简介奇安信天擎终端安全管理系统管理员手册面向企业终端安全运维人员、系统管理员及安全初学者提供从产品认知到部署落地的完整指导。手册围绕产品简介、主要功能、典型部署场景与部署形态四大模块展开涵盖终端安全管理、恶意代码检测、网络攻击防护、数据加密与身份验证等核心能力并详细说明互联网络、隔离网络、多级级联及高级版EDR等部署方案以及单机与集群两种部署形态帮助读者理解终端安全防护要点与配置思路。资源为1个PDF文件压缩包约23.07MB内容结构清晰、章节完整便于按需检索与系统学习。目前已有3880人学习下载适合需要快速掌握天擎系统管理方法、规划终端安全部署方案的技术人员参考使用。1. 从管理员视角理解天擎它管什么、为什么难管很多 IT 管理员第一次接手奇安信天擎终端安全管理系统是在一台已经装好客户端的机器上点开控制台然后发现策略下发不生效、终端状态显示离线、卸载还要密码。天擎不是单纯的杀毒软件它是一套带策略中心、终端管控、外设管理、补丁分发、资产采集的集中管理平台。管理员手册要解决的核心问题不是“怎么装”而是“装完之后怎么让几百上千台终端按你的规则跑”。它的典型使用场景是企业内网有域环境或工作组环境终端分散在不同网段管理员需要通过一个控制台完成策略配置、任务下发、状态查询和异常处置。适合读这份内容的人是已经拿到管理员账号、需要做日常运维和策略调优的 IT 人员而不是只想在自己电脑上卸载客户端的普通用户。理解这一点后面所有操作才不会跑偏。2. 天擎管理控制台登录与组织架构配置2.1 控制台访问方式与管理员账号体系天擎管理控制台通常部署在 Windows Server 上通过浏览器访问https://服务器IP:端口进入。默认端口在安装时确定常见做法是 443 或自定义高位端口。登录时需要区分超级管理员和普通管理员超级管理员拥有全部模块权限普通管理员按角色分配。# 在服务器本机检查天擎服务是否在监听 netstat -ano | findstr :443 # 查看天擎相关服务状态 sc query | findstr /i qianxin tianqing逻辑说明第一条命令确认控制台端口是否处于 LISTENING 状态如果没有任何输出说明服务未启动或端口被改。第二条命令用于列出与天擎相关的 Windows 服务服务名通常包含厂商标识。参数上findstr不区分大小写时需要加/i否则可能漏掉。提示如果控制台打不开但服务在运行优先检查服务器本机防火墙是否放行了对应端口而不是急着重装。2.2 组织架构与终端分组怎么建才合理天擎的策略下发依赖组织架构树。常见做法是按“部门—楼层—终端类型”三层建组而不是把所有终端堆在根节点下。原因是策略可以继承子组能覆盖父组配置分组越清晰后续排查“为什么这台机器没收到策略”越快。层级示例名称用途一级总部 / 分公司隔离不同物理位置二级研发部 / 财务部按部门差异化策略三级办公终端 / 服务器区分管控强度四级固定IP段精确到网段下发建组时注意终端注册后默认进入“未分组”或“默认组”需要手动或通过规则自动归组。自动归组一般基于 IP 段、计算机名规则或域 OU。如果发现终端一直在默认组先检查自动归组规则是否启用再检查客户端上报的 IP 是否在规则范围内。2.3 管理员权限分配与操作审计多管理员环境下不要所有人共用超级管理员账号。天擎支持按角色分配权限常见角色包括策略管理员、终端管理员、审计员。策略管理员只能改策略不能删终端审计员只能看日志。-- 查询最近7天管理员操作日志示意实际表名以部署为准 SELECT admin_name, operation, target, op_time FROM tq_admin_audit_log WHERE op_time DATEADD(day, -7, GETDATE()) ORDER BY op_time DESC;逻辑说明这条 SQL 用于从审计库中拉取管理员操作记录重点看operation和target两列能快速定位“谁在什么时候改了哪条策略”。参数上DATEADD(day, -7, GETDATE())表示最近七天可按需改成-30。如果查不到数据先确认审计功能是否开启而不是怀疑数据库连接。3. 终端策略配置外设管控、补丁与卸载密码3.1 禁止U盘访问的策略怎么配才不误伤“奇安信天擎禁止U盘访问”是管理员最常配的策略之一。天擎的外设管控模块支持按设备类型、设备实例、用户组三个维度控制。常见做法是默认禁止所有存储设备然后对白名单U盘放行。配置路径一般是控制台 → 策略中心 → 外设管控 → 新建策略 → 选择目标组织 → 设备类型选“存储设备” → 动作选“禁止” → 保存并下发。# 在终端本机查看当前外设管控是否生效查看驱动过滤状态 fltmc filters | findstr /i usb qianxin # 查看U盘是否被识别但被拦截 wmic logicaldisk get deviceid,drivetype,description逻辑说明fltmc filters列出文件系统过滤驱动天擎的外设管控通常以过滤驱动形式挂载能看到相关条目说明驱动已加载。wmic logicaldisk中drivetype2表示可移动磁盘如果插入U盘后这里看不到盘符说明被拦截在更底层。参数上drivetype的取值2 可移动、3 本地、4 网络、5 光驱。注意禁止U盘后如果业务部门需要临时放行不要直接改全局策略建议用“例外设备”加设备实例ID的方式放行避免影响其他人。3.2 补丁分发与漏洞修复任务的下发参数天擎的补丁管理模块可以扫描终端缺失补丁并统一下发安装。关键参数有三个扫描周期、安装窗口、是否允许重启。参数建议值说明扫描周期每天一次非工作时间避免占用上班带宽安装窗口12:00-14:00 或 22:00-06:00减少对业务影响允许重启否改为提示用户强制重启容易引发投诉超时时间3600秒大补丁包需要更长时间下发后如果终端一直显示“等待安装”先检查终端是否在线、磁盘空间是否足够、是否有其他安装任务占用。常见坑是补丁包缓存在服务器上终端下载失败但控制台不报错需要在终端本机看天擎客户端日志。3.3 卸载密码与客户端自保护的关系“奇安信卸载需要密码”是普通用户最常搜的问题但从管理员角度这是自保护机制的一部分。天擎客户端默认开启自保护防止被恶意卸载或篡改。管理员在控制台可以设置卸载密码也可以关闭自保护不推荐。# 在终端本机查看天擎客户端服务是否在运行 sc query | findstr /i tianqing qax # 查看客户端安装目录常见路径 dir C:\Program Files (x86)\Qianxin\Tianqing /b逻辑说明第一条命令确认客户端核心服务状态如果服务被停止自保护通常也会失效。第二条命令列出安装目录内容常见文件名包含Tianqing、QAX等标识。参数上/b表示只显示文件名便于快速浏览。如果管理员需要批量卸载正确做法是在控制台创建卸载任务并下发而不是逐台输入密码。卸载任务可以设置是否保留配置、是否重启。常见坑是卸载任务下发后终端无响应原因通常是终端离线或自保护未正确关闭。4. 终端状态查询、离线排查与策略生效验证4.1 终端在线状态与心跳机制天擎终端通过心跳与控制台保持通信心跳间隔通常可配。控制台显示“离线”不代表终端一定关机可能是心跳超时、网络不通、服务异常。# 在终端本机测试到控制台的连通性 ping 控制台IP -n 4 # 测试控制台端口是否可达 telnet 控制台IP 端口 # 查看天擎客户端日志最近记录 type C:\ProgramData\Qianxin\Tianqing\log\client.log | more逻辑说明ping确认网络层通不通telnet确认端口层通不通日志确认客户端自身有没有报错。参数上-n 4表示发4个包more用于分页查看大日志。如果 ping 通但 telnet 不通问题在防火墙或服务端口如果都通但控制台仍显示离线检查客户端服务是否运行。4.2 策略下发后不生效的排查顺序策略不生效是管理员最高频的问题。建议按以下顺序排查不要跳步确认策略已下发到目标组织且终端在该组织下。确认终端在线且最近一次心跳时间在合理范围内。确认策略优先级子组策略是否覆盖了父组。在终端本机查看策略文件是否更新。必要时重启客户端服务或重新下发。# 查看终端本机策略缓存目录示意路径 dir C:\ProgramData\Qianxin\Tianqing\policy /o-d # 重启天擎客户端服务 net stop 服务名 net start 服务名逻辑说明/o-d按日期倒序排列方便看最新策略文件时间。重启服务前先确认不会影响用户当前工作。参数上服务名需要根据实际安装确定常见包含Tianqing或QAX。提示如果只有个别终端不生效优先查该终端的网络和客户端状态如果一批终端都不生效优先查策略本身和组织架构。4.3 资产采集与终端信息查询天擎的资产采集能拿到终端硬件、软件、补丁、外设使用记录。管理员常用它做合规检查。查询时注意资产数据不是实时的通常按采集周期更新。查询项控制台路径更新频率硬件信息资产管理 → 终端资产每天软件清单资产管理 → 软件资产每天外设记录外设管控 → 使用记录实时补丁状态补丁管理 → 终端补丁每次扫描如果发现某台终端资产信息缺失先确认该终端是否在线、采集任务是否下发到该组织。常见坑是终端刚注册但采集任务还没跑等一个周期即可。5. 进阶技巧用控制台日志和规则定位顽固问题5.1 从控制台日志反推策略冲突当天擎出现“策略明明配了但不生效”且排查一圈无果时控制台日志比终端日志更有价值。控制台日志通常记录策略下发记录、终端心跳、任务执行结果。重点看三个字段时间、终端标识、结果码。# 在控制台服务器上查看天擎日志目录示意 dir D:\Qianxin\Tianqing\Server\log /o-d # 过滤最近的下发失败记录 findstr /i fail error D:\Qianxin\Tianqing\Server\log\policy.log逻辑说明/o-d让最新日志排在最前findstr过滤失败和错误关键字。参数上日志路径以实际部署为准不同版本目录名可能不同。如果日志里大量出现同一终端的失败记录优先查那台终端的网络和服务状态。5.2 用自动归组规则减少手工维护终端数量超过 200 台后手工分组不现实。天擎支持基于 IP 段、计算机名、域 OU 的自动归组规则。建议规则从宽到窄先按 IP 段分大组再按计算机名前缀分小组。规则类型示例优先级IP 段10.10.1.0/24高计算机名以DEV-开头中域 OUOUFinance低规则冲突时优先级高的先匹配。如果终端归组不符合预期先看规则顺序再看终端上报的属性是否完整。5.3 卸载密码遗忘后的合规处理路径管理员遗忘卸载密码时不要尝试网上流传的“强制卸载工具”或改注册表这些做法容易破坏客户端完整性导致终端无法重新注册。正确路径是用超级管理员登录控制台在客户端管理里重置卸载密码或直接下发卸载任务。# 查看客户端注册信息示意用于确认终端身份 reg query HKLM\SOFTWARE\Qianxin\Tianqing /s逻辑说明这条命令读取客户端注册表信息用于确认终端标识和版本。参数上/s表示递归查询所有子项。注意只读查询是安全的不要手动删除或修改这些键值否则可能导致客户端异常。如果控制台也无法登录需要联系上一级管理员或厂商支持而不是在终端上强行操作。日常运维中建议把卸载密码纳入密码管理流程避免单点遗忘。本文还有配套的精品资源点击获取 奇安信天擎管理员实战：策略配置、终端管控与离线排查指南
简介奇安信天擎终端安全管理系统管理员手册面向企业终端安全运维人员、系统管理员及安全初学者提供从产品认知到部署落地的完整指导。手册围绕产品简介、主要功能、典型部署场景与部署形态四大模块展开涵盖终端安全管理、恶意代码检测、网络攻击防护、数据加密与身份验证等核心能力并详细说明互联网络、隔离网络、多级级联及高级版EDR等部署方案以及单机与集群两种部署形态帮助读者理解终端安全防护要点与配置思路。资源为1个PDF文件压缩包约23.07MB内容结构清晰、章节完整便于按需检索与系统学习。目前已有3880人学习下载适合需要快速掌握天擎系统管理方法、规划终端安全部署方案的技术人员参考使用。1. 从管理员视角理解天擎它管什么、为什么难管很多 IT 管理员第一次接手奇安信天擎终端安全管理系统是在一台已经装好客户端的机器上点开控制台然后发现策略下发不生效、终端状态显示离线、卸载还要密码。天擎不是单纯的杀毒软件它是一套带策略中心、终端管控、外设管理、补丁分发、资产采集的集中管理平台。管理员手册要解决的核心问题不是“怎么装”而是“装完之后怎么让几百上千台终端按你的规则跑”。它的典型使用场景是企业内网有域环境或工作组环境终端分散在不同网段管理员需要通过一个控制台完成策略配置、任务下发、状态查询和异常处置。适合读这份内容的人是已经拿到管理员账号、需要做日常运维和策略调优的 IT 人员而不是只想在自己电脑上卸载客户端的普通用户。理解这一点后面所有操作才不会跑偏。2. 天擎管理控制台登录与组织架构配置2.1 控制台访问方式与管理员账号体系天擎管理控制台通常部署在 Windows Server 上通过浏览器访问https://服务器IP:端口进入。默认端口在安装时确定常见做法是 443 或自定义高位端口。登录时需要区分超级管理员和普通管理员超级管理员拥有全部模块权限普通管理员按角色分配。# 在服务器本机检查天擎服务是否在监听 netstat -ano | findstr :443 # 查看天擎相关服务状态 sc query | findstr /i qianxin tianqing逻辑说明第一条命令确认控制台端口是否处于 LISTENING 状态如果没有任何输出说明服务未启动或端口被改。第二条命令用于列出与天擎相关的 Windows 服务服务名通常包含厂商标识。参数上findstr不区分大小写时需要加/i否则可能漏掉。提示如果控制台打不开但服务在运行优先检查服务器本机防火墙是否放行了对应端口而不是急着重装。2.2 组织架构与终端分组怎么建才合理天擎的策略下发依赖组织架构树。常见做法是按“部门—楼层—终端类型”三层建组而不是把所有终端堆在根节点下。原因是策略可以继承子组能覆盖父组配置分组越清晰后续排查“为什么这台机器没收到策略”越快。层级示例名称用途一级总部 / 分公司隔离不同物理位置二级研发部 / 财务部按部门差异化策略三级办公终端 / 服务器区分管控强度四级固定IP段精确到网段下发建组时注意终端注册后默认进入“未分组”或“默认组”需要手动或通过规则自动归组。自动归组一般基于 IP 段、计算机名规则或域 OU。如果发现终端一直在默认组先检查自动归组规则是否启用再检查客户端上报的 IP 是否在规则范围内。2.3 管理员权限分配与操作审计多管理员环境下不要所有人共用超级管理员账号。天擎支持按角色分配权限常见角色包括策略管理员、终端管理员、审计员。策略管理员只能改策略不能删终端审计员只能看日志。-- 查询最近7天管理员操作日志示意实际表名以部署为准 SELECT admin_name, operation, target, op_time FROM tq_admin_audit_log WHERE op_time DATEADD(day, -7, GETDATE()) ORDER BY op_time DESC;逻辑说明这条 SQL 用于从审计库中拉取管理员操作记录重点看operation和target两列能快速定位“谁在什么时候改了哪条策略”。参数上DATEADD(day, -7, GETDATE())表示最近七天可按需改成-30。如果查不到数据先确认审计功能是否开启而不是怀疑数据库连接。3. 终端策略配置外设管控、补丁与卸载密码3.1 禁止U盘访问的策略怎么配才不误伤“奇安信天擎禁止U盘访问”是管理员最常配的策略之一。天擎的外设管控模块支持按设备类型、设备实例、用户组三个维度控制。常见做法是默认禁止所有存储设备然后对白名单U盘放行。配置路径一般是控制台 → 策略中心 → 外设管控 → 新建策略 → 选择目标组织 → 设备类型选“存储设备” → 动作选“禁止” → 保存并下发。# 在终端本机查看当前外设管控是否生效查看驱动过滤状态 fltmc filters | findstr /i usb qianxin # 查看U盘是否被识别但被拦截 wmic logicaldisk get deviceid,drivetype,description逻辑说明fltmc filters列出文件系统过滤驱动天擎的外设管控通常以过滤驱动形式挂载能看到相关条目说明驱动已加载。wmic logicaldisk中drivetype2表示可移动磁盘如果插入U盘后这里看不到盘符说明被拦截在更底层。参数上drivetype的取值2 可移动、3 本地、4 网络、5 光驱。注意禁止U盘后如果业务部门需要临时放行不要直接改全局策略建议用“例外设备”加设备实例ID的方式放行避免影响其他人。3.2 补丁分发与漏洞修复任务的下发参数天擎的补丁管理模块可以扫描终端缺失补丁并统一下发安装。关键参数有三个扫描周期、安装窗口、是否允许重启。参数建议值说明扫描周期每天一次非工作时间避免占用上班带宽安装窗口12:00-14:00 或 22:00-06:00减少对业务影响允许重启否改为提示用户强制重启容易引发投诉超时时间3600秒大补丁包需要更长时间下发后如果终端一直显示“等待安装”先检查终端是否在线、磁盘空间是否足够、是否有其他安装任务占用。常见坑是补丁包缓存在服务器上终端下载失败但控制台不报错需要在终端本机看天擎客户端日志。3.3 卸载密码与客户端自保护的关系“奇安信卸载需要密码”是普通用户最常搜的问题但从管理员角度这是自保护机制的一部分。天擎客户端默认开启自保护防止被恶意卸载或篡改。管理员在控制台可以设置卸载密码也可以关闭自保护不推荐。# 在终端本机查看天擎客户端服务是否在运行 sc query | findstr /i tianqing qax # 查看客户端安装目录常见路径 dir C:\Program Files (x86)\Qianxin\Tianqing /b逻辑说明第一条命令确认客户端核心服务状态如果服务被停止自保护通常也会失效。第二条命令列出安装目录内容常见文件名包含Tianqing、QAX等标识。参数上/b表示只显示文件名便于快速浏览。如果管理员需要批量卸载正确做法是在控制台创建卸载任务并下发而不是逐台输入密码。卸载任务可以设置是否保留配置、是否重启。常见坑是卸载任务下发后终端无响应原因通常是终端离线或自保护未正确关闭。4. 终端状态查询、离线排查与策略生效验证4.1 终端在线状态与心跳机制天擎终端通过心跳与控制台保持通信心跳间隔通常可配。控制台显示“离线”不代表终端一定关机可能是心跳超时、网络不通、服务异常。# 在终端本机测试到控制台的连通性 ping 控制台IP -n 4 # 测试控制台端口是否可达 telnet 控制台IP 端口 # 查看天擎客户端日志最近记录 type C:\ProgramData\Qianxin\Tianqing\log\client.log | more逻辑说明ping确认网络层通不通telnet确认端口层通不通日志确认客户端自身有没有报错。参数上-n 4表示发4个包more用于分页查看大日志。如果 ping 通但 telnet 不通问题在防火墙或服务端口如果都通但控制台仍显示离线检查客户端服务是否运行。4.2 策略下发后不生效的排查顺序策略不生效是管理员最高频的问题。建议按以下顺序排查不要跳步确认策略已下发到目标组织且终端在该组织下。确认终端在线且最近一次心跳时间在合理范围内。确认策略优先级子组策略是否覆盖了父组。在终端本机查看策略文件是否更新。必要时重启客户端服务或重新下发。# 查看终端本机策略缓存目录示意路径 dir C:\ProgramData\Qianxin\Tianqing\policy /o-d # 重启天擎客户端服务 net stop 服务名 net start 服务名逻辑说明/o-d按日期倒序排列方便看最新策略文件时间。重启服务前先确认不会影响用户当前工作。参数上服务名需要根据实际安装确定常见包含Tianqing或QAX。提示如果只有个别终端不生效优先查该终端的网络和客户端状态如果一批终端都不生效优先查策略本身和组织架构。4.3 资产采集与终端信息查询天擎的资产采集能拿到终端硬件、软件、补丁、外设使用记录。管理员常用它做合规检查。查询时注意资产数据不是实时的通常按采集周期更新。查询项控制台路径更新频率硬件信息资产管理 → 终端资产每天软件清单资产管理 → 软件资产每天外设记录外设管控 → 使用记录实时补丁状态补丁管理 → 终端补丁每次扫描如果发现某台终端资产信息缺失先确认该终端是否在线、采集任务是否下发到该组织。常见坑是终端刚注册但采集任务还没跑等一个周期即可。5. 进阶技巧用控制台日志和规则定位顽固问题5.1 从控制台日志反推策略冲突当天擎出现“策略明明配了但不生效”且排查一圈无果时控制台日志比终端日志更有价值。控制台日志通常记录策略下发记录、终端心跳、任务执行结果。重点看三个字段时间、终端标识、结果码。# 在控制台服务器上查看天擎日志目录示意 dir D:\Qianxin\Tianqing\Server\log /o-d # 过滤最近的下发失败记录 findstr /i fail error D:\Qianxin\Tianqing\Server\log\policy.log逻辑说明/o-d让最新日志排在最前findstr过滤失败和错误关键字。参数上日志路径以实际部署为准不同版本目录名可能不同。如果日志里大量出现同一终端的失败记录优先查那台终端的网络和服务状态。5.2 用自动归组规则减少手工维护终端数量超过 200 台后手工分组不现实。天擎支持基于 IP 段、计算机名、域 OU 的自动归组规则。建议规则从宽到窄先按 IP 段分大组再按计算机名前缀分小组。规则类型示例优先级IP 段10.10.1.0/24高计算机名以DEV-开头中域 OUOUFinance低规则冲突时优先级高的先匹配。如果终端归组不符合预期先看规则顺序再看终端上报的属性是否完整。5.3 卸载密码遗忘后的合规处理路径管理员遗忘卸载密码时不要尝试网上流传的“强制卸载工具”或改注册表这些做法容易破坏客户端完整性导致终端无法重新注册。正确路径是用超级管理员登录控制台在客户端管理里重置卸载密码或直接下发卸载任务。# 查看客户端注册信息示意用于确认终端身份 reg query HKLM\SOFTWARE\Qianxin\Tianqing /s逻辑说明这条命令读取客户端注册表信息用于确认终端标识和版本。参数上/s表示递归查询所有子项。注意只读查询是安全的不要手动删除或修改这些键值否则可能导致客户端异常。如果控制台也无法登录需要联系上一级管理员或厂商支持而不是在终端上强行操作。日常运维中建议把卸载密码纳入密码管理流程避免单点遗忘。本文还有配套的精品资源点击获取