博锐助省政务信息业务专网终端可控可管

用户概况：

    某省政务信息机关单位业务专网，是一个构建在省政务内网上的MPLS VPN专有网络。全省下设区市、县（市、区）大约1200台计算机终端将接入到该业务专网上来。上级单位的部署、重要精神的传达，基层材料的报送，情况的反映，都可以通过该业务专网快速实现，既节约了工作成本，又提高了工作效率。

用户需求：

    由于是专网，要求要实行物理隔离，不得直接或间接连接国际互联网。但由于客观原¬因，大部分县（市、区）的基层工作人员对计算机技术不甚了解，病毒木马等问题成为全网信息安全体系的薄弱环节。

解决方案：

    2010年5月至6月，全省每个终端均采用了基于2010英特尔酷睿i5博锐处理器技术的联想品牌定制机方案，既可保障业务专网系统稳定运行，又可弥补基层技术人员不足，可谓扬长避短、一箭双雕。政务信息业务专网终端管控问题得到有效解决。

方案概述

    在以往的计算机终端管理方案中，基本是处于终端安全无序状态，虽然在网络层面部署防火墙、实施入侵检测、防病毒系统等安全措施，但这些始终属于被动防御模式。终端计算机面临的主要困扰还是软件出错、系统崩溃、病毒传播，以及员工私自改动配置带来的系列问题，这些状况让技术人员疲于奔命：技术人员不得不现场亲历亲为、逐个排查电脑故障，而当多台电脑同时出现问题时，需要逐一对电脑进行操作系统、驱动程序、杀毒软件病毒库更新等日常性维护。人工维护效率极为低下，费时费力，无法保障电脑及其承载的重要应用不间断运行，这势必会影响终端用户的工作和业务进程。对于分布在全省成百上千的客户端，这样的维护量相当可观。另外，地市级以下的县（市、区），信息化水平低，从人才素质和成本角度来看，均不适合为各基层县（市、区）单位专门配备技术人员。

    2010英特尔酷睿博锐处理器技术的引进，正好弥补了传统远程管理软件的局限性。英特尔的Centrino迅驰技术大家并不陌生，在商用台式机领域，英特尔在酷睿i5、i7平台上搭载了具备出色安全性和可管理性的vPro博锐技术，为商业应用提供完美的解决方案。

    2010英特尔酷睿博锐处理器内置了英特尔主动管理技术和英特尔虚拟化技术，其中包括资产盘点、远程诊断修复、全新的电脑闹钟、英特尔防盗技术等，能够给企业用户带来出色的可管理性和增强的安全性，从而大幅降低企业IT成本。

    在该机关单位业务专网建设过程中，全部采用了基于英特尔酷睿i5博锐处理器技术的联想ThinkCentre M8200t计算机终端。在省级服务器区部署终端计算机安全管理系统，实现对全省ThinkCentre M8200t终端的资产管理、安全策略管理、桌面风险控制、补丁分发、终端运行状态监控以及终端涉密审计等功能。同时，在ThinkCentre M8200t终端下发到各级机关部门时，已集成安装了安全管理系统客户端。

    系统部署完毕后，在省级终端计算机安全管理系统上可以实现以下几个功能：

1.USB 端口管理

    根据国家文件相关要求，只允许使用光盘来转移数据，因此可屏蔽远端计算机终端的USB 设备：根据USB设备的属性来屏蔽，可以只屏蔽USB存储设备，比如U盘和移动硬盘等，而允许使用USB鼠标和USB打印机等。

2.操作系统补丁管理

    操作系统补丁管理：操作系统安全补丁自动升级，下载、查漏、修复一步完成，不需要任何人工干预。特别是该业务专网运行在与互联网物理隔离的内网上，终端计算机补丁更新往往不及时，而该业务专网却运转着重要的业务系统，病毒发作将会影响巨大。该系统可在服务器端统一分发补丁，可有效提高操作系统的可靠性，做到全网安全补丁无一遗漏。

3.远程控制

    通过远程控制与远程重启功能，省级技术人员可对县（市、区）终端计算机系统进行远程启动/关闭、诊断和修复，即使系统无法通过本地驱动器启动仍可进行。当远端计算机操作系统出现故障，省级技术人员可对其进行更新或修复，并可建立一个到管理平台的远程控制会话，将其远程引导至带有操作系统和故障排除介质的远程驱动器。在重启平台之后，即可远程诊断并修复出现故障的操作系统和应用软件。

    即使在电脑关机或操作系统出现故障时，也可以通过网络的方式提供可管理能力。在省级终端管理平台上保存的事件日志及永久保存硬件资产信息将Ь助技术人员迅速地确定硬件故障。通过接收来自县（市、区）终端计算机系统和计算机底层硬件的工作情况并主动向省级服务器控制台传送事件日志信息，省级技术人员可随时掌握计算机运行日志，直接远程接管用户桌面，Ь助用户解决日常业务问题，实现技术人员不用亲临现场就可远程解决县（市、区）计算机终端故障，节约运维成本，提高工作效率。

4.业务系统安装/升级

    远程实现对全网计算机终端分发、安装/升级各类软件或业务系统，特别是可以批量下发，可使得大范围的系统安装或升级变成了一次性的简单鼠标操作。并且能够实现终端计算机只允许运行与业务应用系统相关的应用程序，如禁止或允许客户机访问指定网页、FTP及邮件服务中的一种或几种。同时还可对计算机的端口进行开启或禁用管理，有效地降低潜在的安全威胁。该功能部署后，轻松实现国家下发业务系统软件全省又快又好的批量安装上线运行，受到有关领导的好评。

5.远程控制终端带宽

    当远程终端计算机因非法操作（病毒、非法使用BT等方式下载占用大量带宽）造成网络流量异常时，可以其控制上网权限（暂停上网30分钟）或上网带宽（如1M），实现优化带宽资源的使用，保证业务应用系统的正常运转。

6.计算机资产管理

    借助于博锐内嵌的英特尔主动管理技术，只要博锐计算机终端接通电源并连接网络，省级技术人员即可以随时对县（市、区）终端计算机进行远程访问，由于这项技术基于硬件通道实现，也就免除了操作系统的影响。通过远程管理，技术人员进行资产统计时，轻松摆脱了关机障°¬。在任何电源状态下，省级服务器控制台都能实现轮询电脑，以获取硬件ID和软件版本，从而保证实时获取电脑资产信息，为技术人员进行计算机升级和维护提供可靠依据。

方案概述

    在以往的计算机终端管理方案中，基本是处于终端安全无序状态，虽然在网络层面部署防火墙、实施入侵检测、防病毒系统等安全措施，但这些始终属于被动防御模式。终端计算机面临的主要困扰还是软件出错、系统崩溃、病毒传播，以及员工私自改动配置带来的系列问题，这些状况让技术人员疲于奔命：技术人员不得不现场亲历亲为、逐个排查电脑故障，而当多台电脑同时出现问题时，需要逐一对电脑进行操作系统、驱动程序、杀毒软件病毒库更新等日常性维护。人工维护效率极为低下，费时费力，无法保障电脑及其承载的重要应用不间断运行，这势必会影响终端用户的工作和业务进程。对于分布在全省成百上千的客户端，这样的维护量相当可观。另外，地市级以下的县（市、区），信息化水平低，从人才素质和成本角度来看，均不适合为各基层县（市、区）单位专门配备技术人员。

    2010英特尔酷睿博锐处理器技术的引进，正好弥补了传统远程管理软件的局限性。英特尔的Centrino迅驰技术大家并不陌生，在商用台式机领域，英特尔在酷睿i5、i7平台上搭载了具备出色安全性和可管理性的vPro博锐技术，为商业应用提供完美的解决方案。

    2010英特尔酷睿博锐处理器内置了英特尔主动管理技术和英特尔虚拟化技术，其中包括资产盘点、远程诊断修复、全新的电脑闹钟、英特尔防盗技术等，能够给企业用户带来出色的可管理性和增强的安全性，从而大幅降低企业IT成本。

    在该机关单位业务专网建设过程中，全部采用了基于英特尔酷睿i5博锐处理器技术的联想ThinkCentre M8200t计算机终端。在省级服务器区部署终端计算机安全管理系统，实现对全省ThinkCentre M8200t终端的资产管理、安全策略管理、桌面风险控制、补丁分发、终端运行状态监控以及终端涉密审计等功能。同时，在ThinkCentre M8200t终端下发到各级机关部门时，已集成安装了安全管理系统客户端。

系统部署完毕后，在省级终端计算机安全管理系统上可以实现以下几个功能：

1.USB 端口管理

    根据国家文件相关要求，只允许使用光盘来转移数据，因此可屏蔽远端计算机终端的USB 设备：根据USB设备的属性来屏蔽，可以只屏蔽USB存储设备，比如U盘和移动硬盘等，而允许使用USB鼠标和USB打印机等。

2.操作系统补丁管理

    操作系统补丁管理：操作系统安全补丁自动升级，下载、查漏、修复一步完成，不需要任何人工干预。特别是该业务专网运行在与互联网物理隔离的内网上，终端计算机补丁更新往往不及时，而该业务专网却运转着重要的业务系统，病毒发作将会影响巨大。该系统可在服务器端统一分发补丁，可有效提高操作系统的可靠性，做到全网安全补丁无一遗漏。

3.远程控制

    通过远程控制与远程重启功能，省级技术人员可对县（市、区）终端计算机系统进行远程启动/关闭、诊断和修复，即使系统无法通过本地驱动器启动仍可进行。当远端计算机操作系统出现故障，省级技术人员可对其进行更新或修复，并可建立一个到管理平台的远程控制会话，将其远程引导至带有操作系统和故障排除介质的远程驱动器。在重启平台之后，即可远程诊断并修复出现故障的操作系统和应用软件。

    即使在电脑关机或操作系统出现故障时，也可以通过网络的方式提供可管理能力。在省级终端管理平台上保存的事件日志及永久保存硬件资产信息将Ь助技术人员迅速地确定硬件故障。通过接收来自县（市、区）终端计算机系统和计算机底层硬件的工作情况并主动向省级服务器控制台传送事件日志信息，省级技术人员可随时掌握计算机运行日志，直接远程接管用户桌面，Ь助用户解决日常业务问题，实现技术人员不用亲临现场就可远程解决县（市、区）计算机终端故障，节约运维成本，提高工作效率。

4.业务系统安装/升级

    远程实现对全网计算机终端分发、安装/升级各类软件或业务系统，特别是可以批量下发，可使得大范围的系统安装或升级变成了一次性的简单鼠标操作。并且能够实现终端计算机只允许运行与业务应用系统相关的应用程序，如禁止或允许客户机访问指定网页、FTP及邮件服务中的一种或几种。同时还可对计算机的端口进行开启或禁用管理，有效地降低潜在的安全威胁。该功能部署后，轻松实现国家下发业务系统软件全省又快又好的批量安装上线运行，受到有关领导的好评。

5.远程控制终端带宽

    当远程终端计算机因非法操作（病毒、非法使用BT等方式下载占用大量带宽）造成网络流量异常时，可以其控制上网权限（暂停上网30分钟）或上网带宽（如1M），实现优化带宽资源的使用，保证业务应用系统的正常运转。

6.计算机资产管理

    借助于博锐内嵌的英特尔主动管理技术，只要博锐计算机终端接通电源并连接网络，省级技术人员即可以随时对县（市、区）终端计算机进行远程访问，由于这项技术基于硬件通道实现，也就免除了操作系统的影响。通过远程管理，技术人员进行资产统计时，轻松摆脱了关机障°¬。在任何电源状态下，省级服务器控制台都能实现轮询电脑，以获取硬件ID和软件版本，从而保证实时获取电脑资产信息，为技术人员进行计算机升级和维护提供可靠依据。

实施成果

    在全网部署了基于2010英特尔酷睿博锐技术平台的商用联想计算机后，得益于集成的英特尔主动管理技术，只要不涉及硬件的维修和更换，省级技术维护人员在进行所有的计算机终端管理和维护工作时都不必再跑到各个市、各个县（市、区）去维护了。通过主动管理技术，他们即可实时了解全网所有处于开关机状态下的计算机软硬件资产情况，甚至连这些计算机所安装的软件版本号都可一目了然，可以让他们在远程、且无需计算机使用者Ь助的状态下对故障计算机终端迅速进行启动、诊断、隔离、杀毒和修复等操作；同样，以往需要技术维护人员为之奔忙的安全补丁、驱动程序、病毒库升级等日常性系统软件更新任务，现在也可以随时随地通过远程方式一次性完成。英特尔酷睿博锐新技术这些特性，为计算机终端用户提供了及时满意的服务，构建了更加安全可靠的业务专网环境，同时大大提高了员工的工作效率，降低了系统运维成本，进而提升了政府为民服务的信息化水平。

    该网络的统一建设模式以及在整合资源支持业务应用方面发挥着积极的作用，政务信息网是实现电子政务的一个重要渠道。借助英特尔博锐处理器技术，在追求安全性和可管理性的同时保证效率，机关内部利用先进的网络信息技术实现办公自动化、管理信息化、决策科学化，政府部门与社会各界利用网络信息平台充分进行信息共享与服务、加强群众监督、提高办事效率及促进政务公开等等，从而使该省建成一个精简、高效、廉洁、公平的政府运作模式。

    政务信息网的高效运营超越时间、空间及部门之间的分隔限制，让信息技术与政府管理有机结合，确保了政府职能向管理服务型的转变。