公司深信达360中软华泰浪潮威努特安点科技北信源
产品名称MCK云私钥服务器安全管理系统节点-操作系统安全加固主机安全增强系统InCloud   ×××主机安全加固系统主机安全防护系统信源工控卫士
适用场景终端加固/服务器加固服务器加固终端加固/服务器加固服务器加固终端加固/服务器加固终端加固/服务器加固终端加固/服务器加固
核心功能安全容器技术，场景级可信控制，磁盘加密，文件访问控制与恢复，运维管理，可视化集中管理。禁止非法提权、禁止恶意代码执行、禁止加载没有数字签名的驱动;通过Web中间件流量过滤探针，高效检测恶意网络流量，有效抵御CC***、sql注入、XSS跨站等常规网络***。另外，基于脚本虚拟机（沙盒）的无签名WebShell检测技术，有效检测各种加密WEBSHELL、变形WEBSHELL等未知安全威胁。双因素身份认证, 文件自主访问控制, 执行程序控制:结合可信计算技术，采用白名单机制，提供执行程序可信度量，阻止非授权及不符合预期的执行程序运行，实现对已知/未知恶意代码的主动防御，降低操作系统完整性及可用性被破坏的风险。降低超级用户权限被窃取后系统被肆意非法操作的风险, 仅允许白名单库中的应用程序运行，而所有未在白名单库中的应用程序均被禁止，防止恶意软件加载, 移动存储介质使用行为的检测与控制, 通过黑白名单来禁止或允许源IP对目的IP的访问, 日志审计, 关键事件告警, 统计报表。USB Key和密码双重身份鉴别, 文件、进程、注册表及服务的强制访问控制, 详细记录安全事件、管理员对操作系统的操作、安全管理员和审计管理员对服务器安全加固系统的操作。合规检查：对主机硬件资源的使用情况、口令策略、安全配置等信息进行合规性检查。 主机加固：从硬件层、内核层和应用层三个层次对系统进行加固增强。 进程管控：采用实时监控进程信息，控制主机的可信进程运行，对非法进程进行阻拦报警。 文件管控 ：阻止对主机应用程序文件的非法操作，并支持文件还原恢复。 外联管控：对接入USB设备的读、写和执行等操作行为监控，防止未知USB存储设备接入。 防护审计：对操作日志、业务日志、系统日志等信息进行收集、展示、查询、统计，并生成可定制的审计报表。智能识别应用并生成白名单, 限制未经授权的USB外设在特定的主机上运行, 采用独有的工控网络防护方法，能有效阻止Havex、沙虫等最新工控病毒、BadUSB等最新针对工控网络的***方法, 在不影响正常业务的运行下，采用白名单策略来实现对进程、外设、网络的防护，实现可持续的行为安全性。
实现原理容器技术，强制访问控制，运维流程审批审计内核级加固，强制访问控制，应用自保护，沙盒, Web中间件, 运行时应用自我防护进程控制，文件保险柜（估计配合进程访问控制）在操作系统内核层实现文件，注册表，进程等对象的强制访问控制以可信认证为基础、访问控制为核心，采用“三权分立”的管理机制，通过对文件、目录、进程、注册表和服务的强制访问控制进程控制，访问控制，漏洞扫描，外设控制只允许操作系统运行受信任的对象，能有效的防止未知恶意程序（病毒、***及其变种）的运行。它尤其适用于工控环境，能为工控上位机（工程师站、操作员站等）与工控服务器（应用服务器、实时数据服务器、历史数据服务器、OPC服务器等）提供全面的安全管理、检测、防御和安全加固。
支持的OSWindows/LinuxWindows/Linuxwindows、linux、Aix、solarisWindows/LinuxWindows/Linux

防火墙基础防火墙+内容过滤流量级防火墙无ip过滤防火墙+tcp监控无无工控网络防护
进程控制场景级可信进程控制签名判断进程控制白名单进程控制白名单进程控制白名单进程控制白名单进程控制动态白名单进程控制
进程劫持防护有，安全容器拦截所有恶意dll注入部分，虚拟化拦截对业务系统的恶意dll注入无无无无无
反病毒***安全容器环境机制病毒库机制进程白名单机制进程白名单机制进程白名单机制进程白名单机制工控病毒防护
防******禁止不符合预期程序执行防止提权，一旦提权成功，无法限制限制不符合预期程序执行。管理员可以卸载限制白名单外程序执行，无法限制管理员访问控制、无法限制管理员限制白名单外程序执行，无法限制管理员限制白名单外程序执行
漏洞扫描无无无安全基线机制无合规性检测无
敏感数据访问控制磁盘加密，基于进程访问控制根据行为规则限制文件保密柜，文件加解密无访问控制访问控制无
文件防篡改轮巡式文件恢复无无文件完整性定期检测文件完整性检测文件恢复无
权限限制额外的权限校验无无额外的权限控制制约和分离权限机制无无
数据库防护加固SQL语句过滤无无无无无无
集中化管理有有有有有有有
高级运维管理，管控运维流程三权分立运维管控，运维行为审计无无无无无无
安全环境容器技术定格安全环境，限制一切非法程序，脚本。并防止容器内数据窃取新的虚拟化安全域，限制服务在受限环境内运行；内核探针技术，限制进程和网络进程限制分等级的安全策略模板，移动介质监控强制访问控制，外设控制进程可信控制，外设控制工控主机的“白名单”环境,外设控制
操作系统管理员权限丢失时是否继续保护可以不能不能不能不能不能不能
优点新的容器技术机制，加大***破解难度。完善的运维管控及多因素身份认证，防止了内部不安全的操作新的虚拟化防御技术机制，隔离了业务服务。网络防护能力优秀，对网站服务器防护比较偏重多系统支持，多因素身份识别防护功能比较全面，分等级的安全防控多因素身份识别,外设控制基于合规性的安全扫描，防止弱密码等低级安全漏洞。外设控制针对工控系统的安全防护，动态白名单机制
缺点边界防护较弱，对外设及网络边界控制力不够文件保护较弱，且对绕过防火墙***的防护较弱。业务服务隔离保护了业务系统，但是对整体系统保护欠缺文件防护能力较弱，进程控制技术落后，安装繁琐防护技术比较平庸，无特别强的防御机制防御机制单一，需要采购其他产品配套防御进程控制技术落后对文件数据防护较弱,防护机制简单