前言
终端安全作为基础的安全单元，用户的安全意识及使用习惯对终端安全的防护效果有着至关重要的作用，建设完善的终端安全防护产品可以有效的保护终端计算环境的安全，本文就终端安全防护类产品在等保中的安全要求进行解读。
一、安全计算环境要求解读
1、基本要求
要求安全计算环境包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护，共11个控制点，其中三级及以上在二级的基础上，增加了数据保密性要求，以下重点阐述终端安全防护类产品在安全计算环境要求中的对标情况。
2、高风险项解读
市场上安全计算环境中终端安全防护类产品基本可以匹配41项控制点，其中高危风险项占据了25个，整体比例过半，充分展示出安全计算环境中需要关注的风险占比，因此企业在安全计算环境中的相关建设需要重点关注安全细节，在购买产品的基础上关注产品功能服务。
二、安全要求对标分析
三、合规产品应用部署示例
1、部署示例
终端防护类产品一般以软件形式部署在终端主机上，并通过在安全管理中心部署统一安全管理平台，实现终端安全防护产品策略的统一下发、日志及告警信息的汇总收集，满足等保2.0关于安全管理中心的相关要求，常见部署方式如下图所示。
图1 终端防护类产品部署示意图
2、等保合规扣分占比
以三级系统单个测评对象为示例，三级系统共计232个控制点。
假设所有项都为适用项，技术部分与管理部分各占50%，技术部分总分为100分（单项基准分为100/232），如若缺乏终端防护类产品，以下为其等保扣分情况：
综合扣分情况分析，终端安全防护产品在安全计算环境建设中扣分占比可以达到7.3273/100=7.3273%，同时终端安全防护产品一般为一套产品包含多个安全功能，因此企业在网络安全建设中需要重点关注相关产品能力，避免重复投资。
四、合规产品实际应用扩展建议
在等保合规的基础上，为应对各类新型安全威胁以及提升运维管理效率，建议在选购对应的合规产品时，仍需关注如下部分能力：
1、关注勒索病毒漏洞防护能力
在提供常见的终端防护能力外，建议关注产品对勒索病毒的防护能力，通过模块功能或产品升级的方式提供相关能力，避免重复采购并符合当前安全形式。
2、关注自动化运维管理
终端安全建设通常会涉及到较多的安全部署工作，对运维造成较大的压力，在关注产品功能的同时，但仍需关注安全运维效率，如通过管理中心下发可信安装包及策略，实现程序的批量更新，针分散的安全能力，提供一键报告生成等。
3、关注产品自身安全性
为应对新型安全威胁，仍需关注产品自身安全属性，例如内置系统注册表保护规则，保护系统免遭恶意软件侵害；内置系统关键配置文件的保护规则，避免恶意软件对系统的破坏。
原文始发于微信公众号（等级保护测评）：等级保护要求解读之安全计算环境（一）
