Seguridad Práctica de Endpoints Empresariales

Transcripción

1 Presentado por RESEÑA COMPARATIVA Seguridad Práctica de Endpoints Empresariales En esta Reseña Smart Security 4 Business Edition Business Space Security 6.0 R2 (Administration Kit 8.0) Total Protection for Endpoint v 8.7i (epo 4.5) Endpoint Security and Control 8 Endpoint Protection 11.0 Worry-Free Business Security 6.0 Standard Edition El mercado de la seguridad de endpoints está cambiando a un ritmo sorprendentemente rápido, especialmente cuando se considera cuán relativamente maduro éste es. Mientras que las marcas establecidas pueden proveer una tranquilidad subjetiva, los compradores que buscan más allá de ellas y hacia las capacidades cuantitativas de los productos pueden descubrir opciones menos conocidas que son mejores para ajustarse a sus empresas. En nuestra continua evaluación de productos de seguridad, Cascadia Labs ha encontrado diferencias significativas en qué tan bien los productos cubren las metas corporativas en cuanto a paquetes de seguridad, desde la efectividad al bloquear amenazas hasta el desempeño al integrarse a la infraestructura de la empresa. Con el fin de evaluar las capacidades reales de los paquetes de seguridad para endpoints, pusimos a seis de ellas a prueba en nuestro laboratorio de seguridad. Recopilamos información cuantitativa y cualitativa a detalle sobre sus capacidades en diferentes áreas importantes para empresas pequeñas y medianas. Comenzamos por observar la experiencia del endpoint con algunas medidas cuantitativas de efectividad y desempeño un producto necesita proteger a los usuarios contra las amenazas en Internet y mantenerlos alejados de ellas en la medida de lo posible. Después cambiamos los puntos de ventaja para el administrador de IT y exploramos la forma en que el producto se integra con Active Directory y Windows 2008 Server, así como el manejo y uso del producto. Continuamos creyendo que los productos que son fáciles de manejar y que ofrecen visibilidad sobre su trabajo serán los que a fin de cuentas contribuyan a una mejor política de seguridad. Resumen Encontramos que los productos son más diferentes que similares conduciendo a la conclusión de que las compañías deberían considerar cuidadosamente la elección que hacen. CALIFICACIONES GENERALES Categoría Smart Security 4 Business Edition Business Space Security 6.0 R2 (Administration Kit 8.0) Total Protection for Endpoint 8.7i (epo 4.5) Endpoint Security and Control 8 Endpoint Protection 11.0 Worry-Free Business Security 6.0 Standard Edition Instalación & Configuración Políticas & Manejo Visibilidad & reportes Desempeño Efectividad EN GENERAL ½ ½ ½ Resumen Rápido Un producto rápido ideal para compañías pequeñas dada su poca integración AD, su falta de tablero y su poco pulimiento en relación con otros productos en esta reseña Buena elección para compañías de todos los tamaños dada su gran velocidad de integración AD, su excelente protección contra amenazas de la red y un manejo sólido. Los reportes y la documentación pueden mejorarse. Un producto complejo más apropiado para organizaciones grandes que pueden manejar su complejidad. Encontramos un desempeño lento a lo largo de las pruebas. Un producto muy limpio y bien diseñado con configuraciones por default que hacen poco por bloquear las amenazas de la red. Los reportes necesitan algo de trabajo. Un producto sólido con buen manejo y buenos reportes, pero con fuertes problemas para combatir nuestras amenazas de la red. Una buena elección para compañías pequeñas, ofrece protección contra amenazas de la red. Su desempeño puede ser una molestia. Key: Pobre Regular Bueno Muy Bueno Excelente 1

2 RESUMEN DEL INFORME DE INSTALACIÓN & CONFIGURACIÓN Pasos y Producto Tiempo para Terminar Calificación Pros Cons Smart Security Lab Business Space Security 131 pasos 3-4 horas 78 pasos 3 horas Muy bien documentado: fácil de seguir, incluyendo cambio de GPO No se necesitan cambio de GPO Cambios manuales en el firewall claramente documentados Provee una lista extensiva de las renovaciones del producto Automáticamente instala bases de datos para el servidor de administración Pobre integración con el Active Directory Usa la base de datos de Microsoft Access automáticamente (sin documentación en el asistente de instalación) La documentación de la instalación podría ser más clara Total Protection for Endpoint 166 pasos 4-6 horas Buena detección de clientes del Active Directory y otros dominios de la red Tarea AD sync es fácil de ejecutar y usar posteriormente El proceso es complejo El producto requirió un número grande de descargas y estuvo pobremente integrado Documentación pobre, con temas desvinculados Endpoint Security and Control 183 pasos 3-4 horas Magnífica integración con el Active Directory; al importar la estructura AD es fácil de encontrar y ejecutar Requiere una pre-instalación de SQL Server 2005/2008 Requiere que el servidor se reinicie después de deshabilitar UAC, forzando el reinicio del asistente de instalación desde el inicio Instalación personalizada al componente "SQL Server" es confusa Endpoint Protection 123 pasos 3-4 horas steps, Documentación muy detallada, fácil de seguir Auto-instalación de bases de datos para el servidor administrador AD sync bien documentado y fácil de ejecutar La configuración manual del GPO o la del cliente requirió abrir la red para instalar el agente Worry- Free Business Security 72 pasos 3 horas Menos número de pasos durante la instalación Auto-instala una base de datos para el servidor administrador Requiere una configuración manual del GPO para empujar al cliente No se documentan los componentes específicos del IIS hasta después de que se terminó la instalación inicial del IIS, y Worry-Free hicieron la configuración de la instalación sencilla, de los cuales superó a los otros gracias a su integración con el Active Directory. Estos mismos productos y proveyeron las mejores políticas y la mejor experiencia de manejo; quedó relegada por su complejidad y necesita una mejor integración con el Active Directory para poder considerarle como proveedor de grandes empresas. y tuvieron la mejor visibilidad y reportes, con muchas opciones para hacer que el administrador y el oficial de cumplimiento estén contentos. En cuanto al desempeño,, y tuvieron buenas calificaciones; y disminuían la velocidad de la experiencia del usuario. Por lo que a la efectividad se refiere, y Worry-Free obtuvieron las mejores calificaciones, mientras que y no bloquean las amenazas en Internet suficientemente en sus configuraciones por default. Al final, las compañías necesitarán hacer una elección con base en los requisitos individuales y configurarlos apropiadamente, para que valga la pena tomar en cuenta las calificaciones individuales y reseñas y no sólo las calificaciones generales de los productos. Calificando los Productos Las calificaciones están determinadas con base en las pruebas realizadas en nuestros laboratorios con los puntos a favor y en contra resaltados en nuestros resúmenes de los reportes. Se pretende que las calificaciones comparen los productos y no deben usarse como medidas absolutas de las capacidades de los productos en un área dada. Si un producto resalta en verdad en comparación con otros productos, puede recibir 5 triángulos. Instalamos cada producto en nuestra red de pruebas en máquinas con Windows Server 2008, Windows XP y Windows 7, lo configuramos y luego probamos su desempeño y efectividad contra un grupo de amenazas en internet para probar las respuestas del producto que puedan incluir detección basada en firmas, filtro de contenido de URL e internet, bloqueo conductual, firewall y otras habilidades de protección. Del mismo modo llevamos a cabo tareas administrativas representativas tales como añadir nuevas máquinas a la red, permitiendo excepciones para aplicaciones particulares que se ejecutan en máquinas individuales, así también evaluamos las capacidades de alerta y reportes. Le dimos entonces una calificación a cada producto siguiendo las siguientes cinco categorías. 2

3 RESUMEN DEL INFORME DE POLÍTICAS & MANEJO Producto Calificación Pros Cons Smart Security Business Space Security Total Protection for Endpoint El editor de políticas incluye un botón único de default para establecer cualquier valor por default Interface clara y fácil de usar Permite políticas en cada grupo de estaciones de trabajo, servidores y dispositivos móviles Usa una política por grupo La interface MMC es más fácil y rápida que las interfaces con base en internet Provee un control muy a detalle sobre políticas y lo que el usuario ve No hay integración con el Active Directory No maneja bien los grupos; la vista default regresa a la vista sin grupos cuando se reinicia Sólo se permitió una política activa en cada contenedor Es complejo: usa 11 políticas antivirus por separado, además de una más para el agente La instalación por default deja a los clientes sin protección; las actualizaciones no están habilitadas La instalación por default del firewall deshabilita toda la conexión de la red Endpoint Security and Control Endpoint Protection Worry- Free Business Security Interface buena y clara; todo lo que se necesita está en una sola ventana La interface es sencilla y clara Las políticas por default tienen configuraciones que la mayoría de los administradores querrían El firewall funciona con las aplicaciones de la empresa sin modificación Interface simple y limpia Todos los cambios a las políticas pueden hacerse en una pestaña Es fácil determinar qué políticas aplican a cada grupo para crear nuevas políticas o grupos Usa cinco políticas (agente, antivirus, control de la aplicación, firewall y NAC) haciendo, creando y ejecutando políticas de manera torpe y lenta La multiplicidad de políticas hacen que la administración del cliente sea más compleja que los productos con una sola política La configuración por default deja la consola para entrar a internet con un error de certificado de la seguridad La categoría de Instalación & Configuración evalúa la experiencia de instalación del software del servidor y de la consola de administración, así como la ejecución del software de seguridad para el endpoint en las máquinas del cliente y del servidor en la red. Les dimos preferencia a productos realmente integrados, aquéllos con asistentes de instalación claros y a aquéllos que descubrían de manera automática a endpoints a través de una completa integración con el Active Directory, NetBIOS o direcciones IP. Muchos de estos productos requieren de una base de datos y de un servidor de internet. El mejor hace la vida del administrador más sencilla al instalar automáticamente los pre-requisitos necesarios. RESUMEN DEL INFORME DE VISIBILIDAD & REPORTES Producto Calificación Pros Cons Smart Security Business Space Security Total Protection for Endpoint Endpoint Security and Control Endpoint Protection Worry- Free Business Security Muchos reportes predefinidos Excelente tablero extensible Sistema flexible para reportes predefinidos y personalizados y alertas Fácil de enviar por correo electrónico alertas y reportes Juegos grandes de reportes predefinidos y alertas Buen tablero, con un gran número de opciones de gráficos que pueden ser mostrados en tantas pestañas como se quiera Interface limpia para tableros y reportes La Configuración de alertas por correo electrónico es rápida y fácil Tablero informativo bien organizado El proceso de envío de alertas es sencillo y claro El sistema de alertas es completo y fácil de usar con dampers El tablero está bien organizado y se puede personalizar Las alertas y los reportes son fáciles de programar y enviar por correo electrónico Sin tablero Los reportes y alertas personalizados son difíciles de instalar No hay opción de reportes en PDF Puede tardar un tiempo encontrar el reporte que se esté buscando Los reportes "personalizados" están limitados a búsquedas predefinidas Proceso complejo para crear reportes Se debe navegar a través de varias secciones de la interface La función de reporte está limitada a algunas categorías No hay forma de generar reportes semanales La consola de administración puede terminar usando demasiado los niveles en el servidor Se limita a los reportes de HTML Los reportes canned son un poco incómodosde usar Los reportes están limitados a periodos predefinidos de 14 días 3

4 La de Políticas & Manejo cubre tanto a la configuración inicial de políticas como al manejo de políticas actuales. Incluimos tareas administrativas como configurar una política de endpoint por default, añadiendo un escritorio nuevo, programando escaneos, ejecutando un escaneo bajo demanda y configurando un firewall. Asimismo otorgamos calificaciones altas a los productos con características orientadas a la empresa como la integración con el Active Directory y consciencia de ubicación. Todos los productos soportan algún tipo de empuje a la instalación para clientes en un dominio, así como heredan políticas de contenedores padres a sus hijos. Preferimos pocas políticas a manejar y los productos que pudieran manejar políticas de laptops, desktops y servidores de manera sensible. La Visibilidad & Reportes examina las capacidades del tablero, los reportes y las alertas ofrecidas por el producto. Consideramos como un beneficio mayor que la disponibilidad de un tablero que provee una visión clara de comprender del estado de protección del cliente, de eventos recientes y que las actividades basadas en tareas. No obstante, un tablero debe aumentarse por herramientas de reportes y alertas que identifiquen información crítica tal como malware detectado, firmas fuera de fecha y computadoras carentes de protección para el endpoint a través de cientos o incluso miles de endpoints. El Desempeño mide qué tan bien se minimiza el impacto en los usuarios mientras llevan a cabo tareas comunes tales como escaneos por acceso, escaneos del sistema completo y al abrir archivos pesados. Una solución de seguridad para endpoints no debería aletargar de manera significativa a los usuarios. Los mejores añadirán una mínima carga a las computadoras de los clientes en escaneos por acceso o bajo demanda. Resultados de Desempeño Los productos de y fueron los más rápidos que evaluamos. Minimizan la carga en los escaneos por acceso y mostraron por mucho los tiempos más cortos para ejecutar escaneos de todo el sistema bajo demanda. Por otro lado, los productos y Tren Micro imponen un impacto significativo en las actividades diarias necesitaron más del doble de tiempo para copiar carpetas y abrir un archivo pesado de PowerPoint como un sistema de base de referencia (sin un producto de seguridad endpoint ). A y les tomó el mayor tiempo en ejecutar escaneos bajo demanda. Además, realizamos un segundo escaneo bajo demanda para determinar el beneficio potencial máximo de los mecanismos de almacenamiento. El producto de mostró una mejora mucho mayor frente a los otros productos sin embargo es importante recalcar que esta prueba muestra que el beneficio máximo posible, en condiciones donde ningún archivo ha cambiado y donde ninguna actualización de firmas que interviniera se llevó a cabo. Dado que este segundo escaneo bajo demanda es tan poco representativo del uso real, no lo incluimos en nuestros cálculos de las calificaciones del desempeño. Resultados de Efectividad Los productos mostraron una amplia variación en la efectividad al bloquear los efectos de las descargas drive-by y los exploits browserborne, una forma dominante de obtener amenazas hoy en día. superó a por un Time to Perform On Access Scan 0:00 5:00 10:00 15:00 20:00 Time to Perform On Demand Scan 0:00 5:00 10:00 15:00 20:00 25:00 30:00 Time to Open Large PowerPoint File 0:00 0:05 0:10 0:15 0:20 Time to Reboot 0:00 0:30 1:00 1:30 2:00 Time to Perform Second On Demand Scan 0:00 5:00 10:00 15:00 20:00 25:00 30:00 4

5 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% Web Threat Blocking Effect iveness resultado mejor, cada uno bloqueando completamente 80 por ciento o más de las campañas de exploit con las que evaluamos. En el caso de, el producto alcanzó su efectividad a través de bloqueos con base en la URL, reportando haber prevenido numerosos URLs malignos por descargas. El producto de usó una variedad de técnicas, incluyendo identificación heurísticas de iframes malignos incluidos en la HTML de una página web que en la mayoría de los casos detuvieron exploits. Incluso en los casos en que no bloqueó el exploit por completo, al menos reportó que había detectado troyanos. y estuvieron en segundo lugar, cada uno bloqueando la mitad de los exploits y en un caso adicional bloqueó todo excepto por alguna actividad de archivos de sistema. Siguió y en último lugar, bloqueando por completo sólo 20 por ciento de los exploits. La capacidad HIPS de reportó frecuentemente un comportamiento sospechoso y resultó en un bloqueo parcial pero incompleto de la actividad maliciosa. La calificación de protección incompleta donde un proceso maligno estaba todavía ejecutándose en el sistema comprometido- es una falta. Smart Security 4 Business Edition RESUMEN Mientras que el producto de ofreció buenos números en su desempeño y la instalación fue aceptablemente clara aunque con una pobre integración con el Active Directoryinevitablemente le falta una interface al tablero y otros aspectos deseables para compañías. Asimismo el paquete tiene características limitadas de manejo de políticas y fue una molestia generar reportes personalizados y alertas. El producto de ofrece una interface limpia y simple con todo en una sola ventana y la mayoría de las opciones administrativas quedan ocultas para el endpoint. Como Business Space Security, el producto de no requiere de un administrador para instalar manualmente ya sea una base de datos o un servidor de internet previo a la instalación y ejecución del agente. No obstante, antes de ejecutar el agente, se necesitan hacer varias modificaciones a la configuración de firewall de Windows en el GPO. Uno de los retos cuando se intenta localizar los componentes de seguridad apropiados para descargarlos de la lista extensa, con multi-lenguajes multiplataforma que usa abreviaturas en lugar de nombres de productos. Este proceso podría simplificarse al separar el lenguaje y la opción de la plataforma en listas separadas con mejores denominaciones. El crear reportes personalizados y alertas es complejo debido a una interface casi impenetrable, aunque el producto sí ofrece 17 reportes útiles y alertas concordantes. Al final ofrece resultados de escaneo rápidos, pero al producto le llevó más tiempo hacer escaneos del sistema completo que a los productos más rápidos. Su efectividad contra las amenazas de internet fue mediana. Business Space Security 6.0 R2 RESUMEN El paquete de Endpoint Security superó en nuestras pruebas de desempeño y efectividad y fue muy fácil de instalar. Su ejecución estuvo entre las que menos pasos requirió de los productos que evaluamos, además de proveer un manejo flexible y capacidades de reportes. El producto usa varios asistentes de instalación para simplificar la instalación de los servidores y los componentes de administración, con la opción para ejecutar el agente de seguridad vía un objeto de Windows Group Policy (GPO) o vía un archivo push once y se abren los puertos de impresión compartida. Fue el único producto que revisamos que permite que un administrador ejecute silenciosamente a los agentes vía un GPO creado automáticamente y estuvo entre los menos complicados y más rápidos en ejecutar en un ambiente de Active Directory. El paquete de no requiere de instalación desde un servidor de internet y a diferencia de y, no requiere de un manual de instalación de bases de datos. Nuestra única queja: algunas secciones de la guía de ejecución de la documentación y administrador podrían organizarse mejor y presentarse de manera más clara. no ofrece gráficas bonitas, pero sí provee visibilidad sobre el estatus de todos los clientes instalados así como la habilidad para reducir la búsqueda de sistemas específicos rápidamente. no hace nada importante con el Active Directory. Usa una estructura plana inicial y todas las estaciones de trabajo y servidores se importan a un solo grupo con una sola política por default depende de usted descifrar las cosas. No es necesario agregar que en una gran organización esto representa una gran desventaja. ofrece una estructura en forma de árbol fácil de entender que refleja la arquitectura de su Active Directory así como acceso rápido a todas las herramientas que usted necesita. 5

6 Business Space Security permite tres políticas activas por grupo estaciones de trabajo, servidor y móviles- mientras que otros productos que revisamos generalmente requerían de grupos separados para servidores, estaciones de trabajo y sistemas móviles en cada grupo geográfico o funcional. La configuración de la política por default del producto es muy efectiva y generalmente es justo lo que el administrador querría: su configuración por default media provee un balance entre la más alta seguridad y el menor impacto en el desempeño. Otro punto a favor es que la configuración de la El producto de es directo y fácil de navegar, con pocas opciones. estación de trabajo y el servidor para todos los aspectos del escaneo antivirus de archivo y aplicación, importación de internet y firewall son una sola política, mientras que los productos de, y requieren la configuración de múltiples políticas por separado. El producto usa el Microsoft Management Console (MMC) para administrar el servidor, en lugar de una aplicación de internet, haciendo que las tareas sean más fáciles y rápidas de ejecutar. La primera vez que la consola de administración es iniciada, información AD ocupa el sistema, pero las computadoras tuvieron que seleccionarse manualmente y ser agregadas antes de que pudieran ser administradas. Total Protection for Endpoint 8.7i RESUMEN El producto de trae consigo un complejo proceso de instalación, y obtuvo en nuestras pruebas uno de los resultados más pobres en cuanto a desempeño. Mientras que ofrece características de reporte poderosas y flexibles, éstas pueden ser difíciles de utilizar. Encontramos que la instalación e implementación de están El tablero principal de ofrece acceso a tutoriales, una vista de los archivos de actualización más recientes de firmas y motores, y el nivel de amenaza para todos los sistemas administrados. entre las más complejas y tardadas de los productos que probamos. Esto se debe, principalmente, a que el producto requiere de la instalación manual de una base de datos, así como de la descarga y de la revisión manual de los componentes anti-virus y antispyware. También nos encontramos con problemas con el agente de implementación debido a la falta de documentación clara en la cual los puertos requerían ser abiertos en el firewall de Windows. Por default, el cliente de da al usuario final un acceso completo a todas las opciones y detalles de configuración a través de una variedad de ventanas. Otro inconveniente es que los clientes no están listos para descargar actualizaciones por default de manera automática; esto tiene que ser manualmente configurado. La importación de la estructura del Active Directory con Total Protection for Endpoint fue más complicada que con la mayoría de los otros. El sistema separa las tareas y las políticas, y requiere de que usted cree una tarea para descargar actualizaciones a servidores y otra tarea para incluir nuevas firmas para los clientes no provee una manera de ejecutar una tarea automatizada más de una vez al día. Además, crear una tarea para implementar parches es complicado; no hay manera de crear una tarea como plantilla y aplicarla más tarde. El paquete más fuerte del producto fue el de sus poderosas herramientas de reporte y de alertas, que incluye 14 consolas de tableros pre-diseñados y la capacidad de diseñar los suyos. De cualquier modo, mientras que las características eran poderosas, los administradores pueden tener problemas con la complejidad de tener que configurar numerosos escenarios en diferentes menús para completar una sola tarea. Prepárese para consultar el manual más frecuentemente que con otros productos. En cuanto al desempeño, no tiene una velocidad demoníaca, posicionándose en el último lugar en nuestra prueba de tiempo de escaneo por acceso y regresando en un lugar medio dentro del grupo en los resultados de escaneo bajo demanda. Su efectividad también obtuvo un lugar medio en el grupo en contra de las amenazas de la Web. Endpoint Security and Control 8 RESUMEN Armado con un desempeño estelar, configuración relativamente simple, e interface de administración muy bien diseñada, Endpoint Security and Control obtuvo buenos resultados en el lado del software de seguridad. Su desempeño fue de primera clase pero su efectividad contra las amenazas de la Web no fue tan buena. El producto fue el único paquete revisado que permitió la creación de grupos dentro de su interface y la habilidad de sincronizarlos de regreso en el Active Directory. Esto le permite a una empresa mantener la misma estructura de directorio en AD y en la aplicación lo cual, con le da un agradable panorama gráfico de las amenazas detectadas junto con una visión organizada de la estructura y las políticas del directorio. 6

7 las configuraciones correctas, puede ser extremadamente útil para mantener una estructura consistente. El paquete de Endpoint Security and Control estuvo entre los productos más fáciles de instalar. Desafortunadamente, los administradores necesitan instalar manualmente una base de datos si desean provee herramientas de administración de clientes separadas para las aplicaciones de Anti-Virus y de Firewall. instalar el servidor y la consola en el Servidor de Windows Un reinicio adicional del servidor es requerido si se está ejecutando el UAC. Una vez que esos obstáculos son superados, los múltiples asistentes de hacen el proceso de instalación rápido y fácil de navegar. También incluye un asistente de sincronización con el Active Directory que simplifica enormemente la localización de clientes en un ambiente AD. En general, tuvo una interface limpia; como la de Business Space Security, utiliza el Windows MMC. Encontramos la instalación de grupos y políticas simple y transparente. Sumado a esto, el producto utiliza cinco políticas haciendo que la creación e implementación de políticas sea un poco más complicada. El tablero del producto tiene gráficas de barras fáciles de leer, y permite la configuración útil de límites para advertencias y umbrales críticos. Las alertas de correo electrónico pueden ser configuradas directamente desde la ventana de la plantilla de configuración. Pero no hay mecanismo para enviar reportes a un intervalo regular, como por ejemplo una vez por semana el sistema sólo envía alertas cuando el umbral ha sido excedido. Además, la funcionalidad del reporte está muy limitada a pesar de que provee control sobre el periodo del reporte. El desempeño fue sobresaliente: dio los resultados más rápidos en casi todas nuestras pruebas, a pesar de que tuvo un resultado pobre en el tiempo de reinicio, sumando 40 segundos a nuestros sistemas de prueba. La efectividad no fue impresionante a pesar de que el producto de nos advertiría en ocasiones de contenido sospechoso, la mayoría de las hazañas fueron al menos parcialmente exitosas en iniciar procesos de rogue (maliciosos). Endpoint Protection 11.0 RESUMEN Los resultados contradictorios en el desempeño del producto de y la falta de efectividad contra las amenazas de la Web fueron compensados por características de reporte y alerta, generalmente buenas y una robusta administración de políticas. Antes de instalar la consola y el servidor de administración, los administradores deben instalar un El tablero de da una imagen clara del nivel de amenazas de virus actuales junto con el estatus de archivos de firma recientemente implementados y el estatus de los clientes. servidor Web. Los dos retos primarios que encontramos durante la instalación fue localizar la documentación listando los puertos abiertos necesarios para que la implementación de agentes triunfara así como para identificar adecuadamente a nuestros clientes usando el asistente Find Unmanaged Computers (Encontrar computadoras no administradas). Una vez que el producto está instalado, incluye uno de los asistentes de sincronización AD más fáciles de usar. Encontramos que la documentación de es de gran ayuda y una de las mejores estructuradas de todos los productos. permite la creación de políticas para controlar todo aspecto del anti-virus, anti-spyware, firewall, intrusión, prevención, aplicación y control El producto de es simple y fácil de usar, sin opciones innecesarias. de dispositivo, LiveUpdate y excepción de categorías, incluyendo qué días de la semana y/o veces al día deben ejecutarse los escaneos. La página principal del producto es un tablero muy bien organizado, que puede mostrar la actividad de las últimas 12 ó 24 horas. Los administradores pueden configurar la plantilla para autoactualizarse cada 3, 5 10, ó 15 minutos así como establecer umbrales para las alertas (a pesar de que el producto no permite umbrales que no sean número de eventos en un tiempo dado). Endpoint Protection provee un rango muy amplio de reportes predefinidos, con fina granularidad en periodos de tiempo (del último día al último mes) y filtrando por OS, protocolo, dirección (de entrada o de salida), severidad y otras métricas. El inconveniente es que sólo provee reportes en formato HTML. Mientras que demostró velocidad razonable en nuestras pruebas de escaneo por acceso y de descarga de archivos pesados, fue uno de los productos más lentos en el escaneo bajo demanda, posicionándose bastante atrás de Kaspesrky y. Su falta de efectividad en contra de las amenazas de la Web fue sorprendente basada en pruebas previas que hemos hecho en el producto para el consumidor de. Worry-Free Business Security 6.0 Standard Edition RESUMEN Trend Micto puede presumir de una muy buena efectividad en contra de las amenazas de la Web y de una interface simple y útil. Fue, sin embargo, el producto más lento de todos los que examinamos, y sus capacidades de reporte son limitadas. Al igual que el producto de, Worry- 7

8 simplifica la identificación de clientes desprotegidos, la implementación del software anti-virus, y la administración del proceso general de protección de PCs en una organización. Free Business Security requiere que el administrador instale un servidor Web, tal como IIS o Apache, previo a la instalación del producto. El asistente de instalación automáticamente instala una base de datos ya sea en el Servidor de Windows 2003 ó La documentación de Trend Micro relacionada con la implementación del agente de seguridad fue ligeramente confusa; listaba los requerimientos específicos para las estaciones de trabajo de Windows Vista pero no los pasos para El software de cliente de Trend provee una buena interface básica para comenzar los escaneos y otras tareas básicas. las estaciones de trabajo de Windows XP. Ver y crear políticas funcionó bien y fue fácil de hacer. provee una manera sencilla de empezar con una plantilla y de modificarla fácilmente para cualquier grupo, así como para determinar de manera simple qué política aplica a un grupo en específico. El tablero Live Status del producto provee estatus de amenaza para todos los clientes junto con muchos otros indicadores de seguridad-salud, así como un estatus de sistema de servidor mostrando escaneo inteligente, actualizaciones de componentes, eventos inusuales del sistema, y estatus de la licencia. Las alertas están limitadas a 24 eventos-la mayoría con umbrales, incluyendo estatus de clientes y virus detectados. El diseño de reportes por medio de las plantillas de es muy simple, y utiliza los mismas disparadores de los 24 eventos como alertas. Los reportes pueden ser ejecutados diariamente, semanalmente en cualquier día, o mensualmente en cualquier día del mes. Pero las características del reporte de producto carecen ligeramente de sentido. Primero, la carpeta de reportes está inicialmente vacía: usted tiene que crear un nuevo reporte utilizando una de las 14 plantillas, las cuales no pueden ser modificadas, para ejecutar un reporte. En cierto modo esto es lo peor de los dos mundos, en que no provee nada que usted pueda ejecutar para empezar, pero ninguna manera de personalizar lo que ha creado. Por ejemplo, el producto no tiene manera de generar un reporte mostrando terminales que estén fuera del límite de fecha. Finalmente, terminó en o cerca del final de nuestras pruebas de desempeño. Se tardó el mayor tiempo en completar el escaneo bajo demanda casi el doble que los dos paquetes más veloces, y. El producto de también incrementó sustancialmente al tiempo de reinicio. Cómo Examinamos el Desempeño Para las pruebas de rendimiento, configuramos las políticas para hacer los informes comparables entre productos. Para los escaneos bajo demanda del sistema completo, escaneamos únicamente el disco duro local y posibilitamos el escaneo dentro de archivos comprimidos y archivos que contienen otros archivos. Nuestras pruebas por acceso no incluyeron archivos comprimidos o históricos. Posibilitamos excepciones para nuestras herramientas de automatización y dejamos otras configuraciones en su estado por default. Ejecutamos cada prueba individual por lo menos tres veces, recomenzando desde una instalación limpia cada vez, y promediando los resultados. Computamos el puntaje del desempeño general totalizando los resultados de cada producto en nuestras pruebas de escaneo por acceso, escaneo bajo demanda, archivo Power Point abierto, y pruebas de tiempo de reinicio. Escaneo Por Acceso: El tiempo para copiar y pegar una carpeta muy grande de archivos que no sean del tipo de archivos que contienen otros archivos, incluyendo archivos de sistema de Windows, documentos, hojas de cálculo, imágenes, PDFs, películas, y archivos de música. Escaneo Bajo Demanda: El tiempo para completar un escaneo del sistema completo en una computadora no infectada con las configuraciones de escaneo establecidas por default, pero en todos los casos configurando los productos para escanear todos los archivos y escanear archivos comprimidos. Abrir Archivo Grande de Power Point: El tiempo para abrir un archivo de Power Point (álbum de fotos de Power Point de 8.7 MB), demostrando el impacto de los componentes de escaneo por acceso. Tiempo de Reinicio: El tiempo de reinicio, desde la especificación de una petición de reinicio hasta que la computadora pasa de encenderse a tener un escritorio completamente reiniciado de Windows con un CPU parado. Segundo Escaneo Bajo Demanda: El tiempo para completar un escaneo de sistema subsecuente completo de una computadora no infectada con configuraciones establecidas por default. Esta prueba muestra el máximo beneficio que puede ser alcanzado por las capacidades de almacenamiento de caché, y no contribuyó a la clasificación final. Para estas pruebas de desempeño, Cascadia Labs utilizó un set de desktop PCs Dell idénticamente configuradas con Intel Core 2 Duo E4500 procesadores 2.2-GHz, 2GB de memoria RAM, 160 GB de disco duro, y Microsoft Windows XP profesional Service Pack 2. Las tareas de las pruebas fueron automatizadas para máxima repetición. Cómo Examinamos la Efectividad Estas pruebas reflejan la efectividad de los productos contra amenazas realistas, vivas, utilizando el conjunto completo de características de los productos -incluyendo la reputación de la Web, motores anti-virus y anti-malware, y capacidades de protección conductual, entre otros. Cascadia Labs cree que estas pruebas son una manera mucho más apropiada de medir la efectividad de un 8

9 producto que la de situar a los motores de firma del producto contra un gran número de binarios maliciosos. De cualquier modo, este acercamiento también requiere que los lectores consideren los siguientes tres factores al interpretar los resultados. Configuración del Producto: Los productos para terminales de negocio proveen muchas opciones de configuración, tanto en los componentes de protección que ofrecen como en las configuraciones elegidas para cada componente. Las compañías pueden elegir diferentes configuraciones basándose en la rigurosidad de su política de seguridad, su nivel de experiencia, u otras consideraciones específicas. Para estas pruebas, utilizamos los productos con las configuraciones que tenían establecidas por default. Muestras Elegidas: Las amenazas pueden venir de muchos lugares. Para estas pruebas, nos concentramos en las amenazas de la Web, específicamente, descargas drive-by, ya que creemos que representan la mayor y más prevalente amenaza para las compañías hoy en día. Cascadia Labs captura cientos de amenazas por día; en vez de escoger aleatoriamente una muestra de amenazas en la Web, que guíen a pruebas con un gran número de ataques subyacentes muy similares, Cascadia Labs escogió una sola muestra de 10 campañas diferentes con mecanismos diferenciados de explotis para proveer más diversidad de amenazas. Mecanismo de Puntuación: Definir una detección exitosa y crear un algoritmo de puntuación justo es más difícil de lo que puede parecer. La mayoría está de acuerdo en que lo mejor es detener una amenaza antes de que explote a una computadora, desaparezca archivos, y ejecute procesos. De cualquier modo, acaso no los productos que detienen la amenaza antes de que se ejecute aunque permitan una hazaña y algunos archivos desaparecidos- tienen mejor puntuación que un producto que no detecta la amenaza? Para este reporte, los productos que detienen una amenaza completamente obtienen la puntuación de bloqueo completo y aquéllos que detienen la ejecución de la amenaza obtienen la puntuación de mitad de un bloqueo. Utilizamos la tecnología de captura y reproducción de exploits de nuestra propiedad para asegurar que cada producto fuera examinado en contra de amenazas idénticas. Para cada hazaña, registramos la actividad del sistema y dimos los resultados más altos a los productos que bloquearon las amenazas sin permitirles comenzar nuevos procesos o borrar archivos en el sistema; crédito parcial a aquellos productos que bloquearon todos los procesos no deseados; y no dimos puntos a aquellos productos que permitieron que el ataque triunfara, completa o parcialmente, iniciando exitosamente procesos rogue en nuestros sistemas de prueba. Evaluaciones Independent independientes evaluations of de technology productos de products tecnología Contacto: info@cascadialabs.com Esta reseña comparativa, conducida independientemente por Cascadia Labs en Noviembre de 2009, fue patrocinada por Lab. Cascadia Labs pretende proveer análisis objetivo, imparcial de cada producto basado en pruebas manuales en su laboratorio de seguridad. 9