企业IT运维综合管理系统解决方案.doc

CooCare酷越公司IT运维综合管理系统
终端管理优化项目解决方案

软通科技

2023年4月

目录
1. CooCare酷越介绍 5
1.1. 软通简介 5
1.2. CooCare酷越公司IT运维综合管理系统介绍 7
1.2.1. 系统核心思想 7
1.2.2. 系统架构 8
1.2.3. 为公司发明价值 9
1.3. 技术优势 10
1.3.1. 系统性能优势 10
1.3.2. 系统技术优势 11
2. “终端管理系统”解决方案 13
2.1. IT资产管理 14
2.1.1. 自动发现并收集IT资产 14
2.1.2. 资产人工注册登记 15
2.1.3. 分级、分组管理 15
2.1.4. 资产变更管理 15
2.1.5. 丰富的资产记录报表 15
2.1.6. 硬件、软件使用策略 16
2.2. 终端、安全管理 16
2.2.1. 进程管理 16
2.2.2. 运营和性能监控 17
2.2.3. 接口流量监视 17
2.2.4. 屏幕监视 18
2.2.5. 监视报警 18
2.2.6. AMT技术在安全管理中的应用 18
2.3. 安全审计 19
2.3.1. 安全策略管理 19
2.3.2. 接入安全管理 19
2.3.3. 安全审计管理 20
2.4. 分发管理 20
2.5. 远程管理 21
2.5.1. 远程桌面连接 21
2.5.2. 远程终端 21
2.6. 系统备份与恢复 22
2.7. 用户管理 23
2.8. 扩展解决方案 24
2.8.1. Web Service接口 24
2.8.2. 可以与IT服务台进行数据交互 24
2.8.3. 集成CooCare产品中的消息管理功能 24
3. 组织实行方案 25
3.1. 部署前的准备工作 25
3.1.1. 系统架构 25
3.1.2. 服务器的选择 25
3.1.3. 网络条件 26
3.1.4. 操作系统 26
3.2. 安装部署 26
3.2.1. 服务器端程序 26
3.2.2. 控制台端程序 27
3.2.3. 客户端程序 29
4. 联系我们 30
5. 附：一对一应答 31
2.2.1方案总体规定 31
2.2.2具体实行规定 32

1. CooCare酷越介绍
1.1. 软通简介
软通科技是亚洲PC管理与IT服务领域的领导者，是亚洲领先的PC管理、维护与安全解决方案提供商，是中国最大的SaaS PC服务运营商。2023年，软通科技推出远程电脑服务和用户管理平台——CooCare酷越 PC服务，帮助IT服务商进军300亿的PC服务市场。CooCare酷越，拥有无缝整合服务平台、开放式平台设计、强大的用户管理体系和规范的服务标准，为IT服务商提供无限扩展业务的潜能，帮助IT服务商绑定客户、长期经营客户，从而获得连续增长的收益回报。
软通科技创建于新加坡， 2023年3月软通科技在北京设立全资子公司， 2023年，软通科技与英特尔®建立战略合作伙伴关系，并成为英特尔®全球八大独立软件开发商（ISV）之一。2023年，英特尔®对软通科技进行战略投资，在发展战略、技术研发、市场营销等多个方面与软通科技进行紧密协作。
n 国际化团队
软通科技由一支高素质国际化团队组成，涵盖12个职能部门、包含150名员工。其中集聚70多位国内顶尖研发人才，采用国际标准的研发管理，5年多的倾力投入，凭借行业领域的丰富经验连续发明专业化产品和解决方案。

n 国际合作
软通科技数年来广泛开展国际合作，引入诸多先进技术，特别是与 Intel、McAfee、CA等国际一流IT公司建立了长期稳定的合作关系，引入国际最先进的计算机管理与服务产品及技术，为打造世界领先的计算机远程服务平台奠定基础。

n 市场交流
作为业界的领导者，软通科技积极参与国际国内技术与市场交流，定期参与在美国、日本、俄罗斯、英国、台湾等地举办的国际交流活动，涉及：英特尔信息技术峰会、中国软件运营服务大会、英特尔未来商用平台技术发布会、英特尔软件与解决方案市场计划发布会、创意中国软件开发大赛、高级客户研讨会……

n 荣誉奖项
软通科技凭借其创新性的产品理念及数年的高速发展，奠定了在计算机远程管理及服务系统领域的国际、国内地位，先后获得多项国际、国内嘉奖：德勤中国高技术、高成长50强，亚太高技术、高增长500强，创新型高新技术公司百强，中国信息化杰出人物，最佳渠道满意度等等

n 公司前景
2023年软通公司整合团队，以发展的眼光对公司进行持久经营。通过一年多的不断改革与创新，软通科技已经成功转变为一支更年轻化、专业化、技术知识水平更高的全新团队。2023年初，软通公司先后与惠普、海尔、方正、神州数码等多家国内外知名公司厂商建立了持久的战略合作伙伴关系，奠定了软通公司在国内市场的雄厚基础。今天，软通人正以一种坚忍不拔、求实创新的精神，为中国IT事业的高速发展奉献着自己的力量，软通科技也正以一种势不可挡的发展态势迅速地占领着中国市场。在迅速成长的过程中，我们努力寻找并发展新的合作伙伴，以信誉就是生命、质量重于泰山的信念向所有合作伙伴作出承诺，我们一起携手迈向双赢的道路。
1.2. CooCare酷越公司IT运维综合管理系统介绍
CooCare酷越公司IT运维综合管理系统，是软通科技根据当今公司IT资源管理实际需求，以先进开发技术与简朴、安全、可控的管理理念针对公司内部办公网络计算机数量大，解决事务类型复杂，办公网络管理难，办公环境安全性差的情况全力打造的一款IT运维综合管理系统。

1.
1.1.
1.
1.1.
1.2.1. 系统核心思想
软通科技推出的公司IT运维综合管理系统是以报警解决为核心，集网络设备管理、桌面管理、IT资产管理、网络服务质量管理为一体的综合管理系统。低成本、高质量地解决公司的全面需求。

n 以实现公司IT基础设施可控制、IT资源的使用受控制，IT系统易维护为目的。
n 集中监控、分级管理、化繁为简、化有形为无形。
n 运用公司现有资源，软硬件相结合、充足发挥硬件性能，可靠、稳定地实现网络服务质量管理。

1.2.2. 系统架构
如前所述，IT综合运维管理系统以报警解决为核心，集网络设备管理，桌面管理，IT资产管理，IT网络服务管理于一体。低成本，高质量的解决公司的全面需求。CooCare IT服务管理系统与众不同之处在于它将四大模块有机的整合在一起，集中的将问题反映到报警中心，为公司IT管理展示一副全面、实时、准确的IT系统运作图景，为IT部门纵观全局的掌控IT系统的运营提供了极大的便利。如下就是IT综合运维管理系统的系统架构图：

系统架构说明：本系统整体使用多层结构，各部分功能明确，结构清楚，可扩充性强。系统软件设计部分采用当前国际最流行MVC设计模式，结合新兴的SOA面向服务架构思想，使系统结构更合理，各个模块功能内部聚合度高，模块间耦合度低，系统稳定性强，可扩充空间大。业务解决层与数据采集层之间通过良好的契约建立了统一数据采集适配接口，为此后系统升级及维护打下了良好的基础。本系统通过 C/S模式提供服务，支持远程管理和远程查看，支持分级权限管理，使管理更有效、便捷，管理层次更清楚。开发团队聚合软通科技顶级高素质人才，严格遵守软件工程开发流程，使本系统开发更专业化、正规化，系统可靠性高。
1.2.3. 为公司发明价值
n 掌握 IT资产的现状
对于公司内的硬件、软件及许可证等战略性 IT 资产投资，及时准确地掌握 IT 资产现状是不可缺少的。而由于 IT 资产的多变性，要掌握最新的 IT 资产信息是比较困难的。使用CooCare酷越公司IT运维综合管理系统所提供的自动和手工两种方式，登记管理软硬件资产、资产变更告警和解决、IT资产记录分析，提高资产管理的效率、准确度和及时性，防范资产的流失与投资过剩。
n 规避公司信用风险
随着知识产权保护意识的提高，侵权及非法复制等相关法律的不断健全，因软件侵权等所致的公司信用度风险增大。使用CooCare酷越公司IT运维综合管理系统可以用许可证检查报表来确认许可证是否有过剩或局限性。通过各种报表格式，及时掌握所安装软件的情况 。 
n 减轻管理员的承担
安装软件、解决用户的征询以及对客户端 PC 作维护，会花费管理员大量的精力和时间，导致很大的承担。管理的 PC 台数的增长及管理对象的分散等，使这种倾向更加显著，直接增长了管理成本。系统提供对终端的远程监控（如流量监控、CPU异常监控、内存异常监控等），针对异常状态系统可以及时的捕获并发出相应的报警，使IT管理部门可以及时了解终端的状态，便于问题的及时发现。
n  提高公司内部的安全等级
对公司内部的 PC ，假如不进行 OS 的安全补丁和防病毒软件定义文献的及时更新，就会有遭受病毒感染或被袭击的危险。CooCare酷越公司IT运维综合管理系统功能覆盖了从客户端 PC 信息的收集、报表生成、软件分发、薄弱点监督检查等全过程。从而提高管理效率，增强公司抵御病毒感染及防止信息泄露的能力。 
n  减少因维护产生的损失
减少由于管理员在对PC设备进行维护时，导致的计算机停机或中断关键公司系统服务流程，从而提高用户的生产效率、避免丢失关键系统上的信息，减少失去业务的机会成本。 
n 保障网络安全
系统提供的非法外联和接入控制功能，可以有效防止外来非法设备接入网络和内部设备在外沾染病毒，加强网络的接入控制和非法外联控制，全方位保障网络资源不受外来因素的污染。
n 强大的技术保障
软通科技优秀的团队提供全方位的服务,为您提供各种贴心的解决方案、长期的维护和技术支持。

1.3. 技术优势
1.3.1. 系统性能优势
n 结构清楚 划分合理
从结构上分为五个层次：WinUI、RemoteClient、Interface、RemoteServer、DB。WinUI为客户端界面层，WinUI并不直接与服务端交互，由RemoteClient层提供方法，通过Interface层与RemoteServer层交互。DB层是一组数据存贮的组件，在本系统中，有三种方式来保存数据，一类是配置类数据，使用XML文献保存；一类是持久性对象，使用DB4O保存；另一类是结构化的数据，使用自主开发的StarDB系统保存。 Agent Proxy Server是一个独立的部件，负责与安装在终端机器上的Agent通讯。
n 容器设计 可扩充性强
WinUI、RemoteClient、RemoteServer这三个层次设计为容器。容器中的对象均采用反射技术进行动态加载，扩充功能时，只需注册需动态加载的对象即可。当管理的终端设备很多时，可以设立多个Agent Proxy Server来分担通讯，不受通讯瓶颈的约束。
n 高内聚低耦合 稳定性高
本系统体系是一种“高内集、低耦合”的结构，层间相对独立。接口层将服务端与客户端隔离开来，使服务端不再暴露给客户端，而是通过接口这个中介来访问。这样，当业务解决层发生变化时，只要保持对接口的稳定，就达成了系统的相对稳定，而客户层是面向接口层而不是面向业解决辑，因此不需要做大的变动。即使客户使用不同的技术，比如JAVA或其它，只要服务提供的接口相同，就不需要紧张访问无法完毕。此外一点是，每一个服务在系统中都是一个自治的单元，因此，整个服务就是可以移动并可替换的，这更加增强了系统应对变化的能力。任一层的模块修改，其他任何模块均不受影响。层内各对象均动态加载，互相之间耦合度极低，互不影响，若有对象加载失败，除该对象实现的功能不可使用外，其它功能均可正常使用。
n 自主研发 无需借助第三方数据库
设备监测类的软件系统，都需要解决的一个重大问题是：采样到的海量历史数据如何保存？传统的办法是采用第三方的数据库系统，如SQL Server、ORACLE等关系型数据库系统。这一方面需要用户额外支出，购买数据库系统；另一方面，若要保存完整的历史数据，则需要占用巨大的存贮空间，检索效率急剧下降。例如，对一个拥有400台网络设备的网络，一分钟采样一次，系统运营一年，使用传统数据库则需要120G的磁盘空间来保存历史数据，CooCare Enterprise Edition V2.0运用自主开发的数据存贮系统，只需要40G的磁盘空间。一方面增强了系统数据安全性，一方面为用户节省了系统投入的开支。
1.3.2. 系统技术优势
本系统采用Microsoft Visual Studio 2023作为开发环境，充足运用VS2023.NET框架下在分布式通信应用方面的专长，来提高系统的可扩展性和系统的运营效率，同时有效减少系统对计算机、网络资源的占用率。系统中涉及的重要网络协议有：TCP、UDP、SNMP、NetBIOS、ICMP。
n SOA架构
面向服务的体系结构（Service-Oriented Architecture，SOA）是一个组件模型，它将应用程序的不同功能单元（称为服务）通过这些服务之间定义良好的接口和契约联系起来。SOA的目的在于让IT变得更有弹性，以更快地响应业务单位的需求，实现实时公司。SOA 不仅覆盖来自于打包应用、定制应用和遗留系统中的信息，并且还覆盖来自于如安全、内容管理、搜索等 IT 架构中的功能和数据。基于 SOA 的应用能很容易地从这些基础服务架构中添加功能，所以这些应用能更快地应对市场变化，为使公司业务部门设计开发出新的功能应用。本系统中重要使用远程解决与WEB服务两大技术实现SOA构架。
SOA架构使我们可以方便地构建大范围分布式应用程序，而不管应用程序组件是所有集中在一台计算机上还是分布在世界各地。我们可以生成这样的客户端应用程序：它们使用同一台计算机（或可通过网络达成的其他任何计算机）上的其他进程中的对象。也可以使用 .NET 远程解决与同一进程中的其他应用程序域进行通信。
n 英特尔®积极管理技术（英特尔® AMT）
英特尔® 积极管理技术（英特尔® AMT）是在基于英特尔的平台中嵌入的一项功能，它增强了 IT 组织管理公司计算设施的能力。英特尔® AMT可独立于被管理计算机的解决器和操作系统运营。即使计算机操作系统已经损坏甚至已经关闭，但只要计算机仍与电源线和网络连接，CooCare Enterprise Edition V2.0仍可以进行远程资产管理，远程诊断与维护，并可以设立网络访问策略。
n 并发解决技术 多线程（Multithreading）
操作系统使用进程将它们正在执行的不同应用程序分开。线程是操作系统分派解决器时间的基本单元，并且该进程中可以有多个线程同时执行代码。每个线程都维护异常解决程序、调度优先级和一组系统用于在调度该线程前保存线程上下文的结构。线程上下文涉及为使线程在线程的宿主进程地址空间中无缝地继续执行所需的所有信息，涉及线程的 CPU 寄存器组和堆栈。
无论如何，要提高对用户的响应速度并且解决所需数据以便几乎同时完毕工作，使用多个线程是一种最为强大的技术。在具有一个解决器的计算机上，多个线程可以通过运用用户事件之间很小的时间段在后台解决数据来达成这种效果。例如，在另一个线程正在重新计算同一应用程序中的电子表格的其他部分时，用户可以编辑该电子表格。
无需修改，同一个应用程序在具有多个解决器的计算机上运营时将极大地满足用户的需要。
系统使用一台服务器，即能管理数目众多的客户端机器，并能保证快速响应控制台的操作请求的关键，是大量、合理地运用了多线程解决技术。
n 动态加载技术 反射（Reflection）
反射提供了由语言编译器（例如 Microsoft Visual Basic .NET 和 JScript）用来实现隐式晚期绑定的基础结构。绑定是查找与唯一指定的类型相相应的声明（即实现）的过程。由于此过程在运营时而不是在编译时发生，所以称作晚期绑定。运用反射技术，实现在运营时加载程序集，获取有关该程序集中类型的信息，然后对该类型调用方法或访问该类型的字段或属性。
系统运用反射技术，实现程序集的动态加载，使系统具有极强的可扩充性能。
n 拥有多项计算机远程服务国际国内专利
软通科技在计算机远程服务领域获得多项国际、国内专利技术：美国专利“Data Isolation System and Method”、中国专利“远程计算机服务的系统及方法”、中国专利“用于管理远程计算机访问主机的方法”等。

2. “终端管理系统”解决方案
综前所述，“CooCare酷越公司IT运维综合管理系统”是一套全面的解决方案。基于该产品的现有功能，即可提供以下解决方案。

1.
2.
2.1. IT资产管理
资产管理是IT管理中相称重要的管理内容，也是一项最浪费人力成本和时间成本的工作。目前，尚有相称多的公司内部，IT资产处在无管理或者手工管理的阶段，对IT部门导致了巨大的工作压力，也给公司带来了隐形的资产损失。终端管理系统中提供了自动化的IT资产管理功能，可以自动发现和保存资产的变更，实现IT资产全生命周期的管理。

2.1.1. 自动发现并收集IT资产
通过终端管理系统客户端自动发现桌面PC中的软件和硬件资产具体信息，并且上报到资产管理数据库中。如图：

n 硬件信息：计算机类型；硬盘型号、大小、序列号等；CPU型号、主频、序列号等；内存数量、大小等；主板厂商、型号、序列号、BIOS型号、BIOS版本等；网卡描述、MAC地址等；显卡描述；声卡描述；光驱描述；显示器描述；鼠标描述；键盘描述等等。如图：

n 软件信息：操作系统；已安装软件名称、类型、生产厂商、版本号、许可证数量、购买时间、购买协议号、有效期；某软件已安装计算机数量及计算机信息；系统已安装补丁信息等等。如图：

n 支持众多业界标准 终端管理系统的客户端代理程序，支持众多业界的标准或者工业接口：WMI、DMI、SMBIOS、ASF、PXE、IPMI、SNMP，以获取最具体的资产信息。
n 支持AMT技术 软通科技是Intel全球十大ISV之一，与Intel保持长期合作，因此，在终端管理系统中，充足发挥了AMT技术的优势，在计算机通电而关机状态、甚至没有安装操作系统的情况下，仍然可以管理到其硬件资产。
2.1.2. 资产人工注册登记
对于IT资产管理来说，自动发现是必需的手段，人工注册登记是有效管理的关键，是实现变更监视的基础。对于没有安装终端代理的计算机设备和网络设备，其相关的资产信息系统无法自动收集，资产管理人员可以对这些设备进行手工注册；而对于可以自动收集的设备，也存在一些无法自动收集的信息，譬如设备的购买日期、保修时间等信息，也需要进行手工的资产注册。对于用户公司根据自身结构化分的IP地址段、计算机名、IP地址、网关地址、DNS地址等信息也可通过手工注册完毕，实现计算机资产信息的全面管理。
2.1.3. 分级、分组管理
终端管理系统，可以按网络拓扑结构、区域、地点、部门、使用者姓名、分机号码、计算机主机等信息将计算机进行分级、分组管理。并以分组为单位进行策略、权限管理。

2.1.4. 资产变更管理
实时监控IT资产，一旦发现变更，立刻向IT部门发送警报，告知其设备发生变更，使得IT部门迅速获得资产变更详情，以便采用相应的措施，从而帮助公司有效阻止资产流失。同时，当资产变更被确认后，立即被更新到资产数据库中，以维护资产状态的准确性，同时，也给将来的查询和记录提供完备的数据。如图：

2.1.5. 丰富的资产记录报表
资产管理功能可将所登记设备所有软、硬件信息及其他多种形式信息形成报表，以方便IT部门和财务部门查看和了解公司资产的运作情况。
管理员可以按设备IP、设备MAC、主机名称、设备厂商、设备别名、使用部门、使用人员等多种方式查询资产情况，形成资产报表。
查看所有终端计算机的硬件情况，及时收集所有的硬件信息，能实现WEB页面、报表等形式显示。
查看所有终端计算机的软件安装情况，涉及操作系统信息、补丁软件、应用软件等具体信息，可以实现WEB、报表等形式显示。
查看所有IT变更历史，也可以查询单台计算机的资产变更情况。如图：

2.1.6. 硬件、软件使用策略
n 硬件策略：控制员工在PC上使用外部存储设备，如USB存储器、光驱、软驱等。强化公司内部安全控制机制，减少公司信息泄密的风险。
n 软件策略：监视全网计算机上的软件安装与卸载，结合进程管理功能，设立进程黑名单，控制非法进程的运营；设立进程白名单，自动启动系统必备的软件进程，防范私自卸载的现象；对于系统中出现陌生进程时发出警报，管理员确认其安全性后才干在系统内运营。避免了员工对软件资源的滥用，提高员工的工作效率，防范新型病毒出现在网络中，保障公司信息系统的安全。

2.2. 终端、安全管理
2.2.1. 进程管理
根据公司管理需求，对系统中运营的进程从全局范围进行记录分类，对于系统中出现陌生进程时发出警报，管理员确认其安全性后才干在系统内运营。
设立进程黑名单，控制非法进程的运营。
设立进程白名单，自动启动系统必备的软件进程，防范私自卸载的现象。
进程管理辨认进程的方式不依赖于进行名称，因此即使进程名称被修改设立的进程管理策略也不会受到影响。
该功能避免了员工对软件资源的滥用，提高员工的工作效率，防范新型病毒出现在网络中，保障公司信息系统的安全。
2.2.2. 运营和性能监控
通过终端管理系统，IT部门可以实现对公司IT基础架构实行统一的监控。IT部门可以根据需要设定监控策略，可以对终端PC和网络设备的内存、CPU 、在线、硬盘、UDP、TCP通讯情况的进行监控。被监控的设备和系统性能指标一旦超过既定的临界值，便可立刻报警到服务器。IT部门可以通过运维平台实时查看到这些报警信息，以便及时的了解并解决问题。系统除了提供控制台界面报警之外，还提供邮件报警和短信报警的订阅方式。如图：

设备状态和性能监视：实时监控设备的运营状态和性能，如设备掉线，负载过重等。

监视类型
说明
终端代理状态监视
监视终端代理的在线状态，当代理发生异常时，将发出告警
设备在线状态监视
对于网络设备，也可以监视其在线状态，当设备离线时，将发出告警。
CPU使用率、内存使用率
监视终端计算机上CPU的使用率和内存的使用率，当超过设定的阈值时，将发出告警；
硬盘监视
监视硬盘各个分区的剩余空间，当小于所设定的阈值时，将给出告警
通讯监视
可以针对通讯行为进行监视，可以对“TCP通讯允许的最大连接数”、“TCP通讯不允许侦听的端口”、“TCP通讯不可连接的地址”、“UDP通讯允许的最大侦听数”、“UDP通讯不允许侦听的端口”等进行监视。

2.2.3. 接口流量监视
接口流量监视是监视网络设备及计算机终端网络接口收、发包数，带宽运用情况。工程师可以设立流量的阀值，并分别设定危险和异常状态。当达成或超过阀值或发现其它异常情况时将及时向网管人员发出报警信息，并可以根据相应的策略断开网络连接。运用该项功能，网管人员可以及时发现病毒导致的网络流量异常，并及时把中毒的计算机从网络环境中进行隔离。
2.2.4. 屏幕监视
桌面屏幕快照监视，实现对终端计算机屏幕按照设定的频率进行截屏，以便监控终端计算机的使用情况。运维人员可以对终端计算机进行屏幕快照的设立，系统将按照设定的频率对终端计算机的屏幕内容进行截图，并发送到服务器保存，以供管理人员集中查看。
2.2.5. 监视报警
告警信息中心集中显示了系统所有的告警信息，可以让工程师方便的了解所有的告警情况，及时的做出解决。此中包含所有未解决完毕和尚未解决的资产的告警、实时监视的告警和客户端代理的告警信息。此外，可以通过短信、邮件的方式定制报警信息，系统按照定制的设立，将报警信息按照定制的方式，告知给订制的管理人员。
2.2.6. AMT技术在安全管理中的应用
n 蠕虫防护：基于蠕虫病毒的网络访问行为特性，准确辨认蠕虫病毒报文，在电路级及时隔离故障PC，阻止病毒在网络内的扩散。
n 网络过滤：基于Intel的积极管理技术（iAMT），无需网络设备支持，在芯片级实现对目的地址（IP：Port）的访问控制、本地端口的访问保护。
n 流量控制：制订网络流量分派策略，控制终端设备收发数据的速率。无需网络设备支持，也不需要安装代理软件。
n 实时监控：可设立实时监视，当vPro机器发生异常时及时产生报警，告知相关人员，以便维护人员及时解决。如：可实时监视CPU风扇、温度等。
n 日记与审计：可追溯性是进行审计的必要条件。日记具体记录vPro机器的运营状态及运维人员对Vpro机器的的操作记录，系统提供对日记查询与管理的功能。控制台界面如图：

AMT终端控制操作如图：

重定向光驱为终端安装操作系统等如图：

远程启动至BIOS如图：

远程重启终端设备如图：

远程启动终端设备如图：

2.3. 安全审计
2.3.1. 安全策略管理
随着依赖网络解决的事务越来越多、越来越复杂，使用网络的人员身份、工作性质及自身素质变得越来越难以区分。由此产生的网络安全问题越来越突出。使用安全策略管理，管理人员可以按照不同员工的具体工作需求，为员工制定相应的上网策略，严禁安装和使用非法软件，监控必须安装软件的安装和使用情况。
安全策略信息包含：
使用安全策略信息功能，管理员可以从上网人员、上网时间段、WEB访问、聊天软件的使用、娱乐软件的使用、流量控制、安全信息等几个方面对网络进行控制。
n 分组分时管理： 对需要上网的人员按照其工作性质进行编组，对其上网时间进行控制。管理员可对分组、分时按需要随时进行弹性变更。
n WEB访问控制：定义允许、严禁访问的网站；对上网人员的WEB访问可实时监控以发现新的需要严禁访问网站，实现WEB访问的净化。
n 聊天软件使用控制：公司中通常有一部分人员负责与外部联系，的确需要聊天软件。可将此部分人编组，对其授权使用聊天软件。对于不需要使用人员的则严禁使用，以防止聊天软件的滥用。
n 软件禁用控制：定义严禁使用的软件名单，对其进行禁用设立。此功能可杜绝网络电视、网络游戏、下载软件等娱乐软件的使用，提高人员工作效率，防止公司网络资源滥用。
n 流量控制：按需分派给上网人员必要的网络资源，防止网络拥塞和网络资源的浪费。
n 安全信息控制：设立过滤关键字、内容及信息，保障网络环境的清洁和安全，保障上网人员传播信息安全。
2.3.2. 接入安全管理
n 非法外联策略：设立PC只能访问给定范围内的网络，其他网络地址都是被严禁访问的。当设备在可管理的网络范围外联网之后，再回到网络环境使用时，终端立即断网，并从控制台发出警报。
n 非法接入控制：非法接入的情况并不复杂，但是危害性非常大：容易泄露公司机密，容易引进病毒，在内网发生的非法行为，容易牵连整个单位。公司IT运维综合管理系统以软硬件结合的方式，通过对公司中网络设备的端口安全管理和运用802.1X认证协议两种方式从不同角度全方位实现对公司的内网安全控制。
n 接入登录管理：用户接入网络需要进行登录，并可设立用户可登录的时间段。
2.3.3. 安全审计管理
通过Web监控，可以实时的记录员工的上网行为；
通过报告，了解和分析员工的网上行为特点，以便制定合适的网络管理制度，优化管理策略的设立。
终端管理系统中的安全审计管理，不仅仅针对使用IE上网的用户有效，对使用其它浏览器上网同样有效。
可以针对公司笔记本员工进行优化，提供上班和下班时间不同安全控制策略，既保证员工接受公司管理，又保证员工下班时间的自由使用。
2.4. 分发管理
软件分发功能可认为客户端计算机提供安装系统补丁、升级应用程序、安装软件等服务，可以使用文献分发功能将批量文献发送给多个终端，使IT工程师不用对每台计算机亲自动手，管理员还可以指定分发任务的起始时间和结束时间，以最省时省力的方法来完毕繁琐的批量任务。

具体的功能可以提成如下几类：
1. 分发Windows操作系统的补丁，如冲击波升级包及Service Pack等。
2. 分发MSI应用程序包，升级、安装或卸载应用程序。
3. 分发各种格式的文档到客户端的指定目录。
4. 分发可执行应用程序到客户端计算机并统一执行。
5. 分发VBScript脚本文献到客户端计算机，并执行。
6. 实时监控分发任务执行情况。
IT工程师可以通过系统平台分发单一可执行文献的安装程序（涉及exe和msi格式），也可以分发包含多文献的安装程序，实现批量的远程安装任务；还可以批量分发文档到终端设备的任意指定目录。分发结果可以随时查询。
软件分发下去后，可以自动执行在客户端计算机上的安装操作，安装任务完毕后，删除该软件的安装文献。除了支持为安装程序设立运营参数之外，终端管理系统还可以录制安装脚本，将安装脚本随软件一同分发下去，并按安装脚本执行安装过程。
文献分发、软件分发到客户端计算机后，默认保存在客户端机器系统盘的Download目录中，也可以保存到客户端的指定目录中去。

2.5. 远程管理
远程控制技术，始于DOS时代。由于今天网络技术的飞速发展，人们开始越来越关注这一功能。远程管理方便管理员从整体上对网络管理进行把握，减少管理人员承担，让远程问题在一个触手可及的范围内解决。它可以帮助公司精简网络管理人员，削减人员经费开支，减少解决IT问题的成本。
终端管理系统按区域、地点、部门、使用者姓名、分机号码、计算机主机等信息将计算机进行分级、分组，并提供按设备名称、IP、使用者姓名等多种方式查询、定位终端计算机。定位到计算机后，也许执行丰富的远程管理功能。如图：

2.5.1. 远程桌面连接
远程桌面连接，是所有终端管理系统必备的功能，软通科技提供“终端管理系统”，具有灵活的接管策略配置能力，如：可以设立是否需要客户端批准才干接管；是否允许客户端同步操作等。除了客户端能同步看到远程接管的操作外，软通科技还提供隐私保护功能，客户端在批准管理员远程接管时，还可以设立“隐私”，按存放位置、文献类型来“隐藏”本地文献，不允许管理员远程查看。
2.5.2. 远程终端
运用Intel公司的特有技术积极管理技术（iAMT），可以实现远程开关机，在操作系统崩溃之后，还能远程访问终端机器，远程配置BIOS，远程诊断硬件，远程恢复、远程杀毒等。对于支持AMT的计算机，还可以对终端代理进行保护，当发现终端代理没有运营时，可以向服务器发出告警，或者严禁使用网络。
n 桌面配置管理：可以远程配置计算机的“属性”信息（主机名、分组等）和IP信息（IP地址、网关地址、DNS地址等），简化繁琐反复的操作，减少管理人员劳动量。既可以选择单、多台终端PC进行配置，也可以选择分组集中进行配置。
n 系统时间同步：配置客户端机器自动与服务器时间同步，为公司内部时间不一致的问题提供了解决方案。
n 远程电源管理：远程启动（AMT）终端计算机、远程关闭、重启终端计算机。
n 代理管理：通过控制台远程卸载客户端代理；查看客户端代理的常规信息；临时启动或停止代理的实时监控策略；自动升级、更新客户端代理程序。
2.6. 系统备份与恢复
系统备份与恢复工具是软通科技的专利技术之一。为了IT运维人员方便、快速地将终端计算机从软件故障状态中恢复回来，终端管理系统提供“系统备份与恢复”功能，具有以下特点：
1. 备份与还原速度快。
2. 备份可以在后台进行，不影响终端的正常工作。
3. 支持增量备份，即在既有的完整系统备份基础上，对发生变化的数据进行备份，以提高备份速度，减少对备份空间的占用。
4. 还原点可以回溯，即终端可以选择任意还原点进行还原。每个还原点提供了具体的内容描述，避免终端选择错误的还原点。
5. 支持NTFS、FAT格式，使应用更加广泛。
6. 采用独创的保护区来备份系统数据，保证终端无法通过资源管理器、DOS命令行访问该保护区，在Windows下无法格式化保护区所在的分区，保证只有通过软通自己的访问方式才干访问该保护区，从而保证备份数据的安全。

下图以系统完毕初次备份，以及完毕一次系统还原为例，说明系统备份与还原功能的应用：

系统部署完毕后，管理员从控制台上部署插件分发任务。客户端安装完毕酷越保护系统和系统备份还原插件之后，设立系统自动完毕初始化备份。如图所示，系统会自动监测客户端代理有没有进行过系统的初始备份，对于没有备份过的终端自动完毕一个初始备份。这个备份过程是默认的，不需要管理员进行配置。
系统还原应用场景：
1. 系统没有完全崩溃，还可以启动：通过控制台的系统还原操作，系统还原到指定备份点的时间。
2. 系统已经完全崩溃无法正常启动：插入系统还原盘，从本机进入酷越系统平台，对系统进行还原。
2.7. 用户管理
终端管理系统支持多用户分级管理。可以创建多个用户，设立每个用户可以管理的设备，设立用户对设备拥有的操作权限。即可以设立不同用户对不同的设备具有不同的操作仅限。
系统的权限管理由三个要素实现：用户（管理人员）、角色（可执行的操作）与管理对象（终端计算机）。
n 用户管理：增长、删除、修改管理人员的个人信息，涉及登录账号、登录密码、用户姓名、用户类型、手机、Email、等属性信息。
n 角色管理：将角色抽象为一组可执行的操作集合。可增长、删除、修改角色。
n 权限分派：将用户与角色、管理对象关联起来。管理对象以分级、分组的方式进行组织。
系统内置Admin、Manager两个用户，预分派了相应的权限，并不可更改操作权限。两个户用的管理对象均为所有终端计算机，Admin相应于系统运维人员的角色，Manager相应于系统审计人员的角色。

2.8. 扩展解决方案
2.8.1. Web Service接口
可以依据用户需求，以Web Service的方式，公布系统已有的数据，支持二次开发。

2.8.2. 可以与IT服务台进行数据交互
提供二次开发，终端管理平台可以把采集的数据推送到IT服务平台；也可以将IT服务平台信息化发布接入终端管理系统。
2.8.3. 集成CooCare产品中的消息管理功能
软通科技的CooCare酷越个人版产品具有灵活的消息管理功能，服务提供商能非常方便、灵活地向客户推送消息。但CooCare酷越公司版本的解决方案中，没有提供这个功能。
为了满足用户需求，拟在用户终端管理系统中集成消息管理功能。管理员能以部分、分组、计算机（名称、IP）等为消息发布对象，实时广播紧急信息等。

3. 组织实行方案
3.
3.1. 部署前的准备工作
3.1.1. 系统架构

终端管理系统由服务器端程序、客户端代理程序及控制台程序三部分构成。
3.1.2. 服务器的选择
1. 服务器硬件的推荐配置：
服务器型号：IBM X3550 7978
硬件配置： 2*Quad-Core Intel® Xeon™ Processor E5430,
4*2GB DDR2 ECC,
2*300GB SAS
RAID 1
2. CPU为双至强酷睿四核。
3. 内存8G或者8G以上。
4. 存储方面，需要支持RAID1，硬盘容量300G以上。
3.1.3. 网络条件
1. 用作服务器的机器至少需要一个网卡，推荐配置双网卡，一个网卡负责与被管理的客户端通讯，另一个网卡与控制台通讯。
2. 服务器需要使用静态IP地址。
3. 服务器与客户端互访问规定：服务器将侦听一个TCP端口、一个UDP端口，供客户端访问；客户端将在一个UDP端口侦听 ，供服务器访问。侦听