Intrusion Defense Firewall 1.1 for OfficeScan wersja klient/serwer Podręcznik administratora

Transkrypt

1 Intrusion Defense Firewall 1.1 for OfficeScan wersja klient/serwer Podręcznik administratora

2 Firma Trend Micro Incorporated zastrzega sobie prawo do wprowadzania zmian w niniejszym dokumencie oraz w produktach w nim opisanych bez powiadomienia. Przed zainstalowaniem oprogramowania i korzystaniem z niego należy zapoznać się z plikami readme, uwagami do wersji oraz najnowszą wersją stosownej dokumentacji użytkownika, która jest dostępna w witrynie internetowej firmy Trend Micro pod adresem: Trend Micro, logo Trend Micro t-ball, OfficeScan, Intrusion Defense Firewall, Control Server Plug-in, Damage Cleanup Services, eserver Plug-in, InterScan, Network VirusWall, ScanMail, ServerProtect i TrendLabs są znakami towarowymi lub zastrzeżonymi znakami towarowymi firmy Trend Micro, Incorporated. Wszelkie inne nazwy produktów lub firm mogą być znakami towarowymi lub zastrzeżonymi znakami towarowymi ich właścicieli. Copyright 2008 Trend Micro Incorporated. Wszelkie prawa zastrzeżone. Numer części dokumentu: OSEM83465/71122 Data wydania: kwiecień 2008

3 Spis treści Przegląd interfejsu dodatku do serwera...1 Przewodnik przedstawiający poszczególne ekrany interfejsu dodatku Intrusion Defense Firewall do serwera...3 Dashboard...4 Alarmy...6 Zdarzenia zapory...7 Zdarzenia IPS...9 Zdarzenia systemowe Raporty Komputery Profile zabezpieczeń Reguły zapory Konfiguracje kontroli stanowych Filtry IPS Typy aplikacji Listy IP Listy MAC...46 Listy portów Harmonogramy Konfiguracja alarmów Zaplanowane zadania Ustawienia Aktualizacje Licencja na produkt Poradnik...67 Dostosowywanie programu Dashboard Stosowanie aktualizacji zabezpieczeń Konfigurowanie alarmów Konfigurowanie wiadomości z alarmem Tworzenie kopii zapasowej i przywracanie programu Intrusion Defense Firewall Filtrowanie strumieni danych SSL Maksymalizowanie efektywności pobierania dzienników Konfigurowanie komunikacji między dodatkami do serwera i do klienta Konfigurowanie powiadomień Konfigurowanie ustawień skanowania portów Ochrona maszyn wirtualnych Konfigurowanie integracji z usługą Syslog Odinstalowywanie dodatku do serwera Intrusion Defense Firewall Ręczna dezaktywacja dodatku do klienta na komputerze Ręczne odinstalowanie dodatku do klienta na komputerze Migracja zarządzanych komputerów do nowego serwera Intrusion Defense Firewall Migracja pojedynczego zarządzanego komputera do nowego serwera Intrusion Defense Firewall Dokument referencyjny...94 Reguły zapory informacje Dziedziczenie i zastąpienia Reguła Pomiń Tworzenie i stosowanie nowych reguł zapory Sekwencja reguł zapory Kolejność przetwarzania pakietów Wymagane porty Zdarzenia zapory Zdarzenia IPS Zdarzenia dodatku do klienta Zdarzenia systemowe Rozwiązywanie problemów Ogólne rozwiązywanie problemów Instalacja dodatku do klienta rozwiązywanie problemów Usuwanie dodatku do klienta rozwiązywanie problemów Komunikacja dodatku do klienta rozwiązywanie problemów Trend Micro Control Manager rozwiązywanie problemów Rozwiązywanie problemów z instalacją dodatku do serwera

4 Przegląd interfejsu dodatku do serwera Panel nawigacji Panel nawigacji zawiera system nawigacji oparty na drzewie. Elementy programu Intrusion Defense Firewall są zorganizowane w następujący sposób: Dashboard: szybki przegląd stanu dodatku do serwera. Monitorowanie: o Alarmy: podsumowanie aktualnych alarmów krytycznych i ostrzeżeń dotyczących systemu lub zdarzeń zabezpieczeń; o Zdarzenia zapory: dzienniki aktywności zapory związanej z bezpieczeństwem; o Zdarzenia IPS: dzienniki aktywności systemu IPS związanej z bezpieczeństwem; o Raporty: generator raportów służący do tworzenia podsumowań stanu systemu i aktywności; Zdarzenia systemowe: podsumowanie zdarzeń związanych z systemem. o Komputery: lista komputerów zsynchronizowanych z programu OfficeScan wraz z informacjami o stanie dla każdego z nich. Profile zabezpieczeń: lista zdefiniowanych profili zabezpieczeń. Reguły zapory: miejsce definiowania reguł zapory oraz zarządzania nimi. Konfiguracje kontroli stanowych: miejsce definiowania konfiguracji kontroli stanowych oraz zarządzania nimi. Filtry IPS: miejsce definiowania filtrów IPS oraz zarządzania nimi. Składniki: lista typowych składników, które są używane przez różne elementy zapory Intrusion Defense Firewall. System: zawiera narzędzia administracyjne służące do zarządzania działaniem dodatku do serwera. Wszelkie prawa zastrzeżone

5 Panel zadań Kliknięcie elementu w panelu nawigacji spowoduje wyświetlenie ekranu tego elementu w panelu zadań. Na ekranie w panelu zadań można wykonać prawie wszystkie czynności. Kiedy w panelu zadań wyświetlana jest lista elementów, można dodawać lub usuwać kolumny, klikając przycisk Kolumna na pasku narzędzi ( ). Kolejność wyświetlania kolumn można kontrolować, przeciągając je w nowe miejsce. Wyświetlane elementy można sortować i przeszukiwać według zawartości dowolnej kolumny. Elementy sterujące paginacją Niektóre listy wyświetlane w panelu zadań mogą zawierać więcej elementów niż można przedstawić na jednym ekranie. W takim przypadku informacje o paginacji wskazują podzbiór elementów, które są wyświetlane. Za pomocą narzędzia paginacji można przechodzić między poszczególnymi stronami listy. Element sterujący wyświetlaniem W razie potrzeby element sterujący wyświetlaniem udostępni opcje umożliwiające wyświetlenie elementów na liście. Pasek narzędzi Pasek narzędzi zawiera przyciski umożliwiające wykonanie różnych operacji specyficznych dla ekranu, na którym pracuje użytkownik. Zwykle na pasku narzędzi znajdują się przyciski służące do usuwania, modyfikowania i tworzenia elementów listy. Każdy pasek narzędzi zawiera przycisk pomoc i przycisk wylogowania. Wiele opcji paska narzędzi jest dostępnych także poprzez menu skrótów. Pasek stanu Na pasku stanu wyświetlane są informacje dotyczące bieżącego stanu dodatku do serwera. Przy prawej krawędzi paska stanu przedstawiana jest liczba bieżących alarmów (jeśli istnieją). Lewa strona paska stanu dynamicznie wyświetla operacje będące w toku, takie jak operacje skanowania portów bądź aktywowanie lub aktualizowanie dodatku do klienta. Menu skrótów Wiele ekranów dodatku do serwera ma menu kontekstowe. Na przykład kliknięcie profilu zabezpieczeń powoduje wyświetlenie menu skrótów zapewniającego dostęp do większości opcji paska narzędzi na tym ekranie. Kliknięcie prawym przyciskiem myszy grupy komputerów wywołuje menu skrótów z opcjami zarządzania bieżącą domeną lub utworzenia nowej. Wszelkie prawa zastrzeżone

6 Przewodnik przedstawiający poszczególne ekrany interfejsu dodatku Intrusion Defense Firewall do serwera Wszelkie prawa zastrzeżone

7 Dashboard Program Dashboard zapewnia szybki przegląd stanu zapory Intrusion Defense Firewall. Po uruchomieniu dodatku do serwera zachowywany jest układ ekranu programu Dashboard z ostatniej sesji. Zakres dat/godzin Program Dashboard wyświetla dane dla ostatnich 24 godzin lub ostatnich siedmiu dni. Aby przełączyć się między tymi widokami, należy użyć menu rozwijanego na górze ekranu: Filtr komputera Istnieje możliwość filtrowania danych na ekranie programu Dashboard poprzez wybranie danych do wyświetlenia. Można wybrać określony komputer, komputery z określonych domen lub komputery używające konkretnego profilu zabezpieczeń. Wszelkie prawa zastrzeżone

8 Widgety Rozmieszczenie paneli informacyjnych ( widgetów ) na ekranie można zmieniać, przeciągając je i upuszczając w nowym miejscu. Widgety można także dodawać lub usuwać z ekranu programu Dashboard. Aby wyświetlić listę dostępnych widgetów, należy kliknąć opcję Dodaj do programu Dashboard na pasku narzędzi. Wiele widgetów zawiera łącza umożliwiające uzyskanie bardziej szczegółowych danych. Na przykład kliknięcie kolumny na wykresie Zdarzenia powoduje wyświetlenie ekranu ze wszystkimi zdarzeniami systemowymi, które wystąpiły danego dnia. Aby usunąć widget z programu Dashboard, należy kliknąć symbol X w prawym górnym rogu widgetu. Obok wartości numerycznych w widgetach 1x1 wyświetlane są wskaźniki trendu. Trójkąt skierowany w górę lub w dół oznacza przyrost lub spadek w porównaniu z wcześniejszym okresem, a płaska linia wskazuje brak znaczącej zmiany. Zapisywanie układów programu Dashboard Poszczególne układy programu Dashboard można zapisywać, ładować i usuwać przy użyciu menu rozwijanego Dashboard na pasku narzędzi: Wszelkie prawa zastrzeżone

9 Alarmy Na ekranie Alarmy wyświetlane są wszystkie aktywne alarmy. Alarmy mogą być wyświetlane w widoku podsumowania, który grupuje podobne alerty, lub w widoku listy zawierającym listę poszczególnych alarmów. Aby przełączyć się między tymi widokami, należy użyć menu rozwijanego obok przycisku Alarmy na pasku tytułu ekranu: Rozwinięcie panelu alarmu w widoku podsumowania (poprzez kliknięcie opcji Pokaż szczegóły) powoduje wyświetlenie wszystkich obiektów (komputerów, filtrów itp.), do których odnosi się ten alarm. Kliknięcie obiektu powoduje wyświetlenie ekranu Właściwości. Jeśli na liście obiektów w widoku podsumowania znajduje się więcej niż pięć obiektów, po ostatnim z nich wyświetlany jest wielokropek ( ). Kliknięcie go powoduje wyświetlenie pełnej listy. Po wykonaniu odpowiedniej operacji dla alarmu można oddalić ten alarm, zaznaczając pole wyboru obok elementu docelowego alarmu i kliknięcie łącza Oddal. W widoku listy należy kliknąć alarm prawym przyciskiem myszy, aby wyświetlić listę opcji w menu kontekstowym. Istnieją dwa typu alarmów: systemowe i zabezpieczeń. Alarmy systemowe (Komputer w trybie offline, Zmiana zegara komputera itp.) są konfigurowane na ekranie System > Konfiguracja alarmów. Alarmy zabezpieczeń są wywoływane przez reguły zapory i filtry IPS. Wszystkie alarmy mają domyślne oceny istotności (krytyczne lub ostrzeżenie). Oceny te można zmienić na ekranie System > Konfiguracja alarmów. Aby wyświetlić tylko alarmy dla komputerów w określonej domenie, z konkretnym profilem zabezpieczeń itp., należy użyć paska filtrowania Komputer. Wszelkie prawa zastrzeżone

10 Zdarzenia zapory Domyślnie dodatek do serwera zbiera zarejestrowane zdarzenia IPS z dodatków do klienta podczas każdego sygnału synchronizacji. Można to wyłączyć na karcie Zapora na ekranie System > Ustawienia. Zarejestrowane dane są wykorzystywane w różnych raportach, wykresach i tabelach w dodatku do serwera. Po zgromadzeniu przez dodatek do serwera, dzienniki zdarzeń są przechowywane przez czas, który można ustawić na karcie System na ekranie System > Ustawienia. Ustawienie domyślne to jeden tydzień. Z głównego ekranu można: 1. Wyświetlić ( ) właściwości określonego zdarzenia. 2. Wyszukać ( ) określone zdarzenie lub 3. Odfiltrować listę: Do przefiltrowania listy zdarzeń należy użyć pasków narzędzi Okres i Komputer. 4. Wyeksportować ( ) dane listy zdarzeń do pliku CSV. Ponadto kliknięcie wpisu dziennika prawym przyciskiem myszy udostępnia następujące opcje: Właściwości komputera: Wyświetl właściwości komputera, który wygenerował wpis w dzienniku. Właściwości reguły zapory: Wyświetlenie właściwości określonego wpisu dziennika na jego ekranie Właściwości. Źródłowy adres IP (whois): Wykonuje wyszukiwanie whois dla źródłowego adresu IP. WHOIS to protokół TCP używany do określenia właściciela nazwy domeny lub adresu IP w Internecie. Docelowy adres IP (whois): Wykonuje wyszukiwanie whois dla docelowego adresu IP. Kolumny na ekranie dziennika zdarzeń zapory: Czas: Czas, kiedy zdarzenie miało miejsce w komputerze. Komputer: Komputer, na którym zdarzenie zostało zarejestrowane. Jeśli komputer został usunięty, widoczny będzie wpis Nieznany komputer. Przyczyna: Wpisy dziennika na tym ekranie są generowane przez reguły zapory lub ustawienia konfiguracji kontroli stanowej. Jeśli wpis został wygenerowany przez regułę zapory, wpis w kolumnie będzie poprzedzony etykietą Reguła zapory, po której znajdzie się nazwa reguły zapory. W przeciwnym razie wpis kolumny będzie przedstawiał ustawienie konfiguracji kontroli stanowej, które wygenerowało wpis dziennika. Operacja: Operacja podjęta przez regułę zapory lub konfigurację kontroli stanowej. Możliwe operacje to Odrzuć i Tylko dziennik. Ranking: System rankingu umożliwia określenie ważności zdarzeń IPS i zapory. Istotność ("ranking") zdarzenia jest obliczana poprzez pomnożenie "wartości zasobów" przypisanych do komputerów oraz "wartości istotności" przypisanych do filtrów IPS i reguł zapory. Umożliwia to posortowanie zdarzeń IPS i zapory według rankingu podczas ich przeglądania. Kierunek: Kierunek odpowiedniego pakietu (przychodzący lub wychodzący). Interfejs: Adres MAC interfejsu, przez który przemieszczał się pakiet. Typ ramki: Typ ramki danego pakietu. Możliwe wartości to IP, ARP, REVARP i Inny: XXXX, gdzie XXXX stanowi czterocyfrowy kod szesnastkowy typu ramki. Protokół: Możliwe wartości to: "ICMP", "IGMP", "GGP", "TCP", "PUP", "UDP", "IDP", "ND", "RAW", "TCP+UDP" i "Other: nnn", gdzie nnn oznacza trzycyfrową wartość dziesiętną. Flagi: Flagi ustawione w pakiecie. Źródłowy adres IP: Źródłowy adres IP pakietu. Źródłowy adres MAC: Źródłowy adres MAC pakietu. Wszelkie prawa zastrzeżone

11 Port źródłowy: Źródłowy port pakietu. Docelowy adres IP: Docelowy adres IP pakietu. Docelowy adres MAC: Docelowy adres MAC pakietu. Port docelowy: Docelowy port pakietu. Wielkość pakietu: Wielkość pakietu w bajtach. Reguły typu tylko rejestruj będą generować wpis dziennika tylko w przypadku, gdy dany pakiet nie został później zatrzymany przez regułę odrzucania lub regułę zezwalania, która go wykluczyła. Jeśli pakiet został zatrzymany przez jedną z tych reguł, tylko te reguły spowodują wygenerowanie pliku dziennika, a nie reguła typu tylko rejestruj. Jeśli żadna późniejsza reguła nie zatrzyma pakietu, reguła typu tylko rejestruj wygeneruje wpis. Wyświetlanie właściwości zdarzenia Dwukrotne kliknięcie zdarzenia powoduje wywołanie ekranu Właściwości dla tego wpisu. Wszystkie informacje dotyczące zdarzenia są wyświetlane na jednym ekranie. Filtrowanie listy i/lub wyszukiwanie zdarzeń Pasek narzędzi Okres umożliwia przefiltrowanie listy w celu wyświetlenia tylko tych zdarzeń, które wystąpiły w określonym okresie czasu. Pasek narzędzi Komputery umożliwia zorganizowanie wyświetlania wpisów w dzienniku zdarzeń według domen lub profili zabezpieczeń komputera. Kliknięcie przycisku Wyszukiwanie przełącza wyświetlanie paska wyszukiwania. Naciśnięcie przycisku ze znakiem "plus" (+) z prawej strony paska wyszukiwania powoduje wyświetlenie dodatkowego paska wyszukiwania, aby można było zastosować wiele parametrów wyszukiwania. Po zakończeniu kliknij przycisk Wyślij (z prawej strony pasków narzędzi, ze strzałką skierowaną w prawo). Eksportowanie Kliknięcie przycisku Eksport... powoduje wyeksportowanie wszystkich wpisów w dzienniku zdarzeń do pliku CSV. Wszelkie prawa zastrzeżone

12 Zdarzenia IPS Domyślnie dodatek do serwera zbiera zarejestrowane zdarzenia IPS z dodatków do klienta podczas każdego sygnału synchronizacji. Można to wyłączyć na karcie IPS na ekranie System > Ustawienia. Zarejestrowane dane są wykorzystywane w różnych raportach, wykresach i tabelach w dodatku do serwera. Po zgromadzeniu przez dodatek do serwera, dzienniki zdarzeń są przechowywane przez czas, który można ustawić na karcie System na ekranie System > Ustawienia. Ustawienie domyślne to jeden tydzień. Z głównego ekranu można: 1. Wyświetlić ( ) właściwości określonego zdarzenia. 2. Wyszukać ( ) określone zdarzenie lub 3. Odfiltrować listę: Do przefiltrowania listy zdarzeń należy użyć pasków narzędzi Okres i Komputer. 4. Wyeksportować ( ) dane dziennika zdaeń do pliku CSV. Ponadto kliknięcie wpisu dziennika prawym przyciskiem myszy udostępnia następujące opcje: Właściwości komputera: Wyświetl właściwości komputera, który wygenerował wpis w dzienniku. Właściwości filtru IPS: Wyświetlenie właściwości określonego wpisu dziennika na otwartym ekranie Właściwości. Źródłowy adres IP (whois): Wykonuje wyszukiwanie whois dla źródłowego adresu IP. Docelowy adres IP (whois): Wykonuje wyszukiwanie whois dla docelowego adresu IP. Kolumny na ekranie dziennika filtru IPS: Czas: Czas, kiedy zdarzenie miało miejsce w komputerze. Komputer: Komputer, na którym zdarzenie zostało zarejestrowane. Filtr IPS: Nazwa filtru IPS. Operacja: Operacja podjęta przez filtr IPS (Zezwól, Odrzuć, Wymuś zezwolenie, Tylko rejestruj lub Tylko wykryj jeśli filtr jest w trybie wykrywania). Ranking: System rankingu umożliwia określenie ważności zdarzeń IPS i zapory. Istotność ("ranking") zdarzenia jest obliczana poprzez pomnożenie "wartości zasobów" przypisanych do komputerów oraz "wartości istotności" przypisanych do filtrów IPS i reguł zapory. Umożliwia to posortowanie zdarzeń IPS i zapory według rankingu podczas ich przeglądania. Kierunek: Kierunek pakietu (przychodzący lub wychodzący). Interfejs: Adres MAC interfejsu, przez który przemieszczał się pakiet. Protokół: Możliwe wartości to: "ICMP", "IGMP", "GGP", "TCP", "PUP", "UDP", "IDP", "ND", "RAW", "TCP+UDP" i "Other: nnn", gdzie nnn oznacza trzycyfrową wartość dziesiętną. Flagi: Flagi ustawione w pakiecie. Źródłowy adres IP: Źródłowy adres IP pakietu. Źródłowy adres MAC: Źródłowy adres MAC pakietu. Port źródłowy: Źródłowy port pakietu. Docelowy adres IP: Docelowy adres IP pakietu. Docelowy adres MAC: Docelowy adres MAC pakietu. Port docelowy: Docelowy port pakietu. Wielkość pakietu: Wielkość pakietu w bajtach. Wszelkie prawa zastrzeżone

13 Wyświetlanie właściwości zdarzenia Dwukrotne kliknięcie zdarzenia powoduje wywołanie ekranu Właściwości dla tego wpisu. Filtrowanie listy i/lub wyszukiwanie zdarzeń Pasek narzędzi Okres umożliwia przefiltrowanie listy w celu wyświetlenia tylko tych zdarzeń, które wystąpiły w określonym okresie czasu. Pasek narzędzi Komputery umożliwia zorganizowanie wyświetlania wpisów w dzienniku zdarzeń według domen lub profili zabezpieczeń komputera. Kliknięcie przycisku Wyszukiwanie przełącza wyświetlanie paska wyszukiwania. Naciśnięcie przycisku ze znakiem "plus" (+) z prawej strony paska wyszukiwania powoduje wyświetlenie dodatkowego paska wyszukiwania, aby można było zastosować wiele parametrów wyszukiwania. Po zakończeniu kliknij przycisk Wyślij (z prawej strony pasków narzędzi, ze strzałką skierowaną w prawo). Eksportowanie Kliknięcie przycisku Eksport... powoduje wyeksportowanie wszystkich wpisów w dzienniku zdarzeń do pliku CSV. Wszelkie prawa zastrzeżone

14 Zdarzenia systemowe Dziennik zdarzeń systemowych zawiera zapis zdarzeń odnoszących się do systemu (a nie zdarzeń związanych z zabezpieczeniami). Z głównego ekranu można: 1. Wyświetlić ( ) szczegóły (właściwości) zdarzenia systemowego. 2. Wyszukać ( ) określone zdarzenie systemowe. 3. Wyeksportować ( ) aktualnie wyświetlane zdarzenia systemowe do pliku CSV. Widok Wybranie zdarzenia i kliknięcie przycisku Wyświetl ( ) powoduje wyświetlenie ekranu Właściwości przeglądarki zdarzeń. Ekran Przeglądarka zdarzeń ma dwa panele. 1. Informacje ogólne Czas: Czas zgodnie z zegarem systemowym komputera. Typ: Typ zdarzenia, które wystąpiło. Typy zdarzeń to Informacje, Ostrzeżenie i Błąd. Identyfikator zdarzenia: Unikatowy identyfikator typu zdarzenia. Zdarzenie: Nazwa zdarzenia (powiązana z identyfikatorem zdarzenia). Element docelowy: W tym miejscu zostanie zidentyfikowany obiekt systemowy powiązany ze zdarzeniem. Kliknięcie identyfikacji obiektu powoduje wyświetlenie arkusza właściwości obiektu. 2. Opis W razie potrzeby w tym miejscu wyświetlane są szczegóły wykonywanej operacji, która spowodowała powstanie tego wpisu w dzienniku zdarzeń systemowych. Filtrowanie listy i/lub wyszukiwanie zdarzeń Pasek narzędzi Okres umożliwia przefiltrowanie listy w celu wyświetlenia tylko tych zdarzeń, które wystąpiły w określonym okresie czasu. Pasek narzędzi Komputery umożliwia organizowanie wyświetlanych wpisów dziennika zdarzeń według domen komputerów lub profili zabezpieczeń komputerów. Kliknięcie przycisku Wyszukiwanie przełącza wyświetlanie paska wyszukiwania. Naciśnięcie przycisku ze znakiem "plus" (+) z prawej strony paska wyszukiwania powoduje wyświetlenie dodatkowego paska wyszukiwania, aby można było zastosować wiele parametrów wyszukiwania. Po zakończeniu kliknij przycisk Wyślij (z prawej strony pasków narzędzi, ze strzałką skierowaną w prawo). Eksportowanie Wyświetlane zdarzenia (wszystkie strony) można wyeksportować do pliku CSV. Istnieje możliwość wyeksportowania wyświetlanej listy lub wybranych elementów. Wszelkie prawa zastrzeżone

15 Raporty Dodatek do serwera generuje raporty w formatach PDF, RTF i XLS (MS Excel). Większość raportów generowanych na ekranie Generator raportów ma konfigurowalne parametry, takie jak zakres dat lub raportowanie według domeny komputerów. Opcje parametrów zostają wyłączone dla raportów, do których się nie odnoszą. Raport o alertach Raport o alertach przedstawia wykresy aktywności alarmów w podanym okresie oraz tabelę z listą dwudziestu najczęściej zgłaszanych alarmów w danym okresie. Raport o atakach Raport o atakach przedstawia operacje odnoszące się bezpośrednio do zabezpieczeń. W tabeli Podsumowanie wyświetlane jest podsumowanie analizy ruchu z podziałem według technik zapobiegania/wykrywania ataków i typów filtrów. Rozróżniane są także zabezpieczenia w trybie zapobiegania włamaniom (blokowanie złośliwego ruchu) i w trybie wykrywania intruzów (rejestrowanie złośliwego ruchu, ale bez blokowania ten tryb jest zwykle implementowany w fazie testowania). Kolejne tabele przedstawiają najczęściej wywoływane filtry. Raport o zaporze Raport o zaporze przedstawia zapis aktywności reguł zapory i kontroli stanowej w określonym zakresie dat. Należy mieć na uwadze, że w przypadku wyłączenia protokołowania dla danego filtru wskazania jego operacji przestaną być zwiększane w tym raporcie. Raport z dochodzeniowego audytu komputerów Raport z dochodzeniowego audytu komputerów przedstawia konfigurację dodatku do klienta na komputerze o określonej godzinie oraz czas, przez jaki stosowana jest ta konfiguracja. Raport o komputerach Raport o komputerach przedstawia podsumowanie dla każdego komputera z listy wyświetlanej na ekranie Komputery. Raporty można filtrować według komputera, domeny lub profilu zabezpieczeń. Raport wyświetla wykres i tabelę z liczbą komputerów w określonym stanie, a także podsumowanie dla każdego komputera. Raport IPS Raport IPS przedstawia zapis aktywności filtru IPS w podanym okresie. Należy mieć na uwadze, że w przypadku wyłączenia protokołowania dla danego filtru wskazania jego operacji przestaną być zwiększane w tym raporcie. Wszelkie prawa zastrzeżone

16 Komputery Ekran Komputery umożliwia zarządzanie komputerami w sieci i monitorowanie ich. Jest on regularnie odświeżany w celu zapewnienia aktualności wyświetlanych informacji. Za pomocą tego ekranu można zorganizować komputery w domeny i zarządzać profilami zabezpieczeń, które zostały do nich zastosowane. Za pomocą ekranu Komputery można: Zsynchronizować ( ) listę komputerów z oprogramowaniem OfficeScan. Przeskanować ( ) komputery pod kątem otwartych portów. Przeskanować komputery pod kątem zaleceń ( ). Wyświetlić lub edytować właściwości ( ) komputera. Przypisać ( ) profil zabezpieczeń do komputera. Usunąć ( ) komputer z listy komputerów. Wyszukać ( ) komputer. Kliknięcie komputera prawym przyciskiem myszy powoduje wyświetlenie menu skrótów, za pomocą którego można przeprowadzić większość z wyżej wymienionych zadań, a także: Wdrożyć dodatki do klienta. Usunąć dodatki do klienta. Aktywować/reaktywować ( ) dodatek do klienta na komputerze. Dodatek klienta po zainstalowaniu na komputerze musi zostać aktywowany przez dodatek do serwera. W trakcie tego procesu dodatek do serwera wysyła skrót danych do dodatku do klienta. Od tego czasu dodatek do klienta akceptuje tylko instrukcje od dodatku do serwera zawierające tylko ten unikatowy skrót danych. Sprawdzić stan ( ) dodatku do klienta. Dezaktywować ( ) dodatek do klienta na komputerze. Aktualizować ( ) dodatek do klienta na komputerze. Odebrać listę zdarzeń ( ) od dodatku do klienta. Wyczyścić ostrzeżenia lub błędy na komputerze. Zablokować ( ) dodatek do klienta. Odblokować ( ) dodatek do klienta. Anulować aktualnie wykonywane skanowanie portów ( ). Wyczyścić zalecenia ( ) dla danego komputera. Przypisać wartość zasobu ( ) do danego komputera. Sprawdzić zdarzenia systemowe powiązane z danym komputerem. Sprawdzić dzienniki zapory i zdarzeń IPS powiązane z danym komputerem. Ponadto kliknięcie prawym przyciskiem myszy ikony komputera ( ) lub ikony domeny ( ) w panelu nawigacji wywołuje menu skrótów z następującymi opcjami dodatkowymi, które odnoszą się do domen komputerów: Przypisanie ( ) profilu zabezpieczeń do wszystkich komputerów w bieżącej domenie. Przypisanie wartości zasobu ( ) do wszystkich komputerów w danej domenie. Wyświetlenie lub edycja właściwości ( ) domeny. Wszelkie prawa zastrzeżone

17 Synchronizowanie z programem OfficeScan Powoduje synchronizację listy komputerów z komputerami zarządzanymi przez program OfficeScan. Lista jest synchronizowana automatycznie przy każdym uruchomieniu dodatku do serwera, ale nie zostanie zaktualizowana w przypadku dodania komputerów do programu OfficeScan, kiedy dodatek do serwera jest uruchomiony. Za pomocą tego przycisku można wymusić synchronizację z programem OfficeScan podczas pracy dodatku do serwera. Skanowanie komputerów w poszukiwaniu otwartych portów Operacja Skanuj komputery wykonuje skanowanie portów wszystkich wybranych komputerów oraz sprawdza dodatek do klienta zainstalowany na komputerze w celu ustalenia, czy jego stan to Wymagana dezaktywacja dodatku do klienta, Wymagana aktywacja dodatku do klienta, Wymagana ponowna aktywacja dodatku do klienta lub Online. Operacja skanowania domyślnie skanuje porty Można zmienić ten zakres w sekcji System > Ustawienia na karcie Skanowanie. Dodatek do serwera zawsze skanuje port 4118, niezależnie od ustawień zakresu portów. Komunikacja zainicjowana przez dodatek do serwera jest wysyłana do portu w komputerze. Jeśli kierunek komunikacji na komputerze ustawiono jako Inicjowana przez dodatek do klienta (Właściwości komputera > Zaawansowane > Komputer > Kierunek komunikacji), port 4118 jest zamknięty. Skanowanie komputerów w poszukiwaniu zaleceń Operacja Skanuj w poszukiwaniu zaleceń powoduje, że dodatek do klienta skanuje komputer pod kątem typowych aplikacji, a następnie przedstawia zalecenia dotyczące filtrowania na podstawie wykrytych informacji. Zalecenia, które nie zostaną automatycznie zastosowane, będą powodowały zgłoszenie alarmu. Wyniki skanowania w poszukiwaniu zaleceń można także wyświetlić na ekranie Właściwości komputera na karcie Filtry IPS. Jeśli filtry IPS są posortowane według typu aplikacji, obok nazw zalecanych typów aplikacji będzie wyświetlana zielona flaga. Ustawienia skanowania w poszukiwaniu zaleceń można skonfigurować w profilach zabezpieczeń lub na samych komputerach. Wyświetlanie właściwości komputera Ekran Właściwości komputera zawiera pięć kart: Właściwości komputera, Reguły zapory, Konfiguracje kontroli stanowych, Filtry IPS i Operacje. Właściwości komputera Na karcie Właściwości komputera znajdują się cztery panele, przycisk SSL i przycisk Zaawansowane. 1. Informacje ogólne Nazwa hosta: Nazwa musi mieć postać adresu IP komputera lub nazwy hosta komputera. Jeśli nie jest stosowany adres IP, można użyć w pełni kwalifikowanej lub względnej nazwy hosta. Opis: opis komputera. Platforma: w tym miejscu są wyświetlane szczegółowe informacje o systemie operacyjnym komputera. Domena komputerów: domena, do której należy komputer. Profil zabezpieczeń: profil zabezpieczeń (jeśli istnieje), który został przypisany do danego komputera. Wszelkie prawa zastrzeżone

18 Wartość zasobu: Dodatek do serwera używa systemu rankingowego w celu ilościowego określenia ważności zdarzeń IPS i zapory. Do filtrów IPS, reguł zapory i zasobów (komputerów) przypisywana jest wartość liczbowa. Kiedy filtr IPS lub reguła zapory zostaje wywołana na komputerze, wartości te są mnożone przez siebie. Powoduje to uzyskanie oceny, za pomocą której można sortować zdarzenia według ważności. Ranking zdarzeń można wyświetlić na ekranach Monitorowanie > Zdarzenia zapory i Monitorowanie > Zdarzenia IPS. Aby przypisać wartość do danego komputera, należy użyć listy rozwijanej Wartość zasobu. W celu skonfigurowania ustawień rankingu należy przejść do sekcji System > Ustawienia > Ranking. Zablokuj komputer: Zaznaczenie tego pola wyboru powoduje zablokowanie całej komunikacji między dodatkiem do klienta a dodatkiem do serwera. Profil zabezpieczeń komputera pozostanie aktywny (wszystkie filtry i reguły będą ciągle stosowane do całego ruchu), ale wygenerowane alarmy nie będą przesyłane do dodatku do serwera. Jedynym wyjątkiem jest operacja usunięcia dodatku do klienta. Komputer można zablokować w celu wykonania jego obsługi bez wyświetlania serii alarmów w dodatku do serwera. 2. Stan Stan komputera: o Jeśli komputer jest niezarządzany, jest to stan dodatku do klienta pod względem aktywacji. Wyświetlany jest stan Wykryty lub Nowy, po którym następuje stan dodatku do klienta w nawiasach kwadratowych ( Brak dodatku do klienta, Nieznany, Wymagana ponowna aktywacja dodatku do klienta, Wymagana aktywacja dodatku do klienta lub Wymagana dezaktywacja dodatku do klienta ). o Kiedy komputer jest zarządzany i nie ma żadnych błędów komputera, wyświetlany jest stan Zarządzany, po którym następuje stan dodatku do klienta w nawiasach kwadratowych ( Dodatek do klienta online lub Dodatek do klienta offline ). o W przypadku błędów na komputerze (np. Dodatek do klienta offline, Aktualizacja dodatku do klienta nieudana itp.) stan będzie przedstawiał błąd. Jeśli istnieje więcej niż jeden błąd, zostanie wyświetlony stan Wiele błędów z listą poszczególnych błędów poniżej. Dodatek do klienta: wskazuje, czy dodatek do serwera może komunikować się z dodatkiem do klienta. Ostatnia komunikacja: czas ostatniej pomyślnej komunikacji dodatku do serwera z dodatkiem do klienta na danym komputerze. Sprawdź stan:za pomocą tego przycisku można wymusić wykonanie przez dodatek do serwera natychmiastowej operacji sygnału synchronizacji w celu sprawdzenia stanu dodatku do klienta. Operacja sprawdzania stanu nie wykonuje aktualizacji dodatku do klienta. Jeśli wymagana jest aktualizacja, należy kliknąć przycisk Zaktualizuj dodatek do klienta teraz na karcie Operacje. Jeśli komunikacja między serwerem a klientem jest ustawiona na Inicjowana przez dodatek do klienta, przycisk Sprawdź stan jest nieaktywny. Sprawdzenie stanu nie powoduje aktualizacji dzienników dla danego komputera. Aby zaktualizować dzienniki dla tego komputera, należy przejść na kartę Operacje. Przycisk Zdarzenia komputera: powoduje wyświetlenie zdarzeń systemowych powiązanych z danym komputerem. 3. Zapora (reguły zapory, konfiguracje stanowe) Należy wybrać, czy zabezpieczenie przy użyciu zapory ma być włączone lub wyłączone. Wybranie ustawienia Dziedziczone oznacza, że o włączeniu lub wyłączeniu zapory będzie decydować profil zabezpieczeń przypisany do danego komputera. Komputer będzie dziedziczyć ustawienie z profilem zabezpieczeń. Wyłączenie zapory dla określonego profilu zabezpieczeń spowoduje jej wyłączenie dla wszystkich komputerów, w przypadku których ustawienie zapory określono jako Dziedziczone. 4. Zapobieganie wtargnięciom (filtry IPS) Podobnie jak zaporę, funkcje zapobiegania włamaniom można włączyć lub wyłączyć na określonym komputerze przy użyciu tych ustawień. Wybranie ustawienia Dziedziczone oznacza, że o włączeniu lub wyłączeniu funkcji zapobiegania włamaniom na danym komputerze będzie decydować profil zabezpieczeń Wszelkie prawa zastrzeżone

19 przypisany do tego komputera. Ustawienie Zapobiegaj (IPS) oznacza, że funkcja zapobiegania włamaniom jest włączona. Ustawienie Wykrywaj (IPS) oznacza, że funkcja zapobiegania włamaniom działa w trybie rejestrowania. Ruch będzie monitorowany, wszystkie wywołane filtry IPS i reguły będą rejestrowane (jeśli ustawiono rejestrowanie), alarmy będą wysyłane (jeśli to skonfigurowano), ale żaden ruch nie będzie blokowany. Ustawienie Wyłączone oznacza, że filtrowanie IPS nie będzie wykonywane. Wykonaj ciągłe skanowanie w poszukiwaniu zaleceń: Można wybrać opcję, która powoduje, że dodatek do klienta okresowo skanuje komputer, a następnie wprowadza zalecenia. Częstotliwość skanowania pod kątem zaleceń można ustawić globalnie dla wszystkich komputerów w opcji System > Ustawienia > Skanowanie. Automatycznie przypisz do komputerów zalecane filtry podczas skanowania w poszukiwaniu zaleceń: Należy zaznaczyć to pole wyboru, aby zastosować zalecane filtry do komputera. Jeśli to pole wyboru będzie niezaznaczone, zostanie zgłoszony alarm (chyba że wyłączono alarmy skanowania w poszukiwaniu zaleceń). 5. SSL Dodatek do klienta obsługuje filtrowanie IPS ruchu SSL. Okno dialogowe SSL umożliwia utworzenie konfiguracji SSL dla danej pary certyfikatu i portu dla jednego lub większej liczby interfejsów. Certyfikaty można importować w formacie PKCS 12 lub PEM. W przypadku komputerów z systemem Windows dostępna jest opcja bezpośredniego użycia interfejsu Windows CryptoAPI. Kliknięcie przycisku SSL powoduje wywołanie ekranu Konfiguracje SSL komputera z listą istniejących konfiguracji SSL. Można także utworzyć nowe konfiguracje. Dwukrotne kliknięcie istniejącej konfiguracji powoduje wywołanie jej ekranu Właściwości z kartami Przypisanie i Poświadczenia. Wszelkie prawa zastrzeżone

20 Przypisanie Informacje ogólne: nazwa i opis konfiguracji SSL oraz informacja, czy jest włączona na danym komputerze. Przypisania interfejsu: interfejsy, do których stosowana jest ta konfiguracja. Wybór portów: porty, do których stosowana jest ta konfiguracja. Poświadczenia Na karcie Poświadczenia wyświetlana jest lista aktualnych poświadczeń oraz przycisk Przypisz nowe poświadczenia, który umożliwia ich zmianę. Informacje na temat konfigurowania filtrowania SSL zawiera rozdział Poradnik Filtrowanie strumieni danych SSL. 6. Zaawansowane ustawienia W całym interfejsie dodatku do serwera można ustawiać wiele zmiennych globalnie, a następnie zastępować je na niższym poziomie łańcucha hierarchii. Na przykład częstotliwość sygnału synchronizacji można ustawić globalnie w opcji System > Ustawienia > Komputery > Sygnał synchronizacji, ale następnie zastąpić ją w określonym profilu zabezpieczeń za pomocą opcji Profil zabezpieczeń > Właściwości > Komputer > Sygnał synchronizacji, a następnie znowu na poziomie pojedynczego komputera (Komputery > Właściwości > Właściwości komputera > Zaawansowane > Komputer > Sygnał synchronizacji). Na dowolnym poziomie poniżej globalnego domyślnym ustawieniem jest dziedziczenie z wyższego poziomu. W takich przypadkach w interfejsie użytkownika będzie wyświetlane słowo Dziedziczony, a następnie ustawienie, które jest dziedziczone. Komputer Kierunek komunikacji kierunek komunikacji między dodatkiem do serwera a dodatkiem do klienta: Przy ustawieniu domyślnym (dwukierunkowa) dodatek do klienta będzie inicjował sygnał synchronizacji, ale nadal będzie nasłuchiwał na swoim porcie połączeń z dodatku do serwera, który może połączyć się z dodatkiem do klienta w celu wykonania wymaganych operacji. Dodatek do serwera został zainicjowany oznacza, że dodatek do serwera będzie inicjował wszystkie połączenia. Komunikacja nastąpi, gdy dodatek do serwera wykona zaplanowane aktualizacje, operacje sygnału synchronizacji (opisane poniżej) oraz gdy użytkownik wybierze opcje Aktywacja/ponowna aktywacja albo Aktualizuj teraz z interfejsu dodatku do serwera. Aby całkowicie wyłączyć komunikację inicjowaną z jakiegokolwiek zdalnego źródła, można wybrać, aby dodatek do klienta sam okresowo sprawdzał dostępność aktualizacji i sterował operacjami sygnału synchronizacji. W takim przypadku należy wybrać opcję Inicjowane przez dodatek do klienta. Sygnał synchronizacji: Dodatek do serwera zbiera podczas sygnału synchronizacji następujące informacje: stan sterowników (online lub offline), stan dodatku do klienta (w tym czas zegara), dzienniki dodatku do klienta od ostatniego sygnału synchronizacji, dane do aktualizacji liczników oraz skrót danych konfiguracji zabezpieczeń dodatku do klienta (służące do określenia, czy jest on aktualny). Można zmienić częstotliwość sygnału synchronizacji (inicjowanego przez dodatek do klienta lub przez dodatek do serwera) oraz liczbę pominiętych sygnałów synchronizacji, jakie mogą wystąpić przed wywołaniem alarmu. Harmonogram dostępu do komputera: Okresy, w których dodatek do serwera może zastosować zautomatyzowane/kolejkowane aktualizacje do dodatku do klienta. Sygnał synchronizacji będzie trwał dalej. To ustawienie ma głównie na celu zapobieżenie stosowaniu aktualizacji lub uruchamianiu skanowania zaleceń w okresie największej aktywności serwera. Aktualizacje można zastosować ręcznie w dowolnym momencie, klikając prawym przyciskiem myszy Komputer i wybierając opcję Zaktualizuj dodatki do klienta teraz. To ustawienie może być dziedziczone z profilu zabezpieczeń, który został przypisany do danego komputera. Można także wybrać inny, wstępnie zdefiniowany harmonogram z listy rozwijanej. Wszelkie prawa zastrzeżone

21 Rozwiązywanie problemów: Wybierz, czy dziedziczyć zastępujące ustawienia rejestrowania z profilu zabezpieczeń przypisanego do tego komputera ( Dziedziczone ), nie dziedziczyć ustawień rejestrowania ( Nie zastępuj ), rejestrować wszystkie wyzwolone reguły zapory ( Pełne rejestrowanie zdarzeń zapory ), rejestrować wszystkie wyzwolone filtry IPS ( Pełne rejestrowanie zdarzeń IPS ) lub rejestrować wszystkie wyzwolone filtry ( Pełne rejestrowanie ). Konfiguracja rejestrowania odbywa się na trzech różnych poziomach: same filtry, profile zabezpieczeń zawierające określone filtry oraz komputery, do których przypisane są profile zabezpieczeń/filtry. Poziomy rejestrowania są dziedziczone w tej kolejności. Opcja zastąpienia poziomów rejestrowania istnieje głównie w celach diagnostycznych. Podczas wstępnego stosowania zestawu filtrów do komputera użytkownik może chcieć, aby rejestrowane były wszystkie operacje filtrowania na tym jednym komputerze bez potrzeby zmiany ustawień rejestrowania oddzielnie dla każdego filtru stosowanego do tego komputera. Korzystanie z opcji zastąpienia umożliwia rejestrowanie całego filtrowania na pojedynczym komputerze bez włączania go na wszystkich innych komputerach w tym samym czasie. Zapora Zdarzenia zapory: Można ustawić maksymalną wielkość każdego pliku dziennika osobno oraz liczbę najnowszych plików, które będą przechowywane. Zapis w plikach dziennika zdarzeń zapory będzie odbywał się do momentu osiągnięcia przez plik maksymalnej dozwolonej wielkości. Zostanie wtedy utworzony nowy plik, do którego zapis będzie odbywał się do momentu osiągnięcia przez niego maksymalnej dozwolonej wielkości i tak dalej. W momencie osiągnięcia maksymalnej liczby plików najstarszy zostanie usunięty przed utworzeniem nowego. Wpisy w dzienniku zdarzeń zapory mają zazwyczaj wielkość około 200 bajtów, zatem w pliku o wielkości 4 MB zmieści się około wpisów. Szybkość zapełniania plików dziennika zależy od liczby reguł zapory. o Pobieraj zdarzenia zapory z dodatku do klienta: okresowo pobiera najnowsze wpisy w dzienniku zapory od dodatku do klienta. Dzienniki rejestrują pojedyncze zdarzenia. Liczniki rejestrują liczbę wystąpień pojedynczego zdarzenia. Dzienniki służą do umieszczania danych na ekranach Zdarzenia (zdarzenia zapory, IPS, systemowe). Liczniki służą do umieszczania danych w widgetach programu Dashboard (liczba zdarzeń zapory w ciągu ostatnich 7 dni itp.) oraz raportach. Można gromadzić tylko liczniki, na przykład jeśli do gromadzenia dzienników używane jest narzędzie syslog. Dzienniki mogą zajmować dużą ilość miejsca na dysku, a dwukrotne zapisywanie tych samych danych może być niepożądane. IPS o Nie rejestruj wpisów ze źródłowym adresem IP: opcja ta jest przydatna, gdy program Intrusion Defense Firewall nie ma rejestrować wpisów dla ruchu z określonych, zaufanych komputerów. o Rejestrowanie pakietów niespełniających dozwolonych zasad : Wybierz, czy mają być rejestrowane pakiety porzucone, ponieważ nie zostały dozwolone przez regułę Zezwól lub regułę zapory. (Należy mieć na uwadze, że włączenie tej opcji może znacznie zwiększyć wielkość plików dziennika). Zaawansowane zdarzenia zapory: Aby uzyskać informacje o zaawansowanych zdarzeniach zapory, patrz System > Ustawienia > Zapora. Zdarzenia IPS: Istnieje możliwość ustawienia maksymalnej wielkości każdego pliku dziennika oraz liczby najnowszych plików do zachowania. Zapis w plikach dziennika zdarzeń IPS będzie odbywał się do momentu osiągnięcia przez plik maksymalnej dozwolonej wielkości. Zostanie wtedy utworzony nowy plik, do którego zapis będzie odbywał się do momentu osiągnięcia przez niego maksymalnej dozwolonej wielkości i tak dalej. W momencie osiągnięcia maksymalnej liczby plików najstarszy zostanie usunięty przed utworzeniem nowego. Wpisy w dzienniku zdarzeń IPS mają zazwyczaj wielkość około 200 bajtów, zatem w pliku o wielkości 4 MB zmieści się około wpisów. Szybkość zapełniania plików dziennika zależy od liczby filtrów IPS. o Pobieraj zdarzenia IPS z dodatku klienta: okresowo pobiera najnowsze wpisy w dzienniku IPS od dodatku do klienta. o Nie rejestruj wpisów ze źródłowym adresem IP: opcja ta jest przydatna, gdy program Intrusion Defense Firewall nie ma rejestrować wpisów dla ruchu z określonych zaufanych komputerów. Wszelkie prawa zastrzeżone

22 o Zezwalaj filtrom IPS na przechwytywanie danych z pierwszego trafienia każdego filtru: Zachowaj dane za pakietu, który wywołał wpis w dzienniku. (Dane pakietu można wyświetlić wraz z wpisem w dzienniku. Każdy filtr może przejąć dane tylko raz na pięć minut, aby zapobiec powstawaniu zbyt dużych plików dziennika). Zaawansowane zdarzenia IPS: aby uzyskać informacje o zaawansowanych zdarzeniach IPS, patrz System > Ustawienia > IPS. Analiza Aby uzyskać informacje o analizie ruchu, patrz System > Ustawienia > Analiza. Skanowanie Skanowanie w poszukiwaniu otwartych portów: Należy wybrać listę portów, która ma być używana przez dodatek do serwera podczas skanowania portów wykrytych komputerów. (Rozwijane listy portów są tymi samymi, co zdefiniowane na ekranie Listy portów w sekcji Komponenty). Skanowanie w poszukiwaniu zaleceń: okresowo dodatki do klienta mogą skanować swój komputer pod kątem typowych aplikacji, a następnie tworzyć zalecenia dotyczące filtrowania na podstawie tego, co wykryły. To ustawienie określa przedział czasu między skanowaniami w komputerach, które skonfigurowano tak, aby było to na nich możliwe. Na ekranie Właściwości komputera można skonfigurować dodatki do klienta w sposób zezwalający im na wykonywanie skanowania. Powiadomienia Użyj ustawień dziedziczonych: użyj tej opcji, aby ustawienia były dziedziczone z najbliższego wyższego poziomu. Nie przekazuj dzienników: brak przekazywania dzienników z tego dodatku do klienta. Przekaż dzienniki do: zastąpienie ustawień i wysłanie dzienników do określonego serwera Syslog. Reguły zapory Na karcie Reguły zapory wyświetlane są reguły zapory przypisane do interfejsów danego komputera. Można zauważy, że wszystkie zdefiniowane typy interfejsów w lewym okienku są zagnieżdżone pod nadrzędnym elementem Globalne. Firma Trend Micro zaleca przypisanie wszystkich filtrów, które będą wspólne dla wszystkich interfejsów, do tego globalnego typu interfejsu. Na poziomie typu interfejsu powinny być przypisywane tylko filtry zaprojektowane specjalnie dla określonego typu interfejsu. Jeśli przez przeoczenie do nowo zainstalowanego interfejsu nie zostanie przypisany typ, mimo to będzie on domyślnie chroniony. Dodatek do klienta wykryje i wyświetli wszystkie interfejsy na komputerze. W przypadku, gdy poprzednio wyświetlony interfejs nie jest już wykrywany (na przykład gdy został usunięty z komputera), nadal będzie tu wyświetlany, ale w kolorze szarym. Dzieje się tak, ponieważ dodatek do serwera zakłada, że sytuacja taka nie jest trwała, i nie odrzuci żadnych ustawień. Jeśli wiadomo, że wyświetlany w kolorze szarym interfejs nie będzie już używany w komputerze, można go usunąć z listy ręcznie za pomocą menu wyświetlanego po kliknięciu prawym przyciskiem myszy. Jeśli używane są wirtualne interfejsy komputera, interfejs fizyczny musi mieć statyczny adres IP. Dodatek do klienta nie rozpozna interfejsów wirtualnych w przypadku, gdy interfejs fizyczny ustawiono na użycie protokołu DHCP. Jeśli używane są interfejsy wirtualne, na karcie Reguły zapory będą wyświetlane poszczególne adresy IP. Dodatek do serwera umożliwi zastosowanie reguł zapory do poszczególnych adresów IP, ale należy pamiętać, że znajdują się one na tym samym interfejsie fizycznym. Jeżeli więc reguła zezwalania zostanie zastosowana do adresu IP, spowoduje to zastosowanie reguły odrzucania dla całego ruchu innych adresów IP w tym samym interfejsie. W przypadku korzystania z interfejsów wirtualnych należy stosować reguły zapory wyłącznie do interfejsu fizycznego, a nie do poszczególnych adresów IP. Wszelkie prawa zastrzeżone

23 Reguły zapory są wyświetlane obok pól wyboru. Wyszarzone i zaznaczone pole wyboru oznacza, że dana reguła zapory jest stosowana do ruchu na tym komputerze, ponieważ profil zabezpieczeń przypisany do komputera zawiera filtr. Zaznaczone reguły, które nie są wyszarzone, zostały przypisane do danego komputera bezpośrednio, a nie w wyniku dołączenia do profilu zabezpieczeń. Edycja właściwości reguły zapory na ekranie Właściwości komputera Na ekranie Właściwości komputera można sprawdzać i edytować właściwości reguły zapory. Zmiany dokonane w regule zapory mogą zostać zastosowane tylko do reguły używanej dla danego komputera lub do wszystkich komputerów, które używają tej reguły teraz lub w przyszłości. Aby dokonać lokalnych zmian reguły tylko na danym komputerze, należy kliknąć regułę prawym przyciskiem myszy i wybrać polecenie Właściwości reguły zapory (dla tego komputera), a następnie dokonać zmian. Aby dokonać zmian reguły zapory na wszystkich komputerach globalnie, należy kliknąć regułę prawym przyciskiem myszy i wybrać polecenie Właściwości reguły zapory (lub po prostu kliknąć dwukrotnie regułę). Należy pamiętać, że zostanie zmieniony tylko konkretny element reguły zapory na danym komputerze. Jeśli w przyszłości zostanie zmieniony inny element reguły zapory bez określania opcji dla tego komputera, zmiana ta zostanie zastosowana do wszystkich komputerów używających tej reguły. Ta możliwość lokalnej lub globalnej zmiany właściwości elementu dotyczy reguł zapory, filtrów IPS i typów aplikacji. Konfiguracja stanowa Na karcie Konfiguracja stanowa wyświetlane są konfiguracje kontroli stanowych przypisane do interfejsów danego komputera. Można zauważyć, że wszystkie zdefiniowane typy interfejsów w lewym okienku są zagnieżdżone pod nadrzędnym elementem Globalne. Firma Trend Micro zaleca przypisanie do tego globalnego typu interfejsu wszystkich filtrów, które będą wspólne dla wszystkich interfejsów. Na poziomie typu interfejsu powinny być przypisywane tylko filtry zaprojektowane specjalnie dla określonego typu interfejsu. Jeśli przez przeoczenie do nowo zainstalowanego interfejsu nie zostanie przypisany typ, mimo to będzie on domyślnie chroniony. Dodatek do klienta wykryje i wyświetli wszystkie interfejsy na komputerze. W przypadku, gdy poprzednio wyświetlony interfejs nie jest już wykrywany (na przykład gdy został usunięty z komputera), nadal będzie tu wyświetlany, ale w kolorze szarym. Dzieje się tak, ponieważ dodatek do serwera zakłada, że sytuacja taka nie jest trwała, i nie odrzuci żadnych ustawień. Jeśli wiadomo, że wyświetlany w kolorze szarym interfejs nie będzie już używany w komputerze, można go usunąć z listy ręcznie za pomocą menu wyświetlanego po kliknięciu prawym przyciskiem myszy. Na tym ekranie można wybrać, która konfiguracja kontroli stanowej zostanie zastosowana do interfejsów danego komputera. Tak jak sugerują przyciski radiowe, jednocześnie możliwe jest zastosowanie tylko jednej konfiguracji kontroli stanowej do interfejsu. Konfiguracje kontroli stanowej można tworzyć i edytować zarówno na tym ekranie, jak i na ekranie Konfiguracje kontroli stanowej. Należy pamiętać, że wszystkie zmiany konfiguracji kontroli stanowej, które zostaną dokonane na tym ekranie, wpłyną na wszystkie komputery używające tej samej konfiguracji. Wszelkie prawa zastrzeżone

24 Filtry IPS Na karcie Filtry IPS wyświetlane są filtry IPS przypisane do interfejsów danego komputera. Można zauważyć, że wszystkie zdefiniowane typy interfejsów w lewym okienku są zagnieżdżone pod nadrzędnym elementem Globalne. Firma Trend Micro zaleca przypisanie do tego globalnego typu interfejsu wszystkich filtrów, które będą wspólne dla wszystkich interfejsów. Na poziomie typu interfejsu powinny być przypisywane tylko filtry zaprojektowane specjalnie dla określonego typu interfejsu. Jeśli przez przeoczenie do nowo zainstalowanego interfejsu nie zostanie przypisany typ, mimo to będzie on domyślnie chroniony. Dodatek do klienta wykryje i wyświetli wszystkie interfejsy na komputerze. W przypadku, gdy poprzednio wyświetlony interfejs nie jest już wykrywany (na przykład gdy został usunięty z komputera), nadal będzie tu wyświetlany, ale w kolorze szarym. Dzieje się tak, ponieważ dodatek do serwera zakłada, że sytuacja taka nie jest trwała, i nie odrzuci żadnych ustawień. Jeśli wiadomo, że wyświetlany w kolorze szarym interfejs nie będzie już używany w komputerze, można go usunąć z listy ręcznie za pomocą menu wyświetlanego po kliknięciu prawym przyciskiem myszy. Filtry IPS są wyświetlane obok pól wyboru. Wyszarzone i zaznaczone pole wyboru oznacza, że dany filtr IPS jest stosowany do ruchu na tym komputerze, ponieważ profil zabezpieczeń przypisany do komputera zawiera filtr. Zaznaczone filtry, które nie są wyszarzone, zostały przypisane do danego komputera bezpośrednio, a nie w wyniku dołączenia do profilu zabezpieczeń. Zielone flagi ( ) wskazują, że typ aplikacji (i powiązane filtry IPS) został zalecony dla danego komputera w wyniku skanowania w poszukiwaniu zaleceń. Częściowo zielona flaga ( ) obok nazwy typu aplikacji wskazuje, że nie wszystkie filtry IPS powiązane z tym typem aplikacji są zalecane dla komputera. Edycja właściwości filtru IPS na ekranie Właściwości komputera Na ekranie Właściwości komputera można sprawdzać i edytować właściwości filtru IPS. Zmiany dokonane w filtrze IPS mogą zostać zastosowane tylko do filtru używanego dla danego komputera lub do wszystkich komputerów, które używają tego filtru teraz lub w przyszłości. Aby dokonać lokalnych zmian filtru tylko na danym komputerze, należy kliknąć filtr prawym przyciskiem myszy i wybrać polecenie Właściwości filtru IPS (dla tego komputera), a następnie dokonać zmian. Aby dokonać zmian filtru IPS na wszystkich komputerach globalnie, należy kliknąć filtr prawym przyciskiem myszy i wybrać polecenie Filtr IPS (lub po prostu kliknąć dwukrotnie filtr). Należy pamiętać, że zostanie zmieniony tylko konkretny element filtru IPS na danym komputerze. Jeśli w przyszłości zostanie zmieniony inny element filtru IPS bez określania opcji dla tego komputera, zmiana ta zostanie zastosowana do wszystkich komputerów używających tego filtru. Ta możliwość lokalnej lub globalnej zmiany właściwości elementu dotyczy reguł zapory, filtrów IPS i typów aplikacji. Warto pamiętać, że można także zmodyfikować listę portów powiązaną z określonym typem aplikacji dla poszczególnych komputerów. Kliknij prawym przyciskiem myszy komputer(y) lub typ aplikacji i wybierz opcję Właściwości typu aplikacji (dla tego komputera), a następnie dokonaj zmian. Wszelkie prawa zastrzeżone