Symantec endpoint protection 11的新技术详细剖析与介绍

zhanyuchenbobo

前言

SEP 是业界整合最齐全安全元件的端点安全防护方案。经过严密的修正与改版后目前最新的版本是MR4版。(MR4=Maintenance Release 4=维护版本 4)。


在MR4改进最多的地方就是效能与侦测率。尤其，大中华区的安全机制应变中心效益明显展现。在各项侦测率的评比中，侦测率已完全脱胎换骨，同时也没有其它厂牌的高误拦率的问题。透过良好的安全政策设定，它是目前最有效的随身碟的安全防护方案。另外，铁壳也是从1999年以来，超过四十次并且每次都通过VB100 测试通过的唯一厂商。


经由MR4的上市，我们希望提供用户更安全可靠且无负担的端点安全方案。值得一提的是，SEP虽然有六大安全功能，并没有想像中那么难驾驭，如您有使用SEP的相关问题，保安资讯提供的相关资源与协助，甚至已经设定好的安装套件都能马上改善端点的安全问题。

* 在这份文件中，我们将说明:
  o SEP 有那些防护功能?六大安全功能，不止防毒而已?
  o 由SEP使用者介面可到有那些防护功能?
  o SEP MR4 新功能说明侦测率重返第一名的大功臣-大中华区的安全机制
应变中心。
  o SEP与旧有的企业版本有何差异?
  o 安装企业版SEP/SAVCE/SCS常要注意的地方?一般人常会混淆的地方?专用名辞解释。

[ 本帖最后由 zhanyuchenbobo 于 2009-8-28 09:35 编辑 ]

zhanyuchenbobo

SEP 有那些防护功能?
         
SEP 不是一般的单一功能防毒系统。它有以下的六个内建及一个选购的安全功能。

    * 防毒及防间谍程式的功能。
    * 个人防火墙与入侵防护的功能。
    * 装置控管与应用程式控管的功能。
    * 网路存取控制-NAC的功能(选购项目)。

zhanyuchenbobo

* SEP Mr4防毒及防间谍程式的功能说明:
      如果您因为电脑效能较低的关系(例如，记忆体在256MB以下或CPU较老旧)，也建议您使用只启动防毒及防间谍程式的功能新版的SEP。因为SEP 的防毒比SAVCE 的防毒有以下的增强功能:
          o 新增移除核心层级rootkit 的功能:
            SEP采用全新的作业系统层级而非应用程式层级的进阶Raw Disk Scan 技术-VxMS的专利技术。具备可直接对硬碟磁区(Sector)进行读取之VxMS(Veritas Mapping Service)技术。能侦测并移除核心层级的rootkit。其它防毒软体是透过Windows的API去呼叫扫描的档案，如果API也被植入 rootkit了，那么就有很高比例扫不到真正的Rootkit。VxMS的专利技术是可以直接跳脱API对磁碟直接作扫描。VxMS原先是 Veritas 的专利技术，目前已与Symantec合并。
          o 更频繁的病毒定义更新的频率:
            SEP的更新，一天至少三次。而SAVCE是一天一次。对于当今一天平均增加10，000支新病毒而言，会比SAVCE减少中毒的空窗期。另外这三次更新，都是指已经被原厂正式验证过的、正式的、极低误判的病毒定义档。赛门铁克也提供另一种模式的病毒定义档更新机制:Rapid Release(快速释放)的病毒定义档-一天约有一、二十次不等。就是在最短的时间内，把用户送交的病毒样本分析并提出解药(就是有用的病毒定义档)，但是，是没有经过验证过的。除非有必要，不建议在用户端的环境使用Rapid Release，因为为数众多的用户端万一有误判会造成许多的风险与成本。邮件主机或邮件闸道，可透过良好安全的管理政策，使用Rapid Release，以增加安全等级。
          o 建立大中华区安全机制应变中心(Symantec Security Response-前身为病毒研究中心):
            赛门铁克于2008年3月于中国的四川成都建立亚太地区的第二座安全机制应变中心。(亚太区的第一座是在日本)。由于网路威胁形态在过去几年的改变。过去大规模爆发、影响范围全球性的病毒已渐渐少见，而在地化、区域爆发的网路威胁有渐取而代之的现象。例如在中国大陆延烧，并影响部分台湾使用者的熊猫烧香与后来出现的金猪拜年等病毒，即是以华文区为主要影响范围。而近日赛门铁克曾发布警告、伪装成私密照片藉MSN传布的木马程式，亦主要在华文区传散。此一现象也促使资安公司在各地设立研究团队或架设诱捕系统，捕捉不同区域的新型威胁。大中华区安全机制应变中心成立后的明显成效就是从2008年下半年起，赛门铁克在各种病毒侦测率的排行榜中，有让人眼睛一亮的表现。某些数据甚至比K牌还高。而一直以来业界最低的误判率还是保持一路领先。
          o 赛门铁克的病毒侦测率已重返第一级的水准:
            您可以由第三方公正单位网址: www.av-comparatives.org/seiten/ergebnisse_2008_08.php 证实最新的赛门铁克病毒侦测率改善非常多的事实，其它厂商巧妙设计引用的数据是之前最坏的状况，有许多不是事实。除此之外，SEP 的功能不只是防毒(有6大功能)，并且误栏率一直以来都是最低的。

zhanyuchenbobo

* SEP Mr3个人防火墙功能说明:
      无庸置疑地，Sygate的个人防火墙是最好的，不管由使用者的经验或专业市调公司的数据。在并购Sygate后，SEP当然就采用Sygate 的个人防火墙，而不是Symantec原生的个人防火墙。操作设定容易、简单易懂是它的特色。

      SEP独家的位置感知(Location awareness)的功能。能自动判断电脑所在的地点，自动切换合适的安全政策，例如;在办公室内可以自动不启动防火墙，而离开时就自动启动，可以保障在风险较高的地方(例如，公开的无线基地台，不安全的网路环境)电脑不会受攻击或资料外泄。安全政策包含SEP所有6大功能的政策，而不只是防火墙政策而已。
          o 防火墙支援为特定通讯埠和特定应用程式写入的规则，并对所有网路流量使用状态检查。因此，对于由用户端起始的所有网路流量而言，您只需要建立支援该流量的出埠规则。状态检查会自动允许回应出埠流量的传回流量。
          o 防火墙完全支援 TCP、UDP、ICMP 和所有 IP 通讯协定 (如 ICMP 和 RSVP)。防火墙也支援乙太网路和 Token Ring 通讯协定，且可以拦截通讯协定驱动程式，如VMware 和 WinPcap。防火墙可自动辨识合法的 DNS、DHCP 和 WINS 流量，因此您可以勾选核取方块，允许此流量，而不写入规则。
    * SEP Mr3入侵防护(IPS)功能说明:
      SEP是业界整合IPS功能最齐备的产品，兼具网路型(Network-IPS)及主机型(Host-IPS)的功能。网路型的IPS主要的技术有三种，分别来自原先Symantec Client Security 的GEB(Generic Exploit Blocking)弱点型IPS技术，(Deep packet inspection)深层封包检测IPS技术，以及源于Sygate的可自订特征的IPS技术(SNORT-like)。主机型IPS是采用业界最低误拦率的WholeSecurity 的TruScan主动威胁防护技术。

      所有的防毒软体都是透过病毒定义档的更新才能侦测到新的病毒，赛门铁克提供无需更新病毒定义档的漏洞型防护能力能有效防护漏洞被公告后的变种病毒。而TruScan 的技术是基于多重运算分析的行为模式侦测技术，无需依赖漏洞被公告就能侦测到最新的病毒，并且有业界最低的误判率(百万分之四九)。

      一般而言，新的病毒被发现到提供解药(病毒定义档更新)约至少需三个小时。而GEB约在漏洞被公告的24小时内会提供特征更新，Truscan 则没有以上两种的空窗期。
          o GEB(Generic Exploit Blocking)弱点型IPS技术:
            有鉴于特定漏洞(vulnerability-based)病毒的变种一日数变，单靠病毒定义档的更新已无法有效防御此类型的攻击，Symantec 在Client Security产品开始就采用这个GEB技术-理念来自于只有特定的钥匙才能开启特定的锁头。任何的钥匙只要与真正的钥匙相似的，锁头就有被打开的危机。GEB能侦测并拦截可疑的封包。明显的成效是无需更新病毒定义档就能侦测并拦截814种疾风病毒(Blaster)的变种，394种杀手病毒 (Saser)的变种以及所有漏洞型的变种病毒。
          o TruScan主动威胁防护:
            主要撷取自Whole Security的TruScan，核心技术是赛门铁克前瞻回应的线上网路(SONAR；Symantec Online Network for Advanced Response)明显提升恶意软体的检测能力。SONAR是一种行为侦测的技术，其可以在建立病毒定义档及间谍软体侦测定义档前，阻止恶意程式码侵入。这些新兴且未知的恶意程式码会透过木马程式、蠕虫、大众邮件病毒、间谍软体或者下载软体病毒的形式进行攻击与破坏。当许多产品仅使用一组有限的启发式法则时，SONAR可以透过广泛且异质的应用行为数据，大幅提升其防护能力，且明显地将误判率降至最低。行为模式安全防护技术透过其行为及特征来判别网路威胁，包括病毒虫、特洛依木马、键盘侧录程式及网路钓鱼网站等。Whole Security的技术专长在于分析病毒虫及其他恶意程式的行为模式，不需倚赖传统安全特征即可即时抵御网路威胁。透过成千上百的侦测模组，来判定此网路活动程序或网站是安全的还是有害的。透过分析未知威胁的行为，此基于行为模式的安全技术不需要仰赖传统特征及修补程式，就能立即侦测并减缓未知威胁的影响，因此能够有效保护用户，避免遭受零时攻击（zero-day attack）。TruScan 比其它防毒品牌的行为侦测技术的差别在于，TruScan 的低误判率只有百万分之四。所以不会有像他牌防毒软体侦测率变高误砍率也变高。最明显的效益是每个月能侦测超过1，000种，其它前五大防毒软体无法侦测到的新病毒。

zhanyuchenbobo

* SEP Mr3 装置控管与应用程式控管功能说明:
          o 应用程式控管除了会对现行应用程式之存取行为与密码登录，进行监控及管制外，管理者亦可直接对任何不法或恶意程式之使用加以拦阻，同时也能阻挡对特定权限之档案或资料夹的非法存取动作。由于当前恶意攻击采用模组化工具的情况相当普遍，骇客多半藉由载入DLL模组来取得应用程式的完整控制权限，以作为进一步攻击的基础。对于此类可能威胁，SEP 11.0提供模组与DLL载入控管机制来加以拦阻。
          o 在装置控管方面，SEP 11.0主要依装置类型及装置采用之连接埠类型加以控管，举凡USB、红外线、蓝牙、序列埠、平行埠、1394、SCSI及PCMICA等各种连接埠，皆可列入控管范畴，其中尤以USB介面的储存装置为列管重点，除了USB键盘及滑鼠会预设保留通过外，管理者可以将特定外接式储存装置，设定成只能读而不能写，抑或完全不能使用等限制；此外，亦可针对印表机的列印行为及权限进行控管。装置控管解决方案，市场上也有独立的解决方案，或是内含于防止资料外泄 (DLP)的方案中，不过价格与SEP 相较后，SEP显得太便宜了。
          o 透过正确设定的装置控管与应用程式控管功能，是目前所有防毒软体中，唯一有效侦测及避免感染随身碟病毒的方案。

zhanyuchenbobo

由SEP使用者介面可到有那些防护功能?
         

开启使用者操作介面后，会看到以下的功能项目:

    * 防毒和防间谍软体防护(防毒及防间谍程式的功能)。
    * 主动型威胁防护(某些装置控管与应用程式控管的功能)。
    * 网路威胁防护(个人防火墙与入侵防护的功能)。
    * 网路存取控制(网路存取控制-NAC的功能(选购项目))。

    * 防毒和防间谍软体防护。
      新增了 Rootkit 侦测和移除功能，同时也改善了资源所占的记忆体大小。Symantec Endpoint Protection 用户端可以同时扫描病毒和安全风险，如间谍软体或广告软体。这些风险可能会将电脑和网路置于危险之中。防毒和防间谍软体扫描也会侦测核心等级的 Rootkit。Rootkit 是任何试图在电脑作业系统藏匿的程式，可能会被用于恶意的企图。
    * 主动型威胁防护。
      新增了无须依赖特征的零时差攻击威胁防护。它也提供方式来拦截或限制用户端电脑上的程序或硬体装置。「TruScan 主动型威胁扫描」可提供零时差攻击防护。零时差攻击防护是指可以防范不明威胁或漏洞。「主动型威胁扫描」可以检查电脑中疑似恶意行为的作用中程序。由于不明威胁没特征可加以识别，因此主动型威胁扫描会标示可疑的行为，识别潜在的风险。
    * 网路威胁防护。
      提供规则型防火墙和入侵预防系统，以防止入侵攻击和恶意内容侵犯用户端电脑。网路攻击是利用电脑传输资讯的方式进行的。Symantec Endpoint Protection 用户端可以藉由监控进出电脑的资讯，以及拦截可能的攻击来防护您的电脑。资讯会以封包的形式在 Internet 上流通。每个封包都有一个表头，其中包含传送端电脑的相关资讯、设定的接收端、封包中资讯的处理方式，以及应该接收封包的通讯埠。通讯埠是一种通道，用来将来自 Internet 上的资讯流分为数个路径，让个别应用程式进行处理。Internet 应用程式在电脑上执行时，会监听一个或多个通讯埠，并接受传送到这些通讯埠的资讯。网路攻击即是利用特定 Internet 程式的弱点。攻击者会使用工具，将包含恶意程式码的封包传送到特定通讯埠。如果容易遭受这类攻击的程式监听该通讯埠，程式码便会让攻击者存取、停用，甚至控制电脑。用来进行攻击的程式码可能存在于一或多个封包中。用户端安装时即已预设好「网路威胁防护」的设定。在大多数情况下，您无须变更设定。保留设定一般不会有问题。不过，如果您对网路有深入的了解，可以视需要变更用户端防火墙，微调防护功能。
    * 网路存取控制(选购项目)。
      Symantec Network Access Control 用户端会评估电脑是否受到适当保护并遵从政策，才会允许它连线到公司网路。用户端会确保您的电脑遵从管理员架构的安全性政策。安全性政策会检查电脑是否执行最新的安全软体，如防毒和防火墙应用程式。如果电脑没有执行必要的软体，那么您或用户端就必须更新软体。如果安全软体不是最新的，电脑可能会遭到拦截而无法存取网路。用户端会执行定期检查，确认电脑是否仍遵从安全性政策。

zhanyuchenbobo

MR4 包含下列主要强化功能：

    * 改善用户端效能:
      产品优势：用户端的程式码已最佳化，可减少启动期间的磁碟活动量与资源使用量。由于用户端效能已获得最佳化，因此客户会发现到 SEP 启动时间缩短，而其他应用程式的使用经验也得到改善。
      实际效益:在XPP 开机的速度比第一版的SEP快了约420%。也比Mr3快了100%，也比其它品牌的企业版防毒体快许多。不管在执行程式或浏览网页也比其它品牌的企业版防毒体快许多。
    * 改善管理伺服器效能:
      Symantec Endpoint Protection Manager 目前会利用较少的系统资源来执行标准功能。它降低了SEPM 对伺服器效能的影响，以确保将系统上执行的其他应用程式与服务的影响减至最低。
    * 更高的弹性控制:
      更高的「有限系统管理员」角色的精细存取控制，可提供更大的管理权限指派弹性。
    * 改善扩充性:
      由于「群组更新提供者 (Group Update Provider，简称 GUP)」的扩充性获得改善，因此也增加了向 GUP 提报要接收内容更新的用户端数目。此外，还有其他架构选项可用以自订内容量与磁碟空间大小，让 GUP 得以平衡已离线很长一段时间之用户端的更新需求。
    * 虚拟化支援:
      随机执行用户端为了取得更新内容而与 SEPM 的连线。如此一来，就能尽可能避免由于 SEP 用户端同时在不同虚拟机器上下载新内容所造成的繁重磁碟读取与写入负担。使内容的下载更精简，而虚拟化更容易。
    * 其他功能：
          o 进阶支援采用 DHCP 架构的 NAC 技术。
          o 电脑状态与用户端检视的修改。
          o 透过 LiveUpdate 自动下载最新版的 SEPM 主控台。

zhanyuchenbobo

SEP与旧有的企业版本有何差异?
         

    * SEP 的前一个版本是SAVCE 10.X版本及SCS3.1X版本。
    * SEP 就是Symantec Endpoint Protection赛门铁克端点防护的简称。SEP可以说是SAVCE+SCS+Sygate+Veritas+Whole Security 的多功能整合式安全软体，有六大安全功能而不再只是单一功能的防毒软体。管理架构采用网页模式并支援资料库，而原先的SAVCE/SCS 是采用MMC架构，可以说完全不同。
    * SAVCE 就是Symantec AntiVirus Coroprate Edition 的缩写。就是赛门铁克企业版防毒的简称。
    * SCS 就是Symantec Client Security 的缩写。就是赛门铁克用户端安全解决方案的简称。
    * 这两个(SAVCE/SCS)产品目前都还有持续推出更新版本，而不只是提供病毒定义更新。就最新版的SAVCE 部份，目前主要分为支援VISTA与否分为10.21版本(也有人称它为10.2的Mr1修正版，新增支援Vista 32bits/64Bits 及Server 2008)及10.17版本(不支援Vista及Server 2008)。实际上，在10.21版的安装光碟内，就有几个不同的目录代表不同作业系统的安装档。例如；\SAV，\SAV64代表非Vista 以外的作业系统。\Vista，\vista64就是代表Vista 的作业系统。64则代表64位元的作业系统。Vista及XP 皆有32及64Bits 之分别。
    * SCS目前最新版本为3.1.7版，是不支援Vista的。SCS可以说是SAVCE+用户端防火墙+入侵防护的第一代整合式端点安全方案。
    * SAVCE 10.2x 是只支援Vista 的。
    * SAVCE 10.1x 是只支援XP/2000的。
    * 如果您要使用Win98或NT 的则要使用更早的版本(9.x 或8.x)。某些较早的版本目前还有持续提供手动更新服务。
    * SEP 的主控台是无法控管SAVCE/SCS的用户端。反之亦然。
    * SEP 的状态显示栏位:如果6(7)个安全功能都有安装的话，应该会看到: 防毒和防间谍软体防护,主动型威胁防护,网路威胁防护,网路存取控制等四个拦位的状态。除防毒和防间谍软体防护的定义档会每天更新(至少三次)外，其它的定义档不一定每天会更新。

zhanyuchenbobo

安装企业版SEP/SAVCE/SCS有何要注意的地方?一般人常会混淆的地方?
         

    * 什么是防毒用户端与防毒伺服伺服主机?
      在企业版防毒系统中，防毒伺服主机是最核心的角色-它能提供企业整体电脑防毒的中央控管、稽核、安装、更新以及强制政策等作业。一般人拿到安装光碟，会错误地以作业系统的版本作为安装用户端或伺服主机的依据。例如;在Windows Server 上会安装(管理)伺服器，这往往是不正确的。除非这台Windows Server 是要当防毒伺服器，否则也只需安装用户端。另外，在一般的伺服主机中(如file /AP/database/Mail server)虽然也是安装防毒用户端，但其防毒的政策(选项/设定)与一般工作站是不同的，必需经过特别的设定，否则可能会造成一些困扰或损害。
    * 光碟自动执行安装程式:
      SEP 的安装光碟具有自动执行的功能。透过图形化介面，可以安装SEPM(Symantec Endpoint Protection Manager-就是防毒(安全)伺服主机)及用户端。由安装光碟直接安装用户端的方式，由于安全政策非常严谨，而且也不开放使用者自行更改选项设定。所以安装之后，会造成使用者绑手绑脚的不方便，基本上不建议这种安装方法。正统的标准安装方法是经由SEPM 来远端派送安装或由SEPM 生成已正确设定安全政策的安装套件(Package)经由直接双击滑鼠安装/网页下载连结安装/自动登入安装/第三方派送软体安装等。由保安资讯提供的 SEP Mr3 安装DVD已包含了多个不同安全政策的用户端安装套件，就能直接安装，非常方便。
    * 管理主控台:
      管理主控台(Console)与管理主机(Manager)基本上是不一样的，但在安装SEPM的时后就把这两个元件都安装在那部防毒(安全)伺服主机了，所以一般人不太能理解。管理人员经由远端的电脑也能管理防毒(安全)伺服主机，远端的电脑就称为管理主控台(Console)。
    * 一般伺服主机:
      在一般的伺服主机中(如file /AP/database/Mail server)虽然也是安装防毒用户端(不是安装防毒伺服主机)，但其防毒的政策(选项/设定)与一般工作站是不同的，必需经过特别的设定，否则可能会造成一些困扰或损害。
      请勿因为作业系统是Server 的版本，就在那台Server 安装角色为防毒(安全)主机模式，基本上它还是一部防毒用户端。而且它的防毒(安全)政策是要特别调校的，通常与一般工作站上的政策是不一样的。
    * 防毒用户端与防毒主机的通讯:
      防毒主机与防毒用户端会定期或依需求相互通讯。如果任何一方有启动防火墙就需要作正确设定，否则无法运作正常。在主控台的用户端资讯可明确地知道用户端与伺服主机端的即时与连线状态。
    * 管理模式与单机模式:
      管理模式也称为受控管模式，也就是用户端的安全政策是被主机强制执行与监控的。一般而言，在受控管模式用户是无法自行更改或变动一些设定的。例如，某些用户会自行停用防毒的功能，这样就很容易造成有装防毒还中毒的状况。开启原先被关闭的 USB的功能，也很容易中了随身碟病毒及资料外泄。关闭防火墙就有可能被骇及资料外泄。总之，标准的企业环境还是强烈建议使用受控管模式。
    * 安装套件:
      不管是新版的SEP 或是原先的SAVCE或SCS，都可经由中央主控台(SEPM或SSC)来生成可直接安装并且已经设定好政策与功能选项的安装档，让使用者就能直接安装而无需系统管理员协助。
      我们可以这样讲，安装套件就是已经设定好功能及选项的可直接安装档。
      当您由SEPM主控台来生成安装套件时，可以经由详细的操作介面简单快速设定许多功能。例如;指定用户端为受控管(受管理)模式，这样就可以从管理主机即时强制政策，像紧急更新病毒订义档或启动防火强规则，也可由主控台就明确知道那些电脑一直出现病毒威胁或使用者尝试关闭或改变安全元件的状态。
      对于无法授控管(受管理)的电脑也可以生成各种所需的安装套件。例如，六大功能全启动的、部份功能启动的、USB完全不能用的或只能读不能写的、使用者完全不能自行改变设定的…，也就是在主控台能设定的，就能生成安装套件。
      在企业或学校内，就可以将各种安装套件存放在使用者容易存取得到的地方，像，网页连结或烧成光碟等，让使用者就能直接安装而不需要管理人员协助。当然也能跟AD配合，让一登入AD就能自动安装。
    * Liveupdate 主机:
      所有赛门铁克的产品都能透过Internet 自动更新，而这个更新的功能就是Liveupdate-它同时也是软体业第一个能自动而无完全需人力介入的更新机制。Liveupdate 的更新机制是由用户端向更新主机(Liveupdate主机)下载更新档，所以一般称为拉(Pull)的更新技术。赛门铁克在全球架构成千上万台的 liveupdate主机，并且用户端还能自动选择最佳化的更新主机以获得最快速的更新。经由绵密的模组化增量更新的机制及全球为数最多的主机与频宽，赛门铁克的更新速度是被公认最快的。
      在电脑数量较多的环境如果每一部电脑都独自经由Internet去更新病毒定义档或其它修正档，会占用非常多Internet的频宽。同时也让整体更新的速度变慢而影响最新威胁的防御能力。也就是说就有可能因为更新不及而中毒或被攻击。
      而内部Liveupdate主机的功能就是在企业内部建置一(或多)部的更新主机，其扮演的角色就跟在Internet上的主机一样，让内部的电脑都来这部主机更新，而无需直接连接至Internet。如果更新档只有100K，则只需由Internet下载100K到这部主机，而内部的所有电脑不需要连接至Internet，对频宽的节省非常的大，而且更新的速度也快N倍。因为内部电脑到这部更新的主机是走内部的乙太网路-100/1，000Mbps，而 Internet 的频宽要超过10Mbps就要很高的成本。
      Liveupdate主机较适合于电脑为数众多，而又不受控管的模式。像学校中的宿舍。如果能接受控管的模式，则透过防毒(安全)主机的主动派送(Push)则更能即时掌控所有用户端的更新状态。
    * 隔离所:
      许多人认为档案如果经由防毒软体扫描后还有毒就应该将它删除，不能继续存在电脑里面，以免再度感染，这好像是不错的作法。可是如果这些有毒的档案是非常重要的，例如，订购单/电子邮件的备份/专利的图档/足以影响诉讼胜败的证明文件等重要档案。您是决定要永远删除，还是先将它放在一个隔离区，若有需要用它时可以将它释放出来。这就是隔离所的由来。隔离所还有一个功能是，当初被扫描出来有毒的档案，在当下知道它是有毒的，可是当时的病毒订义档是无法修复的，在经过几个版次的更新之后，就能完整的修复。所以在更新病毒码之后，使用者往往被防毒软体询问是否要尝试修复隔离区的中毒档案，就是这个缘故。
      曾经碰过刚接触企业版防毒的新手管理者，为了要验证赛门铁克的企业版防毒软体有多强，就上网执行免费的线上扫描，结果就有约一分钟内连续扫描到近30支的病毒，就直接向主管回报这是赛门铁克扫不到病毒的事证，差点就被误解与冤枉。这是因为它扫到隔离区的中毒档案。
      当然经由防毒的政策设定，您也可让它只要有毒就直接删除而不转到隔离区去。对于重要的电脑或重要人物使用的电脑，还是将它先转到隔离区去，毕竟保留还可以使用的有毒的档案在一个独立的隔离所，还是利多于弊的。
      隔离所有分为本机的隔离所及中央集中控管的隔离所。后者是在受控管模式的用户端后送的一个集中的隔离所，也可自动后送给赛门铁克的病毒研究中心，以加快病毒样本的收集与病毒定义档的更新。
    * 安装方式:
      不管是新版的SEP 或是原先的SAVCE或SCS，都是企业版的解决方案-比一般单机版多了一些管理及中央控管的元件需要安装。在中央控管的防毒(安全)主机，也能远端派送安装用户端。
      在用户端的安装方面，原先的SAVCE或SCS的安装光碟直接自动执行用户端安装是可行的，但在SEP 就不建议。因为SEP的安全元件有6(7)个，透过自动执行的内定安全政策过于严谨，也无法改变。往往会影响现有的操作环境，往往会让用户觉得这个产品不好用。
      由SEP主控台设定良好而生成的安装套件是建议的安装方法之一。它可以让使用者简单容易地安装，并且安全等级比单独的防毒软体强许多。
      所有的用户端安装方法不外乎，推(Push)及拉(Pull)两种。由主控台远端派送安装的就是-推(Push)。由使用者自己安装的，不管安装套件是在光碟，网页连结或网路储存空间的，都是属于-拉(Pull)。
      保安资讯已提供合法用户常用的安装套件，可以免除中小企业IT资源不足的困扰。有需求请与我们连络。
    * 病毒定义的更新方式:
      赛门铁克的防毒(安全)软体的常用更新方式分为以下几种:
          o Liveupdate 线上自动更新:所有赛门铁克(Symantec)或诺顿(Norton)的产品都内建自动连线到internet 更新主机下载更新档并自动执行更新安装的功能，这就是Liveupdate。在同一台电脑中同时安装多种赛门铁克(Symantec)或诺顿(Norton)的产品，也会在执行Liveupdate 的同时，一起被更新。除了直接连到 Internet 下载更新以外，中大型组织也能在内部架设一部或多部Liveupdate 主机，以减少对外频宽的消耗。
          o 由防毒(安全)主机派送:不管是新版的SEP 或是原先的SAVCE或SCS，都建议建置采用集中控管的模式。这样防毒(安全)主机就能帮用户端主动更新病毒订义档(防火墙规则，入侵防护的特征档)。
          o 智慧型更新程式(intelligent updater):碰到无法上网要如何更新病毒定义档呢?可以利用手动下载智慧型更新程式的方式- intelligent updater。它是一支内含完整的病毒定义档的档案，执行后能自动解压缩并将更新的档案安装到正确的路径，完全不需要人力介入或要求选择路径。特别注意的是，不同的产品或版本可能会有不同的智慧型更新程式。SEP的就与SAVCE/SCS 都不同。而且，透过智慧型更新程式，只会更新SEP 的病毒定义档而已，主动威胁防护及网路威胁防护的定义档是不会被更新的。

zhanyuchenbobo

看得人多，回贴的少，郁闷啊~