Intrusion Defense Firewall 1.1 for OfficeScan Client/Server Edition Manual del administrador

Transcripción

1 Intrusion Defense Firewall 1.1 for OfficeScan Client/Server Edition Manual del administrador

2 Trend Micro Incorporated se reserva el derecho a realizar cualquier cambio en este documento y en los productos descritos en el presente sin previo aviso. Antes de instalar y empezar a utilizar el software, consulte los archivos Léame, las notas de la versión y la última versión de la documentación aplicable para el usuario que encontrará en el sitio Web de Trend Micro en: Trend Micro, el logotipo en forma de pelota de Trend Micro, OfficeScan, Intrusion Defense Firewall, Control Server Plug-in, Damage Cleanup Services, eserver Plug-in, InterScan, Network VirusWall, ScanMail, ServerProtect y TrendLabs son marcas comerciales o marcas comerciales registradas de Trend Micro, Incorporated. El resto de nombres de productos o empresas pueden ser marcas comerciales o marcas comerciales registradas de sus respectivos propietarios. Copyright 2008 Trend Micro Incorporated. Reservados todos los derechos. Nº de referencia del documento: OSEM83465/71122 Fecha de publicación: abril de 2008

3 Índice Información general sobre la interfaz del complemento de servidor...1 Manual pantalla a pantalla de la interfaz del complemento de servidor de Intrusion Defense Firewall...3 Dashboard...4 Alertas...6 Sucesos de cortafuegos...7 Sucesos de IPS...9 Sucesos del sistema Informes Equipos Perfiles de seguridad Reglas de cortafuegos Configuraciones de estado Filtros IPS...40 Tipos de aplicación Listas de IP Listas de MAC Listas de puertos Programas Configuración de alertas Tareas programadas Configuración Actualizaciones Licencia de producto Cómo...67 Personalizar la Consola Aplicar actualizaciones de seguridad Configurar alertas Configurar alertas de correo electrónico Realizar una copia de seguridad y una restauración de Intrusion Defense Firewall Filtrar secuencias de datos SSL Maximizar la eficiencia del registro Configurar comunicaciones entre el complemento de servidor y el complemento de cliente Configurar notificaciones Establecer la configuración de exploración de puertos Proteger máquinas virtuales Configurar la integración con Syslog Desinstalar el complemento de servidor de Intrusion Defense Firewall Desactivar manualmente un complemento de cliente en un equipo Desinstalar manualmente un complemento de cliente desde un equipo Migrar equipos gestionados a un nuevo servidor de Intrusion Defense Firewall Migrar un solo equipo gestionado a un nuevo servidor de Intrusion Defense Firewall Referencia...94 Acerca de las reglas de cortafuegos Herencia y omisiones La regla de omisión Crear y aplicar nuevas reglas de cortafuegos Secuencia de la regla del cortafuegos Secuencia de procesamiento de paquetes Puertos necesarios Sucesos de cortafuegos Sucesos de IPS Sucesos del complemento de cliente Sucesos del sistema Solución de problemas Solución de problemas generales Solución de problemas de instalación del complemento de cliente Solución de problemas de eliminación del complemento de cliente Solución de problemas de comunicación del complemento de cliente Solución de problemas de Trend Micro Control Manager Solución de problemas en la instalación del complemento de servidor

4 Información general sobre la interfaz del complemento de servidor Panel de navegación El panel de navegación contiene sistemas de navegación basados en árboles. Los elementos de Intrusion Defense Firewall se organizan de la siguiente manera: Consola: ofrece una visión general del estado del complemento de servidor. Supervisión: o Alertas: un resumen de las alertas críticas y de advertencia actuales sobre sucesos de seguridad o del sistema. o Sucesos del cortafuegos: registros de seguridad relacionados con la actividad del cortafuegos. o Sucesos de IPS registros de seguridad relacionados con la actividad de IPS. o Informes: un generador de informes para crear resúmenes de estado del sistema y resúmenes de actividades. Sucesos del sistema: un resumen de sucesos relacionados con el sistema. o Equipos: una lista de equipos sincronizados desde OfficeScan con información de estado para cada uno. Perfiles de seguridad: una lista de los perfiles de seguridad definidos. Reglas de cortafuegos: este elemento permite definir y gestionar las reglas de cortafuegos. Configuraciones de estado: este elemento permite definir y gestionar las configuraciones de estado. Filtros IPS: este elemento permite definir y gestionar los filtros IPS. Componentes: una lista de componentes comunes utilizados por varios elementos de Intrusion Defense Firewall. Sistema: este elemento permite buscar herramientas administrativas para gestionar el funcionamiento del complemento de servidor. Reservados todos los derechos

5 Panel de tareas Al hacer clic en un elemento del panel de navegación se mostrará la pantalla de dicho elemento en el panel de tareas. Casi todo el trabajo se realizará en una pantalla del panel de tareas. Cuando el panel de tareas muestre listas de elementos se podrán agregar o quitar columnas haciendo clic en el botón "Columna" de la barra de herramientas ( ). Se puede controlar el orden en el que se muestran las columnas arrastrándolas a una nueva posición. Los elementos que se muestran se pueden ordenar y buscar por el contenido de cualquier columna. Controles de paginación Algunas listas mostradas en el panel de tareas contendrán más elementos de los que se pueden mostrar en una sola pantalla. En ese caso, la información de paginación muestra el subconjunto de elementos que se está visualizando. Utilice la herramienta de paginación para desplazarse página a página por la lista. Control de visualización Cuando sea conveniente, el control de visualización la dará opciones para mostrar los elementos de la lista. Barra de herramientas La barra de herramientas contiene botones para llevar a cabo acciones específicas en la pantalla en la que se está trabajando. Los botones más comunes son para la eliminación, la modificación y la creación de elementos de lista. Cada barra de herramientas tiene un botón de ayuda y un botón para cerrar sesión. Muchas de las opciones de la barra de herramientas también están disponibles en el menú contextual. Barra de estado La barra de estado muestra información relacionada con el estado actual del complemento de servidor. El número de alertas activas (si las hubiera) se muestra en el extremo derecho de la barra de estado. El lado izquierdo de la barra de estado muestra dinámicamente las acciones en curso, como las operaciones de exploración de puertos, activaciones o actualizaciones del complemento de cliente. Menús contextuales Muchas de las pantallas del complemento de servidor contienen menús contextuales. Por ejemplo, si hace clic con el botón derecho en un perfil de seguridad, se abre un menú contextual con acceso a la mayoría de las opciones de la barra de herramientas para esa pantalla. Si hace clic con el botón derecho en un grupo de equipos, se abrirá un menú contextual con opciones para gestionar el dominio actual o crear uno nuevo. Reservados todos los derechos

6 Manual pantalla a pantalla de la interfaz del complemento de servidor de Intrusion Defense Firewall Reservados todos los derechos

7 Dashboard La consola ofrece una visión general rápida del estado de Intrusion Defense Firewall. Al iniciar el complemento de servidor, este conserva el diseño de la consola de la última sesión. Intervalo de fechas/horas La consola muestra los datos correspondientes a las últimas 24 horas o a los últimos siete días. Para cambiar entre estas dos vistas, utilice el menú desplegable de la parte superior de la pantalla. Filtro de equipo Puede filtrar los datos visualizados en la consola seleccionando los datos que deben mostrarse. Seleccione un solo equipo de entre los que pertenecen a dominios específicos o los que utilizan un perfil de seguridad determinado. Reservados todos los derechos

8 "Widgets" Es posible cambiar la disposición de los paneles informativos (miniaplicaciones o "widgets") en la pantalla utilizando el procedimiento de arrastrar y soltar hasta sus nuevas ubicaciones. También se pueden agregar o eliminar widgets desde la pantalla de la consola. Haga clic en Agregar a Consola... en la barra de herramientas para ver la lista de widgets disponibles. Muchos widgets contienen enlaces que permiten acceder a los datos mediante una especie de "desglose". Por ejemplo, al hacer clic en una columna del gráfico Sucesos, aparece una pantalla con una lista de todos los sucesos de sistema aparecidos durante el día. Para eliminar un widget de la consola, haga clic en la "X" que aparece en la esquina superior derecha. Tenga en cuenta los indicadores de tendencias que aparecen junto a los valores numéricos de los widgets 1x1. Un triángulo con la punta hacia arriba o hacia abajo indica un aumento o un descenso en comparación con el periodo anterior, y una línea plana indica que no se ha producido ningún cambio significativo. Guardar diseños de la consola El menú desplegable Consola de la barra de herramientas permite guardar, cargar y eliminar diseños de la consola. Reservados todos los derechos

9 Alertas La pantalla Alertas muestra todas las alertas activas. Las alertas pueden visualizarse en una vista de resumen, en la que se agrupan las alertas similares, o en una vista de lista, que muestra una lista de todas y cada una de las alertas. Para cambiar entre estas dos vistas, utilice el menú desplegable que aparece junto a "Alertas" en el título de la pantalla. En Vista de resumen, si amplia un panel de alerta (haciendo clic en "Mostrar detalles"), se visualizarán todos los objetos (equipos, filtros, etc.) a los que hace referencia la alerta. (Si hace clic en el objeto, aparecerá la pantalla Propiedades del mismo.) Si en la lista Vista de resumen aparecen más de cinco objetos, se mostrarán unos puntos suspensivos ("...") después del quinto objeto. Si hace clic en los puntos suspensivos, se mostrará la lista al completo. Una vez que haya llevado a cabo la acción adecuada para gestionar la alerta, podrá descartar la alerta seleccionando la casilla de verificación que aparece junto al destino de la alerta. A continuación, haga clic en el enlace "Omitir". (En Vista de lista, haga clic con el botón derecho del ratón en la alerta para ver la lista de opciones del menú contextual). Existen dos tipos de alertas: alertas de sistema y de seguridad. Las alertas de sistema (Equipo fuera de línea, Cambio de reloj del equipo, etc.) se configuran en la pantalla Sistema > Configuración de alertas. Las alertas de seguridad se activan mediante las reglas de cortafuegos y los filtros IPS. Todas las alertas se clasifican según su gravedad (crítica o aviso). Esta clasificación puede modificarse desde la pantalla Sistema > Configuración de alertas. Utilice la barra de filtrado "Equipo" para ver solo las alertas de los equipos de un dominio determinado, con un perfil de seguridad determinado, etc. Reservados todos los derechos

10 Sucesos de cortafuegos De forma predeterminada, el complemento de servidor recopila los registros de sucesos del cortafuegos y de IPS desde los complementos de cliente en cada latido. (Esta opción se puede desactivar desde la pestaña Cortafuegos de la pantalla Sistema > Configuración.) Los datos de los registros se utilizan para rellenar los diferentes informes y gráficos del complemento de servidor. Una vez que el complemento de servidor ha recopilado los registros de sucesos, estos se conservan durante un periodo de tiempo específico que puede establecerse desde la pestaña Sistema de la pantalla Sistema > Configuración. El valor predeterminado es una semana. Desde la pantalla principal, puede realizar lo siguiente: 1. Ver ( ) las propiedades de un suceso determinado. 2. Buscar ( ) un suceso determinado o 3. Filtrar la lista: utilice las barras de herramientas Periodo y Equipo para filtrar la lista de sucesos. 4. Exportar ( ) los datos de la lista de sucesos a un archivo CSV. Además, al hacer clic con el botón derecho del ratón en una entrada de registro, podrá utilizar las opciones siguientes: Propiedades de equipo: permite ver las propiedades del equipo que ha generado la entrada de registro. Propiedades de reglas de cortafuegos: permite ver todas las propiedades de una entrada de registro determinada en la pantalla Propiedades correspondiente. IP de origen Whois: realiza una consulta whois en la IP de origen. "WHOIS" es un protocolo basado en TCP utilizado para determinar el propietario de un nombre de dominio o una dirección IP en Internet. IP de destino Whois: realiza una consulta whois en la IP de destino. Columnas de la pantalla de registros de sucesos del cortafuegos: Hora: hora en la que ha tenido lugar el suceso en el equipo. Equipo: equipo en el que se ha registrado el suceso. (Si el equipo se ha eliminado, esta entrada será "Equipo desconocido"). Motivo: las entradas de registro de esta pantalla se generan mediante las reglas del cortafuegos o las propiedades de la configuración de estado. Si una entrada se genera mediante una regla de cortafuegos, la entrada de la columna irá precedida por "Regla de cortafuegos:" seguida por el nombre de la regla de cortafuegos. De lo contrario, la entrada de la columna mostrará el parámetro Configuración de estado que generó la entrada de registro. Acción: acción llevada a cabo por la regla de cortafuegos o la configuración de estado. Las acciones posibles son: Denegar y Solo registrar. Rango: el sistema de clasificación permite cuantificar la importancia de los sucesos de IPS y del cortafuegos. Al asignar "valores de activo" a los equipos y "valores de gravedad" a los filtros IPS y las reglas del cortafuegos, la importancia ("clasificación") de un suceso se calculará multiplicando los dos valores. De este modo, podrá ordenar los sucesos según su clasificación al visualizar sucesos de IPS o del cortafuegos. Dirección: dirección del paquete afectado (entrante o saliente). Interfaz: dirección MAC de la interfaz por la que circula el paquete. Tipo de marco: tipo de marco del paquete en cuestión. Los valores posibles son "IP", "ARP", "REVARP" y "Otros: XXXX" donde XXXX representa el código hexadecimal de cuatro dígitos del tipo de marco. Protocolo: Los valores posibles son "ICMP", "IGMP", "GGP", "TCP", "PUP", "UDP", "IDP", "ND", "RAW", "TCP+UDP" y "Otros: nnn" donde nnn representa un valor decimal de tres dígitos. Reservados todos los derechos

11 Indicadores: indicadores establecidos en el paquete. IP de origen: IP de origen del paquete. MAC de origen: dirección MAC de origen del paquete. Puerto de origen: puerto de origen del paquete. IP de destino: IP de destino del paquete. MAC de destino: dirección MAC de destino del paquete. Puerto de destino: puerto de destino del paquete. Tamaño de paquete: tamaño del paquete en bytes. Las reglas Solo registrar solo generan una entrada de registro si el paquete en cuestión no se detiene posteriormente mediante una regla Denegar o una regla Permitir que lo excluya. Si el paquete se detiene por una de esas dos reglas, esas reglas generarán la entrada del registro y no la regla Solo registrar. Si ninguna regla posterior detiene el paquete, la regla de solo registrar generará una entrada. Ver propiedades de suceso Si hace doble clic en un suceso, aparecerá la pantalla Propiedades correspondiente a dicha entrada con toda la información sobre el suceso en una pantalla. Filtrar la lista y/o buscar un suceso La barra de herramientas Periodo permite filtrar la lista para visualizar solo los sucesos que se hayan producido en un espacio de tiempo específico. La barra de herramientas Equipos permite organizar la visualización de las entradas de registro por dominios de equipo o perfiles de seguridad de equipo. Si hace clic en el botón Buscar, cambiará la visualización de la barra de búsqueda. Si pulsa el botón del signo más (+) de la derecha de la barra de búsqueda, aparecerá otra barra de búsqueda para que pueda aplicar varios parámetros a la búsqueda. Cuando haya terminado, pulse el botón Enviar (situado a la derecha de las barras de herramientas con la flecha hacia la derecha). Exportar Si hace clic en el botón Exportar..., se exportarán todas las entradas de registro de sucesos a un archivo CSV. Reservados todos los derechos

12 Sucesos de IPS De forma predeterminada, el complemento de servidor recopila los registros de sucesos del cortafuegos y de IPS desde los complementos de cliente en cada latido. (Esta opción se puede desactivar desde la pestaña IPS de la pantalla Sistema > Configuración.) Los datos de los registros se utilizan para rellenar los diferentes informes y gráficos del complemento de servidor. Una vez que el complemento de servidor ha recopilado los registros de sucesos, estos se conservan durante un periodo de tiempo específico que puede establecerse desde la pestaña Sistema de la pantalla Sistema > Configuración. El valor predeterminado es una semana. Desde la pantalla principal, puede realizar lo siguiente: 1. Ver ( ) las propiedades de un suceso determinado. 2. Buscar ( ) un suceso determinado o 3. Filtrar la lista: utilice las barras de herramientas Periodo y Equipo para filtrar la lista de sucesos. 4. Exportar ( ) los datos de la lista de sucesos a un archivo CSV. Además, al hacer clic con el botón derecho del ratón en una entrada de registro, podrá utilizar las opciones siguientes: Propiedades de equipo: permite ver las propiedades del equipo que ha generado la entrada de registro. Propiedades de filtro IPS: permite ver todas las propiedades de una entrada de registro determinada en la pantalla Propiedades abierta. IP de origen Whois: realiza una consulta whois en la IP de origen. IP de destino Whois: realiza una consulta whois en la IP de destino. Columnas de la pantalla de registros de filtros IPS: Hora: hora en la que ha tenido lugar el suceso en el equipo. Equipo: equipo en el que se ha registrado el suceso. Filtro IPS: nombre del filtro IPS. Acción: acción llevada a cabo por el filtro IPS (Permitir, Denegar, Forzar permiso, Solo registrar o Solo detectar (si el filtro se encuentra en el modo Solo detectar)). Rango: el sistema de clasificación permite cuantificar la importancia de los sucesos de IPS y del cortafuegos. Al asignar "valores de activo" a los equipos y "valores de gravedad" a los filtros IPS y las reglas del cortafuegos, la importancia ("clasificación") de un suceso se calculará multiplicando los dos valores. De este modo, podrá ordenar los sucesos según su clasificación al visualizar sucesos de IPS o del cortafuegos. Dirección: dirección del paquete (entrante o saliente). Interfaz: dirección MAC de la interfaz por la que pasa el paquete. Protocolo: Los valores posibles son "ICMP", "IGMP", "GGP", "TCP", "PUP", "UDP", "IDP", "ND", "RAW", "TCP+UDP" y "Otros: nnn" donde nnn representa un valor decimal de tres dígitos. Indicadores: indicadores establecidos en el paquete. IP de origen: IP de origen del paquete. MAC de origen: dirección MAC de origen del paquete. Puerto de origen: puerto de origen del paquete. IP de destino: IP de destino del paquete. MAC de destino: dirección MAC de destino del paquete. Puerto de destino: puerto de destino del paquete. Tamaño de paquete: tamaño del paquete en bytes. Reservados todos los derechos

13 Ver propiedades de suceso Al hacer doble clic en un suceso, aparecerá la pantalla Propiedades correspondiente a dicha entrada. Filtrar la lista y/o buscar un suceso La barra de herramientas Periodo permite filtrar la lista para visualizar solo los sucesos que se hayan producido en un espacio de tiempo específico. La barra de herramientas Equipos permite organizar la visualización de las entradas de registro por dominios de equipo o perfiles de seguridad de equipo. Si hace clic en el botón Buscar, cambiará la visualización de la barra de búsqueda. Si pulsa el botón del signo más (+) de la derecha de la barra de búsqueda, aparecerá otra barra de búsqueda para que pueda aplicar varios parámetros a la búsqueda. Cuando haya terminado, pulse el botón Enviar (situado a la derecha de las barras de herramientas con la flecha hacia la derecha). Exportar Si hace clic en el botón Exportar..., se exportarán todas las entradas de registro de sucesos a un archivo CSV. Reservados todos los derechos

14 Sucesos del sistema El registro de sucesos del sistema es un registro de sucesos relacionados con el sistema (en contraposición a los sucesos relacionados con la seguridad). Desde la pantalla principal, puede realizar lo siguiente: Ver 1. Ver ( ) los detalles (propiedades) de un suceso de sistema. 2. Buscar ( ) un suceso determinado o 3. Exportar ( ) los sucesos de sistema visualizados actualmente a un archivo CSV. Si selecciona un suceso y hace clic en Ver ( ), aparecerá la pantalla Propiedades del visor de sucesos. El Visor de sucesos dispone de dos paneles. 1. Información general Hora: hora del equipo según el reloj del sistema. Tipo: tipo de suceso que se ha producido. Los tipos de sucesos incluyen Información, Aviso y Error. Id. de suceso: identificador exclusivo del tipo de suceso. Suceso: nombre del suceso (asociado con el Id. de suceso). Destino: en este campo, se especifica el objeto del sistema asociado con el suceso. Si hace clic en la identificación del objeto, aparecerá la hoja de propiedades del mismo. 2. Descripción Si procede, en este campo se mostrarán los detalles específicos de la acción que se ha llevado a cabo para activar esta entrada en el registro de sucesos del sistema. Filtrar la lista y/o buscar un suceso La barra de herramientas Periodo permite filtrar la lista para visualizar solo los sucesos que se hayan producido en un espacio de tiempo específico. La barra de herramientas Equipos permite organizar la visualización de las entradas de registro por dominios de equipo o perfiles de seguridad de equipo. Si hace clic en el botón Buscar, cambiará la visualización de la barra de búsqueda. Si pulsa el botón del signo más (+) de la derecha de la barra de búsqueda, aparecerá otra barra de búsqueda para que pueda aplicar varios parámetros a la búsqueda. Cuando haya terminado, pulse el botón Enviar (situado a la derecha de las barras de herramientas con la flecha hacia la derecha). Exportar Puede exportar los sucesos visualizados (todas las páginas) a un archivo CSV. Puede visualizar la lista que se muestra o los elementos seleccionados. Reservados todos los derechos

15 Informes El complemento de servidor genera informes en los formatos PDF, RTF o XLS (MS Excel). La mayoría de los informes generados en la pantalla del Generador de informes cuentan con parámetros configurables, como por ejemplo el intervalo de fechas o la generación de informes realizada por dominio de equipos. Las opciones de parámetros se desactivarán para los informes en los que no se vayan a aplicar. Informe de alertas El informe de alertas muestra gráficos de la actividad de las alertas durante el periodo que se especifique, así como una tabla con una lista de las veinte alertas con mayor frecuencia de aparición en dicho periodo. Informe de ataques El informe de ataques visualiza las actividades relacionadas directamente con la seguridad. En la tabla Resumen, se visualiza un resumen de las actividades de análisis del tráfico y un desglose de dicha información según las técnicas de prevención/detección de ataques y los tipos de filtros. También distingue entre las defensas que pertenecen al modo de prevención de intrusiones, en el que se bloquea el tráfico malicioso, y el modo de detección de intrusiones, en el que el tráfico malicioso solo se registra. Normalmente el bloqueo se implementa durante las fases de prueba. Las tablas que se presentan a continuación muestran los filtros que se activan con mayor frecuencia. Informe del cortafuegos El informe del cortafuegos muestra un registro de la actividad de la regla de cortafuegos y de la configuración de estado en un intervalo de fechas especificado. Tenga en cuenta que si desactiva el registro de un filtro determinado, la actividad de dicho filtro dejará de especificarse en este informe. Informe analítico de informes de auditoría El informe analítico muestra la configuración de un complemento de cliente en un equipo en un momento particular y el periodo durante el cual se ha aplicado dicha configuración. Informe de equipo El informe de equipo muestra un resumen sobre cada uno de los equipos que aparecen en la lista de la pantalla Equipos. Puede filtrar los informes por equipo, dominio o perfil de seguridad. El informe muestra un gráfico y una tabla del número de equipos que se encuentran en un estado determinado, seguido por un resumen de cada equipo. Informe de IPS El informe de IPS muestra un registro de la actividad del filtro IPS durante un periodo de tiempo específico. Tenga en cuenta que si desactiva el registro de un filtro determinado, la actividad de dicho filtro dejará de especificarse en este informe. Reservados todos los derechos

16 Equipos La pantalla Equipos permite gestionar y supervisar los equipos de la red. Esta pantalla se actualiza con regularidad para garantizar que la información visualizada no queda obsoleta. Utilice esta pantalla para organizar los equipos en dominios y gestionar los perfiles de seguridad que les haya aplicado. Desde la pantalla Equipos, puede realizar lo siguiente: Sincronizar ( ) la lista de equipos con OfficeScan Buscar ( ) puertos abiertos en equipos Buscar recomendaciones en equipos ( ) Ver o editar las Propiedades ( ) de un equipo Asignar ( ) un perfil de seguridad a un equipo Eliminar ( ) un equipo de la lista de equipos Buscar ( ) un equipo Si hace clic con el botón derecho del ratón en un equipo, aparecerá un menú de acceso directo desde el cual podrá llevar a cabo la mayoría de las tareas recién mencionadas, así como las siguientes: Implementar complementos de cliente Quitar complementos de cliente Activar/Reactivar ( ) el complemento de cliente en un equipo Una vez que se haya instalado en un equipo, el complemento de cliente deberá ser "activado" por el complemento de servidor. Durante este proceso, el complemento de servidor envía una huella digital al complemento de cliente. A partir de ese momento, el complemento de cliente solo aceptará instrucciones de un complemento de servidor con una huella digital exclusiva. Comprobar el estado ( ) del complemento de cliente Desactivar ( ) el complemento de cliente en un equipo Actualizar ( ) el complemento de cliente en un equipo Obtener sucesos ( ) de un complemento de cliente Borrar avisos/errores del equipo Bloquear ( ) un complemento de cliente Desbloquear ( ) un complemento de cliente Cancelar todas las exploraciones de puerto en curso ( ) Borrar las recomendaciones para este equipo ( ) Asignar un valor de activo a este equipo ( ) Buscar los sucesos del sistema asociados con este equipo Buscar los registros de sucesos del cortafuegos y de IPS asociados con este equipo Además, si hace clic con el botón derecho del ratón en el icono de un equipo ( ) o de un dominio ( ) del panel de navegación, aparecerá un menú de acceso directo con las opciones adicionales siguientes que se aplican a los dominios de equipos: Asignar ( ) un perfil de seguridad a todos los equipos del dominio actual Asignar un valor de activo ( ) a todos los equipos de este dominio Ver o editar las Propiedades ( ) de un equipo Reservados todos los derechos

17 Sincronizar con OfficeScan Mediante esta opción, se sincroniza la lista de equipos con los equipos gestionados por OfficeScan. (La lista se sincroniza automáticamente cada vez que se inicia el complemento de servidor, pero no se actualizará si se agregan equipos a OfficeScan mientras se ejecuta el complemento de servidor. Utilice este botón para forzar una sincronización con OfficeScan durante la ejecución del complemento de servidor.) Buscar puertos abiertos en equipos La opción Explorar equipos realiza una exploración de los puertos en todos los equipos seleccionados y comprueba el complemento de cliente instalado en el equipo para determinar si su estado es Desactivación de complemento de cliente necesaria, Activación de complemento de cliente necesaria, Reactivación de complemento de cliente necesaria o En línea. (La operación de exploración examina los puertos de forma predeterminada. Puede cambiar este intervalo en la pestaña Explorar ubicada en la sección Sistema > Configuración.) El complemento de servidor siempre explora el puerto 4118 independientemente de los valores del intervalo de puertos. Es el puerto del equipo al que se envían las comunicaciones iniciadas por el complemento de servidor. Si establece la dirección de la comunicación en "Iniciada por complemento de cliente" en un equipo (Propiedades de equipo > Avanzadas > Equipo > Dirección de comunicación), se cerrará el puerto Buscar recomendaciones en equipos Buscar recomendaciones hace que el complemento de cliente busque aplicaciones comunes en el equipo y, a continuación, realiza recomendaciones sobre filtros según lo que haya detectado. Las recomendaciones que no se hayan aplicado automáticamente activarán una alerta. Los resultados de una búsqueda de recomendaciones también aparecen en la pantalla Propiedades del equipo de la pestaña Filtros IPS: si los filtros IPS se clasifican según el tipo de aplicación, aparecerá un identificador de color verde al lado del nombre de los tipos de aplicación recomendados. La configuración de Búsqueda de recomendaciones puede definirse en los perfiles de seguridad y en cada uno de los equipos. Ver propiedades de equipo La pantalla Propiedades de equipo consta de cinco pestañas: Propiedades de equipo, Reglas de cortafuegos, Configuraciones de estado, Filtros IPS y Acciones. Propiedades de equipo La pestaña Propiedades de equipo dispone de cuatro paneles, un botón SSL y un botón Avanzadas. 1. Información general Nombre de host: el nombre debe ser la dirección IP del equipo o el nombre de host del equipo. (Si se utiliza un nombre de host en lugar de una dirección IP, podrá utilizarse un nombre de host completo o uno relativo.) Descripción: descripción del equipo. Plataforma: en este campo, se muestran los detalles del sistema operativo del equipo. Dominio del equipo: dominio al que pertenece el equipo. Perfil de seguridad: perfil de seguridad (si hay alguno) que se haya asignado a este equipo. Valor de activo: el complemento de servidor utiliza un sistema de clasificación para cuantificar la importancia de los sucesos de IPS y del cortafuegos. Se asigna un valor numérico a los filtros IPS, las reglas de cortafuegos y los activos (equipos). Cuando se activa un filtro IPS o una regla de cortafuegos en un equipo, dichos valores se multiplican entre sí. El resultado obtenido se puede Reservados todos los derechos

18 utilizar para ordenar los sucesos por importancia. (La clasificación de los sucesos se puede ver en las pantallas Supervisión > Sucesos del cortafuegos y Supervisión > Sucesos de IPS.) Utilice la lista desplegable Valor de activo para asignar un valor a este equipo. (Para configurar los valores de la clasificación, vaya a Sistema > Configuración > Clasificación.) Bloquear equipo: si activa esta casilla de verificación, se bloquearán todas las comunicaciones entre el complemento de cliente y el complemento de servidor. El perfil de seguridad del equipo permanecerá activo (todos los filtros y reglas siguen aplicándose a todo el tráfico); sin embargo, en el caso de que se genere alguna alerta, esta no se enviará al complemento de servidor. (La operación de eliminación del complemento de cliente no se ve afectada por este procedimiento.) Es recomendable bloquear un equipo si va a realizar tareas de mantenimiento en el mismo y no desea que aparezcan alertas en el complemento de servidor. 2. Estado Estado de equipo: o Cuando no se gestiona el equipo, esta opción muestra el estado del complemento de cliente en referencia a la activación. El estado será "Detectado" o "Nuevo" seguido del estado del complemento de cliente entre paréntesis ("Ningún complemento de cliente", "Desconocido", "Reactivación de complemento de cliente necesaria", "Activación de complemento de cliente necesaria" o "Desactivación de complemento de cliente necesaria"). o Cuando el equipo está gestionado y no se detecta ningún error de equipo, el estado será "Gestionado" seguido por el estado del complemento de cliente entre paréntesis ("Complemento de cliente en línea" o "Complemento de cliente desconectado"). o Si se detectan errores en el equipo (por ejemplo, "Complemento de cliente desconectado", "Error de actualización de complemento de cliente", etc.) el estado mostrará el error. Cuando se detecta más de un error, el estado será "Múltiples errores" y cada error se especificará a continuación. Complemento de cliente: indica si el complemento de servidor puede comunicarse con el complemento de cliente. Última comunicación: última vez que el complemento de servidor se comunicó con el complemento de cliente en este equipo. Comprobar estado: Este botón permite forzar al complemento de servidor para que lleve a cabo una operación de latido inmediata para comprobar el estado del complemento de cliente. La opción Comprobar estado no llevará a cabo ninguna actualización del complemento de cliente. (Si es necesario llevarla a cabo, haga clic en el botón Actualizar ahora el complemento de cliente en la pestaña Acciones.) Cuando la comunicación entre el servidor y el cliente se ha definido como "Iniciada por complemento de cliente", el botón Comprobar estado aparecerá desactivado. (Al comprobar el estado no se actualizarán los registros de este equipo. Para actualizar los registros de este equipo, vaya a la pestaña Acciones.) Botón Sucesos del equipo: muestra los sucesos del sistema asociados con este equipo. 3. Cortafuegos (reglas del cortafuegos, configuraciones de estado) Seleccione si desea que la protección del cortafuegos esté activada o desactivada. Si selecciona "Usar heredado", significa que el perfil de seguridad aplicado a este equipo determinará si el cortafuegos está activado o desactivado. El equipo heredará el valor del perfil de seguridad. (Al desactivar el cortafuegos para un perfil de seguridad determinado, se desactivará el cortafuegos de todos los equipos cuya configuración del control del cortafuegos esté establecida en "Usar heredado".) 4. Prevención de intrusiones (Filtros IPS) Igual que en el caso del cortafuegos, es posible activar o desactivar la prevención de intrusiones en un equipo determinado mediante esta configuración. Si selecciona "Heredar", la activación o desactivación de la prevención de intrusiones en este equipo dependerá del valor con el que se haya definido el perfil de seguridad para dicho equipo. "Prevenir (IPS)" implica que la prevención de intrusiones está activa. "Detectar (IDS)" significa que la prevención de intrusiones se encuentra en el modo Solo registrar. Se supervisará el tráfico y se registrarán todos los filtros IPS y reglas activados (si se ha establecido la opción de registro de los mismos) y se enviarán las alertas si se ha especificado así en la configuración, pero no se bloqueará el tráfico. "Desactivado" significa que no se llevará a cabo el filtrado IPS. Reservados todos los derechos

19 Realizar búsquedas de recomendaciones continuas: puede especificar que el complemento de cliente realice búsquedas periódicas en el equipo y, a continuación, que se realicen las recomendaciones. La frecuencia de estas búsquedas de recomendaciones se puede establecer de forma global para todos los equipos desde Sistema > Configuración > Explorar. Asignar automáticamente filtros recomendados a equipos durante búsquedas de recomendaciones: seleccione esta casilla de verificación para aplicar los filtros recomendados en el equipo. Si no se ha seleccionado esta casilla de verificación, se generará una alerta (a no ser que se hayan desactivado las alertas para las búsquedas de recomendaciones). 5. SSL El complemento de cliente es compatible con el filtrado de IPS del tráfico SSL. El cuadro de diálogo SSL permite crear configuraciones SSL para un par de certificado-puerto en una o varias interfaces. Puede importar certificados en el formato PKCS 12 o PEM. Los equipos Windows pueden utilizar CryptoAPI de Windows directamente. Si hace clic en el botón SSL..., aparecerá la pantalla Configuraciones de equipo SSL con una lista de las configuraciones SSL existentes y la posibilidad de crear configuraciones nuevas. Haga doble clic en una configuración existente para que aparezca la pantalla Propiedades correspondiente con las pestañas Asignación y Credenciales. Reservados todos los derechos

20 Asignación Información general: nombre y descripción de la configuración SSL, así como la especificación de si esta opción está activada en este equipo. Asignaciones de interfaz: interfaces a las que se aplica esta configuración. Selección de puerto: puertos a los que se aplica esta configuración. Credenciales La pestaña Credenciales muestra una lista de las credenciales actuales e incluye el botón Asignar nuevas credenciales... que permite modificarlas. Para obtener información sobre cómo configurar el filtrado SSL, consulte Cómo... Filtrar secuencias de datos SSL 6. Configuración avanzada En toda la interfaz del complemento de servidor, se pueden establecer muchos valores de configuración de forma global; sin embargo, es posible que dichos valores se alteren más adelante en una cadena jerárquica. Por ejemplo, es posible establecer el valor de frecuencia de latidos de forma global en Sistema > Configuración > Equipos > Latido; sin embargo dicho valor se puede alterar en un perfil de seguridad determinado en Perfil de seguridad > Propiedades > Equipo > Latido, y volver a alterarse de nuevo más abajo en la cadena, en el nivel del equipo individual (Equipos > Propiedades > Propiedades de equipo > Avanzadas > Equipo > Latido). En cualquier nivel que se encuentre por debajo del nivel global, el valor predeterminado es heredar el valor del nivel inmediatamente superior. En estos casos, la interfaz de usuario mostrará la palabra "Heredado" seguida por el valor heredado. Equipo Dirección de comunicación: Dirección de la comunicación del complemento de servidor al complemento de cliente: En la configuración predeterminada (Bidireccional), el complemento de cliente iniciará el latido pero seguirá escuchando en el puerto del complemento de cliente las conexiones del complemento de servidor y el complemento de servidor tiene libertad para contactar con el complemento de cliente para realizar las operaciones, según sea necesario. Iniciada por complemento de servidor significa que el complemento de servidor iniciará todas las comunicaciones. La comunicación se producirá cuando el complemento de servidor realice las actualizaciones programadas, las operaciones de latido (a continuación) y cuando elija las opciones Activar/Reactivar o Actualizar ahora desde la interfaz del complemento de servidor. Si desea cerrar completamente el equipo a comunicaciones iniciadas por cualquier origen remoto, puede elegir que el complemento de cliente busque periódicamente actualizaciones y controle operaciones de latido. En ese caso, seleccione Iniciada por complemento de cliente. Latido: La siguiente información la recopila el complemento de servidor durante un latido: el estado de los controladores (conectados o desconectados), el estado del complemento de cliente (incluyendo la hora del reloj), los registros del complemento de cliente y el último latido, los datos para actualizar contadores y una huella de la configuración de seguridad del complemento de cliente (utilizada para determinar si está actualizada). Puede cambiar la frecuencia con la que se producen los latidos (si se ha iniciado el complemento de cliente o el complemento de servidor) y el número de latidos perdidos que pueden transcurrir antes de que se active una alerta. Programa de acceso a equipo: periodos durante los cuales el complemento de servidor puede aplicar actualizaciones automáticas/en cola al complemento de cliente. Los latidos seguirán produciéndose. Este valor se utiliza principalmente para evitar la aplicación de actualizaciones o la ejecución de búsquedas de recomendaciones durante las horas de mayor actividad del servidor. Las actualizaciones pueden seguir aplicándose de forma manual cuando se desee haciendo clic con el botón derecho del ratón en el equipo. A continuación, seleccione "Actualizar ahora los complementos de cliente". Este valor se puede heredar del perfil de seguridad asignado a este equipo o se puede seleccionar otro programa predefinido de la lista desplegable. Reservados todos los derechos