局域网桌面安全防护系统策略
局域网桌面安全防护系统策略管理中心提供终端接入管理、终端资产管理（软硬件）、进程（服务）管理、补丁检测、非法外联行为监控、桌面管理及主机运维管理、桌面安全及行为审计、报警处置等安全策略。根据终端安全管理需要分为通用策略、本地策略、特殊策略。
通用策略、本地策略、特殊策略由管理员在策略管理中心设定，通过设置策略的开启、关闭，执行范围、时间周期以及策略级联等参数项实现。
1、通用策略
通用策略：通过对大部分局域网现状况的研究，针对其特点定制适合大部分网络使用。能提高整个使用网络安全性。的基本策略。
策略名称 功能 对终端的硬件资产变化应用效果 资产变化监测 进行实时监测，如内存、对网络资产的变化进行及时、自动报鼠标、键盘、硬盘大小警。 等。 监视利用modem拨号、双网卡、代理等方式连接互联网的行为，监控计算机带入带出网络行为，并能够进行即时处置。 违规外联策略 防范计算机违规连接互联网。 检查终端计算机是否安杀毒软件策略 装杀毒软件，自动提示用户和管理员。 在一个网段内，启用一台注册终端使用ARP协议扫描该网段，发现新的终端计算机。 配置终端流量采样阈值统一识别网络终端安装的各种杀毒软件，并进行统计。 防止因为个人防火墙而无法发现所有设备，解决出现计算机MAC地址为0的现象。 终端代理扫描 流量采样策略 和并发连接数量，对终及时查看终端桌面流量信息，辅助进端的流量进行实时/定行网络状态实时分析。 时监测，支持自动告警。 实现对流量可疑、发包数可疑、并发连接数可流量控制策略 疑的客户端进行阻断、对终端的流量、发包违规进行处置。 提示、上报给上级区域管理器。 对系统桌面的本地安全策略、本地帐户锁定策略、屏保进行安全审计，同时检测系统口令强度，除系统自定义的弱口令外，用户可以自己用户防范终端桌面不设密码，或者弱口令等现象的存在，防止内部人员非法访问或者口令攻击型病毒的感染。 用户密码检测 添加自定义弱口令集。 检测用户的补丁情况，发现终端漏打补丁。 补丁检测 可以掌握所有终端的系统安全情况。 IP与MAC绑定策略（固定IP网络） 对指定终端实行IP与防止终端计算机任意修改IP。 MAC绑定，当IP与对于DHCP分配IP的环境无法使用，MAC绑定发生变化时，在管理员启用时需要确认管理网络中系统自动进行处置。 的所有IP都为固定分配IP。
2、本地策略
本地策略：各级税务机关安全管理员可以根据本单位管理需要进行制定，加强对终端的管理。
策略名称 功能 启用或禁用软驱、光驱、USB存储设备、USB全部接口、打印机、Modem、应用效果 硬件设备控制 串口、并口、1394控制器、对计算机硬件的使用进行管理。 红外设备、蓝牙设备、PCMCIA卡、冗余硬盘、磁带机、冗余SCSI设备。 规定用户禁止安装的软件针对聊天和游戏类软件等进行监以及必须安装的软件。 控，根据各地管理要求自行确定。 软件安装监控 软件安装限制 规定用户可以安装的软件对重要主机软件安装进行管理。 的范围，不在允许范围内的软件禁止安装。 监控终端桌面指定进程（服进程执行监控 务）的运行，并能进行强制中止或启动。 自动发现并结束指定进程，保障指定进程的运行。 进程执行限制 限制终端可以运行的进程限制终端可以运行的进程，禁止运范围。 行不在允许列表中的进程。 进程异常监控 对指定进程、窗口、服务的对指定终端的重要进程、服务进行意外退出进行监控。 保护 根据需要，设置需要保护的可以将一些重要工作进程设成保进程保护策略 用户进程，防止被保护的进护进程进行保护，防止被非法关程被非法关闭。 审计系统用户、系统用户组的权限的改变和系统用户、对所管理的终端的用户及用户组系统用户组的增加或减少。权限的变化进行监控。 并在其改变时及时上报。 对于网络中存在各种个人版的防火墙如天网、金山网镖等，无法进行统一管理控制。本系统内嵌个人防火墙模块，管理员可根据管理需要分对象、分时间段开启该策略。 闭。 用户权限策略 控制客户端本地端口的开终端个人防火启以及客户端对远程主机墙 的访问，包括ICMP协议、TCP、UDP以及其它协议。 注册表保护 对注册表中的特定项、键值主要防止病毒、恶意流氓软件等对进行限定，禁止修改。 屏蔽选定用户(在本策略的对象中设定的)计算机的一些需要控制的软件安装行注册表的修改。 软件安装行为为。能够禁止指定软件在注在注册表层面进行软件安装的限限制 册表Run、Services项里添制。 加自启动项，禁止其在程序启动项中添加项和在程序项中添加快捷方式。 运行资源监控对终端的CPU、内存、硬盘可以对重要主机的运行状况进行策略 等关键硬件的信息进行监监控。 控，对超过设定值的终端进行报警。 注册表安全检检查系统注册表项名称和检测网络终端桌面是否存在某些查 键值是否存在异常，如异常已知程序如某些病毒、木马，可定进行报警提示。 期使用此策略。
3、特殊策略
特殊策略：此类
为防范现有安全策略的可能意外失误（如错误制订、不可预料的故障的存在等）以及环境条件的可能变换，管理员制订一些暂时不予以启用的策略，以便用于修正或补充，或替代正在执行的策略。
桌面安全防护系统安全策略.doc
