簡介奇安信天擎終端安全管理系統(tǒng)管理員手冊面向企業(yè)終端安全運(yùn)維人員、系統(tǒng)管理員及安全初學(xué)者提供從產(chǎn)品認(rèn)知到部署落地的完整指導(dǎo)。手冊圍繞產(chǎn)品簡介、主要功能、典型部署場景與部署形態(tài)四大模塊展開涵蓋終端安全管理、惡意代碼檢測、網(wǎng)絡(luò)攻擊防護(hù)、數(shù)據(jù)加密與身份驗(yàn)證等核心能力并詳細(xì)說明互聯(lián)網(wǎng)絡(luò)、隔離網(wǎng)絡(luò)、多級級聯(lián)及高級版EDR等部署方案以及單機(jī)與集群兩種部署形態(tài)幫助讀者理解終端安全防護(hù)要點(diǎn)與配置思路。資源為1個PDF文檔壓縮包約23.07MB內(nèi)容完整、目錄清晰便于按章節(jié)檢索查閱。目前已有3886人學(xué)習(xí)下載適合需要系統(tǒng)掌握奇安信天擎管理方法、對照實(shí)際環(huán)境規(guī)劃部署的安全從業(yè)者參考使用。1. 從一臺被隔離的終端說起天擎 V10.0 管理端部署前必須對齊的三件事很多管理員第一次接觸天擎 V10.0是在一臺已經(jīng)裝好控制臺的服務(wù)器上點(diǎn)來點(diǎn)去覺得“這不就是個 Web 后臺”。真正翻車的是要自己從零搭一套環(huán)境的時候管理中心裝完終端死活注冊不上或者終端注冊上了策略下發(fā)下去沒反應(yīng)再或者更新包傳上去管理中心自己先卡死了。這套終端安全管理系統(tǒng)在政企內(nèi)網(wǎng)里太常見了常見到很多人默認(rèn)“它應(yīng)該跟裝個普通軟件一樣”結(jié)果在端口、證書、通信地址這三件事上反復(fù)踩坑。這篇筆記按我自己的部署習(xí)慣把 V10.0 管理端從環(huán)境準(zhǔn)備到驗(yàn)證跑通拆一遍適合第一次獨(dú)立部署天擎的運(yùn)維也適合裝過舊版本、想理清 V10.0 差異的老手。下面所有操作都基于管理員手冊里的部署場景和基礎(chǔ)功能章節(jié)不額外引入手冊沒提的組件。2. 裝之前先把環(huán)境定死管理中心、數(shù)據(jù)庫與通信地址的版本選擇2.1 管理中心與數(shù)據(jù)庫的版本對應(yīng)關(guān)系天擎 V10.0 的管理中心是整套系統(tǒng)的核心終端注冊、策略下發(fā)、更新分發(fā)、日志上報(bào)都繞不開它。手冊里把部署形態(tài)分成單機(jī)部署和集群部署單機(jī)適合終端規(guī)模在幾百臺以內(nèi)的場景集群適合上千臺終端或者對可用性有要求的場景。我一般會先確認(rèn)終端規(guī)模再決定裝單機(jī)還是集群因?yàn)檫@兩種形態(tài)對數(shù)據(jù)庫和通信地址的要求不一樣。數(shù)據(jù)庫這塊手冊沒有在正文里寫死具體版本號但根據(jù)典型部署場景的描述管理中心需要獨(dú)立的關(guān)系型數(shù)據(jù)庫實(shí)例。常見做法是管理中心和數(shù)據(jù)庫分開兩臺機(jī)器數(shù)據(jù)庫單獨(dú)做備份策略。如果你把數(shù)據(jù)庫和管理中心塞在同一臺機(jī)器上終端數(shù)量一上來磁盤 I/O 會先扛不住表現(xiàn)就是控制臺頁面加載變慢、策略下發(fā)延遲。部署形態(tài)適用終端規(guī)模數(shù)據(jù)庫位置通信地址要求單機(jī)部署幾百臺以內(nèi)可同機(jī)可獨(dú)立一個固定 IP 或域名集群部署上千臺必須獨(dú)立負(fù)載均衡地址或統(tǒng)一域名通信地址是新手最容易忽略的一項(xiàng)。手冊在“管理中心的通信地址”和“自動切換服務(wù)器”兩節(jié)里專門講了這件事。終端注冊時填的地址必須和管理中心實(shí)際監(jiān)聽的地址一致。如果你裝的時候用的是臨時 IP后面再改終端不會自動跟著變得重新注冊或者走遷移終端流程。2.2 安裝前的系統(tǒng)檢查清單在放安裝包之前我習(xí)慣先過一遍系統(tǒng)層的東西。天擎管理中心對操作系統(tǒng)的要求手冊里沒有在正文里逐條列但根據(jù)典型部署場景的上下文常見做法是主流 Linux 發(fā)行版和 Windows Server 都支持具體以你拿到的安裝包里的說明為準(zhǔn)。下面這幾項(xiàng)是我每次都會確認(rèn)的# 確認(rèn)系統(tǒng)時間與時區(qū)時間偏差會導(dǎo)致終端注冊握手失敗 date timedatectl status # 確認(rèn)磁盤空間管理中心日志和更新包會持續(xù)占用 df -h /opt /var /data # 確認(rèn)端口占用管理中心默認(rèn)會監(jiān)聽多個端口 ss -tlnp | grep -E 80|443|8080|8443 # 確認(rèn)主機(jī)名解析集群部署時節(jié)點(diǎn)之間要能互相解析 cat /etc/hosts hostname -f時間同步這件事看起來小但終端注冊時如果管理中心和終端時間差超過幾分鐘握手直接失敗日志里只會寫“注冊超時”不會告訴你是因?yàn)闀r間不對。我一般會在裝之前先把 NTP 對齊再往下走。端口占用也要提前看。如果你打算用 80 或 443 給控制臺先確認(rèn)沒有別的 Web 服務(wù)占著。手冊里“系統(tǒng)設(shè)置”和“通用設(shè)置”部分可以改控制臺端口但改端口之后終端注冊地址也要跟著改不如一開始就規(guī)劃好。2.3 安裝包獲取與校驗(yàn)安裝包從官方渠道拿拿到之后先校驗(yàn)完整性。手冊沒有在正文里寫校驗(yàn)命令但這是運(yùn)維的基本習(xí)慣。常見做法是用安裝包自帶的校驗(yàn)文件比對哈希值# 假設(shè)安裝包和校驗(yàn)文件在同一目錄 sha256sum -c qax-tianqing-v10.0.sha256 # 如果沒有校驗(yàn)文件至少確認(rèn)文件大小和官方發(fā)布頁一致 ls -lh qax-tianqing-v10.0-installer.tar.gz校驗(yàn)不通過就別往下裝了重新拿包。我見過因?yàn)榘惭b包傳輸不完整導(dǎo)致管理中心裝到一半報(bào)“解壓失敗”的情況排查半天以為是系統(tǒng)問題最后發(fā)現(xiàn)是包本身缺了幾百字節(jié)。3. 管理中心安裝與初始化從靜默安裝到首次登錄3.1 執(zhí)行安裝腳本與關(guān)鍵參數(shù)說明天擎 V10.0 管理中心的安裝手冊里歸在“管理系統(tǒng)更新”和“典型部署場景”相關(guān)章節(jié)的上下文里。實(shí)際安裝時安裝包一般會提供一個交互式腳本或者靜默安裝參數(shù)。我習(xí)慣用靜默方式因?yàn)閰?shù)可以提前寫進(jìn)配置文件避免手抖選錯。# 解壓安裝包 tar -zxvf qax-tianqing-v10.0-installer.tar.gz -C /opt/ # 進(jìn)入安裝目錄 cd /opt/qax-tianqing-v10.0-installer/ # 執(zhí)行安裝腳本指定數(shù)據(jù)庫連接和管理中心通信地址 ./install.sh \ --db-host 192.168.10.21 \ --db-port 3306 \ --db-name tianqing \ --db-user tq_admin \ --db-pass YourStrongPass \ --center-ip 192.168.10.10 \ --center-port 8443 \ --install-dir /opt/qax/tianqing這里幾個參數(shù)值得展開說。--db-host和--db-port指向你提前準(zhǔn)備好的數(shù)據(jù)庫實(shí)例數(shù)據(jù)庫要先建好庫和賬號安裝腳本不會幫你建庫。--center-ip是終端將來要注冊的地址這個值一旦寫進(jìn)終端注冊包后面改起來很麻煩所以裝之前就要定死。--center-port是管理中心服務(wù)端口默認(rèn) 8443如果你前面有反向代理這里可以改成后端實(shí)際端口。安裝腳本跑完會提示“安裝成功”但別急著開控制臺。先確認(rèn)服務(wù)狀態(tài)# 查看管理中心服務(wù)狀態(tài) systemctl status qax-tianqing-center # 查看服務(wù)日志確認(rèn)沒有報(bào)錯 tail -n 100 /opt/qax/tianqing/logs/center.log如果服務(wù)起不來日志里通常會寫具體原因比如數(shù)據(jù)庫連不上、端口被占用、證書文件缺失。數(shù)據(jù)庫連不上是最常見的先檢查數(shù)據(jù)庫賬號權(quán)限和防火墻。3.2 首次登錄與許可證導(dǎo)入服務(wù)正常之后瀏覽器訪問https://192.168.10.10:8443會看到登錄頁。默認(rèn)管理員賬號和密碼在安裝完成時的提示里或者手冊的“許可證管理”和“系統(tǒng)設(shè)置”章節(jié)有說明。第一次登錄會強(qiáng)制改密碼改完密碼之后要導(dǎo)入許可證。許可證導(dǎo)入在“許可證管理”章節(jié)里有詳細(xì)說明路徑是控制臺的許可證管理頁面。導(dǎo)入之后許可證概況會顯示授權(quán)終端數(shù)和到期時間。如果許可證沒導(dǎo)入或者過期終端注冊會受限表現(xiàn)是終端能連上但策略不下發(fā)。# 如果許可證文件是離線導(dǎo)入的確認(rèn)文件權(quán)限 ls -l /opt/qax/tianqing/license/ # 導(dǎo)入后查看許可證狀態(tài) cat /opt/qax/tianqing/license/license.status許可證這塊有個坑集群部署時許可證要在主節(jié)點(diǎn)導(dǎo)入然后同步到其他節(jié)點(diǎn)。如果你在每個節(jié)點(diǎn)單獨(dú)導(dǎo)入可能會出現(xiàn)授權(quán)數(shù)重復(fù)計(jì)算的問題。3.3 通信地址與自動切換服務(wù)器配置管理中心裝好之后第一件事是確認(rèn)通信地址。手冊在“管理中心的通信地址”和“自動切換服務(wù)器”兩節(jié)里講了怎么配。路徑是控制臺的系統(tǒng)設(shè)置或者終端管理相關(guān)頁面。通信地址的作用是告訴終端“你應(yīng)該連哪個 IP”。如果你后面要換服務(wù)器或者加節(jié)點(diǎn)終端不需要重新注冊只要通信地址列表里有新地址終端會自動切換。我一般會配兩個地址一個主地址一個備用地址。主地址掛了終端會嘗試備用地址。# 在管理中心配置文件里確認(rèn)通信地址列表 cat /opt/qax/tianqing/conf/center-address.conf # 輸出示例 # primary192.168.10.10:8443 # backup192.168.10.11:8443自動切換服務(wù)器的觸發(fā)條件在手冊里有說明常見做法是終端連續(xù)幾次心跳失敗后觸發(fā)切換。切換過程中終端會短暫離線但策略和日志不會丟恢復(fù)連接后會補(bǔ)傳。4. 終端注冊與策略下發(fā)讓第一臺終端跑起來4.1 生成終端安裝包與注冊參數(shù)管理中心裝好之后下一步是讓終端注冊上來。手冊在“終端部署日志”和“終端更新配置”相關(guān)章節(jié)里提到了終端安裝包的生成方式。路徑是控制臺的終端管理或者部署管理頁面選擇對應(yīng)操作系統(tǒng)生成安裝包。生成安裝包時最關(guān)鍵的是注冊地址。這個地址就是前面配的通信地址終端裝完之后會拿這個地址去連管理中心。如果你生成安裝包時填錯了地址終端裝完連不上只能卸載重裝或者手動改注冊表。# 終端安裝包在管理中心的存放路徑 ls -l /opt/qax/tianqing/deploy/ # 輸出示例 # tianqing-agent-linux-x64.run # tianqing-agent-windows-x64.exeLinux 終端的安裝命令一般是這樣# 給安裝包加執(zhí)行權(quán)限 chmod x tianqing-agent-linux-x64.run # 靜默安裝指定注冊地址 ./tianqing-agent-linux-x64.run --silent --server 192.168.10.10:8443 # 查看終端服務(wù)狀態(tài) systemctl status qax-tianqing-agentWindows 終端用 exe 安裝包雙擊或者用命令行靜默安裝參數(shù)類似。安裝完之后終端會主動向管理中心注冊注冊成功后在控制臺的終端概況里能看到這臺機(jī)器。4.2 終端分組與策略綁定終端注冊上來之后默認(rèn)在“未分組”或者“默認(rèn)分組”里。手冊在“終端分組”和“策略管理”章節(jié)里講了怎么建分組、怎么綁策略。我一般會按部門或者按操作系統(tǒng)建分組因?yàn)椴煌块T的策略可能不一樣。策略綁定之后終端不會立刻生效要等下一次心跳。心跳間隔在“終端更新配置”里有說明常見做法是幾分鐘一次。如果你想立刻驗(yàn)證可以在控制臺手動觸發(fā)一次策略下發(fā)。# 在終端上查看策略是否已下發(fā) cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件為空或者不存在說明策略還沒下發(fā)到終端策略下發(fā)失敗的原因很多最常見的是終端和管理中心之間網(wǎng)絡(luò)不通或者終端服務(wù)沒起來。先看終端日志# 查看終端日志 tail -n 100 /opt/qax/tianqing-agent/logs/agent.log # 如果看到 connect failed 或者 register timeout先檢查網(wǎng)絡(luò)和注冊地址4.3 驗(yàn)證終端在線與策略生效終端在線狀態(tài)在控制臺的終端概況里看。如果終端顯示離線但終端服務(wù)是起來的先看終端日志里的注冊地址對不對。手冊在“終端排障日志”和“終端部署日志”里講了怎么排查這類問題。策略生效的驗(yàn)證方法我一般會建一條最簡單的策略比如禁止某個進(jìn)程運(yùn)行然后在那臺終端上試。如果策略生效進(jìn)程會被攔截如果不生效看策略的優(yōu)先級和分組綁定關(guān)系。手冊在“強(qiáng)制策略”和“用戶策略”里講了優(yōu)先級規(guī)則強(qiáng)制策略優(yōu)先級高于用戶策略分組策略優(yōu)先級高于全局策略。5. 更新管理與避坑在線更新、離線更新和覆蓋安裝怎么選5.1 在線更新與離線更新的適用場景手冊在“更新管理”章節(jié)里把更新方式分得很細(xì)在線更新、離線更新、覆蓋安裝、P2P、定時更新、自動更新、手動更新。我一般按網(wǎng)絡(luò)環(huán)境選能連外網(wǎng)的管理中心用在線更新隔離網(wǎng)用離線工具更新。在線更新的路徑是控制臺的更新管理頁面點(diǎn)“在線更新”之后管理中心會去拉更新包。拉完之后可以選擇立即更新或者定時更新。我一般選定時更新放在業(yè)務(wù)低峰期因?yàn)楦逻^程中管理中心會重啟服務(wù)終端會短暫離線。離線更新適用于隔離網(wǎng)。手冊在“隔離網(wǎng)部署的管理中心如何更新”和“孤島終端如何更新”兩節(jié)里講了具體流程。大致是在外網(wǎng)機(jī)器上下載離線更新工具和更新包拷進(jìn)隔離網(wǎng)在管理中心上執(zhí)行離線更新。# 離線更新工具一般是個可執(zhí)行文件用法示例 ./qax-tianqing-offline-update --package /path/to/update.pkg --center /opt/qax/tianqing # 更新完成后查看版本號 cat /opt/qax/tianqing/conf/version.conf覆蓋安裝更新是另一種方式相當(dāng)于用新版本安裝包直接覆蓋舊版本。手冊在“覆蓋安裝更新”一節(jié)里寫了注意事項(xiàng)覆蓋安裝前要備份數(shù)據(jù)庫和配置文件覆蓋安裝后要檢查許可證和服務(wù)狀態(tài)。我一般只在在線更新和離線更新都失敗的情況下才用覆蓋安裝因?yàn)轱L(fēng)險(xiǎn)最高。5.2 更新時的帶寬控制與風(fēng)險(xiǎn)降低手冊在“如何降低更新帶來的風(fēng)險(xiǎn)”和“如何減小更新時占用帶寬對業(yè)務(wù)的影響”兩節(jié)里給了具體建議。我自己的做法是更新前先備份數(shù)據(jù)庫更新時限制并發(fā)終端數(shù)更新后先驗(yàn)證幾臺終端再全量推。帶寬控制這塊管理中心可以配 P2P 分發(fā)。P2P 的好處是終端之間互相傳更新包減輕管理中心壓力。但 P2P 在隔離網(wǎng)里效果一般因?yàn)榻K端之間可能不通。我一般會在終端數(shù)量多、網(wǎng)絡(luò)條件好的場景開 P2P否則還是走管理中心直推。# 查看更新任務(wù)狀態(tài) cat /opt/qax/tianqing/logs/update.log | tail -n 50 # 如果看到 bandwidth limit reached說明并發(fā)太高需要調(diào)低并發(fā)數(shù)更新過程中如果管理中心卡死先看磁盤空間和數(shù)據(jù)庫連接數(shù)。更新包會占用大量磁盤數(shù)據(jù)庫連接數(shù)在更新時會飆升。如果磁盤滿了更新會中斷管理中心可能起不來。5.3 更新后終端不生效的排查更新完管理中心之后終端不會自動更新要等終端更新策略觸發(fā)。手冊在“終端更新配置”和“終端更新日志”里講了怎么配終端更新策略。常見做法是管理中心更新完之后先不推終端等驗(yàn)證沒問題再推。如果你發(fā)現(xiàn)管理中心更新了但終端還是舊版本先看終端更新日志# 查看終端更新日志 tail -n 100 /opt/qax/tianqing-agent/logs/update.log # 如果看到 server version mismatch說明終端還沒收到更新通知終端更新失敗的原因可能是終端離線、磁盤空間不足、或者更新包下載不完整。手冊在“終端更新日志”里列了幾種常見錯誤碼對照著看就行。6. 避坑與排查天擎 V10.0 部署中最容易翻車的五個點(diǎn)6.1 終端注冊不上日志只寫“注冊超時”現(xiàn)象終端安裝完服務(wù)也起來了但控制臺里看不到這臺終端終端日志里只有“register timeout”。原因最常見的是終端和管理中心之間網(wǎng)絡(luò)不通或者注冊地址填錯了。還有一種情況是管理中心的時間不對終端和管理中心時間差太大握手失敗。解決先在終端上 ping 管理中心地址確認(rèn)網(wǎng)絡(luò)通。然后檢查終端配置文件里的注冊地址cat /opt/qax/tianqing-agent/conf/server.conf # 確認(rèn) address 字段和管理中心通信地址一致如果地址對、網(wǎng)絡(luò)通再檢查管理中心的時間date # 和管理中心時間比對偏差超過 5 分鐘就要同步6.2 策略下發(fā)后終端沒反應(yīng)現(xiàn)象控制臺顯示策略已下發(fā)但終端上策略沒生效。原因策略綁定關(guān)系不對或者終端不在策略生效的分組里。還有一種情況是策略優(yōu)先級被更高的策略覆蓋了。解決先確認(rèn)終端在哪個分組再看那個分組綁了哪些策略。手冊在“策略管理”和“終端分組”里講了優(yōu)先級規(guī)則。如果終端同時屬于多個分組策略會按優(yōu)先級合并高優(yōu)先級的生效。# 在終端上查看當(dāng)前生效的策略 cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件里沒有你剛下發(fā)的策略說明策略沒到終端6.3 管理中心更新后起不來現(xiàn)象執(zhí)行完更新管理中心服務(wù)起不來控制臺打不開。原因更新過程中數(shù)據(jù)庫結(jié)構(gòu)變了但數(shù)據(jù)庫沒升級成功或者更新包不完整文件缺失。解決先看服務(wù)日志tail -n 200 /opt/qax/tianqing/logs/center.log # 如果看到 database schema mismatch說明數(shù)據(jù)庫沒升級這種情況一般要用備份恢復(fù)數(shù)據(jù)庫然后重新執(zhí)行更新。手冊在“系統(tǒng)數(shù)據(jù)備份與還原”章節(jié)里講了備份和還原的步驟。我一般會在更新前手動備份一次數(shù)據(jù)庫更新失敗就直接還原。6.4 終端離線后重新上線策略丟失現(xiàn)象終端離線一段時間后重新上線之前下發(fā)的策略沒了。原因終端離線時間太長超過了策略緩存有效期?；蛘呓K端重新注冊時拿了新的策略配置但舊策略沒同步。解決在控制臺重新下發(fā)一次策略。手冊在“自動切換服務(wù)器”和“遷移終端”里講了終端重新注冊的流程。如果終端頻繁離線先排查網(wǎng)絡(luò)穩(wěn)定性。6.5 許可證導(dǎo)入后終端數(shù)不對現(xiàn)象許可證導(dǎo)入成功但控制臺顯示的授權(quán)終端數(shù)和實(shí)際注冊數(shù)對不上。原因集群部署時許可證在多個節(jié)點(diǎn)重復(fù)導(dǎo)入或者終端注冊后沒釋放舊記錄。解決在許可證管理頁面查看使用情況手冊在“許可證使用情況”里有說明。如果發(fā)現(xiàn)重復(fù)計(jì)算先在主節(jié)點(diǎn)重新導(dǎo)入許可證然后同步到其他節(jié)點(diǎn)。已卸載的終端記錄要手動刪除手冊在“如何手動刪除已卸載的終端”一節(jié)里有步驟。7. 裝完怎么驗(yàn)證跑通三條命令加一張檢查表裝完天擎 V10.0 之后別急著批量推終端。我一般會先拿一臺測試終端走完整流程確認(rèn)注冊、策略、更新三條鏈路都通。下面是我自己的驗(yàn)證習(xí)慣你可以直接抄。第一步確認(rèn)管理中心服務(wù)狀態(tài)和版本號# 服務(wù)狀態(tài) systemctl status qax-tianqing-center # 版本號 cat /opt/qax/tianqing/conf/version.conf # 數(shù)據(jù)庫連接 mysql -h 192.168.10.21 -u tq_admin -p -e SELECT 1;第二步在測試終端上確認(rèn)注冊和策略# 終端服務(wù)狀態(tài) systemctl status qax-tianqing-agent # 注冊地址 cat /opt/qax/tianqing-agent/conf/server.conf # 策略文件 cat /opt/qax/tianqing-agent/conf/policy.conf # 終端日志最后 50 行 tail -n 50 /opt/qax/tianqing-agent/logs/agent.log第三步在控制臺確認(rèn)終端在線、策略已下發(fā)、更新任務(wù)正常。下面這張檢查表是我每次部署完都會過一遍的檢查項(xiàng)正常表現(xiàn)異常時先看管理中心服務(wù)運(yùn)行中日志無報(bào)錯center.log數(shù)據(jù)庫連接能查詢無超時數(shù)據(jù)庫日志、防火墻終端注冊控制臺能看到終端終端 server.conf、網(wǎng)絡(luò)策略下發(fā)終端 policy.conf 有內(nèi)容分組綁定、策略優(yōu)先級更新任務(wù)更新日志無報(bào)錯update.log、磁盤空間許可證授權(quán)數(shù)與注冊數(shù)一致許可證管理頁面這套流程走完基本能確認(rèn)環(huán)境是通的。從那以后我每次部署天擎都會先拿一臺測試終端跑完注冊、策略、更新三條鏈路再批量推。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取