McAfee Enterprise Security Manager 9.5.0

Transcripción

1 Notas de la versión McAfee Enterprise Security Manager Contenido Acerca de esta versión Nuevas funciones de la versión Problemas resueltos Problemas conocidos Instrucciones de ampliación Búsqueda de documentación de productos Acerca de esta versión Este documento contiene información importante relativa a la versión actual. Le recomendamos encarecidamente que lea todo el documento. No se admite la ampliación automática de versiones preliminares del software. A fin de llevar a cabo la ampliación a una versión de producción del software, póngase en contacto con el equipo encargado de las versiones beta de McAfee mediante beta7@mcafee.com para obtener información sobre el proceso de ampliación. Nuevas funciones de la versión McAfee Enterprise Security Manager (McAfee ESM) de Intel Security ofrece una amplia gama de capacidades actualizadas que ofrecen compatibilidad con la visión de la plataforma Security Connected, datos masivos (Big Data) de seguridad integrados y funciones de primera clase correspondientes a la solución SIEM. Amazon Cloud Si dispone de acceso, ahora puede iniciar el ESM en Amazon Web Services/Elastic Compute Cloud (AWS/EC2). 1

2 Esta función se introdujo en la versión Consulte las Notas de la versión para obtener más información. Mejoras en Application Data Monitor (ADM) Ahora el ADM ofrece compatibilidad con lo siguiente. Protocolos: BitTorrent, Apple Filing Protocol (AFP), Bitcoin, Git, Server Message Block 2 (SMB2) y el Administrador de extremos de Microsoft (EPM) Tipos de archivos: Iso9660, Applefile e ICal Administración del ancho de banda en el envío de datos Las restricciones de ancho de banda de su organización podrían limitar la cantidad de datos que los dispositivos pueden enviar. Ahora se puede definir un valor de salida de datos máximo para el receptor, Advanced Correlation Engine (ACE), Enterprise Log Manager (ELM), ADM, Database Event Monitor (DEM) y Nitro Intrusion Prevention System (IPS). Los valores de salida incluyen kilobytes (KB), megabytes (MB) y gigabytes (GB) por segundo. También es posible planificar un intervalo de tiempo diario para limitar los momentos en que el ESM extrae datos de cada dispositivo y los momentos en que los dispositivos envían los datos al ELM. Esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Configuración de NTP en un dispositivo Limitación del tiempo de recopilación de datos Configuración del control del tráfico de red en el ESM Mejoras en los casos Ahora es posible buscar casos (con eventos de origen) mediante cualquier campo de evento, dirección IP de origen, dirección IP de destino o dispositivo host. Asimismo, cabe la posibilidad de crear vistas propias con consultas de casos mediante un componente de tabla, o bien un gráfico de barras, circular o de lista. Para obtener más información, consulte el tema siguiente en la Ayuda online o la Guía del producto: Filtrado de vistas Orígenes de datos cliente Ahora puede agregar más de un origen de datos cliente con la misma dirección IP y utilizar el número de puerto para diferenciarlos. A continuación, puede separar los tipos de datos gracias al uso de puertos diferentes. Esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Orígenes de datos cliente Adición de un origen de datos cliente Archivos de configuración Ahora es posible crear una copia de seguridad de las claves SSH, la configuración de red, SNMP y otros archivos de configuración, así como restaurarlos en cada dispositivo. 2

3 Esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Copia de seguridad y restauración de la configuración del sistema Restauración de archivos de configuración con copias de seguridad Paquetes de contenido Cuando se produzca una situación de amenaza específica, responda de inmediato con la importación e instalación del paquete de contenido relevante del servidor de reglas. Los paquetes de contenido incluyen reglas de correlación, alarmas, vistas, informes, variables y listas de vigilancia que se basan en casos de uso para hacer frente a malware o actividades de amenaza específicos. Los paquetes de contenido permiten responder a las amenazas sin perder tiempo en crear herramientas desde cero. Para obtener detalles sobre los paquetes de contenido, véase este artículo de la base de datos McAfee KnowledgeBase: KB8373. Ahora también se pueden exportar e importar alarmas, informes y listas de vigilancia. Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Uso de paquetes de contenido Importación de paquetes de contenido Administración de Cyber Threat ESM permite recuperar indicadores de compromiso (IOC) de orígenes remotos y acceder con rapidez a la actividad de IOC relacionada en su entorno. La administración de Cyber Threat permite configurar fuentes automáticas que generan listas de vigilancia, alarmas e informes, lo cual proporciona visibilidad con respecto a datos procesables. Por ejemplo, puede configurar una fuente que agregue automáticamente direcciones IP sospechosas a listas de vigilancia a fin de supervisar el tráfico futuro. Dicha fuente puede generar y enviar informes que indican la actividad pasada. Utilice la vista Vistas de flujo de trabajo de evento Indicadores de Cyber Threat para acceder a información detallada con rapidez sobre las actividades y los eventos IOC específicos de su entorno. Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Configuración de la administración de Cyber Threat Visualización de resultados de fuentes de Cyber Threat Enriquecimiento de datos Entre los tipos de orígenes se cuentan ahora Apache Hadoop Hive, Apache Hadoop Pig y HTTP/HTTPS. También es posible recurrir a Microsoft Active Directory para rellenar los eventos de Microsoft Windows con los nombres de pantalla de usuario completos. 3

4 Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Adición de un origen de enriquecimiento de datos de Hadoop Pig Creación de un origen de enriquecimiento de datos de Internet Adición de enriquecimiento de datos de Active Directory para nombres de usuario Mejoras en los orígenes de datos Como resultado de diversas configuraciones posibles, la hora de un origen de datos puede perder la sincronización con el ESM. Cuando un origen de datos no sincronizado genera un evento, aparece una marca roja junto al receptor en el árbol de navegación del sistema. Ahora también es posible configurar una alarma para recibir una notificación cuando se produzca este evento. A continuación, se administran los orígenes de datos no sincronizados desde la página Diferencia de tiempo. Las reglas de origen de datos tienen una acción predeterminada definida. El receptor asigna esta acción al subtipo de evento asociado a la regla. Ahora es posible cambiar esta acción. En lugar de usar solo el valor heredado de la regla de análisis, se puede definir el valor del subtipo de evento para cada regla de origen de datos. Después, se pueden establecer acciones de regla para paneles, informes, reglas de análisis o alarmas con valores distintos gracias a este subtipo de evento. Estas funciones se introdujeron en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Administración de orígenes de datos no sincronizados Establecimiento de acciones de reglas de origen de datos Estadísticas de dispositivo Ahora existe la posibilidad de ver la CPU, la memoria, la cola y otros detalles específicos de los dispositivos ESM. También se pueden ver las estadísticas de uso del receptor, que incluyen las tasas de entrada (recopilador) y salida (analizador) de origen de datos de los últimos diez minutos, la última hora y las últimas 24 horas. Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Visualización de estadísticas de dispositivo Visualización de estadísticas de rendimiento del receptor Los dispositivos y sus funciones Protocolo Dynamic Host Configuration Protocol (DHCP) Las redes IP utilizan DHCP para distribuir parámetros de configuración de red, tales como direcciones IP correspondientes a interfaces y servicios. Al configurar el ESM para el despliegue en el entorno de nube, se activa automáticamente DHCP y se asigna una dirección IP. Si no emplea el entorno de nube, puede activar y desactivar los servicios de DHCP en las VLAN, el ESM, los receptores que no sean de disponibilidad alta (HA), el ACE y el ELM. 4

5 Esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Configuración de DHCP en una VLAN Configuración de DHCP Mejoras en Enterprise Log Manager (ELM) Administración de base de datos: se ha mejorado el rendimiento del ELM. Además, se puede aumentar el tamaño de la base de datos de administración del ELM. Las marcas del monitor de estado le advertirán cuando quede poco espacio en la base de datos. Velocidad de búsqueda del ELM: un nuevo método de indización de registros proporciona ahora una mayor velocidad de búsqueda y reemplaza la funcionalidad de indización de texto completo. El espacio anteriormente utilizado para la indización de texto completo se recupera automáticamente. Ya que el nuevo método podría requerir espacio adicional, ahora se puede aumentar el tamaño de la base de datos de administración. Redundancia de ELM: esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Página Seleccionar ubicación de base de datos Visualización de un registro de sistema o dispositivo Redundancia de ELM Configuración de la redundancia de ELM Exportación de vistas e informes Al exportar una página de un gráfico, una distribución o un componente de tabla, los datos exportados ahora coinciden exactamente con lo que se ve en la página. Si se exportan varias páginas, la consulta se vuelve a ejecutar al exportar los datos. Por tanto, la salida exportada de varias páginas podría diferir de lo que aparece en el componente. Esta función se introdujo en la versión Para obtener más información, consulte el tema siguiente en la Ayuda online o la Guía del producto: Exportación de un componente Filtros Ahora es posible establecer el orden de ejecución de las reglas de filtrado o ASP. En el caso de las reglas de ASP, también se pueden establecer varios formatos de hora personalizados a fin de aumentar la posibilidad de coincidencia con el formato del registro de ASP. Cuando se inicia sesión por primera vez en el ESM, los filtros predeterminados ahora incluyen los campos de usuario de origen, usuario de destino, dirección IP de origen y dirección IP de destino. Cabe la posibilidad de agregar y eliminar campos de filtrado, guardar conjuntos de filtros, cambiar el conjunto predeterminado, administrar todos los filtros e iniciar el administrador de normalización de cadenas. Asimismo, ahora se pueden filtrar los casos por los detalles de evento. Si cuenta con permisos de administración de usuarios, ahora podrá limitar los conjuntos de filtros para otros grupos. 5

6 Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Establecimiento del orden de las reglas de filtrado y ASP Adición del formato de hora a las reglas de ASP Filtrado de vistas Receptores de disponibilidad alta Ahora, se puede elegir el receptor principal preferido al configurar los receptores de disponibilidad alta en modo principal o secundario. Con esta configuración, un receptor actúa como dispositivo principal o dispositivo activo primario. El receptor secundario supervisa el principal de forma continua. Cuando el secundario determina que el principal ha fallado, detiene las operaciones en el principal y asume su función. Una vez reparado el principal, pasa a ser el secundario o se convierte en principal de nuevo, en función de la opción seleccionada para el dispositivo principal preferido. Antes de llevar a cabo la ampliación, establezca el receptor principal preferido con el valor Sin preferencia, lo cual permite utilizar la opción de conmutación en caso de error. Una vez ampliados ambos receptores, se puede volver a aplicar el receptor principal preferido. Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Receptores de disponibilidad alta Configuración de dispositivos receptores de disponibilidad alta Reinicialización del dispositivo secundario Restablecimiento de dispositivos de disponibilidad alta Intercambio de funciones de receptores de disponibilidad alta Ampliación de los receptores de disponibilidad alta Detalles de dirección IP Si cuenta con una licencia de McAfee Global Threat Intelligence (McAfee GTI) y busca detalles de una dirección IP, ahora puede acceder a detalles acerca de la dirección IP tales como la gravedad del riesgo y los datos de geolocalización. Esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Visualización de los detalles de dirección IP de un evento Realización de una búsqueda de WHOIS o ASN McAfee Threat Intelligence Services (MTIS) McAfee Threat Intelligence Services (MTIS) y los orígenes de evaluación de vulnerabilidades de su sistema generan una lista de amenazas conocidas. ESM utiliza la gravedad de estas amenazas y la criticidad de cada activo para calcular el nivel de riesgo que representan estas amenazas para su organización. 6

7 Administrador de activos: cuando se agrega un activo al administrador de activos, es posible asignar un nivel de criticidad para indicar hasta qué punto el activo es crítico para la organización. Por ejemplo, si un único equipo sin copia de seguridad administra la configuración de su empresa, la criticidad de ese equipo es alta. Sin embargo, si varios equipos (cada uno con su propia copia de seguridad) administran la configuración, el nivel de criticidad de cada equipo es considerablemente menor. Administración de amenazas: la ficha Administración de amenazas del administrador de activos incluye las amenazas conocidas, su gravedad, el proveedor del producto afectado y si se ha establecido su uso en el cálculo de riesgo. Es posible activar o desactivar amenazas específicas para calcular el riesgo. Por cada amenaza mostrada, se pueden ver recomendaciones para gestionarla, así como las contramedidas que se deben tener en cuenta. Vistas predefinidas: tres nuevas vistas predefinidas resumen y muestran datos sobre activos, amenazas y riesgo. Resumen de amenazas de activo: clasifica los activos principales por calificación de riesgo y niveles de amenaza, y los niveles de amenaza según el riesgo. Resumen de amenazas recientes: clasifica las amenazas recientes por proveedor, riesgo, activo y productos de protección disponibles. Resumen de vulnerabilidades: clasifica las vulnerabilidades por amenazas y activos. Si crea una vista que incluya los componentes Número total de vulnerabilidades o Dial de control, podría ver un recuento excesivo de vulnerabilidades. La fuente MTIS agrega amenazas en función de la vulnerabilidad original indicada por el origen de evaluación de vulnerabilidades. Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Evaluación de activos, amenazas y riesgo Administración de amenazas conocidas Administración de activos Uso de las vistas de ESM Fallos de suministro eléctrico o hardware Los fallos de suministro eléctrico y hardware pueden hacer que su sistema se cierre sin previo aviso. Para estar al corriente de un fallo inminente, ahora puede configurar alarmas de forma que se activen cuando falle la alimentación de un ESM. También puede configurar capturas SNMP para recibir notificaciones sobre fallos de hardware generales y fallos de alimentación de DAS. Esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Adición de una alarma de notificación sobre fallos de alimentación Configuración de una captura SNMP para la notificación de fallos de alimentación Asociaciones de gravedades y acciones Las asociaciones de gravedades y acciones ahora contienen los siguientes nuevos tipos de acciones: 25 = alerta-rechazo 33 = infectado 26 = alerta-supresión 34 = movimiento 27 = alerta-sdrop 35 = movimiento-error 7

8 28 = reinicio 36 = cuarentena 29 = bloqueo 37 = cuarentena-error 30 = limpieza 38 = eliminación-error 31 = limpieza-error 39 = denegado 32 = continuación Integración con McAfee Threat Intelligence Exchange (TIE) La función TIE se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Integración con Threat Intelligence Exchange Visualización del historial de ejecución y configuración de acciones de TIE Eventos activadores Cuando se activa una alarma, ahora se puede ver el evento que activó la alarma. También es posible personalizar los casos y las alarmas activadas de forma que incluyan la coincidencia de campo y el evento interno en el resumen. Esta función se introdujo en la versión Para obtener más información, consulte los siguientes temas en la Ayuda online o la Guía del producto: Visualización y administración de alarmas activadas Resumen personalizado para alarmas activadas y casos Listas de vigilancia Cabe la posibilidad de crear una lista de vigilancia a partir de orígenes de Internet, la cual se puede actualizar periódicamente, que extraiga las fuentes de amenaza automáticamente a la lista de vigilancia. En esta lista de vigilancia, se pueden previsualizar los datos que se recuperarán a través de la solicitud HTTP, así como agregar expresiones regulares para filtrar dichos datos. Es necesario disponer de una conexión a Internet para descargar las listas de vigilancia de McAfee Global Threat Intelligence (McAfee GTI). No cabe la posibilidad de descargarlas sin conexión. Para obtener más información, consulte el tema siguiente en la Ayuda online o la Guía del producto: Creación de una lista de vigilancia de orígenes de Internet Actualizaciones de documentación del producto Modo FIPS (estándares federales de procesamiento de la información): la información sobre FIPS de la documentación del producto se ha actualizado. En el tema ID de firma del monitor de estado ahora se identifica el tipo, el dispositivo y la gravedad de cada ID. Guía de instalación: se han actualizado los diagramas de cableado correspondientes a los puertos de red. Ayuda online/guía del producto: la tabla de contenido se ha reorganizado para facilitar la localización rápida de la información. 8

9 Problemas resueltos Estos problemas se resuelven en esta versión del producto. Para obtener una lista de los problemas reparados en versiones anteriores, consulte las notas de versión de esa versión en concreto. Las alarmas en tiempo real del ESM principal provocan problemas de rendimiento Ahora, cuando se crea una alarma en tiempo real en un ESM principal, la alarma solo se activa en el receptor principal, pero no en los receptores distribuidos correspondientes. El registro del dispositivo ELM muestra conflictos de bloqueo Cuando se agregan grupos de almacenamiento al ELM, el registro del dispositivo ya no muestra conflictos de bloqueo. Alineación del título en informes HTML Los informes HTML que se crean (Propiedades de ESM Informes) aplican ahora de forma correcta la alineación del título establecida (izquierda, derecha o centro). Límite de caracteres en nombres de orígenes de datos El límite de caracteres para los nombres de orígenes de datos se ha aumentado a 100 caracteres. Carácter incorrecto al exportar informes en japonés Cuando se exportan informes con el idioma japonés seleccionado, ahora la fecha muestra de forma correcta un intervalo como 1 / 2, en lugar de 1?? 2. Ausencia de referencia para el apilamiento de componentes Si se selecciona una opción de apilamiento a fin de agrupar campos en la distribución de eventos, ahora la referencia se muestra correctamente. Problemas de sincronización con dispositivos ESM redundantes Los dispositivos ESM redundantes ahora se sincronizan correctamente. Entradas de host conocidos eliminadas para la disponibilidad alta Las entradas de host conocidos para los receptores de disponibilidad alta se conservan ahora de forma permanente. La exportación de datos en CSV no termina nunca Ahora, el ESM finaliza de forma correcta las exportaciones de datos a archivos CSV. Proceso de sincronización de ESM redundantes Ya no es posible interrumpir una sincronización de dispositivos ESM redundantes una vez que se inicia. El cambio de orígenes de datos mediante CSV no elimina toda la información El ESM ahora utiliza correctamente los archivos CSV para eliminar orígenes de datos. 9

10 Edición de orígenes de datos de aprendizaje automático Ahora, el ESM aplica de forma correcta los cambios en los tipos de orígenes de datos de aprendizaje automático. Problemas conocidos Para obtener información sobre los problemas conocidos de esta versión del producto, consulte el artículo de la base de datos de McAfee KnowledgeBase: KB Instrucciones de ampliación A fin de preparar el sistema para la versión del software, descargue los archivos de ampliación para los dispositivos ESM, Nitro IPS, ACE, ADM, Database Event Monitor (DEM), receptor, ELMERC, ELM y la combinación ESM/receptor. A continuación, amplíelos en el orden indicado. Para obtener información sobre cómo instalar los dispositivos, consulte la Guía de instalación de McAfee Enterprise Security Manager Procedimientos Descarga de los archivos de ampliación en la página 15 Cuando el sistema esté listo para la ampliación, descargue los archivos de ampliación al sistema local. Ampliación del sistema en la página 16 Debe ampliar el ESM y sus dispositivos, siguiendo un orden concreto, en función de su modo. Tras la ampliación, vuelva a establecer la configuración de los dispositivos y despliegue la directiva correspondiente. Ampliación de ESM, ESMREC o ENMELM en la página 17 Una vez que el sistema esté listo, puede ampliar su ESM, ESMREC o ENMELM a la versión Ampliación de dispositivos en la página 18 Si no está usando el modo FIPS, amplíe los dispositivos IPS, Event Receiver, ELM, ELM/ Event Receiver, ACE, ADM y DEM después de ampliar el ESM. Si utiliza el modo FIPS, amplíe los dispositivos antes de ampliar el ESM. Preparativos para la ampliación Hay varias cosas que se deben hacer antes de proceder a una ampliación. Repase la lista de comprobación de ESM para asegurarse de que el ESM y los dispositivos se encuentren en buen estado antes de iniciar la ampliación. Asegúrese de que la reconstrucción de la base de datos de ESM a partir de una compilación anterior (9.3.2 o posterior) haya finalizado y de que sea posible planificar el periodo de interrupción adecuado para esta ampliación. Cree una copia de seguridad de la base de datos de ESM antes de iniciar la ampliación. 10

11 Asegúrese de que el subsistema de RAID por software se esté ejecutando con dos unidades activas. Si está utilizando ESM 4245R, 5205R, 5510R o 5750R, ESMREC 4245R, 5205R o 5510R, o bien ESMLM 4245R, 5205R o 5510R, emita el comando cat/proc/mdstat de una de estas formas: En la consola de ESM, haga clic en Propiedades del sistema Administración de ESM Terminal, haga clic en Escribir y escriba el comando. Acceda mediante SSH al ESM. Conecte un monitor y un teclado al dispositivo. Si la salida tiene un aspecto como el del siguiente ejemplo, el RAID funciona correctamente y puede seguir con la ampliación: Personalities : [raid1] md_d127 : active raid1 sda[0](w) sdb[1](w) blocks [2/2][UU] Unused devices: <none> El código [UU] identifica las unidades activas. En caso de aparecer [_U] o [U_], una unidad no forma parte del RAID. Póngase en contacto con el Soporte de McAfee antes de la ampliación. Tipo de información Tipos de dispositivos admitidos Eliminación de dispositivos Detalles Los dispositivos ESM, ESM/Event Receiver (ESMREC) o ESM/Log Manager (ENMELM) solo se comunican con los modelos de dispositivos de la versión A fin de comprobar el modelo de su dispositivo, emita el comando cat/proc/ cpuinfo. La salida incluye el número de CPU en la línea model name. La CPU debe ser una de las siguientes: Antes de ampliar el ESM, ESMREC o ENMELM, es necesario eliminar todos los modelos de dispositivos especificados y las direcciones IP virtuales correspondientes a los modelos de Nitro IPS especificados. De no hacerlo, aparecerá un mensaje en la página Inicio de sesión y en el registro de mensajes que indica que se ha producido este problema y que no se podrá llevar a cabo la ampliación. El ESM tampoco se ampliará, y se incluirán las entradas correspondientes en el registro de mensajes del dispositivo. Para eliminar un IPS virtual, seleccione el dispositivo en el árbol de navegación del sistema y haga clic en el icono Propiedades. Seleccione Configuración del dispositivo Dispositivos virtuales y, a continuación, seleccione los dispositivos virtuales existentes y haga clic en Quitar. Haga clic en Escribir para indicar la configuración al IPS. Es necesario desplegar la directiva del dispositivo ESM, ESMREC o ENMELM de la versión en el dispositivo IPS o, de lo contrario, el IPS permanecerá en modo de omisión y no se inspeccionará el tráfico. 11

12 Tipo de información Tiempo de reconstrucción Rutas de ampliación Ampliación de dispositivos receptores de disponibilidad alta Detalles El tiempo de reconstrucción de tablas varía en los dispositivos ESM, ESMREC y ENMELM. Para acelerar la ampliación de la base de datos del ESM: Establezca una duración de extracción mayor para la recopilación de eventos, flujos y registros, lo cual aumenta el tiempo para la reconstrucción. En la consola de ESM, haga clic enpropiedades del sistema Eventos, flujos y registros y establezca el Intervalo de comprobación automática. Desactive la recopilación de eventos, flujos y registros hasta que finalice la reconstrucción. Este paso solo se debe realizar si el número de eventos y flujos enviados al ESM es reducido. En la consola de ESM, haga clic en Propiedades del sistema Eventos, flujos y registros y anule la selección del Intervalo de comprobación automática. El tiempo de reconstrucción de los dispositivos es de aproximadamente 45 minutos. Es posible ampliar a la versión directamente desde la versión o posterior. Las versiones anteriores a la se deben ampliar mediante la ruta siguiente: 7.x.x > 8.2.x > 8.3.x > > > > > o posterior > A fin de ampliar los dispositivos receptores de disponibilidad alta, es necesario comprobar antes el estado de disponibilidad alta del receptor. Véase Comprobación del estado de receptores de disponibilidad alta en la Ayuda online de ESM. Situaciones de ampliación especiales Existen algunas situaciones en las que puede que necesite llevar a cabo pasos adicionales antes o después de efectuar la ampliación. Situación Instalación de un nuevo modelo de McAfee ESM Obtención de actualizaciones de reglas sin conexión Acción Si va a instalar un modelo nuevo de McAfee ESM, tiene treinta días para registrar el hardware a fin de poder recibir actualizaciones de directivas, analizadores y reglas como parte del contrato de mantenimiento. Si no se registra, no podrá recibir ampliaciones. Para obtener su nombre de usuario y contraseña permanentes, envíe un mensaje de correo electrónico a Licensing@McAfee.com con la información siguiente: número de concesión de McAfee, nombre de cuenta, dirección, nombre de contacto y dirección de correo electrónico de contacto. 1 Diríjase a 2 En la esquina superior derecha, haga clic en Descargar mis productos y, después, en Ir. 3 Introduzca su número de concesión, escriba las letras que se muestran y, a continuación, haga clic en Enviar. 4 Haga clic en MFE Enterprise Security Manager y, después, en MFE Nitro Rules Downloads. 5 Lea el acuerdo de licencia y haga clic en Acepto. Se mostrarán los archivos de actualización disponibles según la versión del ESM. 6 Descargue las reglas correspondientes a su versión de ESM. 12

13 Situación Resolución de problemas de comunicación de los dispositivos Acción Si ha ampliado un dispositivo de McAfee (distinto del ESM), podría aparecer el mensaje Es necesario ampliar el dispositivo a la versión para realizar esta operación. Verifique que el ESM sea de la versión correcta. 1 En la consola de ESM, seleccione el dispositivo en el árbol de navegación del sistema y, después, seleccione el icono Propiedades. 2 Haga clic en Conexión y, después, en Estado. La versión se actualizará. 3 Vuelva a intentar la operación que provocó el mensaje. Ampliación de un ESM redundante En primer lugar se debe ampliar el ESM principal y, después, se amplía el ESM redundante de acuerdo con las instrucciones proporcionadas. 1 En el árbol de navegación del sistema, seleccione el ESM principal y haga clic en el icono Propiedades. 2 Haga clic en Eventos, flujos y registros y anule la selección de la opción Intervalo de comprobación automática. 3 En el ESM principal, utilice una conexión SSH segura para confirmar que los archivos de alerta no se están procesando mediante la ejecución de este comando: ll /usr/local/ess/dbredund/ 4 Si no existen archivos de alerta en la carpeta, amplíe el ESM principal. 5 En el ESM redundante, utilice una conexión SSH segura para confirmar que los archivos de alerta no se están procesando mediante la ejecución de este comando: ll /usr/local/ess/dbredundprimarytransfer/ 6 Si no existen archivos de alerta en la carpeta, amplíe el ESM redundante. 7 Tras ampliar el ESM redundante, vuelva a activar la recopilación de eventos, flujos y registros en el ESM principal. Otra forma de verificar que el ESM redundante ha terminado de procesar alertas es utilizar una conexión SSH segura para ejecutar el comando top. Verifique que no haya procesos de tipo event insert en ejecución (véanse los elementos en negrita) root m 4.5g 9700 S :37.20 cp Job31 idle root m 4.5g 9700 S :51.55 cp Job32 idle root m 4.5g 9700 S :37.59 cp Job33 idle root m 4.5g 9700 S :39.24 cp Job34 idle root m 4.5g 9700 S :32.00 cp Backup root m 4.5g 9700 S :00.72 cp RedundantInsert 13

14 Situación McAfee epo con Policy Auditor Acción Si el dispositivo de McAfee epo ya está en el ESM, deberá actualizarlo. 1 Si no tiene un dispositivo de tipo todo en uno, amplíe el receptor al que está conectado el dispositivo de McAfee epo. 2 En la consola de ESM, haga clic en Propiedades de epo Administración de dispositivos y, después, haga clic en Actualizar. Puede configurar la recuperación automática en la ficha Administración de dispositivos. 3 En la consola de ESM, haga clic en Propiedades de receptor y, después, haga clic en la ficha Evaluación de vulnerabilidades. 4 Haga clic en Escribir. 5 Repita el paso 2 para obtener datos de evaluación de vulnerabilidades en el ESM. Al efectuar la actualización, se registra Policy Auditor como origen de evaluación de vulnerabilidades, lo cual a su vez permite que se escriba Policy Auditor en vathirdparty.conf. 6 Cierre la sesión en la consola de ESM y vuelva a iniciarla. Ampliación de los receptores de disponibilidad alta Antes de llevar a cabo la ampliación, establezca el receptor principal preferido con el valor Sin preferencia, lo cual permite utilizar la opción de conmutación en caso de error. El proceso de ampliación amplía ambos receptores secuencialmente, empezando por el secundario. Una vez ampliados ambos receptores, se puede volver a aplicar el receptor principal preferido. 14

15 Situación Reconstrucción de la base de datos de administración de ELM Ampliación de un ELM redundante Acción La indización de la base de datos de administración de ELM podría requerir más tiempo, en función del modelo de ELM. Por ejemplo, el número de grupos existentes, la cantidad de datos enviados desde los dispositivos de registro y el ancho de banda de la red si se emplea el almacenamiento remoto pueden aumentar el tiempo que se tarda en completar la indización. No obstante, esta tarea en segundo plano tiene un impacto mínimo en el rendimiento y, cuando finaliza, mejora las consultas sobre datos históricos. Para comprobar el estado de la reconstrucción, acceda a Propiedades de ELM Información de ELM. Si aparece el mensaje La base de datos se está reconstruyendo en el campo Estado Activo, NO detenga ni inicie la base de datos de ELM. El sistema indiza todos los datos nuevos del ELM en el dispositivo origen del envío antes de enviar dichos datos al ELM. Si tiene receptores que realizan el registro en el ELM y se encuentran cerca de su capacidad máxima, póngase en contacto con el servicio de Soporte. Se debe ampliar el ELM en espera antes de hacer lo propio con el ELM activo. El proceso de ampliación suspende la redundancia de ELM. Tras ampliar ambos ELM, deberá reiniciar la redundancia de ELM. 1 Amplíe el ELM en espera. 2 A continuación, amplíe el ELM activo. 3 En el árbol de navegación del sistema, seleccione el ELM en espera y acceda a Propiedades de ELM Redundancia de ELM. Haga clic en Volver a poner en servicio. 4 Diríjase a Propiedades de ELM Información de ELM y haga clic en Actualizar. Tanto el ELM activo como el ELM en espera deberían tener el estado Correcto. Si el ELM en espera tiene el estado Incorrecto, haga clic en Actualizar de nuevo. Tras unos minutos, el estado del ELM en espera debería cambiar a Correcto, rsync de ELM redundante 100% finalizado. Existe la posibilidad de que tenga que hacer clic en Actualizar varias veces. Descarga de los archivos de ampliación Cuando el sistema esté listo para la ampliación, descargue los archivos de ampliación al sistema local. Procedimiento 1 En el sitio web de McAfee de Descarga de productos, en la dirección downloads/downloads.aspx, escriba su número de concesión de cliente en el campo Descargar mis productos y haga clic en Ir. 2 Seleccione el dispositivo que desee ampliar. 3 Seleccione el vínculo correcto (MFE <nombre del dispositivo> v9.5.0), lea el acuerdo de licencia de usuario final (EULA) de McAfee y haga clic en Acepto. 4 Descargue estos archivos en su sistema local: Para el dispositivo McAfee Enterprise Security Manager (ESM o ETM): ESS_Update_9.5.0.tgz. Para el dispositivo McAfee Enterprise Security Manager y Log Manager (ENMELM o ESMREC): ESSREC_Update_9.5.0.tgz. Para el dispositivo McAfee Nitro Intrusion Prevention System (Nitro IPS o NTP): IPS_Update_9.5.0.tgz. 15

16 Para el dispositivo McAfee Event Receiver (ERC o ELMERC): RECEIVER_Update_9.5.0.tgz. Para el dispositivo McAfee Database Event Monitor (DEM): DBM_Update_9.5.0.tgz. Para el dispositivo McAfee Advanced Correlation Engine (ACE): RECEIVER_Update_9.5.0.tgz. Para el dispositivo McAfee Enterprise Log Manager (ELM): RECEIVER_Update_9.5.0.tgz. Para el dispositivo McAfee Application Data Monitor (ADM): APM_Update_9.5.0.tgz. Estos archivos están listos para ampliar el ESM y los dispositivos correspondientes. Ampliación del sistema Debe ampliar el ESM y sus dispositivos, siguiendo un orden concreto, en función de su modo. Tras la ampliación, vuelva a establecer la configuración de los dispositivos y despliegue la directiva correspondiente. Antes de empezar Consulte Preparativos para la ampliación y Situaciones de ampliación especiales. Asegúrese de que en el sistema se esté ejecutando la versión o posterior. Si ha ampliado recientemente a la versión 9.3.2, verifique que la reconstrucción de la base de datos haya finalizado. Procedimiento 1 Amplíe los dispositivos en este orden. Para obtener detalles sobre la ampliación del ESM y los dispositivos, consulte Ampliación de ESM, ESMREC o ENMELM y Ampliación de dispositivos. Modo Orden No FIPS 1 Amplíe el ESM, ESMREC o ENMELM. 2 Espere a que se compile la base de datos. 3 Amplíe el ELM o ELMERC. 4 Amplíe Nitro IPS, Event Receiver, ACE, DEM y ADM. Si va a ampliar un ESM redundante, véase Ampliación de un ESM redundante en Situaciones de ampliación especiales. FIPS 1 Amplíe el ELM o ELMERC. 2 Amplíe los dispositivos Nitro IPS, Event Receiver, ACE, DEM y ADM. 3 Amplíe el ESM, ESMREC o ENMELM. Puede empezar cuando se inicien todas las ampliaciones de dispositivos. Si no se amplían los dispositivos antes de ampliar el ESM en el modo FIPS, esto podría afectar a la recopilación de registros de ELM. 2 Verifique que existe comunicación con los dispositivos. 3 Descargue la actualización de reglas manual al ESM (véase Obtención de actualizaciones de reglas sin conexión en la sección Situaciones de ampliación especiales de este documento). 16

17 4 Aplique las reglas actualizadas. a En el árbol de navegación del sistema, seleccione el sistema y haga clic en el icono Propiedades. b c En la página Información del sistema, haga clic en Actualización de reglas y, después, en Actualización manual. Navegue hasta el archivo de actualización, haga clic en Cargar y, después, en Aceptar. 5 Lleve a cabo este proceso para volver a establecer la configuración de cada uno de los dispositivos a fin de asegurarse de que se aplique toda la configuración de la versión a En la consola de ESM, seleccione el dispositivo en el árbol de navegación del sistema y, después, haga clic en el icono Propiedades. b Siga estos pasos en cada dispositivo. Tipo de dispositivo Event Receiver o combinación ESM/ Event Receiver Procedimiento Orígenes de datos: haga clic en Orígenes de datos Escribir. Orígenes de evaluación de vulnerabilidades: haga clic en Evaluación de vulnerabilidades Escribir. ACE Correlación de riesgos: haga clic en Administración de correlación de riesgos Escribir. Correlación histórica: haga clic en Histórica Activar correlación histórica Aplicar. Si esta opción ya estaba seleccionada, anule su selección, selecciónela de nuevo y haga clic en Aplicar. Correlación de reglas: haga clic en Correlación de reglas, seleccione Activar correlación de reglas y haga clic en Aplicar. Si esta opción ya estaba seleccionada, anule su selección, selecciónela de nuevo y haga clic en Aplicar. Nitro IPS, DEM o ADM Dispositivos virtuales (IPS y ADM): Haga clic en Dispositivos virtuales Escribir. Servidores de base de datos: haga clic en Servidores de base de datos Escribir. 6 Despliegue la directiva en todos los dispositivos ampliados. Tras el despliegue en un dispositivo Nitro IPS, asegúrese de desactivar en el dispositivo el modo de omisión mediante Configuración del dispositivo Interfaces. 7 Si dispone de un ELM o ELMERC que recopilan registros de un dispositivo, sincronice el ELM (Propiedades del dispositivo Configuración del dispositivo Sincronizar ELM). Ampliación de ESM, ESMREC o ENMELM Una vez que el sistema esté listo, puede ampliar su ESM, ESMREC o ENMELM a la versión Antes de empezar Lea este documento por completo y asegúrese de que todos los dispositivos conectados al ESM sean compatibles con la versión (véase Tipos de dispositivos admitidos en Preparativos para la ampliación). 17

18 Procedimiento Para ver las definiciones de las opciones, haga clic en? en la interfaz. 1 En la consola de ESM, seleccione el dispositivo ESM y haga clic en el icono Propiedades. 2 Seleccione Administración de ESM y haga clic en Actualizar ESM. 3 En la página Seleccionar archivo de actualización de software, desplácese hasta uno de los archivos siguientes. Tipo de dispositivo Enterprise Security Manager (ESM) autónomo Enterprise Security Manager con un receptor integrado (ESMREC) Enterprise Security Manager con un receptor y un Enterprise Log Manager (ENMELM) integrados, también conocido como combinación ENMELM Archivo ESS_Update_9.5.0.tgz ESSREC_Update_9.5.0.tgz ESSREC_Update_9.5.0.tgz 4 Seleccione el archivo y haga clic en Cargar. Se le informará de que el ESM se reiniciará y todos los usuarios perderán la conexión. 5 Haga clic en Sí para continuar y, cuando se le pida que cierre el navegador, haga clic en Aceptar. Se producirá la ampliación, la cual puede tardar varias horas. 6 Cuando termine la ampliación, vuelva a iniciar sesión en la consola mediante una sesión nueva del navegador. Ampliación de dispositivos Si no está usando el modo FIPS, amplíe los dispositivos IPS, Event Receiver, ELM, ELM/Event Receiver, ACE, ADM y DEM después de ampliar el ESM. Si utiliza el modo FIPS, amplíe los dispositivos antes de ampliar el ESM. Antes de empezar Lea este documento por completo y asegúrese de que todos los dispositivos sean compatibles con la versión (véase Tipos de dispositivos admitidos en Preparativos para la ampliación). Procedimiento Para ver las definiciones de las opciones, haga clic en? en la interfaz. 1 En la consola de ESM, seleccione el dispositivo que desee ampliar y, después, haga clic en el icono Propiedades. 2 Haga clic en la opción Administración del dispositivo y, después, haga clic en Actualizar dispositivo. 3 En la página Seleccionar archivo de actualización de software, desplácese hasta uno de estos archivos: 18

19 Tipo de dispositivo IPS Event Receiver ELM Combinación ELM/Event Receiver ACE DEM ADM Máquina virtual ESS Archivo IPS_Update_9.5.0.tgz Receiver_Update_9.5.0.tgz DBM_Update_9.5.0.tgz APM_Update_9.5.0.tgz Ya no hay ampliaciones disponibles para este dispositivo. Póngase en contacto con el equipo de ventas de McAfee para adquirir un nuevo modelo de máquina virtual de ESM. 4 Seleccione el archivo y haga clic en Cargar. 5 En la página Actualizar software del dispositivo, haga clic en Sí para continuar. El archivo se cargará y el dispositivo se reiniciará. 6 Cuando se restablezca la comunicación, compruebe la versión del dispositivo. Búsqueda de documentación de productos Una vez que se lanza un producto, la información del producto se introduce en el Centro de conocimiento online de McAfee. Procedimiento 1 Vaya a la ficha Centro de conocimiento del portal McAfee ServicePortal en 2 En el panel KnowledgeBase, haga clic en un origen de contenido: Documentación del producto para encontrar documentación del producto Artículos técnicos para encontrar artículos de la base de datos KnowledgeBase 3 Seleccione No borrar mis filtros. 4 Introduzca un producto, seleccione una versión y haga clic en Buscar para que aparezca una lista con documentos. Documentación del producto Todos los productos de McAfee disponen de una completa documentación. Es posible acceder a la documentación de producto localizada de McAfee ESM desde la Ayuda online de ESM o a través del Centro de conocimiento. Acceso a la Ayuda online localizada Cuando se inicia una sesión en ESM, se puede cambiar la configuración de idioma, lo cual cambia también el idioma empleado en la Ayuda online. 1 Inicie sesión en ESM. 2 En el panel de navegación del sistema de la consola de ESM, haga clic en Opciones. 19

20 3 Seleccione un idioma en la lista desplegable Idioma y haga clic en Aceptar. 4 Para acceder a la Ayuda, haga clic en el icono de ayuda situado en la esquina superior derecha de las ventanas del ESM, o bien haga clic en el menú Ayuda de la consola de ESM. La Ayuda online aparecerá en el idioma seleccionado. Si la Ayuda aparece solo en inglés, significa que la versión localizada no está disponible aún. La Ayuda localizada se instalará mediante una actualización futura. Acceso a las guías localizadas en el Centro de conocimiento 1 Localice su ID de concesión e inicie sesión en la página de descargas de productos de MFE Enterprise Security Manager. 2 Haga clic en el vínculo ESM Product Documentation v Seleccione un idioma en el cuadro desplegable Language. 4 Haga clic en el vínculo adecuado para abrir la Guía del producto (pg), la Guía de instalación (ig) o las Notas de la versión (rn) localizadas. Copyright 2015 McAfee, Inc. Intel y el logotipo de Intel son marcas comerciales o marcas comerciales registradas de Intel Corporation. McAfee y el logotipo de McAfee son marcas comerciales o marcas comerciales registradas de McAfee, Inc. Los demás nombres y marcas pueden ser reclamados como propiedad de otros.