簡介奇安信天擎終端安全管理系統(tǒng)管理員手冊面向企業(yè)終端安全運維人員、系統(tǒng)管理員及安全初學者提供從產(chǎn)品認知到部署落地的完整指導。手冊圍繞產(chǎn)品簡介、主要功能、典型部署場景與部署形態(tài)四大模塊展開涵蓋終端安全管理、惡意代碼檢測、網(wǎng)絡攻擊防護、數(shù)據(jù)加密與身份驗證等核心能力并詳細說明互聯(lián)網(wǎng)絡、隔離網(wǎng)絡、多級級聯(lián)及高級版EDR等部署方案以及單機與集群兩種部署形態(tài)幫助讀者理解終端安全防護要點與配置思路。資源為1個PDF文檔壓縮包約23.07MB內容完整、目錄清晰便于按章節(jié)檢索查閱。目前已有3886人學習下載適合需要系統(tǒng)掌握奇安信天擎管理方法、對照實際環(huán)境規(guī)劃部署的安全從業(yè)者參考使用。1. 從一臺被隔離的終端說起天擎 V10.0 管理端部署前必須對齊的三件事很多管理員第一次接觸天擎 V10.0是在一臺已經(jīng)裝好控制臺的服務器上點來點去覺得“這不就是個 Web 后臺”。真正翻車的是要自己從零搭一套環(huán)境的時候管理中心裝完終端死活注冊不上或者終端注冊上了策略下發(fā)下去沒反應再或者更新包傳上去管理中心自己先卡死了。這套終端安全管理系統(tǒng)在政企內網(wǎng)里太常見了常見到很多人默認“它應該跟裝個普通軟件一樣”結果在端口、證書、通信地址這三件事上反復踩坑。這篇筆記按我自己的部署習慣把 V10.0 管理端從環(huán)境準備到驗證跑通拆一遍適合第一次獨立部署天擎的運維也適合裝過舊版本、想理清 V10.0 差異的老手。下面所有操作都基于管理員手冊里的部署場景和基礎功能章節(jié)不額外引入手冊沒提的組件。2. 裝之前先把環(huán)境定死管理中心、數(shù)據(jù)庫與通信地址的版本選擇2.1 管理中心與數(shù)據(jù)庫的版本對應關系天擎 V10.0 的管理中心是整套系統(tǒng)的核心終端注冊、策略下發(fā)、更新分發(fā)、日志上報都繞不開它。手冊里把部署形態(tài)分成單機部署和集群部署單機適合終端規(guī)模在幾百臺以內的場景集群適合上千臺終端或者對可用性有要求的場景。我一般會先確認終端規(guī)模再決定裝單機還是集群因為這兩種形態(tài)對數(shù)據(jù)庫和通信地址的要求不一樣。數(shù)據(jù)庫這塊手冊沒有在正文里寫死具體版本號但根據(jù)典型部署場景的描述管理中心需要獨立的關系型數(shù)據(jù)庫實例。常見做法是管理中心和數(shù)據(jù)庫分開兩臺機器數(shù)據(jù)庫單獨做備份策略。如果你把數(shù)據(jù)庫和管理中心塞在同一臺機器上終端數(shù)量一上來磁盤 I/O 會先扛不住表現(xiàn)就是控制臺頁面加載變慢、策略下發(fā)延遲。部署形態(tài)適用終端規(guī)模數(shù)據(jù)庫位置通信地址要求單機部署幾百臺以內可同機可獨立一個固定 IP 或域名集群部署上千臺必須獨立負載均衡地址或統(tǒng)一域名通信地址是新手最容易忽略的一項。手冊在“管理中心的通信地址”和“自動切換服務器”兩節(jié)里專門講了這件事。終端注冊時填的地址必須和管理中心實際監(jiān)聽的地址一致。如果你裝的時候用的是臨時 IP后面再改終端不會自動跟著變得重新注冊或者走遷移終端流程。2.2 安裝前的系統(tǒng)檢查清單在放安裝包之前我習慣先過一遍系統(tǒng)層的東西。天擎管理中心對操作系統(tǒng)的要求手冊里沒有在正文里逐條列但根據(jù)典型部署場景的上下文常見做法是主流 Linux 發(fā)行版和 Windows Server 都支持具體以你拿到的安裝包里的說明為準。下面這幾項是我每次都會確認的# 確認系統(tǒng)時間與時區(qū)時間偏差會導致終端注冊握手失敗 date timedatectl status # 確認磁盤空間管理中心日志和更新包會持續(xù)占用 df -h /opt /var /data # 確認端口占用管理中心默認會監(jiān)聽多個端口 ss -tlnp | grep -E 80|443|8080|8443 # 確認主機名解析集群部署時節(jié)點之間要能互相解析 cat /etc/hosts hostname -f時間同步這件事看起來小但終端注冊時如果管理中心和終端時間差超過幾分鐘握手直接失敗日志里只會寫“注冊超時”不會告訴你是因為時間不對。我一般會在裝之前先把 NTP 對齊再往下走。端口占用也要提前看。如果你打算用 80 或 443 給控制臺先確認沒有別的 Web 服務占著。手冊里“系統(tǒng)設置”和“通用設置”部分可以改控制臺端口但改端口之后終端注冊地址也要跟著改不如一開始就規(guī)劃好。2.3 安裝包獲取與校驗安裝包從官方渠道拿拿到之后先校驗完整性。手冊沒有在正文里寫校驗命令但這是運維的基本習慣。常見做法是用安裝包自帶的校驗文件比對哈希值# 假設安裝包和校驗文件在同一目錄 sha256sum -c qax-tianqing-v10.0.sha256 # 如果沒有校驗文件至少確認文件大小和官方發(fā)布頁一致 ls -lh qax-tianqing-v10.0-installer.tar.gz校驗不通過就別往下裝了重新拿包。我見過因為安裝包傳輸不完整導致管理中心裝到一半報“解壓失敗”的情況排查半天以為是系統(tǒng)問題最后發(fā)現(xiàn)是包本身缺了幾百字節(jié)。3. 管理中心安裝與初始化從靜默安裝到首次登錄3.1 執(zhí)行安裝腳本與關鍵參數(shù)說明天擎 V10.0 管理中心的安裝手冊里歸在“管理系統(tǒng)更新”和“典型部署場景”相關章節(jié)的上下文里。實際安裝時安裝包一般會提供一個交互式腳本或者靜默安裝參數(shù)。我習慣用靜默方式因為參數(shù)可以提前寫進配置文件避免手抖選錯。# 解壓安裝包 tar -zxvf qax-tianqing-v10.0-installer.tar.gz -C /opt/ # 進入安裝目錄 cd /opt/qax-tianqing-v10.0-installer/ # 執(zhí)行安裝腳本指定數(shù)據(jù)庫連接和管理中心通信地址 ./install.sh \ --db-host 192.168.10.21 \ --db-port 3306 \ --db-name tianqing \ --db-user tq_admin \ --db-pass YourStrongPass \ --center-ip 192.168.10.10 \ --center-port 8443 \ --install-dir /opt/qax/tianqing這里幾個參數(shù)值得展開說。--db-host和--db-port指向你提前準備好的數(shù)據(jù)庫實例數(shù)據(jù)庫要先建好庫和賬號安裝腳本不會幫你建庫。--center-ip是終端將來要注冊的地址這個值一旦寫進終端注冊包后面改起來很麻煩所以裝之前就要定死。--center-port是管理中心服務端口默認 8443如果你前面有反向代理這里可以改成后端實際端口。安裝腳本跑完會提示“安裝成功”但別急著開控制臺。先確認服務狀態(tài)# 查看管理中心服務狀態(tài) systemctl status qax-tianqing-center # 查看服務日志確認沒有報錯 tail -n 100 /opt/qax/tianqing/logs/center.log如果服務起不來日志里通常會寫具體原因比如數(shù)據(jù)庫連不上、端口被占用、證書文件缺失。數(shù)據(jù)庫連不上是最常見的先檢查數(shù)據(jù)庫賬號權限和防火墻。3.2 首次登錄與許可證導入服務正常之后瀏覽器訪問https://192.168.10.10:8443會看到登錄頁。默認管理員賬號和密碼在安裝完成時的提示里或者手冊的“許可證管理”和“系統(tǒng)設置”章節(jié)有說明。第一次登錄會強制改密碼改完密碼之后要導入許可證。許可證導入在“許可證管理”章節(jié)里有詳細說明路徑是控制臺的許可證管理頁面。導入之后許可證概況會顯示授權終端數(shù)和到期時間。如果許可證沒導入或者過期終端注冊會受限表現(xiàn)是終端能連上但策略不下發(fā)。# 如果許可證文件是離線導入的確認文件權限 ls -l /opt/qax/tianqing/license/ # 導入后查看許可證狀態(tài) cat /opt/qax/tianqing/license/license.status許可證這塊有個坑集群部署時許可證要在主節(jié)點導入然后同步到其他節(jié)點。如果你在每個節(jié)點單獨導入可能會出現(xiàn)授權數(shù)重復計算的問題。3.3 通信地址與自動切換服務器配置管理中心裝好之后第一件事是確認通信地址。手冊在“管理中心的通信地址”和“自動切換服務器”兩節(jié)里講了怎么配。路徑是控制臺的系統(tǒng)設置或者終端管理相關頁面。通信地址的作用是告訴終端“你應該連哪個 IP”。如果你后面要換服務器或者加節(jié)點終端不需要重新注冊只要通信地址列表里有新地址終端會自動切換。我一般會配兩個地址一個主地址一個備用地址。主地址掛了終端會嘗試備用地址。# 在管理中心配置文件里確認通信地址列表 cat /opt/qax/tianqing/conf/center-address.conf # 輸出示例 # primary192.168.10.10:8443 # backup192.168.10.11:8443自動切換服務器的觸發(fā)條件在手冊里有說明常見做法是終端連續(xù)幾次心跳失敗后觸發(fā)切換。切換過程中終端會短暫離線但策略和日志不會丟恢復連接后會補傳。4. 終端注冊與策略下發(fā)讓第一臺終端跑起來4.1 生成終端安裝包與注冊參數(shù)管理中心裝好之后下一步是讓終端注冊上來。手冊在“終端部署日志”和“終端更新配置”相關章節(jié)里提到了終端安裝包的生成方式。路徑是控制臺的終端管理或者部署管理頁面選擇對應操作系統(tǒng)生成安裝包。生成安裝包時最關鍵的是注冊地址。這個地址就是前面配的通信地址終端裝完之后會拿這個地址去連管理中心。如果你生成安裝包時填錯了地址終端裝完連不上只能卸載重裝或者手動改注冊表。# 終端安裝包在管理中心的存放路徑 ls -l /opt/qax/tianqing/deploy/ # 輸出示例 # tianqing-agent-linux-x64.run # tianqing-agent-windows-x64.exeLinux 終端的安裝命令一般是這樣# 給安裝包加執(zhí)行權限 chmod x tianqing-agent-linux-x64.run # 靜默安裝指定注冊地址 ./tianqing-agent-linux-x64.run --silent --server 192.168.10.10:8443 # 查看終端服務狀態(tài) systemctl status qax-tianqing-agentWindows 終端用 exe 安裝包雙擊或者用命令行靜默安裝參數(shù)類似。安裝完之后終端會主動向管理中心注冊注冊成功后在控制臺的終端概況里能看到這臺機器。4.2 終端分組與策略綁定終端注冊上來之后默認在“未分組”或者“默認分組”里。手冊在“終端分組”和“策略管理”章節(jié)里講了怎么建分組、怎么綁策略。我一般會按部門或者按操作系統(tǒng)建分組因為不同部門的策略可能不一樣。策略綁定之后終端不會立刻生效要等下一次心跳。心跳間隔在“終端更新配置”里有說明常見做法是幾分鐘一次。如果你想立刻驗證可以在控制臺手動觸發(fā)一次策略下發(fā)。# 在終端上查看策略是否已下發(fā) cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件為空或者不存在說明策略還沒下發(fā)到終端策略下發(fā)失敗的原因很多最常見的是終端和管理中心之間網(wǎng)絡不通或者終端服務沒起來。先看終端日志# 查看終端日志 tail -n 100 /opt/qax/tianqing-agent/logs/agent.log # 如果看到 connect failed 或者 register timeout先檢查網(wǎng)絡和注冊地址4.3 驗證終端在線與策略生效終端在線狀態(tài)在控制臺的終端概況里看。如果終端顯示離線但終端服務是起來的先看終端日志里的注冊地址對不對。手冊在“終端排障日志”和“終端部署日志”里講了怎么排查這類問題。策略生效的驗證方法我一般會建一條最簡單的策略比如禁止某個進程運行然后在那臺終端上試。如果策略生效進程會被攔截如果不生效看策略的優(yōu)先級和分組綁定關系。手冊在“強制策略”和“用戶策略”里講了優(yōu)先級規(guī)則強制策略優(yōu)先級高于用戶策略分組策略優(yōu)先級高于全局策略。5. 更新管理與避坑在線更新、離線更新和覆蓋安裝怎么選5.1 在線更新與離線更新的適用場景手冊在“更新管理”章節(jié)里把更新方式分得很細在線更新、離線更新、覆蓋安裝、P2P、定時更新、自動更新、手動更新。我一般按網(wǎng)絡環(huán)境選能連外網(wǎng)的管理中心用在線更新隔離網(wǎng)用離線工具更新。在線更新的路徑是控制臺的更新管理頁面點“在線更新”之后管理中心會去拉更新包。拉完之后可以選擇立即更新或者定時更新。我一般選定時更新放在業(yè)務低峰期因為更新過程中管理中心會重啟服務終端會短暫離線。離線更新適用于隔離網(wǎng)。手冊在“隔離網(wǎng)部署的管理中心如何更新”和“孤島終端如何更新”兩節(jié)里講了具體流程。大致是在外網(wǎng)機器上下載離線更新工具和更新包拷進隔離網(wǎng)在管理中心上執(zhí)行離線更新。# 離線更新工具一般是個可執(zhí)行文件用法示例 ./qax-tianqing-offline-update --package /path/to/update.pkg --center /opt/qax/tianqing # 更新完成后查看版本號 cat /opt/qax/tianqing/conf/version.conf覆蓋安裝更新是另一種方式相當于用新版本安裝包直接覆蓋舊版本。手冊在“覆蓋安裝更新”一節(jié)里寫了注意事項覆蓋安裝前要備份數(shù)據(jù)庫和配置文件覆蓋安裝后要檢查許可證和服務狀態(tài)。我一般只在在線更新和離線更新都失敗的情況下才用覆蓋安裝因為風險最高。5.2 更新時的帶寬控制與風險降低手冊在“如何降低更新帶來的風險”和“如何減小更新時占用帶寬對業(yè)務的影響”兩節(jié)里給了具體建議。我自己的做法是更新前先備份數(shù)據(jù)庫更新時限制并發(fā)終端數(shù)更新后先驗證幾臺終端再全量推。帶寬控制這塊管理中心可以配 P2P 分發(fā)。P2P 的好處是終端之間互相傳更新包減輕管理中心壓力。但 P2P 在隔離網(wǎng)里效果一般因為終端之間可能不通。我一般會在終端數(shù)量多、網(wǎng)絡條件好的場景開 P2P否則還是走管理中心直推。# 查看更新任務狀態(tài) cat /opt/qax/tianqing/logs/update.log | tail -n 50 # 如果看到 bandwidth limit reached說明并發(fā)太高需要調低并發(fā)數(shù)更新過程中如果管理中心卡死先看磁盤空間和數(shù)據(jù)庫連接數(shù)。更新包會占用大量磁盤數(shù)據(jù)庫連接數(shù)在更新時會飆升。如果磁盤滿了更新會中斷管理中心可能起不來。5.3 更新后終端不生效的排查更新完管理中心之后終端不會自動更新要等終端更新策略觸發(fā)。手冊在“終端更新配置”和“終端更新日志”里講了怎么配終端更新策略。常見做法是管理中心更新完之后先不推終端等驗證沒問題再推。如果你發(fā)現(xiàn)管理中心更新了但終端還是舊版本先看終端更新日志# 查看終端更新日志 tail -n 100 /opt/qax/tianqing-agent/logs/update.log # 如果看到 server version mismatch說明終端還沒收到更新通知終端更新失敗的原因可能是終端離線、磁盤空間不足、或者更新包下載不完整。手冊在“終端更新日志”里列了幾種常見錯誤碼對照著看就行。6. 避坑與排查天擎 V10.0 部署中最容易翻車的五個點6.1 終端注冊不上日志只寫“注冊超時”現(xiàn)象終端安裝完服務也起來了但控制臺里看不到這臺終端終端日志里只有“register timeout”。原因最常見的是終端和管理中心之間網(wǎng)絡不通或者注冊地址填錯了。還有一種情況是管理中心的時間不對終端和管理中心時間差太大握手失敗。解決先在終端上 ping 管理中心地址確認網(wǎng)絡通。然后檢查終端配置文件里的注冊地址cat /opt/qax/tianqing-agent/conf/server.conf # 確認 address 字段和管理中心通信地址一致如果地址對、網(wǎng)絡通再檢查管理中心的時間date # 和管理中心時間比對偏差超過 5 分鐘就要同步6.2 策略下發(fā)后終端沒反應現(xiàn)象控制臺顯示策略已下發(fā)但終端上策略沒生效。原因策略綁定關系不對或者終端不在策略生效的分組里。還有一種情況是策略優(yōu)先級被更高的策略覆蓋了。解決先確認終端在哪個分組再看那個分組綁了哪些策略。手冊在“策略管理”和“終端分組”里講了優(yōu)先級規(guī)則。如果終端同時屬于多個分組策略會按優(yōu)先級合并高優(yōu)先級的生效。# 在終端上查看當前生效的策略 cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件里沒有你剛下發(fā)的策略說明策略沒到終端6.3 管理中心更新后起不來現(xiàn)象執(zhí)行完更新管理中心服務起不來控制臺打不開。原因更新過程中數(shù)據(jù)庫結構變了但數(shù)據(jù)庫沒升級成功或者更新包不完整文件缺失。解決先看服務日志tail -n 200 /opt/qax/tianqing/logs/center.log # 如果看到 database schema mismatch說明數(shù)據(jù)庫沒升級這種情況一般要用備份恢復數(shù)據(jù)庫然后重新執(zhí)行更新。手冊在“系統(tǒng)數(shù)據(jù)備份與還原”章節(jié)里講了備份和還原的步驟。我一般會在更新前手動備份一次數(shù)據(jù)庫更新失敗就直接還原。6.4 終端離線后重新上線策略丟失現(xiàn)象終端離線一段時間后重新上線之前下發(fā)的策略沒了。原因終端離線時間太長超過了策略緩存有效期?；蛘呓K端重新注冊時拿了新的策略配置但舊策略沒同步。解決在控制臺重新下發(fā)一次策略。手冊在“自動切換服務器”和“遷移終端”里講了終端重新注冊的流程。如果終端頻繁離線先排查網(wǎng)絡穩(wěn)定性。6.5 許可證導入后終端數(shù)不對現(xiàn)象許可證導入成功但控制臺顯示的授權終端數(shù)和實際注冊數(shù)對不上。原因集群部署時許可證在多個節(jié)點重復導入或者終端注冊后沒釋放舊記錄。解決在許可證管理頁面查看使用情況手冊在“許可證使用情況”里有說明。如果發(fā)現(xiàn)重復計算先在主節(jié)點重新導入許可證然后同步到其他節(jié)點。已卸載的終端記錄要手動刪除手冊在“如何手動刪除已卸載的終端”一節(jié)里有步驟。7. 裝完怎么驗證跑通三條命令加一張檢查表裝完天擎 V10.0 之后別急著批量推終端。我一般會先拿一臺測試終端走完整流程確認注冊、策略、更新三條鏈路都通。下面是我自己的驗證習慣你可以直接抄。第一步確認管理中心服務狀態(tài)和版本號# 服務狀態(tài) systemctl status qax-tianqing-center # 版本號 cat /opt/qax/tianqing/conf/version.conf # 數(shù)據(jù)庫連接 mysql -h 192.168.10.21 -u tq_admin -p -e SELECT 1;第二步在測試終端上確認注冊和策略# 終端服務狀態(tài) systemctl status qax-tianqing-agent # 注冊地址 cat /opt/qax/tianqing-agent/conf/server.conf # 策略文件 cat /opt/qax/tianqing-agent/conf/policy.conf # 終端日志最后 50 行 tail -n 50 /opt/qax/tianqing-agent/logs/agent.log第三步在控制臺確認終端在線、策略已下發(fā)、更新任務正常。下面這張檢查表是我每次部署完都會過一遍的檢查項正常表現(xiàn)異常時先看管理中心服務運行中日志無報錯center.log數(shù)據(jù)庫連接能查詢無超時數(shù)據(jù)庫日志、防火墻終端注冊控制臺能看到終端終端 server.conf、網(wǎng)絡策略下發(fā)終端 policy.conf 有內容分組綁定、策略優(yōu)先級更新任務更新日志無報錯update.log、磁盤空間許可證授權數(shù)與注冊數(shù)一致許可證管理頁面這套流程走完基本能確認環(huán)境是通的。從那以后我每次部署天擎都會先拿一臺測試終端跑完注冊、策略、更新三條鏈路再批量推。希望幫到你。本文還有配套的精品資源點擊獲取