝、遠程協助以及其它維護申請等服務，減輕管理員的運維負擔，同時，給用戶帶來切實的運維幫助，抵消其通常對終端防護系統的抵觸情緒。

◆應用領域

第三代終端安全風險管理解決方案，可以廣泛應用于各行各業，尤其適用于大集團公司、大行業，如石油、石化、電力等，以及政府部門如地稅、公安、法院、政務等國家機關，滿足其實現跨區域、分級管理，靈活掌握整個行業和系統的終端安全風險管控的需要，形成以總部為中心，負責全局終端安全策略的管理和下發，接收全局上報信息，數據綜合分析和與其他系統協同聯動的功能。各地分公司和區域部門節點連接到總部節點，各地分公司和區域部門終端安全管理平臺還能單獨配置策略，在不違法總體安全策略的前提下實現分級管理。

以某省地稅第三代終端安全風險管理部署為例，在該省已經部署了終端安全防護平臺的市局，僅部署終端安全管理平臺既可，對沒有安裝終端防護系統的地市，則同時部署終端安全防護平臺和終端安全管理平臺，省、地市、縣實現多級級聯部署。如下圖示。

某省局天融信終端安全風險管理部署示意圖

天融信提供的第三代終端安全風險管理解決方案，由省、市、縣3個層次組成，所有節點都與它的父節點以及所有的子節點進行通信。父節點能夠對所有的子節點進行管理和查詢，包括系統監測特征配置、黑白名單管理、歷史信息查詢和數據分析等。大部分的策略配置都是逐級下發的，從省局中心節點（根節點）發起一直到縣局節點。每個節點還能夠進行本地配置，這些本地配置將只影響本地的終端安全防護和安全管理平臺和其下級節點，不影響上級或者平級部署的平臺。