联邦桌面核心置配.pptVIP

FDCC简介 联邦桌面核心配置计划（Federal Desktop Core Configuration)由美国联邦政府提出，称为FDCC。 该计划由美国联邦政府预算管理办公室(OMB)和美国国家标准与技术研究院(NIST)共同负责实施，旨在提高美国联邦政府所使用的Windows的安全性，并使联邦政府的桌面计算机的安全管理实现标准化和自动化。 美国国土安全部、美国空军、美国国家安全局、美国国防情报系统机构等参与制定，是美国国家网络安全综合计划（CNCI)的一部分。 FDCC强制规定，联邦政府使用的所有Windows计算机必须符合一定的标准化配置要求（对windows XP、Vista、IE和Office作出了具体规定），原因是为了减少黑客访问和利用政府电脑的机会。 基于SCAP标准进行自动化检查与评估。 FDCC的起源 最早起源于美国空军实施的标准桌面配置（SDC）。美国空军在435，000个终端上配置SDC，并进行了10个月的试验性测试，两年内全面投入使用。 标准桌面配置（SDC）中采用的安全配置主要基于微软发布的操作系统安全指南。 FDCC实施效果 实施FDCC以来，美国空军节省了1亿多美元 精简了8000多名信息技术人员，呼叫服务的次数减少了40% 补丁安装的时间从57天下降到3天 每年预期节约能源1500万美元 加强了基础结构优化 FDCC的形成 在美国空军成功部署SDC后，美国行政管理和预算局向所有联邦机构发布了关于采用以下做法的备忘录： 采用Windows XP、Vista的标准配置 限制用户的登录权限 根据美国空军SDC实施FDCC中定义的安全标准 实施FDCC的意义 提高一致性 简化部署 简化了网络管理和工具的复杂性 增强安全性 减小了标准用户的管理权限，要求启动防火墙 有效防止用户调节降低系统的安全性 降低运维成本 需要的信息技术支持人员大大减少 系统更新的测试和安装时间大大缩短 FDCC主要内容 FDCC的核心是制定美国联邦政府Windows桌面计算机的安全配置标准，又称为FDCC安全基线。目前美国标准技术研究院已发布基于Windows XP和Vista操作系统的FDCC安全基线。 同时为支持FDCC的规划、测试和部署，微软推出了多个配套实施工具。 一 FDCC安全基线 FDCC安全基线对windows XP、Vista、IE和防火墙的安全配置作了具体规定。 其主要关注四个要点： 一是删除管理员和超级用户权限； 二是启用防火墙； 三是将FDCC设置应用与Windows和IE； 四是随时进行配置管理。 二 FDCC安全配置包 为方便FDCC的测试、部署和应用，美国标准技术研究院发布了四种形式的FDCC安全配置包，分别是： （1）安全配置策略电子表格 该配置包以Excel表格的形式列出了XP和Vista的安全配置策略，主要列出策略路径、策略配置名称、Vista/XP环境下的配置值、注册表设置、配置标识、策略描述等内容。 （2）组策略对象（GPOs） Windows安全策略主要是以组策略形式进行配置和管理，因此美国国家安全标准技术研究院提供了FDCC的组策略对象配置包，以便用户直接用组策略控制台或组策略加速器等工具部署和应用FDCC的安全配置。 （3）虚拟硬盘（VHDs） 虚拟硬盘配置包提供了FDCC的虚拟运行环境，用户可以在当前操作系统上直接运行该虚拟环境，以便进行软件兼容性和适用性方面的测试和评估。因此虚拟硬盘可作为FDCC的测试工具。 （4）安全内容自动化协议内容（SCAP Content） FDCC提供了用于自动化配置检查的安全配置包SCAP Content。该配置包采用XML格式，描述了XP、Vista、Windows防火墙和IE7的配置检查项，可以通过实施自动化检查，提供第三方的安全配置合规性评估检查。 安全内容自动化协议（SCAP） 三 FDCC配套实施工具 微软提供的FDCC配套工具主要用于FDCC的测试、评估和部署。 （1）虚拟机 虚拟机主要用于应用程序兼容性和开发测试。 （2）微软评估和规划工具 微软评估和规划工具（MAP）主要用于评估当前信息技术基础设施情况，从而确定是否可满足需求的系统移植技术方案。 （3）应用程序兼容性测试工具 应用程序兼容性测试工具（ACT）属于生命周期管理工具，通过测试分析兼容性指标数据，合理化虚拟组织应用程序、网站和计算机终端等应用资产 （4）微软布署工具 微软布署工具将桌面和服务器所用布署工具和过程集成为一个通用部署控制台。 （5）组策略部署工具 组策略加速器可以自动生成安全配置部署所需的组策略对象，比托运配置过程节省大量的时间和工作量。 FDCC实施方法 准备 分析安全目标和安全需求，评估安全配置要求及实施FDCC对本机构的影响 检查设备及软件情况