- 会议室投屏终端（BJ62S/BJ66）作为常驻设备，需防范病毒/恶意软件/未授权应用
- 4 类安全加固：①终端镜像（Golden Image，标准化部署）；②应用白名单（仅允许授权应用运行）；③只读文件系统（防止恶意修改）；④网络隔离（DMZ/VLAN/防火墙）
- 必捷出厂镜像：基于 Android 11 定制，移除 Google 服务，仅保留必捷应用
- 应用白名单策略：MDM 平台管理，仅允许必捷/系统/指定厂商应用
- 只读文件系统：禁用 USB 调试/未知来源安装/ADB 等高危功能
一、为什么需要投屏终端安全加固
会议室投屏终端面临 4 类安全风险：
- 恶意软件植入：通过 USB/网络植入恶意软件，控制会议室设备
- 未授权应用：员工私自安装游戏/视频 App，影响会议使用
- 数据泄露：恶意软件窃取会议内容/账号信息
- 合规风险：金融/政府/医疗行业有终端安全合规要求
必捷 BJ62S/BJ66 默认采用 Android 11 定制系统，移除 Google 服务，仅保留必捷核心应用，从源头降低风险。
二、终端镜像（Golden Image）
- 标准镜像制作：基于必捷出厂镜像 + 企业定制（壁纸/LOGO/默认设置）
- 镜像分发：通过 MNG8000 批量推送到所有会议室终端
- 版本管理：维护镜像版本号（v1.0.0、v1.1.0），支持一键回滚
- 差分升级：增量更新（仅推送变更部分），节省带宽
- 零接触部署：新设备上电自动从 MNG8000 拉取镜像并部署
| 镜像版本 | 包含应用 | 更新时间 |
|---|---|---|
| v1.0.0 | 必捷基础 | 出厂 |
| v1.1.0 | 必捷基础 + 企业定制 | 月度更新 |
| v1.2.0 | 必捷基础 + 企业定制 + 安全补丁 | 季度更新 |
三、应用白名单策略
- 白名单范围：仅允许必捷应用、系统应用、企业授权应用运行
- MDM 管理：通过 MDM 平台下发白名单策略，远程生效
- 签名验证：仅允许经过必捷签名的 APK 安装
- 未知来源禁止：禁用”未知来源安装”选项
- ADB 禁用：远程禁用 ADB 调试，防止恶意接入
| 应用类型 | 是否允许 | 示例 |
|---|---|---|
| 必捷核心应用 | ✅ 允许 | BJCast/BJ66 Setting |
| 系统应用 | ✅ 允许 | Settings/Launcher |
| 企业授权应用 | ✅ 允许 | 腾讯会议/Zoom |
| 员工私自安装 | ❌ 禁止 | 游戏/视频 App |
| 未知来源应用 | ❌ 禁止 | 第三方 APK |
四、只读文件系统
- 系统分区只读：/system 分区只读，防止恶意修改系统
- 数据分区加密：/data 分区 AES-256 加密，防止数据泄露
- USB 端口管控：禁用 USB 调试、限制 USB 设备访问
- 网络访问控制：仅允许必要网络端口（443/8443）出站
- 定期快照：定期对系统做快照，异常时一键恢复
五、网络隔离
| 隔离方式 | 实施方法 | 适用 |
|---|---|---|
| VLAN 隔离 | 投屏终端独立 VLAN | 中大型企业 |
| DMZ 隔离 | 投屏终端在 DMZ 区 | 高安全行业 |
| 防火墙隔离 | 仅开放必要端口 | 所有企业 |
| 物理隔离 | 完全独立网络 | 军工/政府 |
推荐方案：VLAN 隔离 + 防火墙策略组合，平衡安全与成本。
六、典型加固场景
- 场景 1：金融行业：必捷镜像 + 应用白名单 + VLAN 隔离 + 等保三级测评
- 场景 2：政府机关：必捷镜像 + 只读 FS + 物理隔离 + 信创合规
- 场景 3：教育行业：必捷镜像 + 应用白名单 + VLAN 隔离（防止学生误操作）
- 场景 4：医疗行业：必捷镜像 + 数据加密 + 网络隔离 + HIPAA 合规
- 场景 5：互联网企业：必捷镜像 + 应用白名单（允许企业应用）
常见问题
Q：必捷镜像会包含 Google 服务吗？
A：不会。必捷出厂镜像基于 Android 11 定制，移除了 Google 服务（GMS），仅保留必捷核心应用，符合国内合规要求。
Q：应用白名单影响用户体验吗？
A：不影响。白名单策略对用户透明，员工正常使用会议室功能，无需感知白名单机制的存在。如员工尝试安装未授权应用，会被自动阻止。
Q：只读文件系统能远程更新吗？
A：能。必捷支持 OTA 远程更新，只读 FS 会在更新过程中临时可写，更新完成后自动恢复只读。
Q：如何应对勒索病毒？
A：必捷终端只运行必捷应用 + 系统应用，勒索病毒无法植入。如担心零日漏洞，建议开启必捷终端的”自动安全补丁”功能，每月自动更新。
