McAfee Enterprise Security Manager 10.3.x Installationshandbuch

Transkript

1 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

2 COPYRIGHT Copyright 2018 MAfee LLC MARKENZUORDNUNGEN MAfee und ds MAfee Logo, MAfee Ative Protetion, epoliy Orhestrtor, MAfee epo, Foundstone, MAfee LiveSfe, MAfee QuikClen, MAfee SECURE, SeureOS, MAfee Shredder, SiteAdvisor, MAfee Stinger, TrustedSoure, VirusSn sind Mrken der MAfee LLC oder seiner Tohtergesellshften in den USA und nderen Ländern. Andere Mrken sind Eigentum der jeweiligen Inher. LIZENZINFORMATIONEN Lizenzvertrg HINWEIS AN ALLE BENUTZER: LESEN SIE SORGFÄLTIG DEN ZU DER VON IHNEN ERWORBENEN LIZENZ JEWEILS ZUGEHÖRIGEN RECHTSGÜLTIGEN VERTRAG, IN DEM DIE ALLGEMEINEN GESCHÄFTSBEDINGUNGEN FÜR DIE NUTZUNG DER LIZENZIERTEN SOFTWARE DARGELEGT SIND. DIE ART VON LIZENZ, DIE SIE ERWORBEN HABEN, ENTNEHMEN SIE DER VERKAUFSLIZENZGEWÄHRUNG SOWIE SONSTIGEN DAMIT ZUSAMMENHÄNGENDEN LIZENZGEWÄHRUNGEN ODER DEN BESTELLUNGEN, DIE SIE ZUSAMMEN MIT IHREM SOFTWAREPAKET ODER SEPARAT ALS TEIL IHRES KAUFES ERHALTEN HABEN (IN FORM EINER BROSCHÜRE, EINER DATEI AUF DER PRODUKT-CD ODER EINER DATEI AUF DER WEBSITE, VON DER SIE DAS SOFTWAREPAKET HERUNTERGELADEN HABEN). WENN SIE DEN IM VERTRAG DARGELEGTEN BESTIMMUNGEN NICHT ZUSTIMMEN, DÜRFEN SIE DIE SOFTWARE NICHT INSTALLIEREN. SOFERN DIES ERFORDERLICH IST, DÜRFEN SIE DAS PRODUKT AN MCAFEE ODER DIE VERKAUFSSTELLE ZURÜCKGEBEN UND ERHALTEN EINE VOLLE RÜCKERSTATTUNG. 2 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

3 Inhltsverzeihnis 1 Instlltionsüersiht 5 Komponenten von MAfee Enterprise Seurity Mnger Konfigurtionsszenrien Üersiht üer die Instlltion von MAfee ESM Konfigurieren der VM 11 Konfigurieren der Netzwerkshnittstelle der VM Festlegen des Authentifizierungsshlüssels für die VM Bereitstellen von ESM in einer virtuellen Mshine 13 Herunterlden des ESM-VM-Imges Bereitstellen von ESM in einer VMwre ESXi-VM Anforderungen für VMwre ESXi-VMs Bereitstellen der virtuellen VMwre ESXi-Mshine Bereitstellen von ESM in einer Linux-KVM Anforderungen für Linux-KVMs Bereitstellen der ESM-Softwre in einer Linux-KVM Bereitstellen von ESM in einer AWS-VM Verwenden von ESM mit AWS Erstellen des AWS-Servers Erstellen eines ESM-Imges und Instllieren des Imges uf einem AWS-Server Konfigurieren von ESM-AWS-Verindungen Bereitstellen von ESM in einer Mirosoft Azure-VM Erstellen der Azure-VM Ausführen der Azure-Instlltionsskripte Bereitstellen von ESM in einer AWS-HVM Instllieren von ESM in einer AWS-HVM Ausführen der Erstkonfigurtion von ESM 29 Anmelden ei der MAfee ESM-Konsole Hinzufügen von Geräten zur ESM-Konsole Üerprüfen, o lle Geräte in ESM ngezeigt werden Festlegen des Authentifizierungsshlüssels für ein Gerät Aktulisieren eines einzelnen Geräts 33 6 Aktulisieren des ESM-Systems 35 Vorereiten der Aktulisierung Herunterlden der Aktulisierungsdteien Sihern der Dtennk Sihern von MAfee ESM-Einstellungen und Systemdten Üerprüfen des Hohverfügrkeitssttus eines ERC-Geräts Identifizieren und Berüksihtigen spezieller Aktulisierungsszenrien Aktulisieren von Geräten (Niht-FIPS-Modus) Aktulisieren von SIEM-Peripheriegeräten (FIPS-Modus) MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 3

4 Inhltsverzeihnis Aktulisieren von Empfängern mit Hohverfügrkeit MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

5 1 Instlltionsüersiht 1 Inhlt Komponenten von MAfee Enterprise Seurity Mnger Konfigurtionsszenrien Üersiht üer die Instlltion von MAfee ESM Komponenten von MAfee Enterprise Seurity Mnger MAfee ESM und die zugehörigen Komponenten werden in Ihrem Netzwerk instlliert und konfiguriert, um Shwhstellen und Bedrohungen zu identifizieren. Im Fll einer Bedrohung ist mit ESM Folgendes möglih: Sie können sih üer die Benutzeroerflähe, per E-Mil, per SNMP oder per Textnhriht enhrihtigen lssen. Sie können den Verluf der Bedrohung zu Anlysezweken speihern. Bsierend uf konfigurierten Rihtlinien können utomtish Aktionen usgeführt werden. Zu den Komponenten von MAfee ESM gehören: MAfee Enterprise Seurity Mnger (MAfee ESM): Verfügr ls Hrdwrekomponente oder Softwre-Instlltion in einer virtuellen Mshine (VM). Mit MAfee ESM werden Bedrohungsdten, Reputtions-Feeds und Shwhstellensttus ngezeigt. Außerdem werden die Systeme, Dten, Risiken und Aktivitäten im Unternehmen ngezeigt. MAfee Event Reeiver (ERC): Verfügr ls Hrdwrekomponente oder Softwre-Instlltion in einer VM, mit der Zehntusende von Ereignissen pro Sekunde erfsst, die Dten nlysiert und n die ESM-Geräte gesendet werden. MAfee Enterprise Log MngerMAfee Enterprise Log Mnger (ELM): Verfügr ls Hrdwrekomponente oder Softwre-Instlltion in einer VM, mit der Ereignisse erfsst, komprimiert, signiert und gespeihert werden. Ddurh entsteht eine nhgewiesene Audit-Liste der Aktivitäten. MAfee Enterprise Log Serh (ELS): Eine Hrdwrekomponente, mit der lle Ereignisse erfsst, indiziert und gespeihert werden. Ddurh entsteht eine nhgewiesene Audit-Liste der Aktivitäten. Mit ELS können Ereignisse shneller ls mit ELM durhsuht werden, d Indizes verwendet werden. MAfee-Empfänger/ELM (ELMERC): Verfügr ls Hrdwrekomponente oder Softwre-Instlltion in einer VM, die ELM und ERC umfsst MAfee Advned Correltion Engine (MAfee ACE): Verfügr ls Hrdwrekomponente oder Softwre-Instlltion in einer VM, mit der die Ereigniskorreltion und der Strt vereinfht werden. Ddurh können Bedrohungsereignisse im Verluf oder in Ehtzeit nhnd einer regel- und risikosierten identifiziert und ewertet werden. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 5

6 1 Instlltionsüersiht Konfigurtionsszenrien MAfee Applition Dt Monitor: Eine Hrdwrekomponente, mit der üer 500 eknnte Anwendungen im gesmten Stk us Eenen üerwht und sämtlihe Sitzungsdetils ller Verletzungen erfsst werden MAfee Dtse Event Monitor () Eine Hrdwrekomponente, mit der die Erfssung, Verwltung, Anlyse, Visulisierung und Berihterstellung für den Dtennkzugriff uf den meisten Dtennkplttformen utomtisiert wird MAfee Diret Atthed Storge (DAS): Eine Hrdwrekomponente, die mit ESM-, ELM- oder ELS-Geräten verunden wird, um den Speiherpltz zu erweitern In Lösungen mit Redundnz ist in jedem System ein DAS-Gerät erforderlih. Für zwei redundnte ELM-Geräte zum Beispiel werden zwei DAS-Geräte enötigt. ESM-Konsole: Ein Computer mit einem Browser, der von Siherheitsdministrtoren zum Konfigurieren und Verwlten von ESM verwendet wird Je nh Umgeung können Sie nur eine ESM-Komintion oder viele dieser Komponenten verwenden. Detillierte Informtionen zur Konfigurtion finden Sie im MAfee Enterprise Seurity Mnger-Produkthnduh. Konfigurtionsszenrien Sie können MAfee ESM mit nur einer ESM-Komintion konfigurieren oder Komponenten hinzufügen, um Bedrohungen in einem großen Unternehmensnetzwerk zu identifizieren. Durh Hinzufügen von Komponenten zur Netzwerkumgeung können Sie die Leistung steigern, Funktionen hinzufügen und die Speiherkpzität für Ereignisse erhöhen. So können Sie eispielsweise den Shutz Ihres Netzwerks sklieren, indem Sie die folgenden Komponenten oder erweiterte Modelle einer vorhndenen Komponente hinzufügen. Für in einer VM instllierte ESM-Komintionsgeräte gelten Grenzwerte hinsihtlih der Anzhl der Komponenten, die Sie hinzufügen können. MAfee ACE: Erweitert die EPS-Funktionen (Ereignisse pro Sekunde), Protokolle, Netzwerkflüsse und die n ESM gesendeten Kontextinformtionen. MAfee Applition Dt Monitor: Üerwht Dtenverkehr der Shiht 7 im Netzwerk, um Anwendungen zu üerwhen, die normlerweise nur mit Protokollierung unemerkt lieen, und verfolgt die Detils von Anwendungstrnsktionen, die Sie speihern können. MAfee Dtse Event Monitor: Erhöht die Dtennktrnsktionen, die Sie speihern können, ietet essere Möglihkeiten für den Zugriff uf diese Trnsktionen und erhöht die Siherheit durh Erkennen uneknnter Dtennken im Netzwerk. ERC: Mit zusätzlihen ERC-Geräten können Sie den EPS-Durhstz us den Netzwerksegmenten und den verundenen Dtenquellen erhöhen. Der EPS-Durhstz eines ERC-Geräts hängt vom Modell. ELM: Durh ds ELM-Gerät wird die Anzhl der unformtierten Protokolle erhöht, die Sie komprimieren und speihern können. Ds ELM-Gerät ist ds einzige Gerät, von dem die Protokolle im konformen "unereiteten Formt" gespeihert werden. ELS: Mit dem ELS-Gerät können Sie im Vergleih zum ELM-Gerät ds Durhsuhen von Ereignisdten mithilfe eigener Index-Tgs eshleunigen. Aufgrund der im Vergleih zum ELM-Gerät erhelih niedrigeren Komprimierungsrte ist ds Gerät jedoh niht dzu geeignet, Compline-Anforderungen zu erfüllen. ESM: Durh Hinzufügen von ESM-Geräten können Sie die Leistung veressern, indem Sie Dten horizontl prtitionieren und Dtenleks verhindern, indem Sie Dten replizieren. 6 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

7 Instlltionsüersiht Konfigurtionsszenrien 1 Einfhes ESM-Szenrio In dieser Aildung wird gezeigt, wie Sie sih mit nur einem ESM-Gerät Einlike in Netzwerkereignisse vershffen können. Komplexes ESM-Szenrio In dieser Aildung wird gezeigt, wie Sie sih mit mehreren ESM-Komponenten Einlike in Ereignisse in einem großen Unternehmensnetzwerk vershffen können. Fügen Sie ESM-Komponenten hinzu, wenn ds Netzwerk wähst und die Anzhl der Ereignisse zunimmt. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 7

8 1 Instlltionsüersiht Konfigurtionsszenrien 8 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

9 Instlltionsüersiht Üersiht üer die Instlltion von MAfee ESM 1 Üersiht üer die Instlltion von MAfee ESM In diesem Flussdigrmm sehen Sie eine Üersiht üer die erforderlihen Shritte zum Instllieren der ESM-Lösung. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 9

10 1 Instlltionsüersiht Üersiht üer die Instlltion von MAfee ESM 10 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

11 2 Konfigurieren 2 der VM Inhlt Konfigurieren der Netzwerkshnittstelle der VM Festlegen des Authentifizierungsshlüssels für die VM Konfigurieren der Netzwerkshnittstelle der VM Vorgehensweise 1 Shließen Sie einen Monitor und eine Tsttur n ds Gerät n, und shlten Sie es ein. Der Strtvorgng duert etw zwei Minuten. Anshließend wird eine virtuelle LCD-Anzeige ngezeigt. 2 Drüken Sie zwei Ml die Es-Tste, srollen Sie nh unten zu MGT IP Conf (Verwltungs-IP konfigurieren), und drüken Sie die Eingetste. 3 Legen Sie die IP-Adresse für die ESM-VM fest. Srollen Sie zu Mgt1 (Verwltung 1), und drüken Sie die Eingetste. Srollen Sie zu IP Address (IP-Adresse), und drüken Sie die Eingetste. Verwenden Sie die Pfeile, um den Wert für die jeweilige Stelle zu ändern und zwishen den Stellen zu wehseln. Drüken Sie nshließend die Eingetste. 4 Legen Sie die IP-Netzmskendresse fest. Srollen Sie zu Netmsk (Netzmske), und drüken Sie die Eingetste. Verwenden Sie die Pfeile, um den Wert für die jeweilige Stelle zu ändern und zwishen den Stellen zu wehseln. Drüken Sie nshließend die Eingetste. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 11

12 2 Konfigurieren der VM Festlegen des Authentifizierungsshlüssels für die VM 5 Legen Sie die IP-Adresse für ds Netzwerk-Gtewy fest. Srollen Sie zu Gtewy IP (Gtewy-IP), und drüken Sie die Eingetste. Verwenden Sie die Pfeile, um den Wert für die jeweilige Stelle zu ändern und zwishen den Stellen zu wehseln. Drüken Sie nshließend die Eingetste. 6 Legen Sie die IP-Adresse für DNS fest. Srollen Sie zu DNS1 IP (IP für DNS1), und drüken Sie die Eingetste. Verwenden Sie die Pfeile, um den Wert für die jeweilige Stelle zu ändern und zwishen den Stellen zu wehseln. Drüken Sie nshließend die Eingetste. 7 Konfigurieren Sie DHCP. Srollen Sie zu DHCP, und drüken Sie die Eingetste. Wehseln Sie die Einstellung zwishen Y (J) und N (Nein), und drüken Sie dnn die Eingetste, um die rihtige Einstellung uszuwählen. 8 Beenden Sie die Anwendung, und speihern Sie Ihre Änderungen. Srollen Sie zu Done (Fertig), und drüken Sie dnn die Eingetste, um zu MGT IP Conf (Verwltungs-IP konfigurieren) zurükzukehren. Srollen Sie zu Sve Chnges (Änderungen speihern), und drüken Sie die Eingetste. 9 (Optionl) Wenn Sie den FIPS-Modus verwenden, ändern Sie den Kommuniktionsport. Drüken Sie zwei Ml die Pfeiltste nh unten, und drüken Sie dnn die Eingetste. Srollen Sie zu Comm Port (Kommuniktionsport), und drüken Sie die Eingetste. Ändern Sie die Portnummer, und drüken Sie dnn die Eingetste. Notieren Sie sih die neue Portnummer. Sie enötigen sie eim Festlegen des Shlüssels für ds Gerät. Festlegen des Authentifizierungsshlüssels für die VM Sie müssen den Authentifizierungsshlüssel festlegen, um eine Verindung zwishen dem Gerät und ESM herzustellen. Bevor Sie eginnen Shließen Sie ds Gerät physish n Ihr Netzwerk n. Vorgehensweise 1 Kliken Sie in der Systemnvigtionsstruktur uf ds System oder eine Gruppe, und kliken Sie dnn im Aktionsereih uf ds Symol Gerät hinzufügen. 2 Geen Sie uf jeder Seite des Assistenten zum Hinzufügen von Geräten die erforderlihen Informtionen ein. 12 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

13 3 Bereitstellen 3 von ESM in einer virtuellen Mshine Inhlt Herunterlden des ESM-VM-Imges Bereitstellen von ESM in einer VMwre ESXi-VM Bereitstellen von ESM in einer Linux-KVM Bereitstellen von ESM in einer AWS-VM Bereitstellen von ESM in einer Mirosoft Azure-VM Bereitstellen von ESM in einer AWS-HVM Herunterlden des ESM-VM-Imges Bevor Sie eginnen Sie enötigen Ihre MAfee-Grnt-Nummer, um die ESM-Softwre herunterzulden. Vorgehensweise 1 Greifen Sie üer Ihren Browser uf die MAfee-Downlod-Site zu: 2 Kliken Sie uf Downlods, geen Sie Ihre MAfee-Grnt-Nummer und den Cpth-Code ein, und kliken Sie dnn uf Asenden. 3 Srollen Sie uf der Seite Meine Produkte in der Liste nh unten, und wählen Sie eine Downlod-Dtei für MAfee Enterprise Seurity Mnger VM** us. Die Zhl im Nmen der Downlod-Dtei git die Anzhl der Kerne n, die der VM vom ESM-Imge zugeordnet werden. Mit der Dtei "VM32" eispielsweise werden der VM 32 Kerne zugeordnet. 4 Wählen Sie die Registerkrte Aktuelle Version und dnn ds VM-Imge MAfee Enterprise Seurity Mnger us. 5 Wählen Sie eine Imge-Dtei us, und speihern Sie sie uf dem loklen System. Notieren Sie sih den Dteinmen und den Speiherort. Diese Informtionen enötigen Sie zum Bereitstellen des Imges. Bereitstellen von ESM in einer VMwre ESXi-VM Inhlt Anforderungen für VMwre ESXi-VMs Bereitstellen der virtuellen VMwre ESXi-Mshine MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 13

14 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer VMwre ESXi-VM Anforderungen für VMwre ESXi-VMs Die VMwre ESXi-VM muss den folgenden Mindestnforderungen entsprehen: Prozessor: Ahängig vom Modell 64-Bit-Dul Core 2/Nehlem mit vier Kernen zw. AMD-Doppelkernprozessor Athlon 64/Opteron 64 oder höher Die Anzhl der vom Imge unterstützten CPU-Kerne geht us dem Nmen der Imge-Dtei hervor. Beispielsweise werden vom Imge "MAfee Enterprise Seurity Mnger VM4" vier Kerne unterstützt. Es ist niht möglih, Prozessoren zur VM hinzuzufügen, die Anzhl der Prozessoren zu verringern oder die Zhl in der VM-ID zu ändern. RAM: mindestens 4 GB (hängig vom Modell) Festplttenspeiher: mindestens 250 GB (hängig vom Modell) Wenn CPU oder RAM gemeinsm mit nderen VMs genutzt werden, wird die Leistung der ESXi-VM eeinträhtigt. ESXi: Version 5.0 oder höher Sie können die Anforderungen n den Festplttenspeiher für den Server uswählen. Die Mindestnforderung für die VM ist jedoh vom Gerätemodell hängig (mindestens 250 GB). Wenn niht mindestens 250 GB Speiherpltz verfügr sind, wird eim Bereitstellen der VM eine Fehlermeldung ngezeigt. Der Speiherpltz ist für ds Betriessystem vorgesehen und shließt niht den enötigten Speiherpltz für die Dtennk oder für Protokolle ein. In der VM werden viele Funktionen verwendet, die CPU und Areitsspeiher nutzen. Wenn die ESXi-Umgeung den Prozessor oder den Areitsspeiher mit nderen VMs teilt, wird die Leistung der VM eeinträhtigt. MAfee empfiehlt, die Bereitstellungsoption uf Thik festzulegen. Bereitstellen der virtuellen VMwre ESXi-Mshine Sold Sie die VMwre ESXi-VM ereitgestellt und den Authentifizierungsshlüssel festgelegt hen, wird der normle ESM-Betrie imitiert. Vorgehensweise 1 Greifen Sie uf ds Stmmverzeihnis der Instlltions-CD zu, oder lden Sie die OVA-Dteien für ESX von der Downlod-Site herunter. 2 Kliken Sie unter vsphere Client in der Gerätestruktur uf die Server-IP-Adresse. 3 Kliken Sie uf File (Dtei), und wählen Sie Deploy OVF Templte (OVF-Vorlge ereitstellen) us. 4 Legen Sie den Nmen, den Bereitstellungsordner für die VM, die Einstellung für die Lufwerksereitstellung und die Option VM Networking (VM-Netzwerk) fest. 5 Stellen Sie die Dteien uf dem ESXi-Server ereit, wählen Sie die VM us, und legen Sie die Einstellung Edit Virtul Mhine (Virtuelle Mshine ereiten) fest. 6 Wählen Sie die rihtigen Netzwerkeinstellungen für Ihre VMwre ESXi-Netzwerk-Swithes und -Adpter us, und kliken Sie dnn uf Ply (Strten), um die VM zu strten. 14 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

15 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer Linux-KVM 3 7 Legen Sie üer ds VM-Menü die MGT1 IP-Adresse (IP für Verwltung 1), die Netzmske, ds Gtewy und die DNS-Adressen fest, und drüken Sie dnn die ESC-Tste, um ds Menü zu ktivieren. 8 Konfigurieren Sie die Netzwerkshnittstelle in der VM, speihern Sie die Änderungen, evor Sie ds Fenster Menü verlssen. Legen Sie nshließend den Authentifizierungsshlüssel für ds Gerät fest. Detils zum Festlegen des Authentifizierungsshlüssels für die Geräte finden Sie im MAfee Enterprise Seurity Mnger-Produkthnduh. Bereitstellen von ESM in einer Linux-KVM Inhlt Anforderungen für Linux-KVMs Bereitstellen der ESM-Softwre in einer Linux-KVM Anforderungen für Linux-KVMs Die Linux-KVM, in der Sie die ESM-Softwre instllieren, muss den folgenden Mindestnforderungen entsprehen. Mindestnforderungen Prozessor: Ahängig vom Modell 64-Bit-Dul Core 2/Nehlem mit vier Kernen oder höher zw. AMD-Doppelkernprozessor Athlon 64/Opteron 64 oder höher (für Prozessoren) Die Anzhl der vom Imge unterstützten CPU-Kerne geht us dem Nmen der Imge-Dtei hervor. Beispielsweise werden vom Imge "MAfee Enterprise Seurity Mgr VM4" vier Kerne unterstützt. Sie können keine Prozessoren zur VM hinzufügen oder von ihr entfernen und die VM-ID-Nummer niht ändern. RAM: Ahängig vom Modell (mindestens 4 GB) Speiherpltz: Ahängig vom Modell (mindestens 250 GB) Wenn CPU oder RAM gemeinsm mit nderen VMs genutzt werden, wird die Leistung der KVM eeinträhtigt. 2 Virtio-Ethernet-Shnittstellen für ESM Geräte der Empfängerklsse/3 für Geräte der IPS-Klsse Für diese Shnittstellen werden sequenzielle MAC-Adressen verwendet. 1 Virtio/Virtio-SCSI-Dtenträger-Controller zum Steuern der virtuellen Virtio-Festpltte Bereitstellen der ESM-Softwre in einer Linux-KVM Zum Ausführen von MAfee ESM in einer Linux-KVM-Umgeung müssen Sie ds Festpltten-Imge us dem Trll (TGZ-Dtei) importieren. Vorgehensweise 1 Lden Sie die ktuelle Trll-Dtei (TGZ-Dtei) von der Downlod-Seite für MAfee Enterprise Seurity Mnger herunter. Der Trll enthält Beispiele für Konfigurtionsdteien. 2 Vershieen Sie die Trll-Dtei in ds Verzeihnis, in dem sih die virtuelle Festpltte efinden soll. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 15

16 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-VM 3 Extrhieren Sie den Trll durh Ausführen des Befehls tr xf MAfee_ETM_VM4_250.tgz. tr xf MAfee_ETM_VM4_250.tgz Zum Bereitstellen mehrerer VMs des gleihen Typs m gleihen Speiherort ändern Sie den Nmen der virtuellen Festpltte. Ändern Sie ERC-VM4-Dtenträger-1.rw, ERC-VM4-Dtenträger-2.rw eispielsweise in mein_erstes_erc.rw, mein_zweites_erc.rw. 4 Erstellen Sie eine VM uf dem KVM-Hypervisor, und verwenden Sie dzu: (livirt, qemu-kvm, proxmox, virt-mnger, ovirt) 5 Lssen Sie ds VM-Imge uf die vorhndene virtuelle Festpltte (RAW-Dtei des Virtio-Dtenträgers) verweisen, in der Sie den Trll extrhiert hen. Bereitstellen von ESM in einer AWS-VM Inhlt Verwenden von ESM mit AWS Erstellen des AWS-Servers Erstellen eines ESM-Imges und Instllieren des Imges uf einem AWS-Server Konfigurieren von ESM-AWS-Verindungen Verwenden von ESM mit AWS Mit einem virtuellen AWS-Server (Amzon We Servies) erhlten Sie die gleihen Funktionen und die gleihe Leistung wie mit einer lokl konfigurierten MAfee ESM-VM. Mit den folgenden grundlegenden Shritten können Sie einen AWS-Server in Ihrem Netzwerk mit MAfee ESM erstellen: 1 Erstellen Sie unter ein AWS-Konto. 2 Melden Sie sih ei der AWS Verwltungskonsole n, und konfigurieren Sie Ihre AWS-Instnz. 3 Instllieren Sie die ESM-, ERC-, ELM-, ELS- oder ACE-Softwre. 4 Konfigurieren Sie ds ESM-Gerät. Erstellen des AWS-Servers Bevor Sie ESM uf einem AWS-Server instllieren können, müssen Sie den Server mit den rihtigen Einstellungen erstellen. Außerdem müssen Sie eine Verindung mit Ihrem Unternehmensnetzwerk erstellen. Bevor Sie eginnen Sie enötigen ein Amzon We Servies-Konto. Dieses Beispiel und die usgewählten Werte eziehen sih uf ds Erstellen eines einfhen ESM-Servers. Sie können ndere Werte uswählen. 16 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

17 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-VM 3 Vorgehensweise 1 Melden Sie sih ei der AWS-Konsole n, um die Seite AWS Console nzuzeigen. 2 Legen Sie die Region für ds AWS-Rehenzentrum uf den Stndort fest, der sih in größter Nähe zu den meisten Ihrer Netzwerke efindet. 3 Doppelkliken Sie unter Compute uf EC2 (Amzon Elsti Compute Cloud), um Step 1: Choose n Amzon Mhine Imge (AMI) zu öffnen, und wählen Sie die Server-Instnz Amzon Linux AMI us. Bei diesem Typ sind die AWS/EC2-Tools vorinstlliert. Wenn Sie ndere Linux-Typen uswählen, müssen Sie die AWS/EC2-Tools instllieren. 4 Öffnen Sie Step 2: Choose n Instne Type, wählen Sie m3.lrge us, und kliken Sie dnn uf Next: Configure Instne Detils. Ahten Sie eim Auswählen des Instnztyps für ein MAfee-Gerät druf, die rihtige CPU-Anzhl uszuwählen. 5 Kliken Sie uf Next: Configure Instne Detils, um ds Netzwerk uszuwählen, ds eim Ausführen Ihrer Instnz verwendet werden soll. Stellen Sie siher, dss Sie üer die folgenden Adressen eine Verindung mit der Instnz herstellen können: Öffentlihe Adresse Privte Adresse Sie können eine eigene virtuelle privte Cloud (Virtul Privte Cloud) in AWS erstellen. Weitere Informtionen finden Sie in der Dropdown-Liste VPC unter Servies. 6 Kliken Sie uf Next: Add Storge, um die Seite für Step 4: Add Storge zu öffnen. Behlten Sie die usgewählten Stndrdwerte für die Amzon-Instnz "uild" ei. Der Stndrdwert für MAfee-Geräte ist 250 GB. Bei Bedrf können Sie weitere Volumes hinzufügen. 7 Kliken Sie uf Next: Tg Instne, um die Seite für Step 5: Tg Instne zu öffnen. Geen Sie einen Nmen ein, dmit Sie die Instnz in der Splte "Vlue" suhen können. 8 Kliken Sie uf Next: Configure Seurity Group, um die Seite für Step 6: Configure Seurity Group zu öffnen, und wählen Sie dnn eine Option us: Crete new seurity group: Mit einer neuen Siherheitsgruppe können Sie einshränken, wer sih ei der Instnz nmelden knn. Fügen Sie Ihren von ußen erreihren IP-Adressereih hinzu. Selet existing seurity group. 9 Kliken Sie uf Review nd Lunh, um Step 7: Review Lunh Instne zu öffnen, und kliken Sie dnn uf Lunh. Ignorieren Sie diese ngezeigte Wrnung: Your instne onfigurtion is not eligile for the free usge tier. 10 Wählen Sie im Dilogfeld ein vorhndenes Shlüsselpr us, oder erstellen Sie ein neues Shlüsselpr, ds Sie zum Anmelden ei der neuen Instnz enötigen. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 17

18 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-VM 11 Kliken Sie uf Lunh Instne und dnn uf View Instnes, um den Sttus des AWS-Servers zu üerprüfen. Es knn 20 is 30 Minuten duern, is die Instnz ereit ist und Sie uf sie zugreifen können. Wenn in der Splte Sttus Cheks neen der neuen Instnz der Text 2/2 heks ngezeigt wird, können Sie den Instlltionsprozess strten. 12 Notieren Sie sih die öffentlihe IP-Adresse. In diesem Beispiel wird sie so ngezeigt:.dd.ee.ff. Diese IP-Adresse enötigen Sie, um ds Instlltionsprogrmm in die Instnz zu üertrgen und sih nzumelden. Sie hen den AWS-Server erstellt. Fhren Sie mit der Erstellung des AWS-Imges und der Instlltion fort. Erstellen eines ESM-Imges und Instllieren des Imges uf einem AWS- Server Die Instlltion von ESM uf einem AWS-Server verläuft nders ls die Instlltion der Softwre uf einem physishen Server. Der Vorgng umfsst die folgenden Shritte. Bevor Sie eginnen Sie müssen den AWS-Server erstellt und mit dem Server verunden hen. Sie müssen die konfigurierte IP-Adresse des AWS-Servers kennen Vorgehensweise 1 Verwenden Sie sp oder psp (PuTTY Seure Copy Client), um die PEM-Dtei in eine PPK-Dtei zu konvertieren. Wenn Sie eispielsweise Seure Copy Client verwenden, können Sie die Shlüsseldtei mit diesem Befehl konvertieren und in die neue AWS-Instnz üertrgen: sp -i mykeypir.pem siem_instll.sh e2-user@.dd.ee.ff: Mit PuTTY Seure Copy Client verwenden Sie diesen Befehl, um die Dtei zu konvertieren: psp -i mykeypir.pem siem_instll.sh e2-user@.dd.ee.ff>: Die Vrilen in den oen gennnten Beispielen hen die folgende Bedeutung: siem_instll.sh: Nme der konvertierten Dtei e2-user: Benutzernme.dd.ee.ff: IP-Adresse Unter Windows kopieren Sie die Dtei mit WinSCP in Ihre Instnz, indem Sie die PEM-Dtei in eine PPK-Dtei für PuTTY oder WinSCP konvertieren. 2 Melden Sie sih mit dem folgenden Befehl üer SSH oder PuTTY ei der neuen AWS-Instnz n: ssh -i mykeypir.pem e2-user@.dd.ee.ff Die Vrilen im Beispiel hen die folgende Bedeutung: mykeypir.pem: Nme der konvertierten SSH-Dtei e2-user: Benutzernme.dd.ee.ff: IP-Adresse 18 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

19 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-VM 3 3 Geen Sie den folgenden Befehl ein, um zu root zu wehseln, und drüken Sie dnn die Eingetste: sudo su 4 Führen Sie ws onfigure ls Root us, und geen Sie mit den folgenden Befehlen die ID des Zugriffsshlüssels und den geheimen Zugriffsshlüssel, die Sie erhlten hen, n: [root@<ip-adresse> <e2-benutzernme>]# ws onfigure AWS Aess Key ID [None]: <ID des Zugriffsshlüssels> AWS Seret Aess Key [None]: <Geheimer Zugriffsshlüssel> Defult region nme [None]: (Lssen Sie ds Feld leer, und drüken Sie die Eingetste.) Defult output formt [None] (Lssen Sie ds Feld leer, und drüken Sie die Eingetste.) 5 Vergewissern Sie sih, dss ds Instlltionsskript usführr ist. Verwenden Sie ei Bedrf hmod. Beispiel: hmod u+x siem_instll.sh MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 19

20 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-VM 6 Erstellen Sie mit dem folgenden Befehl ein AMI-Imge und eine Instnz:./siem_instll.sh Wenn eine Fehlermeldung ngezeigt wird, us der hervorgeht, dss die Shlüssel niht definiert wurden, können Sie die Shlüssel üer die Befehlszeile hinzufügen. Beispiel: [root@ip e2-user]#./instll_mafee_etm_vm8.sh The AWS ess key or the AWS Seret key were not defined [root@ip e2-user]#./instll_mafee_eru_vm8.sh -O <ID des Zugriffsshlüssels> -W <Geheimer Zugriffsshlüssel> Mit den folgenden Befehlen greifen Sie uf die Hilfe für die Ausgeoptionen zu: [root@ip e2-user]#./instll_mafee_etm_vm8.sh -h instll_mafee_etm_vm8.sh - instll SIEM to Amzon EC2 instll_mafee_etm_vm8.sh [options] options: -h, --help show rief help -O AWS key -W AWS Seret Key Die Erstellung des AMI-Imges nimmt etw 20 Minuten in Anspruh und verläuft niht interktiv. Hier ist ein Beispiel für die Ausge: [root@ip e2-user]#./instll_mafee_etm_vm8.sh Deompressing files Running instller Creting volume Atthing volume formtting volume 1+0 reords in 1+0 reords out ytes (4.2 MB) opied, s, 89.8 MB/s mke2fs (28-De-2013) mke2fs (28-De-2013) mounting min prtition opying min files mounting oot prtition opying oot files Updting fst Updting gru unmounting oot prtition unmounting min prtition dething volume Creting snpshot (this will tke while) Creting AMI Creted AMI "mi-8f81". To run, lunh n instne of this AMI Deleting (temporry) volume Client.InvlidVolume.NotFound: The volume 'vol-9e2e81' does not exist. Done 7 Wenn ds Imge erstellt wurde, eenden Sie die Root-Shell, eenden Sie die Instnz, wehseln Sie zum EC2-Dshord, und eenden Sie die usgeführte Instnz. Durh ds Beenden wird die Instnz gelösht. 8 Melden Sie sih ei AWS n, kliken Sie uf die Seitenleiste AMIs, und suhen Sie ds von Ihnen erstellte AMI. Ds AMI ht jetzt den Nmen us dem Instlltionsskript. In diesem Beispiel lutet der Nme MAfee_ETM_VM8. 9 Kliken Sie mit der rehten Mustste uf den AMI-Nmen, und kliken Sie uf Lunh (Strten). 10 Gehen Sie die Strtoptionen durh, und kliken Sie uf Lunh (Strten). Für MAfee-Geräte ist der Shritt mit dem Shlüsselpr niht notwendig. Wählen Sie Proeed without key pir (Ohne Shlüsselpr fortsetzen) us, und kliken Sie uf die Bestätigung. 20 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

21 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-VM 3 11 Wenn ds AMI gestrtet wird und die "Sttusüerprüfungen" durhläuft, öffnen Sie einen Browser, und nvigieren Sie zu der zugewiesenen IP-Adresse. In diesem Beispiel geen Sie im Browser \ \ ein. Alle MAfee-Geräte in AWS werden mithilfe von DHCP ktiviert und erhlten eine utomtish zugewiesene IP-Adresse. Die IP-Adresse, zu der Sie nvigieren, hängt dvon, wie Sie ds Netzwerk in AWS eingerihtet hen. Sie können eine privte oder öffentlihe IP-Adresse verwenden. Lngfristig sollten Sie eine privte IP-Adresse verwenden. Bei der ersten Anmeldung ei ESM werden Sie mit der folgenden Wrnmeldung druf hingewiesen, dss Sie in der Cloud reiten und die für Sie lizenzierten Funktionen estätigen müssen. In diesem Beispiel wurde der Hsh vershleiert: 12 Kliken Sie uf Emil Hsh (E-Mil-Hsh), um den erstellten Hsh in Ihren Stndrd-E-Mil-Client zu üernehmen. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 21

22 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-VM 13 Fügen Sie Ihre Grnt-Nummer hinzu, und senden Sie die E-Mil. Drufhin werden Sie in einem Dilogfeld informiert, dss der Hsh erfolgreih gesendet und kzeptiert wurde. Ein Supportmitreiter üerprüft Ihre Grnt-Nummer und die für Sie lizenzierten Funktionen. Sie erhlten dnn eine Hsh-Zeihenfolge, mit der Sie die zuvor ngezeigte Hsh-Zeihenfolge üershreien müssen. Wenn Sie uf Send (Senden) kliken, können Sie sih zum ersten Ml nmelden. 14 Wenn Sie sih wieder ei AWS nmelden, üershreien Sie den vorhndenen Hsh mit dem von MAfee gesendeten Hsh, und kliken Sie dnn uf Send (Senden). Nun können Sie sih erfolgreih ei dem AWS-ESM-Gerät nmelden und Ihr AWS-Gerät konfigurieren, einen Shlüssel festlegen und ds Gerät verwenden. Konfigurieren von ESM-AWS-Verindungen Wenn Sie den Hsh für ds ESM-Gerät für AWS konfiguriert hen, müssen Sie die Geräte verinden und hinzufügen. Bevor Sie eginnen Vorher müssen Sie den AWS-Server erstellen und ESM uf diesem instllieren. Vorgehensweise 1 Nh Ashluss der Hsh-Üerprüfung mit MAfee können Sie Ihre konfigurierte IP-Adresse für die erste Anmeldung eim ESM-Gerät verwenden. Detils finden Sie unter Anmelden ei der MAfee ESM-Konsole. 2 Verinden Sie physishe und virtuelle Geräte mit dem ESM-Gerät. 3 Vergewissern Sie sih, dss lle vershiedenen ESM-Geräte in ESM ngezeigt werden, evor Sie die Geräte konfigurieren. 4 Legen Sie die Authentifizierungsshlüssel für die Geräte fest, um die Gerätekonfigurtion zushließen. 22 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

23 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer Mirosoft Azure-VM 3 Bereitstellen von ESM in einer Mirosoft Azure-VM Inhlt Erstellen der Azure-VM Ausführen der Azure-Instlltionsskripte Erstellen der Azure-VM Führen Sie MAfee ESM in einer virtuellen Mshine von Azure us. Bevor Sie eginnen Führen Sie ds Mirosoft Azure-Instlltionsskript us. Wenden Sie sih n Ihren MAfee ESM-Spezilisten, um die optimle Größe Ihrer Azure-VM zu ermitteln. Vorgehensweise 1 Wählen Sie im Azure-Dshord im linken Bereih Ressourengruppen us. 2 Wählen Sie us der Liste der Ressourengruppen die Gruppe us, die die Uuntu-Instnz enthält, in der ds Azure-Instlltionsskript usgeführt wurde. Die Detils der Gruppe werden im rehten Fensterereih ngezeigt. Die Liste enthält einen Imge-Typ mit einem Nmen, der dem Azure-Instlltionsskript entspriht. 3 Wählen Sie den Nmen us. Die Imge-Detils werden ngezeigt. 4 Kliken Sie in den Optionen oerhl des Bereihs Detils uf Crete VM (VM erstellen). 5 Wählen Sie den Nmen us. Der Bereih Imge Detils (Imge-Detils) wird ngezeigt. 6 Konfigurieren Sie die Imge-Detils. Geen Sie einen eshreienden Nmen für die VM ein (z. B. "MAfeeERC" oder "MAfeeESM"). Sonderzeihen und Leerzeihen sind niht zulässig. Geen Sie einen Benutzernmen und ein Kennwort ein.. Dektivieren Sie die Option SSH Puli Key (Öffentliher SSH-Shlüssel). Sie können 'root' niht definieren. Für llgemeine Zweke können Sie jedoh ngp und ds gleihe Kennwort wie in Ihrer estehenden MAfee ESM-Umgeung verwenden (ds Kennwort muss dem Längen- und Strukturstndrd von Azure entsprehen). d e Definieren Sie eine Ressourengruppe. Sie können die Gruppe des Uuntu-Imges verwenden oder eine neue erstellen. Diese Einstellung ht keinen Einfluss uf den MAfee ESM-Betrie. Hlten Sie sih n den Azure-Arhitekturstndrd Ihres Unternehmens. Kliken Sie uf OK. 7 Wählen Sie nh Rüksprhe mit Ihrem MAfee ESM-Spezilisten eine geeignete Mshinengröße us. 8 Kliken Sie uf Auswählen. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 23

24 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer Mirosoft Azure-VM 9 Wählen Sie die Optionen us. Bei einem ESM-Gerät muss die Siherheitsgruppe den Zugriff uf Port 443 von Ihrem Stndort us zulssen. Wählen Sie eine Netzwerksiherheitsgruppe us. Setzen Sie Puli Inound Ports (öffentlihe eingehende Ports) uf Port 22. d Üernehmen Sie die Stndrdwerte für die nderen Optionen. Kliken Sie uf OK. Die Nhriht "Vlidtion Suessful" (Vlidierung erfolgreih) wird ngezeigt. 10 Kliken Sie im linken Bereih uf Virtul Mhines (Virtuelle Mshinen), und üerprüfen Sie den Sttus der neuen VM. Wenn der Sttus running (ktiv) ist, können Sie uf ds Gerät zugreifen. 11 Löshen Sie den temporären Server, den Sie eingerihtet hen, um ds Instlltionsskript uszuführen. Ausführen der Azure-Instlltionsskripte Erstellen Sie für jedes Gerät in Ihrem System eine Instnz für virtuelle Mshinen. Bevor Sie eginnen Lden Sie die Azure-Instlltionsskripte von der MAfee-Seite "Produkt-Downlods" herunter. Der Downlod-Bereih jedes Geräts enthält ein Instlltionsskript für dieses Gerät. Stellen Sie siher, dss Sie mit Azure vertrut sind. Mirosoft Azure-Produktinformtionen finden Sie uf der Mirosoft Azure-Wesite. Vorgehensweise 1 Kopieren Sie ds Instlltionsskript in die Instnz: sp instll_etm_16cpu_10.2.0_ sh enutzernme@instne_ip_ddress: Wenn Sie Befehle kopieren und einfügen, müssen Sie sie mögliherweise in einen Texteditor kopieren, um die Leerzeihen und Zeilenumrühe korrekt nzuzeigen. 2 Anmelden: ssh enutzernme@instne_ip_ddress Der Benutzernme ist derjenige, den Sie eim Einrihten der temporären Serverinstnz erstellt hen. Die IP-Adresse ist diejenige, die Sie zuvor notiert hen. 3 Instllieren Sie Azure CLI. Ändern Sie soures.list: eho "de [rh=md64] wheezy min" \ Typ: sudo tee /et/pt/soures.list.d/zure-li.list 24 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

25 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer Mirosoft Azure-VM 3 Fügen Sie den Shlüssel des Mirosoft-Pket-Repositorys hinzu: sudo pt-key dv --keyserver pkges.mirosoft.om --rev-keys 52E16F86FEE04B979B07E28DB02C46DF417A0893 d Instllieren Sie den HTTPS-Trnsport: sudo pt-get instll pt-trnsport-https e Instllieren Sie die Azure CLI: sudo pt-get updte && sudo pt-get instll zure-li Nhdem Sie ll diese Befehle eingegeen hen, werden uf der Konsole Sttus- und Ergenisinformtionen ngezeigt. Wenn Sie ufgefordert werden, eine Aktion zu estätigen, üernehmen Sie die Stndrdwerte, und estätigen Sie sie. 4 Melden Sie sih ei Azure n. Geen Sie z login ein. Sie werden ufgefordert, zu einer Authentifizierungs-Wesite zu nvigieren, uf der Sie einen eindeutigen Authentifizierungsode erhlten. Um sih nzumelden, öffnen Sie die Seite mit einem Werowser, und geen Sie den Code AXRQSYAQ9 ein, um sih zu uthentifizieren. Rufen Sie die URL uf, und geen Sie den Authentifizierungsode ein. In der CLI wird nh dem Befehl z login Code ngezeigt. Geen Sie den ngegeenen Code ein, und kliken Sie uf Fortfhren. Sie werden ufgefordert, Ihren Azure-Benutzernmen einzugeen. d Geen Sie den Benutzernmen ein. 5 Geen Sie in der Eingeufforderung Folgendes ein:./instll_etm_16cpu_10.2.0_ sh Um ds Skript usführr zu mhen, geen Sie in Ihrem Anmeldeverzeihnis Folgendes ein: Chmod 755 instll* In der hohgeldenen Skriptdtei wird ein hmod usgeführt. Einge: sudo su d Geen Sie Ihr Kennwort ein. Geen Sie "./<Skriptnme>" ein. Verwenden Sie ds gleihe Formt wie zuvor. Sie werden ufgefordert, zu einer Authentifizierungs-Wesite zu nvigieren, und es wird ein eindeutiger Authentifizierungsode ereitgestellt. Um sih nzumelden, öffnen Sie die Seite mit einem Werowser, und geen Sie den Code AXRQSYAQ9 ein, um sih zu uthentifizieren. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 25

26 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-HVM e Geen Sie den ngegeenen Code ein, und kliken Sie uf Fortfhren. Die Nhriht "Deompressing Files" (Dteien werden dekomprimiert) sowie Sttusmeldungen werden ngezeigt. f Notieren Sie sih den Wert der Nhriht Group=. Sie müssen ihn später in ds Feld Ressourengruppe eingeen. Bereitstellen von ESM in einer AWS-HVM Instllieren von ESM in einer AWS-HVM MAfee ESM wird mithilfe von Skripts in einer AWS-HVM instlliert. Mit den SIEM Amzon EC2-Instlltionsskripts werden Amzon Mhine Imges (AMIs) erstellt, üer die Sie VM-Instnzen von Geräten strten können. Es git für jedes Gerät (ETM, ERC, MAfee ACE usw.) ein seprtes Instlltionsprogrmm, mit dem jeweils ein AMI für ds entsprehende Gerät erstellt wird. Bevor Sie eginnen Vergewissern Sie sih, dss Sie die Instlltionsskripts hen. Vorgehensweise 1 Wählen Sie im Amzon EC2-Dshord uf der linken Menüleiste die Option Instnes (Instnzen) us, und kliken Sie dnn uf Lunh Instne (Instnz strten). 2 Wählen Sie Amzon Linux AMI us. 3 Wählen Sie uf dem Bildshirm Choose Instne Type (Instnztyp uswählen) die Option m3.medium oder m4.lrge us, und kliken Sie uf Next (Weiter). 4 Kliken Sie uf dem Bildshirm Configure Instne Detils (Instnzdetils konfigurieren) uf Next (Weiter). 5 Kliken Sie uf dem Bildshirm Add Storge (Speiher hinzufügen) uf Next (Weiter). 6 Kliken Sie uf dem Bildshirm Add Tgs (Tgs hinzufügen) uf Next (Weiter). 7 Wählen Sie uf dem Bildshirm Configure Seurity Group (Siherheitsgruppe konfigurieren) die Option Crete (Erstellen) us, oder wählen Sie eine Siherheitsgruppe us, mit der SSH-Zugriff uf die Instnz möglih ist. 8 Kliken Sie uf Review And Lunh (Üerprüfen und Strten). 9 Kliken Sie uf Lunh (Strten). 10 Wählen Sie ein Shlüsselpr us, uf ds Sie zugreifen können, und kliken Sie uf Lunh Instnes (Instnzen strten). 11 Geen Sie n der Eingeufforderung Folgendes ein: sp -i ~/my_key.pem instll_hvm_etm_16.sh e2-user@instne_ip_ddress: Ds Instlltionsskript wird in die VM kopiert. 12 Melden Sie sih n, indem Sie Folgendes eingeen: ssh -i ~/my_key.pem e2-user@instne_ip_ddress. 13 Melden Sie sih ls Root n, indem Sie Folgendes eingeen: sudo su. 26 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

27 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-HVM 3 14 Geen Sie ws onfigure ein. Geen Sie den AWS-Zugriffsshlüssel ein. Geen Sie den geheimen AWS-Shlüssel ein. Lssen Sie die nderen Felder leer. 15 Geen Sie n der Eingeufforderung Folgendes ein: #./instll_hvm_e_16.sh. Nh Ashluss des Instlltionsskripts (15 20 Minuten) ist in Ihrem AWS-Konto ein neues AMI registriert. Sie können dieses AMI verwenden, um eine VM zu strten. Die zum Ausführen des Instlltionsprogrmms verwendete Amzon Linux-Instnz wird niht mehr enötigt und knn eendet werden. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 27

28 3 Bereitstellen von ESM in einer virtuellen Mshine Bereitstellen von ESM in einer AWS-HVM 28 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

29 4 Ausführen der Erstkonfigurtion von ESM Inhlt Anmelden ei der MAfee ESM-Konsole Hinzufügen von Geräten zur ESM-Konsole Üerprüfen, o lle Geräte in ESM ngezeigt werden Festlegen des Authentifizierungsshlüssels für ein Gerät Anmelden ei der MAfee ESM-Konsole Melden Sie sih ei der Konsole n, um mit der Konfigurtion der System- und Geräteeinstellungen zu eginnen. Bevor Sie eginnen Informieren Sie sih, o ds System im FIPS-Modus (Federl Informtion Proessing Stndrd) etrieen werden muss. Der FIPS umfsst öffentlih eknnt gegeene Stndrds der USA. Wenn Sie n diese Stndrds geunden sind, müssen Sie ds System im FIPS-Modus etreien. Vorgehensweise 1 Öffnen Sie einen Werowser, und wehseln Sie zu der IP-Adresse, die Sie eim Konfigurieren der ESM-Netzwerkshnittstelle festgelegt hen. Wenn die IP-Adresse für ESM eispielsweise lutet, geen Sie im Browser Folgendes ein: 2 Kliken Sie uf Weiter zur Wesite, wenn im Browser ein Fehler ezüglih eines selstsignierten Zertifikts ngezeigt wird. 3 Kliken Sie uf Anmeldung, wählen Sie die Sprhe für die Konsole us, und geen Sie dnn den Stndrdenutzernmen und ds entsprehende Kennwort ein. Stndrdenutzernme: NGCP Stndrdkennwort: seurity.4u 4 Kliken Sie uf Anmelden, lesen Sie den Endenutzer-Lizenzvertrg. Kliken Sie nshließend uf Akzeptieren. 5 Wenn Sie ufgefordert werden, den Benutzernmen und ds Kennwort zu ändern, kliken Sie uf OK. 6 Wählen Sie us, o der FIPS-Modus ktiviert werden soll. Wenn Sie uf J geklikt hen, kliken Sie uf die zusätzlihe Bestätigung. Wenn ds Gerät im FIPS-Modus etrieen werden muss, ktivieren Sie den Modus ei der ersten Anmeldung, dmit die gesmte nhfolgende Kommuniktion mit MAfee-Geräten im FIPS-Modus erfolgt. Aktivieren Sie den FIPS-Modus nur, wenn dies erforderlih ist. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 29

30 4 Ausführen der Erstkonfigurtion von ESM Anmelden ei der MAfee ESM-Konsole 7 Um uf Regelktulisierungen zuzugreifen, kliken Sie uf OK, und folgen Sie den ngezeigten Anweisungen, um den Benutzernmen und ds Kennwort zu erhlten, die Sie für den Zugriff uf Regelktulisierungen enötigen. 8 Führen Sie die Erstkonfigurtion von ESM us: Wählen Sie die Sprhe us, die für die Systemprotokollierung verwendet werden soll. Wählen Sie die Zeitzone für ds ESM-Gerät und ds Dtumsformt für ds Konto us, und kliken Sie dnn uf Weiter. 9 Geen Sie die Server-Informtionen für ds ESM-Gerät ein. Geen Sie die primäre IPv4-Adresse und die Netzmskendresse oder die IPv6-Adresse ein. Kliken Sie ei Bedrf uf Erweitert. d (Optionl) Geen Sie die sekundäre IPv4-Adresse und die Netzmskendresse oder die IPv6-Adresse ein. Kliken Sie ei Bedrf uf Erweitert. Geen Sie unter Allgemeine Einstellungen ds Gtewy, die DNS-Server sowie weitere Informtionen ein, die zum Herstellen der Verindung zwishen dem ESM-Gerät und dem Netzwerk enötigt werden. Kliken Sie uf Weiter. 10 (Optionl) Wenn die Verindung üer einen Proxy-Server hergestellt werden muss, geen Sie dessen IP-Adresse, Portnummer und Anmeldeinformtionen ein. Legen Sie die Einstellung für ds lokle Netzwerk fest, und kliken Sie dnn uf Weiter. 11 (Optionl) Geen Sie ei Bedrf sttishe Routen ein, die für die Kommuniktion zwishen dem ESM-Gerät und dem Netzwerk erforderlih sind. Wenn Sie fertig sind, kliken Sie uf Weiter. 12 Fügen Sie Ihre NTP-Server (Network Time Protool) hinzu, um die Uhrzeit des ESM-Systems zu synhronisieren. Geen Sie nh Bedrf die folgenden Einstellungen ein: IP-Adresse des NTP-Servers Authentifizierungsshlüssel Shlüssel-ID Die esten Ergenisse erzielen Sie mit ESM, wenn Sie im gesmten Unternehmen eine gemeinsme Referenzzeit verwenden. Stndrdmäßig werden für ESM NTP-Server im Internet verwendet. Geen Sie den eigenen NTP-Server Ihres Unternehmens ein, und kliken Sie dnn uf Weiter. 13 Automtishes Üerprüfen des ESM-Servers uf Regelktulisierungen Geen Sie die Kunden-ID und ds Kennwort ein, dmit Ihre Identität üerprüft werden knn. Konfigurieren Sie ds Intervll für die utomtishe Üerprüfung in Stunden und Minuten. Kliken Sie uf Jetzt üerprüfen oder Mnuelle Aktulisierung. 14 Kliken Sie uf Fertig stellen. 15 Kliken Sie im Dilogfeld Änderung der Netzwerkeinstellungen uf J, um den ESM-Dienst neu zu strten. Der Neustrt nimmt etw 90 Sekunden in Anspruh. Anshließend müssen Sie sih mögliherweise erneut eim ESM-Gerät nmelden. 30 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

31 Ausführen der Erstkonfigurtion von ESM Hinzufügen von Geräten zur ESM-Konsole 4 Hinzufügen von Geräten zur ESM-Konsole Wenn Sie physishe und virtuelle Geräte eingerihtet und instlliert hen, müssen Sie diese zur ESM-Konsole hinzufügen. Bevor Sie eginnen Rihten Sie die Geräte ein, und instllieren Sie sie. Führen Sie die folgenden Shritte nur für eine komplexe ESM-Instlltion mit mehreren ESM-Geräten us. Führen Sie diese Aufge in einer einfhen ESM-Instlltion mit einer ESM-Komintion niht us. Vorgehensweise 1 Kliken Sie in der Systemnvigtionsstruktur uf Lokles ESM-Gerät oder uf eine Gruppe. 2 Kliken Sie uf. 3 Wählen Sie den Typ des hinzuzufügenden Geräts us, und kliken Sie dnn uf Weiter. 4 Geen Sie im Feld Gerätenme einen in der Gruppe eindeutigen Nmen ein, und kliken Sie dnn uf Weiter. 5 Geen Sie die erforderlihen Informtionen ein: Für MAfee epo-geräte: Wählen Sie einen Empfänger us, geen Sie die erforderlihen Anmeldeinformtionen für die Anmeldung ei der We-Oerflähe ein, und kliken Sie dnn uf Weiter. Geen Sie die Einstellungen ein, die für die Kommuniktion mit der Dtennk verwendet werden sollen. Wählen Sie Benutzeruthentifizierung erforderlih us, um den Zugriff uf die Benutzer zu egrenzen, die üer den Benutzernmen und ds Kennwort für ds Gerät verfügen. Für lle nderen Geräte: Geen Sie die Ziel-IP-Adresse oder URL für ds Gerät ein. 6 Wählen Sie us, o die NTP-Einstellungen (Network Time Protool) uf dem Gerät verwendet werden sollen, und kliken Sie dnn uf Weiter. 7 Geen Sie ein Kennwort für ds Gerät ein, und kliken Sie dnn uf Weiter. Die Kommuniktion zwishen dem ESM-Gerät und dem nderen Gerät wird getestet, und der Verindungssttus wird gemeldet. Üerprüfen, o lle Geräte in ESM ngezeigt werden Vergewissern Sie sih in der ESM-Konsole, dss lle vershiedenen ESM-Geräte ngezeigt werden, evor Sie mit der detillierten Konfigurtion der Geräte eginnen. Detillierte Informtionen zu diesen Üerprüfungsshritten finden Sie im MAfee Enterprise Seurity Mnger-Produkthnduh. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 31

32 4 Ausführen der Erstkonfigurtion von ESM Festlegen des Authentifizierungsshlüssels für ein Gerät Vorgehensweise 1 Melden Sie sih ei der MAfee ESM-Konsole n, und suhen Sie den Systemnvigtionsereih, um die Geräte im System nzuzeigen. 2 Kliken Sie uf Menü Konfigurtion, um die physishe Anzeige nzuzeigen. 3 Vergewissern Sie sih, dss Sie uf ds Symol Geräte hinzufügen kliken können, um die Geräte nzuzeigen, die Sie in den Rks instlliert und deren Netzwerkeinstellungen Sie konfiguriert hen. Wenn Sie die Geräte hinzugefügt hen, müssen Sie den Authentifizierungsshlüssel für ds Gerät festlegen, um die Kommuniktion zu ermöglihen und die Instlltion zushließen. Detillierte Informtionen zur Gerätekonfigurtion finden Sie im MAfee Enterprise Seurity Mnger-Produkthnduh. Festlegen des Authentifizierungsshlüssels für ein Gerät Sie müssen den Authentifizierungsshlüssel festlegen, um eine Verindung zwishen dem Gerät und ESM herzustellen. Bevor Sie eginnen Shließen Sie ds Gerät physish n Ihr Netzwerk n. Vorgehensweise 1 Melden Sie sih in einem Browser ei der ESM-Konsole n. Detils finden Sie unter Anmelden ei der MAfee ESM-Konsole. 2 Kliken Sie in der Systemnvigtionsstruktur uf ein Gerät und dnn uf ds Symol Eigenshften. 3 Kliken Sie uf Shlüsselverwltung Authentifizierungsshlüssel für Gerät festlegen. Wenn die Verindung vom Gerät hergestellt wurde und die Kommuniktion mit dem ESM-Gerät möglih ist, wird der Assistent für Geräte-Authentifizierungsshlüssel geöffnet. 4 Geen Sie ein neues Kennwort für ds Gerät ein, und kliken Sie dnn uf Fertig stellen. 32 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

33 5 5 Aktulisieren eines einzelnen Geräts Wenn die Softwre uf einem Gerät verltet ist, lden Sie us einer Dtei uf dem ESM-Gerät oder vom loklen Computer eine neue Version der Softwre hoh. Bevor Sie eginnen Wenn Sie ds System seit mehr ls 30 Tgen esitzen, müssen Sie sih für den Zugriff uf die Aktulisierungen Ihre duerhften Anmeldeinformtionen esorgen und instllieren. Wenn für Ihr System Offline-Aktulisierungen erforderlih sind, lden Sie die Aktulisierungsdtei von der MAfee-Downlod-Site herunter. Wenn Sie Common Criteri- und FIPS-Vorshriften einhlten müssen, sollten Sie ds Upgrde für ESM niht uf diese Weise durhführen. Für FIPS zertifizierte Aktulisierungen erhlten Sie vom tehnishen Support. Vorgehensweise 1 Wählen Sie in der Systemnvigtionsstruktur ein Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. 2 Kliken Sie uf <Gerät>-Verwltung, und wählen Sie dnn die Registerkrte Wrtung us. 3 Wählen Sie in der Telle eine Aktulisierung us, oder kliken Sie uf Durhsuhen, um die Aktulisierungssoftwre uf dem loklen System zu suhen. 4 Kliken Sie uf OK. Wenn Sie zum Aktulisieren eines Geräts die Geräteverwltungsoption Gerät ktulisieren verwenden, wird dmit die Aktulisierung gestrtet. Wenn Sie mehrere Geräte mit der Option Verwltung mehrerer Geräte ktulisieren, wird wieder die Seite Verwltung mehrerer Geräte ngezeigt. Ds Gerät wird mit der ktulisierten Softwreversion neu gestrtet. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 33

34 5 Aktulisieren eines einzelnen Geräts 34 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

35 6 Aktulisieren des ESM-Systems Inhlt Vorereiten der Aktulisierung Identifizieren und Berüksihtigen spezieller Aktulisierungsszenrien Aktulisieren von Geräten (Niht-FIPS-Modus) Aktulisieren von SIEM-Peripheriegeräten (FIPS-Modus) Aktulisieren von Empfängern mit Hohverfügrkeit Vorereiten der Aktulisierung Inhlt Herunterlden der Aktulisierungsdteien Sihern der Dtennk Sihern von MAfee ESM-Einstellungen und Systemdten Üerprüfen des Hohverfügrkeitssttus eines ERC-Geräts Herunterlden der Aktulisierungsdteien Wenn ds System für ds Upgrde ereit ist, lden Sie die Upgrde-Dteien uf ds lokle System herunter. Bevor Sie eginnen Sie enötigen eine Grnt-Nummer. Vorgehensweise 1 Wehseln Sie zur Downlod-Site für MAfee-Produkte. 2 Kliken Sie uf Downlod, geen Sie Ihre Grnt-Nummer und die ngezeigten Buhsten ein, und senden Sie sie dnn. 3 Wählen Sie MAfee Enterprise Seurity Mnger us, und kliken Sie uf die Registerkrte Alle Versionen. 4 Lden Sie die veröffentlihte Dtei uf ds lokle System herunter. Gerätetyp Eigenständige Version von MAfee Enterprise Seurity Mnger (ESM) MAfee Enterprise Seurity Mnger mit integriertem Empfänger (ESMREC) MAfee Enterprise Seurity Mnger mit integriertem Empfänger und MAfee Enterprise Log Mnger (ENMELM), uh ezeihnet ls Komintionspket Dtei ESS_Updte_ signed.tgz ESSREC_Updte_ signed.tgz ESSREC_Updte_ signed.tgz MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 35

36 6 Aktulisieren des ESM-Systems Vorereiten der Aktulisierung Sihern der Dtennk 1 Vergewissern Sie sih, dss die Wiederherstellung der ESM-Dtennk von einem vorherigen Build (9.6.x oder höher) geshlossen ist und dss Sie ein Unterrehungszeitfenster für die Aktulisierung einplnen können. 2 Führen Sie eine Dtennksiherung von ESM us. Exportieren oder sihern Sie folgende Elemente, um eine einfhe Wiederherstellung siherzustellen, wenn eine Regel, ein Ereignis oder ndere Inhlte durh die Aktulisierung niht mehr verwendet werden können: Alrme: Wthlists: Benutzerdefinierte Regeln: Kliken Sie unter Systemeigenshften uf Alrme, mrkieren Sie die einzelnen Alrme, kliken Sie uf Exportieren, und speihern Sie die Dtei. Kliken Sie unter Systemeigenshften uf Wthlists, mrkieren Sie die einzelnen Wthlists, kliken Sie uf Exportieren, und speihern Sie die Dtei. Führen Sie diesen Prozess im Rihtlinien-Editor unter Stndrdrihtlinie für jeden Regeltyp us, mit Ausnhme von Dtenquelle, Windows-Ereignisse, ESM, Normlisierung, Vrile und Präprozessor. 1 Kliken Sie im Bereih Regeltypen uf einen Regeltyp. 2 Kliken Sie im Bereih Filter/Kennzeihnung uf die Registerkrte Erweitert, wählen Sie im Feld Herkunft die Option Benutzerdefiniert us, und kliken Sie uf Aktulisieren. 3 Mrkieren Sie die Regeln, kliken Sie uf Dtei Exportieren Regeln, und speihern Sie diese im XML-Formt. Rihtlinien: Art der Informtionen Unterstützte Gerätetypen Speihern der Empfängereinstellungen Wiederherstellungsduer Kliken Sie im Rihtlinien-Editor unter Stndrdrihtlinie uf Dtei Exportieren Rihtlinie, und wählen Sie dnn Alle enutzerdefinierten Regeln und enutzerdefinierten Vrilen us. Detils Für ESM, ESM/Event Reeiver oder ESM/Log Mnger (ENMELM) knn nur mit Gerätemodellen kommuniziert werden, uf denen ESM 9.6.x und höher usgeführt wird. Geen Sie zum Üerprüfen des Modells Ihres Geräts den Befehl t /pro/puinfo us. In der Ausge ist die CPU-Nummer in der Zeile Modellnme enthlten. Stellen Sie vor der Aktulisierung siher, dss lle Empfängereinstellungen gespeihert wurden. Wenn Sie die Einstellungen niht speihern, tritt ein Prolem uf, ds zu Prolemen uf dem Empfänger und uf nderen Geräten führen knn. Stellen Sie siher, dss lle Einstellungen für lle Geräte gespeihert wurden, evor Sie uf eine ndere Version ktulisieren. Die Duer der Tellenwiederherstellung vriiert für ESM, Event Reeiver und ENMELM. So eshleunigen Sie die Aktulisierung der ESM-Dtennk: Legen Sie die Erfssungsduer von Ereignissen, Flüssen und Protokollen uf eine längere Arufzeit fest, sodss mehr Zeit für die Wiederherstellung verfügr ist. Kliken Sie in der ESM-Konsole uf Systemeigenshften Ereignisse, Flüsse und Protokolle, und legen Sie dnn ds Intervll für utomtishe Üerprüfung fest. Dektivieren Sie die Erfssung von Ereignissen, Flüssen und Protokollen is zum Ashluss der Wiederherstellung. Sie müssen diesen Shritt nur usführen, wenn die Anzhl der n ESM gesendeten Ereignisse und Flüsse gering ist. Kliken Sie in der ESM-Konsole uf Systemeigenshften Ereignisse, Flüsse und Protokolle, und dektivieren Sie dnn ds Intervll für utomtishe Üerprüfung. 36 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

37 Aktulisieren des ESM-Systems Vorereiten der Aktulisierung 6 Art der Informtionen Upgrde-Pfde Upgrde für Empfänger-HA-Geräte Detils Sie müssen Versionen vor 9.6 oder höher ktulisieren, evor Sie uf die Version ktulisieren können. Zum Durhführen des Upgrdes für Empfänger-HA-Geräte müssen Sie zuerst den Hohverfügrkeitssttus des Empfängers üerprüfen. Stellen Sie vor der Aktulisierung siher, dss lle Geräteeinstellungen gespeihert wurden. Sihern von MAfee ESM-Einstellungen und Systemdten Bevor Sie eginnen Erstellen Sie vor der Aktulisierung uf eine Huptversion eine vollständige Siherung, um Dtenleks zu vermeiden. Eine vollständige Siherung umfsst: Einstellungen für die ESM-, ERC-, DEM-, ADM- und ACE-Geräte Vollständige ELM-Siherungen enthlten nur Konfigurtionseinstellungen. Die Dtennkeinstellungen müssen seprt gesihert werden. Ansonsten verlieren Sie lle Dtennkverindungen mit Ihren loklen Freigen, Remote-Freigen und SANs. Beenden Sie CPServie und dnn DBServer, und erstellen Sie eine Kopie des Inhlts von /usr/ lol/ess/dt/, /et/nitrogurd und nderen Ordnern in einer Remote-Freige. Wenn ei der Aktulisierung Proleme uftreten, hen Sie folgende Möglihkeiten: Instllieren Sie die vorhndene Version der Softwre erneut. Instllieren Sie die Siherungsdteien erneut. Versuhen Sie erneut, uf die nähste Version zu ktulisieren. Siherungen sind nur mit der ktuellen Version des ESM-Geräts komptiel. Es ist niht möglih, eine Siherung einer vorherigen Version uf einem ktulisierten ESM-Gerät zu instllieren. Vorgehensweise 1 Wählen Sie in der Systemnvigtionsstruktur die Option Systemeigenshften us, und kliken Sie dnn uf ESM-Verwltung Wrtung Sihern. 2 Definieren Sie die Einstellungen für die Siherung, und kliken Sie dnn uf OK. Option Siherungshäufigkeit Dten sihern für Beshreiung Wenn neue ESM-Geräte zum System hinzugefügt werden, wird die Funktion Sihern und wiederherstellen so ktiviert, dss lle sieen Tge eine Siherung usgeführt wird. Sie können die Häufigkeit ändern oder Siherungen dektivieren. Wählen Sie us, welhe Elemente in der Siherung enthlten sein sollen. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 37

38 6 Aktulisieren des ESM-Systems Vorereiten der Aktulisierung Option Siherungsspeiherort Beshreiung Wählen Sie us, wo die Siherung gespeihert werden soll: ESM: Die Siherung wird in MAfee ESM gespeihert. Sie können üer die Seite Dteiwrtung uf die Siherung zugreifen. Remote-Speiherort: Die Siherung wird n dem Speiherort gespeihert, den Sie in den ktivierten Feldern definieren. Wenn Sie mnuell eine Kopie von ESM und llen Systemdten speihern, müssen Sie diese Option uswählen. Wenn Sie die Siherung in einer CIFS-Freige usführen, verwenden Sie im Feld für den Remote-Pfd einen Shrägstrih (/). Jetzt sihern Jetzt vollständige Siherung erstellen Sihern Sie die ESM-Einstellungen sowie Ereignisse, Flüsse und Protokolle (flls usgewählt) mnuell. Kliken Sie uf Shließen, wenn die Siherung erfolgreih geshlossen wurde. Speihern Sie mnuell eine Kopie der Geräteeinstellungen und der Systemdten. Diese Siherung knn niht in MAfee ESM gespeihert werden. Wählen Sie im Feld Siherungsspeiherort die Option Remote-Speiherort us, und geen Sie die Informtionen zum Speiherort ein. Wenn Sie den Freigetyp CIFS (Common Internet File System) mit höheren Sm-Server-Versionen ls 3.2 verwenden, knn es zu Dtenleks kommen. Üerprüfen des Hohverfügrkeitssttus eines ERC-Geräts Wenn ds System Empfänger mit Hohverfügrkeit umfsst, müssen Sie sih vergewissern, dss IP-Adressen niht dupliziert werden. Bevor Sie eginnen Sie enötigen Administrtorerehtigungen, um diesen Tsk shließen zu können. Vorgehensweise 1 Wählen Sie in der Systemnvigtionsstruktur ds primäre ERC-HA-Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. 2 Vergewissern Sie sih in den Feldern Sttus und Sekundärer Sttus, dss der Sttus OK, HA-Sttus: online lutet. 3 Greifen Sie üer Seure Shell oder SSH uf die einzelnen HA-ERC-Geräte zu, und führen Sie uf eiden ERC-Geräten üer die Befehlszeilenshnittstelle den Befehl h_sttus us. Aus den drufhin ngezeigten Informtionen geht der Sttus des ERC-Geräts sowie der vom ERC-Gerät ngenommene Sttus des nderen ERC-Geräts hervor. Die Informtionen sehen in etw so us: OK hostnme=mafee1 mode=primry MAfee1=online MAfee2=online shredip=mafee1 stonith=mafee2 orosyn=running hi_it=no 4 Üerprüfen Sie im Sttus Folgendes: Die erste Zeile der Antwort lutet OK. Hostnme stimmt mit dem Hostnmen uf der Befehlszeile ohne die Modellnummer des ERC-Geräts üerein. Modus entspriht Primär, wenn der Wert von shredip der Hostnme dieses ERC-Geräts ist. Andernflls lutet der Modus Sekundär. In den nähsten eiden Zeilen werden die Hostnmen der ERC-Geräte im HA-Pr ngezeigt und der Ausführungssttus der einzelnen ERC-Geräte ufgeführt. Der Sttus für eide lutet Online. 38 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

39 Aktulisieren des ESM-Systems Identifizieren und Berüksihtigen spezieller Aktulisierungsszenrien 6 Mit orosyn= wird der Ausführungssttus von Corosyn ngezeigt, der Wird usgeführt entsprehen sollte. hi_it entspriht uf dem einen ERC-Gerät Nein und uf dem nderen J. Stellen Sie siher, dss nur für eines der HA-ERC-Geräte der hi_it-wert festgelegt ist. Wenn für eide HA-ERC-Geräte der gleihe Wert festgelegt ist, wenden Sie sih vor der Durhführung des Upgrdes n den MAfee-Support, um die flsh konfigurierte Einstellung zu korrigieren. 5 Greifen Sie üer Seure Shell oder SSH uf die einzelnen HA-ERC-Geräte zu, und führen Sie uf eiden ERC-Geräten den Befehl ifonfig us. 6 Vergewissern Sie sih, dss Folgendes uf die generierten Dten zutrifft: Die MAC-Adressen n eth0 und eth1 sind uf eiden ERC-Geräten eindeutig. Ds primäre ERC-Gerät ht die freigegeene IP-Adresse n eth1, und ds sekundäre ERC-Gerät ht keine IP-Adresse n eth1. Wenn für eide HA-ERC-Geräte der gleihe Wert festgelegt ist, wenden Sie sih vor der Durhführung des Upgrdes n den tehnishen Support, um die flsh konfigurierte Einstellung zu korrigieren. Mit dieser Stihproe stellen Sie siher, dss ds System funktionsfähig ist und dss keine doppelten IP-Adressen vorhnden sind. Dies edeutet, dss die Geräte ktulisiert werden können. Identifizieren und Berüksihtigen spezieller Aktulisierungsszenrien In estimmten Situtionen müssen Sie vor oder nh der Aktulisierung zusätzlihe Shritte usführen. Vorgehensweise 1 Wenn Sie ein neues MAfee ESM-Modell instllieren: Registrieren Sie Ihre Hrdwre innerhl von 30 Tgen, um siherzustellen, dss Sie Rihtlinien-, Prserund Regelktulisierungen im Rhmen Ihres Wrtungsvertrgs erhlten. Wenn Sie keine Registrierung durhführen, erhlten Sie keine Aktulisierungen. Fordern Sie Ihren duerhften Benutzernmen und ds Kennwort per E-Mil von Liensing@MAfee.om n. Geen Sie dei die folgenden Informtionen n: MAfee-Grnt-Nummer Kontktnme Kontonme E-Mil-Adresse Adresse 2 Wenn Sie Offline-Regelktulisierungen enötigen: Öffnen Sie einen Werowser, und wehseln Sie zu downlods.spx. d Kliken Sie uf Downlod, geen Sie Ihre Grnt-Nummer und die ngezeigten Buhsten ein, und senden Sie sie dnn. Wählen Sie MAfee Enterprise Seurity Mnger us, und kliken Sie uf die Registerkrte Alle Versionen. Lden Sie die Regeln für Ihre MAfee ESM-Version herunter. 3 Wenn während der Aktulisierung Proleme mit der Gerätekommuniktion uftreten: Wenn Sie erst ein MAfee-Gerät und dnn MAfee ESM ktulisiert hen oder gerde ein Upgrde von ESM durhgeführt wird, knn die folgende Meldung ngezeigt werden: Der Vorgng knn erst durhgeführt werden, MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 39

40 6 Aktulisieren des ESM-Systems Identifizieren und Berüksihtigen spezieller Aktulisierungsszenrien nhdem ein Upgrde für ds Gerät durhgeführt wurde. Vergewissern Sie sih, dss MAfee ESM üer die korrekte Version verfügt. Wählen Sie in der MAfee ESM-Konsole in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf Verindung und dnn uf Sttus. Wiederholen Sie den Vorgng, der zur Fehlermeldung geführt ht. 4 Wenn uf Ihrem System MAfee epo mit Poliy Auditor vorhnden ist, ktulisieren Sie diese Softwre. Wenn Sie kein All-in-One-Gerät verwenden, führen Sie ein Upgrde für ds MAfee Event Reeiver-Gerät durh, mit dem ds MAfee epo-gerät verunden ist. d e f Kliken Sie in der MAfee ESM-Konsole uf epo-eigenshften Geräteverwltung, und kliken Sie dnn uf Aktulisieren. Sie können ds utomtishe Arufen uf der Registerkrte Geräteverwltung einrihten. Kliken Sie uf Empfängereigenshften, und wählen Sie dnn die Registerkrte Shwhstellenewertung us. Kliken Sie uf Shreien. Wiederholen Sie Shritt, um VA-Dten uf dem MAfee ESM-Gerät zurufen. Melden Sie sih von der MAfee ESM-Konsole, und melden Sie sih dnn n. 5 Üerprüfen Sie den Sttus des Wiederherstellungsprozesses für die ELM-Dtennk. Für die Indizierung Ihrer ELM-Verwltungsdtennk ist je nh ELM-Modell mögliherweise zusätzlihe Zeit erforderlih. Beispielsweise können die Anzhl der Speiherpools, die Menge der von Protokollierungsgeräten gesendeten Dten und Ihre Netzwerkndreite die für ds Ashließen der Indizierung erforderlihe Zeit verlängern. Dieser Hintergrund-Tsk wirkt sih jedoh nur miniml uf die Leistung us und ietet nh Ashluss ein veressertes Afrgen Ihrer Verlufsdten. Wehseln Sie zu ELM-Eigenshften ELM-Informtionen. Wenn im Feld Sttus 'Aktiv' die Meldung Dtennk wird wiederhergestellt ngezeigt wird, sollten Sie die ELM-Dtennk niht nhlten oder strten. Alle neuen ELM-Dten uf dem sendenden Gerät werden vom System indiziert, evor diese Dten n ELM gesendet werden. Wenn eine Protokollierung durh Event Reeiver uf dem ELM-Gerät durhgeführt wird und die mximle Kpzität fst erreiht ist, wenden Sie sih n den Support. 6 Vorsiht Wenn Sie ein Gerät während der Wiederherstellung usshlten, sind Dtenleks möglih. Shlten Sie ein Gerät während der Wiederherstellung niht us. Wenn Sie ein redundntes ELM-Gerät ktulisieren: Führen Sie ein Upgrde für ds ELM-Stndy-Gerät durh. Aktulisieren Sie ds ktive ELM-Gerät. Wählen Sie in der Systemnvigtionsstruktur ds ELM-Stndy-Gerät us, und wehseln Sie zu ELM-Eigenshften ELM-Redundnz Wieder in Betrie nehmen. 40 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

41 Aktulisieren des ESM-Systems Aktulisieren von Geräten (Niht-FIPS-Modus) 6 d e Wehseln Sie zu ELM-Eigenshften ELM-Informtionen, und kliken Sie uf Aktulisieren. Sowohl für ds ktive ELM-Gerät ls uh ds ELM-Stndy-Gerät wird der Sttus OK ngezeigt. Wenn für ds ELM-Stndy-Gerät der Sttus Niht OK ngezeigt wird, kliken Sie erneut uf Aktulisieren. Nh einigen Minuten ändert sih der Sttus des ELM-Stndy-Geräts in OK. Erneute Synhronisierung des redundnten ELM-Geräts ist vollständig geshlossen. Mögliherweise müssen Sie mehrmls uf Aktulisieren kliken. Aktulisieren von Geräten (Niht-FIPS-Modus) Aktulisieren Sie ds ESM-Gerät und die zugehörigen Geräte. Shreien Sie dnn die Geräteeinstellungen neu, und führen Sie einen Rollout der Rihtlinie us. Bevor Sie eginnen Lesen Sie die Versionsinformtionen. Stellen Sie siher, dss uf dem System die Version 9.6 oder höher usgeführt wird. Wenn Sie gerde erst ds Upgrde durhgeführt hen, üerprüfen Sie, o die Wiederherstellung der Dtennk geshlossen ist. Stellen Sie siher, dss eine Kommuniktion mit llen Geräten im System möglih ist. Lden Sie die Dtei für die mnuelle Regelktulisierung von der MAfee-Downlod-Site herunter. Bei der Aktulisierung werden von den ktiven Erfssungen keine Dten mehr erfsst, is Sie die Geräteeinstellungen erneut shreien und einen Rollout für die Rihtlinie usführen. Vorgehensweise 1 Aktulisieren Sie zuerst eigenständige ESM-Geräte und dnn ESM-Komintionsgeräte. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds ESM-Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. d e Kliken Sie uf ESM-Verwltung, und wählen Sie dnn die Registerkrte Wrtung us. Kliken Sie uf ESM ktulisieren. Wählen Sie in der Telle eine Aktulisierung us, oder kliken Sie uf Durhsuhen, um die Aktulisierungssoftwre uf dem loklen System zu suhen. Kliken Sie uf OK. 2 Wrten Sie, is die Wiederherstellung der Dtennk geshlossen ist. 3 Aktulisieren Sie ds ELM-Gerät. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf <Gerät>-Verwltung, und wählen Sie dnn die Registerkrte Wrtung us. Kliken Sie uf ELM ktulisieren. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 41

42 6 Aktulisieren des ESM-Systems Aktulisieren von Geräten (Niht-FIPS-Modus) d e Wählen Sie in der Telle eine Aktulisierung us, oder kliken Sie uf Durhsuhen, um die Aktulisierungssoftwre uf dem loklen System zu suhen. Kliken Sie uf OK. 4 Aktulisieren Sie Empfänger-, ACE-, DEM- und ADM-Geräte. Wenn ds System Empfänger mit Hohverfügrkeit umfsst, verwenden Sie den Prozess Aktulisieren von Empfängern mit Hohverfügrkeit. d e Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf <Gerät>-Verwltung, und wählen Sie dnn die Registerkrte Wrtung us. Kliken Sie uf <Gerät> ktulisieren. Wählen Sie in der Telle eine Aktulisierung us, oder kliken Sie uf Durhsuhen, um die Aktulisierungssoftwre uf dem loklen System zu suhen. Kliken Sie uf OK. Der Aktulisierungsprozess eginnt. Er knn mehrere Stunden in Anspruh nehmen. 5 Wenden Sie ktulisierte Regeln n. Wählen Sie in der Systemnvigtionsstruktur ds ESM-Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf der Seite Systeminformtionen uf Regelktulisierung, und kliken Sie dnn uf Mnuelle Aktulisierung. Nvigieren Sie zur Aktulisierungsdtei, und kliken Sie dnn uf Hohlden und uf OK. 6 Shreien Sie die Einstellungen von MAfee Event Reeiver oder ESM/Event Reeiver-Komintionen neu. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf Dtenquellen Shreien. Kliken Sie uf Shwhstellenewertung Shreien. 7 Shreien Sie die ACE-Einstellungen neu. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. d Kliken Sie uf Risikokorreltions-Verwltung Shreien. Kliken Sie uf Historish Historishe Korreltion ktivieren Anwenden. Wenn diese Option ereits ktiviert ist, dektivieren Sie sie, ktivieren Sie sie erneut, und kliken Sie dnn uf Anwenden. Kliken Sie uf Regelkorreltion, wählen Sie Regelkorreltion ktivieren us, und kliken Sie uf Anwenden. Wenn diese Option ereits ktiviert ist, dektivieren Sie sie, ktivieren Sie sie erneut, und kliken Sie dnn uf Anwenden. 42 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh

43 Aktulisieren des ESM-Systems Aktulisieren von SIEM-Peripheriegeräten (FIPS-Modus) 6 8 Shreien Sie die DEM- oder ADM-Einstellungen neu. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf Virtuelle Geräte Shreien. Für Dtennk-Server: Kliken Sie uf Dtennk-Server Shreien. 9 Führen Sie den Rollout der Rihtlinie uf llen ktulisierten Geräten us. 10 Kliken Sie uf Gerätekonfigurtion Shnittstellen, um den Umgehungsmodus für ds usgewählte Gerät zu dektivieren. 11 Wenn üer ELM oder ELMERC Protokolle von einem Gerät erfsst werden, synhronisieren Sie ELM (Geräteeigenshften Gerätekonfigurtion ELM synhronisieren). Aktulisieren von SIEM-Peripheriegeräten (FIPS-Modus) Bevor Sie eginnen Lesen Sie die Versionsinformtionen. Stellen Sie siher, dss uf dem System die Version 9.6 oder höher usgeführt wird. Wenn Sie Ihre ESM-Softwre gerde ktulisiert hen, sollten Sie siherstellen, dss die Wiederherstellung der Dtennk geshlossen ist. Lden Sie die Dtei für die mnuelle Regelktulisierung von der MAfee-Downlod-Site herunter. Bei der Aktulisierung werden von den ktiven Erfssungen (wie Windows, estremer und Chekpoint) keine Dten mehr erfsst, is Sie die Geräteeinstellungen erneut shreien und einen Rollout für die Rihtlinie usführen. Wenn im FIPS-Modus die Aktulisierung der Geräte niht vor der Aktulisierung von ESM durhgeführt wird, können sih Auswirkungen uf die ELM-Protokollerfssung ergeen. Vorgehensweise 1 Aktulisieren Sie eigenständige ELM-Geräte. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. d e Kliken Sie uf ELM-Verwltung, und wählen Sie dnn die Registerkrte Wrtung us. Kliken Sie uf ELM ktulisieren. Wählen Sie in der Telle eine Aktulisierung us, oder kliken Sie uf die entsprehende Option, um die Aktulisierungssoftwre uf dem loklen System zu suhen. Kliken Sie uf OK. MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh 43

44 6 Aktulisieren des ESM-Systems Aktulisieren von SIEM-Peripheriegeräten (FIPS-Modus) 2 Aktulisieren Sie MAfee Event Reeiver, ACE, DEM und ADM. Wenn ds System Empfänger mit Hohverfügrkeit umfsst, verwenden Sie den Prozess Aktulisieren von Empfängern mit Hohverfügrkeit. d e Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf <Gerät>-Verwltung, und wählen Sie dnn die Registerkrte Wrtung us. Kliken Sie uf <Gerät> ktulisieren. Wählen Sie in der Telle eine Aktulisierung us, oder kliken Sie uf Durhsuhen, um die Aktulisierungssoftwre uf dem loklen System zu suhen. Kliken Sie uf OK. 3 Aktulisieren von ESM-Geräten und Komintionsgeräten Wenn Sie ein System mit redundnten ESM-Geräten ktulisieren, ktulisieren Sie zuerst ds primäre ESM-Gerät. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. d e Kliken Sie uf ESM-Verwltung, und wählen Sie dnn die Registerkrte Wrtung us. Kliken Sie uf ESM ktulisieren. Wählen Sie in der Telle eine Aktulisierung us, oder kliken Sie uf Durhsuhen, um die Aktulisierungssoftwre uf dem loklen System zu suhen. Kliken Sie uf OK. Der Aktulisierungsprozess eginnt. Er knn mehrere Stunden in Anspruh nehmen. 4 Stellen Sie siher, dss eine Kommuniktion mit den Geräten möglih ist. 5 Wenden Sie die ktulisierten Regeln n. Wählen Sie in der Systemnvigtionsstruktur ds System us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf der Seite Systeminformtionen uf Regelktulisierung, und kliken Sie dnn uf Mnuelle Aktulisierung. Nvigieren Sie zur Aktulisierungsdtei, und kliken Sie dnn uf Hohlden und uf OK. 6 Shreien Sie die Einstellungen von MAfee Event Reeiver oder ESM/Event Reeiver-Komintionen neu. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf Dtenquellen Shreien. Kliken Sie uf Shwhstellenewertung Shreien. 7 Shreien Sie die ACE-Einstellungen neu. Wählen Sie im Dshord in der Systemnvigtionsstruktur ds Gerät us, und kliken Sie dnn uf ds Symol Eigenshften. Kliken Sie uf Risikokorreltions-Verwltung Shreien. 44 MAfee Enterprise Seurity Mnger 10.3.x Instlltionshnduh