Sophos Endpoint Security and Control Managed Service Provider-Anleitung für Einzelserver. Produktversion: 10

Transkript

1 Sophos Endpoint Security and Control Managed Service Provider-Anleitung für Einzelserver Produktversion: 10 Stand: September 2014

2 Inhalt 1 Einleitung Informationen zu Sophos Software Sophos Enterprise Console Sophos Endpoint Security and Control Wie funktioniert SESC für MSPs? Erläuterung der Verwaltung von Clients mit dem SEC-Server Netzwerkanforderungen Vorgehensweise Installation von Enterprise Console auf dem SEC-Server Vorbereiten der Installation von Enterprise Console Installation von Enterprise Console Ändern der Konfiguration und Registrierungswerte Herunterladen von Sicherheitssoftware-Paketen von Sophos Veröffentlichen von Update-Verzeichnissen für Kunden Konfigurieren des SEC zur Verwaltung von Kunden Erstellen von Gruppen Erstellen von Update-Richtlinien Überprüfen der SEC-Server-Konfiguration Schützen des SEC-Servers Erstellen eines Installationspakets Informationen zum Deployment Packager-Tool Erstellen von Paketen über die Benutzeroberfläche Überprüfen des Installationspakets Verteilen eines Pakets auf den Kundencomputern Überwachen der Endpoint-Sicherheit Informationen zum SetData-Skript Informationen zu den Endpoint-Parametern Lesen von Endpoint-Parametern mit dem RMM-System Anhang: Erstellen eines Schutz-Pakets über die Befehlszeile Anhang: Inhalt der Datei MRinit.conf Technischer Support Rechtlicher Hinweis

3 Managed Service Provider-Anleitung für Einzelserver 1 Einleitung Die Anleitung richtet sich an MSPs (Managed Service Providers), die Kunden eine verwaltete Version von Sophos Endpoint Security and Control anbieten. Es wird beschrieben, wie Sie Sophos Endpoint Security and Control (SESC) mit einem Einzelserver für die Remote-Verwaltung im Kundenauftrag einrichten (und Ihre eigenen Computer schützen). Hinweis: Bei einem Setup in einem verteilten System (mit einem oder mehreren zusätzlichen Servern, die etwa dem Hosten der Update-Quelle der Clients im DMZ dienen) sollten Sie die Sophos Endpoint Security and Control Managed Service Provider-Anleitung für verteilte Systeme zu Rate ziehen. Es wird dabei davon ausgegangen, dass Sie bereits ein RMM-System (Remote Monitoring and Management System), wie Kaseya, N-able, LevelPlatforms oder Zenith einsetzen, und damit Ihren Kunden Remote-Installations-, Verwaltungs- und Überwachungsdienste anbieten. Verwenden Sie dieses Dokument in Zusammenarbeit mit Ihrem Sophos Sales Engineer. Wenn Sie nicht über einen Sales Engineer verfügen, wenden Sie sich an Ihren Kontakt bei Sophos. Begleitmaterial zu Sophos Software finden Sie hier: Das MSP-Forum der SophosTalk-Community bietet weitere Informationen und Hilfe: 3

4 Sophos Endpoint Security and Control 2 Informationen zu Sophos Software In diesem Abschnitt wird die für die verwaltete Endpoint-Sicherheit erforderliche Sophos Software aufgeführt: 2.1 Sophos Enterprise Console Sophos Enterprise Console ist ein Verwaltungs-Tool zur Bereitstellung und Verwaltung von Sophos Endpoint-Software über Gruppen und Richtlinien. Zudem bietet die Software Alert-Funktionen und detaillierte Reports zum Endpoint-Status und erkannten Threats. Enterprise Console umfasst und verwaltet Sophos Update Manager Sophos Update Manager Sophos Update Manager lädt Sophos Software und Updates von der Sophos Website in ein zentrales Verzeichnis herunter. Die Updates werden in freigegebenen Update-Ordnern bereitgestellt. Endpoint-Computer updaten sich über diese Freigaben. Sophos Update Manager wird mit Sophos Enterprise Console installiert, kann jedoch auch separat installiert werden Reporting Interface und Log Writer Sophos Reporting Interface und Sophos Reporting Log Writer sind Zusatz-Tools für Enterprise Console. Hiermit können Sie anhand von Reports und Protokollen von Fremdsoftware Reports zu Threats und Ereignisdaten in Enterprise Console erstellen. Weitere Informationen finden Sie unter: Sophos Reporting Interface Dokumentationsseite Sophos Reporting Log Writer Dokumentationsseite Support-Artikel Sophos Endpoint Security and Control Sophos Endpoint Security and Control (SESC) bezieht sich sowohl auf die gesamte in diesem Abschnitt Sophos beschriebene Sicherheitssoftware-Suite als auch auf den Agenten auf den Endpoints, der die Computer schützt und mit den Verwaltungs-Tools interagiert. Endpoint Security and Control (für Endpoints) umfasst die folgenden Komponenten: Sophos AutoUpdate. Die Komponente aktualisiert sich selbst und die anderen Komponenten über einen Update Manager. Sophos Remote Management System (RMS). Komponente für die Kommunikation mit Sophos Enterprise Console über TCP auf den Ports 8192 und Sophos Anti-Virus. Die Komponente bietet Virenschutz-, HIPS-, Data Control- und Device Control-Funktionen. 4

5 Managed Service Provider-Anleitung für Einzelserver Der Web-Schutz bietet besseren Schutz vor Threats aus dem Internet. Die Komponente umfasst folgende Funktionen: Live-URL-Filterung, die den Zugriff auf Websites sperrt, auf denen bekanntermaßen Malware gehostet wird. Die Funktion basiert auf einem Online-Abgleich mit der Sophos Datenbank infizierter Websites. Inhalts-Scan-Funktion zum Scannen von aus dem Internet (oder Intranet) heruntergeladenen Daten und Dateien sowie proaktive Erkennung schädlicher Inhalte. Die Funktion dient dem Scannen von Inhalten, die an beliebigen Stellen gehostet werden, auch wenn sie nicht in der Datenbank infizierter Websites aufgeführt werden. Mit der Kontrolle von Websites (optional) können Sie die Aktivitäten der Benutzer anhand von 14 Kategorien filtern: Pornografie, Anonymisierende Proxys, Kriminelle Handlungen, Glücksspiel, Hacking, Harte Drogen, Intolerantes Verhalten, Phishing und Betrug, Spam-URLs, Spyware, Geschmackloser, anstößiger Inhalt, Gewalt und Waffen. Sophos Client Firewall (optional). Nur bezeichnete Anwendungen oder Anwendungsklassen können auf das Netzwerk oder Internet zugreifen. Sophos Patch (optional). Mit Enterprise Console wird festgestellt, ob die aktuellen Sicherheits-Patches auf den Endpoints installiert wurden. Anhand der von den SophosLabs bereitgestellten Bewertung können Sie ermitteln, welche Sicherheits-Patch-Probleme das höchste Risiko bergen, und diese umgehend beheben. Die Bewertungen der SophosLabs basieren auf den aktuellen Exploits und weichen daher unter Umständen vom vom Hersteller angegebenen Schweregrad ab. Verschlüsselung (optional). Sie können zentral verwaltete Festplattenverschlüsselung auf Endpoints installieren. Die Festplattenverschlüsselung schützt Daten auf Endpoints davor, von nicht autorisierten Personen gelesen oder geändert zu werden. Laufwerke werden transparent verschlüsselt. Die Benutzer müssen nicht entscheiden, welche Daten verschlüsselt werden sollen. Verschlüsselung und Entschlüsselung werden im Hintergrund ausgeführt. Mit Hilfe der Power-on Authentication (POA), einem zusätzlichen Authentifizierungsschritt vor dem Booten, wird sichergestellt, dass nur autorisierte Benutzer auf die Daten im System zugreifen können. 5

6 Sophos Endpoint Security and Control 3 Wie funktioniert SESC für MSPs? Im Folgenden wird Sophos Endpoint Security and Control für MSPs näher erläutert: Als Managed Service Provider (MSP) stellen Sie verwaltete IT-Services remote über das Internet für Kunden bereit. Sophos Enterprise Console wird auf einem von Ihnen gehosteten Server (dem SEC-Server) ausgeführt. Mit der Software können Sie Computergruppen und Sicherheitsrichtlinien verwalten und den Endpoint-Status sowie Alerts anzeigen. Sophos Update Manager (SUM) wird auf dem SEC-Server ausgeführt. Mit dieser Komponente werden die Installationsdateien zu Software sowie Updates von Sophos auf dem Host veröffentlicht, damit Ihre Kunden diese installieren und Updates durchführen können. Hinweis: Auf dem SEC-Server muss zudem der Microsoft IIS (Internet Information Services)-Webserver ausgeführt werden, damit die Sophos Update-Ordner über HTTP im Internet veröffentlicht werden. Sophos Endpoint Security and Control (SESC) wird auf den Endpoints der Kunden ausgeführt, um Computer vor Threats zu schützen und Reports an Enterprise Console zu senden. SESC umfasst Sophos AutoUpdate (SAU). Diese Komponente bezieht Updates vom Sophos Update Manager. Remote Management System (RMS) wird auf allen verwalteten Computern (einschließlich SEC-Server und Clients) ausgeführt und ermöglicht bidirektionale Kommunikation für Richtlinien, Client-Status und Alerts. Das RMM-System (Remote Monitoring and Management System) (beispielsweise Kaseya) besteht aus einer Konsole am MSP und allen auf dem verwalteten Endpoint installierten Agenten. Das RMM-System: stellt ein benutzerdefiniertes Endpoint Security and Control-Installerpaket auf allen Endpoints bereit, führt das Paket aus und installiert Endpoint Security and Control auf allen Endpoints, führt in regelmäßigen Abständen ein Skript auf allen Endpoints zur Statusabfrage von Endpoint Security and Control aus, so dass die RMM-Konsole den aktuellen Status und Alerts anzeigen kann. verwaltet Endpoint-Software anderer Anbieter auf ähnliche Weise. Es stehen zahlreiche RMM-Produkte von vielen Anbietern für verschiedene Situationen und Anwendungen zur Verfügung. Die Konfiguration und Funktionsweise der RMM-Komponenten wird von dieser Anleitung nicht erfasst. 6

7 Managed Service Provider-Anleitung für Einzelserver Hinweis: Andere Computer im lokalen Netzwerk des MSPs können auf Wunsch auch anhand der Anweisungen im Abschnitt Schützen des SEC-Servers (Seite 21) (hier nicht abgebildet) geschützt werden. Auch die RMM-Netzwerkkommunikation variiert je nach System und wird hier nicht dargestellt. 7

8 Sophos Endpoint Security and Control 4 Erläuterung der Verwaltung von Clients mit dem SEC-Server In diesem Abschnitt werden die Netzwerkkomponenten für die Kommunikation zwischen dem SEC-Server und den verwalteten Kunden-Endpoints erläutert. Die Grafik zeigt die Interaktion der Server, Domänen, Ports und internen und externen IP-Adressen. Bei den angegebenen IP-Adressen handelt es sich nur um Beispiele. Geben Sie die tatsächliche IP-Adresse ein. Der SEC-Server wird intern und extern von der gleichen Domäne adressiert: sophos-console.msp.com. Es wird davon ausgegangen, dass die Website mit dem virtuellen Verzeichnis Port 80 für eingehende Verbindungen verwendet. Im vorliegenden Beispiel lautet die IP-Adresse des Edge-Geräts Dabei handelt es sich um die externe Schnittstelle der Firewall. Die Ports 80, 8192 und 8194 werden über die Schnittstelle genattet. Wenn Sie Sophos Patch nutzen möchten, müssen Sie den Reverse-Proxy am Edge-Gerät zur Umleitung von Traffic an den SEC-Server konfigurieren, der der folgenden Adresse entspricht: Es empfiehlt sich, auf Kundenseite einen Transparent Caching/Proxy zu verwenden, um den durch Patch und Endpoint-Updates verursachten Traffic zu reduzieren. 4.1 Netzwerkanforderungen Alle Systeme, einschließlich des SEC-Servers, können jetzt den vollqualifizierten Domänennamen (FQDN) ordnungsgemäß auflösen. Wenn der Server eine private IP verwendet (RFC 1918) und mithilfe von NAT öffentlich zugänglich ist, wird sophos-console.msp.com 8

9 Managed Service Provider-Anleitung für Einzelserver zur internen IP-Adresse des SEC-Servers (z.b ) aufgelöst. Bei Remote-Systemen wird der FQDN zur externen IP-Adresse des SEC-Servers (z.b ) aufgelöst. 1. Erstellen Sie anhand der folgenden Anweisungen einen DNS A-Eintrag namens sophos-console.msp.com für interne und externe DNS-Systeme: a) Erstellen Sie einen internen Adresseneintrag, der zur internen IP-Adresse des SEC-Servers (z.b ) aufgelöst wird. b) Erstellen Sie einen externen (Internet) DNS A-Eintrag, der zur öffentlichen Schnittstelle des SEC-Servers aufgelöst wird (z.b ). 2. Konfigurieren Sie die Internet-Firewall des SEC-Servers zur Weiterleitung (ggf. über NAT) der TCP-Ports 8192 und

10 Sophos Endpoint Security and Control 5 Vorgehensweise Die Hauptschritte: Installation von Sophos Enterprise Console auf einem von Ihnen gehosteten Server (dem SEC-Server). Hierzu zählt auch der Sophos Update Manager. Ändern der Konfiguration und der Registrierungswerte. Download der benötigten Sicherheitssoftware. Veröffentlichen einer Freigabe, über die Computer der Kunden Updates beziehen können. Konfigurieren des SEC-Servers durch Erstellen von Gruppen für alle Kunden und Bearbeiten der Update-Richtlinie. Überprüfen der SEC-Server-Konfiguration Schützen des SEC-Servers (und bei Bedarf auch anderer Computer im lokalen Netzwerk) mit Sophos Sicherheitssoftware. Erstellen eines Installer-Pakets. Überprüfen des Installationspakets Verteilen des Installer-Pakets auf den Kundencomputern (über das RMM-System). Verwalten der Endpoint-Sicherheitssoftware. 10

11 Managed Service Provider-Anleitung für Einzelserver 6 Installation von Enterprise Console auf dem SEC-Server Im Folgenden wird erläutert, wie Sophos Enterprise Console auf dem SEC-Server installiert werden kann. 6.1 Vorbereiten der Installation von Enterprise Console Führen Sie auf dem Server, der die Mindestvoraussetzungen eines SEC-Servers erfüllt (siehe Support-Artikel ), die folgenden vorbereitenden Schritte durch: 1. Überprüfen Sie, ob der Server mit dem Internet verbunden ist. 2. Halten Sie die Windows-Betriebssystems-CD und Service-Pack-CDs bereit. Sie müssen die CDs möglicherweise im Laufe der Installation einlegen. 3. Wenn auf dem SEC-Server Microsoft SQL Server 2000 oder MSDE 2000 installiert ist, führen Sie ein Upgrade auf Microsoft SQL Server 2005 oder höher durch. Wenn nicht: SQL Server Express 2008 ist in Enterprise Console integriert. 4. Wenn der Server unter Windows Server 2008 oder höher betrieben wird, deaktivieren Sie die Benutzerkontensteuerung und starten Sie den Server neu. Nach dem Abschluss der Installation und dem Download der Sicherheitssoftware können Sie die Benutzerkontensteuerung wieder aktivieren. 6.2 Installation von Enterprise Console So installieren Sie Enterprise Console: 1. Anmeldung als Administrator: a) Wenn sich der Computer in einer Domäne befindet, melden Sie sich als Domänenadministrator an. b) Wenn sich der Computer in einer Arbeitsgruppe befindet, melden Sie sich als lokaler Administrator an. 2. Rufen Sie die Download-Website auf, die in der Registrierungs-/Download- angegeben ist. 3. Laden Sie das Enterprise Console-Installer-Paket herunter. 4. Doppelklicken Sie auf das heruntergeladene Download-Paket. 5. Klicken Sie im Dialogfeld Sophos Enterprise Console auf Weiter. Es wird ein Assistent gestartet, der Sie durch die Installation leitet. Gehen Sie folgendermaßen vor: a) Übernehmen Sie die Standardwerte, sofern dies möglich ist. b) Wählen Sie im Dialogfeld Komponentenauswahl alle drei Komponenten aus: Management Server, Management-Konsole und Datenbank. 11

12 Sophos Endpoint Security and Control 6. Nach der Installation ist eventuell ein Neustart erforderlich. Klicken Sie auf Ja oder Fertigstellen. Wichtig: Brechen Sie bei der ersten Anmeldung oder dem ersten Neustart nach der Installation den Download-Assistenten für Sicherheitssoftware ab, da vor dem Download Änderungen an der Konfiguration und an Registrierungswerten vorgenommen werden müssen. Wenn Sie Enterprise Console über die Remotedesktop-Funktion installieren, wird die Konsole nicht automatisch geöffnet. Nähere Informationen zur Installation und Einrichung von Richtlinien entnehmen Sie bitte der Schnellstart-Anleitung und Richtlinienlaneitung zu Enterprise Console. 12

13 Managed Service Provider-Anleitung für Einzelserver 7 Ändern der Konfiguration und Registrierungswerte Sie müssen eine Konfigurationsdatei sowie die Registrierungswerte am SEC-Server ändern, um die Verwaltung über das Inernet zu ermöglichen. Hinweis: Bei den Beispielwerten lautet der Hostname des SEC-Servers sophos-console und die über das Internet routbare IP-Adresse Sie müssen die Werte an den Hostnamen und die IP-Adresse des SEC-Servers anpassen. 1. Navigieren Sie zum Verzeichnis Update Manager. Windows Server Standardverzeichnis 32-Bit C:\Programme\Sophos\Update Manager\ 64-Bit C:\Programme (x86)\sophos\update Manager\ 2. Suchen Sie die Datei MRinit.conf und bearbeiten Sie die Werte MRParentAddress und ParentRouterAddress. Standardinhalt im Beispiel: "MRParentAddress"="sophos-console.abc.domain,sophos-console" "ParentRouterAddress"="sophos-console.abc.domain,sophos-console" Abgeänderter Inhalt im Beispiel: Fügen Sie eine extern zugängliche IP-Adresse und den lokalen NetBIOS-Namen des SEC-Servers hinzu. "MRParentAddress"=" ,sophos-console.msp.com,sophos-console" "ParentRouterAddress"=" ,sophos-console.msp.com,sophos-console" Speichern Sie die Datei und schließen Sie Sie sie. Im Abschnitt Anhang: Inhalt der Datei MRinit.conf (Seite 36) finden Sie eine beispielhafte MRinit.conf -Datei. 3. Öffnen Sie den Registrierungs-Editor. Klicken Sie hierzu auf Start, Ausführen, geben Sie regedit ein und klicken Sie auf OK. 4. Sichern Sie die Registrierung. Anweisungen hierzu finden Sie in der Microsoft-Dokumentation. 5. Ändern Sie im Registrierungseditor die beiden folgenden Registrierungswerte: Sophos Message Router Router Verfahren Sie hierzu wie folgt: a) Navigieren Sie zum Registrierungsschlüssel des Sophos Message Routers: 13

14 Sophos Endpoint Security and Control Windows- Version Standardverzeichnis 32-Bit oder 64-Bit HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Message Router\ b) Wählen Sie im rechten Fensterbereich den Eintrag ImagePath aus: c) Klicken Sie im Menü Bearbeiten auf Ändern. d) Ändern Sie den Wert unter Wertdaten wie folgt: 32-Bit-Computer: Standardwert: C:\Programme\Sophos\Enterprise Console\Remote Management System\RouterNT.exe -service -name Router -ORBListenEndpoints iiop://:8193/ssl_port=8194 Geänderter Wert: Ändern Sie den Wert ab und fügen Sie den zusätzlichen Text sowie den extern auflösbaren voll qualifizierten Donämennamen hinzu (fett gedruckt). "C:\Programme\Sophos\Enterprise Console\Remote Management System\RouterNT.exe" -service -name Router -ORBDottedDecimalAddresses 0 -ORBListenEndpoints iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-console.msp.com 64-Bit-Computer: Standardwert: C:\Programme (x86)\sophos\enterprise Console\Remote Management System\RouterNT.exe -service -name Router -ORBListenEndpoints iiop://:8193/ssl_port=8194 Geänderter Wert: Ändern Sie den Wert ab und fügen Sie den zusätzlichen Text sowie den extern auflösbaren voll qualifizierten Donämennamen hinzu (fett gedruckt). "C:\Programme (x86)\sophos\enterprise Console\Remote Management System\RouterNT.exe" -service -name Router -ORBDottedDecimalAddresses 0 -ORBListenEndpoints iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-console.msp.com e) Navigieren Sie zum Registrierungsschlüssel des Routers: Windows- Version Standardverzeichnis 32-Bit HKEY_LOCAL_MACHINE\SOFTWARE\Sophos\Messaging System\Router\ 14

15 Managed Service Provider-Anleitung für Einzelserver Windows- Version Standardverzeichnis 64-Bit HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Sophos\Messaging System\Router\ f) Wählen Sie im rechten Fensterbereich den Eintrag ServiceArgs aus: g) Klicken Sie im Menü Bearbeiten auf Ändern. h) Ändern Sie den Wert unter Wertdaten wie folgt: Standardwert: -ORBListenEndpoints iiop://:8193/ssl_port=8194 Geänderter Wert: Ändern Sie den Wert ab und fügen Sie den zusätzlichen Text sowie den extern auflösbaren voll qualifizierten Donämennamen hinzu (fett gedruckt). -ORBDottedDecimalAddresses 0 -ORBListenEndpoints iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-console.msp.com 6. Starten Sie den Dienst Sophos Message Router neu: Der Vorgang wird in folgenden Support-Artikeln näher erläutert: Support-Artikel (Szenario 2 ist am gängigsten) Support-Artikel

16 Sophos Endpoint Security and Control 8 Herunterladen von Sicherheitssoftware-Paketen von Sophos Nach der Installation von Enterprise Console und dem Ändern der Konfiguration können Sie Sicherheitssoftware für Ihre Kunden auswählen und herunterladen. Verfahren Sie hierzu wie folgt: 1. Öffnen Sie Enterprise Console: Der Download-Assistent für Sicherheitssoftware wird automatisch geöffnet. 2. Geben Sie auf der Seite Sophos Download-Konto die auf der Sophos Lizenz aufgeführten Zugangsdaten ein. Wenn Sie über einen Proxyserver auf das Internet zugreifen, aktivieren Sie das Kontrollkästchen Verbindung zu Sophos über Proxyserver herstellen und geben Sie die Proxyserver-Einstellungen ein. 3. Wählen auf der Seite Plattformauswahl die Systeme aus, die jetzt geschützt werden sollen. Klicken Sie auf Weiter. Enterprise Console lädt die Software herunter. Hinweis: Wenn Sie zu einem späteren Zeitpunkt weitere Plattformen hinzufügen möchten, können Sie Ihr Software-Abonnement in der Ansicht Update Manager ändern. 4. Der Download-Fortschritt wird auf der Seite Software wird heruntergeladen angezeigt. Klicken Sie auf Weiter und befolgen Sie die Anweisungen des Assistenten. So wird auf dem SEC-Server ein freigegebener Installationsordner mit installierbaren Versionen von Sophos Endpoint-Software für alle Betriebssysteme, die Sie schützen möchten, erstellt. Der Ordner wird als \\<SEC-Server>\SophosUpdate\CIDs freigegeben. Der Stanm der Freigabe befindet sich unter: Windows Server Standardverzeichnis 2003 C:\Dokumente und Einstellungen\Alle Benutzer\Anwendungsdaten\Sophos\Update Manager\Update Manager\CIDs\ 2008/2008 R2 C:\ProgramData\Sophos\Update Manager\Update Manager\CIDs\ Die Installations- und Update-Dateien zu Sophos Endpoint Security and Control für Windows befinden sich im Verzeichnis \S000\SAVSCFXP\ und zu Verschlüsselung im Unterverzeichnis \S000\ENCRYPTION\. Hinweis: Sie können den CID-Pfad für alle Plattformen in Enterprise Console abrufen: Klicken Sie unter Ansicht auf Bootstrap-Verzeichnis. Wenn die Benutzerkontensteuerung vor der Installation deaktiviert wurde, können Sie sie jetzt wieder aktivieren. 16

17 Managed Service Provider-Anleitung für Einzelserver 9 Veröffentlichen von Update-Verzeichnissen für Kunden Beim Download der Sicherheitssoftware wird automatisch eine SophosUpdate-Freigabe in folgendem Verzeichnis auf dem SEC-Server erstellt: \\<SEC-Server>\SophosUpdate\. Damit Kunden Updates von der Freigabe beziehen können, muss per http darauf zugegriffen werden können. Verfahren Sie hierzu wie folgt: 1. Installieren und konfigurieren Sie Microsoft IIS auf dem SEC-Server und sichern Sie die Dienste ordnungsgemäß ab (für den Download von Updates von Sophos empfiehlt sich ein Konto mit Lesezugriff für alle Kundenunternehmen). 2. Erstellen Sie in IIS ein virtuelles Verzeichnis mit der Bezeichnung Sophos, das \\<SEC-Server>\SophosUpdate\ freigibt, um Zugriff über das Internet zu ermöglichen. Wenn Sie statt eines UNC-Pfads einen lokalen Pfad verwenden möchten, lautet der Standard-Pfad zum CID wie folgt: Windows Server Standard-CID-Verzeichnis 2003 C:\Dokumente und Einstellungen\Alle Benutzer\Anwendungsdaten\Sophos\Update Manager\Update Manager 2008/2008 R2 C:\ProgramData\Sophos\Update Manager\Update Manager\ 3. Konfigurieren Sie MIME-Typen. Zu Testzwecken können Sie ".*" als MIME-Typ hinzufügen. Nähere Informationen zum Erstellen eines Web-CIDs und zur Konfiguration von MIME-Typen entnehmen Sie bitte dem Support-Artikel Hinweis: HTTPS wird nicht für Client-Updates unterstützt. Zur Absicherung der Zugangsdaten empfiehlt sich NTLM- (in Windows integrierte Authentifizierung) oder Digest-Authentifizierung. Sie können die Einstellungen in IIS konfigurieren. Auf den Clients wird automatisch die sicherste Option übernommen. 17

18 Sophos Endpoint Security and Control 10 Konfigurieren des SEC zur Verwaltung von Kunden Nach dem Download der Sicherheitssoftware müssen sie den SEC-Server so konfigurieren, dass Sie Kunden und deren Computer verwalten können Erstellen von Gruppen Computer werden durch Erstellen von Gruppen in Sophos Enterprise Console organisiert. Wir empfehlen Ihnen, mindestens eine Gruppe für Sie, den MSP und je eine Gruppe für alle Kunden zu erstellen. Wenn unterschiedliche Richtlinien für die Kundensysteme erforderlich sind, können Sie in Kundengruppen Untergruppen erstellten (etwa "Server", "Desktop"). Alle Gruppen können unterschiedliche Richtlinien zugewiesen werden. In der Praxis sind die Richtlinien aller Gruppen jedoch aller Wahrscheinlichkeit nach identisch. Wenn Sie So Ihre verwalteten Endpoints in Gruppen unterteilen, wirken sich Änderungen an den Sicherheitsrichtlinien eines bestimmten Kunden nicht auf die Endpoints der anderen Kunden oder Ihre eigenen Endpoints aus. So können Sie eine neue Gruppe für Computer erstellen: 1. Öffnen Sie Enterprise Console: 2. Wählen Sie in der Ansicht Endpoints im Fensterbereich Gruppen (links in der Konsole), wo Sie die Gruppe erstellen möchten. Klicken Sie auf den Computernamen oben, wenn Sie eine neue Top-Level-Gruppe erstellen möchten. Klicken Sie auf eine bestehende Gruppe, wenn Sie eine Untergruppe erstellen möchten. 3. Klicken Sie in der Symbolleiste auf das Symbol Gruppe erstellen. Eine Neue Gruppe wird in die Liste aufgenommen. Der Name der Gruppe ist markiert. 4. Geben Sie einen Namen für die Gruppe ein. Die Standardrichtlinien werden automatisch der neuen Gruppe zugewiesen. Es empfiehlt sich, allen Gruppen kundenspezifische Richtlinien zuzuweisen. Wenn es sich bei der neuen Gruppe um eine Untergruppe handelt, verwendet die Untergruppe anfangs dieselben Richtlinien wie die Gruppe, in der sie sich befindet. Nähere Informationen zum Einrichten von Gruppen entnehmen Sie bitte der Enterprise Console Hilfe und dem Support-Artikel Erstellen von Update-Richtlinien Sie müssen eine neue Update-Richtlinie erstellen und zur Verwendung der vorab im Abschnitt (Veröffentlichen einer Update-Freigabe für Kunden (Seite 17)) in den IIS eingerichteten HTTP-Adresse konfigurieren. 18

19 Managed Service Provider-Anleitung für Einzelserver So erstellen Sie eine neue Update-Richtlinie: 1. Rechtsklicken Sie im Fenster Richtlinien auf Updates und wählen Sie die Option Richtlinie erstellen aus. Geben Sie einen Namen für die Richtlinie ein. 2. Doppelklicken Sie auf den Richtliniennamen. Geben Sie im Dialogfeld Update-Richtlinie auf der Registerkarte Primärserver die Zugangsdaten sowie die Adresse für den Zugang zum Server ein. Bei der Adresse muss es sich um einen vollqualifizierten Domänennamen oder eine IP-Adresse handeln (z.b. oder Die Angabe sollte dem vorab in den IIS erstellten virtuellen Verzeichnis entsprechen. Geben Sie unter Benutzername und Kennwort die Zugangsdaten des Kontos ein, über das die Clients Updates von Sophos herunterladen. Es empfiehlt sich ein Konto pro Kunden mit Lesezugriff. Machen Sie bei Bedarf weitere Angaben und klicken Sie auf OK, um das Dialogfeld der Update-Richtlinie zu schließen. 3. Wählen Sie im Feld Gruppen eine Gruppe aus, auf die die konfigurierte Update-Richtlinie übertragen werden soll: Ziehen Sie hierzu die Richtlinie auf die Gruppe oder rechtsklicken Sie auf die Gruppe, klicken Sie auf Gruppenrichtliniendetails öffnen und wählen Sie die neue Richtlinie im Dropdown-Menü Updates aus. Wiederholen Sie den Schritt für alle Gruppen, auf die die Update-Richtlinie übertragen werden soll. 19

20 Sophos Endpoint Security and Control 11 Überprüfen der SEC-Server-Konfiguration Sie haben die Konfiguration des SEC-Servers abgeschlossen. Führen Sie zur Überprüfung Ihrer Einstellungen die folgenden Tests durch: 1. Überprüfen Sie auf dem SEC-Server, ob Sie unter Verwendung des vollqualifizierten Domänennamens (FQDN) eine Verbindung zu Port 8192 herstellen können. Die ausgegebene Antwort sollte mit IOR anfangen. Hierzu können Sie Telnet oder vergleichbare Tools verwenden. Beispiel: Geben Sie in die Befehlszeile Folgendes ein: telnet sec-server.msp.com Sollte dies nicht funktionieren, verwenden Sie statt des FQDN localhost, um zu ermitteln, ob ein DNS-/IP-Routing-Problem vorliegt. 2. Wiederholen Sie die genannten Schritte auf einem externen Client, um zu überprüfen, ob extern auf den Server zugegriffen werden kann. 3. Überprüfen Sie, ob das Management-System mit dem FQDN konfiguriert wurde. Verfahren Sie hierzu wie folgt: a) Öffnen Sie auf dem SEC-Server den Registrierungseditor. Klicken Sie hierzu auf Start, Ausführen, geben Sie regedit ein und klicken Sie auf OK. b) Navigieren Sie zum Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE. c) Rechtsklicken Sie auf SOFTWARE und klicken Sie auf Suchen. d) Geben Sie unter Suchen nach: den FQDN des SEC-Servers ein. e) Wenn eine Instanz gefunden wurde, drücken Sie auf der Tastatur auf F3, um nach einer weiteren Instanz zu suchen. Hinweis: Es sollten zwei Instanzen des FQDN-Namens vorhanden sein. Wenn Sie sichergestellt haben, dass zwei Instanzen vorhanden sind, schließen Sie den Registrierungseditor. 4. Überprüfen Sie auf einem externen Client, ob unter Verwendung des FQDN eine Verbindung zu IIS auf Port 80 über einen Webbrowser hergestellt werden kann. Navigieren Sie durch die Ordnerstruktur (wenn die Verzeichnisauflistung deaktiviert ist, geben Sie Pfade an, die sich von der Navigation durch das lokale Verzeichnis ableiten), um sicherzustellen, dass Dateien heruntergeladen werden können. Laden Sie beispielsweise eine.pem -Datei herunter, da sich diese nicht in dr Standardliste der IIS-MIME-Typen befindet. Mit den Standardeinstellungen lautet der Pfad zur.pem -Datei: Nach der Durchführung der genannten Schritte können Sie mit dem Schutz des SEC-Servers fortfahren. 20

21 Managed Service Provider-Anleitung für Einzelserver 12 Schützen des SEC-Servers Der SEC-Server sowie bei Bedarf andere Computer im lokalen Netzwerk müssen geschützt werden. Verfahren Sie hierzu wie folgt: 1. Installieren Sie Sophos Endpoint Security and Control. Führen Sie hierzu auf dem/den zu schützenden Computer(n) das Setup vom am Ende von Herunterladen von Sicherheitssoftware-Paketen von Sophos (Seite 16) aufgeführten CID-Pfad aus. 2. Führen Sie auf allen zu schützenden Computern in Enterprise Console die folgenden Schritte durch: a) Nehmen Sie den Computer als Mitglied in eine MSP-Gruppe auf. b) Weisen Sie dem Computer Gruppenrichtlinien zu. 3. Stellen Sie sicher, dass keine Alerts oder Fehler für die geschützten Computer angezeigt werden. Wenn doch, beheben Sie die Probleme, bei denen Handlungsbedarf (beispielsweise ein ausstehender Neustart) besteht. Auf dem SEC-Server (und allen geschützten Computern im Netzwerk) wird nun Endpoint Security and Control mit über Enterprise Console gesteuerten Richtlinien ausgeführt. Nähere Informationen zur Installation von Endpoint Security and Control entnehmen Sie bitte der Upgrade-Anleitung zu Endpoint Security and Control. 21

22 Sophos Endpoint Security and Control 13 Erstellen eines Installationspakets 13.1 Informationen zum Deployment Packager-Tool Sie können Sophos Endpoint Security and Control (SESC) mit dem Deployment Packager-Tool auf Endpoints installieren. Das Tool steht auf der Sophos Website zum Download bereit. Der Deployment Packager erstellt eine einzelne, selbst-extrahierende Archivdatei aus einer Reihe von Sophos Endpoint-Setup-Dateien für die Installation von Endpoint Security and Control und Sophos Disk Encryption auf Windows-Endpoints. Das Dateipaket umfasst Konfigurations-Optionen, wie etwa automatische/interaktive Installation, Auswahl an Installationspaketen, Update-Pfad/Zugangsdaten und Endpoint-Gruppenmitgliedschaft. Mit dem Deployment Packager erstellte Pakete versuchen, Schutzsoftware anderer Anbieter, die Konflikte auslösen könnte, zu entfernen. Fremdsoftware, die Konflikte mit Verschlüsselungssoftware auslösen kann, lässt sich zwar erkennen, muss jedoch manuell entfernt werden. Sie müssen möglicherweise mehrere Pakete erstellen, die jeweils den Anforderungen unterschiedlicher Endpoint-Arten gerecht werden. Sie können den Deployment Packager über die Benutzeroberfläche (GUI) oder eine Befehlszeile (CLI) ausführen. Die GUI bietet sich vor allem für die einmalige Installation an. Die CLI bietet bei mehrfachen Installationen mehr Flexibilität. Eine Zeichenfolge zum Einleiten der Befehlszeilenversion kann mitsamt aller Optionen in einer Textdatei gespeichert oder über eine zeitgesteuerte Batch-Datei regelmäßig ausgeführt werden, damit sich Installationspakete stets auf dem aktuellen Stand befinden. Wenn Sie also viele Computer verwalten, die viele Endpoint-Installationen erforderlich machen, bietet sich die CLI an. Anweisungen zur Nutzung des Deployment Packagers über die Befehlszeile finden Sie im Abschnitt Anhang: Erstellen eines Schutz-Pakets über die Befehlszeile (Seite 34). Systemvoraussetzungen Deployment Packager setzt Folgendes voraus: Windows-Betriebssysteme: siehe Support-Artikel Freier Festplattenspeicher: 1 GB Arbeitsspeicher: 1 GB Prozessor: Mind. Pentium 2 GHz oder kompatibler Sie müssen zudem die Systemvoraussetzungen der Endpoint-Komponenten des Pakets beachten. Siehe Support-Artikel

23 Managed Service Provider-Anleitung für Einzelserver 13.2 Erstellen von Paketen über die Benutzeroberfläche Die Bereitstellung über die Benutzeroberfläche bietet sich für die einmalige Bereitstellung an. Sie können Installationspakete für folgende Funktionen erstellen: Endpoint-Schutz-Paket mit Virenschutz, Remote Management System, Firewall und Patch Management. Verschlüsselungs-Paket, wenn Verschlüsselung im Umfang Ihrer Lizenz enthalten ist Erstellen eines Schutz-Pakets über die Benutzeroberfläche 1. Zum Erstellen eines Schutz-Pakets führen Sie DeploymentPackager.exe aus. Das Dialogfeld Sophos Deployment Packager wird angezeigt. Hinweis: Sophos NAC wurde am 31. August 2014 eingestellt. Nähere Informationen entnehmen Sie bitte dem Support-Artikel Geben Sie unter Source Folder den Speicherort des zentralen Installationsverzeichnisses mit den Endpoint-Software-Installationsdateien ein. Es muss sich hierbei um einen UNC-Pfad oder ein lokales Verzeichnis handeln. 23