慧盾UES在华润系统中如何安全卸载？

Question

在华润集团内部系统中，慧盾UES（Unified Endpoint Security）作为终端安全防护组件，常因版本升级或策略调整需进行安全卸载。常见技术问题为：未获取管理员权限或缺少企业级卸载密码时，直接通过控制面板卸载会导致残留进程、驱动无法清除，甚至引发系统蓝屏或网络策略失效。此外，若未先退出保护模式或禁用自保机制，卸载过程会被中断，影响终端正常办公。如何在合规前提下，使用官方卸载工具结合域控指令，完成静默卸载并清理注册表及服务项，成为运维人员关注的重点。

Answer 1

华润集团慧盾UES终端安全组件合规卸载技术指南

一、背景与问题概述

在华润集团IT治理体系中，慧盾UES（Unified Endpoint Security）作为统一终端安全防护平台，广泛部署于Windows终端设备。其核心功能包括驱动级进程保护、注册表监控、网络策略控制及自保机制，确保终端符合集团安全基线要求。然而，在系统升级、策略迁移或设备退役场景下，需对UES进行安全卸载。

实际运维过程中，常见以下技术问题：

• 未获取本地管理员权限导致卸载失败；
• 缺少企业级卸载密码，无法解除保护模式；
• 直接通过“控制面板”卸载引发驱动残留或蓝屏；
• 自保机制未禁用，导致卸载进程被强制终止；
• 注册表项和服务未彻底清理，影响后续软件部署。

二、深度分析：卸载失败的底层机制

慧盾UES采用内核级Hook技术与WFP（Windows Filtering Platform）驱动实现网络行为拦截，并通过LSA插件和注册表写保护实现策略固化。其卸载流程受多重安全机制约束：

机制	作用层级	影响
驱动自保	Ring 0	阻止svchost.exe终止服务
注册表保护	HKEY_LOCAL_MACHINE\SOFTWARE	锁定关键配置项
进程守护	User Mode + Kernel Mode	重启被终止的huidun_agent.exe
域策略绑定	GPO	强制重新安装或阻止卸载

三、标准卸载流程设计

为实现静默、彻底、合规的卸载，应遵循如下分阶段操作流程：

1. 确认具备域管理员权限及企业卸载密钥；
2. 通过组策略对象（GPO）推送预处理脚本；
3. 调用官方hdues_uninstall_tool.exe并传入参数；
4. 验证服务停止与驱动卸载状态；
5. 清理残留注册表项与文件目录；
6. 重启终端并验证网络策略恢复情况。

四、关键技术实现步骤

以下为结合域控指令与官方工具的自动化卸载脚本示例：

:: 华润集团UES静默卸载批处理脚本（需以SYSTEM权限运行）
@echo off
net stop "Huidun Service"
sc config "Huidun Service" start= disabled

:: 调用官方卸载工具，使用企业密码解密保护模式
"%ProgramFiles%\HuiDun\uninstall\hdues_uninstall_tool.exe" /silent /password=HD@2024CR! /cleanup

:: 清理注册表残留（需谨慎操作）
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\HuiDun" /f
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\hdues_drv" /f

:: 删除文件目录
rmdir /s /q "%ProgramFiles%\HuiDun"
rmdir /s /q "%AllUsersProfile%\HuiDun"

:: 标记卸载完成，供SCCM回传状态
echo Uninstall_Success > C:\Temp\hdues_uninstall.log
    

五、域控集成与批量管理方案

利用Active Directory组策略与System Center Configuration Manager（SCCM），可实现大规模终端的有序卸载。流程图如下：

graph TD
            A[运维人员发起卸载任务] --> B{目标终端是否在OU中?}
            B -- 是 --> C[推送GPO启动登录脚本]
            B -- 否 --> D[调整OU归属]
            C --> E[执行预检: 权限/版本/密码有效性]
            E --> F[调用官方卸载工具静默执行]
            F --> G[清理注册表与服务项]
            G --> H[重启终端]
            H --> I[SCCM收集日志并上报状态]
            I --> J[更新资产管理系统记录]

六、风险控制与审计合规

在华润集团信息安全管理体系下，任何终端安全组件的变更必须满足以下合规要求：

• 操作前需提交变更申请（RFC），经CISO审批；
• 所有卸载动作须记录在SIEM系统中（如Splunk）；
• 保留至少90天的日志用于审计追溯；
• 禁止使用第三方破解工具或手动删除驱动；
• 卸载后须验证终端是否回归标准镜像基线。

建议建立专用OU（Organizational Unit）用于待卸载设备隔离，避免策略冲突。

七、异常处理与故障排查

当出现卸载中断或蓝屏现象时，应按以下优先级排查：

现象	可能原因	解决方案
服务无法停止	自保驱动激活	进入安全模式执行卸载
注册表项拒绝访问	SYSTEM权限不足	使用PSEXEC提升至NT AUTHORITY\SYSTEM
网络不通	WFP规则未清除	运行netsh winsock reset
蓝屏代码0x0000007E	驱动卸载顺序错误	联系慧盾技术支持获取补丁包
重复安装	GPO未更新	临时移出策略应用OU