e Trust Antivirus Guía del administrador 7.0

Transcripción

1 e Trust Antivirus Guía del administrador 7.0

2 Esta documentación y el programa de software relacionado ( Documentación ) se proporcionan con el único propósito de informar al usuario final, pudiendo Computer Associates International, Inc. ( CA ) proceder a su modificación o retirada en cualquier momento. Queda prohibida la copia, transferencia, reproducción, divulgación o duplicación de la totalidad o parte de esta documentación sin el consentimiento previo y por escrito de CA. Esta documentación es propiedad de CA y se encuentra protegida por las leyes de copyright de los Estados Unidos y por tratados internacionales. A pesar de lo declarado anteriormente, se permite a los usuarios autorizados imprimir un número de copias razonable de esta documentación para su uso personal, siempre que todas las leyendas y avisos de copyright de CA se mantengan en cada una de las copias que se realicen. Sólo podrán tener acceso a dichas copias los empleados, asesores o agentes autorizados del usuario que están obligados por las provisiones de confidencialidad establecidas en la licencia del software. Este derecho de impresión sólo tendrá validez durante el período en que la licencia del producto esté en vigor. En caso de que la licencia finalizara por cualquier motivo, el usuario deberá devolver a CA cualquier copia realizada o certificar a dicha empresa la destrucción de las copias. En la medida en que la ley aplicable lo permita, CA proporciona esta documentación tal cual sin garantía de ningún tipo incluidas, entre otras, las garantías implícitas de comercialización, adecuación a un fin concreto y no incumplimiento. CA no será responsable en ningún caso ante el usuario final o cualquier otra persona de ninguna pérdida o daño, directo o indirecto, que se derive del uso de esta documentación, incluidos entre otros, daños por interrupción del negocio, pérdidas de beneficios, datos o relaciones comerciales, aunque se haya advertido a CA de la posibilidad de que se produzcan tales pérdidas o daños. El uso de cualquiera de los productos mencionados en esta documentación y la documentación en sí se rigen por el acuerdo de licencia de usuario final aplicable. Esta documentación ha sido creada por Computer Associates International, Inc. Proporcionado con los Derechos restringidos establecidos en las regulaciones 48 C.F.R. Sección , 48 C.F.R. Secciones (c)(1) y (2) o DFARS Sección (c)(1)(ii) o provisiones posteriores aplicables Computer Associates International, Inc. El resto de marcas comerciales, nombres comerciales, marcas de servicios y logotipos mencionados en la presente documentación son propiedad de sus respectivas empresas.

3 Contenido Capítulo 1: Acerca de virus informáticos Contagio de virus informáticos Síntomas de infección informática Efectos de una infección informática Tipos de virus Características de los virus La solución antivirus de Computer Associates Por qué es necesaria la protección antivirus? Cómo funciona el software antivirus de Computer Associates Métodos de protección Evitar que se infecte su equipo Sugerencias para evitar infecciones Componentes del producto Uso de vistas de ventana Opciones Administración de dominios NetWare Búsqueda de infecciones desconocidas Análisis heurístico Obtener las actualizaciones de cadenas de identificación más recientes Si descubre una infección Capítulo 2: Obtener actualizaciones de cadenas de identificación Introducir las actualizaciones de las cadenas de identificación Uso de las opciones de actualización de cadenas de identificación Opciones de actualización de cadenas de identificación Uso de las opciones de programación Uso de las opciones de Entrantes Uso de las opciones de Salientes Contenido iii

4 Administrar las actualizaciones de cadenas de identificación Funcionamiento del proceso de descarga Seguimiento de las descargas de cadenas de identificación Capítulo 3: Uso de las opciones de exploración y selección Comprensión de las opciones de exploración comunes Uso de las opciones de exploración Opciones de la ficha Explorar Uso de las opciones de selección Opciones de la ficha Selección Uso del explorador de línea de comandos Inocmd Opciones de explorador de Inocmd Capítulo 4: Uso del explorador local Funciones del explorador local Acceder a Otras opciones desde la vista del explorador local Opciones del explorador local Ventana Explorador local Enviar un archivo para analizarlo Uso de las opciones de visualización Opciones de la ficha Mostrar Uso de las opciones de Directorio Ubicaciones de directorios que se muestran Enviar un archivo para analizarlo Uso de las opciones de Enviar información de análisis Uso de la opción Información de contacto Uso del administrador de servicios Capítulo 5: Uso del monitor en tiempo real Funciones del monitor en tiempo real Carga automática del monitor en tiempo real Opciones disponibles en el icono del monitor en tiempo real Envío de mensajes en tiempo real Uso de las opciones de tiempo real Configurar la dirección de exploración Uso de las opciones de selección en tiempo real Uso de las opciones de filtros en tiempo real Uso de las opciones avanzadas en tiempo real iv Guía del administrador

5 Uso de la opción Cuarentena Estadísticas del monitor en tiempo real Capítulo 6: Programar tareas de exploración Opciones de programación de tareas de exploración Opción de descripción de tarea de exploración Uso de las opciones de programación Uso de la opción Directorios Uso de la opción Excluir directorios Administrar tareas de exploración programadas Ver los resultados de una exploración programada Estadísticas de tarea para exploración programada en curso Capítulo 7: Ver y administrar registros Uso de la ventana Visor de registros La lista del visor de registros Ver información detallada y resúmenes de registros Administrar registros Especificar las opciones de registro para una exploración Registros en formato de base de datos estándar Recopilar información de medidas del sistema Capítulo 8: Uso de la vista de administrador Uso de la ventana Vista de administrador Uso del servidor de administración Consideraciones acerca de la instalación del servidor de administración Conectar con el servidor de administración Función del servidor de administración Soporte LDAP Administrar valores de configuración Uso de las políticas de correo electrónico Uso de políticas impuestas Uso de subredes Acerca de la categoría Usuarios Administrar dominios heredados Administrar equipos con el árbol de organización Uso del árbol de organización Contenido v

6 Uso de los permisos de acceso Consideraciones acerca del acceso al servidor de administración Establecer los permisos de acceso Crear y usar la configuración proxy Consideraciones acerca del servidor proxy Funcionamiento de un servidor proxy Distribuir cadenas de identificación con Descargar ahora Uso de Descargar ahora en la vista de administrador Uso de Descargar ahora con servidores de redistribución Consideraciones para explorar las unidades de red Personalizar mensajes Capítulo 9: Uso de la utilidad Remote Install Ejecutar la utilidad Requerimientos del equipo local Acerca del asistente de instalación Uso de la interfase de Remote Install Iniciar la interfase de Remote Install Explorar la red para seleccionar destinos de instalación Acerca de la lista de destinos de instalación Uso de la barra de herramientas Configurar el origen de la instalación Establecer las propiedades de origen de la instalación Establecer las propiedades de origen de la licencia Eliminar los recursos de origen de instalación compartidos Especificar destinos de instalación Requerimientos del destino de instalación Agregar nuevos destinos Editar destinos existentes Suprimir destinos existentes Copiar información de destino Uso de Pegar y Pegado especial Verificar información de cuenta Importar y exportar la lista de destinos Configurar el archivo de control de instalación Acerca del cuadro de diálogo Archivo ICF Ejecutar sesiones de instalación Acerca de las sesiones de instalación Crear registros de sesiones de instalación Iniciar sesiones de instalación vi Guía del administrador

7 Detener sesiones de instalación Desinstalar la utilidad Remote Install Instalación remota en equipos con Windows 9x Uso de Setup.exe para Windows 9x Capítulo 10: Uso del disco de recuperación para Windows 9x Uso de la función de disco de recuperación Acerca del disco de recuperación Recuperación de un virus informático Uso de las opciones del disco de recuperación Capítulo 11: Uso del administrador de Alert Presentación de Alert Componentes básicos Ejecutar el administrador de Alert Configurar Alert Crear y editar la configuración de los puertos Uso de la opción Difusión de Alert Uso del buscapersonas Interpretar el mensaje del buscapersonas Uso de la opción SMTP Uso de la opción SNMP Uso de las notificaciones de problemas Uso del correo electrónico Uso de la opción Unicenter TNG Uso de la opción etrust Audit Prioridad del evento de la aplicación Ejemplos de casos de alerta TNG Comprobar los destinatarios Registro de eventos y de actividades de Alert Destino del registro de eventos Uso de Alert con el software antivirus Uso de las opciones de Notificar de Alert Uso de las opciones de Filtro de Alert Uso de la política de Alert en la vista de administrador Uso del administrador de Alert local con sistemas UNIX Contenido vii

8 Capítulo 12: Integración con Unicenter Uso de WorldView Preparar la integración en TNG Importar al almacén con TRIX Llenar la vista con InoUpTNG Administrar opciones de antivirus en WorldView Integración con WorldView Apéndice A: Instalar el software antivirus en UNIX Antes de realizar la instalación...a-1 Navegador Web...A-1 Requerimientos de red...a-2 Requerimientos de hardware...a-2 Sistemas operativos soportados...a-2 Soporte de distribución...a-2 Instalar el software antivirus en UNIX...A-3 Iniciar y detener los servicios...a-4 Uso del navegador Web...A-5 Desinstalar el software antivirus...a-7 Apéndice B: Uso del archivo de comandos de instalación El archivo INOC6.ICF... B-1 Path... B-2 RPCMtAdn... B-3 Local Scanner... B-3 Distribution... B-8 Realtime... B-11 AdminServer... B-17 Scheduled Scanner... B-19 VirusAnalyze... B-24 Alert... B-25 NameClient... B-27 Startup... B-28 Miscellaneous... B-28 EngineID... B-29 PurgeLog... B-29 InstallComponent... B-29 viii Guía del administrador

9 SystemSetting... B-32 Job Adjustment... B-32 PreAction... B-33 PostAction... B-33 Apéndice C: El archivo InoDist.ini Opciones de actualización de cadenas de identificación del archivo InoDist.ini...C-1 [SOURCES]...C-1 [GET]...C-4 [POLICY]...C-4 [OSID]...C-5 [ENGINEID]...C-6 Apéndice D: Configuración de la conexión de orígenes de datos ODBC Procedimiento de configuración...d-1 Instalación de CA InfoReports...D-4 Índice Contenido ix

10

11 Capítulo 1 Acerca de virus informáticos La amenaza de virus informáticos e infecciones es la mayor preocupación en materia de seguridad de los usuarios de equipos informáticos. Una infección o virus informático es un programa capaz de destruir información en una estación de trabajo. De forma similar a un virus biológico, un virus informático puede reproducirse al adjuntarse a otros archivos, normalmente programas ejecutables. Cuando están aislados (sin ejecutar, como en un archivo comprimido), los virus informáticos no representan una amenaza, pero una vez abiertos pueden hacer estragos. Para que se le clasifique como virus, un archivo sospechoso debe ser capaz de Duplicarse Adjuntarse a otros ejecutables Existen muchos tipos de infecciones, incluidas las infecciones de archivos y las causadas por virus troyanos, gusanos y virus de macro. Contagio de virus informáticos Las infecciones se pueden propagar mediante mensajes de correo electrónico o archivos descargados desde Internet, disquetes o conexiones de red. En ciertas ocasiones, estos virus se propagan accidentalmente en productos de software comercial. Los virus no se pueden propagar por sí solos, sino que necesitan que alguien los ejecute para causar el daño. Los virus que afectan al sector de arranque se propagan cuando el usuario arranca inadvertidamente una estación de trabajo desde un disquete infectado. Los virus de macro se pueden propagar con sólo abrir un documento infectado. Los equipos conectados a Internet, a la World Wide Web y a sistemas de correo electrónico que carezcan de protección pueden infectarse y propagar la infección rápidamente. Los archivos dañinos adjuntos a mensajes de correo electrónico no solicitados pueden proliferar y desactivar la red. Acerca de virus informáticos 1 1

12 Síntomas de infección informática Síntomas de infección informática Los síntomas de una infección dependen del virus en cuestión que haya infectado el sistema. La lista siguiente incluye algunos de los síntomas más frecuentes que se pueden observar: En la pantalla aparecen mensajes como, por ejemplo, Tu PC es una tortuga! En la pantalla aparecen patrones de gráficos extraños como, por ejemplo, pelotas que rebotan. Los archivos aumentan de tamaño. Esto puede llegar a situaciones extremas, ya que los archivos pueden llegar a ser demasiado grandes para cargarse en la memoria. Con frecuencia, el cambio de tamaño es pequeño. Se cambia la marca de hora de un archivo. Puede que observe un archivo *.com o *.exe con una marca de hora más reciente que la hora en la que se cargó. Aparece un mensaje de error relacionado con la escritura en un disco protegido contra escritura, aunque la aplicación no está intentando realizar ninguna operación de escritura. Se tarda más tiempo en cargar los programas y no ha cambiado la configuración del equipo. El equipo parece funcionar mucho más lento de lo habitual. El equipo dispone de menos memoria de lo normal. Ocurre lo mismo en varios equipos. Aparece un mensaje de error que indica un Comando o nombre de archivo incorrecto aunque está seguro de que el archivo está en el disco. No puede acceder a una unidad que sabe que existe. CHKDSK descubre inesperadamente sectores dañados en más de un equipo. Sufre problemas persistentes en el equipo como, por ejemplo, dificultad para copiar archivos. El equipo se bloquea con frecuencia. Si su equipo muestra uno o varios de estos síntomas, es posible que esté infectado. Ya que es difícil determinar si estos síntomas están relacionados con una infección, el software antivirus de Computer Associates permite confirmar si la estación de trabajo está infectada. 1 2 Guía del administrador

13 Efectos de una infección informática Efectos de una infección informática No todas las infecciones son dañinas para los equipos. Algunas constituyen simplemente una molestia al reproducirse continuamente o al mostrar mensajes o gráficos extraños en la pantalla. La mayor parte de los virus son furtivos y permanecen ocultos hasta que se ejecutan. Si una infección provoca daños, éstos serán distintos según el tipo concreto de infección del sistema. En general, los virus pueden causar los siguientes daños en un equipo: Bloquear el equipo Borrar, modificar y ocultar archivos Mezclar datos en el disco duro Atacar y mezclar la tabla de asignación de archivos (FAT) Atacar y mezclar la tabla de particiones Formatear el disco duro Tipos de virus Los virus se clasifican según su medio de transmisión y su forma de infectar los equipos. En la tabla siguiente se enumeran los tipos de virus más comunes y sus efectos: Nombre del virus virus de sector de arranque virus de sector de arranque principal Descripción Este tipo de virus sobrescribe el sector de arranque original del disco (que contiene el código que se ejecuta al arrancar el sistema) con su propio código, de forma que el virus sea siempre lo primero que se cargue en memoria. Esto significa que el virus se ejecutará cada vez que se inicie el equipo. Una vez en memoria, el virus puede provocar que el disco de inicio quede inservible o propagarse a otros discos. Este tipo de virus sobrescribe el sector de arranque principal del disco (tabla de particiones). La detección de estos virus resulta especialmente difícil, ya que un gran número de herramientas de exploración de disco no permiten ver el sector de partición, que es el primer sector de la unidad de disco duro. Acerca de virus informáticos 1 3

14 Tipos de virus Nombre del virus virus de macro virus de archivo virus multipartitos Descripción Estos virus están escritos en el lenguaje de programación de macros de programas informáticos específicos como, por ejemplo, procesadores de texto y hojas de cálculo. Los virus de macro sólo infectan a archivos (y no al sector de arranque ni a la tabla de particiones) y se pueden convertir en virus residentes en memoria cuando se ejecutan. Estos virus se pueden ejecutar o desencadenar al acceder a un documento de programa o al realizar ciertas acciones como, por ejemplo, la realización de determinadas acciones en el teclado o selecciones de menú. Los virus de macro se pueden almacenar en archivos con cualquier extensión y propagarse mediante la transferencia de archivos o incluso correo electrónico. Estos virus infectan otros programas al ejecutar un programa infectado. No permanecen en memoria, de modo que no infectan el sistema. Al igual que los virus residentes en memoria, los virus no residentes se adjuntan a archivos ejecutables. Estos virus suelen cambiar la información de atributo del archivo, así como la fecha, la hora y el tamaño del mismo. Estos virus combinan características de los virus de sector de arranque, virus de archivo y virus residentes en memoria. Otros tipos de infecciones y ataques incluyen gusanos y ataques de denegación de servicios distribuida (DDoS). Los gusanos son parecidos a los virus, ya que realizan copias de sí mismos. Una vez ejecutado, el gusano busca otros sistemas que infectar, en lugar de partes de sistemas. Los ataques de denegación de servicios distribuida colocan archivos ocultos en sistemas desprevenidos. Los archivos ocultos se activan al cabo de un tiempo y realizan actividades dañinas en otro sistema. 1 4 Guía del administrador

15 Características de los virus Características de los virus Los distintos tipos de virus pueden presentar características de comportamiento diferentes, según su funcionamiento. Tipo de virus residentes en memoria furtivos polimórficos Comportamiento Estos virus se cargan en memoria y toman el control del sistema operativo. Los virus residentes en memoria se adjuntan a archivos ejecutables (como, por ejemplo, archivos *.exe, *.com y *.sys). Estos virus suelen cambiar la información de atributo del archivo, así como la fecha, la hora y el tamaño del mismo. Estos virus ocultan su presencia. Mientras todos los virus intentan ocultarse de alguna forma, los virus furtivos realizan un esfuerzo aún mayor para ocultarse. Por ejemplo, un virus furtivo, al infectar un programa, agrega bytes al archivo infectado. A continuación, sustituye la entrada de directorio del archivo infectado por el mismo número de bytes, con lo que consigue que parezca que el tamaño del archivo no ha cambiado. Estos virus modifican su apariencia y cambian su cadena de identificación (el código de identificación) periódicamente. Por ejemplo, pueden insertar códigos basura en mitad de la ejecución de un archivo o cambiar el orden de ejecución. Esto permite al virus evitar los métodos de exploración de detección de cadenas de identificación. La solución antivirus de Computer Associates El software antivirus de Computer Associates es una potente solución antivirus para la red de su empresa o para su estación de trabajo individual. Es capaz de proteger estaciones de trabajo que ejecuten Windows, DOS y Macintosh. La ICSA (International Computer Security Association) certifica que este software es capaz de detectar el 100 % de los virus en circulación. Entre sus características se incluyen una interfase de usuario similar a la de Windows, integración en el Explorador de Windows y actualizaciones mensuales gratuitas de cadenas de identificación de Computer Associates. Las opciones disponibles proporcionan protección a los sistemas de mensajería Lotus Notes y Microsoft Exchange. También existen versiones disponibles para Novell NetWare, Linux y Solaris. Acerca de virus informáticos 1 5

16 Cómo funciona el software antivirus de Computer Associates Referencias de plataforma Automatice la protección antivirus El término Windows hace referencia al sistema operativo Microsoft Windows, que incluye Windows 95, Windows 98, Windows NT, Windows 2000 y Windows XP. A menos que se especifique lo contrario, Windows hará referencia a cualquier sistema operativo Microsoft Windows compatible con el software antivirus de Computer Associates. Cuando el software antivirus de Computer Associates esté configurado para su sistema o red, podrá disponer de protección antivirus automatizada. Todas las operaciones de exploración, parámetros de exploración, control, distribución y actualización de cadenas de identificación pueden configurarse para ejecutarse sin intervención. Las actualizaciones de cadenas de identificación pueden recopilarse de forma programada y distribuirse a todos los equipos de la red antivirus sin necesidad de que un administrador administre cada uno de los equipos de forma individual y sin tiempo de inactividad de la estación de trabajo. Por qué es necesaria la protección antivirus? Las infecciones informáticas se han convertido en uno de los problemas principales para la administración de seguridad en redes y en equipos individuales. Si un virus infecta su red o equipo, el coste de los datos perdidos y del tiempo empleado en restaurar los equipos infectados puede llegar a ser considerable. Debido a que las unidades y directorios compartidos proporcionan acceso a aplicaciones e información a todos los usuarios de una red, un archivo infectado en un equipo puede propagarse rápidamente por toda la red. Por lo tanto, es crucial evitar que se infecte cualquiera de los equipos. Cómo funciona el software antivirus de Computer Associates El software antivirus de Computer Associates utiliza un explorador de virus analítico y polimórfico basado en una serie de normas para detectar virus conocidos. Además, el monitor en tiempo real ofrece una protección constante ante los virus mientras trabaja. El monitor en tiempo real es un VxD (controlador de dispositivo virtual) que proporciona protección antivirus nativa para sistemas basados en Windows. En UNIX, el monitor en tiempo real utiliza CAIENF (instalación de notificación de eventos de Computer Associates) para proporcionar protección antivirus para sistemas basados en UNIX. 1 6 Guía del administrador

17 Cómo funciona el software antivirus de Computer Associates Arquitectura Descubrimiento Explorador Notificación En un entorno de red con una arquitectura cliente-servidor, uno o más servidores centralizados se encargan de realizar un seguimiento de la información referente a los equipos de la red antivirus y pueden hacer de puntos de distribución de la configuración y las actualizaciones de las cadenas de identificación. Un equipo local se puede encargar de realizar las exploraciones o un administrador autorizado puede administrar los equipos de forma remota. Se pueden detectar automáticamente todas las copias del software de Computer Associates que se estén ejecutando en la red. Un motor de exploración basado en una serie de normas detecta los virus conocidos. La opción del explorador heurístico se encarga de detectar los virus desconocidos. El producto integra completas funciones de notificación. Para asegurar que se le advierte de la detección de un virus, podrá utilizar Microsoft Mail, buscapersonas numérico y alfanumérico, protocolo de transferencia simple de correo (SNMP), notificaciones de problemas (cola de impresión) y mensajes de difusión en red en plataformas Windows. La instalación de notificaciones para UNIX permite enviar mensajes al registro syslog. Se puede ejecutar una secuencia de comandos especificada por el usuario para enviar mensajes de alerta personalizados. Información Gestión Actualizaciones de cadenas de identificación Propagar e imponer políticas Un sofisticado mecanismo de información registra todas las operaciones de exploración, permitiendo así realizar un seguimiento y análisis de éstas. Puede decidir cómo administrar un archivo infectado antes de descubrirlo o después de realizar la exploración. Computer Associates pone a su disposición con regularidad actualizaciones de cadenas de identificación. Se puede hacer que la actualización de los equipos de la red antivirus se realice de manera automática. Durante la actualización, la estación de trabajo no estará inactiva en ningún momento. Los administradores autorizados pueden configurar opciones de políticas antivirus, distribuirlas a través de la red e imponer configuraciones de políticas. Acerca de virus informáticos 1 7

18 Métodos de protección Métodos de protección El software antivirus de Computer Associates proporciona varias técnicas para detectar infecciones informáticas. Muchas de ellas son transparentes para el usuario. La comprobación de integridad determina si el tamaño del archivo de un programa ha aumentado de tamaño por haberse agregado un virus. Este método se utiliza principalmente para comprobar la integridad de la información del área principal del disco. La detección polimórfica basada en normas vigila las acciones de programas como las funciones de llamada para detectar comportamientos sospechosos del programa. Interrumpir el control vigila las llamadas de sistema del programa (por ejemplo, DOS y Macintosh) para detener una secuencia de llamadas si parece estar afectada por la acción de un virus. La exploración de cadenas de identificación busca la cadena de identificación de los virus, un código hexadecimal único que deja un virus en un archivo al infectarlo. Gracias a estos códigos, el explorador de cadenas de identificación puede examinar los archivos de programa y detectar los virus conocidos. Evitar que se infecte su equipo Ya que sólo es posible detectar y curar infecciones, la mejor forma de mantener su equipo sin problemas es, antes que nada, evitar que las infecciones accedan a su equipo. El software antivirus de Computer Associates le proporciona una sólida protección frente a infecciones. El monitor en tiempo real explora los archivos al entrar o salir de su estación de trabajo desde o hacia otros equipos de la red. Como parte de la protección en tiempo real, se exploran los archivos de la estación de trabajo en busca de virus cada vez que uno se ejecuta, se abre o se accede a él. La protección del área principal del disco (para Windows 95 y Windows 98) protege el disco duro de la estación de trabajo. El área principal del disco incluye el sector de arranque principal, la tabla de particiones, información de CMOS RAM y archivos de sistema. Utilice la función de disco de recuperación para crear una copia de seguridad en disquete de los archivos del área principal del disco. 1 8 Guía del administrador

19 Componentes del producto Sugerencias para evitar infecciones A continuación, le ofrecemos algunas sugerencias generales para ayudarle a evitar infecciones por virus en su equipo. Configure todos los archivos ejecutables como archivos de sólo lectura. Así reducirá las probabilidades de que se infecten los archivos ejecutables. Explore los disquetes en busca de virus antes de copiar cualquiera de sus archivos. Utilice una herramienta de copia de seguridad, como ARCserveIT, para realizar una copia de seguridad de su estación de trabajo una vez haya realizado una exploración en busca de virus. De esta forma, si detecta un archivo infectado que no puede desinfectarse, podrá restaurar la copia de seguridad del archivo. Mantenga su entorno al día con las actualizaciones de cadenas de identificación más recientes. Establezca permisos y derechos de acceso al administrar los directorios compartidos de modo que los usuarios dispongan del nivel de autoridad adecuado como, por ejemplo, de sólo lectura, en lugar de un control total. En sistemas Windows, si el explorador heurístico encuentra un archivo sospechoso de estar infectado y desea enviarlo a Computer Associates para su análisis, utilice la función automatizada Enviar para análisis. Si va a administrar el archivo de forma manual, es importante que lo renombre con una extensión AVB y que utilice una utilidad de compresión antes de enviarlo por correo electrónico a alguien o guardarlo en un disquete. Componentes del producto El software antivirus de Computer Associates contiene un completo conjunto de componentes que proporcionan la máxima protección para cualquier equipo, tanto si se trata de un solo equipo como de los mayores entornos empresariales. A continuación se describen brevemente los componentes principales. Interfase gráfica de usuario: La interfase gráfica de usuario proporciona una interfase para administrar todos los aspectos de la protección antivirus similar a la del Explorador. Las diferentes ventanas y opciones permiten ver y controlar todas las operaciones de exploración. Interfase de usuario basada en Web: Es posible acceder al software antivirus de Computer Associates a través de Internet mediante un navegador Web. Utilice la interfase igual que la interfase de Windows original, ya que su organización y estilo son idénticos. Acerca de virus informáticos 1 9

20 Componentes del producto Explorador local: Utilice el explorador local para administrar las opciones de exploración en un equipo local. Monitor en tiempo real: Utilice las opciones de exploración en tiempo real para explorar archivos de su estación de trabajo en busca de infecciones cada vez que un archivo se ejecuta, se abre o se accede a él. Es posible controlar las estaciones de trabajo para detectar cualquier tipo de actividad que pudiera estar provocada por un virus, como el formateo no autorizado de un disco duro. Los usuarios pueden configurar el monitor en tiempo real para detectar infecciones conocidas y desconocidas, así como para especificar las acciones a realizar cuando se detecte una infección. Los administradores pueden distribuir configuraciones en tiempo real a través de la red e imponer políticas para esta opción. Si se detecta un archivo infectado, se abrirá una ventana con el nombre del archivo y el nombre del virus. Explorador programado: Utilice las opciones de programación de tareas de exploración para automatizar la exploración en equipos locales y remotos, de modo que la exploración se ejecute en una fecha y a una hora determinadas y, de forma opcional, a intervalos repetidos. Extensión del shell: La opción de extensión del shell se integra con el sistema operativo de Windows, de modo que se puede hacer clic con el botón derecho en cualquier elemento del escritorio o en el Explorador y realizar una exploración con el explorador del shell. Vista de administrador: Utilice las opciones de la vista de administrador para realizar funciones administrativas en todos los equipos de la red antivirus. Utilice estas opciones para administración remota, distribuir configuraciones y establecer e imponer políticas de antivirus para la empresa. Servidor de administración: El servidor de administración realiza un seguimiento de todas las copias del antivirus que se estén ejecutando en la red. Los usuarios autorizados pueden realizar funciones de administración remota basándose en la información de descubrimiento automatizado proporcionada por el servidor de administración. Agentes de cliente: Los agentes de cliente están disponibles para la mayoría de sistemas operativos, incluidos Windows 3.x y Macintosh. Registros: Utilice el visor de registros para ver y administrar registros de cada tipo de operación de exploración, para ver información de registros de actualizaciones de cadenas de identificación y para ver y modificar opciones de exploración programada. Los registros son compatibles con herramientas de bases de datos estándar y se pueden utilizar para analizar el impacto de infecciones en la empresa. Utilidad Remote Install: Los administradores pueden utilizar esta interfase gráfica del usuario para distribuir el producto a los equipos con Windows NT, Windows 2000 y Windows XP de toda la empresa Guía del administrador

21 Componentes del producto Remote Install para Windows 9.x: Programa de instalación (Setup.exe) que permite actualizar equipos con Windows 9.x mediante una secuencia de comandos de inicio de sesión, al iniciar la sesión en un dominio. Alert: Componente habitual de los sistemas Windows a la hora de enviar mensajes desde el software antivirus y otros productos de Computer Associates a individuos de su empresa, mediante el uso de diferentes métodos de comunicación. Pueden enviarse mensajes con distintos niveles de alerta (estado, advertencia y error) al administrador del sistema, a un técnico de hardware o a cualquier otro destino dentro o fuera de la oficina. Se puede notificar a una persona o a varias que se encuentren en diferentes niveles de la red. Si desea obtener más información, consulte la ayuda de Alert. También es posible administrar la información de notificación para Alert mediante los valores de Alert integrados en la interfase gráfica del usuario del software antivirus de Computer Associates. Nota: Aunque el componente Alert no se encuentra disponible en sistemas basados en UNIX, los enlaces del software antivirus de Computer Associates a secuencias de comandos definidas por el usuario y el registro syslog proporcionan un nivel equivalente de flexibilidad de notificación. Inocmd32: La interfase del explorador de línea de comandos para su uso con todos los sistemas operativos. Inocucmd: El explorador de línea de comandos sólo para su uso con la función de disco de recuperación de Windows 98/95. Examine: Utilidad de recuperación para su uso con Windows 98/95. Uso de vistas de ventana La interfase gráfica del usuario proporciona diferentes vistas para administrar la actividad de exploración. Utilice las opciones del menú Ver para mostrar las vistas disponibles. Explorador local: Utilice esta vista para visualizar la ventana Explorador local y administrar opciones de exploración local. Visor de registros: Esta vista le permitirá ver y administrar información de registros. Vista de administrador: Los administradores autorizados pueden utilizar esta vista para administrar de forma remota todos los aspectos de la red antivirus. Administrador de dominios para NetWare: Esta vista le permitirá administrar los dominios del antivirus para NetWare. Nota: Las vistas disponibles dependen de las opciones instaladas. Acerca de virus informáticos 1 11

22 Administración de dominios NetWare Opciones Entre las opciones disponibles del producto se incluyen: Microsoft Exchange Option: Proporciona protección integrada frente a infecciones en documentos y archivos adjuntos a carpetas y mensajes de correo electrónico. Lotus Notes Option: Proporciona protección integrada frente a infecciones en documentos y archivos adjuntos a mensajes de correo electrónico y bases de datos de Lotus Notes. Administración de dominios NetWare Le ofrecemos la posibilidad de administrar el software antivirus de Computer Associates para dominios NetWare mediante la consola de Windows NT o Windows Para administrar dominios NetWare, deberá realizar antes una instalación personalizada y seleccionar el administrador de dominios NetWare. No se instala de forma predeterminada. Una vez instalada esta opción, podrá acceder a equipos de dominios NetWare desde el menú Ver con sólo seleccionar la opción Administrador de dominios para NetWare. Nota: Para obtener más información sobre la administración de NetWare, consulte la documentación y la ayuda de etrust Antivirus para NetWare. Búsqueda de infecciones desconocidas Utilice la opción del explorador heurístico para buscar infecciones desconocidas. Aunque las actualizaciones de cadenas de identificación más recientes buscan el 100 % de los virus que han sido aislados y catalogados por la ICSA (International Computer Security Association), es posible que se produzca una infección por un virus desconocido. Es posible utilizar tanto el reconocimiento de cadenas de identificación como el explorador heurístico para detectar infecciones antes de que ataquen la red. Si se detecta una infección desconocida, podrá utilizar la opción Enviar para análisis para comprimir automáticamente el archivo y enviarlo a Computer Associates para su análisis Guía del administrador

23 Obtener las actualizaciones de cadenas de identificación más recientes Análisis heurístico La opción del explorador heurístico utiliza el análisis heurístico, una técnica de inteligencia artificial utilizada para buscar virus cuyas cadenas de identificación no se hayan aislado ni documentado aún. En lugar de utilizar un algoritmo fijo para buscar cadenas de identificación de virus específicas, el análisis heurístico utiliza métodos alternativos para detectar patrones de comportamiento característicos de los virus. Debido a la proliferación en aumento de nuevos virus, puede resultar útil mantener activa la opción del explorador heurístico siempre que ejecute una exploración y al utilizar el monitor en tiempo real. Obtener las actualizaciones de cadenas de identificación más recientes Las actualizaciones de cadenas de identificación más recientes están disponibles en el sitio Web de asistencia técnica de Computer Associates en En la batalla continua contra las dañinas y perjudiciales infecciones, actualizamos ininterrumpidamente los archivos de cadena de identificación. Su entorno debe estar ya configurado para recibir las últimas actualizaciones según una programación determinada por el administrador del antivirus. Sin embargo, inesperadamente pueden aparecer infecciones nuevas desconocidas anteriormente y atacar sin previo aviso. Le recomendamos que visite la dirección que aparece anteriormente con frecuencia para obtener las actualizaciones de cadenas de identificación más recientes, especialmente cuando tenga conocimiento de nuevas infecciones y ataques. Para proteger su entorno, procure estar al día con las últimas actualizaciones de cadenas de identificación de Computer Associates. Para su protección, Computer Associates no adjunta archivos a mensajes de correo electrónico como forma habitual de distribución de actualizaciones de productos o mantenimiento. Computer Associates no envía actualizaciones de archivos ejecutables no solicitadas. Enviamos mensajes de alerta con enlaces a Computer Associates, que podrá utilizar para solicitar actualizaciones. De esta forma, se evitan posibles agentes infecciosos que se camuflan como actualizaciones de antivirus. Acerca de virus informáticos 1 13

24 Si descubre una infección Si descubre una infección Si descubre una infección, podrá encontrar información adicional disponible en el sitio Web sobre virus, gusanos y troyanos del centro de información sobre virus de Computer Associates en Podrá disponer de información detallada en el sitio Web sobre las infecciones más recientes, así como instrucciones especializadas sobre eliminación en Guía del administrador

25 Capítulo 2 Obtener actualizaciones de cadenas de identificación Este capítulo contiene información acerca de cómo utilizar las opciones de actualización de las cadenas de identificación para obtener las últimas actualizaciones y aplicarlas al sistema. También incluye algunas cuestiones acerca de la administración de las actualizaciones de las cadenas de identificación en una red antivirus. Introducir las actualizaciones de las cadenas de identificación Las actualizaciones de las cadenas de identificación contienen las versiones más recientes de los archivos de cadena de identificación, que reconocen y sirven de protección ante los virus que van apareciendo. Además, contienen la última versión de los motores, que se encargan de buscar las infecciones e incluyen la actualización de programas. Al configurar una actualización de las cadenas de identificación, deberá especificar cuándo realizarla y cómo recopilarla. Las actualizaciones de las cadenas de identificación se pueden recopilar de varias maneras, por ejemplo, a través de un servidor de redistribución designado, mediante protocolo de transferencia de archivos (FTP), una ruta de convención de nomenclatura universal (UNC) o la ruta de un equipo local. Computer Associates proporciona actualizaciones de las cadenas de identificación con regularidad. Las actualizaciones se pueden obtener de varias maneras, tal y como se explica en este capítulo. Las actualizaciones son acumulativas Las actualizaciones de cadenas de identificación se encuentran disponibles para todas las plataformas y versiones soportadas. Estas actualizaciones son acumulativas, de modo que incluyen el contenido de todas las actualizaciones de archivos anteriores, además de la información más reciente sobre las infecciones más actuales. Si ha perdido una actualización reciente, sólo debe obtener el último archivo de cadena de identificación para disponer de la protección más actualizada. Las actualizaciones de cadenas de identificación adecuadas para su configuración se encuentran disponibles de forma predeterminada. Obtener actualizaciones de cadenas de identificación 2 1

26 Introducir las actualizaciones de las cadenas de identificación Para usuarios individuales Si utiliza el sistema para uso personal, sólo tiene que obtener los archivos de cadena de identificación de Computer Associates empleando uno de los métodos de origen disponibles y actualizar su equipo. Para administradores de antivirus Automatizar la distribución Si es el administrador de antivirus de una empresa, se trate de una oficina pequeña o de una gran empresa, le recomendamos que obtenga las actualizaciones de Computer Associates empleando uno de los métodos de origen disponibles y que utilice las opciones de actualización de cadenas de identificación para que las actualizaciones se encuentren disponibles para toda la red. Puede configurar ciertos equipos para que hagan de servidores de redistribución de las cadenas de identificación. Además, puede utilizar la vista de administrador para establecer las opciones para las actualizaciones de las cadenas de identificación. Puede configurar la obtención y distribución para que funcionen automáticamente de modo que todos los equipos de la red del antivirus reciban con regularidad las actualizaciones de las cadenas de identificación sin que el usuario tenga que hacer nada. Combinado con el uso de políticas administrativas para imponer los estándares de uso para la protección antivirus, constituye una de las formas más efectivas de proteger el entorno de red frente a las infecciones. Sugerencia: Constantemente aparecen agentes infecciosos nuevos. Utilice siempre los archivos de cadena de identificación más actuales. Para obtener la versión más reciente de las actualizaciones de las cadenas de identificación, una lista de virus detectados recientemente después de la última actualización y más información importante sobre cómo proteger su entorno, visite el sitio web También puede suscribirse a nuestro boletín y recibir gratuitamente alertas por correo electrónico cuando haya nuevas actualizaciones. Le recomendamos que automatice su configuración para que reciba actualizaciones de las cadenas de identificación con regularidad. Computer Associates proporciona actualizaciones de las cadenas de identificación mensualmente, o con más frecuencia si es necesario. El equipo de antivirus de Computer Associates pone a su disposición una actualización siempre que aparecen agentes infecciosos peligrosos de forma repentina. Las actualizaciones proporcionan las últimas funciones de detección y desinfección. 2 2 Guía del administrador

27 Uso de las opciones de actualización de cadenas de identificación Nota: No es lo mismo detectar y desinfectar. Algunas infecciones se pueden detectar pero no se pueden desinfectar. En el caso de que una infección no se pueda desinfectar, se proporciona una función de detección. Para obtener más información acerca de la detección y protección, visite el sitio web de Computer Associates. Las desinfecciones se van agregando a las actualizaciones a medida que se van descubriendo. Sin tiempo de inactividad al realizar actualizaciones Cuando actualice una cadena de identificación, la estación de trabajo no necesitará ningún tiempo de inactividad. La actualización de las cadenas de identificación se realizará a la perfección sin interferir en su trabajo. Uso de las opciones de actualización de cadenas de identificación Las opciones de actualización de cadenas de identificación permiten especificar cómo y cuándo obtener las actualizaciones de las cadenas de identificación de un origen de distribución. Utilice estas opciones para establecer cuándo obtener las actualizaciones de las cadenas de identificación, de dónde obtenerlas y para qué plataformas y versión de motor. Importante: Para que las actualizaciones de la cadenas de identificación se distribuyan automáticamente a un equipo, debe activar la opción Activar descarga programada en la ficha Programación. Sugerencia: Para obtener información detallada acerca de cómo usar cada una de las opciones de actualización de las cadenas de identificación, consulte la ayuda en línea. En sistemas con Windows, al realizar la actualización de las cadenas de identificación aparecerá un icono de estado de la descarga en la bandeja de sistema y podrá ver la información referente al progreso de la descarga. Opciones de actualización de cadenas de identificación Para configurar las opciones de actualización de cadenas de identificación, utilice las fichas siguientes. Programación Entrantes Salientes Obtener actualizaciones de cadenas de identificación 2 3

28 Uso de las opciones de actualización de cadenas de identificación Para acceder a estas opciones desde la ventana Explorador local, haga clic en el botón Opciones de actualización de cadenas de identificación y aparecerá el cuadro de diálogo Opciones de actualización de cadenas de identificación, o bien seleccione Opciones de actualización de cadenas de identificación en el menú Explorador. Las actualizaciones de cadenas de identificación adecuadas para su configuración se encuentran disponibles de forma predeterminada. Si actualiza un equipo local, tan sólo tendrá que especificar en la ficha Entrantes dónde desea que se ubiquen las actualizaciones. A continuación podrá utilizar la ficha Programación para establecer la hora en la que se realizará la tarea de actualización u obtener las cadenas de identificación de manera inmediata. Los diferentes tipos de usuarios emplean opciones de actualización de cadenas de identificación en diferentes niveles del proceso de obtención y distribución. Los usuarios individuales configuran estas opciones de modo que las actualizaciones de las cadenas de identificación se obtengan de Computer Associates y estén disponibles en su equipo local. Los administradores de antivirus emplean estas opciones para obtener las actualizaciones de las cadenas de identificación de Computer Associates y ponerlas a la disposición de los equipos designados como servidores de redistribución de las cadenas de identificación. Los administradores autorizados pueden utilizar estas opciones para obtener las actualizaciones de las cadenas de identificación de servidores de redistribución de las cadenas de identificación y ponerlas a la disposición de los demás equipos de la red. Este proceso de distribución se puede automatizar. Los administradores autorizados pueden establecer la política de estas opciones. Para obtener más información acerca de cómo configurar las opciones de política, consulte el capítulo Uso de la vista de administrador. Uso de las opciones de programación Utilice la ficha Programación para activar la programación de descargas y especificar la fecha y hora y para repetir los valores de actualización de las cadenas de identificación. La tarea de actualización de las cadenas de identificación se puede programar de varias maneras diferentes. Descargar la actualización de las cadenas de identificación de manera inmediata Programar la tarea de actualización de las cadenas de identificación para que se ejecute una sola vez 2 4 Guía del administrador

29 Uso de las opciones de actualización de cadenas de identificación Programar la tarea de actualización de las cadenas de identificación para que se repita cada cierto tiempo Nota: Las opciones que especifique en la ficha Programación se aplicarán sólo a la tarea de actualización de las cadenas de identificación. No guardan ninguna relación con las opciones de la ficha Programación, en la que se programa la tarea de exploración de un equipo local, a pesar de que son similares. Descargar ahora Para realizar una tarea de actualización de las cadenas de identificación de modo inmediato, haga clic en el botón Descargar ahora. En esta tarea se emplean los valores de la ficha Entrantes. Las versiones adecuadas de las cadenas de identificación se encuentran disponibles de manera predeterminada. Con ello se actualizan las cadenas de identificación del equipo local. Para obtener más información acerca de cómo utilizar Descargar ahora en un entorno de red, consulte la sección Distribuir cadenas de identificación con Descargar ahora del capítulo Uso de la vista de administrador. Para realizar una descarga remota en sistemas con Windows, se puede emplear el archivo de configuración INOC6.ICF para establecer que la opción Descargar ahora se ejecute después de la configuración. Activar descarga programada Utilice la opción Activar descarga programada para indicar que se realizarán las descargas automáticas programadas. Para que las actualizaciones de las cadenas de identificación se distribuyan automáticamente a un equipo debe activar esta opción. Si no se activa esta opción, la función de descarga programada estará desactivada. Se recomienda utilizar esta opción para asegurarse de que los archivos de cadena de identificación se actualizan regularmente. Fecha y hora de descarga Utilice la opción Fecha para especificar el mes, día y año de la tarea. La flecha desplegable mostrará un calendario que podrá utilizar para seleccionar una fecha. Utilice la opción Hora para especificar en horas y minutos la hora en que se realizará la tarea. La interfase gráfica del usuario del navegador web no muestra un calendario. Utilice las flechas de desplazamiento hacia arriba y hacia abajo para cambiar la fecha y la hora. Repetir cada Utilice las opciones de Repetir para especificar la frecuencia con la que desea que se realice una tarea de actualización de las cadenas de identificación. Puede programar una tarea de actualización de las cadenas de identificación para que se ejecute cada cierto tiempo, que se especificará en meses, días, horas o minutos. Obtener actualizaciones de cadenas de identificación 2 5