跨多个站点管理设备群，意味着大多数机器都超出了日常物理接触的范围。IT 团队越来越依赖云控制台来配置、打补丁和监控端点，而无需亲临现场。
这引出了一个合理的问题：将控制权从本地转移到互联网上，究竟是削弱了安全性，还是增强了安全性？
云管理能否保障分布式设备群的安全？
基于云的管理改变了设备群中可见性与控制的工作方式。管理员无需逐一检查每个站点，而是可以在一个地方看到每台设备的当前状态（补丁状态、正在运行的应用程序和配置状态）。
这种整合填补了分布式环境带来的空白：那些在故障发生之前都无法被发现的偏离策略的机器。在这种模式下，安全性主要取决于控制台能否为管理员提供准确、实时的设备群视图——以及无需访问每个站点即可采取行动的能力。
云端管理如何保障分布式端点的安全
以下是云端管理在规模化环境下支持端点安全的方式。
集中式可见性
分布式设备群会产生大量分散的信息，包括哪些机器已打补丁、哪些在运行未经授权的软件、哪些偏离了预期配置。依赖各站点的本地工具来回答这些问题，得到的往往是片面且过时的图景。
统一的云控制台从每台已注册设备收集数据，并在单一界面中显示。管理员基于一个最新数据源工作，而无需协调多个互不相连的数据源。这在规模化场景下尤为重要，因为不同工具之间的空隙往往是问题被忽视的地方。
“重启还原”作为内置恢复机制
大多数端点安全方案的设计思路是检测威胁并在造成损害之前将其阻止。这种方法依赖于识别恶意内容，因此可能会漏掉陌生威胁（包括零日漏洞利用）。”重启还原”（Reboot-to-Restore）则采用不同的思路：它将会话期间对机器所做的每一次更改都视为临时性的。
管理员设定一个已知良好的基线。设备重启后即恢复到该确切状态，丢弃此期间产生的任何恶意软件、错误配置或意外更改。它无需识别会话期间发生了什么就能将其撤销，因此对于检测工具遗漏的威胁而言，这是一种有效的兜底手段。
应用白名单
白名单颠覆了传统杀毒软件的模式。它不是阻止已知威胁并放行其他一切，而是只允许经批准的应用程序运行，默认阻止其他一切。由于它从”拒绝”而非”识别”出发，因此可以在没有签名或行为特征的情况下，阻止从未见过的软件。
通过中央控制台管理时，白名单策略可以通过审计模式一次性构建——该模式会捕获现有的经批准软件——然后统一应用到分组设备上。被阻止的尝试会被集中记录以供审查。
跨站点自动打补丁
未打补丁的软件仍是攻击者进入系统的最常见途径之一，而难点往往不在于补丁本身，而在于找出分布在众多站点中的哪些机器已经落后了。云控制台会扫描已注册端点，查找缺失的操作系统和第三方更新，并标记出过时的设备。
它还允许管理员为选定分组安排和批准部署。这样就不再需要逐一登录每台机器，补丁状态也能随时可见，无需等待人工审计来发现问题。
加密的、基于控制台的访问
由于云控制台通过互联网而非本地网络管理设备，端点与控制台之间的连接必须自行确保安全。受管理设备与云控制台之间传输的数据在传输过程中经过加密。大多数云端端点代理还会主动向管理服务发起出站连接（而非接受入站流量）。
这样就无需开放入站端口或使用 VPN。对控制台本身的访问通常由管理员设置的认证控制来把关。无论设备位于何处，配置更改和监控数据都仅限授权用户访问。
Faronics Cloud 将核心防护功能整合到单一的基于 Web 的控制台中，从补丁管理到应用白名单一应俱全。IT 团队无需访问任何一台机器，即可在任何数量的站点间保护和管理端点。
常见问题解答
云端管理是否与本地部署一样安全？
安全性更多取决于访问和数据的控制方式，而非控制台的托管位置。经过妥善防护的云控制台，其实际安全性可以达到甚至超过本地部署工具。
发往云控制台的传输数据如何保证安全？
受管理端点与云控制台之间的通信经过加密。大多数代理会发起出站连接，这减少了开放防火墙端口带来的风险。
能否用单个控制台管理多个站点？
可以。由于管理通过互联网进行，物理位置不会造成影响。每个站点的设备都上报到同一个控制台，管理员可以在其中对设备分组并应用针对特定站点的策略。
如果云服务提供商发生故障，端点安全会怎样？
本地强制执行的设置和防护措施仍会保留在设备上。故障期间，新的策略推送和实时监控会受限，直到控制台恢复可达。它不会移除已配置在端点上的安全措施。