終端管理是辦公安全中最大的一環(huán)，市場上有很多解決方案中，安全公司集中了大量的優(yōu)勢兵力在這個(gè)方面，推出了不少商業(yè)產(chǎn)品，對于絕大多數(shù)企業(yè)而言，在這個(gè)方面不會(huì)跟生產(chǎn)網(wǎng)絡(luò)一樣涉及“自研”這個(gè)話題，基本上都是圍繞商業(yè)產(chǎn)品展開，當(dāng)然也有極少數(shù)例外。
1．補(bǔ)丁管理
補(bǔ)丁管理可能是當(dāng)下被認(rèn)為沒太多技術(shù)含量，但很基礎(chǔ)的一環(huán)，大多數(shù)辦公桌面都是以微軟的Windows操作系統(tǒng)為主，所以補(bǔ)丁管理多數(shù)依靠幾個(gè)方面：

? 微軟自身解決方案中的SCCM（WSUS/SMS替代品，支持Linux和OSX），如圖12-2所示。

圖12-2 SCCM架構(gòu)

? 利用第三方終端管理軟件中附帶的補(bǔ)丁推送功能。
2．組策略（GPO）
  組策略的作用主要在于實(shí)施一些“基本的”安全策略。例如允許客戶端運(yùn)行軟件的黑白名單、系統(tǒng)配置選項(xiàng)，USB權(quán)限管理等。在禁用軟件時(shí)也有一些技巧，比如禁用QQ，可以禁用它運(yùn)行所需要的DLL，這樣有些黑客的小伎倆就不管用了。
3．終端HIPS（AV）
  目前360自產(chǎn)PC端安全衛(wèi)士、360殺毒，騰訊自產(chǎn)PC管家，百度自產(chǎn)百度殺毒產(chǎn)品，除此之外，其他廠商基本在這個(gè)問題上都不具備太多選擇能力?？ò?、諾頓、趨勢這些都是現(xiàn)成的產(chǎn)品，基本也不定制，再深究其技術(shù)也意義不大，因?yàn)橹皇歉峁┰摦a(chǎn)品的乙方安全廠商有關(guān)，跟甲方實(shí)則無太大關(guān)系。甲方唯一要做的就是選型，然后買。
4．網(wǎng)絡(luò)準(zhǔn)入NAC
  目前主流的網(wǎng)絡(luò)準(zhǔn)入主要有兩種方式：802.1x，基于終端管理軟件的C/S模式認(rèn)證。在實(shí)施NAC方案之前，需要在安全域劃分時(shí)劃出guest vlan，沒有通過認(rèn)證的客戶端一律丟到guest vlan去。

網(wǎng)絡(luò)準(zhǔn)入認(rèn)證示意圖如圖12-4所示。

圖12-4 網(wǎng)絡(luò)準(zhǔn)入認(rèn)證示意圖

  這種方案是最常見的網(wǎng)絡(luò)準(zhǔn)入，前提是所有的交換機(jī)都支持802.1X。但并非所有的客戶端設(shè)備都支持802.1x，例如打印機(jī)，所以802.1x有一個(gè)擴(kuò)展叫MAB（Mac Address Bypass），如果客戶端無法提供user/password的認(rèn)證方式則以設(shè)備自身的MAC地址作為認(rèn)證，這對于有心的攻擊者而言就是很好的繞過點(diǎn)，即使那些機(jī)器都鎖屏，獲取那些已通過認(rèn)證的設(shè)備的MAC地址也并非難事。