Podręcznik wdrażania programu Symantec Central Quarantine

Transkrypt

1 Podręcznik wdrażania programu Symantec Central Quarantine

2 Podręcznik wdrażania programu Symantec Central Quarantine Oprogramowanie opisane w niniejszym podręczniku jest dostarczane w ramach umowy licencyjnej i może być używane jedynie zgodnie z postanowieniami tej umowy. Wersja dokumentacji Informacje prawne Copyright 2011 Symantec Corporation. Wszystkie prawa zastrzeżone. Nazwa i logo Symantec oraz nazwy Bloodhound, Confidence Online, Digital Immune System,LiveUpdate, Norton, Sygate, i TruScan to znaki towarowe lub zastrzeżone znaki towarowe firmy Symantec Corporation lub jej oddziałów w USA oraz innych krajach. Inne nazwy mogą być znakami towarowymi odpowiednich właścicieli. Niniejszy produkt Symantec może zawierać oprogramowanie innych firm, które musi być jednoznacznie określone jako takie ( programy innych firm ). Niektóre z programów innych firm są dostępne jako oprogramowanie o jawnym kodzie źródłowym lub bezpłatne. Niniejsza umowa licencyjna dołączona do oprogramowania nie powoduje zmiany jakichkolwiek praw lub zobowiązań wynikających z licencji na program o jawnym kodzie źródłowym lub bezpłatny. Dodatkowe informacje na temat programów innych firm są zawarte w zastrzeżeniach prawnych innych firm w załączniku do niniejszej dokumentacji lub w pliku ReadMe dotyczącym praw własności intelektualnej innych firm, dołączonym do niniejszego produktu Symantec. Produkt opisywany w niniejszym dokumencie jest dystrybuowany zgodnie z licencjami ograniczającymi jego użycie, kopiowanie, dystrybucję i dekompilację/odtwarzanie kodu źródłowego. Żadna część tego dokumentu nie może być powielana w jakiejkolwiek formie i w jakikolwiek sposób bez uprzedniej pisemnej zgody Symantec Corporation i jego licencjodawców, jeśli tacy istnieją. NINIEJSZA DOKUMENTACJA JEST DOSTARCZANA W TAKIM STANIE, W JAKIM SIĘ ZNAJDUJE W CHWILI UDOSTĘPNIENIA. WYŁĄCZA SIĘ WSZELKIE GWARANCJE WYRAŹNE LUB DOROZUMIANE, OŚWIADCZENIA I ZAPEWNIENIA, W TYM DOROZUMIANE GWARANCJE DOTYCZĄCE PRZYDATNOŚCI HANDLOWEJ I UŻYTECZNOŚCI DO OKREŚLONEGO CELU, Z WYJĄTKIEM ZAKRESU, W KTÓRYM TAKIE WYŁĄCZENIA SĄ UZNAWANE ZA PRAWNIE NIEWAŻNE. W ŻADNYM WYPADKU FIRMA SYMANTEC CORPORATION NIE PONOSI ODPOWIEDZIALNOŚCI ZA JAKIEKOLWIEK SZKODY UBOCZNE LUB WTÓRNE ZWIĄZANE Z DOSTARCZENIEM LUB WYKORZYSTANIEM NINIEJSZEJ DOKUMENTACJI. INFORMACJE ZAWARTE W NINIEJSZEJ DOKUMENTACJI MOGĄ ZOSTAĆ ZMIENIONE BEZ UPRZEDZENIA. Licencjonowane oprogramowanie i dokumentacja są uznawane za komercyjne oprogramowanie komputerowe zgodnie z przepisami FAR i podlegają prawom ograniczonym, zgodnie z FAR, sekcja Commercial Computer Software Restricted Rights i DFARS Rights in Commercial Computer Software or Commercial Computer Software Documentation, oraz wszelkim późniejszym przepisom. Jakiekolwiek

3 wykorzystywanie, modyfikowanie, dystrybuowanie kopii, prezentowanie, wyświetlanie lub ujawnianie oprogramowania i dokumentacji objętych licencją przez rząd USA musi się odbywać zgodnie z postanowieniami niniejszej umowy. Symantec Corporation 350 Ellis Street Mountain View, CA

4 Pomoc techniczna Kontakt z pomocą techniczną Pomoc techniczna firmy Symantec prowadzi centra obsługi na całym świecie. Podstawowym zadaniem pomocy technicznej jest odpowiadanie na określone pytania dotyczące funkcji produktu oraz jego działania. Grupa pomocy technicznej opracowuje również zawartość naszej internetowej bazy informacyjnej. Grupa pomocy technicznej współpracuje z innymi działami firmy Symantec, aby w możliwie krótkim czasie odpowiadać na pytania użytkowników. Grupa pomocy technicznej współpracuje na przykład z projektantami produktów oraz z centrum Symantec Security Response, aby udostępniać obsługę alertów i aktualizacje definicji wirusów. Oferta firmy Symantec w zakresie pomocy technicznej obejmuje: Zróżnicowany zakres opcji pomocy technicznej umożliwiających dobranie poziomu usług do rozmiaru organizacji. Telefoniczną i internetową pomoc techniczną zapewniającą szybką reakcję i dostęp do najnowszych informacji. Ubezpieczenie aktualizacyjne, zapewniające uaktualnienia oprogramowania. Płatną globalną pomoc techniczną dostępną w godzinach pracy w regionie lub 24 godziny na dobę, 7 dni w tygodniu. Oferty usług typu Premium obejmujące usługi zarządzania kontami. Informacje na temat oferowanej przez firmę Symantec pomocy technicznej można znaleźć w naszej witrynie internetowej pod następującym adresem URL: Wszystkie usługi pomocy technicznej będą świadczone zgodnie z odpowiednią umową o pomocy technicznej i aktualnymi zasadami pomocy technicznej dla przedsiębiorstw. Klienci posiadający aktualną umowę pomocy technicznej mogą uzyskać dostęp do informacji pomocy technicznej pod następującym adresem URL: Przed skontaktowaniem się z pomocą techniczną należy się upewnić, że spełnione są wymagania systemowe podane w dokumentacji produktu. Ponadto komputer, na którym wystąpił problem powinien być włączony, aby w razie potrzeby można było odtworzyć problem. Kontaktując się z pomocą techniczną, należy mieć przygotowane następujące informacje:

5 Licencja i rejestracja numer wersji produktu, informacje o sprzęcie, ilość dostępnej pamięci i miejsca na dysku oraz informacje o karcie sieciowej, system operacyjny, numer wersji i poprawki do programu, topologia sieci, informacje o routerze, bramie i adresie IP. Opis problemu: Centrum obsługi klientów komunikaty o błędach i pliki dziennika, próby rozwiązania problemu podjęte przed skontaktowaniem się z firmą Symantec, ostatnie zmiany w konfiguracji oprogramowania i sieci. Jeśli produkt firmy Symantec wymaga rejestracji lub klucza licencji, należy odwiedzić stronę internetową pomocy technicznej pod następującym adresem URL: Informacje na temat centrum obsługi klientów są dostępne pod następującym adresem URL: Centrum obsługi klientów służy pomocą w następujących kwestiach nietechnicznych, takich jak: pytania dotyczące licencji lub numerów seryjnych produktów, aktualizacje rejestracji produktów, takie jak zmiana adresu lub nazwy, ogólne informacje o produkcie (funkcje, dostępne wersje językowe, miejscowi dostawcy), najnowsze informacje o aktualizacjach i uaktualnieniach produktów, informacje dotyczące umów o zabezpieczeniu aktualizacji i pomocy technicznej, informacje o programach Symantec Buying Programs, porady dotyczące opcji pomocy technicznej firmy Symantec,

6 pytania inne niż techniczne, dotyczące sprzedaży produktów, kwestie związane z dyskami CD-ROM, dyskami DVD lub podręcznikami. Informacje na temat umowy dotyczącej pomocy technicznej W celu uzyskania informacji o istniejącej umowie dotyczącej pomocy technicznej należy kontaktować się z firmą Symantec przy użyciu następujących adresów regionalnych zespołów administrujących tą umową: Azja Pacyficzna i Japonia Europa, Bliski Wschód i Afryka Ameryka Północna i Ameryka Łacińska customercare_apac@symantec.com semea@symantec.com supportsolutions@symantec.com Dodatkowe usługi dla przedsiębiorstw Firma Symantec oferuje pełen zestaw usług umożliwiających zmaksymalizowanie korzyści z inwestycji w produkty firmy Symantec oraz poszerzanie wiedzy, umiejętności i ogólnego zrozumienia odpowiednich zagadnień w celu aktywnego zarządzania zabezpieczeniami firmy przed zagrożeniami. Dostępne usługi dla przedsiębiorstw obejmują: Usługi Managed Services Usługi doradcze Usługi szkoleniowe Usługi Managed Services eliminują konieczność zarządzania urządzeniami zabezpieczającymi i zdarzeniami dotyczącymi zabezpieczeń oraz ich monitorowania, zapewniając szybką odpowiedź na rzeczywiste zagrożenia. Usługi doradcze firmy Symantec obejmują analizy techniczne firmy Symantec i jej zaufanych partnerów na miejscu u klienta. W ramach usług doradczych firmy Symantec oferowane są różne skonfigurowane fabrycznie i niestandardowe opcje umożliwiające ocenianie, projektowanie, wdrażanie, monitorowanie i zarządzanie, pozwalające na uzyskanie i utrzymywanie integralności i dostępności zasobów informatycznych przedsiębiorstwa. Usługi szkoleniowe to pełen zestaw szkoleń technicznych i dotyczących bezpieczeństwa, certyfikowanie w dziedzinie zabezpieczeń i programy komunikacyjne budujące świadomość zagrożeń. Więcej informacji na temat usług dla przedsiębiorstw można uzyskać w naszej witrynie internetowej pod następującym adresem URL: Z indeksu w witrynie należy wybrać kraj lub język.

7 Spis treści Pomoc techniczna... 4 Rozdział 1 Rozdział 2 Wprowadzenie do programu Symantec Central Quarantine... 9 Program Symantec Central Quarantine informacje... 9 Składniki Centralnej kwarantanny informacje Sposób działania Centralnej kwarantanny Identyfikowanie wirusów i poddawanie ich kwarantannie informacje Analizowanie wirusów informacje Zastosowania Centralnej kwarantanny Dodatkowe informacje na temat Centralnej kwarantanny Instalowanie i konfigurowanie programu Symantec Central Quarantine Przed instalacją Wymagania systemowe dotyczące konsoli kwarantanny Wymagania systemowe dotyczące serwera Centralnej kwarantanny Instalowanie Centralnej kwarantanny Centralna kwarantanna informacje Właściwości Centralnej kwarantanny informacje Włączanie serwera kwarantanny Konfigurowanie serwera kwarantanny Konfigurowanie zasady ochrony przed wirusami i programami typu spyware w celu używania serwera kwarantanny Rozdział 3 Używanie Centralnej kwarantanny Zarządzanie plikami poddanymi kwarantannie Przeglądanie elementów poddanych kwarantannie Usuwanie plików poddanych kwarantannie Przywracanie plików poddanych kwarantannie Przesyłanie próbek do analizy... 29

8 8 Spis treści Ustawianie zasad dotyczących automatycznego przesyłania próbek Ręczne przesyłanie plików Sprawdzanie stanu przesłanej próbki Przeglądanie atrybutów dotyczących próbki Przeglądanie działań wykonanych na próbkach Przeglądanie błędów przesyłania próbki Konfigurowanie zdarzeń i alertów Określanie zdarzeń wyzwalających alerty Dodatek A Informacje na temat przetwarzania próbek Przetwarzanie próbek informacje Stan próbki Stan próbki Stany końcowe Stany przejściowe Stany oczekiwania Stany aktywności Błędy próbek Indeks... 45

9 Rozdział 1 Wprowadzenie do programu Symantec Central Quarantine Ten rozdział obejmuje następujące zagadnienia: Program Symantec Central Quarantine informacje Składniki Centralnej kwarantanny informacje Sposób działania Centralnej kwarantanny Zastosowania Centralnej kwarantanny Dodatkowe informacje na temat Centralnej kwarantanny Program Symantec Central Quarantine informacje Program Symantec Endpoint Protection po znalezieniu zainfekowanego elementu, którego nie można naprawić przy użyciu bieżących definicji wirusów, blokuje do niego dostęp. Następnie element wraz z wszystkimi powiązanymi ustawieniami i plikami systemowymi zostaje przeniesiony do lokalnego obszaru kwarantanny. Lokalny obszar kwarantanny to specjalna lokalizacja, zarezerwowana dla zainfekowanych plików i związanych z nimi systemowych skutków ubocznych. Wirusy i inne zagrożenia odizolowane w lokalnym obszarze kwarantanny nie mogą rozprzestrzeniać się ani uszkadzać komputera. Program Symantec Endpoint Protection może automatycznie przekazywać pakiety zawierające zainfekowane pliki i powiązane z nimi skutki uboczne z lokalnego obszaru kwarantanny do Centralnej kwarantanny. Centralna kwarantanna to centralne repozytorium, składające się z dwóch głównych składników: serwera

10 10 Wprowadzenie do programu Symantec Central Quarantine Składniki Centralnej kwarantanny informacje centralnej kwarantanny i konsoli kwarantanny. Serwer centralnej kwarantanny przechowuje zainfekowane próbki i komunikuje się z centrum Symantec Security Response. Konsola kwarantanny, która integruje się z konsolą MMC, umożliwia zarządzanie serwerem centralnej kwarantanny. Korzystając z Centralnej kwarantanny, łatwiej jest zbierać informacje do celów sądowych. Można pobrać próbkę z zainfekowanego komputera bez konieczności faktycznego przechodzenia do tego komputera. Klienci Symantec Endpoint Protection skanują pliki nie tylko w poszukiwaniu wirusów, ale także zagrożeń bezpieczeństwa, takich jak spyware, adware, narzędzia hakerskie i programy-żarty. Także te zainfekowane pliki można przekazywać do Centralnej kwarantanny. Zagrożenia wykryte i poddane kwarantannie przez funkcję Zapobieganie zagrożeniom są jednak przesyłane przy użyciu innego mechanizmu. Patrz Składniki Centralnej kwarantanny informacje na stronie 10 Patrz Dodatkowe informacje na temat Centralnej kwarantanny na stronie 14 Składniki Centralnej kwarantanny informacje Tabela 1-1 przedstawia składniki programu Symantec Central Quarantine. Tabela 1-1 Składnik Składniki programu Symantec Central Quarantine Opis Symantec Security Response Brama Konsola kwarantanny Zautomatyzowane centrum analiz sprawdzające i analizujące zawartość przesyłek oraz tworzące i rozpowszechniające zaktualizowane definicje wirusów. Pośrednik między centrum Symantec Security Response a serwerem Centralnej kwarantanny. Próbki są poddawane analizie i przekazywane do centrum Symantec Security Response tylko wtedy, gdy nie można ich naprawić przy użyciu definicji znajdujących się w bramie. Jeśli próbkę można naprawić, brama zwraca definicje do serwera Centralnej kwarantanny. Interfejs użytkownika Centralnej kwarantanny służący do konfigurowania serwera kwarantanny, komunikacji z bramą oraz zarządzania aktualizacjami definicji.

11 Wprowadzenie do programu Symantec Central Quarantine Sposób działania Centralnej kwarantanny 11 Składnik Serwer kwarantanny Agent kwarantanny Skaner kwarantanny Defcast Opis Składnik przyjmujący zainfekowane pliki i skutki uboczne z serwerów oraz klientów, który komunikuje się z konsolą kwarantanny. Elementy są poddawane kwarantannie i przesyłane, jeśli podczas ich skanowania przy użyciu zestawu definicji znajdującego się na serwerze kwarantanny okazuje się, że nie można ich naprawić. Serwer kwarantanny należy skonfigurować do nasłuchiwania na określonych portach protokołów IP. Klienta przekazującego pliki należy skonfigurować do przesyłania danych do portu odpowiadającego protokołowi używanemu do przekazywania. Składnik obsługujący komunikację między serwerem kwarantanny a bramą, a następnie uruchamiający mechanizm Defcast. Agent kwarantanny gwarantuje, że w Centralnej kwarantannie znajduje się najnowszy zestaw definicji pochodzący z bramy. Składnik skanujący przesłane pliki przy użyciu zestawu definicji znajdującego się na serwerze kwarantanny. Aby móc przesłać próbki umieszczone w Centralnej kwarantannie, należy je najpierw przeskanować. Składnik wysyłający do serwerów i klientów zapytania o numer kolejny definicji wirusów. Patrz Sposób działania Centralnej kwarantanny na stronie 11 Patrz Dodatkowe informacje na temat Centralnej kwarantanny na stronie 14 Sposób działania Centralnej kwarantanny Centralna kwarantanna używa systemu Digital Immune System do zarządzania całym procesem antywirusowym. System Digital Immune System pozwala wyeliminować wiele wykonywanych ręcznie zadań związanych z przesyłaniem zainfekowanych plików i ich analizą. Automatyzacja skraca czas między odkryciem nowego wirusa, a zainstalowaniem metody naprawy za pomocą usługi LiveUpdate. System Digital Immune System pełni następujące funkcje: Identyfikacja i kwarantanna: stosuje wszechstronne techniki wykrywania heurystycznego i na podstawie sposobu działania w celu identyfikowania nowych zagrożeń. Podejrzane elementy są automatycznie izolowane na serwerze Centralnej kwarantanny, a ich próbki są przesyłane do centrum Symantec Security Response w celu analizy.

12 12 Wprowadzenie do programu Symantec Central Quarantine Sposób działania Centralnej kwarantanny Analiza: przesyłanie plików do centrum Symantec Security Response w celu ich zanalizowania, naprawienia i przetestowania. Uwaga: Do serwera Centralnej kwarantanny przesyłane są jedynie zagrożenia wirusowe poddawane kwarantannie. Zagrożenia inne niż wirusowe są przesyłane dalej bezpośrednio z klienta do firmy Symantec i nigdy nie pojawiają się w Centralnej kwarantannie. Patrz Identyfikowanie wirusów i poddawanie ich kwarantannie informacje na stronie 12 Patrz Analizowanie wirusów informacje na stronie 13 Identyfikowanie wirusów i poddawanie ich kwarantannie informacje Głównym celem systemu Digital Immune System jest wykrywanie nowych lub nieznanych zagrożeń na poziomie stacji roboczej, serwera i bramy. Firma Symantec korzysta z technologii heurystycznej Bloodhound, która umożliwia wykrycie większości nowych lub nieznanych odmian wirusów. Klientów można skonfigurować do automatycznego wysyłania podejrzanych plików i ich skutków ubocznych do lokalnego obszaru kwarantanny. Lokalny obszar kwarantanny może zostać umiejscowiony na stacji roboczej, serwerze lub bramie. W lokalnym obszarze kwarantanny podejrzane pliki są umieszczane w pakiecie z informacjami o komputerze przesyłającym pakiet, a następnie przesyłane do firmowego serwera Centralnej kwarantanny w celu dalszej analizy. Ponieważ w Centralnej kwarantannie mogą znajdować się nowsze definicje wirusów niż na komputerze, z którego pochodzi zainfekowany plik, serwer Centralnej kwarantanny skanuje pliki przy użyciu własnego zestawu definicji wirusów. Jeśli pliku nie można naprawić, mechanizm Centralnej kwarantanny usunie z niego potencjalnie poufne dane, a następnie zaszyfruje ten plik. System Digital Immune System przesyła następnie plik przez Internet do bramy firmy Symantec w celu dodatkowej analizy. Administratorzy mogą skonfigurować system Digital Immune System do automatycznego wykonywania następujących czynności: Wykrywanie nowych i nieznanych wirusów oraz poddawanie ich kwarantannie. Filtrowanie i przesyłanie zaszyfrowanych próbek do centrum Symantec Security Response w celu przeprowadzenia ich analizy. System Digital Immune System może usunąć poufne treści. Sprawdzanie dostępności nowych definicji wirusów i aktualizacji informacji o stanie.

13 Wprowadzenie do programu Symantec Central Quarantine Zastosowania Centralnej kwarantanny 13 Patrz Analizowanie wirusów informacje na stronie 13 Analizowanie wirusów informacje Agent kwarantanny obsługuje komunikację między serwerem Centralnej kwarantanny a bramą firmy Symantec. Jeśli mechanizm Centralnej kwarantanny nie może naprawić zainfekowanego pliku, Agent kwarantanny przekazuje plik do bramy. Agent kwarantanny wysyła następnie zapytania do bramy, aby sprawdzić, czy dostępna jest metoda naprawy. Jeśli dostępna jest metoda naprawy, Agent kwarantanny pobiera nowe zestawy definicji wirusów i instaluje je na serwerze Centralnej kwarantanny. Jeśli metoda naprawy nie jest dostępna, Agent kwarantanny co 60 minut wysyła do bramy zapytanie o metodę naprawy. Gdy system Digital Immune System otrzyma nową przesyłkę, wykonuje następujące działania: Dodaje przesyłkę do bazy danych śledzenia. Filtruje przesyłkę, eliminując z niej niezainfekowane pliki, fałszywe alarmy oraz znane wirusy i zagrożenia rozszerzone. Filtrowanie przebiega bardzo szybko, a ponieważ w przypadku większości przesyłek wystarcza sam proces filtrowania, czas odpowiedzi dotyczący elementów poddanych filtrowaniu jest bardzo krótki. Analizuje wirusa i jego skutki uboczne, tworzy rozwiązanie naprawcze i testuje je. W większości przypadków analiza i naprawa przebiega w sposób automatyczny, ale niektóre wirusy mogą wymagać interwencji pracowników centrum Symantec Security Response. Tworzy nowy zestaw definicji wirusów, dołączając nowy niepowtarzalny identyfikator i zwraca nowe definicje do bramy. Patrz Identyfikowanie wirusów i poddawanie ich kwarantannie informacje na stronie 12 Zastosowania Centralnej kwarantanny Poprzednie wersje Centralnej kwarantanny wysyłały nowe definicje wirusów i zagrożeń do wszystkich starszych klientów przekazujących zainfekowane pliki do Centralnej kwarantanny. Ta wersja Centralnej kwarantanny nadal wysyła próbki do centrum Symantec Security Response i odbiera aktualizacje z nimi związane. Wersja ta jednak nie przesyła tych definicji do klientów używających programu Symantec Endpoint Protection.

14 14 Wprowadzenie do programu Symantec Central Quarantine Dodatkowe informacje na temat Centralnej kwarantanny Mimo to Centralna kwarantanna stanowi pojedynczy punkt mieszczący wszystkie elementy poddane kwarantannie w sieci. Wszystkie elementy poddane kwarantannie są wyświetlane w jednym oknie i przesyłane do centrum Symantec Security Response. Okno to udostępnia również informacje o przesłanych zagrożeniach, takie jak informacje o użytkowniku i o komputerze, na którym zostało wykryte zagrożenie. W tym oknie można także sprawdzić stan definicji tworzonych w celu wykrywania nieznanych zagrożeń przesyłanych przez użytkownika. System Digital Immune System przekazuje informacje o przesłanych zagrożeniach do sieci Symantec Global Intelligence Network, która zapewnia niezrównane zasoby z dziedziny zabezpieczeń internetowych. Sieć Symantec Global Intelligence Network obejmuje ponad 150 milionów antywirusowych czujników stacji roboczych, czujników wykrywania włamań i zapór, a także 4300 monitorowanych i zarządzanych urządzeń do zabezpieczeń na całym świecie. Informacje te są łączone z bazą danych luk w zabezpieczeniach prowadzoną przez firmę Symantec. Baza ta, licząca pozycji, jest największa na świecie. Pozycje te dotyczą wersji aplikacji i systemów operacyjnych ponad 4000 producentów. Patrz Przed instalacją na stronie 17 Patrz Centralna kwarantanna informacje na stronie 21 Dodatkowe informacje na temat Centralnej kwarantanny Podstawowa dokumentacja funkcji Centralna kwarantanna znajduje się na dysku z produktem w folderze Documentation. Niektóre foldery ze składnikami mogą zawierać dokumentację dotyczącą danego składnika. Aktualizacje dokumentacji można uzyskać w witrynach internetowych firmy Symantec: w witrynie pomocy technicznej oraz w witrynie Business Critical Services (dawniej: programu pomocy technicznej Platinum). Tabela 1-2 przedstawia dodatkowe informacje dostępne w witrynach internetowych firmy Symantec.

15 Wprowadzenie do programu Symantec Central Quarantine Dodatkowe informacje na temat Centralnej kwarantanny 15 Tabela 1-2 Internetowe witryny pomocy technicznej firmy Symantec Typy informacji Ogólnodostępna baza wiedzy Adres internetowy Wersje i aktualizacje Podręczniki i dokumentacja Opcje kontaktu Wirusy i inne zagrożenia informacje i aktualizacje Wiadomości i aktualizacje dotyczące produktów Dostęp internetowy do witryny Business Critical Services (dawniej: pomoc techniczna Platinum) Patrz Program Symantec Central Quarantine informacje na stronie 9

16 16 Wprowadzenie do programu Symantec Central Quarantine Dodatkowe informacje na temat Centralnej kwarantanny

17 Rozdział 2 Instalowanie i konfigurowanie programu Symantec Central Quarantine Przed instalacją Ten rozdział obejmuje następujące zagadnienia: Przed instalacją Wymagania systemowe dotyczące konsoli kwarantanny Wymagania systemowe dotyczące serwera Centralnej kwarantanny Instalowanie Centralnej kwarantanny Centralna kwarantanna informacje Właściwości Centralnej kwarantanny informacje Włączanie serwera kwarantanny Konfigurowanie serwera kwarantanny Konfigurowanie zasady ochrony przed wirusami i programami typu spyware w celu używania serwera kwarantanny Przed przystąpieniem do instalowania Centralnej kwarantanny należy wziąć pod uwagę, że:

18 18 Instalowanie i konfigurowanie programu Symantec Central Quarantine Wymagania systemowe dotyczące konsoli kwarantanny Do zainstalowania konsoli kwarantanny i serwera kwarantanny wymagane są prawa administratora. W celu przeprowadzenia instalacji należy zalogować się do systemu z odpowiednimi prawami. Należy odinstalować wszelkie starsze wersje programu Symantec Central Quarantine znajdujące się na komputerze. Program Symantec Central Quarantine składa się z programów Quarantine Server (serwer kwarantanny) i Quarantine Console (konsola kwarantanny). Serwer kwarantanny i konsolę kwarantanny można zainstalować na tym samym komputerze lub różnych komputerach z systemem Windows 2000/XP/2003. Konsola kwarantanny musi używać tego samego protokołu sieciowego (TCP/IP), co serwer kwarantanny, aby możliwe było jego skonfigurowanie. Produkty korzystające z usługi kwarantanny mogą przesyłać pliki do serwera kwarantanny przy użyciu protokołu TCP/IP. Należy się upewnić, że ten protokół sieciowy jest zainstalowany na serwerze kwarantanny. Patrz Wymagania systemowe dotyczące konsoli kwarantanny na stronie 18 Patrz Wymagania systemowe dotyczące serwera Centralnej kwarantanny na stronie 19 Wymagania systemowe dotyczące konsoli kwarantanny Konsola kwarantanny ma następujące wymagania. Tabela 2-1 Wymagania systemowe dotyczące konsoli kwarantanny Składnik Procesor System operacyjny 32-bitowy 600 MHz Intel Pentium III Obsługiwane są następujące systemy operacyjne: Windows 2000 Professional/Server/Advanced Server/Datacenter Server z dodatkiem Service Pack 3 lub nowszy Windows XP Professional z dodatkiem Service Pack 1 lub nowszy Windows Server 2003 Standard Edition/Enterprise Edition/Datacenter Edition/Web Edition Uwaga: Konsola kwarantanny nie była testowana w 64-bitowych systemach operacyjnych. Pamięć 64 MB pamięci RAM

19 Instalowanie i konfigurowanie programu Symantec Central Quarantine Wymagania systemowe dotyczące serwera Centralnej kwarantanny 19 Składnik Dysk twardy Wyświetlacz Inne wymagania 32-bitowy 35 MB Karta graficzna i monitor o rozdzielczości XGA (1024x768) lub wyższej Spełnione muszą być następujące inne wymagania: Program Internet Explorer 5.5 z dodatkiem Service Pack 2 lub nowszy Konsola Microsoft Management Console (MMC) 1.2 lub nowsza Jeśli konsola MMC nie jest jeszcze zainstalowana na komputerze, wymagane jest 3 MB miejsca na dysku (10 MB podczas instalacji). Patrz Instalowanie Centralnej kwarantanny na stronie 20 Wymagania systemowe dotyczące serwera Centralnej kwarantanny Serwer Centralnej kwarantanny ma następujące wymagania. Tabela 2-2 Wymagania systemowe dotyczące serwera Centralnej kwarantanny Składnik Procesor System operacyjny 32-bitowy 600 MHz Intel Pentium III Obsługiwane są następujące 32-bitowe systemy operacyjne: Windows 2000 Professional/Server/Advanced Server/Datacenter Server z dodatkiem Service Pack 3 lub nowszy Windows XP Professional z dodatkiem Service Pack 1 lub nowszy Windows Server 2003 Standard Edition/Enterprise Edition/Datacenter Edition/Web Edition Uwaga: Serwer kwarantanny nie był testowany i nie jest obsługiwany w 64-bitowych systemach operacyjnych. Pamięć Dysk twardy Wyświetlacz Inne wymagania 128 MB pamięci RAM 40 MB, zalecane 500 MB 4 GB na elementy poddawane kwarantannie oraz plik wymiany o rozmiarze 250 MB Karta graficzna i monitor o rozdzielczości XGA (1024x768) lub wyższej Program Internet Explorer 5.5 z dodatkiem Service Pack 2 lub nowszy Patrz Instalowanie Centralnej kwarantanny na stronie 20

20 20 Instalowanie i konfigurowanie programu Symantec Central Quarantine Instalowanie Centralnej kwarantanny Instalowanie Centralnej kwarantanny Aby zainstalować Centralną kwarantannę, należy wykonać następujące zadania: zainstalować konsolę kwarantanny, zainstalować serwer kwarantanny. Uwaga: Konsolę i serwer można zainstalować w dowolnej kolejności. Aby zainstalować konsolę kwarantanny: 1 Uruchom instalację z dysku produktu z narzędziami, a następnie kliknij pozycję Instaluj konsolę Centralnej kwarantanny. 2 W oknie powitalnym kliknij przycisk Dalej. 3 W oknie dialogowym Umowa licencyjna kliknij przycisk Akceptuję warunki i postanowienia umowy Licencyjnej. 4 Kliknij przycisk Dalej. 5 W oknie dialogowym Folder docelowy wybierz jedną z poniższych opcji: Dalej: aby zainstalować w folderze domyślnym. Zmień: aby wybrać inny folder. Nie należy instalować konsoli kwarantanny na dysku sieciowym. 6 Aby ukończyć instalację, postępuj zgodnie z instrukcjami wyświetlanymi na ekranie. Aby zainstalować serwer kwarantanny: 1 Uruchom instalację z dysku produktu z narzędziami, a następnie kliknij pozycję Instaluj konsolę Centralnej kwarantanny. 2 W oknie powitalnym kliknij przycisk Dalej. 3 W oknie dialogowym Umowa licencyjna kliknij przycisk Akceptuję warunki i postanowienia umowy Licencyjnej. 4 Kliknij przycisk Dalej. 5 W oknie dialogowym Folder docelowy wybierz jedną z poniższych opcji: Dalej: aby zainstalować w folderze domyślnym. Zmień: aby wybrać inny folder. Nie należy instalować serwera kwarantanny na dysku sieciowym. 6 Kliknij przycisk Dalej.

21 Instalowanie i konfigurowanie programu Symantec Central Quarantine Centralna kwarantanna informacje 21 7 W oknie dialogowym Maksymalna ilość miejsca na dysku albo zaakceptuj domyślną ilość 500 megabajtów, albo wpisz nową wartość (w megabajtach) w polu Miejsce na dysku, a następnie kliknij przycisk Dalej. 8 W oknie dialogowym Informacje kontaktowe wpisz nazwę firmy, numer konta (jeśli dostępny) oraz nazwisko, numer telefonu i adres osoby kontaktowej. 9 Kliknij przycisk Dalej. 10 W oknie dialogowym Komunikacja w sieci WWW albo zaakceptuj domyślny adres bramy, albo wpisz inny adres (jeśli podała go firma Symantec) w polu Nazwa bramy. Następnie kliknij przycisk Dalej. 11 Aby ukończyć instalację, postępuj zgodnie z instrukcjami wyświetlanymi na ekranie. Patrz Włączanie serwera kwarantanny na stronie 24 Centralna kwarantanna informacje Centralna kwarantanna składa się z dwóch głównych składników: serwera kwarantanny i konsoli kwarantanny. Serwer kwarantanny przechowuje zainfekowane próbki i komunikuje się z centrum Symantec Security Response. Konsola kwarantanny, która integruje się z konsolą MMC, umożliwia zarządzanie serwerem kwarantanny. Aby korzystać z Centralnej kwarantanny, należy: Włączyć serwer kwarantanny. Skonfigurować serwer kwarantanny. Skonfigurować klientów do przesyłania próbek do serwera kwarantanny. Patrz Właściwości Centralnej kwarantanny informacje na stronie 21 Właściwości Centralnej kwarantanny informacje Okno dialogowe Właściwości umożliwia skonfigurowanie różnych ustawień Centralnej kwarantanny. Uwaga: Ustawienia domyślne Centralnej kwarantanny korzystają z informacji wprowadzonych podczas instalacji, aby zapewnić kompleksową ochronę bez konieczności dalszych zmian w konfiguracji. Nie trzeba zmieniać konfiguracji żadnego z tych ustawień.

22 22 Instalowanie i konfigurowanie programu Symantec Central Quarantine Właściwości Centralnej kwarantanny informacje Tabela 2-3 Właściwość Ogólne Centralna kwarantanna właściwości Opis Umożliwia określenie podstawowych ustawień kwarantanny, takich jak lokalizacja folderu kwarantanny. Ta właściwość umożliwia także ustawienie maksymalnego rozmiaru folderu, protokołu nasłuchu komunikacji z klientami oraz interwału automatycznego odświeżania konsoli. Komunikacja w sieci WWW Umożliwia określenie ustawień dotyczących komunikacji, w tym nazwy komputera bramy firmy Symantec i następujących ustawień zabezpieczeń: Opcja Zabezpieczone przesyłanie powoduje wysyłanie próbek wirusów do firmy Symantec przy użyciu protokołu SSL (Secure Socket Layer). Opcja Zabezpieczone pobieranie powoduje pobieranie zaktualizowanych definicji z firmy Symantec przy użyciu protokołu SSL. Brama systemu Symantec Immune System określa komputer bramy, który komunikuje się z centrum Symantec Security Response. Zapora Umożliwia określenie metod komunikacji z zaporą serwera proxy i przez zaporę serwera proxy, jeśli w sieci stosowana jest zapora serwera proxy: Nazwa zapory to adres IP lub nazwa zapory. Port zapory to port używany do komunikacji z zaporą. Nazwa użytkownika zapory to nazwa użytkownika komunikującego się z zaporą. Hasło zapory to hasło umożliwiające komunikację z zaporą.

23 Instalowanie i konfigurowanie programu Symantec Central Quarantine Właściwości Centralnej kwarantanny informacje 23 Właściwość Zasady dotyczące próbek Opis Umożliwia określenie metod wysyłania i przetwarzania próbek: Opcja Automatyczne przesyłanie próbek powoduje automatyczne umieszczanie próbek w kolejce do analizy. Interwał sprawdzania kolejki to częstotliwość sprawdzania kwarantanny w poszukiwaniu nowych elementów. Opcja Usuń dane dotyczące użytkownika z próbki zwiększa bezpieczeństwo i polega na usuwaniu potencjalnie poufnych danych z przesyłanych próbek. Interwał sprawdzania stanu to częstotliwość sondowania bramy w celu uzyskania informacji o zmianie stanu przesłanych próbek. Zasady związane z definicjami Umożliwia określenie metod przetwarzania definicji ochrony przed wirusami i programami typu spyware: Aktywny numer kolejny to numer definicji aktualnie zainstalowanych na serwerze kwarantanny. Numery kolejne występują tylko w produktach antywirusowych firmy Symantec, są przydzielane kolejnym zestawom sygnatur i są zawsze kumulatywne. Zestaw sygnatur z wyższym numerem zastępuje zestaw sygnatur, którego numer jest niższy. Interwał dla certyfikowanych definicji to wyrażona w minutach częstotliwość sondowania bramy w celu uzyskania zaktualizowanych definicji certyfikowanych. Ustawienie domyślne to trzy razy dziennie. informacje o użytkowniku Obsługa alertów Błędy ogólne Umożliwia edycję informacji o użytkowniku wprowadzonych podczas instalacji. Wszystkie pola są wymagane. Umożliwia konfigurację obsługi alertów dotyczących określonych zdarzeń. Wyświetla historię błędów serwera kwarantanny. Patrz Centralna kwarantanna informacje na stronie 21

24 24 Instalowanie i konfigurowanie programu Symantec Central Quarantine Włączanie serwera kwarantanny Włączanie serwera kwarantanny Serwer kwarantanny można włączyć na komputerze lokalnym i na komputerze zdalnym. Aby włączyć serwer kwarantanny na komputerze lokalnym: 1 W lewym okienku konsoli Symantec Central Quarantine kliknij prawym przyciskiem myszy pozycję SymantecCentralQuarantine, a następnie kliknij polecenie Przyłącz do serwera. 2 W oknie dialogowym Wybór komputera kliknij pozycję Ten komputer, a następnie kliknij przycisk OK. Aby włączyć serwer kwarantanny na komputerze zdalnym: 1 W lewym okienku konsoli Symantec Central Quarantine kliknij prawym przyciskiem myszy pozycję SymantecCentralQuarantine, a następnie kliknij polecenie Przyłącz do serwera. 2 W oknie dialogowym Dołączanie do serwera kwarantanny wpisz nazwę serwera. 3 Wpisz nazwę użytkownika i hasło wymagane do zalogowania się do serwera. 4 Jeżeli serwer jest częścią domeny, wpisz również nazwę domeny. Patrz Konfigurowanie serwera kwarantanny na stronie 24 Konfigurowanie serwera kwarantanny Do konfiguracji serwera kwarantanny potrzebne są następujące informacje: Lokalizacja folderu, w którym będą przechowywane pliki na serwerze kwarantanny. Protokół i port, na którym przeprowadzane jest nasłuchiwanie. Po skonfigurowaniu Serwera kwarantanny należy skonfigurować programy klienta tak, aby wysyłały one kopie plików znajdujących się w ich lokalnych obszarach kwarantanny.

25 Instalowanie i konfigurowanie programu Symantec Central Quarantine Konfigurowanie zasady ochrony przed wirusami i programami typu spyware w celu używania serwera kwarantanny 25 Uwaga: Interfejs użytkownika konsoli kwarantanny pozwala wybrać protokół IP lub SPX oraz określić numer portu, który ma zostać skonfigurowany. Protokół IP to TCP, a numer portu określa port nasłuchu. Nie należy wybierać protokołu SPX. Ponadto wprowadzany numer portu TCP różni się od portów wyświetlanych przy użyciu narzędzi takich jak polecenie netstat -a. Na przykład po wprowadzeniu numeru portu 33 polecenie netstat -a wyświetli port TCP Liczby dziesiętne i szesnastkowe są przestawiane i błędnie konwertowane. Szczegóły zawiera artykuł Quarantine Server appears to be using a different port than it is configured to use (Serwer kwarantanny używa innego portu niż skonfigurowany). Aby skonfigurować serwer kwarantanny: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij prawym przyciskiem myszy pozycję Symantec- Centralnakwarantanna, a następnie kliknij polecenie Właściwości. 2 W oknie dialogowym Właściwości programu Symantec Central Quarantine, na karcie Ogólne wpisz ścieżkę folderu Centralnej kwarantanny. 3 W polu Maksymalny dopuszczalny rozmiar określ maksymalny rozmiar obszaru kwarantanny. 4 W obszarze Protokoły zaznacz opcję Nasłuchuj na IP(TCP/IP). Należy się upewnić, że opcja Nasłuchuj na SPX jest niezaznaczona. 5 W polu Port wpisz numer portu, na którym ma być prowadzony nasłuch. Domyślny numer portu to Kliknij przycisk OK. Patrz Konfigurowanie zasady ochrony przed wirusami i programami typu spyware w celu używania serwera kwarantanny na stronie 25 Konfigurowanie zasady ochrony przed wirusami i programami typu spyware w celu używania serwera kwarantanny Klienci Symantec Endpoint Protection w grupie lub lokalizacji grupy muszą stosować zasadę ochrony przed wirusami i programami typu spyware, która powoduje przekazanie próbek do serwera kwarantanny. Zasada ta wymaga wprowadzenia pełnej nazwy domeny (jest to zalecane) lub adresu IP serwera

26 26 Instalowanie i konfigurowanie programu Symantec Central Quarantine Konfigurowanie zasady ochrony przed wirusami i programami typu spyware w celu używania serwera kwarantanny kwarantanny. Zasada ta wymaga również wprowadzenia protokołu i numeru portu, na którym prowadzi nasłuch serwer kwarantanny. Aby skonfigurować zasadę ochrony przed wirusami i programami typu spyware w celu używania serwera kwarantanny: 1 W konsoli kliknij pozycję Zasady. 2 W obszarze Zasady kliknij pozycję Ochrona przed wirusami i programami typu spyware. 3 W obszarze Zadania kliknij pozycję Dodaj zasadę ochrony przed wirusami i programami typu spyware. Można również edytować istniejącą zasadę. 4 Na stronie zasady kliknij pozycję Kwarantanna. 5 W obszarze Elementy poddane kwarantannie zaznacz pozycję Zezwalaj komputeromklienckimnaautomatycznewysyłanieelementówpoddanych kwarantannie do serwera kwarantanny. 6 W polu Nazwa serwera wpisz pełną nazwę domeny lub adres IP serwera kwarantanny. 7 W polu Numer portu zaakceptuj lub zmień domyślny numer portu. 8 W polu Ponów próbę zaakceptuj lub zmień interwał ponawiania prób w przypadku niepowodzenia komunikacji klienta z serwerem kwarantanny. 9 Kliknij przycisk OK. Patrz Konfigurowanie serwera kwarantanny na stronie 24

27 Rozdział 3 Używanie Centralnej kwarantanny Ten rozdział obejmuje następujące zagadnienia: Zarządzanie plikami poddanymi kwarantannie Przesyłanie próbek do analizy Sprawdzanie stanu przesłanej próbki Konfigurowanie zdarzeń i alertów Zarządzanie plikami poddanymi kwarantannie Klienci Symantec Endpoint Protection domyślnie izolują zainfekowane elementy, których nie można naprawić przy użyciu aktualnych zestawów definicji wirusów. Klienci skonfigurowani do przekazywania zainfekowanych plików i ich skutków ubocznych automatycznie wysyłają kopie do serwera Centralnej kwarantanny. Patrz Przeglądanie elementów poddanych kwarantannie na stronie 27 Patrz Usuwanie plików poddanych kwarantannie na stronie 28 Patrz Przywracanie plików poddanych kwarantannie na stronie 29 Przeglądanie elementów poddanych kwarantannie Pliki są przekazywane do Centralnej kwarantanny, jeśli komputery klienckie zostały skonfigurowane do przekazywania zainfekowanych elementów do serwera kwarantanny.

28 28 Używanie Centralnej kwarantanny Zarządzanie plikami poddanymi kwarantannie Tabela 3-1 Właściwość Nazwa pliku Informacje o pliku poddanym kwarantannie Opis Nazwa zainfekowanego elementu Nazwa użytkownika Komputer Zanalizowany Wiek Stan próbki Nazwa użytkownika, którego plik został zainfekowany Nazwa komputera, na którym został wykryty zainfekowany element Wskazuje, czy próbka została przeanalizowana Data poddania próbki kwarantannie Bieżący stan próbki Patrz Stan próbki na stronie 38 Potrzebne definicje Stan Numer kolejny zestawu definicji niezbędnego do usunięcia wirusa Stan przetwarzania próbki Patrz Stan próbki na stronie 37 Wirus Błędy Nazwa wykrytego wirusa Błędy przetwarzania próbki Patrz Błędy próbek na stronie 43 Aby przeglądać elementy poddane kwarantannie: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij pozycję Centralna kwarantanna. Elementy poddane kwarantannie są wyświetlane na liście w prawym okienku. 2 W prawym okienku kliknij prawym przyciskiem myszy element poddany kwarantannie, a następnie kliknij polecenie Właściwości. Patrz Zarządzanie plikami poddanymi kwarantannie na stronie 27 Usuwanie plików poddanych kwarantannie Z Centralnej kwarantanny można usunąć dowolny element, ale z opcji tej warto korzystać tylko w odniesieniu do plików, które nie są już potrzebne. Po upewnieniu się, że przy użyciu zaktualizowanych definicji wirus został wykryty i usunięty, element poddany kwarantannie można bezpiecznie usunąć.

29 Używanie Centralnej kwarantanny Przesyłanie próbek do analizy 29 Aby usunąć pliki poddane kwarantannie: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij pozycję Symantec - Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądane pliki, a następnie kliknij polecenie Usuń. Patrz Zarządzanie plikami poddanymi kwarantannie na stronie 27 Przywracanie plików poddanych kwarantannie Jeśli wybrano opcję przywrócenia pliku, próba jego naprawy nie jest podejmowana. Tej opcji należy używać ostrożnie, aby uniknąć zainfekowania systemu. Na przykład należy ją stosować dopiero po otrzymaniu z centrum Symantec Security Response powiadomienia, że plik nie jest zainfekowany. Przywrócenie potencjalnie zainfekowanego pliku jest niebezpieczne. Przywracane pliki są kopiowane do wskazanego folderu. Aby przywrócić pliki poddane kwarantannie: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij pozycję Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądane pliki, a następnie kliknij polecenie Wszystkie zadania > Przywróć element. 3 Aby przywrócić plik, kliknij przycisk Tak. 4 W oknie dialogowym Przeglądanie w poszukiwaniu folderu, wybierz żądaną lokalizację przywracania pliku, a następnie kliknij przycisk OK. Patrz Zarządzanie plikami poddanymi kwarantannie na stronie 27 Przesyłanie próbek do analizy Ustawienia zasad przekazywania próbek określają, czy próbki wirusów mają być automatycznie przekazywane do bramy. Jeżeli nie wybrano opcji automatycznego przesyłania próbek, każda próbka z obszaru kwarantanny musi być ręcznie przesłana do bramy. Ustawienia dotyczące zasad automatycznego przesyłania próbek można pomijać. Generalnie próbki są przekazywane ręcznie jedynie po błędzie przekazania lub w sytuacji, gdy zachodzi potrzeba zmiany priorytetu kolejki dla wybranych próbek. Patrz Ustawianie zasad dotyczących automatycznego przesyłania próbek na stronie 30 Patrz Ręczne przesyłanie plików na stronie 30

30 30 Używanie Centralnej kwarantanny Przesyłanie próbek do analizy Ustawianie zasad dotyczących automatycznego przesyłania próbek Ustawienia zasad przekazywania próbek określają, czy próbki wirusów mają być automatycznie przekazywane do bramy. Jeżeli nie wybrano opcji automatycznego przesyłania próbek, każda próbka z obszaru kwarantanny musi być oddzielnie przesłana do bramy. Dla uzyskania dodatkowego zabezpieczenia można określić, że przed przesłaniem próbki mają być z niej usunięte dane użytkownika. Uwaga: Ustawienia zasad przesyłania próbek można pojedynczo zmieniać podczas przeglądania karty Działania dla wybranej pozycji w obszarze kwarantanny. Ręczne przesyłanie plików Aby ustawić zasadę dotycząca automatycznego przesyłania próbek: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij prawym przyciskiem myszy pozycję Symantec- Centralnakwarantanna, a następnie kliknij polecenie Właściwości. 2 W oknie dialogowym Właściwości Symantec Central Quarantine, na karcie Zasady dotyczące próbek ustaw zasadę przekazywania próbek. Patrz Przesyłanie próbek do analizy na stronie 29 Podejrzane pliki można ręcznie przesłać do analizy. Próbki, które można naprawić przy użyciu definicji znajdujących się na serwerze kwarantanny lub w bramie, nie są wysyłane do centrum Symantec Security Response. Aby próbka kwalifikowała się do przesyłania ręcznego, muszą zostać spełnione następujące warunki: Próbka nie może kwalifikować się do przesyłania automatycznego (wartość atrybutu X-Sample-Priority musi być równa 0). Próbki jeszcze nie wysłano (brakuje atrybutu X-Date-Submitted lub ma on wartość 0). Próbki jeszcze nie przeanalizowano (atrybut X-Date-Finished nie istnieje lub ma wartość 0). Aby ręcznie przesłać pliki, należy ustawić priorytet próbki.

31 Używanie Centralnej kwarantanny Sprawdzanie stanu przesłanej próbki 31 Aby ręcznie ustawić priorytet próbki: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij pozycję Symantec - Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości Symantec Central Quarantine, na karcie Działania ustaw priorytet przesyłania. Aby ręcznie przesłać elementy do centrum Symantec Security Response: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij pozycję Symantec - Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądane pliki, a następnie kliknij polecenie Wszystkie zadania > Umieść element w kolejce do automatycznej analizy. Patrz Przesyłanie próbek do analizy na stronie 29 Sprawdzanie stanu przesłanej próbki Stan próbki można określić, sprawdzając działania oraz atrybuty ustawione podczas komunikacji między serwerem kwarantanny a bramą. Patrz Przeglądanie atrybutów dotyczących próbki na stronie 31 Patrz Przeglądanie działań wykonanych na próbkach na stronie 32 Patrz Przeglądanie błędów przesyłania próbki na stronie 32 Przeglądanie atrybutów dotyczących próbki Komunikaty żądań i odpowiedzi wymieniane między klientami a serwerami zawierają liczne atrybuty, które wyczerpująco opisują próbkę i jej stan. Atrybuty te zawsze rozpoczynają się od znaków X-. Aby przejrzeć atrybuty dotyczące próbki: 1 W lewym okienku konsoli Symantec Central Quarantine kliknij prawym przyciskiem myszy pozycję Symantec - Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości, na karcie Atrybuty próbki kliknij dwukrotnie wyświetlony atrybut, aby uzyskać jego skróconą definicję. Patrz Sprawdzanie stanu przesłanej próbki na stronie 31

32 32 Używanie Centralnej kwarantanny Konfigurowanie zdarzeń i alertów Przeglądanie działań wykonanych na próbkach Działania wykonane na określonej próbce uwzględniają stany przesłanej próbki i dostarczenia definicji wirusów. Dla wybranej próbki można ręcznie zmienić domyślne ustawienia zasad przesyłania. Można ręcznie umieścić próbkę w kolejce do przesłania do centrum Symantec Security Response, jak również pobrać zaktualizowane pliki z definicjami wirusów dla wybranej próbki. Aby sprawdzić działania wykonywane na próbkach: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij pozycję Symantec - Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości, na karcie Działania sprawdź listę działań wykonanych na próbce. Patrz Sprawdzanie stanu przesłanej próbki na stronie 31 Przeglądanie błędów przesyłania próbki Jeśli występują błędy przesyłania próbek, są one zgłaszane dla każdej próbki. Przejrzyj pozycje, aby ustalić, czy dla danej próbki jest wymagane wykonanie jakiegokolwiek działania. Aby sprawdzić błędy przesyłania próbki: 1 W lewym okienku konsoli Symantec Central Quarantine kliknij prawym przyciskiem myszy pozycję Symantec - Centralna kwarantanna. 2 W prawym okienku kliknij prawym przyciskiem myszy żądany element, a następnie kliknij polecenie Właściwości. 3 W oknie dialogowym Właściwości, na karcie Błędy sprawdź listę błędów przesyłania. Patrz Sprawdzanie stanu przesłanej próbki na stronie 31 Konfigurowanie zdarzeń i alertów Można określić zdarzenia, o których mają być przekazywane informacje. Informacje o zdarzeniu wysyłane są do dziennika zdarzeń systemu NT. Patrz Określanie zdarzeń wyzwalających alerty na stronie 33

33 Używanie Centralnej kwarantanny Konfigurowanie zdarzeń i alertów 33 Określanie zdarzeń wyzwalających alerty Do dziennika zdarzeń systemu NT można wysyłać różne typy zdarzeń. Tabela 3-2 Zdarzenie Zdarzenia wyzwalające alerty Opis Nie można połączyć się z bramą Błąd Defcast Nie można zainstalować definicji na komputerach docelowych Nie można uzyskać dostępu do katalogu definicji Nie można połączyć się z usługą skanera kwarantanny Usługa agenta kwarantanny została zatrzymana Oczekiwanie na potrzebne definicje Nadeszły nowe definicje certyfikowane Nadeszły nowe definicje bez certyfikatów Wielkość folderu kwarantanny zbliża się do ustalonego limitu Ilość wolnego miejsca na dysku jest mniejsza niż maksymalny rozmiar folderu kwarantanny Próbka: nie została naprawiona Agent kwarantanny nie może połączyć się z bramą systemu Digital Immune System. Defcast to usługa rozsyłająca nowe definicje wirusów z serwera kwarantanny do komputerów docelowych. Rozpowszechnienie nowych definicji wirusów nie powiodło się. Wskazuje również, że definicje wirusów są dostępne dla klientów niezarządzanych. Serwer kwarantanny nie może znaleźć katalogu definicji. Nie można przeskanować próbek znajdujących się w kwarantannie i są one przekazywane do bramy. Serwer kwarantanny nie może komunikować się z bramą. Nie otrzymano jeszcze definicji z bramy. Serwer kwarantanny otrzymał nowe definicje certyfikowane. Serwer kwarantanny otrzymał nowe definicje niecertyfikowane w odpowiedzi na przesłaną próbkę. Folder kwarantanny jest prawie zapełniony. Ustawiony maksymalny rozmiar folderu kwarantanny jest większy niż dostępna ilość wolnego miejsca na dysku. Próbka nie została naprawiona albo naprawa była zbędna.

34 34 Używanie Centralnej kwarantanny Konfigurowanie zdarzeń i alertów Zdarzenie Próbka: nie można zainstalować definicji Próbka: błąd przetwarzania Próbka: wymaga skontaktowania się z pomocą techniczną Próbka: przetrzymywana do przesłania ręcznego Próbka: zbyt długo bez instalowania nowych definicji Próbka: zbyt długo w stanie Rozesłana Próbka: zbyt długo w stanie Potrzebna Próbka: zbyt długo w stanie Zwolniona Próbka: zbyt długo w stanie Przesłana Próbka: zbyt długo w stanie Poddana kwarantannie Próbka: nowe definicje przetrzymywane do dostarczenia Opis Nie można zainstalować nowych definicji; zwykle przyczyną jest uszkodzony zestaw definicji. Podczas przetwarzania tej próbki wystąpił błąd. Próbki nie można przetworzyć automatycznie. Należy skontaktować się z pomocą techniczną, aby uzyskać dalsze informacje na temat próbki. Próbka została wstrzymana na serwerze kwarantanny i nie została przesłana automatycznie. Należało zainstalować nowe definicje (zostały one udostępnione), ale tego nie zrobiono. Z bramy odebrano nowe definicje, ale kwarantanna nie otrzymała jeszcze potwierdzenia, że definicje zostały zainstalowane na kliencie. Nie pobrano jeszcze definicji z bramy. Brama nie udzieliła jeszcze odpowiedzi. Brama nie zaakceptowała jeszcze próbki. Próbka nie została wstępnie przeskanowana w kwarantannie. Nowe definicje wirusów są wstrzymane na serwerze kwarantanny i nie są dostarczane. Aby określić zdarzenia wyzwalające alerty: 1 W konsoli Symantec Central Quarantine, w lewym okienku kliknij prawym przyciskiem myszy pozycję Centralna kwarantanna, a następnie kliknij polecenie Właściwości. 2 W oknie dialogowym Właściwości programu Symantec Central Quarantine, na karcie Obsługa alertów zaznacz opcję Dziennik zdarzeń systemu NT. 3 W obszarze Konfiguruj powiadamianie o zdarzeniach wykonaj jedną lub obie z poniższych czynności: Zaznacz zdarzenia, o których mają być przekazywane informacje.