近日，调查机构波耐蒙研究所在对美国国内过去12个月内发生的138起笔记本电脑丢失或失窃案例进行调查分析引起了笔者的关注和思考。报告显示，每有一台笔记本电脑丢失或者失窃，它将给公司造成包括信息丢失、知识产权受损、重新配置电脑、工作时间损耗以及相关法律费用等诸多方面的损失，平均为49246美元。一旦公司经理的笔记本电脑丢失或者失窃，给公司带来的平均损失分别是2．85万美元和6．1万美元。看来对于企业用户来说，企业的信息和资产是重中之重。这无疑又涉及到了企业用户PC的安全和可管理性。

那么究竟什么是PC的安全和可管理性呢？是仅仅在PC上装上杀毒软件和防火墙之类的PC就具有安全和管理性了吗？其实这种观念当前只是适用于消费类的PC，对于企业级用户的PC是远远不够的。据相关的调查显示，在实际的工作中，通过防火墙、安全软件等并不能完全解决CIO们担心的所有安全问题。不少CIO称，那些即插设备，如U盘、移动硬盘等正在极大地威胁着组织的信息安全；另外，电子邮件泄密也成为新的安全隐患。该如何制定有效的信息安全机制、及时跟踪网络用户恶意窃取信息，将是CIO 们长期关注的重点问题。

基于此，笔者认为所谓的商用PC的安全应该着重体现在软硬结合的多重防护体系。

说到多重防护体系，即当电脑遇到安全威胁时，可以过滤威胁并隔离电脑。基于硬件的可编程过滤器会检查电脑网络流量来识别威胁。这些过滤器可检验进出操作系统的软件堆栈的数据包。电脑可以通过实施IT政策来过滤进出的操作系统流量，从而帮助遏制威胁。而过滤通过检查数据包标头内的来源、目的地和端口地址来进行。由于过滤器是可编程的，因为管理软件能够定义由被禁止的数据包行为（如记录告警、向IT人员发送告警、启动威胁遏制开关等）所引起的事件。

当硬件过滤器识别出未经授权的数据包行为后，可断开其操作系统的网络通信，从而遏制威胁。电脑可在网络流量真正进入操作系统前，就在操作系统软件堆栈断开网络数据路径。系统还可以设置网络流量的速率限制，以帮助IT人员探查潜在的威胁。即便威胁发生，IT人员仍可以通过基于硬件和固件的内建通信堆栈与电脑基础硬件进行通信。之后，IT人员可适用修复软件来纠正问题，使电脑重新回到企业网络中。

基于硬件的能力，可以提供电脑的远程可见性、安全代理的持续存在检查（“心跳”），以及预启动BIOS设置访问，即使安全代理出现故障、操作系统受损或崩溃也没有关系。以前，IT人员一般适用串行轮询来检查安全代理的运行状态。电脑在管理引擎中内置了一个定期、可编程的“心跳”存在检查。“心跳”适用“看门狗”计时器，这样第三方安全软件（或其它关键业务应用）在可编程的一秒中间隔内向管理引擎进行登记，确认其运行状态。如果威胁已经渗透进了其他防护系统，IT人员仍可以访问用于保护关键信息的永久性内存。此外，IT人员还可以适用独立的专用虚拟环境来智能检验、隔离和管理用户操作系统中的应用和数据。而这些全新的防护层可以使IT人员更迅速、轻松地发现存在的威胁，并有效阻止其蔓延。

而提及可管理性，笔者认为，就是帮助IT人员向远程关机的电脑安装更新程序。即IT人员可以通知系统启动或关机。无论系统是否通电或操作系统的状态如何，安装更新和补丁程序的操作均可远程安全进行。IT人员可以检查电脑的软件版本信息并查看是否需要更新，而这两项操作均不必唤醒电脑。而从IT控制台，IT人员还可以远程启动电脑，这样，在维护一开始，即可将更新程序安装至原本已关机的系统，从而避免了以前重新开机维护的过程中可能暴露的危险。

当然就像笔者上面所说的，要实现商用PC的安全和可管理性，单靠软件是不可能完全实现的，需要的是软硬的结合，尤其硬件平台层面。据笔者了解，早在2006年英特尔发布“博锐”（vPro）平台就已经满足笔者上述的对于PC安全和可管理性的要求，并引发了PC厂商对于商用PC安全和可管理性的重视。时至今日，当面临特殊的经济形势，PC厂商更需要差异化的竞争和企业用户更加注重信息安全、资产节约和保护，也许已经作了多项改进vPro2平台，将会满足厂商和用户的需求，笔者开篇所述的企业不会再担心PC的丢失，从而避免承受巨大的损失，未来的商用和消费类PC的界限将会因采用vPro2平台技术而变得分明，这无疑有利于厂商和用户更好地根据自己的需要发展和采购所需的PC。

www.circuit-tech.cn