Kurzanleitung. Norman Device Control

Transkript

1 Kurzanleitung Norman Device Control USB-Sicherheitsrichtlinien für Wechseldatenträger, Datenverschlüsselung und Port-Sicherheit mit Norman Device Control durchsetzen Das Problem der Datenlecks, die von unabsichtlicher oder manchmal auch böswilliger Verwendung von Wechseldatenträgern herrühren, hat alarmierende Ausmasse erreicht. Über 85% der Datenschutz- und Sicherheitsbeauftragten haben mindestens einen solchen Vorfall gemeldet, knapp 64% sogar mehrere 1. Deloitte & Touche and Ponemon Institute, 2007 Privacy & Data Protection Survey, Dezember 2007

2 1 Norman Device Control Inhalt: Voraussetzungen... 2 Installation... 4 Konfiguration Benutzer/Computer erfassen (ADS synch.) Agent installieren How to: Einzelne Geräte freigeben Einzelne Computer/Benutzer erfassen Spezielle Geräte erfassen Achtung: Diese Kurzanleitung dient lediglich als Übersicht und ersetzt auf keinen Fall die Original-Handbücher! 1

3 2 Unterstützte Betriebssysteme: Hard- und Softwarevoraussetzung: 2

4 3 Mehrsprachiger Support: Unterstützt 12 Sprachen auf Clientrechnern: Chinesisch (traditionell), Chinesisch (vereinfacht), Deutsch, Englisch, Französisch, Italienisch, Japanisch, Niederländisch, Portugiesisch, Russisch, Schwedisch und Spanisch. (Unterstützung für Dänisch und Norwegisch ab Q ) Die vom Anwendungsserver unterstützte Sprache ist Englisch. Kurzübersicht Installationsablauf: - Installation SQL Server - Firewall Ports öffnen (65129 oder TLS und 33115) - Lizenzschlüssel implementieren - Datenbank installieren - Applikationsserver installieren - Management Konsole installieren 3

5 4 Installation Die Installation erfolgt auf dem Server welcher kein DC sein sollte. 1. SQL Server installieren (Variante wenn noch kein SQL vorhanden ist) Wählen sie die unten rot markierte Option: 4

6 5 Aktivieren sie die beiden unten markierten Optionen: 5

7 6 2. Kopieren sie den Lizenzschlüssel xxxxx.lic in folgendes Verzeichnis:...\System32 (bei 32bit Systemen)...\Syswow64 (bei 64bit Systemen) 3. Datenbank installieren Geben sie zuerst folgende Ports auf der Firewall frei; (65229 TLS nur für verschlüsselte Kommunikation) und Starten sie die Datei "setup.exe" im Verzeichnis \Server\DB; 6

8 7 4. Schlüsselpaar erzeugen Um das benötigte Schlüsselpaar zu erzeugen starten sie die Datei "Keygen.exe" im Verzeichnis \Server\Keygen; Hier können sie den Ort angeben wo die Schlüssel erzeugt werden sollen und unter "Seed" ein Passwort angeben. Am angegebenen Ort wird dann das Schlüsselpaar erzeugt: sx-private.key sx-public.key Beide Schlüssel müssen nun in folgendes Verzeichnis kopiert werden: \system32 (32bit Systeme) \syswow64 (64bit Systeme) 7

9 8 5. Application Server installieren Starten sie die Datei "setup.exe" im Verzeichnis \Server\SXS; Für den Betrieb wird RPC benötigt, dies kann hier gleich aktiviert werden. Die Bestätigung, dass der entsprechende Registrierungsschlüssel gesetzt wurde. Angabe des Installationsverzeichnisses. 8

10 9 Nun wird ein Benutzer benötigt, welcher über genügend Rechte für die Abfrage von Informationen für die Domäne und die Computer besitzt, welche geschützt werden sollen. Jetzt erfolgt die Angabe der SQL-Instanz: 9

11 10 Danach könnte die Angabe des Speicherortes für die Daten geändert werden. Hier erhält man eine Meldung welche einem auf das Fehlen der Zertifikate aufmerksam macht. Dies wird jedoch nur benötigt, wenn der Datenverkehr zwischen dem Server und den zu schützenden Systemen verschlüsselt werden soll. Dies macht Sinn wenn es sich um Aussenstellen handelt, jedoch nicht unbedingt in einem lokalen Netzwerkverbund. Wir wählen in unserem Beispiel "unverschlüsselt". 10

12 11 Der Port welcher für die Kommunikation (unverschlüsselt) verwendet wird. (Dieser wurde anfänglich bereits auf der Firewall freigegeben und muss im Anschluss auf jedem System welches geschützt wird offen sein.) Optional kann ein hier SysLog Server angegeben werden. Wird keiner verwendet, kann die folgende Abfrage mit "Yes" bestätigt werden. 11

13 12 Die Installation kann nun beginnen. Die Installation des Application Servers ist hiermit abgeschlossen. 12

14 13 6. Installation Management Konsole Sie können die Datei "Setup.exe" im Verzeichnis \Server\SMC starten. Vorab wird C++ Runtime Lib installiert. Anschliessend startet die eigentliche Installation der Management Konsole: Wählen sie Complete Folgende Komponenten werden installiert: 13

15 14 Die Installation der Management Konsole ist hiermit abgeschlossen. Wenn die Management Konsole das erste mal gestartet wird, müssen sie localhost unter Application Server eintragen: 14

16 15 Konfiguration 1. Benutzer/Computer erfassen / mit ADS synchronisieren Um Benutzern/Computern Berechtigungen zu erteilen, müssen diese erst eingelesen werden. Dazu wird eine Synchronisation mit dem ADS eingeleitet: Unter Tools starten sie Synchronize Domain Members und tragen anschliessend den Namen der Domäne ein. Die Benutzer/Computer der ADS werden nun eingelesen und stehen danach zur weiteren Verwendung bereit. 15

17 16 NDC Agent auf die Clients verteilen: 1. Als erstes starten sie Application and Device Control Client Deployment Hier wählen sie New Package geben den Pfad ein (..\Client) geben sie eine Bezeichnung für das Paket ein und wählen anschliessend das entsprechende Paket aus: 16

18 17 Geben sie nun die IP-Adresse des Servers 3x ein, entfernen sie den Hacken bei TLS und anschliessend müssen sie den public key importieren. Klicken sie dazu auf Import public key und navigieren sie in das Verzeichnis \windows\system32 bzw. \windows\syswow64. Nachdem der public key importiert wurde, wählen sie Test connection. Wird der Test 3x mit Successful angezeigt, fahren sie mit OK weiter. Wir haben hier gleich beide Pakete (32 und 64bit erstellt). Markieren sie das benötigte Paket und wählen sie Add Computer. Tragen sie den 17

19 Computername ein, klicken sie auf Namen überprüfen und wenn der PC erscheint Klicken sie auf OK. Markieren sie den Computer und wählen sie Query Ist die Abfrage erfolgreich erscheint folgende Anzeige: Nun ist alles bereit für die Installation, markieren sie den Computer erneut und klicken sie auf Install. 18

20 Um einen automatischen Neustart zu verhindern, können sie die Option Reboot after deaktivieren. Durch klicken auf OK startet die Installation. Nach erfolgreicher Installation erhalten sie danach die Bestätigung: 18

21 19 Norman Device Control Einzelne (spezielle) Geräte freigeben In diesem Szenario werden wir ihnen aufzeigen wie sie beispielsweise nur einen einzigen USB-Stick (nach Seriennummer) freigeben können. Als erstes müssen sie das Device Log einschalten: Unter Tools Default Options können sie das Log aktivieren, somit werden die erkannten Geräte in einem Log erfasst. Schliessen sie den USB-Stick, welcher erfasst werden soll, an den Computer an. 19

22 20 Wir werden nun wie folgt ein Log des Computers aufrufen an welchem wir den USB-Stick angeschlossen haben: Klicken sie dafür auf Log Explorer linker Hand und wählen dann Templates : Dann markieren sie Devices connected this month und bestätigen mit Select : 20

23 21 Hier wählen sie Fetch log anschliessend geben sie den Computername, an welchem der USB-Stick angeschlossen wurde, ein und klicken auf Search : Markieren sie den Computer und wählen OK. Durch klicken auf Query erhalten sie anschliessend die Liste der angeschlossenen Geräte. Markieren sie hier den USB-Stick, wählen sie Add Devices und folgende Auswahl erscheint: 21

24 22 Markieren sie den USB-Stick und fahren weiter mit Add Devices. Der neu eingelesene USB-Stick erscheint nun unter Removable Storage Devices : Wir sehen hier, dass der USB-Stick mit seiner eigenen Seriennummer erfasst ist und wir können die gewünschten Berechtigungen setzen. Diese Berechtigungen gelten nur für diesen einzigen USB-Stick. 22

25 23 Wenn sie nicht nur einen einzelnen (nach Seriennummer) USB-Stick freigeben, sondern alle USB-Sticks dieses Typs, dann wählen sie anstelle der Seriennummer den Typ aus: Das weitere Vorgehen bleibt gleich. 23

26 24 Einzelne Computer erfassen Wir zeigen ihnen hier auf, wie einzelne Computer erfasst werden können. Falls ein Computer oder Benutzer nicht in der Domäne sein sollte oder um diesem eine spezielle Konfiguration zu geben. Doppelklicken sie dazu auf die Domäne, geben den Maschinennamen ein und wählen search. Der gesuchte PC wird nun angezeigt und durch klick auf OK wird der Computer unterhalb der Domäne aufgelistet. Hier sehen sie nun die gleichen Geräte wie oben bereits aufgelisteten sind: 24

27 25 In unserem Szenario wollen wir nun erstmals alle Geräte dieses Computers für jeden Benutzer freigeben. Dazu führen wir einen Rechtsklick auf die aufgelisteten Geräte aus und wählen Add/Modify Permissions Anschliessend wird die gesuchte Benutzergruppe eingetragen und ausgewählt: 25

28 26 Nun können die Berechtigungen gesetzt werden. Wir erteilen hier jedem Benutzer Leseund Schreibrechte auf das Gerät Biometric Device. Dieser Vorgang wird nun für jedes Gerät wiederholt und die Berechtigungen für die gewünschten Benutzer und/oder Gruppen wie benötigt gesetzt. 26

29 27 Spezielle Geräte erfassen Um beispielsweise ein iphone zu erfassen, sind mehrere Schritte notwendig. Da dieses Gerät nicht als ein Gerät erkannt wird, sondern die verschiedenen einzelnen Komponenten aufgelistet werden, wie beispielsweise Apple iphone, Mobile Device etc. Die Vorgehensweise ist wie folgt: Klicken sie im Device Explorer auf Manage Devices Klicken sie auf Add new und geben anschliessend den PC-Namen ein auf welchem das neue Gerät ausgelesen werden soll. 27

30 28 Die erkannten Geräte werden nun alle angezeigt: Markieren sie die beiden Apple-Geräte und klicken auf Add Devices. Anschliessend wählen sie Add new. 28

31 29 Die neu erkannten Geräte erscheinen nun im Device Explorer. Und können auch entsprechend frei gegeben werden. Diese Vorgehensweise können sie auch für andere Geräte verwenden, welche als mehrere Devices angezeigt werden. 29