企业官网建设流程全解析

简介：深信服终端安全管理系统EDR用户手册面向企业IT运维人员、安全管理员及终端安全初学者，系统讲解EDR产品的部署与日常使用，帮助读者解决终端设备与数据防护、恶意攻击识别及安全事件处置等实际问题。资源包共1个文件，为PDF格式的官方用户手册，压缩包约98.99MB，内容完整、版式规范，便于离线查阅与打印。手册围绕产品概述、关键特性、首次上线、产品使用指南与安全注意事项展开，涵盖实时监控、威胁检测、事件响应、资产管理等功能模块，并详细说明管理端与客户端安装环境、网络连通性要求、白名单收集、产品激活等准备工作，同时解释危险、警告、小心、注意等标志的使用原则，目录层级清晰，便于按章节检索。目前已有776人学习下载，适合需要快速上手EDR系统、对照官方文档完成部署配置与运维排障的读者参考。

1. 拿到一份 398 页的 EDR 手册，先别急着翻目录

很多做终端安全的同行拿到厂商手册的第一反应是直接搜关键词，结果在 398 页里翻了三小时还没找到「策略下发不生效」的排查路径。这份《终端安全管理系统 EDR 用户手册》的价值不在于它有多厚，而在于它把从管理端部署、授权激活、终端 Agent 分发到策略配置、威胁检测、联动响应的整条链路都写进了同一份文档里。它适合两类人：一类是刚接手终端安全平台、需要按步骤把管理端和 Agent 跑起来的运维；另一类是在已有环境里要做策略调优、联动排障、日志溯源的安全工程师。手册覆盖 Windows、Linux、macOS 和国产化终端四类部署场景，也给出了与上网行为管理、零信任接入、态势感知等设备联动的配置路径，这些内容在实际项目里往往是「知道有、但不知道参数填哪」的部分。下面按部署、策略、检测、联动、排障的顺序拆开讲，每一步都落到可操作的参数和命令上。

2. 管理端部署与授权激活：从环境核对到级联落地

2.1 管理端安装环境与网络连通性核对

部署管理端之前，先把环境核对做扎实，否则后面 Agent 注册失败、策略下发超时都会回头怀疑是产品问题。手册里把管理端安装环境和客户端安装环境分开列，实际项目里最容易翻车的是网络连通性这一项。常见做法是先确认管理端所在网段能覆盖所有终端网段，再确认终端到管理端的通信端口没有被中间防火墙拦掉。

我一般会先跑一遍连通性探测，把管理端 IP 和端口固定下来再往下走：

# 在终端侧探测管理端通信端口是否可达 # 假设管理端地址为 10.0.0.10，通信端口按手册默认配置 nc -zv 10.0.0.10 8083 nc -zv 10.0.0.10 443 # Windows 终端可用 PowerShell 测试端口 Test-NetConnection -ComputerName 10.0.0.10 -Port 8083

这段探测的逻辑很简单：nc -zv只做连接测试不传数据，-z表示扫描模式，-v输出详细结果。端口号要按实际部署时管理端配置的通信端口来填，不要照抄示例。如果终端侧探测不通，先查终端到管理端之间的路由和访问控制策略，再查管理端本机防火墙是否放行了对应端口。手册里网络连通性要求那一节列了管理端与终端之间需要放通的端口清单，部署前对着清单逐条核对，比事后排查省事得多。

环境核对还有一项容易被跳过：收集白名单文件。手册在准备工作里专门提到这一步，原因是首次上线时如果直接开全量查杀策略，业务系统里的老旧组件、自研工具很容易被误判。我的做法是先把业务侧已知的可信程序路径和哈希整理成清单，在策略配置阶段导入信任名单，再逐步放开检测强度。这个顺序反了，上线当天就会收到一堆业务中断的反馈。

2.2 软件管理端与硬件管理端的部署差异

手册把管理端部署分成软件管理端和硬件管理端两条路径，另外还有级联部署。软件管理端适合已有虚拟化资源、想复用现有服务器的场景，部署时按向导走完网络配置、管理员账号设置即可。硬件管理端则是上架设备后通过管理口做初始化，重点在管理口地址和管理端业务地址的区分，这两个地址配混了会导致终端能 ping 通管理口但注册不上。

级联部署是分支场景下的常见需求：总部部署一级管理端，分支部署二级管理端，二级向一级注册。手册里级联部署那一节给了注册方向和同步内容的说明。实操中要注意的是级联关系建立后，策略是从一级往下推还是二级本地维护，这个在部署前就要定好，否则后期改策略继承关系会牵动大量终端分组。我一般建议分支规模小于一定终端数时直接用一级管理端加分组管理，级联留给确实需要本地管理端做就近策略分发的场景。

部署完成后先别急着批量装 Agent，用一台测试终端走完注册流程，确认管理端能看到终端在线、能下发一条最简单的策略并生效，再铺开。这个「先通一条链路」的习惯能挡掉大部分部署阶段的低级问题。

2.3 销售授权与试用授权的激活路径

授权激活是手册里篇幅不小的一块，分销售授权激活、试用授权激活和国产化授权激活。销售授权激活需要导入授权文件，试用授权则是申请试用码后在线或离线激活。这里的关键参数是授权绑定的管理端标识，授权文件和管理端不匹配时激活会失败，报错信息通常只提示授权无效，不会直接告诉你绑错了设备。

# 查看管理端设备标识（具体命令以实际管理端系统为准） # 软件管理端通常在系统信息页展示设备标识 # 硬件管理端可通过管理口登录后查看设备序列号 cat /etc/edr/device_id 2>/dev/null || echo "请在管理端系统信息页核对设备标识"

上面这条命令只是示意设备标识的查看位置，实际以管理端界面显示为准。激活前把设备标识抄下来，和授权文件里的绑定信息比对，能省掉一轮返工。国产化授权激活单独列出来，是因为国产化终端环境的授权校验路径和通用版本不同，手册里对国产化终端部署和授权都有独立章节，做信创项目的同行要直接翻到对应部分，别拿通用流程套。

试用授权到期前手册建议提前处理，实际项目里试用转销售授权的窗口期要留够，授权切换过程中管理端功能可能短暂受限，安排在业务低峰期做。

2.4 分组管理与策略配置的先后顺序

手册把分组管理放在策略配置之前，这个顺序是有讲究的。策略是按分组下发的，分组结构没定好就配策略，后面调整分组会导致策略重新继承，已经调好的例外规则可能丢失。我的做法是先按组织架构或终端类型建两级分组，比如「总部-办公终端」「分支-服务器」，再在分组上挂策略。

策略配置分白名单策略和安全策略。白名单策略先配，把业务可信程序放进去，再配安全策略里的病毒查杀、实时防护、勒索防护。手册里策略配置那一节列了各类策略的开关和参数，实操中容易忽略的是策略的生效范围：一条策略配完要确认它绑到了哪些分组、这些分组下有多少终端在线，否则会出现「策略配了但没终端生效」的错觉。

# 策略下发后核对终端策略版本（示意，实际以管理端查询接口为准） # 在管理端终端列表筛选目标分组，查看策略版本号是否更新 # 若终端策略版本未变，检查终端是否在线、分组是否匹配

策略下发不是实时的，终端需要一次心跳或策略拉取才会更新。排查策略不生效时，先看终端在线状态，再看分组归属，最后看策略优先级。手册里对策略优先级的说明分散在策略配置章节，建议配策略时就把优先级规则记下来，多策略叠加时按优先级判断哪条生效。

3. 终端 Agent 部署：四类系统的分发与确认

3.1 Windows 终端 Agent 的静默安装与注册

Windows 终端数量大，逐台点安装不现实，手册里给了 Windows 系统部署的流程，实操中一般用静默安装加域策略或终端管理工具分发。安装包从管理端下载，安装时指定管理端地址和注册端口。

# Windows 终端 Agent 静默安装示例 # /S 表示静默安装，/SERVER 指定管理端地址，/PORT 指定注册端口 EDRAgent_Setup.exe /S /SERVER=10.0.0.10 /PORT=8083 /GROUP="总部/办公终端" # 安装后检查 Agent 服务状态 Get-Service | Where-Object {$_.Name -like "*EDR*"}

参数说明：/S是静默安装开关，/SERVER填管理端业务地址而不是管理口地址，/PORT与管理端配置的注册端口一致，/GROUP指定终端注册后落入的分组，这个参数能省掉装完再手动挪分组的工作。安装后查服务状态确认 Agent 进程起来了，但服务起来不等于注册成功，还要回管理端终端列表确认该终端在线。

常见翻车点是安装包版本和管理端版本不匹配。手册对应版本是 3.7.2，安装包要从当前管理端下载，别用旧包。另一个坑是终端上有其他安全软件拦截 Agent 安装，安装前先做兼容性确认，必要时加互斥排除。

3.2 Linux 服务器与 macOS 终端的部署要点

Linux 服务器部署走命令行安装，手册里给了 Linux 服务器部署的步骤。服务器场景的特点是通常没有图形界面，安装和注册全靠命令行，且服务器上跑着业务，安装前要确认 Agent 的资源占用和业务兼容性。

# Linux 服务器 Agent 安装示例 # 解压安装包后执行安装脚本，指定管理端地址和分组 tar -zxvf edr_agent_linux.tar.gz cd edr_agent_linux sudo ./install.sh --server 10.0.0.10 --port 8083 --group "总部/服务器" # 检查 Agent 进程和注册状态 ps -ef | grep -i edr sudo ./status.sh

--server和--port的含义与 Windows 侧一致，--group指定分组。status.sh是安装包自带的状�态查询脚本，输出里会显示注册状态和最近一次心跳时间。如果状态显示未注册，先查服务器到管理端的网络，再查安装时填的地址端口是否和管理端一致。

macOS 终端部署手册单独列了一节，流程和 Windows 类似但安装包格式不同，注意 macOS 的系统权限弹窗，静默部署需要提前处理辅助功能授权，否则 Agent 装上了但部分防护功能不生效。国产化终端部署是独立章节，信创环境下的安装包和授权都和通用版本分开，做国产化替换项目的同行直接按那一节的步骤走，别混用安装包。

3.3 Agent 部署成功确认与批量验证

手册里专门有一节「终端 Agent 部署成功确认」，说明这一步容易被跳过。部署成功不只是服务在跑，还要满足几个条件：终端在管理端显示在线、终端上报了资产信息、策略能下发到该终端。

# 批量验证 Linux 终端注册状态（在管理端侧通过接口或导出终端列表核对） # 示意：导出终端列表后按在线状态和最后心跳时间筛选 # 最后心跳时间超过阈值的终端标记为待排查 awk -F',' '$4=="offline" || $5>"2024-01-01 00:00:00" {print $1,$4,$5}' terminal_list.csv

这段 awk 只是示意批量核对思路：从管理端导出终端列表，按在线状态和最后心跳时间筛出异常终端。实际字段名以导出文件为准。批量部署后跑一遍这个核对，比逐台点开看效率高得多。离线终端优先查网络和 Agent 服务，在线但资产信息为空的查 Agent 权限，策略不下发的查分组归属。

4. 威胁检测与响应中心：查杀、基线、狩猎怎么配

4.1 病毒查杀与实时防护的策略参数

手册把病毒查杀、实时防护、勒索防护分成独立策略项。病毒查杀分全盘查杀和自定义查杀，全盘查杀资源占用高，一般安排在业务低峰期定时执行；实时防护是常驻的，文件落地、进程启动时做检测。勒索防护单独列出来，说明它对终端上文档类文件的写入行为有专门监控。

配置时的关键参数是检测动作：发现威胁后是仅告警、隔离还是删除。生产环境我一般先设告警加隔离，观察一段时间误报情况再收紧。手册里对各类检测动作的说明在策略配置章节，配之前把动作含义看清楚，尤其是「隔离」和「删除」的区别，隔离可恢复，删除不可逆，这个区别在误杀业务文件时就是后悔药。

实时防护的排除项要和信任名单配合用。信任名单在策略配置里有独立入口，把业务程序路径、哈希加进去，实时防护就不会对它做拦截。排除策略在响应中心里也有单独配置，两处的作用范围不同，信任名单偏策略层，排除策略偏检测响应层，配的时候别只配一处。

4.2 漏洞查补与基线检查的执行节奏

威胁检测章节里，终端漏洞查补和终端基线检查是两块独立能力。漏洞查补先扫描终端上的软件漏洞，再按漏洞等级下发补丁或给出修复建议。基线检查则是按安全基线模板核对终端配置，比如账号策略、共享设置、服务状态。

执行节奏上，漏洞扫描和基线检查都不建议全量高频跑。漏洞扫描按周或按月跑一次，基线检查在终端新入网和策略变更后跑。手册里对扫描任务的配置项包括扫描范围、扫描时间、是否自动修复，自动修复要谨慎开，补丁装出问题会影响业务。

基线检查的结果要落到整改闭环，手册里给了检查项和不合规项的展示，实操中把不合规项按终端分组导出，分给对应责任人整改，整改后再跑一次复核。这个闭环不做，基线检查就只是出了一份报告。

4.3 威胁狩猎与自定义 IOC 的落地用法

响应中心里的威胁狩猎和自定义 IOC 是进阶能力。威胁狩猎按条件检索终端上的进程、文件、网络连接等行为记录，适合在收到外部情报后做终端侧排查。自定义 IOC 则是把已知的恶意哈希、IP、域名录进去，让系统持续匹配。

# 自定义 IOC 导入格式示意（以管理端实际支持的格式为准） # 每行一条，类型,值,描述 hash,44d88612fea8a8f36de82e1278abb02f,示例恶意样本哈希 ip,203.0.113.10,示例恶意IP domain,malicious.example.com,示例恶意域名

导入前确认 IOC 格式和管理端要求一致，类型字段的取值按手册说明填。IOC 导入后不是立刻生效，要等终端下一次策略同步。威胁狩猎的检索条件组合有技巧：先用 IOC 命中做粗筛，再叠加进程路径、父进程、网络连接做细筛，避免一次拉太多结果看不过来。

4.4 联动响应的配置入口与常见组合

手册用了很大篇幅讲联动响应，覆盖与上网行为管理、零信任接入、态势感知、下一代防火墙、合规自检平台等的联动。联动的价值在于终端侧检测到的威胁能推到网络侧做阻断，或者网络侧发现的异常能反查终端。

配置联动的通用步骤是：在管理端填对端设备的地址和认证信息，选择联动场景，再在策略里启用对应联动动作。容易出错的是认证信息填错和对端设备版本不兼容，手册里对每类联动都给了前置条件，配之前先核对对端设备是否在支持列表里。联动日志在日志报表里有独立入口，联动不生效时先看联动日志有没有请求记录，再看对端设备有没有收到。

5. 避坑排查：五条血泪经验

5.1 终端显示在线但策略不下发

现象：管理端终端列表显示终端在线，但策略版本一直不更新，终端上的防护配置还是旧的。原因通常是终端注册到了错误的分组，或者策略优先级被更高优先级的策略覆盖。解决：先在终端详情里核对分组归属，再查该分组绑定的策略列表和优先级顺序，确认目标策略确实作用于该分组且优先级足够。手册里策略优先级规则要提前记牢，多策略叠加时按优先级判断。

5.2 Agent 安装成功但资产信息为空

现象：Agent 服务在跑，管理端也能看到终端，但资产信息（软件列表、硬件信息）采集不到。原因多是 Agent 权限不足，Linux 下非 root 安装、Windows 下服务账号权限受限都会导致采集失败。解决：Linux 用 root 或具备足够权限的账号重装，Windows 确认 Agent 服务以本地系统账号运行。手册里客户端安装环境那一节对权限有要求，装之前对照核对。

5.3 全盘查杀导致业务卡顿

现象：定时全盘查杀任务一跑，业务系统响应变慢，用户反馈明显。原因是全盘查杀的资源占用在业务高峰期叠加了业务负载。解决：把全盘查杀任务挪到业务低峰期，并在查杀策略里限制 CPU 占用上限；对服务器分组单独配查杀策略，排除业务数据目录。手册里病毒查杀策略有资源控制相关参数，配任务时一并设好。

5.4 联动配置后对端无响应

现象：管理端联动配置填完，触发联动时对端设备没反应，联动日志里只有请求没有响应。原因通常是对端设备地址端口填错、认证凭据失效，或对端设备版本不在支持范围。解决：先用管理端测试连通性，再核对认证凭据，最后确认对端设备版本。手册里每类联动的前置条件写得很细，配之前逐条核对，别凭经验填。

5.5 授权激活失败但报错信息笼统

现象：导入授权文件后提示授权无效，没有更具体的错误说明。原因多是授权文件绑定的设备标识和当前管理端不一致，或者授权类型和产品版本不匹配。解决：核对管理端设备标识和授权文件绑定信息，确认授权类型（销售/试用/国产化）和当前部署版本对应。手册里授权激活章节对各类授权的适用场景有说明，激活前先对号入座。

6. 日志报表与远程运维：把手册用成排障工具

手册的日志报表章节分了安全日志、联动日志、运维日志、操作日志和风险报告，这几类日志在排障时的用法不一样。安全日志看威胁检测和处置记录，联动日志看跨设备请求和响应，运维日志看管理端自身运行状态，操作日志看谁在什么时间改了什么配置。排障时按「现象属于哪类」先定位到对应日志，比在全部日志里翻要快。

远程运维是响应中心里的能力，可以对终端做远程命令执行、文件下发等操作。这个功能权限敏感，手册里对操作审计有要求，实操中建议限定到特定分组和特定账号，操作记录定期抽查。远程运维不是万能的，终端离线时下发不了指令，遇到离线终端还是得走现场或带外管理。

风险报告按周期生成，适合做安全运营的定期汇报。报告里的数据来源是各类日志和检测结果，报告准不准取决于前面的策略配得全不全、日志留得够不够。我一般每月导出一次风险报告，和上月对比看趋势，异常项单独拉出来跟进。

最后说一个我自己的习惯：每次接手一套 EDR 环境，先把手册里「首次上线」和「安装部署」两章对着现有环境过一遍，核对管理端版本、授权状态、终端分组和策略绑定关系，再动手改任何配置。这个动作看起来慢，但能挡掉大部分「改了策略不知道影响了谁」的问题。手册 398 页不可能一次读完，把它当排障时的对照表用，遇到具体问题翻对应章节，比通读一遍记得牢。希望帮到你。

本文还有配套的精品资源，点击获取