- 中文名
- 终端安全管理
- 外文名
- endpoint security management
- 领 域
- IT
- 措施一
- 时刻准备，及时防护
- 措施二
- 协调一致，全面管理
自1946年2月，第一台电子计算机ENIAC在美国加州 问世以来，短短数十年时间，计算才漏机在人类社会里经过了电子管时代（1946年到1959年）、晶体管时代（1960年到1964年）、集成电路时代（19驼驼讲65年到1970年）、大规模集成电路时代（1971年至今）4个时代更迭，技术也在不断创新。
进入二十世纪七十年代以来，伴随着计算机技术的迅猛发展，一大批先驱者为打破美国政府和军事工业集团对计算机技术的垄断，开始打造个人计算机（PC），这其中就包括乔布斯和伍兹。使计算机的发展、人类的生活方式、通讯的有效手段得到了跳跃式的进步。这些早期的计算机技术爱好者既推动了计算机技术的飞跃发展，也为计算机和信息安全埋下了一颗不小的定时炸弹。
1988年，一个年轻有为的美国热和促弃拳血青年莫里斯，为发泄对美国经济、政府的不满，炫耀强大的自我才能，编写了“Morris蠕虫”病毒，致使近6000台计算机瘫痪，涉及范围涵盖了军队、政府、医疗、金融等多个行业，而他的父亲就是NAS（美国安全局）从事计算机研究的专家。
同年，美国还发生了入侵“星球大战”项目事件。
…誉煮…
一系列安全事件后，在美国政府的资助下，卡内基梅隆成立了全球第一个计算机应急安全响应组（CERT禁市）。
随着计算机在人类生活各个领域所扮演的角色日趋重要，入侵、病毒爆发、木马对信息的窃取等计算机安全事件也日益严重，业界对于试己承她墓巴信息安全问题认识也不断深入，应对计算机安全事件的方式方法也不断更新、完善。
随着信息安全管理体系的不断臭寻辩实践、更新、完善，越来越发现：安全问题最终可归结为一个风险管理问题。信息安全管理体系的构建目的实际上就是为了解决安全风险的管理问题。
因此，终端安全管理的实质就是识别终端安全风险，构建终端风险体系并对终端风险进行终端安全管理，从而降低和避免终端安全风险事件的发生。
终端安全管理措施一：时刻准备，及时防护
经过长时间的探索、分析，我们可以把计算机终端安全大致分为两方面，分别是计算机终端的物理安全和计算机终端的系统安全。
计算机终端的物理安全主要就是计算机所在物理环境的安全与计算机自身硬件的安全。物理环境安全就如同一个人他的生存、生活、工作环境，环境适宜，心情、工作都会比较舒畅，环境恶劣的时候人也会生病。同理，计算机也有自己比较适宜的工作环境（备注：周边环境的湿度、温度、电压、雷击等），当环境的某个或多个因素超过计算机的极限承受能力时，计算机也会像人一样“生病”。
对于计算机终端物理安全的第二点就是计算机各个元器件的自身安全，如硬件的自身损耗、人为破坏、被盗丢失等，这时候，我们就有主要计算机的使用过程中对于硬件的保护和维护工作。
随着人类科技实力的不断提高，目前计算机各个零部件的寿命、强度都有了明显提高，但因为自身构造等特点，一些硬件使用不当极易遭到破坏，导致计算机无法正常使用。
目前，计算机已大规模步入人类文明生活的各个方面，对于人类生活的办公、娱乐、学习都有着重大的作用和用处。同时，木马、病毒在计算机世界横行（下文系统分析中将对这些威胁进行详细介绍）。因计算机存储了大量的个人、商业、军事信息，一些不法人员为非法牟取利益将黑手伸向了这些终端，盗取存储硬件、施放木马、恶意程序等，无不危害着计算机终端的正常使用和操作员的正常工作、生活。
以上就是对计算机终端安全中物理安全性的简单描述，对于计算机终端安全的另一方面则是系统安全，也是我们所要重点介绍的部分。
计算机终端安全主要是操作系统相关技术和网络安全技术两个部分。
操作系统相关技术是针对目前终端使用的主要操作系统，如windows、Unix等，包括操作系统的驱动开发、信息获取、接口调用等。
网络安全技术包括网络设备的相关接口开发、网络信息的扫描和探测等
与终端安全相关的事件统称为终端安全事件。有效的区分与终端安全相关的事件，是分析终端安全状况的首要工作、基础工作。
终端在使用过程中会产生众多事件，每一条都有可能与终端安全相关，但并不意味着这些内容都属于终端安全事件范畴，不对这些时间进行严格的区分、限定和归并，就极有可能导致对于终端安全的分析工作陷入误区。因此记录终端、区分终端产生的事件是否属于安全事件就是终端安全工作需要完成的重要工作。终端自身产生的事件，取决于事件的产生源，不可能把所有的事件全部记录，所以，对于终端安全的相关事件，有相当大的一部分来自于网络和第三方工具的分析。
终端安全防护主要是建立在计算机终端可能发生风险的各个方面的有效管控，通过制度与技术有效结合的方式，减少甚至杜绝各类风险事件的发生，针对终端使用过程中可能发生风险的操作行为进行详细记录，通过分析之后进行具有针对性的防护措施和相关功能的管控。如下：
基础类防护措施 操作系统安全防护对操作系统进行安全加固；关闭不必要的服务、端口、来宾组等，为不同用户开放权限较低权限，防止安装过多应用软件及病毒、木马程序的自运行。
进程运行监控对运行以及试图运行的进程、进程树进行监视、控制。防止病毒、木马等恶意程序调用进程。及时了解操作系统开启服务与程序情况，防止恶意程序后台运行。
终端外设使用监控对终端外设接口、外联设备及使用的监视、控制能有效的控制计算机的资源利用率，规范计算机资源使用，防止因滥用计算机外接存储设备造成的木马、病毒的泛滥传播等。
操作系统密码口令检查定期改变具有一定复杂度的密码及密码策略可以有效的防止非授权人员进入计算机终端，防止非法人员窃取计算机终端信息，所以，对操作系统口令的检查能有效的督促、保证计算机终端设置合规的用户口令，保证终端安全。
网络配置信息监控网络配置信息包含计算机网卡的MAC、IP地址、计算机路由器的接口信息等，对网络配置的有效监控可以及时发现非法接入信息系统的非法终端，防止非法终端接入可信网络窃取信息、传播病毒等。
运行类风险防护 操作系统网络流量监控对操作系统各用户、各时段的流量监控可以有效判断计算机内是否存在程序、服务在上传或下载信息，及时判断计算机是否感染木马程序致使信息外发，或成为共享服务站造成信息泄露。
操作系统网络访问监控对计算机终端进行的系统网络访问控制能有效的防止计算机进行违规互联，防止信息因共享等方式进行违规流转，防止木马、病毒在信息系统内大规模爆发。
操作系统运行状态监控对操作系统运行状态的监控科有效的了解到计算机终端长时间未登录、企图进入安全模式等绕过行为，监控主机调用的端口、服务等系统信息，保证计算机终端时刻处于被监控状态。
信息类风险防护 安全准入控制非法主机接入可信信息系统可能导致内网信息外泄、病毒、木马传播扩散、对内外服务器攻击等严重后果，因此，对计算机终端的安全防护中，准入控制是极为重要的一项防护手段。
终端使用者变更监控计算机终端始终归属不同人员使用，不同用户及使用者对计算机终端有着不同的操作权限，对于变更使用者的计算机终端应及时改变资产所属人员以保证计算机使用权限正常，资产归属正常。防止计算机终端使用者非授权登录、使用计算机，保证计算机终端信息安全性。
中心信息的防扩散和防泄密监控按照国家保密标准及等级保护标准的明确规定，应有效控制信息的知悉范围，明确信息流向，对外协信息进行安全回收，对外带便携式计算机及移动存储介质进行外协后的信息清除，防止设备再次使用时信息被违规恢复。因此，做好信息的防扩散、防泄漏工作是非常有必要也必须要做的。
管理类风险 管理人员操作监控对管理人员的操作进行安全监控，一方面规范了管理员的操作行为，另一方面也使出现安全问题后的责任追查工作简单、明确、抗抵赖。
管理工具运行状态监控因管理工具为管理员所用，有着相同的用户权限，为防止管理工具内嵌木马、病毒等恶意程序，针对管理工具的状态监控，可有效防止管理员在不知情的状态下将木马、病毒等恶意程序感染传播至服务器等重要资源。
监控信息实时分析对于监控信息，应进行实时、准确分析，在第一时间判断安全事件的发生所在，确定问题所在后进行快速响应与处理。
终端安全管理措施二：协调一致，全面管理
终端安全管理是将终端安全防护过程中发现的资产、脆弱性和威胁信息等，进行汇总、梳理和统计，实现对于终端安全风险全生命周期的管理；通过对数据进行深度的关联分析，形成关联分析报告，为终端安全策略的制定提供依据；查看安全策略全局下发后的全省终端安全风险整体状况，为安全策略的调整提供决策支撑；为不同的用户提供不同的安全视图，保证不同层次的用户能够快速、方便地了解到所关心的安全信息。
其中，终端安全管理平台是终端安全管理体系的重要技术支撑平台，基于终端安全防护平台构建，终端安全管理平台在整个终端安全防护体系中起到的是“大脑”作用，终端安全防护平台则起到“手”的作用。
由终端安全管理平台将防护策略下发到终端安全防护平台，终端安全防护平台在继承管理平台策略后，按照相应规则对计算机终端进行基于操作系统的进程、服务的监控、接口、外设的监控、终端资产及变更管理、管理员操作监控等行为监控。一旦终端安全防护平台监控到安全事件的发生，将日志、报警信息等发送至终端安全管理平台，由终端安全管理平台对安全事件进行分析，确定终端安全事件根源所在：如非受控终端私自接入可信信息系统。将调整后的安全策略、相应信息发送到终端安全防护平台，由各个终端进行策略的集成和修改，对安全事件进行再次相应。
经过这样一个有头到手，手将信息反馈给头，再由头指挥手做出相关反应的过程，就完成了一个由安全管理平台、安全防护平台联合进行的终端安全事件的响应过程。
终端安全管理措施三：管理与技术并举
技术无论多成熟和先进都是为人所用，为人服务的，技术的好与坏在非常大的层面上都取决于使用者，这也就是说技术本身并无偏向性，但有了使用者的存在，技术就成了一把双刃剑。所以在注重技术管理的同时，人们也一直对计算机信息系统进行人为管理、人为干预，防止违法犯罪人员对计算机及信息系统进行破坏、牟利。
一直都说“三分技术，七分管理”，在计算机管理过程中的确曾出现过类似情况，技术手段不够成熟，为防止计算机信息系统遭到破坏为保护重要的数据资源，不得不耗费大量的人力对计算机进行安全保护，通过人为干预防止不法人员对计算机的破坏行为。
随着人类科技实力的不断提高，技术含量在计算机防护工作中所占比重日趋加大以往的“三分技术，七分管理”逐渐演变为“五分技术，五分管理”，直至现阶段的“七分技术，三分管理”。随着技术因素在计算机安全防护中所占比例越来越大，但是人的因素仍然在计算机安全防护中占有一定比重。
计算机技术发展至今，虽然能解决我们所遇到的大部分问题，但是，诸如硬件被盗、摄影器材截屏、人为破坏等因素仍需要管理人结合管理制度进行安全管理，不能完全依赖于技术。如：在进入涉密程度较高的区域时，须将手机、照相机、PDA等智能设备、图像处理设备上交且屏蔽管理；对于核心区域，应安排专职保安人员进行全天候值守，安放监控设备，防止不法人员侵入，造成计算机及数据流失；规范终端使用者的使用行为，防止因误操作将病毒、木马带入整个信息系统，防止终端资源被不合理利用。
作为一个完整的防护体系，在进行基于计算机的技术防护、人员管理之外，还应建立起一整套完整的管理制度用以辅助人员与技术管理。
一套完整的管理制度应至少包括：人员管理制度、计算机及信息使用制度、密码策略管理制度、资产使用管理制度、移动设备使用管理制度、人员奖惩制度、进入核心区域管理制度等。制度是由人来制定的，制定相关管理制度后更需要由管理人员进行实施、执行。对违规人员进行严肃处理。对于制定后不适宜应用的制度应加以修改，使之被切实应用。
终端安全管理措施四：其他防护措施
随着人类社会的进步，科技文明的发展，计算机信息外泄的途径也变得多种多样，以上我们介绍了关于计算机操作系统和硬件的部分安全隐患和防范方式，下面我们就对另一方面的计算机所面临的安全威胁进行详细分析—电磁泄漏。
电磁信号广泛存在于我们生活的方方面面，电力传输、手机通讯等诸多方面存在电磁信号，其中还包括我们日常应用的计算机及网络信号传输。
计算机在处理信息时，电磁信号会不可避免的夹带着信息数据通过导线、网线、空间等方式向外传播，由实验表明，一公里内的计算机屏幕信号均可以被捕捉、还原，也就是说，在你处理信息时，一公里外就可能有人在看着你的显示器究竟出现了什么东西。网线在传输数据的同时也会夹杂着大量的数据信号向外扩散，甚至包括计算机所使用的电源都会将数据信号同电磁信息一起发出。这些数据信号一旦被非法还原将造成计算机大量的数据在处理信息的同时流失。
为保证电磁信号安全、不被还原，同时又能正常使用计算机，就须对计算机进行电磁防泄漏处理，主要方式有三种：
1．基于显示器的电磁信号过滤；
2．基于导线传输的电磁信号过滤；
3．基于线路传到的电磁信号干扰。
对于显示器电磁泄漏现象，可使用电磁信号屏蔽仪对其进行电磁信号干扰，防止电磁信号被外部还原，电磁信号屏蔽仪主要分为两种：串接在机箱与显示器间进行视频信号的滤波，通过对信号的过滤实现对电磁信号的保护；另一种则是安放在固定区域内，对固定直径范围内计算机电磁信号进行干扰，主要是以向外发送干扰信号的方式实现对固定范围内多台计算机电磁信号的干扰。两种干扰方式及干扰设备互有优劣。基于主机的方式较为安全稳定，但局限性高，对于笔记本无法实现防护；另一种则影响范围较大，但是根据实际测量情况反映，使用基于主机的电磁屏蔽设备较为安全。
对于线路电磁信号过滤，可采用线路传导干扰设备，串接在网线两端对流经网线的电磁信号进行滤波处理。线路传导干扰设备主要应用于远距离、不受控的信号传递间，对网线传输信息的质量、距离有一定影响。
以上就是常见的几种电磁屏蔽设备，值得注意的就是任何设备都不是万能的，虽然可以避免绝大多数终端安全事件的发生，但是仍须使用者和管理者提起注意，防止因认为因素做出不必要的损失。再者，任何设备的增加都会不同程度的影响计算机的使用效率，但是，为保证终端安全，舍弃一部分资源作为终端及信息安全的代价也是值得的、应该的、必须的。
终端安全管理措施五：总结
到这里，几种终端常见的安全问题、解决办法和安全防护设备的介绍就告一段落了。须知，人作为终端的使用者和管理者才是事件的主导因素，计算机及信息技术只是作为一种工具存在，不能因为某些人、某些因素就以偏概全，否决计算机及信息技术给我们带来的利益及收获。随着技术的发展，将有层出不穷的信息技术应用于安全防护领域，对于可能发生的终端安全事件，我们应竭力避免，积极防御，引领计算机的良性、健康发展，营造良好的网络环境。 [1]
案例背景
近年来，税务行业在信息化建设上突飞猛进，信息化服务能力也有了更进一步的提升，在建设逐渐完善的业务系统过程中，伴随而来的是信息的安全、有效、合理的监管问题，怎么管理好与业务系统相伴的安全问题，是关系到整个税务行业信息化建设进一步发展的重要因素。
某省地税局作为税务行业信息化建设的领先者之一，近年在安全建设上取得了一系列重大突破，各地市征管系统顺利完成了由地级市集中处理模式向省级集中处理模式的转换。省级大集中系统的全面上线，标志着江苏地税税收管理最重要的省级一体化信息平台初步建成。随着征管系统的管理机构、工作模式、岗位职责、人员分工等变化，征管系统面临的安全风险也发生了变化。从以往各地的风险仅仅是局部影响，到现在的互动影响，各地问题相互交替，范围扩大，继而影响全省；出现了各地小风险会导致全局大风险，甚至可能演变成全省灾难性风险。为了能够系统地研究分析各地自身终端信息安全，从而达到保证省级大集中系统安全的目的，依据目前安全规范要求，更需要重点关注大集中后各地终端运行安全和信息安全管控，关注应急防范处置，解决安全认识不到位、技术手段的管控力度低、信息资料的定密不清、外来人员的监控不力等问题，而基于人工方式对出现的问题和风险进行排查和处置，已无法解决人手少、范围广、事件多的困难局面，更无法适应面对全省征管大集中新形势下的终端安全需要。
为解决出现的安全管理问题，某省地税计划建立终端安全管理体系，建设终端安全防护平台和终端安全管理平台，逐步形成具有地税特色的功能成熟并能切实发挥作用的终端安全防护和管理平台，促进业务与安全的协调发展，满足省级大集中后全省信息安全有效管控的需要。
案例需求
在安全教育培训、技术防范、规章制度建立、安全检查评估及整改等方面做了大量的工作，在一定程度上提高了终端安全管理水平。但是，终端系统数量大、应用多，加之安全管理人员少，缺乏完备的技术手段，无法掌握终端安全风险状况，安全管理人员难以对真正紧急的事件进行快速响应。
因此，该地税系统需要建立终端安全管理体系，通过完善相关管理制度、流程、规范组织机构职责、构建终端安全防护和安全管理平台实现以下终端安全管理功能：
实时对内网终端的软硬件、移动介质、接入访问、补丁更新、病毒防范等状况进行统一监控； 实现对终端资产全生命周期的管理； 采集终端安全相关安全事件和日志信息、进行整合和关联分析，提供终端安全态势展示； 评估终端安全风险，实现终端全生命周期的安全风险管理； 审计终端用户行为，重点实现对第三方接入终端的用户行为审计； 产生安全事故和告警，提供自动告警和响应手段； 接收并处理相关单位发来的终端相关的安全预警； 生成各种安全报告并及时进行应急响应； 进行终端相关安全知识管理； 为相关部门的信息安全审计和考核提供技术手段和依据，实现全内网终端系统的安全集中监控、审计和应急响应，全面提升该系统内网终端安全管理能力，提升该系统整体信息安全保障能力。 终端安全防护和安全管理平台将是该系统信息安全管理团队非常必要的技术支撑系统之一。
案例目标
基于终端安全防护和安全管理平台的建设落实在该终端安全管理体系内，实现终端安全管理工作的信息化，为全省终端安全管理提供技术手段，提高终端安全管理、维护的水平，优化终端安全工作流程，缩短终端安全事件处理的响应处理时间，进而保障全省税务业务网络、支撑网络、业务系统以及整个信息化系统安全高效的运行，系统有如下的建设方向与目标：
搭建终端安全防护和安全管理平台，实现三级机构终端管理； 建设终端安全管理体系的基本组织框架，确保终端安全管理相关工作的有效落实； 推进内网终端安全管理标准化：对内网终端的安全访问、非法内联、非法外联、补丁更新、桌面管理、病毒防范等安全策略进行标准化管理。 推进安全事件管理规范化：对安全事件的采集，汇总及处理规范化管理，规范安全事件的响应措施。 终端安全策略框架和策略脚本建立，构建符合安全策略的基本运作流程，结合终端安全防护和管理平台实现内网终端安全维护管理流程化：对终端安全实施设备及使用的全生命周期管理、风险全过程管理和重要风险系统管理，并配合行政管理，实现终端安全管理流程化管理。 终端安全态势可视化：对各类安全事件进行统一展现，从各种不同角度进行分析，针对不同的安全事件，提供安全预警分析。 推进内网终端运行管理自动化：增强终端管理的自动化，事件响应自动化，安全告警管理和安全工单自动派发。Ø 实现内网终端运行管理指标化：对终端安全事件量化处理，实现终端运行监测点及相关考核指标标准化。
案例建设方法
该系统安全管理平台建设从三个层面考虑：终端安全防护平台、终端安全管理平台、终端安全防护体系。
终端安全防护平台负责终端信息的采集和维护、终端安全风险的管理和防护、终端安全事件的监测和控制，为管理平台提供所需要的各类数据的采集和传输。实现各类安全事件的“事前防范、事中防御、事后处理”的立体化、流程化防御。是构建综合的、完整的内网终端安全防护体系的基础。
终端安全管理平台在终端安全防护平台提供的数据基础上，提供安全管理人员（系统管理员、安全主管）所需要的管理、监控、风险分析功能，各类管理报表的制作，同时满足省、市、县分布式环境下的行业安全管理要求。是构建完整的终端内网安全管理体系的技术支撑平台。
终端安全管理体系由终端安全组织体系、终端安全运作体系、终端安全策略体系和终端安全技术体系构成。其中终端安全技术体系主要由终端安全防护平台和终端安全管理平台构成。
终端安全防护平台是核心组件，是终端安全管理体系的基础部件。
终端安全管理平台在采取集中监控管理的方式，在更高层面上接收来自终端安全防护平台的安全事件和安全风险监测数据，负责对这些事件进行深层的分析，统计和关联，提供处理方法和建议。
防护平台和管理平台采用联合部署的方式，可以通过同机或者双机的方式进行部署，联合实现终端安全风险管理的有效控制。由于江苏地税的行业特性和网络结构，决定了在不同的网络类型上采用不同的部署方式和部署要求。在部署方式上，同机部署适用于小型网络（区县级网络），双机部署适用于中型网络（县市级网络），多级联合部署适用于大型网络（省市级网络），因为不同的网络级别安全性保障要求也不同。
终端安全管理该终端安全管理体系平台的总体结构如图1所示。系统由3个层次组成，包括省局、地市局（园区）和县局（保税区）终端安全防护与安全管理平台。
3个层次组成树形结构，从逻辑上看，省局中心节点只有1个，地市局节点共15个（其中包括13个地市局、省局自身管理和苏州园区），县节点共68个（其中包括67个县和1个保税区）；各地市局节点连接到省局中心节点，各县节点连接到所属地市局节点
省局中心节点：最顶层是省局终端安全防护与安全管理平台，其中省局终端安全防护平台管理全省统一安全策略，省局终端安全管理平台不仅基于省局终端安全防护平台管理省局内网终端，而且是全省终端安全管理平台的总中心，负责全局终端安全策略的管理和下发，接收全局上报信息，具有全省数据综合分析和与其他系统协同联动的功能。
地市局节点：负责本地市内终端的安全防护和安全管理工作，同时对所管辖的下级县局安全防护平台和安全管理平台有监管功能，具体包括接收省中心策略配置或进行本地配置，收集监控信息并产生事件并上报，同时具有数据分析的能力。
县局节点：负责本县内终端的安全防护和安全管理工作，包括接收省中心和地市局中心策略配置或进行本地配置，收集监控信息并产生事件并上报，同时具有一定的数据分析的能力。
认证授权策略中心：负责全网所有的认证、授权、策略信息，所有服务器的管理角色集中在一起，由省级配发区域管理权限，区域根据自身情况进行使用者信息的管理，并且对于所有使用者信息进行区域化限定。既满足全网管理要求的统一性，又兼顾了本地管理的灵活性，统一性保障终端信息与使用者信息，以及风险信息在全网是一致的，灵活性保障管理角色和使用者具备本地管理属性。对所有节点的认证进行统一维护和备份，当任意节点的服务器出现故障，可以直接从认证中心恢复认证信息。对所有节点的策略信息进行集中管控，可以保障全省安全策略的统一，也支持全省策略的地区差异化，并且上级可以掌握下级差异化的管理详情。
所有节点都与它的父节点、中心节点以及所有的子节点进行通信。中心节点用于统一安全策略，所有节点根据策略的性质配发适用的范围，父节点能够对所有的子节点进行管理和查询，包括策略应用情况、终端安装情况、补丁安装情况查询和报警信息等，如果下级有选配管理中心，还可以对其进行在线考核。每个节点的认证和策略都是本地配置，这些本地配置将只影响本地的终端安全防护，不影响上级或者平级部署的平台，同时由于这些信息都在中心节点备份，所有可以实时进行同步和恢复。
在管理上漫游属于特殊情况，分为两种：资产漫游和人员漫游。
人员漫游比较常见，在现有的部署方案中，人员漫游可以采用人员的管理链接方式，即人员的管理属性不变，还是由其直属上级进行管理，但是资源属性支持共享，即漫游地的上级也可以查看他的属性，并且可以对其的认证和授权信息进行分配。
终端安全管理 [2]案例建设效果展示
通过该税务系统单位与我国信息安全领先厂商天融信共同构建的终端安全管理系统，按照终端安全防护平台、终端安全管理平台、终端安全防护体系三层结构模型的建设，达到了终端风险可管、可控，安全状态可视的效果：
实现内网终端的“全程全网”安全状态可视化（Visualization）。体现在三级机构的内网终端系统相关安全状态信息可以非常直观地可视化监视，安全策略执行情况可感可知，有能力进行事后的分析和追查，提供可以“呈堂”的证据。
内网终端的安全风险处于可管理、可控制状态下。对内网终端系统安全风险的不间断的评估和控制措施调整，使得全内网终端的整体安全状况和风险情况以定性或半定量的形式及时展现出来。帮助安全管理层和终端安全管理维护人员清晰、准确、及时的了解终端所处的风险状况。
使全网的安全保障能力处于国内领先地位。在病毒爆发、违规操作以及其它不可预见的威胁出现时，内网终端安全防护和管理系统有能力及时发现，并迅速的进行响应和恢复，保障业务工作的正常运行。
保证内网终端相关业务活动在网络安全方面的法律法规符合性。规范、管理和审计内网终端安全状态和用户的行为，在整个体系中将建立法律法规符合性审核制度，保证终端系统安全管理工作的有效性，终端系统合法合规的使用。 [3]
