McAfee Enterprise Security Manager 9.5.1

Transcripción

1 Notas de la versión McAfee Enterprise Security Manager Contenido Acerca de esta versión Funciones nuevas de la versión Problemas resueltos Problemas conocidos Instrucciones de ampliación Búsqueda de documentación de productos Acerca de esta versión Este documento contiene información importante relativa a la versión actual. Le recomendamos encarecidamente que lea todo el documento. No se admite la ampliación automática de versiones preliminares del software. A fin de llevar a cabo la ampliación a una versión de producción del software, póngase en contacto con el equipo encargado de las versiones beta de McAfee mediante beta7@mcafee.com para obtener información sobre el proceso de ampliación. Funciones nuevas de la versión McAfee Enterprise Security Manager (McAfee ESM) ofrece una amplia gama de capacidades actualizadas que ofrecen compatibilidad con la visión de la plataforma Security Connected, datos 1

2 masivos (Big Data) de seguridad integrados y funciones de primera clase correspondientes a la solución SIEM. Desacoplamiento de la base de datos La base de datos se encuentra ahora desacoplada de la lógica empresarial de la aplicación. Esto aumenta la solidez y acelera la recuperación en caso de fallos. Anteriormente, los problemas que requerían un reinicio del dispositivo provocaban una prolongada reconstrucción de la base de datos y un tiempo de inactividad innecesario. Al separarlas, se reduce la necesidad de reconstruir los datos. Recopilación de capa 7 Los datos de capa 7 se introducen en la base de datos de McAfee Network Security Manager (NSM) una vez escrito el evento de NSM en su base de datos. No se insertan en el sistema como parte del evento. Para extraer la información de capa 7 de NSM, ahora es posible retrasar el momento de extracción del evento a fin de incluir los datos de capa 7. Puede configurar este retraso al llevar a cabo tres acciones distintas relacionadas con NSM: Adición de un dispositivo McAfee NSM a la consola Adición de un origen de datos NSM Configuración de un dispositivo NSM Para obtener más información, consulte Recopilación de capa 7 en un dispositivo NSM en la Ayuda online o la guía del producto. Unidades locales virtuales Ahora es posible detectar un dispositivo de almacenamiento virtual en el ELM virtual y aplicarle formato. Después, podrá utilizarlo para la migración de la base de datos y los grupos de almacenamiento. Para obtener más información, consulte Configuración de una unidad local virtual para almacenar datos en la Ayuda online o la guía del producto. Importación de evaluación de vulnerabilidades de Qualys manualmente Si no tiene acceso directo a un origen Qualys QualysGuard, ahora puede colocar el archivo de exportación de evaluación de vulnerabilidades en un recurso compartido de archivos o cargarlo manualmente para su análisis. Véase Administración de orígenes de evaluación de vulnerabilidades en la Ayuda online o la guía del producto. 1 En la consola de ESM, haga clic en el icono de inicio rápido del Administrador de activos en la ficha Evaluación de vulnerabilidades. 2 Haga clic en Agregar y seleccione Qualys QualysGuard en el campo Tipo de origen de evaluación de vulnerabilidades. y, después, 3 En el campo Método, seleccione una de las opciones de recurso compartido de archivos (SCP, FTP, NFS o CIFS), o bien Carga manual. Una carga manual de archivo de registro de Qualys QualysGuard tiene un límite de tamaño de 2 GB. 4 Rellene la información restante y haga clic en Aceptar. 2

3 5 Siga uno de los procedimientos siguientes: Si ha seleccionado una de las opciones de recurso compartido de archivos, haga clic en Recuperar para recopilar los datos. Si ha seleccionado Carga manual, haga clic en Cargar para cargar el archivo. Visualice los datos recuperados en las vistas Activo, Amenaza y Vulnerabilidad. Para acceder a estas vistas, véase Vistas predefinidas en la Ayuda online o la guía del producto. Recopilación de datos de AWS CloudTrail Es posible recopilar datos de Amazon Web Services (AWS) CloudTrail mediante la adición de un origen de datos. 1 En el árbol de navegación del sistema, seleccione un receptor y haga clic en el icono Propiedades. 2 Haga clic en Orígenes de datos y, después, en Agregar. 3 Seleccione Amazon en el campo Proveedor de origen de datos y, después, seleccione CloudTrail en el campo Modelo de origen de datos. 4 Rellene los campos generales del origen de datos (haga clic en el icono Ayuda para obtener detalles) y, después, rellene los campos correspondientes a AWS CloudTrail. Clave de acceso de AWS: el nombre de usuario empleado para la cuenta de AWS. Clave secreta de AWS: contraseña de su cuenta de AWS. URL de SQS: URL proporcionada por AWS que apunta a la cola SQS. Se proporciona en la consola de administración de SQS cuando se inicia sesión en AWS. Tiempo de espera de visibilidad de SQS: tiempo que un mensaje o registro permanece oculto tras su solicitud. Si el recopilador no elimina el mensaje o el registro, se restauran tras el tiempo de espera (el valor predeterminado es 300 segundos). Intervalo de sondeo de SQS: intervalo entre solicitudes de recopilación (el valor predeterminado es 300 segundos). Conectar: permite probar la conexión con AWS. Asegúrese de que la conexión sea correcta antes de continuar. Si no es así, verifique que la clave de acceso, la clave secreta y la URL de AWS sean correctas. Los errores correspondientes al recopilador se encuentran en el archivo /var/log/cloudtrail.log.00. También es posible ejecutar el recopilador manualmente mediante la ejecución de este comando en el receptor: /usr/local/bin/cloudtrailcoll.pl -v <vipsid> Si la configuración del origen de datos es incorrecta, el recopilador de CloudTrail se bloquea. Para obtener información general sobre los orígenes de datos, consulte Orígenes de datos de receptor en la Ayuda online o la guía del producto. Visualización de la hora del evento Ahora es posible ver la hora exacta a la que se insertó un evento en la base de datos del receptor. Para obtener más información, consulte Visualización de la hora del evento en la Ayuda online o la guía del producto. Actualización automática del Árbol de sistemas El Árbol de sistemas de la consola de ESM se actualiza automáticamente cada cinco minutos. Durante la actualización, no es posible seleccionar dispositivos en el árbol. Si existen muchos dispositivos en el árbol, la actualización puede tardar alrededor de cinco minutos o más. Esto puede interferir con el 3

4 acceso a la página Propiedades de los dispositivos incluidos en el árbol. Si esto ocurre, ahora es posible detener la actualización automática. Para obtener más información, consulte Detención de la actualización automática del Árbol de sistemas de ESM en la Ayuda online o la guía del producto. Detalles del trabajo Obtener eventos y flujos Ahora es posible ver más detalles sobre el estado del trabajo Obtener eventos y flujos. Véase Obtención de eventos y flujos en la Ayuda online o la guía del producto para obtener instrucciones sobre la visualización de esta información. Problemas resueltos Estos problemas se resuelven en esta versión del producto. Para obtener una lista de los problemas reparados en versiones anteriores, consulte las notas de versión de esa versión en concreto. El procesamiento de eventos del ESM se bloquea cuando la ocupación del disco supera el 90 % El ESM ahora procesa los eventos aunque la ocupación del disco supere el 90 %. Las reglas de correlación personalizadas aparecen como eventos normales en el ESM principal Los eventos generados por reglas de correlación personalizadas ahora aparecen como eventos correlacionados. No se puede activar el proxy para orígenes de activos Altiris Ahora es posible activar el proxy para los orígenes de activos Altiris. 1 Haga clic en el icono de inicio rápido del Administrador de activos y, después, en la ficha Orígenes de activos. 2 Seleccione un dispositivo y haga clic en Agregar. 3 Seleccione Altiris en el campo Tipo y, después, seleccione Activar proxy. Las variables de fecha del ELM no están definidas de forma precisa Anteriormente, existían imprecisiones en las fechas de los grupos de almacenamiento debido al tipo de datos correspondiente a las variables de fecha. Ahora se ha cambiado el tipo de datos y las constantes para las fechas de grupos de almacenamiento son ligeramente distintas. Las principales diferencias son: Los años se definen ahora según el calendario gregoriano (un año corresponde a 365,2425 días). Las semanas se definen ahora como siete días en lugar de los días del año divididos entre 52. Esto significa que, al configurar un grupo con 52 semanas, ya no corresponde a un año. Se mostrará como 52 semanas. Lo mismo ocurre con los múltiplos de 13 semanas, que ya no coinciden con los múltiplos de un trimestre. 4

5 Si tiene grupos definidos en semanas que son múltiplos de trimestres o años, es posible que deba cambiar el tamaño del grupo para conservar el espacio de tiempo de las semanas. Por ejemplo, si tiene configurado un grupo de 52 semanas, tras la ampliación se establecerá como un año. Puede cambiar el tamaño del grupo de un año manualmente para que coincida con 52 semanas. Cuando efectúe la ampliación, el sistema intentará cambiar automáticamente el tamaño de los grupos para que coincida con el tamaño de las nuevas constantes. El administrador de base de datos se bloquea al actualizar Java El administrador de base de datos funciona ahora correctamente con la nueva versión 1.8 de Java. La copia de seguridad incremental con una tabla de paquetes extensa tarda varios días Se ha aumentado la velocidad de las copias de seguridad de las tablas de paquetes. Por ejemplo, una copia de seguridad que antes tardaba tres horas, ahora tarda entre 15 y 20 minutos. SNMP no se ejecuta en el receptor secundario de un par de disponibilidad alta Ahora es posible editar la configuración de SNMP tanto en el dispositivo principal como en el secundario mediante la selección del botón de opción que se ha agregado a la página Configuración SNMP. Véase Configuración de las opciones de SNMP en la Ayuda online o la guía del producto. No se puede guardar el diseño de un informe personalizado Al hacer clic en Guardar en la página Diseño de informe, ahora el informe se guarda de la forma esperada. El archivado de la base de datos solo muestra las primeras 255 particiones de eventos En la página Particiones inactivas (Propiedades del sistema Base de datos Archivado) ahora aparecen todas las particiones. Problemas conocidos Para obtener información sobre los problemas conocidos de esta versión del producto, consulte el artículo de la base de datos de McAfee KnowledgeBase: KB Instrucciones de ampliación A fin de preparar el sistema para la versión del software, descargue los archivos de ampliación para los dispositivos ESM, Nitro IPS, ACE, ADM, Database Event Monitor (DEM), receptor, ELMERC, ELM y la combinación ESM/receptor. A continuación, amplíelos en el orden indicado. Para obtener información sobre cómo instalar los dispositivos, consulte la Guía de instalación de McAfee Enterprise Security Manager

6 Procedimientos Descarga de los archivos de ampliación en la página 10 Cuando el sistema esté listo para la ampliación, descargue los archivos de ampliación al sistema local. Ampliación del sistema en la página 11 Debe ampliar el ESM y sus dispositivos, siguiendo un orden concreto, en función de su modo. Tras la ampliación, vuelva a establecer la configuración de los dispositivos y despliegue la directiva correspondiente. Ampliación de ESM, ESMREC o ENMELM en la página 13 Una vez que el sistema esté listo, puede ampliar su ESM, ESMREC o ENMELM a la versión Ampliación de dispositivos en la página 14 Si no está usando el modo FIPS, amplíe los dispositivos IPS, Event Receiver, ELM, ELM/ Event Receiver, ACE, ADM y DEM después de ampliar el ESM. Si utiliza el modo FIPS, amplíe los dispositivos antes de ampliar el ESM. Preparativos para la ampliación Hay varias cosas que se deben hacer antes de proceder a una ampliación. Repase la lista de comprobación de ESM para asegurarse de que el ESM y los dispositivos se encuentren en buen estado antes de iniciar la ampliación. Asegúrese de que la reconstrucción de la base de datos de ESM a partir de una compilación anterior (9.3.2 o posterior) haya finalizado y de que sea posible planificar el periodo de interrupción adecuado para esta ampliación. Cree una copia de seguridad de la base de datos de ESM antes de iniciar la ampliación. Asegúrese de que el subsistema de RAID por software se esté ejecutando con dos unidades activas. Si está utilizando ESM 4245R, 5205R, 5510R o 5750R, ESMREC 4245R, 5205R o 5510R, o bien ESMLM 4245R, 5205R o 5510R, emita el comando cat/proc/mdstat de una de estas formas: En la consola de ESM, haga clic en Propiedades del sistema Administración de ESM Terminal, haga clic en Escribir y escriba el comando. Acceda mediante SSH al ESM. Conecte un monitor y un teclado al dispositivo. Si la salida tiene un aspecto como el del siguiente ejemplo, el RAID funciona correctamente y puede seguir con la ampliación: Personalities : [raid1] md_d127 : active raid1 sda[0](w) sdb[1](w) blocks [2/2][UU] Unused devices: <none> El código [UU] identifica las unidades activas. En caso de aparecer [_U] o [U_], una unidad no forma parte del RAID. Póngase en contacto con el Soporte de McAfee antes de la ampliación. 6

7 Tipo de información Tipos de dispositivos admitidos Eliminación de dispositivos Detalles Los dispositivos ESM, ESM/Event Receiver (ESMREC) o ESM/Log Manager (ENMELM) solo se comunican con los modelos de dispositivos de la versión A fin de comprobar el modelo de su dispositivo, emita el comando cat/proc/ cpuinfo. La salida incluye el número de CPU en la línea model name. La CPU debe ser una de las siguientes: Antes de ampliar el ESM, ESMREC o ENMELM, es necesario eliminar todos los modelos de dispositivos especificados y las direcciones IP virtuales correspondientes a los modelos de Nitro IPS especificados. De no hacerlo, aparecerá un mensaje en la página Inicio de sesión y en el registro de mensajes que indica que se ha producido este problema y que no se podrá llevar a cabo la ampliación. El ESM tampoco se ampliará, y se incluirán las entradas correspondientes en el registro de mensajes del dispositivo. Para eliminar un IPS virtual, seleccione el dispositivo en el árbol de navegación del sistema y haga clic en el icono Propiedades. Seleccione Configuración del dispositivo Dispositivos virtuales, seleccione los dispositivos virtuales existentes y haga clic en Quitar. Haga clic en Escribir para indicar la configuración al IPS. Es necesario desplegar la directiva del dispositivo ESM, ESMREC o ENMELM de la versión en el dispositivo IPS o, de lo contrario, el IPS permanecerá en modo de omisión y no se inspeccionará el tráfico. Tiempo de reconstrucción El tiempo de reconstrucción de la tabla varía para el ESM, el ESMREC y el ENMELM. Para acelerar la ampliación de la base de datos del ESM: Establezca una duración de extracción mayor para la recopilación de eventos, flujos y registros, lo cual aumenta el tiempo para la reconstrucción. En la consola de ESM, haga clic enpropiedades del sistema Eventos, flujos y registros y establezca el Intervalo de comprobación automática. Desactive la recopilación de eventos, flujos y registros hasta que finalice la reconstrucción. Este paso solo se debe realizar si el número de eventos y flujos enviados al ESM es reducido. En la consola de ESM, haga clic en Propiedades del sistema Eventos, flujos y registros y anule la selección del Intervalo de comprobación automática. El tiempo de reconstrucción de los dispositivos es de aproximadamente 45 minutos. 7

8 Tipo de información Rutas de ampliación Ampliación de dispositivos receptores de disponibilidad alta Detalles Es posible ampliar a la versión directamente desde la versión o posterior. Las versiones anteriores a la se deben ampliar mediante la ruta siguiente: 7.x.x > 8.2.x > 8.3.x > > > > > o posterior > A fin de ampliar los dispositivos receptores de disponibilidad alta, es necesario comprobar antes el estado de disponibilidad alta del receptor. Véase Comprobación del estado de receptores de disponibilidad alta en la Ayuda online de ESM. Situaciones de ampliación especiales En situaciones especiales, es necesario llevar a cabo pasos adicionales antes o después de la ampliación. Situación Instalación de un nuevo modelo de McAfee ESM Obtención de actualizaciones de reglas sin conexión Acción Si va a instalar un modelo nuevo de McAfee ESM, tiene treinta días para registrar el hardware a fin de poder recibir actualizaciones de directivas, analizadores y reglas como parte del contrato de mantenimiento. Si no se registra, no podrá recibir ampliaciones. Para obtener su nombre de usuario y contraseña permanentes, envíe un mensaje de correo electrónico a Licensing@McAfee.com con la información siguiente: número de concesión de McAfee, nombre de cuenta, dirección, nombre de contacto y dirección de correo electrónico de contacto. 1 Diríjase a 2 En la esquina superior derecha, haga clic en Descargar mis productos y, después, en Ir. 3 Introduzca su número de concesión, escriba las letras que se muestran y, a continuación, haga clic en Enviar. 4 Haga clic en MFE Enterprise Security Manager y, después, en MFE Nitro Rules Downloads. 5 Lea el acuerdo de licencia y haga clic en Acepto. Se mostrarán los archivos de actualización disponibles según la versión del ESM. 6 Descargue las reglas correspondientes a su versión de ESM. Resolución de problemas de comunicación de los dispositivos Si ha ampliado un dispositivo de McAfee (distinto del ESM), podría aparecer el mensaje Es necesario ampliar el dispositivo a la versión para realizar esta operación. Verifique que el ESM sea de la versión correcta. 1 En la consola de ESM, seleccione el dispositivo en el árbol de navegación del sistema y, después, seleccione el icono Propiedades. 2 Haga clic en Conexión y, después, en Estado. La versión se actualizará. 3 Vuelva a intentar la operación que provocó el mensaje. 8

9 Situación Ampliación de un ESM redundante Acción En primer lugar se debe ampliar el ESM principal y, después, se amplía el ESM redundante de acuerdo con las instrucciones proporcionadas. 1 En el ESM principal, seleccione el ESM en el árbol de navegación del sistema y haga clic en el icono Propiedades. 2 Haga clic en Eventos, flujos y registros y anule la selección de la opción Intervalo de comprobación automática. 3 Tras ampliar el ESM redundante, vuelva a activar la recopilación de eventos, flujos y registros en el ESM principal. McAfee epo con Policy Auditor Si el dispositivo de McAfee epo ya está en el ESM, deberá actualizarlo. 1 Si no tiene un dispositivo de tipo todo en uno, amplíe el receptor al que esté conectado el dispositivo de McAfee epo. 2 En la consola de ESM, haga clic en Propiedades de epo Administración de dispositivo y, después, haga clic en Actualizar. Puede configurar la recuperación automática en la ficha Administración de dispositivo. 3 Haga clic en Propiedades de receptor y, después, haga clic en la ficha Evaluación de vulnerabilidades. 4 Haga clic en Escribir. 5 Repita el paso 2 para obtener datos de evaluación de vulnerabilidades en el ESM. Al efectuar la actualización, se registra Policy Auditor como origen de evaluación de vulnerabilidades, lo cual a su vez permite que se escriba Policy Auditor en vathirdparty.conf. 6 Cierre la sesión en la consola de ESM y vuelva a iniciarla. Ampliación de los receptores de disponibilidad alta Antes de llevar a cabo la ampliación, establezca el receptor principal preferido con el valor Sin preferencia, lo cual permite utilizar la opción de Conmutación en caso de error. El proceso de ampliación amplía ambos receptores secuencialmente, empezando por el secundario. Una vez ampliados ambos receptores, se puede volver a aplicar el receptor principal preferido. 9

10 Situación Reconstrucción de la base de datos de administración de ELM Ampliación de un ELM redundante Acción La indización de la base de datos de administración de ELM podría requerir más tiempo, en función del modelo de ELM. Por ejemplo, el número de grupos existentes, la cantidad de datos enviados desde los dispositivos de registro y el ancho de banda de la red si se emplea el almacenamiento remoto pueden aumentar el tiempo que se tarda en completar la indización. No obstante, esta tarea en segundo plano tiene un impacto mínimo en el rendimiento y, cuando finaliza, mejora las consultas sobre datos históricos. Para comprobar el estado de la reconstrucción, acceda a Propiedades de ELM Información de ELM. Si aparece el mensaje La base de datos se está reconstruyendo en el campo Estado Activo, NO detenga ni inicie la base de datos de ELM. El sistema indiza todos los datos nuevos del ELM en el dispositivo origen del envío antes de enviar dichos datos al ELM. Si tiene receptores que realizan el registro en el ELM y se encuentran cerca de su capacidad máxima, póngase en contacto con el servicio de Soporte. Se debe ampliar el ELM en espera antes de hacer lo propio con el ELM activo. El proceso de ampliación suspende la redundancia de ELM. Tras ampliar ambos ELM, deberá reiniciar la redundancia de ELM. 1 Amplíe el ELM en espera. 2 A continuación, amplíe el ELM activo. 3 En el árbol de navegación del sistema, seleccione el ELM en espera y acceda a Propiedades de ELM Redundancia de ELM. Haga clic en Volver a poner en servicio. 4 Diríjase a Propiedades de ELM Información de ELM y haga clic en Actualizar. Tanto el ELM activo como el ELM en espera deberían tener el estado Correcto. Si el ELM en espera tiene el estado Incorrecto, haga clic en Actualizar de nuevo. Tras unos minutos, el estado del ELM en espera debería cambiar a Correcto, rsync de ELM redundante 100% finalizado. Existe la posibilidad de que tenga que hacer clic en Actualizar varias veces. Descarga de los archivos de ampliación Cuando el sistema esté listo para la ampliación, descargue los archivos de ampliación al sistema local. Procedimiento 1 En el sitio web de McAfee de Descarga de productos, en la dirección downloads/downloads.aspx, escriba su número de concesión de cliente en el campo Descargar mis productos y haga clic en Ir. 2 Seleccione el dispositivo que desee ampliar. 10

11 3 Seleccione el vínculo correcto (MFE <nombre dispositivo> v9.5.1), lea el acuerdo de licencia de usuario final (EULA) de McAfee y haga clic en Acepto. 4 Descargue estos archivos en su sistema local: Tipo de dispositivo McAfee Enterprise Security Manager (ESM o ETM) McAfee Enterprise Security Manager y Log Manager (ENMELM o ESMREC) McAfee Nitro Intrusion Prevention System (Nitro IPS o NTP) McAfee Event Receiver (ERC o ELMERC) McAfee Database Event Monitor (DEM) McAfee Advanced Correlation Engine (ACE) McAfee Enterprise Log Manager (ELM) McAfee Application Data Monitor (ADM) Nombre del archivo ESSREC_Update_9.5.1.tgz ESS_Update_9.5.1.tgz IPS_Update_9.5.1.tgz RECEIVER_Update_9.5.1.tgz DBM_Update_9.5.1.tgz RECEIVER_Update_9.5.1.tgz RECEIVER_Update_9.5.1.tgz APM_Update_9.5.1.tgz Estos archivos están listos para ampliar el ESM y los dispositivos correspondientes. Ampliación del sistema Debe ampliar el ESM y sus dispositivos, siguiendo un orden concreto, en función de su modo. Tras la ampliación, vuelva a establecer la configuración de los dispositivos y despliegue la directiva correspondiente. Antes de empezar Consulte Preparativos para la ampliación y Situaciones de ampliación especiales. Asegúrese de que en el sistema se esté ejecutando la versión o posterior. Si ha ampliado recientemente a la versión 9.3.2, verifique que la reconstrucción de la base de datos haya finalizado. Procedimiento 1 Amplíe los dispositivos en este orden. Para obtener detalles sobre la ampliación del ESM y los dispositivos, consulte Ampliación de ESM, ESMREC o ENMELM y Ampliación de dispositivos. 11

12 Modo Orden No FIPS 1 Amplíe el ESM, ESMREC o ENMELM. 2 Espere a que se compile la base de datos. 3 Amplíe el ELM o ELMERC. 4 Amplíe Nitro IPS, Event Receiver, ACE, DEM y ADM. Si va a ampliar un ESM redundante, véase Ampliación de un ESM redundante en Situaciones de ampliación especiales. FIPS 1 Amplíe el ELM o ELMERC. 2 Amplíe los dispositivos Nitro IPS, Event Receiver, ACE, DEM y ADM. 3 Amplíe el ESM, ESMREC o ENMELM. Puede empezar cuando se inicien todas las ampliaciones de dispositivos. Si no se amplían los dispositivos antes de ampliar el ESM en el modo FIPS, esto puede afectar a la recopilación de registros de ELM. 2 Verifique que existe comunicación con los dispositivos. 3 Descargue la actualización de reglas manual al ESM (véase Obtención de actualizaciones de reglas sin conexión en la sección Situaciones de ampliación especiales de este documento). 4 Aplique las reglas actualizadas. a En el árbol de navegación del sistema, seleccione el sistema y haga clic en el icono Propiedades. b c En la página Información del sistema, haga clic en Actualización de reglas y, después, en Actualización manual. Navegue hasta el archivo de actualización, haga clic en Cargar y, después, en Aceptar. 5 Lleve a cabo este proceso para volver a establecer la configuración de los dispositivos a fin de asegurarse de que se aplique toda la configuración de la versión a En la consola de ESM, seleccione el dispositivo en el árbol de navegación del sistema y, después, haga clic en el icono Propiedades. b Siga estos pasos en cada dispositivo. 12

13 Tipo de dispositivo Event Receiver o combinación ESM/ Event Receiver Procedimiento Orígenes de datos: haga clic en Orígenes de datos Escribir. Orígenes de evaluación de vulnerabilidades: haga clic en Evaluación de vulnerabilidades Escribir. ACE Correlación de riesgos: haga clic en Administración de correlación de riesgos Escribir. Correlación histórica: haga clic en Histórica Activar correlación histórica Aplicar. Si esta opción ya estaba seleccionada, anule su selección, selecciónela de nuevo y haga clic en Aplicar. Correlación de reglas: haga clic en Correlación de reglas, seleccione Activar correlación de reglas y haga clic en Aplicar. Si esta opción ya estaba seleccionada, anule su selección, selecciónela de nuevo y haga clic en Aplicar. Nitro IPS, DEM o ADM Dispositivos virtuales (IPS y ADM): Haga clic en Dispositivos virtuales Escribir. Servidores de base de datos: haga clic en Servidores de base de datos Escribir. 6 Despliegue la directiva en todos los dispositivos ampliados. Tras el despliegue de la directiva en un dispositivo Nitro IPS, asegúrese de desactivar en el dispositivo el modo de omisión mediante Configuración del dispositivo Interfaces. 7 Si dispone de un ELM o ELMERC que recopilan registros de un dispositivo, sincronice el ELM (Propiedades del dispositivo Configuración del dispositivo Sincronizar ELM). Ampliación de ESM, ESMREC o ENMELM Una vez que el sistema esté listo, puede ampliar su ESM, ESMREC o ENMELM a la versión Antes de empezar Lea este documento en su totalidad. Verifique que todos los dispositivos conectados al ESM sean compatibles con la versión (véase Tipos de dispositivos admitidos en Preparativos para la ampliación). Procedimiento Para ver las definiciones de las opciones, haga clic en? en la interfaz. 1 En la consola de ESM, seleccione el dispositivo ESM y haga clic en el icono Propiedades. 2 Seleccione Administración de ESM y haga clic en Actualizar ESM. 3 En la página Seleccionar archivo de actualización de software, desplácese hasta uno de los archivos siguientes. Tipo de dispositivo Enterprise Security Manager (ESM) autónomo Enterprise Security Manager con un receptor integrado (ESMREC) Enterprise Security Manager con un receptor y un Enterprise Log Manager (ENMELM) integrados, también conocido como combinación ENMELM Archivo ESS_Update_9.5.1.tgz ESSREC_Update_9.5.1.tgz ESSREC_Update_9.5.1.tgz 13

14 4 Seleccione el archivo y haga clic en Cargar. Se le informará de que el ESM se reiniciará y todos los usuarios perderán la conexión. 5 Haga clic en Sí para continuar y, cuando se le pida que cierre el navegador, haga clic en Aceptar. Se producirá la ampliación, la cual puede tardar varias horas. 6 Cuando termine la ampliación, vuelva a iniciar sesión en la consola mediante una sesión nueva del navegador. Ampliación de dispositivos Si no está usando el modo FIPS, amplíe los dispositivos IPS, Event Receiver, ELM, ELM/Event Receiver, ACE, ADM y DEM después de ampliar el ESM. Si utiliza el modo FIPS, amplíe los dispositivos antes de ampliar el ESM. Antes de empezar Lea este documento en su totalidad. Verifique que todos los dispositivos conectados al ESM sean compatibles con la versión (véase Tipos de dispositivos admitidos en Preparativos para la ampliación). Procedimiento Para ver las definiciones de las opciones, haga clic en? en la interfaz. 1 En la consola de ESM, seleccione el dispositivo que desee ampliar y, después, haga clic en el icono Propiedades. 2 Haga clic en la opción Administración del dispositivo y, después, en Actualizar dispositivo. 3 En la página Seleccionar archivo de actualización de software, desplácese hasta uno de estos archivos: Tipo de dispositivo IPS Event Receiver ELM Combinación ELM/Event Receiver ACE DEM ADM Máquina virtual ESS Archivo IPS_Update_9.5.1.tgz Receiver_Update_9.5.1.tgz DBM_Update_9.5.1.tgz APM_Update_9.5.1.tgz Ya no hay ampliaciones disponibles para este dispositivo. Póngase en contacto con el equipo de ventas de McAfee para adquirir un nuevo modelo de máquina virtual de ESM. 4 Seleccione el archivo y haga clic en Cargar. 5 En la página Actualizar software del dispositivo, haga clic en Sí para continuar. El archivo se cargará y el dispositivo se reiniciará. 6 Cuando se restablezca la comunicación, compruebe la versión del dispositivo. 14

15 Búsqueda de documentación de productos Una vez que se lanza un producto, la información del producto se introduce en el Centro de conocimiento online de McAfee. Procedimiento 1 Vaya a la ficha Centro de conocimiento del portal McAfee ServicePortal en 2 En el panel KnowledgeBase, haga clic en un origen de contenido: Documentación del producto para encontrar documentación del producto Artículos técnicos para encontrar artículos de la base de datos KnowledgeBase 3 Seleccione No borrar mis filtros. 4 Introduzca un producto, seleccione una versión y haga clic en Buscar para que aparezca una lista con documentos. Procedimientos Uso de la Ayuda de ESM en la página 16 Tiene dudas sobre el uso de ESM? Utilice la Ayuda online como fuente de información contextual, donde podrá encontrar información conceptual, materiales de referencia e instrucciones paso a paso sobre el uso de ESM. Preguntas más frecuentes en la página 16 A continuación se incluyen las respuestas a las preguntas más frecuentes. Búsqueda de información localizada Se proporcionan notas de la versión, Ayuda online, guía del producto y guía de instalación de McAfee ESM localizadas (traducidas) en los idiomas siguientes: Chino simplificado Japonés Chino tradicional Coreano Inglés Portugués brasileño Francés Español Alemán Acceso a la Ayuda online localizada Al cambiar la configuración de idioma en ESM, cambia automáticamente el idioma empleado en la Ayuda online. 1 Inicie sesión en ESM. 2 En el panel de navegación del sistema de la consola de ESM, seleccione Opciones. 3 Seleccione un idioma y haga clic en Aceptar. 4 Haga clic en el icono de Ayuda, situado en la esquina superior derecha de las ventanas del ESM, o bien seleccione el menú Ayuda. La Ayuda aparecerá en el idioma seleccionado. Si la Ayuda aparece solo en inglés, significa que la versión localizada no está disponible aún. La Ayuda localizada se instalará mediante una actualización futura. 15

16 Búsqueda de documentación del producto localizada en el Centro de conocimiento 1 Visite el Centro de conocimiento. 2 Busque la documentación del producto localizada mediante los parámetros siguientes. Término de búsqueda: guía del producto, guía de instalación o notas de la versión Producto: SIEM Enterprise Security Manager Versión: o posterior 3 En los resultados de la búsqueda, haga clic en el título del documento relevante. 4 En la página con el icono de PDF, desplácese hacia abajo hasta que vea los vínculos de idioma en la parte derecha. Haga clic en el idioma relevante. 5 Haga clic en el vínculo de PDF para abrir la versión localizada del documento del producto. Uso de la Ayuda de ESM Tiene dudas sobre el uso de ESM? Utilice la Ayuda online como fuente de información contextual, donde podrá encontrar información conceptual, materiales de referencia e instrucciones paso a paso sobre el uso de ESM. Antes de empezar Opcional: Búsqueda de información localizada en la página 15. Procedimiento 1 Para abrir la Ayuda de ESM, realice una de estas acciones: Seleccione la opción de menú Ayuda Contenido de la Ayuda. Haga clic en el signo de interrogación situado en la parte superior derecha de las pantallas de ESM para buscar ayuda contextual específica de cada pantalla. 2 En la ventana de la Ayuda: Utilice el campo Buscar para localizar cualquier palabra en la Ayuda. Los resultados aparecerán debajo del campo Buscar. Haga clic en el vínculo relevante para ver el tema de la Ayuda en el panel de la derecha. Use la ficha Contenido (tabla de contenido) para ver una lista secuencial de los temas de la Ayuda. Use el Índice para localizar un término concreto en la Ayuda. Las palabras clave están organizadas alfabéticamente para poder desplazarse por la lista hasta llegar a la palabra clave deseada. Haga clic en la palabra clave para mostrar el tema de la Ayuda correspondiente. Para imprimir el tema actual de la Ayuda (sin barras de desplazamiento), haga clic en el icono de la impresora, situado en la parte superior derecha del tema de la Ayuda. Para localizar los vínculos a los temas relacionados de la Ayuda, desplácese hasta la parte inferior del tema de la Ayuda. Preguntas más frecuentes A continuación se incluyen las respuestas a las preguntas más frecuentes. Dónde puedo encontrar información sobre ESM en otros idiomas? Se localizan las notas de la versión, la Ayuda online, la guía del producto y la guía de instalación de ESM en los idiomas siguientes: 16

17 Chino simplificado y tradicional Japonés Inglés Coreano Francés Portugués brasileño Alemán Español Búsqueda de información localizada en la página 15 Dónde puedo obtener información sobre McAfee ESM? Uso de la Ayuda de ESM en la página 16 Visite el Centro de conocimiento Visite el Centro de expertos Vea los vídeos de McAfee ESM Qué dispositivos de la solución SIEM se admiten? Visite el sitio web de McAfee ESM Cómo se configuran los orígenes de datos concretos? Busque las guías de configuración de los orígenes de datos actuales en el Centro de conocimiento Qué paquetes de contenido hay disponibles? Lea este artículo de la base de conocimiento en el Centro de conocimiento Copyright 2015 McAfee, Inc. Intel y el logotipo de Intel son marcas comerciales o marcas comerciales registradas de Intel Corporation. McAfee y el logotipo de McAfee son marcas comerciales o marcas comerciales registradas de McAfee, Inc. Los demás nombres y marcas pueden ser reclamados como propiedad de otros.