SEP Cloud新版可管控行動裝置，新增端點電腦強制使用密碼保護

隨著發表Symantec Endpoint Protection（SEP）14大改版，Symantec也趕在2016年底，同時推出全新版本的雲端主控臺防毒軟體Symantec Endpoint Protection Cloud（以下簡稱SEP Cloud），提供較為完整的政策機制，並且同時支援Windows、macOS、Android、iOS等多種作業系統平臺。

有別於其他提供雲端主控臺的防毒服務，以往，Symantec將這種部署方式，歸類於小型企業版端點防護產品Symantec Endpoint Protection Small Business Edition（SEP SBE）的附屬選項，而且無論是支援端點平臺的豐富程度與功能，都與這些廠牌的產品有相當的差距。新版SEP Cloud為獨立產品，無論是管理平臺，還是端點電腦的防毒軟體，介面都與以往相當不同。

原廠強調，導入這款產品極為容易，只要依照4個步驟指示，就能完成部署：依序是修改政策、新增Apple憑證（APN）、建立使用者，以及最後加入端點電腦與行動裝置。其中，加入需要列管的端點裝置，主要是由使用者自行操作，因此，基本上，管理者只需完成前3項工作即可。

可快速總覽內部端點狀態的儀表板

SEP Cloud採用極為簡潔的儀表板，將內容儘可能擺放在一頁之中，不像過往的雲端防毒服務，提供大量的圖表，管理者需要不停向下捲動頁面，才能看完。而且，這裡的圖表，管理者可直接點選右上角的圖示，輸出成PDF或CSV檔案，做為進一步分析之用。

能同時列管PC及行動裝置，計價方式改採使用者人數為主

SEP Cloud的管理介面風格，與進階威脅偵防系統Advanced Threat Protection（ATP）相似，採用圖表等大量視覺化手法呈現相關資訊；至於端點防毒軟體的部分，則較接近個人端產品Norton Security，以白色介面配上4大功能按鈕，雖然名為SEP雲端主控臺版本，但實際上感覺很像可由主控臺集中管理的精簡版Norton Security。

此外，有別於舊版本採取端點的數量計價，新版SEP Cloud則只有Windows伺服器端點的部分以電腦臺數為基礎，而一般電腦與行動裝置端點的部分，改採取使用者人數計價。這樣的做法，則與Sophos Central端點防護產品計價的方式較為接近，對於擁有多個裝置的使用者而言，企業只需支付一個使用者的授權費用即可。不過，值得注意的是，每個使用者可受到SEP Cloud保護的裝置數量，最多為5臺（個人電腦、手機、平板電腦）。

此外，針對Windows伺服器以外的端點電腦，SEP Cloud也提供了資料加密的選用功能Endpoint Encryption，保護裝置的內容。這個附加功能，主要在於提供全硬碟加密（FDE）功能，並能透過SEP Cloud主控臺集中管理，達到基本的法規遵循要求。

進入到SEP Cloud的管理介面中，採取極為簡單清爽的風格，功能表彙整到只有5個項目：儀表板、警示與通知、使用者管理、政策，以及系統設定，相較於舊版試圖想要呈現大量資訊的做法而言，新的SEP Cloud管理者較為容易上手，由於主控臺也對於行動裝置最佳化，我們實際以手機瀏覽器登入操作，無須自行縮放，算是相當不錯。

不過，SEP Cloud僅提供儀表板資料輸出，並沒有主題式的報告功能，若要匯出相關的安全狀態資料，只能轉存為PDF或是CSV檔案，未來應該要加入更多報表功能，輔助管理者掌握端點防護與威脅情報。

極為精簡的端點代理程式

從SEP Cloud端點電腦的防毒軟體介面來看，與Symantec針對家用及個人電腦的Norton Security軟體非常相似，但只有快速掃描、線上更新、執行記錄，以及可開關各功能模組的進階選項，而沒有身分防護與系統最佳化等額外的功能。

提供端點攻擊事件的建議處置步驟

在SEP Cloud的管理介面中，可列出端點電腦的軟硬資訊，以及重要警示與事件通知。在警示訊息中，管理者可針對單一事件，瀏覽詳細的資訊，並得知後續如何處理。以圖中的事件來說，由於SEP Cloud已經攔截，因此顯示無須執行任何操作。

採用更容易判讀情勢的儀表板

在SEP Cloud的儀表板中，主要提供兩種類型的資訊，一種是以數字呈現的指標，另一種則是展現分布情形的圖表，而這些內容大致上都在一個頁面中呈現，因此在電腦螢幕上，管理者不太需要往下翻頁，就能看到所有系統提醒的資訊。

由數字呈現的內容中，包含了2種24小時內較緊急、需要趕快處理的問題，以及2種7天內發生情況的統計數值。前者包含了處於風險的裝置，與系統安全性受到破壞的裝置數量，因此管理者可依據這兩個類型的資料，檢視有問題的端點電腦。

另外2種數值，則是7天之內發生異常使用者行為與攻擊事件的資訊，對於近期公司內部情況的掌握，管理者也能得知其中容易遭受攻擊的時段。

至於圖表的部分，則有裝置狀態、公司內端點電腦的作業系統分布、近期發現的威脅走勢圖，以及SEP Cloud系統出現重大情況的行事曆等4個項目。對於想要著手調查公司內部端點的遇到的攻擊事件，就能夠透過端點電腦的防護狀態、作業系統種類、威脅攻擊發生的時間點等條件，進一步調查。

能總覽特定時段防護狀態

在威脅事件的統計中，SEP Cloud可呈現最近一段時間中，發生攻擊的頻率，這裡也提供以特定關鍵字過濾的搜尋功能，管理者便能以事件關鍵字，或是以過濾器設定時段、嚴重程度與類別進行調查。

提供兩種用戶端註冊方式

若是想要部署SEP Cloud防毒軟體，總共有兩種方法，首先可直接從雲端主控臺下載安裝程式部署，而這種方式只適用於Windows作業系統的端點電腦。

另一種方式，則是由管理者建立使用者帳號，或者是透過目錄服務匯入的用戶資料，然後寄發啟用帳號的電子郵件，由端點電腦的使用者自行安裝。這個方式可適用於多種作業系統平臺，使用者在收到管理者寄送的電子郵件後，依據指示登入個人的雲端專屬管理介面，並將裝置註冊。

值得一提的是，SEP Cloud也納入了Azure AD、VIP Access Manager與Okta等身分管理雲端服務的登入整合支援，基於這些使用者認證機制的企業，就能直接匯入帳號，無須再逐筆建立。不過，對於採用Windows AD或LDAP目錄服務的企業而言，SEP Cloud並沒有直接支援，因此企業要將使用者清單加入SEP Cloud，可能就要透過其他方式轉換，再提供給SEP Cloud。

另外，SEP Cloud也支援與同廠牌的IT Management Suite（ITMS）整合，若是企業已經部署這套資產管理軟體，IT人員可授權ITMS接收SEP Cloud的資料，管理者就能透過ITMS的管理主控臺，直接檢視，減少在兩個主控臺之間切換的頻率。

除此之外，在端點電腦的部分，SEP Cloud區隔了公司電腦與個人持有設備，供管理者套用不同程度的防護政策，進行差異化控管。

可橫跨不同平臺的端點電腦、行動裝置採用同一套密碼保護政策

針對端點電腦的管制政策中，SEP Cloud仍維持系統與端點功能設定（安全政策）分開的做法，並加入針對電子郵件與無線網路存取政策。

值得一提的是，這裡的政策設定大部分可同時套用在多種作業平臺中，因此SEP Cloud在設定項目裡，都會標示涵蓋的平臺類型。例如，防毒軟體的即時檔案掃描、檔案信譽評等，以及應用程式行為監控，只適用於Windows與macOS的端點電腦，在Android與iOS行動裝置並沒有相關功能。

而系統政策的部分，主要是設定自動更新的時間，以及代理伺服器的設定，除此之外主要可調整的部分，都在安全政策的項目之中。

針對端點的防護能力，在SEP先前版本的做法中，主要是提供各模組，包含防毒、SONAR行為辨識、防間諜軟體、網頁瀏覽器防護等功能的啟用與否，而SEP Cloud的選項則更為簡化，一共有即時掃描、檔案信譽評等、應用程式行為監控、網路入侵防護、防火牆等6個項目，此外，管理者也可指定其中部分的防護模組，開放使用者可暫時停用的彈性。

管理者可透過SEP Cloud，要求端點裝置必須強制使用密碼，並且規範密碼的強度，以及密碼的有效期限、重復使用的限制，還有裝置待機自動系統鎖定的時間等，算是不錯。這裡完全以選項供管理者拖曳設定，例如在密碼有效期限中，只有1個月、3個月、6個月與1年共4個時間可選，但不能自訂到期的天數，彈性較為不足。

在裝置管理的部分，SEP Cloud對於Windows平臺上的外接儲存裝置，則能夠限制唯讀或是完全封鎖。但除此之外，SEP Cloud無法像許多企業版防毒軟體一樣，管理其他的外接裝置，像是無線網路卡、印表機等。同時，管理者也能禁止列管的連網裝置使用相機鏡頭，這樣的防護顯然是針對手機與平板電腦而用，避免機密外洩的風險。

此外，在PC、伺服器、Mac電腦端點上，SEP Cloud也可設定排除掃描指定的檔案、資料夾，或是某種類型的副檔名，避免企業內專用的應用程式被誤判為惡意軟體，而無法正常運作。只是這樣的功能，在其他同類型產品多數已是標準配備，對於這套產品而言算是終於提供。

對於行動裝置，這款端點防護軟體服務可執行遠端停用的封鎖程序，或是回到出廠預設值，但相較於其他端點防護產品，SEP Cloud只能看到端點電腦已經安裝的軟體清單，以及這些軟體的版本，但無法針對應用程式進行控管。

可快速調整密碼管制政策

在調整密碼政策的部分，管理者透過滑動的方式，就可輕易設定，包含長度、有效期限、輸入密碼失敗次數限制等，而這樣的機制可一次套用到3種作業平臺。管理者若是改用手機或平板電腦，以觸控操作的方式，也相當容易修改。

針對行動裝置，新增電子郵件與無線網路專屬政策

值值得一提的是，針對行動裝置，SEP Cloud加入了電子郵件與無線網路存取的政策，不過，這兩種政策預設沒有啟用，必須手動建立。

在電子郵件政策的部分，主要的功能是提供強制以SSL加密方式傳輸，並能在行動裝置疑似遭受攻擊，或是已經遭駭時，停止存取公司郵件的能力。此外，管理者也可指定行動裝置自動同步公司信箱內容的周期。

而對於無線網路的管制，則是可限制裝置能否自動加入，或是連線後能否看見網域中的其他裝置，並且強制要求透過指定加密連線。這項管制政策，對於已經識別為異常狀態的裝置，也可自動停用其存取公司無線網路的能力。

值得一提的是，雖然無線網路的政策只標示能涵蓋macOS、Android與iOS平臺，但原廠表示，這項政策也同時支援Windows作業系統的筆電與平板電腦。

提供行動版本App

SEP Cloud的行動App在主要畫面（左圖）中，只有顯示與主控臺的連結狀態，以及最近掃描時間與下一次排程等資訊，並未提供系統最佳化與應用程式評等的功能。而我們實際部署的Android裝置中，發生無法執行系統掃描的情況，原廠目前還在釐清原因當中。

臺灣企業目前仍難以試用或購買

得注意的是，透過線上申請，就能免費試用60天SEP Cloud，而且管理介面已經完全中文化，但由於這款產品目前只開放美國地區試用，申請過程中，必須填寫當地的郵遞區號、住址、電話，無法輸入臺灣本地的通訊資料註冊，我們雖然還是設法通過註冊程序，但如果企業要在這樣的狀態正式採用，顯然就不太合適。

假如企業想要直接線上租用SEP Cloud服務，原廠僅開放美國、加拿大、英國、澳洲等國家，其他地區的企業則還要再等等。

 整合行動裝置管理的SEP Cloud 

雖然在Symantec的產品定位上，視SEP Cloud為針對中小型企業設計的防護服務，並取代SEP SBE，但值得注意的是，假如你是SEP SBE的用戶，SEP Cloud不再同時提供雲端主控臺與企業內部建置兩種部署選項，對於需要防護沒有連線到網際網路的端點電腦而言，企業可能就要採用SEP。此外，舊版SEP SBE無法升級SEP Cloud，對於已經採用SEP SBE的企業來說，採購SEP Cloud就必須重新設定與部署。

相較於SEP SBE與企業內部建置的SEP，SEP Cloud不只能支援macOS，還可直接將行動裝置納入防護，而且，管理者可隨時切換管理介面的語系，因此也無須建置時就決定。

就管理介面風格而言，SEP Cloud與ATP:Endpoint端點進階威脅防護產品相似，不過，若想要採用ATP:Endpoint，必須與SEP 14搭配，原廠目前還沒有針對SEP Cloud推出相關的功能。

此外，在作業系統的支援上，SEP Cloud不再支援已經結束產品生命周期的Windows XP與Windows Server 2003，對於仍然在使用這兩款作業系統的企業來說，SEP Cloud便無法提供防護。

SEP Cloud不只能夠提供端點電腦防護能力，同時也支援了列管Android與iOS行動裝置平臺，並且可將不同版本加以區分，讓管理者可進行分析。

 產品資訊 

SEP Cloud

●　原廠：Symantec(02)8726-2000

●　建議售價：每個使用者（最多防護5個裝置）每年為49美元，每臺伺服器每年為38美元

●　選購加密模組：Endpoint Encryption

●　支援作業系統：Windows 7~10、Windows Server 2008 R2~2016、macOS 10.9、Android 4.2、iOS 8.0以上

●　支援瀏覽器：IE 9、Firefox 47、Chrome 53、Edge、Safari 7以上版本

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商。】