終端安全管理（endpoint security management）是一種保護網路安全的策略式方法，它需要終端設備在得到訪問網路資源的許可之前遵從特定的標準。
基本介紹
- 中文名：終端安全管理
- 外文名：endpoint security management
- 領域：IT
- 措施一：時刻準備，及時防護
- 措施二：協調一致，全面管理
定義,措施,經典案例,
定義
自1946年2月，第一台電子計算機ENIAC在美國加州 問世以來，短短數十年時間，計算機在人類社會裡經過了電子管時代（1946年到1959年）、電晶體時代（1960年到1964年）、積體電路時代（1965年到1970年）、大規模積體電路時代（1971年至今）4個時代更迭，技術也在不斷創新。
進入二十世紀七十年代以來，伴隨著計算機技術的迅猛發展，一大批先驅者為打破美國政府和軍事工業集團對計算機技術的壟斷，開始打造個人計算機（PC），這其中就包括賈伯斯和伍茲。使計算機的發展、人類的生活方式、通訊的有效手段得到了跳躍式的進步。這些早期的計算機技術愛好者既推動了計算機技術的飛躍發展，也為計算機和信息安全埋下了一顆不小的定時炸彈。
1988年，一個年輕有為的美國熱血青年莫里斯，為發泄對美國經濟、政府的不滿，炫耀強大的自我才能，編寫了“Morris蠕蟲”病毒，致使近6000台計算機癱瘓，涉及範圍涵蓋了軍隊、政府、醫療、金融等多個行業，而他的父親就是NAS（美國安全局）從事計算機研究的專家。
同年，美國還發生了入侵“星球大戰”項目事件。
……
一系列安全事件後，在美國政府的資助下，卡內基梅隆成立了全球第一個計算機應急安全回響組（CERT）。
隨著計算機在人類生活各個領域所扮演的角色日趨重要，入侵、病毒爆發、木馬對信息的竊取等計算機安全事件也日益嚴重，業界對於信息安全問題認識也不斷深入，應對計算機安全事件的方式方法也不斷更新、完善。
隨著信息安全管理體系的不斷實踐、更新、完善，越來越發現：安全問題最終可歸結為一個風險管理問題。信息安全管理體系的構建目的實際上就是為了解決安全風險的管理問題。
因此，終端安全管理的實質就是識別終端安全風險，構建終端風險體系並對終端風險進行終端安全管理，從而降低和避免終端安全風險事件的發生。
措施
終端安全管理措施一：時刻準備，及時防護
經過長時間的探索、分析，我們可以把計算機終端安全大致分為兩方面，分別是計算機終端的物理安全和計算機終端的系統安全。
計算機終端的物理安全主要就是計算機所在物理環境的安全與計算機自身硬體的安全。物理環境安全就如同一個人他的生存、生活、工作環境，環境適宜，心情、工作都會比較舒暢，環境惡劣的時候人也會生病。同理，計算機也有自己比較適宜的工作環境（備註：周邊環境的濕度、溫度、電壓、雷擊等），當環境的某個或多個因素超過計算機的極限承受能力時，計算機也會像人一樣“生病”。
對於計算機終端物理安全的第二點就是計算機各個元器件的自身安全，如硬體的自身損耗、人為破壞、被盜丟失等，這時候，我們就有主要計算機的使用過程中對於硬體的保護和維護工作。
隨著人類科技實力的不斷提高，目前計算機各個零部件的壽命、強度都有了明顯提高，但因為自身構造等特點，一些硬體使用不當極易遭到破壞，導致計算機無法正常使用。
目前，計算機已大規模步入人類文明生活的各個方面，對於人類生活的辦公、娛樂、學習都有著重大的作用和用處。同時，木馬、病毒在計算機世界橫行（下文系統分析中將對這些威脅進行詳細介紹）。因計算機存儲了大量的個人、商業、軍事信息，一些不法人員為非法牟取利益將黑手伸向了這些終端，盜取存儲硬體、施放木馬、惡意程式等，無不危害著計算機終端的正常使用和操作員的正常工作、生活。
以上就是對計算機終端安全中物理安全性的簡單描述，對於計算機終端安全的另一方面則是系統安全，也是我們所要重點介紹的部分。
計算機終端安全主要是作業系統相關技術和網路安全技術兩個部分。
作業系統相關技術是針對目前終端使用的主要作業系統，如windows、Unix等，包括作業系統的驅動開發、信息獲取、接口調用等。
網路安全技術包括網路設備的相關接口開發、網路信息的掃描和探測等
與終端安全相關的事件統稱為終端安全事件。有效的區分與終端安全相關的事件，是分析終端安全狀況的首要工作、基礎工作。
終端在使用過程中會產生眾多事件，每一條都有可能與終端安全相關，但並不意味著這些內容都屬於終端安全事件範疇，不對這些時間進行嚴格的區分、限定和歸併，就極有可能導致對於終端安全的分析工作陷入誤區。因此記錄終端、區分終端產生的事件是否屬於安全事件就是終端安全工作需要完成的重要工作。終端自身產生的事件，取決於事件的產生源，不可能把所有的事件全部記錄，所以，對於終端安全的相關事件，有相當大的一部分來自於網路和第三方工具的分析。
終端安全防護主要是建立在計算機終端可能發生風險的各個方面的有效管控，通過制度與技術有效結合的方式，減少甚至杜絕各類風險事件的發生，針對終端使用過程中可能發生風險的操作行為進行詳細記錄，通過分析之後進行具有針對性的防護措施和相關功能的管控。如下：
基礎類防護措施 作業系統安全防護對作業系統進行安全加固；關閉不必要的服務、連線埠、來賓組等，為不同用戶開放許可權較低許可權，防止安裝過多套用軟體及病毒、木馬程式的自運行。
進程運行監控對運行以及試圖運行的進程、進程樹進行監視、控制。防止病毒、木馬等惡意程式調用進程。及時了解作業系統開啟服務與程式情況，防止惡意程式後台運行。
作業系統性能監控對作業系統記憶體、CPU利用率等基本性能的監控有助於了解對系統資源占用過大的程式，從而鑑定其是否為正常運行或正常程式。有助於對計算機硬體利用率的掌握和硬體性能的維護。
終端外設使用監控對終端外設接口、外聯設備及使用的監視、控制能有效的控制計算機的資源利用率，規範計算機資源使用，防止因濫用計算機外接存儲設備造成的木馬、病毒的泛濫傳播等。
作業系統密碼口令檢查定期改變具有一定複雜度的密碼及密碼策略可以有效的防止非授權人員進入計算機終端，防止非法人員竊取計算機終端信息，所以，對作業系統口令的檢查能有效的督促、保證計算機終端設定合規的用戶口令，保證終端安全。
網路配置信息監控網路配置信息包含計算機網卡的MAC、IP位址、計算機路由器的接口信息等，對網路配置的有效監控可以及時發現非法接入信息系統的非法終端，防止非法終端接入可信網路竊取信息、傳播病毒等。
運行類風險防護 作業系統網路流量監控對作業系統各用戶、各時段的流量監控可以有效判斷計算機內是否存在程式、服務在上傳或下載信息，及時判斷計算機是否感染木馬程式致使信息外發，或成為共享服務站造成信息泄露。
作業系統網路訪問監控對計算機終端進行的系統網路訪問控制能有效的防止計算機進行違規互聯，防止信息因共享等方式進行違規流轉，防止木馬、病毒在信息系統內大規模爆發。
作業系統運行狀態監控對作業系統運行狀態的監控科有效的了解到計算機終端長時間未登錄、企圖進入安全模式等繞過行為，監控主機調用的連線埠、服務等系統信息，保證計算機終端時刻處於被監控狀態。
信息類風險防護 安全準入控制非法主機接入可信信息系統可能導致區域網路信息外泄、病毒、木馬傳播擴散、對內外伺服器攻擊等嚴重後果，因此，對計算機終端的安全防護中，準入控制是極為重要的一項防護手段。
終端使用者變更監控計算機終端始終歸屬不同人員使用，不同用戶及使用者對計算機終端有著不同的操作許可權，對於變更使用者的計算機終端應及時改變資產所屬人員以保證計算機使用許可權正常，資產歸屬正常。防止計算機終端使用者非授權登錄、使用計算機，保證計算機終端信息安全性。
中心信息的防擴散和防泄密監控按照國家保密標準及等級保護標準的明確規定，應有效控制信息的知悉範圍，明確信息流向，對外協信息進行安全回收，對外帶攜帶型計算機及移動存儲介質進行外協後的信息清除，防止設備再次使用時信息被違規恢復。因此，做好信息的防擴散、防泄漏工作是非常有必要也必須要做的。
管理類風險 管理人員操作監控對管理人員的操作進行安全監控，一方面規範了管理員的操作行為，另一方面也使出現安全問題後的責任追查工作簡單、明確、抗抵賴。
管理工具運行狀態監控因管理工具為管理員所用，有著相同的用戶許可權，為防止管理工具內嵌木馬、病毒等惡意程式，針對管理工具的狀態監控，可有效防止管理員在不知情的狀態下將木馬、病毒等惡意程式感染傳播至伺服器等重要資源。
監控信息實時分析對於監控信息，應進行實時、準確分析，在第一時間判斷安全事件的發生所在，確定問題所在後進行快速回響與處理。
終端安全管理措施二：協調一致，全面管理
終端安全管理是將終端安全防護過程中發現的資產、脆弱性和威脅信息等，進行匯總、梳理和統計，實現對於終端安全風險全生命周期的管理；通過對數據進行深度的關聯分析，形成關聯分析報告，為終端安全策略的制定提供依據；查看安全策略全局下發後的全省終端安全風險整體狀況，為安全策略的調整提供決策支撐；為不同的用戶提供不同的安全視圖，保證不同層次的用戶能夠快速、方便地了解到所關心的安全信息。
其中，終端安全管理平台是終端安全管理體系的重要技術支撐平台，基於終端安全防護平台構建，終端安全管理平台在整個終端安全防護體系中起到的是“大腦”作用，終端安全防護平台則起到“手”的作用。
由終端安全管理平台將防護策略下發到終端安全防護平台，終端安全防護平台在繼承管理平台策略後，按照相應規則對計算機終端進行基於作業系統的進程、服務的監控、接口、外設的監控、終端資產及變更管理、管理員操作監控等行為監控。一旦終端安全防護平台監控到安全事件的發生，將日誌、報警信息等傳送至終端安全管理平台，由終端安全管理平台對安全事件進行分析，確定終端安全事件根源所在：如非受控終端私自接入可信信息系統。將調整後的安全策略、相應信息傳送到終端安全防護平台，由各個終端進行策略的集成和修改，對安全事件進行再次相應。
經過這樣一個有頭到手，手將信息反饋給頭，再由頭指揮手做出相關反應的過程，就完成了一個由安全管理平台、安全防護平台聯合進行的終端安全事件的回響過程。
終端安全管理措施三：管理與技術並舉
技術無論多成熟和先進都是為人所用，為人服務的，技術的好與壞在非常大的層面上都取決於使用者，這也就是說技術本身並無偏向性，但有了使用者的存在，技術就成了一把雙刃劍。所以在注重技術管理的同時，人們也一直對計算機信息系統進行人為管理、人為干預，防止違法犯罪人員對計算機及信息系統進行破壞、牟利。
一直都說“三分技術，七分管理”，在計算機管理過程中的確曾出現過類似情況，技術手段不夠成熟，為防止計算機信息系統遭到破壞為保護重要的數據資源，不得不耗費大量的人力對計算機進行安全保護，通過人為干預防止不法人員對計算機的破壞行為。
隨著人類科技實力的不斷提高，技術含量在計算機防護工作中所占比重日趨加大以往的“三分技術，七分管理”逐漸演變為“五分技術，五分管理”，直至現階段的“七分技術，三分管理”。隨著技術因素在計算機安全防護中所占比例越來越大，但是人的因素仍然在計算機安全防護中占有一定比重。
計算機技術發展至今，雖然能解決我們所遇到的大部分問題，但是，諸如硬體被盜、攝影器材截屏、人為破壞等因素仍需要管理人結合管理制度進行安全管理，不能完全依賴於技術。如：在進入涉密程度較高的區域時，須將手機、照相機、PDA等智慧型設備、圖像處理設備上交且禁止管理；對於核心區域，應安排專職保全人員進行全天候值守，安放監控設備，防止不法人員侵入，造成計算機及數據流失；規範終端使用者的使用行為，防止因誤操作將病毒、木馬帶入整個信息系統，防止終端資源被不合理利用。
作為一個完整的防護體系，在進行基於計算機的技術防護、人員管理之外，還應建立起一整套完整的管理制度用以輔助人員與技術管理。
一套完整的管理制度應至少包括：人員管理制度、計算機及信息使用制度、密碼策略管理制度、資產使用管理制度、移動設備使用管理制度、人員獎懲制度、進入核心區域管理制度等。制度是由人來制定的，制定相關管理制度後更需要由管理人員進行實施、執行。對違規人員進行嚴肅處理。對於制定後不適宜套用的制度應加以修改，使之被切實套用。
終端安全管理措施四：其他防護措施
隨著人類社會的進步，科技文明的發展，計算機信息外泄的途徑也變得多種多樣，以上我們介紹了關於計算機作業系統和硬體的部分安全隱患和防範方式，下面我們就對另一方面的計算機所面臨的安全威脅進行詳細分析—電磁泄漏。
電磁信號廣泛存在於我們生活的方方面面，電力傳輸、手機通訊等諸多方面存在電磁信號，其中還包括我們日常套用的計算機及網路信號傳輸。
計算機在處理信息時，電磁信號會不可避免的夾帶著信息數據通過導線、網線、空間等方式向外傳播，由實驗表明，一公里內的計算機螢幕信號均可以被捕捉、還原，也就是說，在你處理信息時，一公里外就可能有人在看著你的顯示器究竟出現了什麼東西。網線在傳輸數據的同時也會夾雜著大量的數據信號向外擴散，甚至包括計算機所使用的電源都會將數據信號同電磁信息一起發出。這些數據信號一旦被非法還原將造成計算機大量的數據在處理信息的同時流失。
為保證電磁信號安全、不被還原，同時又能正常使用計算機，就須對計算機進行電磁防泄漏處理，主要方式有三種：
1．基於顯示器的電磁信號過濾；
2．基於導線傳輸的電磁信號過濾；
3．基於線路傳到的電磁信號干擾。
對於顯示器電磁泄漏現象，可使用電磁信號禁止儀對其進行電磁信號干擾，防止電磁信號被外部還原，電磁信號禁止儀主要分為兩種：串接在機箱與顯示器間進行視頻信號的濾波，通過對信號的過濾實現對電磁信號的保護；另一種則是安放在固定區域內，對固定直徑範圍內計算機電磁信號進行干擾，主要是以向外傳送干擾信號的方式實現對固定範圍內多台計算機電磁信號的干擾。兩種干擾方式及干擾設備互有優劣。基於主機的方式較為安全穩定，但局限性高，對於筆記本無法實現防護；另一種則影響範圍較大，但是根據實際測量情況反映，使用基於主機的電磁禁止設備較為安全。
對於線路電磁信號過濾，可採用線路傳導干擾設備，串接在網線兩端對流經網線的電磁信號進行濾波處理。線路傳導干擾設備主要套用於遠距離、不受控的信號傳遞間，對網線傳輸信息的質量、距離有一定影響。
對於計算機電源線的電磁泄漏，可通過使用紅黑電源插座的方式實現。紅黑電源插座的功能各主要由兩個—濾波、穩壓。過濾流經插座的顯示器、主機數據信號，從而達到避免數據信息被還原的可能。
以上就是常見的幾種電磁禁止設備，值得注意的就是任何設備都不是萬能的，雖然可以避免絕大多數終端安全事件的發生，但是仍須使用者和管理者提起注意，防止因認為因素做出不必要的損失。再者，任何設備的增加都會不同程度的影響計算機的使用效率，但是，為保證終端安全，捨棄一部分資源作為終端及信息安全的代價也是值得的、應該的、必須的。
終端安全管理措施五：總結
到這裡，幾種終端常見的安全問題、解決辦法和安全防護設備的介紹就告一段落了。須知，人作為終端的使用者和管理者才是事件的主導因素，計算機及信息技術只是作為一種工具存在，不能因為某些人、某些因素就以偏概全，否決計算機及信息技術給我們帶來的利益及收穫。隨著技術的發展，將有層出不窮的信息技術套用於安全防護領域，對於可能發生的終端安全事件，我們應竭力避免，積極防禦，引領計算機的良性、健康發展，營造良好的網路環境。
經典案例
案例背景
近年來，稅務行業在信息化建設上突飛猛進，信息化服務能力也有了更進一步的提升，在建設逐漸完善的業務系統過程中，伴隨而來的是信息的安全、有效、合理的監管問題，怎么管理好與業務系統相伴的安全問題，是關係到整個稅務行業信息化建設進一步發展的重要因素。
某省地稅局作為稅務行業信息化建設的領先者之一，近年在安全建設上取得了一系列重大突破，各地市征管系統順利完成了由地級市集中處理模式向省級集中處理模式的轉換。省級大集中系統的全面上線，標誌著江蘇地稅稅收管理最重要的省級一體化信息平台初步建成。隨著征管系統的管理機構、工作模式、崗位職責、人員分工等變化，征管系統面臨的安全風險也發生了變化。從以往各地的風險僅僅是局部影響，到現在的互動影響，各地問題相互交替，範圍擴大，繼而影響全省；出現了各地小風險會導致全局大風險，甚至可能演變成全省災難性風險。為了能夠系統地研究分析各地自身終端信息安全，從而達到保證省級大集中系統安全的目的，依據目前安全規範要求，更需要重點關注大集中後各地終端運行安全和信息安全管控，關注應急防範處置，解決安全認識不到位、技術手段的管控力度低、信息資料的定密不清、外來人員的監控不力等問題，而基於人工方式對出現的問題和風險進行排查和處置，已無法解決人手少、範圍廣、事件多的困難局面，更無法適應面對全省征管大集中新形勢下的終端安全需要。
為解決出現的安全管理問題，某省地稅計畫建立終端安全管理體系，建設終端安全防護平台和終端安全管理平台，逐步形成具有地稅特色的功能成熟並能切實發揮作用的終端安全防護和管理平台，促進業務與安全的協調發展，滿足省級大集中後全省信息安全有效管控的需要。
案例需求
在安全教育培訓、技術防範、規章制度建立、安全檢查評估及整改等方面做了大量的工作，在一定程度上提高了終端安全管理水平。但是，終端系統數量大、套用多，加之安全管理人員少，缺乏完備的技術手段，無法掌握終端安全風險狀況，安全管理人員難以對真正緊急的事件進行快速回響。
因此，該地稅系統需要建立終端安全管理體系，通過完善相關管理制度、流程、規範組織機構職責、構建終端安全防護和安全管理平台實現以下終端安全管理功能：
實時對區域網路終端的軟硬體、移動介質、接入訪問、補丁更新、病毒防範等狀況進行統一監控； 實現對終端資產全生命周期的管理； 採集終端安全相關安全事件和日誌信息、進行整合和關聯分析，提供終端安全態勢展示； 評估終端安全風險，實現終端全生命周期的安全風險管理； 審計終端用戶行為，重點實現對第三方接入終端的用戶行為審計； 產生安全事故和告警，提供自動告警和回響手段； 接收並處理相關單位發來的終端相關的安全預警； 生成各種安全報告並及時進行應急回響； 進行終端相關安全知識管理； 為相關部門的信息安全審計和考核提供技術手段和依據，實現全區域網路終端系統的安全集中監控、審計和應急回響，全面提升該系統區域網路終端安全管理能力，提升該系統整體信息安全保障能力。 終端安全防護和安全管理平台將是該系統信息安全管理團隊非常必要的技術支撐系統之一。
案例目標
基於終端安全防護和安全管理平台的建設落實在該終端安全管理體系內，實現終端安全管理工作的信息化，為全省終端安全管理提供技術手段，提高終端安全管理、維護的水平，最佳化終端安全工作流程，縮短終端安全事件處理的回響處理時間，進而保障全省稅務業務網路、支撐網路、業務系統以及整個信息化系統安全高效的運行，系統有如下的建設方向與目標：
搭建終端安全防護和安全管理平台，實現三級機構終端管理； 建設終端安全管理體系的基本組織框架，確保終端安全管理相關工作的有效落實； 推進區域網路終端安全管理標準化：對區域網路終端的安全訪問、非法內聯、非法外聯、補丁更新、桌面管理、病毒防範等安全策略進行標準化管理。 推進安全事件管理規範化：對安全事件的採集，匯總及處理規範化管理，規範安全事件的回響措施。 終端安全策略框架和策略腳本建立，構建符合安全策略的基本運作流程，結合終端安全防護和管理平台實現區域網路終端安全維護管理流程化：對終端安全實施設備及使用的全生命周期管理、風險全過程管理和重要風險系統管理，並配合行政管理，實現終端安全管理流程化管理。 終端安全態勢可視化：對各類安全事件進行統一展現，從各種不同角度進行分析，針對不同的安全事件，提供安全預警分析。 推進區域網路終端運行管理自動化：增強終端管理的自動化，事件回響自動化，安全告警管理和安全工單自動派發。Ø 實現區域網路終端運行管理指標化：對終端安全事件量化處理，實現終端運行監測點及相關考核指標標準化。
案例建設方法
該系統安全管理平台建設從三個層面考慮：終端安全防護平台、終端安全管理平台、終端安全防護體系。
終端安全防護平台負責終端信息的採集和維護、終端安全風險的管理和防護、終端安全事件的監測和控制，為管理平台提供所需要的各類數據的採集和傳輸。實現各類安全事件的“事前防範、事中防禦、事後處理”的立體化、流程化防禦。是構建綜合的、完整的區域網路終端安全防護體系的基礎。
終端安全管理平台在終端安全防護平台提供的數據基礎上，提供安全管理人員（系統管理員、安全主管）所需要的管理、監控、風險分析功能，各類管理報表的製作，同時滿足省、市、縣分散式環境下的行業安全管理要求。是構建完整的終端區域網路安全管理體系的技術支撐平台。
終端安全管理體系由終端安全組織體系、終端安全運作體系、終端安全策略體系和終端安全技術體系構成。其中終端安全技術體系主要由終端安全防護平台和終端安全管理平台構成。
終端安全防護平台是核心組件，是終端安全管理體系的基礎部件。
終端安全管理平台在採取集中監控管理的方式，在更高層面上接收來自終端安全防護平台的安全事件和安全風險監測數據，負責對這些事件進行深層的分析，統計和關聯，提供處理方法和建議。
防護平台和管理平台採用聯合部署的方式，可以通過同機或者雙機的方式進行部署，聯合實現終端安全風險管理的有效控制。由於江蘇地稅的行業特性和網路結構，決定了在不同的網路類型上採用不同的部署方式和部署要求。在部署方式上，同機部署適用於小型網路（區縣級網路），雙機部署適用於中型網路（縣市級網路），多級聯合部署適用於大型網路（省市級網路），因為不同的網路級別安全性保障要求也不同。
該終端安全管理體系平台的總體結構如圖所示。系統由3個層次組成，包括省局、地市局（園區）和縣局（保稅區）終端安全防護與安全管理平台。
3個層次組成樹形結構，從邏輯上看，省局中心節點只有1個，地市局節點共15個（其中包括13個地市局、省局自身管理和蘇州園區），縣節點共68個（其中包括67個縣和1個保稅區）；各地市局節點連線到省局中心節點，各縣節點連線到所屬地市局節點
圖13-3 該終端安全防護與管理系統總體部署示意圖
省局中心節點：最頂層是省局終端安全防護與安全管理平台，其中省局終端安全防護平台管理全省統一安全策略，省局終端安全管理平台不僅基於省局終端安全防護平台管理省局區域網路終端，而且是全省終端安全管理平台的總中心，負責全局終端安全策略的管理和下發，接收全局上報信息，具有全省數據綜合分析和與其他系統協同聯動的功能。
地市局節點：負責本地市內終端的安全防護和安全管理工作，同時對所管轄的下級縣局安全防護平台和安全管理平台有監管功能，具體包括接收省中心策略配置或進行本地配置，收集監控信息並產生事件並上報，同時具有數據分析的能力。
縣局節點：負責本縣內終端的安全防護和安全管理工作，包括接收省中心和地市局中心策略配置或進行本地配置，收集監控信息並產生事件並上報，同時具有一定的數據分析的能力。
認證授權策略中心：負責全網所有的認證、授權、策略信息，所有伺服器的管理角色集中在一起，由省級配發區域管理許可權，區域根據自身情況進行使用者信息的管理，並且對於所有使用者信息進行區域化限定。既滿足全網管理要求的統一性，又兼顧了本地管理的靈活性，統一性保障終端信息與使用者信息，以及風險信息在全網是一致的，靈活性保障管理角色和使用者具備本地管理屬性。對所有節點的認證進行統一維護和備份，當任意節點的伺服器出現故障，可以直接從認證中心恢復認證信息。對所有節點的策略信息進行集中管控，可以保障全省安全策略的統一，也支持全省策略的地區差異化，並且上級可以掌握下級差異化的管理詳情。
所有節點都與它的父節點、中心節點以及所有的子節點進行通信。中心節點用於統一安全策略，所有節點根據策略的性質配發適用的範圍，父節點能夠對所有的子節點進行管理和查詢，包括策略套用情況、終端安裝情況、補丁安裝情況查詢和報警信息等，如果下級有選配管理中心，還可以對其進行線上考核。每個節點的認證和策略都是本地配置，這些本地配置將只影響本地的終端安全防護，不影響上級或者平級部署的平台，同時由於這些信息都在中心節點備份，所有可以實時進行同步和恢復。
在管理上漫遊屬於特殊情況，分為兩種：資產漫遊和人員漫遊。
人員漫遊比較常見，在現有的部署方案中，人員漫遊可以採用人員的管理連結方式，即人員的管理屬性不變，還是由其直屬上級進行管理，但是資源屬性支持共享，即漫遊地的上級也可以查看他的屬性，並且可以對其的認證和授權信息進行分配。
資產漫遊分為兩種：借用和設備調撥。借用時，保持資產的原有信息借用到另外區域，終端在兩地的信息都會匯總到上級，而上級進行統計和分析的時候，該終端發生的所有事件都是前後關聯在一起的。設備調撥時，根據規定會結束原有的生命周期，重新按照流程入網。
案例建設效果展示
通過該稅務系統單位與我國信息安全領先廠商天融信共同構建的終端安全管理系統，按照終端安全防護平台、終端安全管理平台、終端安全防護體系三層結構模型的建設，達到了終端風險可管、可控，安全狀態可視的效果：
實現區域網路終端的“全程全網”安全狀態可視化（Visualization）。體現在三級機構的區域網路終端系統相關安全狀態信息可以非常直觀地可視化監視，安全策略執行情況可感可知，有能力進行事後的分析和追查，提供可以“呈堂”的證據。
區域網路終端的安全風險處於可管理、可控制狀態下。對區域網路終端系統安全風險的不間斷的評估和控制措施調整，使得全區域網路終端的整體安全狀況和風險情況以定性或半定量的形式及時展現出來。幫助安全管理層和終端安全管理維護人員清晰、準確、及時的了解終端所處的風險狀況。
使全網的安全保障能力處於國內領先地位。在病毒爆發、違規操作以及其它不可預見的威脅出現時，區域網路終端安全防護和管理系統有能力及時發現，並迅速的進行回響和恢復，保障業務工作的正常運行。
保證區域網路終端相關業務活動在網路安全方面的法律法規符合性。規範、管理和審計區域網路終端安全狀態和用戶的行為，在整個體系中將建立法律法規符合性審核制度，保證終端系統安全管理工作的有效性，終端系統合法合規的使用。
