简介奇安信天擎终端安全管理系统管理员手册面向企业终端安全运维人员、系统管理员及安全初学者提供从产品认知到部署落地的完整指导。手册围绕产品简介、主要功能、典型部署场景与部署形态四大模块展开涵盖终端安全管理、恶意代码检测、网络攻击防护、数据加密与身份验证等核心能力并详细说明互联网络、隔离网络、多级级联及高级版EDR等部署方案以及单机与集群两种部署形态帮助读者理解终端安全防护要点与配置思路。资源为1个PDF文档压缩包约23.07MB内容完整、目录清晰便于按章节检索查阅。目前已有3886人学习下载适合需要系统掌握奇安信天擎管理方法、对照实际环境规划部署的安全从业者参考使用。1. 从一台被隔离的终端说起天擎 V10.0 管理端部署前必须对齐的三件事很多管理员第一次接触天擎 V10.0是在一台已经装好控制台的服务器上点来点去觉得“这不就是个 Web 后台”。真正翻车的是要自己从零搭一套环境的时候管理中心装完终端死活注册不上或者终端注册上了策略下发下去没反应再或者更新包传上去管理中心自己先卡死了。这套终端安全管理系统在政企内网里太常见了常见到很多人默认“它应该跟装个普通软件一样”结果在端口、证书、通信地址这三件事上反复踩坑。这篇笔记按我自己的部署习惯把 V10.0 管理端从环境准备到验证跑通拆一遍适合第一次独立部署天擎的运维也适合装过旧版本、想理清 V10.0 差异的老手。下面所有操作都基于管理员手册里的部署场景和基础功能章节不额外引入手册没提的组件。2. 装之前先把环境定死管理中心、数据库与通信地址的版本选择2.1 管理中心与数据库的版本对应关系天擎 V10.0 的管理中心是整套系统的核心终端注册、策略下发、更新分发、日志上报都绕不开它。手册里把部署形态分成单机部署和集群部署单机适合终端规模在几百台以内的场景集群适合上千台终端或者对可用性有要求的场景。我一般会先确认终端规模再决定装单机还是集群因为这两种形态对数据库和通信地址的要求不一样。数据库这块手册没有在正文里写死具体版本号但根据典型部署场景的描述管理中心需要独立的关系型数据库实例。常见做法是管理中心和数据库分开两台机器数据库单独做备份策略。如果你把数据库和管理中心塞在同一台机器上终端数量一上来磁盘 I/O 会先扛不住表现就是控制台页面加载变慢、策略下发延迟。部署形态适用终端规模数据库位置通信地址要求单机部署几百台以内可同机可独立一个固定 IP 或域名集群部署上千台必须独立负载均衡地址或统一域名通信地址是新手最容易忽略的一项。手册在“管理中心的通信地址”和“自动切换服务器”两节里专门讲了这件事。终端注册时填的地址必须和管理中心实际监听的地址一致。如果你装的时候用的是临时 IP后面再改终端不会自动跟着变得重新注册或者走迁移终端流程。2.2 安装前的系统检查清单在放安装包之前我习惯先过一遍系统层的东西。天擎管理中心对操作系统的要求手册里没有在正文里逐条列但根据典型部署场景的上下文常见做法是主流 Linux 发行版和 Windows Server 都支持具体以你拿到的安装包里的说明为准。下面这几项是我每次都会确认的# 确认系统时间与时区时间偏差会导致终端注册握手失败 date timedatectl status # 确认磁盘空间管理中心日志和更新包会持续占用 df -h /opt /var /data # 确认端口占用管理中心默认会监听多个端口 ss -tlnp | grep -E 80|443|8080|8443 # 确认主机名解析集群部署时节点之间要能互相解析 cat /etc/hosts hostname -f时间同步这件事看起来小但终端注册时如果管理中心和终端时间差超过几分钟握手直接失败日志里只会写“注册超时”不会告诉你是因为时间不对。我一般会在装之前先把 NTP 对齐再往下走。端口占用也要提前看。如果你打算用 80 或 443 给控制台先确认没有别的 Web 服务占着。手册里“系统设置”和“通用设置”部分可以改控制台端口但改端口之后终端注册地址也要跟着改不如一开始就规划好。2.3 安装包获取与校验安装包从官方渠道拿拿到之后先校验完整性。手册没有在正文里写校验命令但这是运维的基本习惯。常见做法是用安装包自带的校验文件比对哈希值# 假设安装包和校验文件在同一目录 sha256sum -c qax-tianqing-v10.0.sha256 # 如果没有校验文件至少确认文件大小和官方发布页一致 ls -lh qax-tianqing-v10.0-installer.tar.gz校验不通过就别往下装了重新拿包。我见过因为安装包传输不完整导致管理中心装到一半报“解压失败”的情况排查半天以为是系统问题最后发现是包本身缺了几百字节。3. 管理中心安装与初始化从静默安装到首次登录3.1 执行安装脚本与关键参数说明天擎 V10.0 管理中心的安装手册里归在“管理系统更新”和“典型部署场景”相关章节的上下文里。实际安装时安装包一般会提供一个交互式脚本或者静默安装参数。我习惯用静默方式因为参数可以提前写进配置文件避免手抖选错。# 解压安装包 tar -zxvf qax-tianqing-v10.0-installer.tar.gz -C /opt/ # 进入安装目录 cd /opt/qax-tianqing-v10.0-installer/ # 执行安装脚本指定数据库连接和管理中心通信地址 ./install.sh \ --db-host 192.168.10.21 \ --db-port 3306 \ --db-name tianqing \ --db-user tq_admin \ --db-pass YourStrongPass \ --center-ip 192.168.10.10 \ --center-port 8443 \ --install-dir /opt/qax/tianqing这里几个参数值得展开说。--db-host和--db-port指向你提前准备好的数据库实例数据库要先建好库和账号安装脚本不会帮你建库。--center-ip是终端将来要注册的地址这个值一旦写进终端注册包后面改起来很麻烦所以装之前就要定死。--center-port是管理中心服务端口默认 8443如果你前面有反向代理这里可以改成后端实际端口。安装脚本跑完会提示“安装成功”但别急着开控制台。先确认服务状态# 查看管理中心服务状态 systemctl status qax-tianqing-center # 查看服务日志确认没有报错 tail -n 100 /opt/qax/tianqing/logs/center.log如果服务起不来日志里通常会写具体原因比如数据库连不上、端口被占用、证书文件缺失。数据库连不上是最常见的先检查数据库账号权限和防火墙。3.2 首次登录与许可证导入服务正常之后浏览器访问https://192.168.10.10:8443会看到登录页。默认管理员账号和密码在安装完成时的提示里或者手册的“许可证管理”和“系统设置”章节有说明。第一次登录会强制改密码改完密码之后要导入许可证。许可证导入在“许可证管理”章节里有详细说明路径是控制台的许可证管理页面。导入之后许可证概况会显示授权终端数和到期时间。如果许可证没导入或者过期终端注册会受限表现是终端能连上但策略不下发。# 如果许可证文件是离线导入的确认文件权限 ls -l /opt/qax/tianqing/license/ # 导入后查看许可证状态 cat /opt/qax/tianqing/license/license.status许可证这块有个坑集群部署时许可证要在主节点导入然后同步到其他节点。如果你在每个节点单独导入可能会出现授权数重复计算的问题。3.3 通信地址与自动切换服务器配置管理中心装好之后第一件事是确认通信地址。手册在“管理中心的通信地址”和“自动切换服务器”两节里讲了怎么配。路径是控制台的系统设置或者终端管理相关页面。通信地址的作用是告诉终端“你应该连哪个 IP”。如果你后面要换服务器或者加节点终端不需要重新注册只要通信地址列表里有新地址终端会自动切换。我一般会配两个地址一个主地址一个备用地址。主地址挂了终端会尝试备用地址。# 在管理中心配置文件里确认通信地址列表 cat /opt/qax/tianqing/conf/center-address.conf # 输出示例 # primary192.168.10.10:8443 # backup192.168.10.11:8443自动切换服务器的触发条件在手册里有说明常见做法是终端连续几次心跳失败后触发切换。切换过程中终端会短暂离线但策略和日志不会丢恢复连接后会补传。4. 终端注册与策略下发让第一台终端跑起来4.1 生成终端安装包与注册参数管理中心装好之后下一步是让终端注册上来。手册在“终端部署日志”和“终端更新配置”相关章节里提到了终端安装包的生成方式。路径是控制台的终端管理或者部署管理页面选择对应操作系统生成安装包。生成安装包时最关键的是注册地址。这个地址就是前面配的通信地址终端装完之后会拿这个地址去连管理中心。如果你生成安装包时填错了地址终端装完连不上只能卸载重装或者手动改注册表。# 终端安装包在管理中心的存放路径 ls -l /opt/qax/tianqing/deploy/ # 输出示例 # tianqing-agent-linux-x64.run # tianqing-agent-windows-x64.exeLinux 终端的安装命令一般是这样# 给安装包加执行权限 chmod x tianqing-agent-linux-x64.run # 静默安装指定注册地址 ./tianqing-agent-linux-x64.run --silent --server 192.168.10.10:8443 # 查看终端服务状态 systemctl status qax-tianqing-agentWindows 终端用 exe 安装包双击或者用命令行静默安装参数类似。安装完之后终端会主动向管理中心注册注册成功后在控制台的终端概况里能看到这台机器。4.2 终端分组与策略绑定终端注册上来之后默认在“未分组”或者“默认分组”里。手册在“终端分组”和“策略管理”章节里讲了怎么建分组、怎么绑策略。我一般会按部门或者按操作系统建分组因为不同部门的策略可能不一样。策略绑定之后终端不会立刻生效要等下一次心跳。心跳间隔在“终端更新配置”里有说明常见做法是几分钟一次。如果你想立刻验证可以在控制台手动触发一次策略下发。# 在终端上查看策略是否已下发 cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件为空或者不存在说明策略还没下发到终端策略下发失败的原因很多最常见的是终端和管理中心之间网络不通或者终端服务没起来。先看终端日志# 查看终端日志 tail -n 100 /opt/qax/tianqing-agent/logs/agent.log # 如果看到 connect failed 或者 register timeout先检查网络和注册地址4.3 验证终端在线与策略生效终端在线状态在控制台的终端概况里看。如果终端显示离线但终端服务是起来的先看终端日志里的注册地址对不对。手册在“终端排障日志”和“终端部署日志”里讲了怎么排查这类问题。策略生效的验证方法我一般会建一条最简单的策略比如禁止某个进程运行然后在那台终端上试。如果策略生效进程会被拦截如果不生效看策略的优先级和分组绑定关系。手册在“强制策略”和“用户策略”里讲了优先级规则强制策略优先级高于用户策略分组策略优先级高于全局策略。5. 更新管理与避坑在线更新、离线更新和覆盖安装怎么选5.1 在线更新与离线更新的适用场景手册在“更新管理”章节里把更新方式分得很细在线更新、离线更新、覆盖安装、P2P、定时更新、自动更新、手动更新。我一般按网络环境选能连外网的管理中心用在线更新隔离网用离线工具更新。在线更新的路径是控制台的更新管理页面点“在线更新”之后管理中心会去拉更新包。拉完之后可以选择立即更新或者定时更新。我一般选定时更新放在业务低峰期因为更新过程中管理中心会重启服务终端会短暂离线。离线更新适用于隔离网。手册在“隔离网部署的管理中心如何更新”和“孤岛终端如何更新”两节里讲了具体流程。大致是在外网机器上下载离线更新工具和更新包拷进隔离网在管理中心上执行离线更新。# 离线更新工具一般是个可执行文件用法示例 ./qax-tianqing-offline-update --package /path/to/update.pkg --center /opt/qax/tianqing # 更新完成后查看版本号 cat /opt/qax/tianqing/conf/version.conf覆盖安装更新是另一种方式相当于用新版本安装包直接覆盖旧版本。手册在“覆盖安装更新”一节里写了注意事项覆盖安装前要备份数据库和配置文件覆盖安装后要检查许可证和服务状态。我一般只在在线更新和离线更新都失败的情况下才用覆盖安装因为风险最高。5.2 更新时的带宽控制与风险降低手册在“如何降低更新带来的风险”和“如何减小更新时占用带宽对业务的影响”两节里给了具体建议。我自己的做法是更新前先备份数据库更新时限制并发终端数更新后先验证几台终端再全量推。带宽控制这块管理中心可以配 P2P 分发。P2P 的好处是终端之间互相传更新包减轻管理中心压力。但 P2P 在隔离网里效果一般因为终端之间可能不通。我一般会在终端数量多、网络条件好的场景开 P2P否则还是走管理中心直推。# 查看更新任务状态 cat /opt/qax/tianqing/logs/update.log | tail -n 50 # 如果看到 bandwidth limit reached说明并发太高需要调低并发数更新过程中如果管理中心卡死先看磁盘空间和数据库连接数。更新包会占用大量磁盘数据库连接数在更新时会飙升。如果磁盘满了更新会中断管理中心可能起不来。5.3 更新后终端不生效的排查更新完管理中心之后终端不会自动更新要等终端更新策略触发。手册在“终端更新配置”和“终端更新日志”里讲了怎么配终端更新策略。常见做法是管理中心更新完之后先不推终端等验证没问题再推。如果你发现管理中心更新了但终端还是旧版本先看终端更新日志# 查看终端更新日志 tail -n 100 /opt/qax/tianqing-agent/logs/update.log # 如果看到 server version mismatch说明终端还没收到更新通知终端更新失败的原因可能是终端离线、磁盘空间不足、或者更新包下载不完整。手册在“终端更新日志”里列了几种常见错误码对照着看就行。6. 避坑与排查天擎 V10.0 部署中最容易翻车的五个点6.1 终端注册不上日志只写“注册超时”现象终端安装完服务也起来了但控制台里看不到这台终端终端日志里只有“register timeout”。原因最常见的是终端和管理中心之间网络不通或者注册地址填错了。还有一种情况是管理中心的时间不对终端和管理中心时间差太大握手失败。解决先在终端上 ping 管理中心地址确认网络通。然后检查终端配置文件里的注册地址cat /opt/qax/tianqing-agent/conf/server.conf # 确认 address 字段和管理中心通信地址一致如果地址对、网络通再检查管理中心的时间date # 和管理中心时间比对偏差超过 5 分钟就要同步6.2 策略下发后终端没反应现象控制台显示策略已下发但终端上策略没生效。原因策略绑定关系不对或者终端不在策略生效的分组里。还有一种情况是策略优先级被更高的策略覆盖了。解决先确认终端在哪个分组再看那个分组绑了哪些策略。手册在“策略管理”和“终端分组”里讲了优先级规则。如果终端同时属于多个分组策略会按优先级合并高优先级的生效。# 在终端上查看当前生效的策略 cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件里没有你刚下发的策略说明策略没到终端6.3 管理中心更新后起不来现象执行完更新管理中心服务起不来控制台打不开。原因更新过程中数据库结构变了但数据库没升级成功或者更新包不完整文件缺失。解决先看服务日志tail -n 200 /opt/qax/tianqing/logs/center.log # 如果看到 database schema mismatch说明数据库没升级这种情况一般要用备份恢复数据库然后重新执行更新。手册在“系统数据备份与还原”章节里讲了备份和还原的步骤。我一般会在更新前手动备份一次数据库更新失败就直接还原。6.4 终端离线后重新上线策略丢失现象终端离线一段时间后重新上线之前下发的策略没了。原因终端离线时间太长超过了策略缓存有效期。或者终端重新注册时拿了新的策略配置但旧策略没同步。解决在控制台重新下发一次策略。手册在“自动切换服务器”和“迁移终端”里讲了终端重新注册的流程。如果终端频繁离线先排查网络稳定性。6.5 许可证导入后终端数不对现象许可证导入成功但控制台显示的授权终端数和实际注册数对不上。原因集群部署时许可证在多个节点重复导入或者终端注册后没释放旧记录。解决在许可证管理页面查看使用情况手册在“许可证使用情况”里有说明。如果发现重复计算先在主节点重新导入许可证然后同步到其他节点。已卸载的终端记录要手动删除手册在“如何手动删除已卸载的终端”一节里有步骤。7. 装完怎么验证跑通三条命令加一张检查表装完天擎 V10.0 之后别急着批量推终端。我一般会先拿一台测试终端走完整流程确认注册、策略、更新三条链路都通。下面是我自己的验证习惯你可以直接抄。第一步确认管理中心服务状态和版本号# 服务状态 systemctl status qax-tianqing-center # 版本号 cat /opt/qax/tianqing/conf/version.conf # 数据库连接 mysql -h 192.168.10.21 -u tq_admin -p -e SELECT 1;第二步在测试终端上确认注册和策略# 终端服务状态 systemctl status qax-tianqing-agent # 注册地址 cat /opt/qax/tianqing-agent/conf/server.conf # 策略文件 cat /opt/qax/tianqing-agent/conf/policy.conf # 终端日志最后 50 行 tail -n 50 /opt/qax/tianqing-agent/logs/agent.log第三步在控制台确认终端在线、策略已下发、更新任务正常。下面这张检查表是我每次部署完都会过一遍的检查项正常表现异常时先看管理中心服务运行中日志无报错center.log数据库连接能查询无超时数据库日志、防火墙终端注册控制台能看到终端终端 server.conf、网络策略下发终端 policy.conf 有内容分组绑定、策略优先级更新任务更新日志无报错update.log、磁盘空间许可证授权数与注册数一致许可证管理页面这套流程走完基本能确认环境是通的。从那以后我每次部署天擎都会先拿一台测试终端跑完注册、策略、更新三条链路再批量推。希望帮到你。本文还有配套的精品资源点击获取