Windows基礎(chǔ)架構(gòu)優(yōu)化和安全標準化

Windows基礎(chǔ)架構(gòu)優(yōu)化和安全標準化微軟護航專家劉洪liuhong@自然形成的IT架構(gòu)根據(jù)應(yīng)用的需要堆砌而成沒有總體規(guī)劃基礎(chǔ)結(jié)構(gòu)需要大量人工維護安全性不確定成本中心不統(tǒng)一、手動管理的基礎(chǔ)架構(gòu)

更高效的

成本中心可管理的IT基礎(chǔ)架構(gòu)

（有限的自動化）可管理且整合

的IT基礎(chǔ)架構(gòu)

（最大限度的自動化）完全自動化的管理，

動態(tài)使用資源，與業(yè)務(wù)聯(lián)系在一起

的

SLA

(服務(wù)品質(zhì)協(xié)議)業(yè)務(wù)助推器戰(zhàn)略性資產(chǎn)*BasedontheGartnerITMaturityModel應(yīng)對型“頭疼醫(yī)頭”問題驅(qū)動型“避免宕機”應(yīng)對型穩(wěn)定的IT請求驅(qū)動型變更管理和規(guī)劃“保持系統(tǒng)持續(xù)運行”預(yù)見型責任到人更強的監(jiān)視能力正規(guī)的變更管理SLA(服務(wù)品質(zhì)協(xié)議)改進可預(yù)測性“質(zhì)量驅(qū)動型”預(yù)見型優(yōu)化成本及品質(zhì)敏捷自我評估并不斷改進“領(lǐng)先一步”基礎(chǔ)架構(gòu)優(yōu)化摸型Windows核心基礎(chǔ)架構(gòu)物理網(wǎng)絡(luò)網(wǎng)絡(luò)服務(wù)（DHCP、WINS、DNS）目錄服務(wù)（AD）安全Internet訪問文件服務(wù)其他輔助架構(gòu)補丁服務(wù)證書服務(wù)打印服務(wù)終端服務(wù)協(xié)作服務(wù)消息服務(wù)備份服務(wù)防病毒服務(wù)主題客戶機安全標準化統(tǒng)一賬戶和策略管理自動部署操作系統(tǒng)和軟件虛擬桌面網(wǎng)絡(luò)安全準入物理網(wǎng)絡(luò)基于802.1X的準入邏輯網(wǎng)絡(luò)基于域的隔離保護客戶機健康檢查準入訪問互聯(lián)網(wǎng)控制服務(wù)器安全保護統(tǒng)一安全加固策略服務(wù)器虛擬化服務(wù)器運維監(jiān)控集中數(shù)據(jù)備份管理協(xié)同辦公應(yīng)用Exchange郵件系統(tǒng)OCS消息和會議系統(tǒng)MOSS門戶和商業(yè)智能系統(tǒng)ProjectServer項目管理系統(tǒng)客戶機安全標準化統(tǒng)一賬戶和策略管理自動部署操作系統(tǒng)和軟件虛擬桌面統(tǒng)一賬戶和策略管理原理OU1DomainComputersUsersOU2UsersPrintersComputer1User1Printer1User2DomainOU2OU1User1Computer1Printer1User2搜索統(tǒng)一賬戶和策略管理方案DHCP、DNS、AD冗余Windows

2008

R2

ADWSUS3.1DFS2.0打印機管理自動部署操作系統(tǒng)和軟件原理

系統(tǒng)和軟件全自動部署B(yǎng)ECDA操作系統(tǒng)WIM通用鏡像驅(qū)動程序庫終端信息數(shù)據(jù)庫磁盤規(guī)劃公用應(yīng)用和非公用應(yīng)用程序打包自動部署操作系統(tǒng)和軟件原理自動部署操作系統(tǒng)和軟件方案

SCCM2007

MDT2010外

部

防

火

墻內(nèi)

部

防

火

墻InternetDMZIntranet遠程用戶終端服務(wù)網(wǎng)關(guān)網(wǎng)絡(luò)策略服務(wù)器活動目錄域控制器TunnelsRDPoverHTTPsStripsoffRDP/HTTPs終端服務(wù)器和其他RDP主機RDP通訊轉(zhuǎn)送到TSInternet虛擬桌面原理終端服務(wù)RemoteApp?終端服務(wù)網(wǎng)關(guān)服務(wù)器遠程程序與本機計算機整合集中管理所有的TerminalServer使用RemotePrograms控制面板來管理應(yīng)用程序允許設(shè)定透過TSWebAccess來執(zhí)行應(yīng)用程序終端服務(wù)RemoteApp?終端服務(wù)網(wǎng)關(guān)服務(wù)器必須使用

遠程桌面程序就好像是在本機執(zhí)行一樣只支持使用遠程桌面的用戶虛擬桌面方案Windows

2008

R2遠程桌面服務(wù)RemoteAPPTSNLSSessionBrokerRemoteGateWay主題客戶機安全標準化統(tǒng)一賬戶和策略管理自動部署操作系統(tǒng)和軟件虛擬桌面網(wǎng)絡(luò)安全準入物理網(wǎng)絡(luò)基于802.1X的準入邏輯網(wǎng)絡(luò)基于域的隔離保護客戶機健康檢查準入訪問互聯(lián)網(wǎng)控制服務(wù)器安全保護統(tǒng)一安全加固策略服務(wù)器虛擬化服務(wù)器運維監(jiān)控集中數(shù)據(jù)備份管理協(xié)同辦公應(yīng)用Exchange郵件系統(tǒng)OCS消息和會議系統(tǒng)MOSS門戶和商業(yè)智能系統(tǒng)ProjectServer項目管理系統(tǒng)網(wǎng)絡(luò)安全準入物理網(wǎng)絡(luò)基于802.1X的準入邏輯網(wǎng)絡(luò)基于域的隔離保護客戶機健康檢查準入訪問互聯(lián)網(wǎng)控制物理網(wǎng)絡(luò)基于802.1X的準入原理物理網(wǎng)絡(luò)基于802.1X的準入方案Windows

2008

NPSCiscoACSH3CEAD邏輯網(wǎng)絡(luò)基于域的隔離保護原理

邏輯網(wǎng)絡(luò)基于域的隔離保護方案

Windows

2008

AD域隔離客戶機健康檢查準入原理PrimarySiteHealthRegistrationAuthorityNetworkPolicyServerXXDPQuarantineRestrictedNetworkBoundaryNetworkProtectedNetworkMicrosoftUpdateMPADDownloadUpdatestoSiteServerPublishHealthStateinActiveDirectoryRetrieveHealthStatePolicySendStatementofHealthforEvaluationDownloadNewPolicyInstallRequiredUpdatesHealthyClientDeployUpdatestoDP客戶機健康檢查準入方案

Windows

2008

R2

NAP訪問互聯(lián)網(wǎng)控制原理需要保護系統(tǒng)免遭目前的各種攻擊支持深入的內(nèi)容檢查了解有效負載內(nèi)容是必要前提Internet至內(nèi)部網(wǎng)絡(luò)應(yīng)用層防火墻數(shù)據(jù)包篩選器防火墻防火墻需要了解的是應(yīng)用程序，而不僅是TCP/IP

ISAServer訪問互聯(lián)網(wǎng)控制方案

ISA2006

R2主題客戶機安全標準化統(tǒng)一賬戶和策略管理自動部署操作系統(tǒng)和軟件虛擬桌面網(wǎng)絡(luò)安全準入物理網(wǎng)絡(luò)基于802.1X的準入邏輯網(wǎng)絡(luò)基于域的隔離保護客戶機健康檢查準入訪問互聯(lián)網(wǎng)控制服務(wù)器安全保護統(tǒng)一安全加固策略服務(wù)器虛擬化服務(wù)器運維監(jiān)控集中數(shù)據(jù)備份管理協(xié)同辦公應(yīng)用Exchange郵件系統(tǒng)OCS消息和會議系統(tǒng)MOSS門戶和商業(yè)智能系統(tǒng)ProjectServer項目管理系統(tǒng)服務(wù)器安全保護統(tǒng)一安全加固策略服務(wù)器虛擬化服務(wù)器運維監(jiān)控集中數(shù)據(jù)備份管理統(tǒng)一安全加固策略原理統(tǒng)一安全加固策略方案Windows

Server安全加固策略MBSA等安全掃描工具服務(wù)器虛擬化原理提供:OSMS/XenSource/NovellISV/IHV/OEMHyper-VWindowshypervisor“專為Windows設(shè)計”的服務(wù)器硬件非hypervisor

感知的操作系統(tǒng)WindowsServer2003,2008應(yīng)用程序Windows

內(nèi)核VSCWindows

內(nèi)核WindowsServer2008VSPVMBus模擬根分區(qū)內(nèi)核模式用戶模式啟用Xen的Linux內(nèi)核LinuxVSCsVMBusHypercall適配器應(yīng)用程序子分區(qū)VMBus虛擬化堆棧VM

ServiceWMIProviderVM工作進程應(yīng)用程序31服務(wù)器虛擬化方案Windows

2008

R2

Hyper-VWindows2008群集SCVMM2007服務(wù)器運維監(jiān)控原理服務(wù)器運維監(jiān)控方案SCOM2007集中數(shù)據(jù)備份管理原理信息安全的挑戰(zhàn)： 權(quán)限問題數(shù)據(jù)加密問題審計問題數(shù)據(jù)中心D2DD2T可以離線加密防止未經(jīng)授權(quán)的用戶得到非法數(shù)據(jù)和破壞數(shù)據(jù)系統(tǒng)操作人員審計員經(jīng)理得到授權(quán)生產(chǎn)系統(tǒng)恢復(fù)生產(chǎn)系統(tǒng)審計報表審計報表管理監(jiān)控操作集中數(shù)據(jù)備份管理方案定期演練管理復(fù)雜缺少監(jiān)控無法實現(xiàn)定期演練操作人員管理員經(jīng)理操作傳統(tǒng)保護軟件數(shù)據(jù)恢復(fù)管理數(shù)據(jù)備份操作設(shè)計理念：CommVault主題客戶機安全標準化統(tǒng)一賬戶和策略管理自動部署操作系統(tǒng)和軟件虛擬桌面網(wǎng)絡(luò)安全準入物理網(wǎng)絡(luò)基于802.1X的準入邏輯網(wǎng)絡(luò)基于域的隔離保護客戶機健康檢查準入訪問互聯(lián)網(wǎng)控制服務(wù)器安全保護統(tǒng)一安全加固策略服務(wù)器虛擬化服務(wù)器運維監(jiān)控集中數(shù)據(jù)備份管理協(xié)同辦公應(yīng)用Exchange郵件系統(tǒng)OCS消息和會議系統(tǒng)MOSS門戶和商業(yè)智能系統(tǒng)ProjectServer項目管理系統(tǒng)協(xié)同辦公應(yīng)用Exchange郵件系統(tǒng)OCS消息和會議系統(tǒng)MOSS門戶和商業(yè)智能系統(tǒng)ProjectServer項目管理系統(tǒng)Exchange郵件系統(tǒng)ExchangeServer/

WindowsSMTPServerAVAVAVAV防病毒防垃圾郵件策略管理管理中心郵件歸檔OCS消息和會議系統(tǒng)協(xié)同工作視頻會議集成應(yīng)用即時消息身份在線狀態(tài)MOSS門戶和商業(yè)智能系統(tǒng)ProjectServer項目管理系統(tǒng)成本中心不統(tǒng)一、手動管理的基礎(chǔ)架構(gòu)

更高效的

成本中心可管理的IT基礎(chǔ)架構(gòu)

（有限的自動化）可管理且整合

的IT基礎(chǔ)架構(gòu)

（最大限度的自動化）完全自動化的管理，

動態(tài)使用資源，與業(yè)務(wù)聯(lián)系在一起

的

SLA

(服務(wù)品質(zhì)協(xié)議)業(yè)務(wù)助推器