终端安全配置管理系统技术白皮书

终端安全配置管理系统技术白皮书国家信息中心目录第一章终端安全配置管理系统简介 (1)1.1 为什么要做终端安全配置 (1)1.2 机构如何实现机构高效的终端安全配置管理 (2)1.3 终端安全配置管理系统技术优势 (3)第二章终端安全配置管理系统逻辑结构 (5)第三章终端安全配置管理系统功能 (7)第四章终端安全配置基线介绍 (9)4.1 基线概述 (9)4.2 终端硬件安全配置 (9)4.3 终端软件安全配置 (10)4.4 终端核心安全配置 (11)第五章系统应用方案 (14)5.1 应用架构 (14)5.2 实施流程 (16)5.3 运行环境要求 (16)第六章技术支持服务 (18)附录一W INDOW7操作系统安全配置清单（示例） (19)附录二国家信息中心简介 (24)i第一章终端安全配置管理系统简介1.1 为什么要做终端安全配置在构成信息系统的网络、服务器和终端三要素中，对终端的攻击和利用终端实施的窃密事件急剧增多，终端安全问题日益突显。

攻击和窃密是终端安全的外部原因，计算机系统存在缺陷或漏洞、系统配置不当是终端安全的内部原因。

外因通过内因起作用，内因是决定因素。

据调查，针对系统核心的攻击中，5%是零日攻击，30%是没有打补丁，65%是由于错误的配置。

因此正确的安全配置才是保障终端安全性的必要条件。

计算机终端核心配置最早由美国联邦政府提出，称为联邦桌面核心配置计划（FDCC）。

该计划由美国联邦预算管理办公室（OMB）负责推动，旨在提高美国联邦政府计算机终端的安全性，并实现计算机管理的统一化和标准化。

美国空军最先实施桌面标准配置并取得了良好的应用效果。

2007年，美国联邦政府强制规定所有使用Windows的计算机必须符合FDCC的配置要求。

近年来，我国逐步认识到终端安全配置管理对于加强计算机终端安全保障工作的重要作用，对美国联邦政府实施的桌面核心配置进行了跟踪研究，并开展了我国终端安全配置标准的研制工作。

多家科研院所和安全厂商参与了相关研究工作，其中，国家信息中心是国内最早开展终端安全配置研究的单位之一，目前已编制完成政务终端安全核心配置标准草案，并开发出一整套标准应用支撑工具—终端安全配置管理系统。

该系统在各地方的试点应用取得了明显的成效。

终端安全配置分为硬件安全配置、软件安全配置和核心安全配置，如图1所示。

分别介绍如下：硬件安全配置：根据计算机硬件列装的安全要求，仅可安装符合规定的硬件和外联设备，关闭存在安全隐患的接口以及驱动，以满足政府机构和大型企业对硬件环境的安全需求。

包括计算机部件清单、外联设备清单、外联接口安全配置和硬件驱动安全配置；软件安全配置：根据计算机软件安装的安全要求，仅可安装符合规定的操作系统和软件，禁止非法软件安装，以满足政府机构和大型机构对软件环境的安全需求。

包括应安装软件列表、可安装软件列表和禁止安装软件列表；核心安全配置：对终端操作系统、办公软件和浏览器、邮件系统软件、其它常用软件等与安全有关的可选项进行参数设置，限制或禁止存在安全隐患或漏洞的功能，启用或加强安全保护功能，增强终端抵抗安全风险的能力。

包括操作系统安全配置、常用软件安全配置和业务应用软件安全配置。

图1 终端安全配置分类正确合理的应用终端安全配置，不仅可以使机构的用户终端规避安全风险，同时可以帮助机构领导掌握全网终端的安全状况，提高安全措施实施效率，大大降低运维和检查成本。

1.2 机构如何实现机构高效的终端安全配置管理为了实现高效的终端安全配置管理，充分发挥“安全配置”最大作用，终端安全配置管理系统从机构管理需求角度出发，实现了“四化”要求：●终端安全“基线化”制定并部署终端安全基线是实现高效配置管理的核心动力。

安全配置基线是根据机构终端安全要求制定的关于终端硬件、软件及核心方面的最低配置要求。

它是安全配置项的列表，是为机构衡量和评估终端安全性划定的一条基准线。

满足这条基准线就可保证终端处于安全状态，并大大提高终端抵抗安全风险的能力。

终端安全配置管理系统可按照基线内容对终端进行全面配置部署，并对每台终端的配置合规情况进行周期性检查，对合规和不合规标情况进行详细统计报告。

将终端中纷繁杂乱的配置项按照“基线”进行统一管理，实现了终端安全有标准可依、可量化管理。

●配置管理“统一化”集中统一化的管理模式是实现终端高效配置管理的重要保障。

终端安全配置管理系统架构在终端安全护理平台（PCcare）之上，通过C/S的管理模式，对注册终端进行统一集成化的配置管理，保障了终端配置的统一性和一致性。

同时，可以实现不同安全域等级化，差异化的安全配置管理，加强了对注册终端的集中分类管理和设备更新管理。

使管理者对机构终端安全做到“心中有数，可控可管”。

●部署实施“自动化”自动化的实施手段是实现终端高效配置管理的必要条件。

对于拥有大量终端的政府部门和企事业单位来说，管理员通过网络执行远程配置部署是最佳方案。

终端安全配置管理系统采用C/S模式建立起一种高效、稳定、灵活的配置自动化部署方案，实现了从配置编辑、到配置部署，再到配置监测的全程化自动管理，实现了从手动配置到工具化大规模部署的跨越，保证了配置实施的效率。

●运维操作“简单化”操作简便对于实现终端高效配置管理来说非常重要。

终端安全配置管理系统界面友好易用，功能布局简明清晰，操作方便快捷，管理员只需简单的点击几下鼠标，就可完成包含数百条策略的安全配置基线的轻松部署和管理。

并且在运维人力、物力和财力方面，大大节约了投入成本。

1.3 终端安全配置管理系统技术优势终端安全配置管理系统的突出优势在于除了对软硬件进行安全配置之外，实现了针对操作系统及常用软件核心的安全配置管理，主要特点在于：（1）与国家等级保护基本要求相衔接，提出核心安全配置基本要求，如图2所示。

图2 核心安全配置基本要求针对操作系统以及各类常用软件从身份鉴别、访问控制、信息保护、安全审计和补丁升级等方面进行安全配置。

（2）对核心安全选项进行参数设置，实现系统深层加固，配置内容涉及应用层至链路层。

例如，端口限制、口令加密存储方式、邮件系统附件类型限制、SYN攻击保护、命名管道共享管理、链路层拓扑发现管理等。

第二章终端安全配置管理系统逻辑结构终端安全配置管理系统依托PCcare终端安全护理平台，采用分布式体系结构，如图3所示。

整个系统分为级联服务器、前端服务器和客户端三级模式，并可根据用户分布情况灵活扩展和设立分支节点。

每节点部署前端服务器一台和级联服务器一台，前端服务器负责为本节点管理范围内的终端提供安全配置管理服务功能；级联服务器负责汇总上报安全状态统计信息，并为下级节点分发安全配置基线包。

图3 终端安全配置管理系统架构（1）WEB管理平台Web管理平台包括前端服务器配置平台和级联服务器监测平台，前端服务器主要功能是配置策略、设置终端探头扫描时间，选择扫描对象、查询终端数据、系统维护等操作，所有操作均通过更改服务器的数据库来实现。

数据库被更改后，会触发区域管理器中的配置管理模块根据类别进行相应的操作，如传递给服务器层的设备扫描模块对网络段内的终端信息进行扫描；或者根据策略部署选项传递给终端部署的客户端代理程序对终端的各项安全策略进行更改配置。

级联服务器主要功能是级联服务器监测平台，通过Web网页查看所有节点的计算机安全概况信息。

（2）数据库数据库用来存储和管理系统初始化信息，包括终端设备属性信息、区域管理器信息、设备扫描器信息、区域管理范围信息、注册（未注册）机器信息、设备属性变化信息、报警信息；以及系统运行过程中产生的各种信息，包括安全配置基线、配置项参数、终端安全状态信息、报警信息、日志信息等等。

这些数据分别通过客户端、配置管理模块、状态收集模块等汇集到区域管理器并经过处理后存储到关系数据库中。

（3）服务服务层包括配置管理、状态监测、设备扫描等服务，服务是系统的数据处理中心，是整个系统的上传和下达枢纽。

“配置管理”主要是从数据库层获取来自控制台的各种安全配置项和命令操作，监听各种信息改动，并将命令操作分类发送到客户端程序和扫描器执行；“状态监测”主要是接收扫描器的信息和客户端程序提供的各类安全状态和报警信息，发送至管理信息库，以备管理人员通过web管理平台查阅。

“设备扫描”主要扫描网络中设备及其状态，巡检网络设备状态变化信息（负责扫描网络环境内的计算机终端的Mac地址、设备信息、IP地址、计算机名、开关机信息、实施未注册阻断、运用SNMP协议扫描交换机端口等）。

（4）客户端客户端用于网络管理员通过web网页平台的各种指令，负责执行通讯和安全服务功能，可按安全配置基线自动探测终端软硬件相关信息和状态上报给服务层，然后存入管理信息库，并可通过服务层接收策略并执行对应动作，执行Web管理平台下发的各种配置操作，完成对终端计算机指定的安全配置更改、系统维护、查询安全状态信息，进行本机安全配置信息变化监视。

第三章终端安全配置管理系统功能安全配置管理系统应用支撑平台由三个部分构成，分别是配置编辑系统、配置部署系统和配置监测系统，如图4所示。

其中，配置编辑系统主要用于将配置清单自动转换生成安全配置基线包，配置验证系统用于对安全配置基线包进行验证和测试；配置部署系统用于对安全配置基线包进行自动化部署；配置监测系统用于对安全配置状态进行全面实时监测。

图4 安全配置平台框架（1）配置编辑系统配置编辑系统用来生成安全配置基线包，安全管理员依照安全配置基本要求对配置清单中所选配置项进行转换和处理，生成可以编辑、可以解析、可以分发和可以部署的安全配置基线包。

配置编辑系统应包括基线包生成器和基线包编辑器两个构成部分：●基线包生成器主要用于生成原始的安全配置基线包，可根据清单内容逐项录入或由清单模版自动录入；●基线包编辑器主要用于修改安全配置基线包中的配置项的基值，并可进行添加、修改、合并、删除等编辑操作。

（2）配置部署系统配置部署系统可进行安全配置基线包管理、分发、配置项赋值，由基线包管理工具、基线包分发系统和配置执行工具三个部分组成。

●基线包管理工具包括安全配置基线包上载、配置信息查看、安全配置基线包按照IP或部门区域指派、安全配置基线包更新和删除等功能；●基线包分发系统将基线包按照指派分发到客户端，可采用服务器推送和客户端下载双向通道模式进行分发；●配置执行工具按照配置基线包自动对操作系统的注册表、WMI、Admx等进行参数赋值，可在赋值前备份当前环境，可启用system权限在后台进行赋值。

（3）配置监测平台配置状态监测系统是安全管理员掌握终端安全配置状况的一个重要手段，主要由安装在终端上的配置状态收集器、配置状态上报系统和部署在服务器上的配置状态分析器、配置状态图展示平台、配置状态预警系统组成。