Podręcznik wdrażania programu Symantec Central Quarantine

Transkrypt

1 Podręcznik wdrażania programu Symantec Central Quarantine

2 Podręcznik wdrażania programu Symantec Central Quarantine Oprogramowanie opisane w niniejszym podręczniku jest dostarczane w ramach umowy licencyjnej i może być używane jedynie zgodnie z postanowieniami tej umowy. Wersja produktu: 3.1 Wersja dokumentacji: 4 Ostatnia aktualizacja tego dokumentu: czerwiec 08, 2016 o 14:22 Informacje prawne Copyright 2013 Symantec Corporation. Wszystkie prawa zastrzeżone. Nazwa i logo Symantec, logo znacznika wyboru oraz nazwa LiveUpdate są znakami towarowymi lub zastrzeżonymi znakami towarowymi firmy Symantec Corporation lub jej oddziałów, zarejestrowanymi w USA i innych krajach. Inne nazwy mogą być znakami towarowymi odpowiednich właścicieli. Ten produkt firmy Symantec może zawierać oprogramowanie innych firm, w przypadku którego firma Symantec musi wskazać odpowiednią inną firmę ( Programy innych firm ). Niektóre z programów innych firm są dostępne jako oprogramowanie o jawnym kodzie źródłowym lub bezpłatne. Niniejsza umowa licencyjna dołączona do oprogramowania nie powoduje zmiany jakichkolwiek praw lub zobowiązań wynikających z licencji na program o jawnym kodzie źródłowym lub bezpłatny. Dodatkowe informacje na temat programów innych firm są zawarte w zastrzeżeniach prawnych innych firm w załączniku do niniejszej dokumentacji lub w pliku ReadMe dotyczącym praw własności intelektualnej innych firm, dołączonym do niniejszego produktu firmy Symantec. Produkt opisywany w niniejszym dokumencie jest dystrybuowany zgodnie z licencjami ograniczającymi jego użycie, kopiowanie, dystrybucję i dekompilację/odtwarzanie kodu źródłowego. Żadna część tego dokumentu nie może być powielana w jakiejkolwiek formie i w jakikolwiek sposób bez uprzedniej pisemnej zgody Symantec Corporation i jego licencjodawców, jeśli tacy istnieją. TA DOKUMENTACJA JEST DOSTARCZANA W STANIE W JAKIM JEST I WSZELKIE JAWNE LUB DOROZUMIANE WARUNKI, ZOBOWIĄZANIA I GWARANCJE, WŁĄCZNIE Z DOROZUMIANYMI GWARANCJAMI PRZYDATNOŚCI HANDLOWEJ, PRZYDATNOŚCI DO JAKIEGOKOLWIEK OKREŚLONEGO CELU I GWARANCJAMI NIENARUSZANIA PRAW WŁASNOŚCI INTELEKTUALNEJ SĄ WYKLUCZONE W STOPNIU DOPUSZCZALNYM PRZEZ OBOWIĄZUJĄCE PRAWO. W ŻADNYM WYPADKU FIRMA SYMANTEC CORPORATION NIE PONOSI ODPOWIEDZIALNOŚCI ZA JAKIEKOLWIEK SZKODY UBOCZNE LUB WTÓRNE ZWIĄZANE Z DOSTARCZENIEM LUB WYKORZYSTANIEM NINIEJSZEJ DOKUMENTACJI. INFORMACJE ZAWARTE W NINIEJSZEJ DOKUMENTACJI MOGĄ ZOSTAĆ ZMIENIONE BEZ UPRZEDZENIA. Licencjonowane oprogramowanie i dokumentacja są uznawane za komercyjne oprogramowanie komputerowe zgodnie z przepisami FAR i podlegają prawom ograniczonym, zgodnie

3 z FAR, sekcja Commercial Computer Software Restricted Rights i DFARS Rights in Commercial Computer Software or Commercial Computer Software Documentation, oraz wszelkim późniejszym przepisom. Jakiekolwiek wykorzystywanie, modyfikowanie, dystrybuowanie kopii, prezentowanie, wyświetlanie lub ujawnianie oprogramowania i dokumentacji objętych licencją przez rząd USA musi się odbywać zgodnie z postanowieniami niniejszej umowy. Symantec Corporation 350 Ellis Street Mountain View, CA

4 Pomoc techniczna Kontakt z pomocą techniczną Pomoc techniczna firmy Symantec prowadzi centra obsługi na całym świecie. Podstawowym zadaniem pomocy technicznej jest odpowiadanie na określone pytania dotyczące funkcji produktu oraz jego działania. Grupa pomocy technicznej opracowuje również zawartość naszej internetowej bazy wiedzy. Grupa pomocy technicznej współpracuje z innymi działami firmy Symantec, aby w możliwie krótkim czasie odpowiadać na pytania użytkowników. Grupa pomocy technicznej współpracuje na przykład z projektantami produktów oraz z centrum Symantec Security Response, aby udostępniać obsługę alertów i aktualizacje definicji wirusów. Oferta firmy Symantec w zakresie pomocy technicznej obejmuje: Zróżnicowany zakres opcji pomocy technicznej umożliwiających dobranie poziomu usług do rozmiaru organizacji. Telefoniczną i internetową pomoc techniczną zapewniającą szybką reakcję i dostęp do najnowszych informacji. Ubezpieczenie aktualizacyjne, zapewniające uaktualnienia oprogramowania. Płatną globalną pomoc techniczną dostępną w godzinach pracy w regionie lub 24 godziny na dobę, 7 dni w tygodniu. Oferty usług typu Premium obejmujące usługi zarządzania kontami. Informacje na temat oferowanej przez firmę Symantec pomocy technicznej można znaleźć na naszej stronie internetowej pod następującym adresem URL: Wszystkie usługi pomocy technicznej będą świadczone zgodnie z odpowiednią umową dotyczącą świadczenia pomocy technicznej i aktualnymi zasadami pomocy technicznej dla przedsiębiorstw. Klienci posiadający aktualną umowę dotyczącą świadczenia pomocy technicznej mogą uzyskać dostęp do informacji pomocy technicznej pod następującym adresem URL: Przed skontaktowaniem się z pomocą techniczną należy się upewnić, że spełnione są wymagania systemowe podane w dokumentacji produktu. Ponadto komputer, na którym wystąpił problem powinien być włączony, aby w razie potrzeby można było odtworzyć problem. Kontaktując się z pomocą techniczną, należy mieć przygotowane następujące informacje:

5 Numer wersji produktu Informacje o sprzęcie Ilość dostępnej pamięci i miejsca na dysku oraz informacje o karcie sieciowej System operacyjny Numer wersji i poprawki do programu Topologia sieci Informacje o routerze, bramie i adresie IP Opis problemu: Licencjonowanie i rejestracja Centrum obsługi klientów Komunikaty o błędach i pliki dziennika Próby rozwiązania problemu podjęte przed skontaktowaniem się z firmą Symantec Ostatnie zmiany w konfiguracji oprogramowania i sieci Jeśli produkt firmy Symantec wymaga rejestracji lub klucza licencji, należy odwiedzić stronę internetową pomocy technicznej pod następującym adresem URL: Informacje na temat centrum obsługi klientów są dostępne pod następującym adresem URL: Centrum obsługi klientów służy pomocą w następujących kwestiach nietechnicznych, takich jak: pytania dotyczące licencji lub numerów seryjnych produktów; aktualizacje rejestracji produktów, takie jak zmiana adresu lub nazwy; ogólne informacje o produkcie (funkcje, dostępne wersje językowe, miejscowi dostawcy); najnowsze informacje o aktualizacjach i uaktualnieniach produktów; informacje dotyczące umów o zabezpieczeniu aktualizacji i pomocy technicznej; informacje o programach Symantec Buying Programs; porady dotyczące opcji pomocy technicznej firmy Symantec; pytania inne niż techniczne, dotyczące sprzedaży produktów;

6 kwestie związane z dyskami CD-ROM, dyskami DVD lub podręcznikami. Informacje na temat umowy dotyczącej świadczenia pomocy technicznej W celu uzyskania informacji o istniejącej umowie dotyczącej świadczenia pomocy technicznej należy kontaktować się z firmą Symantec przy użyciu następujących adresów regionalnych zespołów administrujących tą umową: Azja Pacyficzna i Japonia Europa, Bliski Wschód i Afryka Ameryka Północna i Ameryka Łacińska customercare_apj@symantec.com semea@symantec.com supportsolutions@symantec.com

7 Spis treści Pomoc techniczna... 4 Rozdział 1 Rozdział 2 Wprowadzenie do programu Symantec Central Quarantine... 9 Centralna kwarantanna Symantec informacje... 9 Składniki Centralnej kwarantanny informacje Sposób działania Centralnej kwarantanny Identyfikowanie wirusów i poddawanie ich kwarantannie informacje Analizowanie wirusów informacje Zastosowania Centralnej kwarantanny Dodatkowe informacje na temat Centralnej kwarantanny Instalowanie i konfigurowanie programu Symantec Central Quarantine Przed instalacją Centralnej kwarantanny Wymagania systemowe dotyczące konsoli kwarantanny Wymagania systemowe dotyczące serwera kwarantanny Instalowanie Centralnej kwarantanny Łączenie konsoli kwarantanny z serwerem kwarantanny Konfigurowanie serwera kwarantanny Właściwości Centralnej kwarantanny informacje Rozdział 3 Używanie Centralnej kwarantanny Zarządzanie plikami poddanymi kwarantannie Przeglądanie elementów poddanych kwarantannie Usuwanie plików poddanych kwarantannie Przywracanie plików poddanych kwarantannie Przesyłanie próbek do analizy Ustawianie zasad dotyczących automatycznego przesyłania próbek Ręczne przesyłanie plików Sprawdzanie stanu przesłanej próbki Przeglądanie atrybutów dotyczących próbki... 29

8 Spis treści 8 Przeglądanie działań wykonanych na próbkach Przeglądanie błędów przesyłania próbki Konfigurowanie zdarzeń i alertów Określanie zdarzeń wyzwalających alerty Dodatek A Informacje na temat przetwarzania próbek Przetwarzanie próbek informacje Stan próbki Stan próbki Stany końcowe Stany przejściowe Stany oczekiwania Stany aktywności Błędy próbek Indeks... 42

9 Rozdział 1 Wprowadzenie do programu Symantec Central Quarantine Ten rozdział obejmuje następujące zagadnienia: Centralna kwarantanna Symantec informacje Składniki Centralnej kwarantanny informacje Sposób działania Centralnej kwarantanny Zastosowania Centralnej kwarantanny Dodatkowe informacje na temat Centralnej kwarantanny Centralna kwarantanna Symantec informacje Po znalezieniu przez klienta Symantec zainfekowanego elementu, którego nie można naprawić przy użyciu bieżących definicji wirusów, dostęp do niego jest blokowany. Następnie klient pakuje ten element wraz ze wszystkimi powiązanymi ustawieniami i plikami systemowymi i przenosi pakiet do lokalnego obszaru kwarantanny. Lokalny obszar kwarantanny to specjalna lokalizacja, zarezerwowana dla zainfekowanych plików i związanych z nimi systemowych skutków ubocznych. Wirusy i inne zagrożenia odizolowane w lokalnym obszarze kwarantanny nie mogą rozprzestrzeniać się ani uszkadzać komputera. Klienci Symantec mogą automatycznie przekazywać pakiety zawierające zainfekowane pliki i powiązane z nimi skutki uboczne z lokalnego obszaru kwarantanny do Centralnej kwarantanny. Centralna kwarantanna to centralne repozytorium, składające się z dwóch głównych składników: serwera centralnej

10 Wprowadzenie do programu Symantec Central Quarantine Składniki Centralnej kwarantanny informacje 10 kwarantanny i konsoli kwarantanny. Serwer centralnej kwarantanny przechowuje zainfekowane próbki i komunikuje się z centrum Symantec Security Response. Konsola kwarantanny, która integruje się z konsolą MMC, umożliwia zarządzanie serwerem Centralnej kwarantanny. Korzystając z Centralnej kwarantanny, łatwiej jest zbierać informacje do celów sądowych. Można pobrać próbkę z zainfekowanego komputera bez konieczności faktycznego przechodzenia do tego komputera. Produkt skanuje pliki nie tylko w poszukiwaniu wirusów, ale także zagrożeń bezpieczeństwa, takich jak spyware, adware, narzędzia hakerskie i programy-żarty. Także te zainfekowane pliki można przekazywać do Centralnej kwarantanny. Zagrożenia wykryte i poddane kwarantannie przez funkcję Zapobieganie zagrożeniom są jednak przesyłane przy użyciu innego mechanizmu. Patrz Składniki Centralnej kwarantanny informacje na stronie 10 Patrz Dodatkowe informacje na temat Centralnej kwarantanny na stronie 14 Składniki Centralnej kwarantanny informacje Tabela 1-1 przedstawia składniki programu Centralna kwarantanna. Tabela 1-1 Składnik Składniki programu Centralna kwarantanna Opis Symantec Security Response Brama Konsola kwarantanny Zautomatyzowane centrum analiz sprawdzające i analizujące zawartość przesyłek oraz tworzące i rozpowszechniające zaktualizowane definicje wirusów. Pośrednik między centrum Symantec Security Response a serwerem Centralnej kwarantanny. Próbki są poddawane analizie i przekazywane do centrum Symantec Security Response tylko wtedy, gdy nie można ich naprawić przy użyciu definicji znajdujących się w bramie. Jeśli próbkę można naprawić, brama zwraca definicje do serwera Centralnej kwarantanny. Interfejs użytkownika Centralnej kwarantanny służący do konfigurowania serwera kwarantanny, komunikacji z bramą oraz zarządzania aktualizacjami definicji.

11 Wprowadzenie do programu Symantec Central Quarantine Sposób działania Centralnej kwarantanny 11 Składnik Serwer kwarantanny Agent kwarantanny Skaner kwarantanny Defcast Opis Składnik przyjmujący zainfekowane pliki i skutki uboczne z serwerów oraz klientów, który komunikuje się z konsolą kwarantanny. Elementy są poddawane kwarantannie i przesyłane, jeśli podczas ich skanowania przy użyciu zestawu definicji znajdującego się na serwerze kwarantanny okazuje się, że nie można ich naprawić. Serwer kwarantanny należy skonfigurować do nasłuchiwania na określonych portach protokołów IP. Klienta przekazującego pliki należy skonfigurować do przesyłania danych do portu odpowiadającego protokołowi używanemu do przekazywania. Składnik obsługujący komunikację między serwerem kwarantanny a bramą, a następnie uruchamiający mechanizm Defcast. Agent kwarantanny gwarantuje, że w Centralnej kwarantannie znajduje się najnowszy zestaw definicji pochodzący z bramy. Składnik skanujący przesłane pliki przy użyciu zestawu definicji znajdującego się na serwerze kwarantanny. Aby móc przesłać próbki umieszczone w Centralnej kwarantannie, należy je najpierw przeskanować. Składnik wysyłający do serwerów i klientów zapytania o numer kolejny definicji wirusów. Patrz Sposób działania Centralnej kwarantanny na stronie 11 Patrz Dodatkowe informacje na temat Centralnej kwarantanny na stronie 14 Sposób działania Centralnej kwarantanny Centralna kwarantanna używa systemu Digital Immune System do zarządzania całym procesem antywirusowym. System Digital Immune System pozwala wyeliminować wiele wykonywanych ręcznie zadań związanych z przesyłaniem zainfekowanych plików i ich analizą. Automatyzacja skraca czas między odkryciem nowego wirusa, a zainstalowaniem metody naprawy za pomocą usługi LiveUpdate. System Digital Immune System pełni następujące funkcje: Identyfikacja i kwarantanna: stosuje wszechstronne techniki wykrywania heurystycznego i na podstawie sposobu działania w celu identyfikowania nowych zagrożeń. Podejrzane elementy są automatycznie izolowane na serwerze Centralnej kwarantanny, a ich próbki są przesyłane do centrum Symantec Security Response w celu analizy.

12 Wprowadzenie do programu Symantec Central Quarantine Sposób działania Centralnej kwarantanny 12 Analiza: przesyłanie plików do centrum Symantec Security Response w celu ich zanalizowania, naprawienia i przetestowania. Uwaga: Do serwera Centralnej kwarantanny przesyłane są jedynie zagrożenia wirusowe poddawane kwarantannie. Zagrożenia inne niż wirusowe są przesyłane dalej bezpośrednio z klienta do firmy Symantec i nigdy nie pojawiają się w Centralnej kwarantannie. Patrz Identyfikowanie wirusów i poddawanie ich kwarantannie informacje na stronie 12 Patrz Analizowanie wirusów informacje na stronie 13 Identyfikowanie wirusów i poddawanie ich kwarantannie informacje Głównym celem systemu Digital Immune System jest wykrywanie nowych lub nieznanych zagrożeń na poziomie stacji roboczej, serwera i bramy. Firma Symantec korzysta z technologii heurystycznej Bloodhound, która umożliwia wykrycie większości nowych lub nieznanych odmian wirusów. Klientów można skonfigurować do automatycznego wysyłania podejrzanych plików i ich skutków ubocznych do lokalnego obszaru kwarantanny. Lokalny obszar kwarantanny może zostać umiejscowiony na stacji roboczej, serwerze lub bramie. W lokalnym obszarze kwarantanny podejrzane pliki są umieszczane w pakiecie z informacjami o komputerze przesyłającym pakiet, a następnie przesyłane do firmowego serwera Centralnej kwarantanny w celu dalszej analizy. Ponieważ w Centralnej kwarantannie mogą znajdować się nowsze definicje wirusów niż na komputerze, z którego pochodzi zainfekowany plik, serwer Centralnej kwarantanny skanuje pliki przy użyciu własnego zestawu definicji wirusów. Jeśli pliku nie można naprawić, mechanizm Centralnej kwarantanny usunie z niego potencjalnie poufne dane, a następnie zaszyfruje ten plik. System Digital Immune System przesyła następnie plik przez Internet do bramy firmy Symantec w celu dodatkowej analizy. Administratorzy mogą skonfigurować system Digital Immune System do automatycznego wykonywania następujących czynności: Wykrywanie nowych i nieznanych wirusów oraz poddawanie ich kwarantannie. Filtrowanie i przesyłanie zaszyfrowanych próbek do centrum Symantec Security Response w celu przeprowadzenia ich analizy. System Digital Immune System może usunąć poufne treści. Sprawdzanie dostępności nowych definicji wirusów i aktualizacji informacji o stanie.

13 Wprowadzenie do programu Symantec Central Quarantine Zastosowania Centralnej kwarantanny 13 Patrz Analizowanie wirusów informacje na stronie 13 Analizowanie wirusów informacje Agent kwarantanny obsługuje komunikację między serwerem Centralnej kwarantanny a bramą firmy Symantec. Jeśli mechanizm Centralnej kwarantanny nie może naprawić zainfekowanego pliku, Agent kwarantanny przekazuje plik do bramy. Agent kwarantanny wysyła następnie zapytania do bramy, aby sprawdzić, czy dostępna jest metoda naprawy. Jeśli dostępna jest metoda naprawy, Agent kwarantanny pobiera nowe zestawy definicji wirusów i instaluje je na serwerze Centralnej kwarantanny. Jeśli metoda naprawy nie jest dostępna, Agent kwarantanny co 60 minut wysyła do bramy zapytanie o metodę naprawy. Gdy system Digital Immune System otrzyma nową przesyłkę, wykonuje następujące działania: Dodaje przesyłkę do bazy danych śledzenia. Filtruje przesyłkę, eliminując z niej niezainfekowane pliki, fałszywe alarmy oraz znane wirusy i zagrożenia rozszerzone. Filtrowanie przebiega bardzo szybko, a ponieważ w przypadku większości przesyłek wystarcza sam proces filtrowania, czas odpowiedzi dotyczący elementów poddanych filtrowaniu jest bardzo krótki. Analizuje wirusa i jego skutki uboczne, tworzy rozwiązanie naprawcze i testuje je. W większości przypadków analiza i naprawa przebiega w sposób automatyczny, ale niektóre wirusy mogą wymagać interwencji pracowników centrum Symantec Security Response. Tworzy nowy zestaw definicji wirusów, dołączając nowy niepowtarzalny identyfikator i zwraca nowe definicje do bramy. Patrz Identyfikowanie wirusów i poddawanie ich kwarantannie informacje na stronie 12 Zastosowania Centralnej kwarantanny Poprzednie wersje Centralnej kwarantanny wysyłały nowe definicje wirusów i zagrożeń do wszystkich starszych klientów przekazujących pliki poddane kwarantannie do Centralnej kwarantanny. Ta wersja Centralnej kwarantanny nadal wysyła próbki do centrum Symantec Security Response i odbiera aktualizacje z nimi związane. Wersja ta jednak nie przesyła tych definicji do komputerów używających klientów Symantec. Mimo to Centralna kwarantanna stanowi pojedynczy punkt mieszczący wszystkie elementy poddane kwarantannie w sieci. Wszystkie elementy poddane kwarantannie

14 Wprowadzenie do programu Symantec Central Quarantine Dodatkowe informacje na temat Centralnej kwarantanny 14 są wyświetlane w jednym oknie i przesyłane do centrum Symantec Security Response. Okno to zawiera również informacje o przesłanych zagrożeniach, takie jak informacje o użytkowniku i o komputerze, na którym zostało wykryte zagrożenie. W tym oknie można także sprawdzić stan definicji tworzonych w celu wykrywania nieznanych zagrożeń przesyłanych przez użytkownika. System Digital Immune System przekazuje informacje o przesłanych zagrożeniach do sieci Symantec Global Intelligence Network, która zapewnia bogate zasoby z dziedziny zabezpieczeń internetowych. Sieć Symantec Global Intelligence Network obejmuje ponad 150 milionów antywirusowych czujników stacji roboczych, czujników wykrywania włamań i zapór, a także 4300 monitorowanych i zarządzanych urządzeń do zabezpieczeń na całym świecie. Informacje te są łączone z bazą danych luk w zabezpieczeniach prowadzoną przez firmę Symantec. Baza ta, licząca pozycji, jest największa na świecie. Pozycje te dotyczą wersji aplikacji i systemów operacyjnych ponad 4000 producentów. Patrz Przed instalacją Centralnej kwarantanny na stronie 16 Dodatkowe informacje na temat Centralnej kwarantanny Aktualizacje dokumentacji można pobrać z internetowych witryny pomocy technicznej firmy Symantec. Sekcja Tabela 1-2 przedstawia dodatkowe informacje dostępne w witrynach internetowych firmy Symantec. Tabela 1-2 Internetowe witryny pomocy technicznej firmy Symantec Typy informacji Ogólnodostępna baza wiedzy Adres internetowy Wersje i aktualizacje Podręczniki i dokumentacja Opcje kontaktu Wirusy i inne zagrożenia informacje i aktualizacje Wiadomości i aktualizacje dotyczące produktów Dostęp internetowy do witryny Business Critical Services

15 Wprowadzenie do programu Symantec Central Quarantine Dodatkowe informacje na temat Centralnej kwarantanny 15 Patrz Centralna kwarantanna Symantec informacje na stronie 9

16 Rozdział 2 Instalowanie i konfigurowanie programu Symantec Central Quarantine Ten rozdział obejmuje następujące zagadnienia: Przed instalacją Centralnej kwarantanny Wymagania systemowe dotyczące konsoli kwarantanny Wymagania systemowe dotyczące serwera kwarantanny Instalowanie Centralnej kwarantanny Łączenie konsoli kwarantanny z serwerem kwarantanny Konfigurowanie serwera kwarantanny Przed instalacją Centralnej kwarantanny Tabela 2-1 przedstawia zadania wymagane do zainstalowania i skonfigurowania Centralnej kwarantanny.

17 Instalowanie i konfigurowanie programu Symantec Central Quarantine Przed instalacją Centralnej kwarantanny 17 Tabela 2-1 Proces instalacji Centralnej kwarantanny Krok Krok 1: Upewnij się, że masz właściwe uprawnienia administracyjne, a wymagania systemowe są spełnione Opis Przed przystąpieniem do instalowania Centralnej kwarantanny należy wziąć pod uwagę następujące kwestie: Upewnij się, że masz prawa administratora do zainstalowania konsoli kwarantanny i serwera kwarantanny. Odinstaluj wszelkie starsze wersje Centralnej kwarantanny znajdujące się na komputerze. Patrz Wymagania systemowe dotyczące konsoli kwarantanny na stronie 18 Patrz Wymagania systemowe dotyczące serwera kwarantanny na stronie 19 Krok 2: Zainstaluj Centralną kwarantannę Zainstaluj konsolę kwarantanny i serwer kwarantanny. Serwer kwarantanny i konsolę kwarantanny można zainstalować na tym samym komputerze lub różnych komputerach z obsługiwaną wersją systemu Windows. Konsola kwarantanny musi używać tego samego protokołu sieciowego (TCP/IP), co serwer kwarantanny, aby możliwe było jego skonfigurowanie. Produkty korzystające z usługi kwarantanny mogą przesyłać pliki do serwera kwarantanny przy użyciu protokołu TCP/IP. Należy się upewnić, że ten protokół sieciowy jest zainstalowany na serwerze kwarantanny. Patrz Instalowanie Centralnej kwarantanny na stronie 19 Krok 3: Połącz konsolę kwarantanny z serwerem kwarantanny Krok 4: Skonfiguruj właściwości serwera kwarantanny Aby móc wyświetlić zawartość konsoli kwarantanny, należy ją połączyć z serwerem kwarantanny. Patrz Łączenie konsoli kwarantanny z serwerem kwarantanny na stronie 21 Serwer kwarantanny jest domyślnie skonfigurowany, ale jego właściwości można zmienić. Patrz Konfigurowanie serwera kwarantanny na stronie 21

18 Instalowanie i konfigurowanie programu Symantec Central Quarantine Wymagania systemowe dotyczące konsoli kwarantanny 18 Krok Krok 5: Skonfiguruj klientów do przesyłania próbek do serwera kwarantanny Opis W używanym produkcie firmy Symantec skonfiguruj klientów do przesyłania próbek elementów poddanych kwarantannie do serwera kwarantanny. W przypadku programu Symantec Endpoint Protection patrz sekcja Configuring clients to submit quarantined items to a Central Quarantine Server or Symantec Security Response (Konfigurowanie klientów w celu automatycznego przesyłania elementów poddanych kwarantannie do serwera Centralnej kwarantanny lub centrum Symantec Security Response) w dokumencie Symantec Endpoint Protection Installation and Administration Guide (Podręcznik instalacji i administracji programu Symantec Endpoint Protection). W przypadku programu Symantec Protection Engine patrz sekcja About quarantining files in Symantec Protection Engine (Kwarantanna plików w programie Symantec Protection Engine informacje) w następujących podręcznikach: Symantec Protection Engine for Cloud Services Implementation Guide (Podręcznik wdrażania programu Symantec Protection Engine dla usług chmurowych) Symantec Protection Engine for Network Attached Storage Implementation Guide (Podręcznik wdrażania programu Symantec Protection Engine dla sieciowych pamięci masowych) Wymagania systemowe dotyczące konsoli kwarantanny Konsola kwarantanny ma następujące wymagania. Tabela 2-2 Wymagania systemowe dotyczące konsoli kwarantanny Składnik Procesor System operacyjny 32-bitowy 600 MHz Intel Pentium III Obsługiwane są następujące systemy operacyjne: Windows Server 2003 Standard Edition/Enterprise Edition/Datacenter Edition/Web Edition Windows 7 (tylko wersje 32-bitowe) Windows Server 2008 (tylko wersje 32-bitowe) i Windows Server 2008 R2 Windows 8 (tylko wersje 32-bitowe) Windows Server 2012 i Windows Server 2012 R2 Pamięć Dysk twardy 64 MB pamięci RAM 35 MB

19 Instalowanie i konfigurowanie programu Symantec Central Quarantine Wymagania systemowe dotyczące serwera kwarantanny 19 Składnik Wyświetlacz Inne wymagania 32-bitowy Karta graficzna i monitor o rozdzielczości XGA (1024x768) lub wyższej Spełnione muszą być następujące inne wymagania: Program Internet Explorer 5.5 z dodatkiem Service Pack 2 lub nowszy Konsola Microsoft Management Console (MMC) 1.2 lub nowsza Jeśli konsola MMC nie jest jeszcze zainstalowana na komputerze, wymagane jest 3 MB miejsca na dysku (10 MB podczas instalacji). Patrz Instalowanie Centralnej kwarantanny na stronie 19 Wymagania systemowe dotyczące serwera kwarantanny Serwer Centralnej kwarantanny ma następujące wymagania. Tabela 2-3 Wymagania systemowe dotyczące serwera kwarantanny Składnik Procesor System operacyjny 32-bitowy 600 MHz Intel Pentium III Obsługiwane są następujące systemy operacyjne: Windows Server 2003 Standard Edition/Enterprise Edition/Datacenter Edition/Web Edition Windows Server 2008 i Windows Server 2008 R2 Windows Server 2012 i Windows Server 2012 R2 Pamięć Dysk twardy Wyświetlacz Inne wymagania 128 MB pamięci RAM 40 MB, zalecane 500 MB 4 GB na elementy poddawane kwarantannie oraz plik wymiany o rozmiarze 250 MB Karta graficzna i monitor o rozdzielczości XGA (1024x768) lub wyższej Program Internet Explorer 5.5 z dodatkiem Service Pack 2 lub nowszy Patrz Instalowanie Centralnej kwarantanny na stronie 19 Instalowanie Centralnej kwarantanny Aby zainstalować Centralną kwarantannę, należy wykonać następujące zadania:

20 Instalowanie i konfigurowanie programu Symantec Central Quarantine Instalowanie Centralnej kwarantanny 20 Zainstaluj konsolę kwarantanny. Zainstaluj serwer kwarantanny. Uwaga: Konsolę i serwer można zainstalować w dowolnej kolejności. Aby zainstalować konsolę kwarantanny: 1 W folderze CentralQ > QConsole znajdź i kliknij dwukrotnie plik setup.exe, a następnie kliknij pozycję Zainstaluj konsolę Centralnej kwarantanny. 2 W oknie powitalnym kliknij przycisk Dalej. 3 W oknie dialogowym Umowa licencyjna kliknij przycisk Akceptuję warunki i postanowienia umowy licencyjnej. 4 Kliknij przycisk Dalej. 5 W oknie dialogowym Folder docelowy wybierz jedną z poniższych opcji: Dalej, aby zainstalować w folderze domyślnym. Zmień, aby wybrać inny folder. Nie należy instalować konsoli kwarantanny na dysku sieciowym. 6 Aby ukończyć instalację, postępuj zgodnie z instrukcjami wyświetlanymi na ekranie. Aby zainstalować serwer kwarantanny: 1 W folderze CentralQ > QServer znajdź i kliknij dwukrotnie plik setup.exe, a następnie kliknij pozycję Zainstaluj serwer Centralnej kwarantanny. 2 W oknie powitalnym kliknij przycisk Dalej. 3 W oknie dialogowym Umowa licencyjna kliknij przycisk Akceptuję warunki i postanowienia umowy licencyjnej. 4 Kliknij przycisk Dalej. 5 W oknie dialogowym Folder docelowy wybierz jedną z poniższych opcji: Dalej, aby zainstalować w folderze domyślnym. Zmień, aby wybrać inny folder. Nie należy instalować serwera kwarantanny na dysku sieciowym. 6 Kliknij przycisk Dalej. 7 W oknie dialogowym Maksymalna ilość miejsca na dysku zaakceptuj domyślną ilość 500 megabajtów albo wpisz nową wartość (w megabajtach) w polu Miejsce na dysku, a następnie kliknij przycisk Dalej.

21 Instalowanie i konfigurowanie programu Symantec Central Quarantine Łączenie konsoli kwarantanny z serwerem kwarantanny 21 8 W oknie dialogowym Informacje kontaktowe wpisz nazwę firmy, numer konta (jeśli dostępny) oraz nazwisko, numer telefonu i adres osoby kontaktowej. 9 Kliknij przycisk Dalej. 10 W oknie dialogowym Komunikacja w sieci WWW zaakceptuj domyślny adres bramy albo wpisz inny adres (jeśli podała go firma Symantec) w polu Nazwa bramy. Następnie kliknij przycisk Dalej. 11 Aby ukończyć instalację, postępuj zgodnie z instrukcjami wyświetlanymi na ekranie. Patrz Łączenie konsoli kwarantanny z serwerem kwarantanny na stronie 21 Łączenie konsoli kwarantanny z serwerem kwarantanny Aby wyświetlić zawartość konsoli kwarantanny, należy najpierw połączyć ją z serwerem kwarantanny. Konfigurując to połączenie, należy określić, czy serwer kwarantanny znajduje się na tym samym komputerze co konsola kwarantanny, czy też na komputerze zdalnym.. Aby połączyć się z serwerem kwarantanny na komputerze lokalnym 1 W lewym okienku konsoli Centralna kwarantanna kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna, a następnie kliknij polecenie Przyłącz do serwera. 2 W oknie dialogowym Wybór komputera kliknij pozycję Ten komputer, a następnie kliknij przycisk OK. Aby połączyć się z serwerem kwarantanny na komputerze zdalnym 1 W lewym okienku konsoli Centralnej kwarantanny kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna, a następnie kliknij polecenie Przyłącz do serwera. 2 W oknie dialogowym Dołączanie do serwera kwarantanny wpisz nazwę serwera. 3 Wpisz nazwę użytkownika i hasło wymagane do zalogowania się do serwera. 4 Jeżeli serwer jest częścią domeny, wpisz również nazwę domeny. Patrz Konfigurowanie serwera kwarantanny na stronie 21 Konfigurowanie serwera kwarantanny Do konfiguracji serwera kwarantanny potrzebne są następujące informacje:

22 Instalowanie i konfigurowanie programu Symantec Central Quarantine Konfigurowanie serwera kwarantanny 22 Lokalizacja folderu, w którym będą przechowywane pliki na serwerze kwarantanny. Protokół i port, na którym przeprowadzane jest nasłuchiwanie. Po skonfigurowaniu Serwera kwarantanny należy skonfigurować programy klienta tak, aby wysyłały one kopie plików znajdujących się w ich lokalnych obszarach kwarantanny. Uwaga: Interfejs użytkownika konsoli kwarantanny pozwala wybrać protokół IP lub SPX oraz określić numer portu, który ma zostać skonfigurowany. Protokół IP to TCP, a numer portu określa port nasłuchu. Nie należy wybierać protokołu SPX. Ponadto wprowadzany numer portu TCP różni się od portów wyświetlanych przy użyciu narzędzi takich jak polecenie netstat -a. Na przykład po wprowadzeniu numeru portu 33 polecenie netstat -a wyświetli port TCP Liczby dziesiętne i szesnastkowe są przestawiane i błędnie konwertowane. Szczegóły zawiera artykuł bazy wiedzy Quarantine Server appears to be using a different port than it is configured to use (Serwer kwarantanny używa innego portu niż skonfigurowany) w witrynie pomocy technicznej firmy Symantec. Aby skonfigurować serwer kwarantanny: 1 W konsoli Centralnej kwarantanny w lewym okienku kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna, a następnie kliknij polecenie Właściwości. Patrz Właściwości Centralnej kwarantanny informacje na stronie 22 2 W oknie dialogowym Właściwości programu Symantec Central Quarantine, na karcie Ogólne wpisz ścieżkę folderu Centralnej kwarantanny. 3 W polu Maksymalny dopuszczalny rozmiar określ maksymalny rozmiar obszaru kwarantanny. 4 W obszarze Protokoły zaznacz opcję Nasłuchuj na IP (TCP/IP). Upewnij się, że opcja Nasłuchuj na SPX jest niezaznaczona. 5 W polu Port wpisz numer portu, na którym ma być prowadzony nasłuch. Domyślny numer portu to Kliknij przycisk OK. Właściwości Centralnej kwarantanny informacje Okno dialogowe Właściwości umożliwia skonfigurowanie różnych ustawień Centralnej kwarantanny.

23 Instalowanie i konfigurowanie programu Symantec Central Quarantine Konfigurowanie serwera kwarantanny 23 Uwaga: Ustawienia domyślne Centralnej kwarantanny korzystają z informacji wprowadzonych podczas instalacji, aby zapewnić kompleksową ochronę bez konieczności dalszych zmian w konfiguracji. Nie trzeba zmieniać konfiguracji żadnego z tych ustawień. Tabela 2-4 Właściwość Ogólne Centralna kwarantanna właściwości Opis Umożliwia określenie podstawowych ustawień kwarantanny, takich jak lokalizacja folderu kwarantanny. Ta właściwość umożliwia także ustawienie maksymalnego rozmiaru folderu, protokołu nasłuchu komunikacji z klientami oraz interwału automatycznego odświeżania konsoli. Komunikacja w sieci WWW Umożliwia określenie ustawień dotyczących komunikacji, w tym nazwy komputera bramy firmy Symantec i następujących ustawień zabezpieczeń: Opcja Zabezpieczone przesyłanie powoduje wysyłanie próbek wirusów do firmy Symantec za pośrednictwem protokołu SSL (Secure Socket Layer). Opcja Zabezpieczone pobieranie powoduje pobieranie zaktualizowanych definicji z firmy Symantec za pośrednictwem protokołu SSL. Brama systemu Symantec Immune System określa komputer bramy, który komunikuje się z centrum Symantec Security Response. Zapora Umożliwia określenie metod komunikacji z zaporą serwera proxy i przez zaporę serwera proxy, jeśli w sieci stosowana jest zapora serwera proxy: Nazwa zapory to adres IP lub nazwa zapory. Port zapory to port używany do komunikacji z zaporą. Nazwa użytkownika zapory to nazwa użytkownika komunikującego się z zaporą. Hasło zapory to hasło umożliwiające komunikację z zaporą.

24 Instalowanie i konfigurowanie programu Symantec Central Quarantine Konfigurowanie serwera kwarantanny 24 Właściwość Zasady dotyczące próbek Opis Umożliwia określenie metod wysyłania i przetwarzania próbek: Opcja Automatyczne przesyłanie próbek powoduje automatyczne umieszczanie próbek w kolejce do analizy. Interwał sprawdzania kolejki to częstotliwość sprawdzania kwarantanny w poszukiwaniu nowych elementów. Opcja Usuń dane dotyczące użytkownika z próbki zwiększa bezpieczeństwo i polega na usuwaniu potencjalnie poufnych danych z przesyłanych próbek. Interwał sprawdzania stanu to częstotliwość sondowania bramy w celu uzyskania informacji o zmianie stanu przesłanych próbek. Zasady związane z definicjami Umożliwia określenie metod przetwarzania definicji ochrony przed wirusami i programami typu spyware: Aktywny numer kolejny to numer definicji aktualnie zainstalowanych na serwerze kwarantanny. Numery kolejne występują tylko w programach antywirusowych firmy Symantec, są przydzielane kolejnym zestawom sygnatur i są zawsze kumulatywne. Zestaw sygnatur z wyższym numerem zastępuje zestaw sygnatur, którego numer jest niższy. Interwał dla certyfikowanych definicji to wyrażona w minutach częstotliwość sondowania bramy w celu uzyskania zaktualizowanych definicji certyfikowanych. Ustawienie domyślne to trzy razy dziennie. Informacje o użytkowniku Obsługa alertów Błędy ogólne Umożliwia edycję informacji o użytkowniku wprowadzonych podczas instalacji. Wszystkie pola są wymagane. Umożliwia konfigurację obsługi alertów dotyczących określonych zdarzeń. Wyświetla historię błędów serwera kwarantanny.

25 Rozdział 3 Używanie Centralnej kwarantanny Ten rozdział obejmuje następujące zagadnienia: Zarządzanie plikami poddanymi kwarantannie Przesyłanie próbek do analizy Sprawdzanie stanu przesłanej próbki Konfigurowanie zdarzeń i alertów Zarządzanie plikami poddanymi kwarantannie Skanowania klientów izolują domyślnie zainfekowane elementy, których nie można naprawić przy użyciu aktualnych zestawów definicji wirusów. Komputery skonfigurowane do przekazywania zainfekowanych plików i ich skutków ubocznych automatycznie wysyłają kopie do serwera Centralnej kwarantanny. Patrz Przeglądanie elementów poddanych kwarantannie na stronie 25 Patrz Usuwanie plików poddanych kwarantannie na stronie 26 Patrz Przywracanie plików poddanych kwarantannie na stronie 27 Przeglądanie elementów poddanych kwarantannie Pliki są przekazywane do Centralnej kwarantanny, jeśli komputery klienckie zostały skonfigurowane do przekazywania zainfekowanych elementów do serwera kwarantanny.

26 Używanie Centralnej kwarantanny Zarządzanie plikami poddanymi kwarantannie 26 Tabela 3-1 Właściwość Nazwa pliku Informacje o pliku poddanym kwarantannie Opis Nazwa zainfekowanego elementu Nazwa użytkownika Komputer Zanalizowany Wiek Stan próbki Nazwa użytkownika, którego plik został zainfekowany Nazwa komputera, na którym został wykryty zainfekowany element Wskazuje, czy próbka została przeanalizowana Data poddania próbki kwarantannie Bieżący stan próbki Patrz Stan próbki na stronie 35 Potrzebne definicje Stan Numer kolejny zestawu definicji niezbędnego do usunięcia wirusa Stan przetwarzania próbki Patrz Stan próbki na stronie 34 Wirus Błędy Nazwa wykrytego wirusa Błędy przetwarzania próbki Patrz Błędy próbek na stronie 40 Aby przeglądać elementy poddane kwarantannie: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij pozycję Centralna kwarantanna. Elementy poddane kwarantannie są wyświetlane na liście w prawym okienku. 2 W prawym okienku kliknij prawym przyciskiem myszy element poddany kwarantannie, a następnie kliknij polecenie Właściwości. Patrz Zarządzanie plikami poddanymi kwarantannie na stronie 25 Usuwanie plików poddanych kwarantannie Z Centralnej kwarantanny można usunąć dowolny element, ale z opcji tej warto korzystać tylko w odniesieniu do plików, które nie są już potrzebne. Po upewnieniu się, że przy użyciu zaktualizowanych definicji wirus został wykryty i usunięty, element poddany kwarantannie można bezpiecznie usunąć.

27 Używanie Centralnej kwarantanny Przesyłanie próbek do analizy 27 Aby usunąć pliki poddane kwarantannie: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądane pliki, a następnie kliknij polecenie Usuń. Patrz Zarządzanie plikami poddanymi kwarantannie na stronie 25 Przywracanie plików poddanych kwarantannie Jeśli wybrano opcję przywrócenia pliku, próba jego naprawy nie jest podejmowana. Tej opcji należy używać ostrożnie, aby uniknąć zainfekowania systemu. Na przykład należy ją stosować dopiero po otrzymaniu z centrum Symantec Security Response powiadomienia, że plik nie jest zainfekowany. Przywrócenie potencjalnie zainfekowanego pliku jest niebezpieczne. Przywracane pliki są kopiowane do wskazanego folderu. Aby przywrócić pliki poddane kwarantannie: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądane pliki, a następnie kliknij polecenie Wszystkie zadania > Przywróć element. 3 Aby przywrócić plik, kliknij przycisk Tak. 4 W oknie dialogowym Przeglądanie w poszukiwaniu folderu, wybierz żądaną lokalizację przywracania pliku, a następnie kliknij przycisk OK. Patrz Zarządzanie plikami poddanymi kwarantannie na stronie 25 Przesyłanie próbek do analizy Ustawienia zasad przekazywania próbek określają, czy próbki wirusów mają być automatycznie przekazywane do bramy. Jeżeli nie wybrano opcji automatycznego przesyłania próbek, każda próbka z obszaru kwarantanny musi być ręcznie przesłana do bramy. Ustawienia dotyczące zasad automatycznego przesyłania próbek można pomijać. Generalnie próbki są przekazywane ręcznie jedynie po błędzie przekazania lub w sytuacji, gdy zachodzi potrzeba zmiany priorytetu kolejki dla wybranych próbek. Patrz Ustawianie zasad dotyczących automatycznego przesyłania próbek na stronie 28 Patrz Ręczne przesyłanie plików na stronie 28

28 Używanie Centralnej kwarantanny Przesyłanie próbek do analizy 28 Ustawianie zasad dotyczących automatycznego przesyłania próbek Ustawienia zasad przekazywania próbek określają, czy próbki wirusów mają być automatycznie przekazywane do bramy. Jeżeli nie wybrano opcji automatycznego przesyłania próbek, każda próbka z obszaru kwarantanny musi być oddzielnie przesłana do bramy. Dla uzyskania dodatkowego zabezpieczenia można określić, że przed przesłaniem próbki mają być z niej usunięte dane użytkownika. Uwaga: Ustawienia zasad przesyłania próbek można pojedynczo zmieniać podczas przeglądania karty Działania dla wybranej pozycji w obszarze kwarantanny. Ręczne przesyłanie plików Aby ustawić zasadę dotycząca automatycznego przesyłania próbek: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna, a następnie kliknij polecenie Właściwości. 2 W oknie dialogowym Właściwości programu Centralna kwarantanna, na karcie Zasady dotyczące próbek, ustaw zasadę przekazywania próbek. Patrz Przesyłanie próbek do analizy na stronie 27 Podejrzane pliki można ręcznie przesłać do analizy. Próbki, które można naprawić przy użyciu definicji znajdujących się na serwerze kwarantanny lub w bramie, nie są wysyłane do centrum Symantec Security Response. Aby próbka kwalifikowała się do przesyłania ręcznego, muszą zostać spełnione następujące warunki: Próbka nie może kwalifikować się do przesyłania automatycznego (wartość atrybutu X-Sample-Priority musi być równa 0). Próbki jeszcze nie wysłano (brakuje atrybutu X-Date-Submitted lub ma on wartość 0). Próbki jeszcze nie przeanalizowano (atrybut X-Date-Finished nie istnieje lub ma wartość 0). Aby ręcznie przesłać pliki, należy ustawić priorytet próbki.

29 Używanie Centralnej kwarantanny Sprawdzanie stanu przesłanej próbki 29 Aby ręcznie ustawić priorytet próbki: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości programu Centralna kwarantanna na karcie Działania ustaw priorytet przesyłania. Aby ręcznie przesłać elementy do centrum Symantec Security Response: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądane pliki, a następnie kliknij polecenie Wszystkie zadania > Umieść element w kolejce do automatycznej analizy. Patrz Przesyłanie próbek do analizy na stronie 27 Sprawdzanie stanu przesłanej próbki Stan próbki można określić, sprawdzając działania oraz atrybuty ustawione podczas komunikacji między serwerem kwarantanny a bramą. Patrz Przeglądanie atrybutów dotyczących próbki na stronie 29 Patrz Przeglądanie działań wykonanych na próbkach na stronie 30 Patrz Przeglądanie błędów przesyłania próbki na stronie 30 Przeglądanie atrybutów dotyczących próbki Komunikaty żądań i odpowiedzi wymieniane między klientami a serwerami zawierają liczne atrybuty, które wyczerpująco opisują próbkę i jej stan. Atrybuty te zawsze rozpoczynają się od znaków X-. Aby przejrzeć atrybuty dotyczące próbki: 1 W lewym okienku konsoli Centralnej kwarantanny kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości, na karcie Atrybuty próbki kliknij dwukrotnie wyświetlony atrybut, aby uzyskać jego skróconą definicję. Patrz Sprawdzanie stanu przesłanej próbki na stronie 29

30 Używanie Centralnej kwarantanny Konfigurowanie zdarzeń i alertów 30 Przeglądanie działań wykonanych na próbkach Działania wykonane na określonej próbce uwzględniają stany przesłanej próbki i dostarczenia definicji wirusów. Dla wybranej próbki można ręcznie zmienić domyślne ustawienia zasad przesyłania. Można ręcznie umieścić próbkę w kolejce do przesłania do centrum Symantec Security Response, jak również pobrać zaktualizowane pliki z definicjami wirusów dla wybranej próbki. Aby sprawdzić działania wykonywane na próbkach: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości, na karcie Działania sprawdź listę działań wykonanych na próbce. Patrz Sprawdzanie stanu przesłanej próbki na stronie 29 Przeglądanie błędów przesyłania próbki Jeśli występują błędy przesyłania próbek, są one zgłaszane dla każdej próbki. Przejrzyj pozycje, aby ustalić, czy dla danej próbki jest wymagane wykonanie jakiegokolwiek działania. Aby sprawdzić błędy przesyłania próbki: 1 W lewym okienku konsoli Centralnej kwarantanny kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości, na karcie Błędy sprawdź listę błędów przesyłania. Patrz Sprawdzanie stanu przesłanej próbki na stronie 29 Konfigurowanie zdarzeń i alertów Można określić zdarzenia, o których mają być przekazywane informacje. Informacje o zdarzeniu wysyłane są do dziennika zdarzeń systemu NT. Patrz Określanie zdarzeń wyzwalających alerty na stronie 31

31 Używanie Centralnej kwarantanny Konfigurowanie zdarzeń i alertów 31 Określanie zdarzeń wyzwalających alerty Do dziennika zdarzeń systemu NT można wysyłać różne typy zdarzeń. Tabela 3-2 Zdarzenie Zdarzenia wyzwalające alerty Opis Nie można połączyć się z bramą Błąd Defcast Nie można zainstalować definicji na komputerach docelowych Nie można uzyskać dostępu do katalogu definicji Nie można połączyć się z usługą skanera kwarantanny Usługa agenta kwarantanny została zatrzymana Oczekiwanie na potrzebne definicje Nadeszły nowe definicje certyfikowane Nadeszły nowe definicje bez certyfikatów Wielkość folderu kwarantanny zbliża się do ustalonego limitu Agent kwarantanny nie może połączyć się z bramą systemu Digital Immune System. Defcast to usługa rozsyłająca nowe definicje wirusów z serwera kwarantanny do komputerów docelowych. Rozpowszechnienie nowych definicji wirusów nie powiodło się. Wskazuje również, że definicje wirusów są dostępne dla klientów niezarządzanych. Serwer kwarantanny nie może znaleźć katalogu definicji. Nie można przeskanować próbek znajdujących się w kwarantannie i są one przekazywane do bramy. Serwer kwarantanny nie może komunikować się z bramą. Nie otrzymano jeszcze definicji z bramy. Serwer kwarantanny otrzymał nowe definicje certyfikowane. Serwer kwarantanny otrzymał nowe definicje niecertyfikowane w odpowiedzi na przesłaną próbkę. Folder kwarantanny jest prawie zapełniony. Ilość wolnego miejsca na dysku jest mniejsza niż maksymalny rozmiar folderu kwarantanny Ustawiony maksymalny rozmiar folderu kwarantanny jest większy niż dostępna ilość wolnego miejsca na dysku. Próbka: nie została naprawiona Próbka nie została naprawiona albo naprawa była zbędna.

32 Używanie Centralnej kwarantanny Konfigurowanie zdarzeń i alertów 32 Zdarzenie Próbka: nie można zainstalować definicji Próbka: błąd przetwarzania Próbka: wymaga skontaktowania się z pomocą techniczną Próbka: przetrzymywana do przesłania ręcznego Próbka: zbyt długo bez instalowania nowych definicji Próbka: zbyt długo w stanie Rozesłana Próbka: zbyt długo w stanie Potrzebna Próbka: zbyt długo w stanie Zwolniona Próbka: zbyt długo w stanie Przesłana Próbka: zbyt długo w stanie Poddana kwarantannie Próbka: nowe definicje przetrzymywane do dostarczenia Opis Nie można zainstalować nowych definicji; zwykle przyczyną jest uszkodzony zestaw definicji. Podczas przetwarzania tej próbki wystąpił błąd. Próbki nie można przetworzyć automatycznie. Należy skontaktować się z pomocą techniczną, aby uzyskać dalsze informacje na temat próbki. Próbka została wstrzymana na serwerze kwarantanny i nie została przesłana automatycznie. Należało zainstalować nowe definicje (zostały one udostępnione), ale tego nie zrobiono. Z bramy odebrano nowe definicje, ale kwarantanna nie otrzymała jeszcze potwierdzenia, że definicje zostały zainstalowane na kliencie. Nie pobrano jeszcze definicji z bramy. Brama nie udzieliła jeszcze odpowiedzi. Brama nie zaakceptowała jeszcze próbki. Próbka nie została wstępnie przeskanowana w kwarantannie. Nowe definicje wirusów są wstrzymane na serwerze kwarantanny i nie są dostarczane. Aby określić zdarzenia wyzwalające alerty: 1 W konsoli Centralnej kwarantanny, w lewym okienku kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna, a następnie kliknij polecenie Właściwości. 2 W oknie dialogowym Właściwości programu Centralna kwarantanna na karcie Obsługa alertów zaznacz opcję Dziennik zdarzeń systemu NT. 3 W obszarze Konfiguruj powiadamianie o zdarzeniach wykonaj jedną lub obie z poniższych czynności: Zaznacz zdarzenia, o których mają być przekazywane informacje.

33 Używanie Centralnej kwarantanny Konfigurowanie zdarzeń i alertów 33 Usuń zaznaczenie zdarzeń, o których informacje nie mają być przekazywane. 4 Kliknij przycisk OK. Patrz Konfigurowanie zdarzeń i alertów na stronie 30

34 Dodatek A Informacje na temat przetwarzania próbek Ten dodatek obejmuje następujące zagadnienia: Przetwarzanie próbek informacje Stan próbki Stan próbki Błędy próbek Przetwarzanie próbek informacje Stan próbki System Digital Immune System dostarcza w czasie rzeczywistym informacje o każdej próbce znajdującej się w systemie, w tym również o stanie przetwarzania i analizowania przesłanej próbki. Patrz Stan próbki na stronie 34 Patrz Stan próbki na stronie 35 Patrz Błędy próbek na stronie 40 Tabela A-1 zawiera zestawienie stanów próbki, czyli stanów przetwarzania próbki w systemie Digital Immune System.

35 Informacje na temat przetwarzania próbek Stan próbki 35 Tabela A-1 Stan Wymaga uwagi Dostępna Roześlij Rozesłana Błąd Przechowywana Zainstalowana Potrzebna Niezainstalowana Stan próbki Opis Próbka wymaga interwencji działu pomocy technicznej. Nowe definicje są przetrzymywane w celu dostarczenia do komputera przesyłającego. Nowe definicje umieszczane są w kolejce w celu dostarczenia do komputera przesyłającego. Nowe definicje zostały dostarczone do komputera przesyłającego. Wystąpił błąd przetwarzania. Przesłanie próbki zostało wstrzymane. Nowe definicje zostały zainstalowane na komputerze przesyłającym. Dla próbki potrzebne są nowe definicje. Nie można dostarczyć definicji do komputera przesyłającego. Poddano kwarantannie Zwolniona Ponownie uruchom Przesłana Niepotrzebne Centralna kwarantanna otrzymała próbkę. Próbka została umieszczona w kolejce do analizy. Przetwarzanie próbki rozpoczyna się ponownie. Próbkę przesłano do centrum Symantec Security Response w celu jej przeanalizowania. Próbka nie potrzebuje nowych definicji. Stan próbki Stan próbki to stan analizy przesłanej próbki w systemie Digital Immune System. Stan wskazuje lokalizację próbki w hierarchii sieciowej, stadium analizy, w którym aktualnie znajduje się próbka lub jej stan końcowy. Uwaga: Wszelkie stany, z których można wywnioskować, że próbka została zwrócona do komputera klienckiego, nie są już obsługiwane. Patrz Stany końcowe na stronie 36 Patrz Stany przejściowe na stronie 37