BigFix Enterprise Suite

Products and Solutions Overview

The BigFix Enterprise Suite provides a policy-based, single-agent-point-of-control for a full range of ready-to-deploy networked endpoint management solutions that enable IT governance and security compliance, software lifecycle management and uninterrupted IT infrastructure operations.

The current menu of BigFix solutions and products:

	Compliance and Reporting » Speed and simplify management of technical security controls that help enforce policies and successfully pass security audits. Automate discovery of networked assets and enforce server, desktop, and laptop configuration rules enterprise-wide to reduce time, effort, and cost to maintain ongoing compliance.
	Configuration Management » Automate change and configuration management of software for Windows, Unix, Linux and Mac OS X devices to speed service delivery, reduce operational costs and improve service levels.
	Endpoint Security and Spyware » Protect networked PCs and their sensitive information from malicious software pests, worms and viruses. BigFix solutions help provide comprehensive pest and spyware detection, reporting and removal as well as management, update, and reporting services for third-party endpoint anti-spyware products. In addition, BigFix tools to manage, update, and report on third-party anti-virus clients help close the critical 5-to-20 percent “anti-virus coverage gap” experienced by many enterprise networks.
	Inventory and License Management » Track software versions and where they are installed. Know in real-time what software is in use and when it is used. BigFix helps insure ongoing license compliance and provides the visibility to realize savings through uninstalling or re-allocating unused software.
	Network Access Control and Quarantine » Assess, quarantine and automatically remediate non-compliant endpoints before they compromise the network. BigFix seamlessly interoperates and adds value to network access control frameworks including Cisco NAC, Microsoft NAP, and other third-party products to provide a comprehensive network access control and remediation solution.
	Patch Management » Drastically reduce the time and effort required to patch distributed servers, desktops, and laptops while receiving immediate verification of patch compliance from all affected endpoints. Pre-packaged, pre-tested BigFix patch management cover Windows, Linux, Unix, and Mac OS X endpoints. Policy-based automation ensures ongoing compliance at each endpoint.
	Software Distribution and Deployment » Accelerate provisioning of new computers, upgrading of existing configurations and ongoing software distribution management through automated software distribution and update solutions.
	Vulnerability Management » Proactively assess, report, and fix security and configuration-based vulnerabilities throughout enterprise IT infrastructures in real-time. Quickly identify and remediate the most common vulnerabilities that negatively impact business operations while avoiding damage, disruption or periods of non-compliance with enterprise security policies. Policy-based automation ensures ongoing compliance at each endpoint

1 总体说明

BigFix 企业系统管理套件是 BigFix 公司研发的业界领先的企业级系统安全配置管理软件——可以为不同规模的用户提供可升级的，灵活的，强大的安全平台和分布式处理能力，实现统一的企业级/行业级计算机系统管理、配置管理和安全管理，从根本上改变计算机网络的管理模式，降低IT管理成本。无论计算机网络中的系统是服务器还是台式机和笔记本，无论这些设备在网络中的所处的位置和联网方式，都可以通过BigFix 企业管理套件实现全面、快速、高效、安全，可控的管理，全面提升IT治理水平。

2 安全定位

BigFix能够为用户提供可升级的、灵活的、基于代理技术的操作平台和自助式的解决方案，让您实现网络中每台计算机的可视化管理。网络中的任何系统（包括服务器、台式机及笔记本电脑）不管位于什么位置，使用什么样的操作系统，只要安装了BigFix代理程序，都可以准确了解其违反了哪些安全策略、存在哪些漏洞和安全配置问题，并进行及时的修复。BES可以让您决定何时及采用什么方式进行修复，保证对修复过程的准确控制，同时可对修复过程进行实时监控。

BigFix定位于：

Ø 为企业计算机类资产提供全面实时的可视化安全和配置管理。

Ø 通过提高基础平台的可靠性、可视性和可控性，在降低运行费用的同时提供更稳定的服务。

Ø 满足补丁管理和安全配置的服务等级要求。

Ø 无论计算机系统何时何地，以何种方式接入网络，在统一的平台上对分布式计算类资产进行管理，包括移动计算机和远程计算机。

BES可以带给用户多样化的解决方案，包括：

Ø 配置管理

软件分发，实时软硬件统计，配置发现和控制，License及使用状况跟踪和报告，配置策略标准化，未被BES系统管理的计算机及网络资产的发现和统一管理。

Ø 补丁管理

使用经过测试的，封装好的补丁程序实现Windows，Linux，UNIX及Macintosh系统的补丁管理。

Ø 漏洞管理

发现并自助修复SANS10大漏洞、Window系统注册表漏洞及其他安全漏洞，实现系统安全策略的统一管理。

Ø 终端安全管理

可分发，管理客户端防病毒软件（包括病毒定义升级文件）、个人防火墙及反间谍软件，并汇总其使用情况。

Ø 网络准入控制

实现基于系统安全状况的网络准入控制，自动隔离不符合安全标准的系统，修复完毕后恢复网络访问。

3 产品功能描述

BES企业管理套件提供多种系统安全及配置管理功能，所有功能可以通过模块化形式灵活集成到解决方案中，无需添加新的硬件设备和重新进行软件部署。管理员只需将新的License文件由控制台添加到BES服务器中，则服务器会激活相应功能，将对应的安全策略部署到所有被BES系统管理的计算机上自动应用。BES企业系统管理套件主要包含配置管理、补丁管理、漏洞管理、防病毒软件客户端管理、个人防火墙管理及反间谍软件客户端管理等功能模块。

3.1 配置管理

3.1.1资产管理

使用BES可以快速高效的跟踪IT资产，自动汇总网络中所有服务器、台式机和笔记本的软硬件配置信息，以便管理人员迅速确认系统为谁所有，谁在使用，系统中安装并运行了哪些程序，并是否符合组织标准操作环境。BES代理程序可以通过多种方式如：WMI，DMI，BIOS，Windows注册表, 文件系统, 安装的程序及服务, 正在运行的程序及服务, 已登录的用户，Active Directory和网络设置等获取被管理的系统上的全面信息，这些信息被提交给管理员进行进一步分析。BigFix 的资产管理功能可以使用户：

Ø 从根本上缩短企业用于实现IT资产管理统计的时间——实时汇总，更少的跟踪，更多的分析

Ø 快速掌握所有与被管理的计算机资产相关的信息

Ø 全面准确地评估企业网中成千上万台计算机，依据各自的安全状况实现及时、可控的修复

Ø 高效地计划操作系统迁移和IT产品的购买预算——通过高效、合理的分配减少时间和资源的消耗

BigFix还可以为用户提供全面细致的报告，通过集中的控制台帮助客户跟踪想了解的信息并按照需要的格式汇总。通过开放的数据库及API接口，BigFix 可以实现软硬件资产的可视化管理，为客户已有的资产管理解决方案提供及时准确的信息。

3.1.2软件分发

BES的软件分发功能可以完美的解决动态的网络环境中繁杂的应用软件及文件的部署和分发问题。BES为用户提供强大的软件分发和管理能力，使用户可以为网络中成千上万台服务器、台式机和笔记本电脑实现应用软件、补丁程序、文档及其他软件的自动化部署。通过强大的软件分发向导，BES可以立即开始、在制定时刻执行或依据策略完成软件的部署，同时不间断地对系统生命周期进行管理。BigFix强大的软件分发能力可以：

Ø 保证应用软件以可靠和高效的方式分发、安装和维护

Ø 自动实现企业级大规模的应用软件分发和安装

Ø 优化网络效率，大幅减少分发操作消耗的网络带宽

Ø 提高下载的可靠性，减少由于网络连接不可靠或连接中断给用户生产力带来的影响

无论是软件分发或部署， BigFix 都可以通过层次化的结构、调度计划部署及带宽限制等功能有效地分散网络负载。BigFix成熟的带宽管理功能支持断点续传及并行下载，可以根据系统的位置和连接方式限制执行软件部署、升级和配置变更等任务时的带宽消耗。

3.1.3资产发现

网络中游离的系统（没有安装BigFix代理且不在活动目录中或任何已知位置的计算机和路由器、交换机、打印机等无法安装代理的网络设备）也应当被识别以便于进行跟踪和维护。BES 可以在网络中指定“扫描点”，这些扫描点会扫描网段并将扫描结果发送给中央BES数据库。扫描点可以发现游离系统的主机名、IP地址、OS、MAC地址和DNS等相关信息。

BES 资产发现功能充分利用BES特有的分布式结构，具备以下优点：

Ø 提供企业范围内游离设备的可见性——可指定网络中任何一台安装了BES代理的计算机作为扫描点。这允许扫描可在数据中心、总公司甚至异地办公室进行。此外，可将扫描点部署在以前无法实现远程扫描的区域如DMZ或被防火墙保护的区域执行扫描，而不必为实现远程扫描而打开相应防火墙端口，从而影响网络安全。

Ø 快速并行扫描——多个子网可以同时扫描。因为扫描在本地子网执行而不是通过慢速的广域网连接，因此可以快速完成。

Ø 最小化广域网资源的占用——因为扫描只在本地快速局域网执行，因此可节省有限的广域网资源。当扫描完成后，报告经过压缩发送到中央数据库以备查询。

Ø 及时的资产信息发现——由扫描点发起的扫描只对网络造成极小的影响，因此可以经常运行，而不需要间隔一段时间从网络中一点扫描整个网络。扫描可以每天执行多次，以及时发现未被BES管理的网络资产。

3.1.4其他功能

授权管理员可以指导被管理系统上的BES 代理服务执行灵活的修复操作，包括执行程序或脚本，启动/停止服务，修改注册表，修改文件等等，以便于安装、升级或卸载软件、设备驱动程序和文件，解决安装及设置冲突，调整终端性能，强制组织策略配置实现。其他的配置管理功能包括：

Ø 自身健康检查

支持BES系统自身的健康检查。可定制Fixlet 消息自动修复被破坏的程序，不正确的安装和不成功的升级。

Ø 终端系统性能及健康检查

确保被BES系统管理的系统处于最佳工作状态，可轻松的完成包括清空回收站、磁盘碎片整理和调节显卡设置等操作。

Ø 策略符合性检查

禁止非授权软件的运行，中断非法进程，恢复被修改的配置，确保网络中每台服务器、台式机和笔记本都符合组织的安全策略。

Ø 发现 & 存档

获取被管理系统的指定文件，监控并存档实时短消息程序日志、防病毒软件日志，个人防火墙日志等文件。

Ø 定制解决方案

BigFix Configuration Manager 包括强大的定制工具BigFix Development Environment (BDE)，可以让用户轻松的编写Fixlet 内容，解决特殊的安全和配置管理问题，或者通过BigFix的专业服务实现客户化定制解决方案。

3.2 补丁管理

BES系统可以使管理员及时将补丁程序自动分发到网络中所有的计算机进行安装。BES可以使管理员以灵活的方式安排补丁分发：

ü 立即打补丁

ü 按照指定的日期或日期范围

ü 按照指定的时间或时间范围

ü 根据登录用户的状态—已登录, 没有登录, 不管是否登录

ü 根据机器的属性进行分发（包括操作系统、版本号，地址等）

所有的补丁操作可以在后台完成而不需终端用户干预。管理员也可以选择在实际打补丁前提示用户，并让用户选择是否推迟、取消或不安装相应的补丁程序。如果补丁在指定的最终期限内没有安装，管理员可强制终端安装该补丁。此外，通过计划任务可使管理员实现基于策略的自动补丁管理——立即或在某一时刻——为网络中所有被管理的系统或存在某种漏洞的部分系统打补丁。

系统支持同时部署多个补丁/修复程序到多台计算机。当多个修复程序要求修改同一个.dll文件时，可自动利用Microsoft QChain功能确保系统启动后只应用最新版本的文件。可针对一台或一组计算机实现补丁程序的卸载或反安装。可定义策略当补丁/修复程序没有完全安装时进行反安装或卸载。如果补丁/修复程序安装失败，管理员可以请求系统自动以指定时间间隔重新安装或系统重新启动后进行安装。

管理员可完全控制被管理系统的启动过程。可禁止系统重新启动以保证不需启动即可实现补丁程序的安装。操作完成后，BES代理程序会立即向服务器报告修复是否成功、失败、等待用户操作或需要重新启动。任何需要重新启动以完成修复安装的系统会被识别，以便于管理员指定重启动策略，包括：等待终端用户重启、定时重启或指定时间强制重启。另外，当一个或一组操作完成后，管理员可请求系统进行一次重新启动甚至关闭系统。

当缺省的重启操作被选择, 一条信息会提交给终端用户，提醒用户保存当前的工作。对于服务器来说，如果当前没有登录的用户，可以强制立即执行重启或经过一定延时后执行。管理员还可以提供更复杂的操作选择，例如假如用户延期重启时间过长，系统可以被强制在指定时刻重启。

BES代理可以实时的报告补丁实施过程的每一步工作状态，包括：

ü 代理程序接受的操作请求

ü 哪些需要的补丁文件正在被下载

ü 执行最终的评估以确定计算机的确需要该补丁

ü 补丁程序正在被部署到计算机

ü 操作已经完成—修复成功, 修复失败, 等候重启等等

如果安装补丁程序失败，管理员可以方便地了解在哪一步操作失败并进行重新部署。

3.3 漏洞管理

借助于BES系统强大的终端管理和控制能力，不仅可以简化补丁管理过程，还可以为Windows系统提供即时的，经过检验的漏洞修补方案。BigFix漏洞管理解决方案可以：

Ø 提供预打包，预测试的漏洞修复方案

Ø 自动实现Windows系统的实时漏洞检测和修复

Ø 大幅减少用于研究、打包、测试及部署修复程序的时间

Ø 自动执行Windows系统的安全配置

Ø 提供企业网络中所有系统当前漏洞状态的实时报告

通过BES的漏洞管理模块可实现对SANS最常见的10大Windows安全漏洞，Windows注册表漏洞及其他安全漏洞的自动侦测和修复。此外，还可以不间断的监控网络中的Windows台式机、服务器和笔记本电脑，确保它们符合安全最佳实践和组织安全策略的要求，并简单快速地修正不符合要求的配置。安全策略管理的内容包括：

Ø IE 及Outlook安全配置检查

Ø 发现并禁用系统中的非授权外设（串并口、光驱、软驱、无线网卡、Modem，移动硬盘等）

Ø 网络共享的检测及管理

Ø 屏幕保护设置

Ø 清空虚拟内存页面文件

Ø 启用文件系统加密

Ø 关闭非授权的服务（DHCP，DNS，IIS等）

Ø 管理员账户口令强度检查等

3.4 防病毒软件管理

反病毒软件需要经常升级病毒定义库以及病毒扫描引擎，如果不具备最新的病毒定义库，反病毒软件无法查杀最新的病毒程序。另外，如果反病毒软件没有开启实时扫描功能，也无法提供有效的安全防护功能。BES的Agent可以监控反病毒软件客户端的工作状况，提供以下功能：

Ø 检查客户端是否安装了反病毒软件

Ø 远程安装反病毒软件客户端程序

Ø 检查反病毒软件扫描引擎和病毒定义库是否是最新版本

来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/7868752/viewspace-872682/ ，如需转载，请注明出处，否则将追究法律责任。