Intrusion Defense Firewall 1.1 for OfficeScan Client/Server Edition. Guía de implementación

Intrusion Defense Firewall 1.1 for OfficeScan Client/Server Edition Guía de implementación

Trend Micro Incorporated se reserva el derecho a realizar cualquier cambio en este documento y en los productos descritos en el presente sin previo aviso. Antes de instalar y empezar a utilizar el software, consulte los archivos Léame, las notas de la versión y la última versión de la documentación aplicable para el usuario que encontrará en el sitio Web de Trend Micro en: http://www.trendmicro.com/download/emea/?lng=es Trend Micro, el logotipo en forma de pelota de Trend Micro, OfficeScan, Intrusion Defense Firewall, Control Server Plug-in, Damage Cleanup Services, eserver Plug-in, InterScan, Network VirusWall, ScanMail, ServerProtect y TrendLabs son marcas comerciales o marcas comerciales registradas de Trend Micro, Incorporated. El resto de nombres de productos o empresas pueden ser marcas comerciales o marcas comerciales registradas de sus respectivos propietarios. Copyright 2008 Trend Micro Incorporated. Reservados todos los derechos. Nº de referencia del documento: OSEM83466/71122 Fecha de publicación: abril de 2008

Índice Acerca de Intrusion Defense Firewall...2 Instalación...5 Activar el complemento de servidor de Intrusion Defense Firewall...7 Instalar los componentes del servidor de Intrusion Defense Firewall con una fuente de actualización local...8 Instalar el complemento de cliente de Intrusion Defense Firewall...9 Cambiar del cortafuegos nativo de OfficeScan a Intrusion Defense Firewall... 10 Desinstalar Intrusion Defense Firewall... 12 Solución de problemas en la instalación del complemento de servidor... 13

Acerca de Intrusion Defense Firewall Intrusion Defense Firewall for OfficeScan Client/Server Edition es un sistema de defensa frente a intrusiones que le permite crear y aplicar políticas de seguridad para proteger la información confidencial, aplicaciones, equipos o segmentos de red. El componente de servidor se instala en el servidor de OfficeScan. Este se implementa y gestiona el componente de cliente en los clientes de OfficeScan. Complemento de servidor El complemento de servidor es un sistema de gestión integrado en la consola Web de OfficeScan. Gracias a él, los administradores pueden crear y gestionar completas políticas de seguridad para la defensa frente a intrusiones, realizar un seguimiento de las amenazas y registrar las acciones preventivas emprendidas en respuesta a dichas amenazas. Dashboard La aplicación Dashboard del complemento de servidor incluye las siguientes características: Creación de informes sobre el sistema, sucesos y el equipo, con capacidades de filtrado Gráficos de las métricas principales con tendencias y capacidades de filtrado Registros de sucesos detallados, con capacidades de filtrado, y envío de registros para la correlación de sucesos con otros sistemas Capacidad de guardar múltiples diseños de consola Herramientas de supervisión Entre las herramientas de supervisión se incluyen visores de sucesos para el cortafuegos, IPS y sucesos del sistema, además de una selección de informes con resúmenes de la actividad más reciente. Lista de equipos La estructura del árbol de clientes en la pantalla Equipos y en la pantalla Equipos en red de la consola Web de OfficeScan es la misma. La lista mostrada en el complemento de servidor se utiliza para aplicar las distintas reglas, filtros y configuraciones de estado de Intrusion Defense Firewall. Perfiles de seguridad Los perfiles de seguridad son plantillas de políticas con las que puede configurar y especificar las reglas de seguridad aplicables a uno o varios equipos. Estos grupos de reglas concisas y fáciles de gestionar simplifican la tarea de suministrar una seguridad exhaustiva, todo ello sin tener que tratar miles de reglas. Los perfiles de seguridad predeterminados proporcionan las reglas necesarias para un intervalo de configuraciones habituales de los equipos y garantizan, de este modo, una rápida implementación. Reglas de cortafuegos Un sofisticado cortafuegos de estado bidireccional brinda una compatibilidad completa con todos los protocolos de red (p. ej. TCP, UDP e ICMP). Puede configurar las reglas de cortafuegos para permitir o denegar el tráfico según la interfaz y restringir la comunicación a las direcciones IP o MAC permitidas.

Filtros IPS (Sistema de prevención de intrusiones) Una función de inspección profunda de paquetes examina los datos de las aplicaciones que entran y salen del equipo para proteger las vulnerabilidades de software contra ataques. Los filtros IPS permiten, bloquean, registran o editan los datos en función del contenido. Para proteger las vulnerabilidades frente a ataques conocidos y no conocidos, los filtros IPS definen los datos de las aplicaciones esperadas y bloquean los datos maliciosos basándose en su contenido. Actualizaciones de seguridad: las actualizaciones constantes de los filtros IPS permiten la protección más completa y reciente frente a los ataques conocidos y no conocidos. Configuraciones de estado El mecanismo de configuración de estado de Intrusion Defense Firewall analiza cada paquete según el historial de tráfico, exactitud de los valores de encabezado de TCP e IP y transiciones de estado en la conexión de TCP. En caso de protocolos sin estado, tales como los protocolos UDP e ICMP, Intrusion Defense Firewall implementa un mecanismo de seudoestado basado en el análisis del historial de tráfico. El mecanismo de estado gestiona los paquetes de la siguiente manera: El paquete pasa a la rutina de estado si así lo permiten las condiciones estáticas de la regla del cortafuegos. El sistema lo examina para determinar si pertenece a una conexión existente; para ello comprueba una tabla de conexión creada por el mecanismo de estado para los puntos finales coincidentes. El sistema examina la exactitud del encabezado de TCP (por ejemplo, los números de secuencia y combinaciones de indicadores). Componentes reutilizables Intrusion Defense Firewall hace uso de grupos independientes de tipos de aplicaciones, listas de direcciones IP, listas de direcciones MAC y listas de puertos. Múltiples elementos del sistema Intrusion Defense Firewall (reglas de cortafuegos, filtros IPS, perfiles de seguridad, etc.) pueden hacer uso de estos componentes para no tener que introducir la misma información cada vez que se crea una nueva regla, filtro o perfil. Complemento de cliente El complemento de cliente es un componente de software de alto rendimiento y reducido impacto ecológico instalado en el equipo donde se encuentra el cliente de OfficeScan. Aplica el perfil de seguridad (implementado por el complemento de servidor) al tráfico de red entrante y saliente y supervisa las desviaciones de protocolo o contenidos que pueden indicar un ataque. En caso necesario, el complemento de cliente interviene y neutraliza la amenaza mediante el bloqueo y la corrección del tráfico. Requisitos del sistema Complemento de servidor Memoria: 512 MB de memoria RAM como mínimo (1 GB recomendado) Espacio en disco: 1,5 GB como mínimo (6 GB recomendados) Explorador Web: Internet Explorer 6 o posterior (cookies activadas) Sistema operativo: Microsoft Windows Server 2003 (SP1 o superior), Microsoft Storage Server 2003 (SP1 o superior), Microsoft Cluster Server 2003 (SP1 o superior), Microsoft Windows 2000 Server (SP4 o superior) Requisitos previos: o Windows 2000: MDAC 2.81, Windows Installer 3.1 y Microsoft.NET Framework 2.0 o superior (se requiere para la instalación de SQL Server 2005 Express) o Windows 2003: Microsoft.NET Framework 2.0 o superior (se requiere para la instalación de SQL Server 2005 Express) El complemento de servidor instala Microsoft SQL Server 2005 Express automáticamente.

Complemento de cliente Memoria: 128 MB de memoria RAM como mínimo Espacio en disco: 50 MB como mínimo (100 MB recomendados, principalmente para iniciar sesión) Sistema operativo: Windows 2000 (32 bits), Windows XP (32 y 64 bits), Windows 2003 (32 y 64 bits), Vista (32 y 64 bits)

Instalación 1. Descargar Intrusion Defense Firewall En el administrador del complemento de OfficeScan, seleccione Intrusion Defense Firewall y haga clic en Desinstalar. En el cuadro de diálogo, haga clic en "Aceptar" para confirmar la descarga y espere a que esta finalice. 2. Instalar Intrusion Defense Firewall Haga clic en Instalar ahora. En caso de realizar una instalación nueva o renovar la licencia con un nuevo código de activación, el sistema le solicitará que acepte el contrato de licencia. Lea y acepte el contrato de licencia para continuar. La instalación tardará unos minutos.

Cuando haya finalizado la instalación del complemento de servidor de Intrusion Defense Firewall, haga clic en Gestionar el programa para activar Intrusion Defense Firewall. La primera vez que ejecute el complemento de servidor de Intrusion Defense Firewall recibirá una advertencia de certificado. Ello se debe a que el complemento de servidor se ejecuta en un servidor Web distinto al servidor de OfficeScan. Se recomienda aceptar este certificado por motivos de seguridad. Cuando aparezca la advertencia, haga clic en el botón "Instalar el certificado " e instálelo en la ubicación predeterminada. Actualizar el complemento de servidor La pantalla de Plug-in Manager le informará cuando haya disponible una nueva versión del complemento de servidor de Intrusion Defense Firewall. La nueva versión aparecerá encima de la versión actual. Para actualizar a la nueva versión, haga clic en el botón Descargar. Cuando se ha completado la descarga de la nueva versión, el botón cambia a Actualizar. Haga clic en Actualizar para actualizar el complemento de servidor.

Activar el complemento de servidor de Intrusion Defense Firewall 1. Instalar los certificados de seguridad La primera vez que active el complemento de servidor de Intrusion Defense Firewall recibirá una alerta de certificado de seguridad de Microsoft. En Ver el certificado, seleccione la pantalla Información del certificado y después haga clic en Instalar el certificado. En el Asistente para importación de certificados, siga las instrucciones para importar el certificado en el almacén de certificados. 2. Introducir el código de activación Introduzca el código de activación de Intrusion Defense Firewall y haga clic en Guardar para finalizar el registro. Para insertar el código de activación rápidamente, haga clic con el botón derecho del ratón en el primer cuadro de entrada del código y, a continuación, pegue todo el código de activación. Si no dispone de un código de activación, póngase en contacto con su representante de Trend Micro o proveedor de asistencia. Haga clic en Iniciar para iniciar Intrusion Defense Firewall.

Instalar los componentes del servidor de Intrusion Defense Firewall con una fuente de actualización local Si el servidor de OfficeScan no puede conectarse a Internet, es preciso que instale los componentes de Intrusion Defense Firewall en el servidor de OfficeScan (host local) y especifique las fuentes de actualización locales para OfficeScan. Nota: antes de continuar, consiga el paquete de instalación de Trend Micro. El paquete de instalación contiene los archivos de configuración para los componentes de Intrusion Defense Firewall. Para instalar Intrusion Defense Firewall con una fuente de actualización local: 1. En el servidor de OfficeScan, cree un directorio virtual "IDF". Si utiliza el servidor Web IIS, abra la pantalla de Internet Information Services (IIS) Manager y haga clic con el botón derecho del ratón en el sitio Web predeterminado. A continuación, haga clic en Nuevo > Directorio virtual. Si utiliza un servidor Web Apache, especifique el nuevo directorio virtual en el archivo httpd.conf y reinicie el servicio Apache. A continuación figura un ejemplo del apartado del directorio virtual "IDF" en el archivo httpd.conf #IDF Plug-in Active Update Alias /IDF "C:/TmUpdate/IDF/" <Directory "C:/TmUpdate/IDF"> Options None AllowOverride None Order allow,deny Allow from all </Directory> 2. Extraiga el paquete de instalación de Trend Micro. 3. Copie las carpetas "activeupdate" en el directorio virtual. Si le aparece algún mensaje, confirme que desea sobrescribir todas las carpetas existentes en el directorio. Para especificar una fuente de actualización local para OfficeScan: 1. Inicie sesión en la consola Web de OfficeScan y haga clic en Actualizaciones > Fuente de actualización. Aparecerá la pantalla Fuente de actualización del servidor. 2. Seleccione Otra fuente de actualización y escriba "http://localhost:8080/idf/activeupdate" en el campo indicado. Haga clic en Guardar. 3. Reinicie el servicio OfficeScan Plug-in Manager para que los cambios surtan efecto. 4. Vuelva a iniciar sesión en la consola Web de OfficeScan y haga clic en Plug-in Manager. 5. Siga las instrucciones que aparecen en la pantalla para descargar e instalar el complemento Intrusion Defense Firewall en el servidor de OfficeScan. 6. Cuando la instalación haya finalizado, haga clic en Gestionar el programa para acceder a las pantallas de configuración de Intrusion Defense Firewall. 7. Escriba el código de activación para registrar el producto. Cuando se haya registrado correctamente el producto, se mostrará la Página de introducción del complemento Intrusion Defense Firewall.

Instalar el complemento de cliente de Intrusion Defense Firewall Implementar el complemento de cliente En la consola de gestión de Intrusion Defense Firewall, vaya a Equipos y haga clic con el botón derecho del ratón en el equipo (o dominio) donde desea instalar el complemento o los complementos de cliente. En el menú Acciones, seleccione Implementar complementos de cliente. Espere mientras el complemento de cliente se implementa en los equipos seleccionados. Durante este proceso, la columna Estado de equipo mostrará los mensajes de que el complemento de cliente se está implementando. Cuando el complemento de cliente se ha implementado, la columna de estado del equipo muestra el mensaje Gestionado (Complemento de cliente en línea).

Cambiar del cortafuegos nativo de OfficeScan a Intrusion Defense Firewall El cortafuegos Intrusion Defense Firewall y el cortafuegos nativo de OfficeScan son dos cortafuegos diferentes y no deben utilizarse al mismo tiempo. Las siguientes instrucciones le indican cómo cambiar del cortafuegos de OfficeScan a Intrusion Defense Firewall sin exponer los equipos durante la transición. Algunos usuarios únicamente desean utilizar la funcionalidad IPS (Sistema de prevención de intrusiones) o IDS (Sistema de detección de intrusiones) del cortafuegos Intrusion Defense Firewall, y seguir utilizando el cortafuegos nativo de OfficeScan. En este caso, también debe seguir los siguientes pasos (excepto el último: desactivar el cortafuegos de OfficeScan) para que el complemento de servidor pueda comunicarse con el complemento de cliente. 1. Modificar la configuración del cortafuegos de OfficeScan Si utiliza actualmente el cortafuegos de OfficeScan con un nivel de seguridad Medio o Alto, debe abrir los siguientes puertos de clientes para el complemento de servidor. De este modo, el complemento de servidor de Intrusion Defense Firewall podrá comunicarse con el complemento de cliente de Intrusion Defense Firewall mientras que el cortafuegos de OfficeScan sigue activo: TCP 4118 (El puerto para la comunicación con el complemento de cliente desde el complemento de servidor) TCP 4119 (El puerto para la consola Web del complemento de servidor) TCP 4120 (El puerto para la comunicación con el complemento de servidor desde el complemento de cliente) Para modificar la configuración del cortafuegos de OfficeScan: 1. Cree una nueva política del cortafuegos de OfficeScan con el nombre "Política de Intrusion Defense Firewall". (Consulte la ayuda en línea de OfficeScan para conocer detalles sobre cómo crear la política y el perfil del cortafuegos de OfficeScan.) 2. Añada una nueva excepción a la política: Nombre: excepción de Intrusion Defense Firewall Acción: permitir el tráfico de red Dirección: entrante y saliente Protocolo: TCP Puerto(s): especificar números de puertos: 4118 (El puerto para la comunicación con el complemento de cliente desde el complemento de servidor) 4119 (El puerto para la consola Web del complemento de servidor) 4120 (El puerto para la comunicación con el complemento de servidor desde el complemento de cliente) Dirección IP: la dirección IP del servidor de OfficeScan 3. Cree un nuevo perfil del cortafuegos de OfficeScan con el nombre Política de Intrusion Defense Firewall. Defina la política en Perfil de Intrusion Defense Firewall. El perfil debe aplicarse a todos los equipos que se cambiarán al cortafuegos Intrusion Defense Firewall. 2. Asignar perfiles de seguridad adecuados a los equipos Intrusion Defense Firewall incluye tres perfiles de seguridad predefinidos: perfil de portátiles Windows, perfil de estaciones de trabajo Windows y perfil del servidor de OfficeScan. Los perfiles de seguridad están formados por un grupo de reglas de cortafuegos, filtros IPS y configuraciones de estado (consulte el apartado "Acerca Intrusion Defense Firewall" más arriba). Para examinar las propiedades de un perfil de seguridad, haga doble clic en uno de los perfiles de la pantalla Perfiles de seguridad. Si selecciona las pestañas disponibles, podrá ver los filtros, reglas, etc. que aplica el perfil de seguridad en cuestión.

Los perfiles de seguridad están diseñados para que los utilicen múltiples equipos con necesidades similares. Los perfiles de seguridad de ejemplo se pueden duplicar (haga clic con el botón derecho del ratón en un perfil de seguridad y seleccione "Duplicar") y personalizar para satisfacer las necesidades de la empresa. Intrusion Defense Firewall incluye tres ejemplos de perfiles de seguridad que garantizan un comienzo seguro. A continuación, desplácese por la lista de equipos y asigne los perfiles de seguridad adecuados (haga clic en el menú con el botón derecho del ratón y seleccione Acciones > Asignar perfil de seguridad...). 3. Editar la lista de IP de controladores de dominios Si utiliza un dominio de Windows, debe editar las propiedades de la lista de IP Controladores de dominios para incluir las direcciones IP de todos sus controladores de dominios. Vaya a Componentes > Listas de IP y haga doble clic en la lista de IP Controladores de dominios. Añada las direcciones IP de sus controladores de dominios. 4. Desactivar el cortafuegos nativo de OfficeScan Ahora puede desactivar el cortafuegos nativo de OfficeScan de forma segura. Para desactivar el cortafuegos de OfficeScan: 1. Abra la consola Web de OfficeScan. 2. Vaya a "Administración > Licencia de producto". 3. En "Servicios adicionales", haga clic en el botón "Desactivar". 4. Desconéctese e inicie sesión luego en la consola Web de OfficeScan para ver el estado actual del cortafuegos.

Desinstalar Intrusion Defense Firewall Para obtener instrucciones acerca de cómo desinstalar los complementos de cliente y el servidor de Intrusion Defense Firewall, consulte el apartado Cómo del Manual del administrador.

Solución de problemas en la instalación del complemento de servidor Mensaje de error: No se puede continuar. La versión Trend Micro Plug-in Manager debe ser 1.0.1332 o superior. Solución: Compruebe la versión de Trend Micro Plug-in Manager y póngase en contacto con la asistencia si no puede descargar e instalar la versión 1.0.1332 o superior. Es preciso que actualice Plug-in Manager antes de instalar Intrusion Defense Firewall. Mensaje de error: No se puede continuar. Se necesitan como mínimo 1.500 MB de espacio libre en disco y solo hay MB disponibles. Solución: Libere espacio adicional en disco y vuelva a intentar la instalación. El espacio en disco debe estar disponible en la misma unidad donde está instalado el servidor de OfficeScan. Mensaje de error: Windows Installer. Se requiere la versión 3.1 o superior. Solución: Ejecute Windows Update y compruebe que dispone de la versión más reciente de Windows Installer. Mensaje de error: Microsoft Data Access Components (MDAC). Se requiere la versión 2,81 o superior. Solución: Descargue e instale MDAC desde el sitio de Microsoft en la siguiente ubicación: http://www.microsoft.com/downloads/details.aspx?familyid=78cac895-efc2-4f8e-a9e0-3a1afbd5922e&displaylang=es (MDAC no se instala ni se actualiza durante la ejecución de Windows Update.) Mensaje de error: Microsoft.NET Framework. Se requiere la versión 2,0 o superior. Solución: Descargue e instale Microsoft.NET 2.0 a través de Windows Update o desde la siguiente ubicación: http://www.microsoft.com/downloads/details.aspx?familyid=0856eacb-4362-4b0d-8eddaab15c5e04f5&displaylang=es Mensaje de error: No se puede continuar. No se pudo encontrar el directorio del sistema. Solución: Póngase en contacto con la asistencia. Ellos le ayudarán a recopilar un registro para diagnosticar el problema. Mensaje de error: No se puede escribir en la clave de registro del complemento '?'. Antes de intentarlo de nuevo, compruebe los permisos del registro. Solución: Compruebe los permisos del servicio Plug-in Manager y asegúrese de que dispone de los derechos necesarios para escribir en el registro. Mensaje de error: Error de instalación de SQL. Consulte los registros en C:\Archivos de programa\microsoft SQL Server\90\Setup Bootstrap\LOG\Files. Solución: Asegúrese de que el sistema cumple los requisitos de hardware y software para SQL Server Express 2005: http://msdn2.microsoft.com/en-us/library/ms143680.aspx Si el sistema cumple todos los requisitos, consulte los registros indicados en el mensaje de error. Si el archivo SQLSetup?_?_Core(Local).log contiene un error similar al siguiente error: "C:\Archivos de programa\microsoft SQL Server\90\Setup Bootstrap\LOG\Files\SQLSetup0004_D-A-13_.NET Framework 2.0.log" en archivo.cab: Código de error de "C:\Archivos de programa\microsoft SQL Server\90\Setup Bootstrap\LOG\SqlSetup0004.cab": 2 vuelva a instalar Microsoft.NET Framework 2.0. Es posible que la instalación.net esté dañada. Si esto no resuelve el problema, póngase en contacto con la asistencia. Para otros errores de SQL póngase en contacto con la asistencia y envíe los archivos de registro del directorio indicados en el mensaje de error. Mensaje de error: Error de la instalación de Intrusion Defense Firewall. Consulte los registros en? y? Solución: Se ha producido un error general inesperado. Consulte los registros indicados en el mensaje de error y póngase en contacto con la asistencia si fuera necesario. Es posible que aunque haya fallado la instalación de Intrusion Defense Firewall, la instalación de SQL Server Express 2005 se completara correctamente y que ya esté instalado en el sistema. Los intentos posteriores de

instalar Intrusion Defense Firewall utilizarán la primera instalación de SQL Server Express. Si no desea volver a instalar Intrusion Defense Firewall y quiere eliminar esta instalación de SQL, desinstale manualmente la base de datos instalada mediante el siguiente comando: "C:\Archivos de programa\trend Micro\OfficeScan\PCCSRC\Admin\Utility\SQL\sql.exe" /qn REMOVE=SQL_Engine INSTANCENAME=IDF Una vez se haya eliminado la base de datos, compruebe que el siguiente directorio ya no existe o que se ha eliminado el archivo IDF.mdf (en caso necesario, elimine IDF.mdf e IDF_log.LDF) en la siguiente ubicación: C:\Archivos de programa\microsoft SQL Server\MSSQL.1\MSSQL\Data Asegúrese de que se haya eliminado el siguiente directorio (elimínelo si es necesario): C:\Archivos de programa\trend Micro\OfficeScan\Addon\Intrusion Defense Firewall