Symantec Zentralquarantäne Implementierungshandbuch

Transkript

1 Symantec Zentralquarantäne Implementierungshandbuch

2 Symantec Zentralquarantäne Implementierungshandbuch Die im vorliegenden Handbuch beschriebene Software wird im Rahmen einer Lizenzvereinbarung zur Verfügung gestellt und darf nur im Einklang mit den Bestimmungen dieser Vereinbarung verwendet werden. Dokumentnummer: Rechtlicher Hinweis Copyright 2007 Symantec Corporation. Alle Rechte vorbehalten. Symantec, das Symantec-Logo, LiveUpdate, Sygate, Symantec AntiVirus, Bloodhound, Confidence Online, Digital Immune System und Norton sind Marken oder eingetragene Marken der Symantec Corporation oder ihrer verbundenen Unternehmen in den USA und anderen Ländern. Andere Bezeichnungen können Marken anderer Rechteinhaber sein. Das in diesem Dokument beschriebene Produkt wird lizenziert vertrieben. Die Lizenzen beschränken die Verwendung, Vervielfältigung, Verteilung und Dekompilierung bzw. Rückentwicklung des Produkts. Kein Teil dieses Dokuments darf ohne vorherige schriftliche Zustimmung von Symantec Corporation und ihrer Lizenzgeber, sofern vorhanden, in irgendeiner Form reproduziert werden. DIE DOKUMENTATION WIRD OHNE MÄNGELGEWÄHR BEREITGESTELLT. ALLE AUSDRÜCKLICHEN UND STILLSCHWEIGENDEN VORAUSSETZUNGEN, DARSTELLUNGEN UND GEWÄHRLEISTUNGEN, EINSCHLIESSLICH DER STILLSCHWEIGENDEN GEWÄHRLEISTUNG DER MARKTGÄNGIGKEIT, EIGNUNG FÜR EINEN BESTIMMTEN ZWECK ODER NICHT-BEEINTRÄCHTIGUNG, SIND AUSGESCHLOSSEN, AUSSER IN DEM UMFANG, IN DEM SOLCHE HAFTUNGSAUSSCHLÜSSE ALS NICHT RECHTSGÜLTIG ANGESEHEN WERDEN. SYMANTEC CORPORATION IST NICHT FÜR BEILÄUFIG ENTSTANDENE SCHÄDEN ODER FÜR FOLGESCHÄDEN VERANTWORTLICH, DIE IN VERBINDUNG MIT DER ERWORBENEN LEISTUNG ODER DER VERWENDUNG DIESER DOKUMENTATION STEHEN. DIE IN DIESER DOKUMENTATION ENTHALTENEN INFORMATIONEN KÖNNEN JEDERZEIT OHNE ANKÜNDIGUNG GEÄNDERT WERDEN. Die lizenzierte Software und die Dokumentation gelten als kommerzielle Computer-Software gemäß FAR und unterliegen eingeschränkten Rechten, definiert in FAR Abschnitt "Commercial Computer Software - Restricted Rights" bzw. DFARS , "Rights in Commercial Computer Software or Commercial Computer Software Documentation" und deren Nachfolgevorschriften. Jegliche Nutzung, Änderung, Reproduktion, Vorführung, Vorstellung oder Offenbarung der lizenzierten Software und Dokumentation durch die US-amerikanische Regierung darf ausschließlich in Übereinstimmung mit den Bedingungen dieser Vereinbarung erfolgen. Symantec Corporation Stevens Creek Blvd. Cupertino, CA USA

3 Lösungen für Service und Unterstützung Registrierung und Lizenzierung Sicherheits-Updates Symantec bemüht sich weltweit um ausgezeichnete Serviceleistungen. Unser Ziel ist, Ihnen professionelle Hilfestellung bei der Anwendung unserer Software zu leisten und professionelle Dienste anzubieten ganz gleich, in welchem Land. Die Angebote für Service und Unterstützung sind von Land zu Land unterschiedlich. Wenn Sie Fragen zu den unten beschriebenen Dienstleistungen haben, lesen Sie bitte den Abschnitt "Alle Kontaktinformationen auf einen Blick". Falls für das von Ihnen installierte Produkt eine Registrierung und/oder ein Lizenzschlüssel erforderlich sind, bietet unsere Lizenz- und Registrierungssite unter (auf Englisch) eine schnelle und einfache Methode zur Registrierung Ihres Dienstes. Sie können aber auch auf der Site das Produkt auswählen, das Sie registrieren möchten, und auf der Produkt-Homepage den Link "Lizenzierung und Registrierung" wählen. Wenn Sie ein Unterstützungsabonnement erworben haben, können Sie technische Unterstützung über Telefon und Internet in Anspruch nehmen. Halten Sie bei der ersten Kontaktaufnahme entweder die Lizenznummer aus Ihrem Lizenzzertifikat oder die bei der Unterstützungsregistrierung erzeugte Kontakt-ID bereit, so dass ein Mitarbeiter der technischen Unterstützung ihre Berechtigung überprüfen kann. Wenn Sie kein Unterstützungsabonnement erworben haben, erfahren Sie Einzelheiten zum Erwerb technischer Unterstützung über Ihren Händler oder den Symantec-Kundenservice. Aktuelle Informationen zu Viren und Sicherheitsbedrohungen finden Sie auf der Symantec Security Response-Website (vormals Antivirus Research Centre) unter folgender Adresse: Diese Site enthält umfassende Online-Informationen zu Sicherheits- und Virenbedrohungen sowie die neuesten Virendefinitionen. Virendefinitionen können außerdem mithilfe der LiveUpdate-Funktion Ihres jeweiligen Produkts heruntergeladen werden. Erneuern des Abonnements für Virendefinitions-Updates Wenn Sie zusammen mit Ihrem Produkt einen Wartungsvertrag erwerben, sind Sie ein Jahr lang zum Bezug kostenloser Virendefinitionen über das Internet

4 Symantec-Websites: berechtigt. Nach Ablauf Ihres Wartungsvertrags erhalten Sie Informationen zur Erneuerung des Vertrags über Ihren Händler oder den Symantec-Kundenservice. Symantec-Homepage (nach Sprache): Deutsch: Englisch: Französisch: Italienisch: Niederländisch: Portugiesisch: Spanisch: Symantec Security Response: Service und Unterstützung für Symantec Enterprise: Produktspezifisches Newsbulletin: USA, Asien - Pazifik/Englisch: Europa, Nahost und Afrika/Englisch: Deutsch: Französisch: Italienisch:

5 Lateinamerika/Englisch: Technische Unterstützung Als Teil von Symantec Security Response verfügt unser globales Team für die technische Unterstützung weltweit über Support-Zentren. Vorrangige Aufgabe ist die Beantwortung von Fragen zu Produktfunktionen, zur Installation und zur Konfiguration sowie die Bereitstellung von aktuellen Informationen in unserer webbasierten Unterstützungsdatenbank. Dabei arbeiten wir eng mit anderen Unternehmensbereichen von Symantec zusammen, um Ihre Fragen schnellstmöglich zu beantworten. In enger Kooperation mit den Product Engineering- und Security Research Center-Experten bieten wir Ihnen umfassende Warndienste und Virendefinitions-Updates für Virenausbrüche und Sicherheitswarnungen. Unser Angebot umfasst u. a.: Zahlreiche Unterstützungsoptionen, mit denen Sie den Umfang des für Ihre Unternehmensgröße benötigten Supports flexibel wählen können. Telefon- und Internetunterstützung, über die Sie schnelle Hilfe und aktuelle Informationen erhalten. Produkt-Updates gewährleisten automatischen Schutz durch Software-Upgrades. Inhalts-Updates für Virendefinitionen und Sicherheits-Signaturen sorgen für optimalen Schutz. Der globale Support durch die Experten von Symantec Security Response steht Ihnen weltweit rund um die Uhr (24x7) in zahlreichen Sprachen zur Verfügung. Erweiterte Funktionen wie beispielsweise der Symantec Alerting Service und der persönliche Technical Account Manager gewährleisten verbesserte Reaktionszeiten und proaktiven Sicherheits-Support. Aktuelle Informationen über unsere Unterstützungsprogramme finden Sie auf unserer Website. Kontakt Kunden mit einem gültigen Unterstützungsvertrag können sich telefonisch oder über das Internet an die technische Unterstützung wenden, entweder unter der nachstehenden URL oder über die weiter hinten in diesem Dokument aufgeführten regionalen Unterstützungssites. Halten Sie dabei die folgenden Informationen bereit: Nummer des Produkt-Release

6 Hardware-Informationen Verfügbarer Arbeitsspeicher, freier Festplattenspeicher, installierte Netzwerkkarte Betriebssystem Versions- und Patch-Nummer Netzwerktopologie Router, Gateway und IP-Adressinformationen Beschreibung des Problems Fehlermeldungen/Protokolldateien Die vor der Kontaktaufnahme mit Symantec durchgeführten Schritte zur Problemlösung Kürzlich durchgeführte Änderungen der Software- und/oder Netzwerkkonfiguration Kundenservice Das Symantec-Kundenservice-Center hilft Ihnen bei nicht-technischen Anfragen, beispielsweise: Allgemeine Produktinformationen (z. B. Leistungsmerkmale, Preise, Sprachverfügbarkeit, Händler in Ihrer Nähe usw.) Hilfe bei einfachen Problemen, z. B. wie Sie Ihre Versionsnummer überprüfen können Neueste Informationen zu Produkt-Updates und -Upgrades Wie Sie Ihr Produkt aktualisieren oder eine neue Version (Upgrade) installieren können Wie Sie Ihr Produkt und/oder Lizenzen registrieren können Informationen zu den Lizenzprogrammen von Symantec Informationen zu Upgrade-Versicherung und Wartungsverträgen Ersatz fehlender CDs und Handbücher Aktualisierung Ihrer Registrierungsdaten bei Adress- und Namensänderungen Beratung zu den Optionen der technischen Unterstützung von Symantec Ausführliche Kundenservice-Informationen erhalten Sie auf der Symantec-Website für Service und Unterstützung oder durch einen Anruf beim Kundenservice-Center von Symantec. Die Webadressen und die Nummer Ihres lokalen

7 Kundenservice-Centers finden Sie unter "Alle Kontaktinformationen auf einen Blick". Alle Kontaktinformationen auf einen Blick Europa, Naher Osten und Lateinamerika Symantec-Websites für Service und Unterstützung Deutsch: Englisch: Französisch: Italienisch: Niederländisch: Portugiesisch: Spanisch: Symantec FTP: ftp.symantec.com (Herunterladen von technischen Hinweisen und neuesten Patches) Besuchen Sie "Symantec Service und Unterstützung" im Internet. Dort finden Sie technische und allgemeine Informationen zu Ihrem Produkt. Symantec Security Response: Produktspezifisches Newsbulletin: USA/Englisch: Europa, Nahost und Afrika/Englisch: Deutsch: Französisch:

8 Italienisch: Lateinamerika/Englisch: Symantec-Kundenservice Bietet allgemeine Produktinformationen und Beratung per Telefon in den folgenden Sprachen: Englisch, Deutsch, Französisch und Italienisch. Belgien: + (32) Dänemark: + (45) Deutschland: + (49) Finnland: + (358) Frankreich: + (33) Großbritannien: + (44) Irland: + (353) Italien: + (39) Luxemburg: + (352) Niederlande: + (31) Norwegen: + (47) Österreich: + (43) Schweden: + (46)

9 Schweiz: + (41) Spanien: + (34) Südafrika: + (27) Andere Länder: + (353) (Nur in englischer Sprache) Symantec-Kundenservice - Korrespondenzadresse Symantec Ltd Customer Service Centre Europe, Middle East and Africa (EMEA) PO Box 5689 Dublin 15 Irland Für Lateinamerika Symantec bietet weltweit technische Unterstützung und Kundenservice. Die Dienstleistungen sind von Land zu Land unterschiedlich und umfassen internationale Partner in Regionen, in denen keine Symantec-Geschäftsstelle vorhanden ist. Bitte wenden Sie sich für allgemeine Informationen an die Symantec-Geschäftsstelle für Service und Unterstützung in Ihrer Region. ARGENTINIEN Pte. Roque Saenz Peña Piso 6 C1035AAQ, Ciudad de Buenos Aires Argentinien Hauptrufnummer: +54 (11) WebSite: Gold Support: VENEZUELA Avenida Francisco de Miranda. Centro Lido Torre D. Piso 4, Oficina 40 Urbanización el Rosal 1050, Caracas D.F. Dong Cheng District Venezuela

10 Hauptrufnummer: +58 (212) Website: Gold Support: COLUMBIEN Carrera 18# 86A-14 Oficina 407, Bogota D.C. Columbien Hauptrufnummer: +57 (1) Website: Gold Support: BRASILIEN Symantec Brasil Market Place Tower Av. Dr. Chucri Zaidan, andar São Paulo - SP CEP: Brasilien, SA Hauptrufnummer: +55 (11) Fax: +55 (11) Website: Gold Support: CHILE Alfredo Barros Errazuriz 1954 Oficina 1403 Providencia, Santiago de Chile Chile Hauptrufnummer: +56 (2) Website: Gold Support: MEXIKO Boulevard Adolfo Ruiz Cortines 3642 Piso 8, Colonia Jardines del Pedregal, 01900, Mexico D.F. Mexiko Hauptrufnummer: +52 (55)

11 Website: Gold Support: ÜBRIGES LATEINAMERIKA 9155 South Dadeland Blvd. Suite 1100, Miami, FL U.S.A Website: Gold Support: Costa Rica: Panama: Puerto Rico: Für Asien-Pazifik Symantec bietet weltweit technische Unterstützung und Kundenservice. Die Dienstleistungen sind von Land zu Land unterschiedlich und umfassen internationale Partner in Regionen, in denen keine Symantec-Geschäftsstelle vorhanden ist. Bitte wenden Sie sich für allgemeine Informationen an die Symantec-Geschäftsstelle für Service und Unterstützung in Ihrer Region. Geschäftsstellen für Service und Unterstützung AUSTRALIEN Symantec Australia Level 2, 1 Julius Avenue North Ryde, NSW 2113 Australien Hauptrufnummer: Fax: Website: Gold Support: gold.au@symantec.com Support Contracts Admin: contractsadmin@symantec.com CHINA Symantec China Unit 1-4, Level 11, Tower E3, The Towers, Oriental Plaza No.1 East Chang An Ave., Dong Cheng District Beijing China P.R.C.

12 Hauptrufnummer: Technische Unterstützung: Fax: Website: HONGKONG Symantec Hong Kong Central Plaza Suite # th Floor, 18 Harbour Road Wanchai HongKong Hauptrufnummer: Technische Unterstützung: Fax: Website: INDIEN Symantec India Suite #801 Senteck Centrako MMTC Building Bandra Kurla Complex Bandra (East) Mumbai , Indien Hauptrufnummer: Technische Unterstützung: Fax: Website: KOREA Symantec Korea 15,16th Floor Dukmyung B/D Samsung-Dong KangNam-Gu Seoul Südkorea Hauptrufnummer: Technische Unterstützung: Fax:

13 Website: MALAYSIA Symantec Corporation (Malaysia) Sdn Bhd 31-3A Jalan SS23/15 Taman S.E.A Petaling Jaya Selangor Darul Ehsan Malaysia Hauptrufnummer: Technische Unterstützung: Enterprise Enterprise gebührenfrei: Website: NEUSEELAND Symantec New Zealand Level 5, University of Otago Building 385 Queen Street Auckland Central 1001 Neuseeland Hauptrufnummer: Fax: Website für Unterstützung: Gold Support: gold.nz@symantec.com Support Contracts Admin: contractsadmin@symantec.com SINGAPUR Symantec Singapore 6 Battery Road #22-01/02/03 Singapur Hauptrufnummer: Fax: Technische Unterstützung: Website:

14 TAIWAN Symantec Taiwan 2F-7, No.188 Sec.5 Nanjing E. Rd., 105 Taipei Taiwan Hauptrufnummer: Corporate Support: Fax: Gold Support: gold.nz@symantec.com Website: Wir haben uns um größtmögliche Genauigkeit der Informationen in diesem Dokument bemüht. Die Informationen unterliegen jedoch gelegentlichen Änderungen. Symantec Corporation behält sich das Recht vor, solche Änderungen ohne vorherige Ankündigung vorzunehmen.

15 Inhalt Lösungen für Service und Unterstützung Kapitel 1 Kapitel 2 Kapitel 3 Einführung in die Symantec-Zentralquarantäne Symantec-Zentralquarantäne Zentralquarantänekomponenten Wie funktioniert die Zentralquarantäne? Identifizieren und das Isolieren von Viren Analysieren der Viren Was Sie mit der Zentralquarantäne tun können Mehr Informationen über die Zentralquarantäne Zentralquarantänesoftware installieren und konfigurieren Vorbereitung der Installation Systemanforderungen für den Zentralquarantäne-Server Systemanforderungen für die Quarantänekonsole Installieren der Zentralquarantänesoftware Verwenden der Zentralquarantäne Aktivieren und Konfigurieren der Zentralquarantäne Aktivieren des Quarantäne-Servers Konfigurieren des Quarantäne-Servers Konfigurieren von Virenschutzrichtlinien zur Nutzung des Quarantäne-Servers Eigenschaften der Zentralquarantäne Verwalten isolierter Dateien Anzeigen der isolierten Objekte Löschen der isolierten Dateien Wiederherstellen isolierter Dateien Übertragen von Proben zur Analyse Festlegen einer automatischen Richtlinie zum Übertragen von Proben Manuelles Übertragen von Dateien Überprüfen des Virenprobenübertragungsstatus... 37

16 16 Inhalt Anzeigen der Attribute für eine Probe Überprüfen der Aktionen, die an einer Probe vorgenommen wurden Überprüfen der Einreichfehler für eine Probe Konfigurieren von Ereignissen und von Warnungen Festlegen der Ereignisse, die Warnungen auslösen Konfigurieren der AMS-Warnungen und Reaktionen Anhang A Referenzteil zur Probenverarbeitung Allgemeines zur Virenprobenverarbeitung Virenprobenstatus Virenprobenstatuswerte Abschließende Statuswerte Temporäre Statuswerte Ausstehende Statuswerte Aktive Statuswerte Virenprobenfehler Index

17 Kapitel 1 Einführung in die Symantec-Zentralquarantäne In diesem Kapitel werden folgende Themen behandelt: Symantec-Zentralquarantäne Zentralquarantänekomponenten Wie funktioniert die Zentralquarantäne? Was Sie mit der Zentralquarantäne tun können Mehr Informationen über die Zentralquarantäne Symantec-Zentralquarantäne Wenn Symantec Endpoint Protection ein infiziertes Element findet, das nicht mit den aktuellen Virendefinitionen repariert werden kann, blockiert es den Zugriff auf das Element. Die Produkte verpacken dann das Objekt zusammen mit allen betroffenen Systemdateien und Einstellungen und verschieben das Paket in die lokale Quarantäne. Die lokale Quarantäne ist ein spezieller Ort, der für infizierte Dateien und damit in Zusammenhang stehende Systemnebenwirkungen reserviert ist. Nach der Isolation in einer lokalen Quarantäne können Viren und andere Bedrohungen einen Computer nicht mehr beschädigen und sich auch nicht weiter ausbreiten. Symantec Endpoint Protection kann die Pakete, die die infizierten Dateien und ihre Nebeneffekte enthalten, automatisch von einer lokalen Quarantäne an die Zentralquarantäne weiterleiten. Die Zentralquarantäne ist ein zentrales Repository. Der Zentralquarantänebereich umfasst zwei Komponenten: den Quarantäne-Server und das MMC-Snap-In (Microsoft Management Console).

18 18 Einführung in die Symantec-Zentralquarantäne Zentralquarantänekomponenten Zusätzlich zur Virenprüfung durchsuchen die Symantec Endpoint Protection-Clients Dateien nach Sicherheitsrisiken, u.a. nach Spyware, Adware, Hacker-Tools und Joke-Programmen. Sie können diese infizierten Dateien ebenfalls an die Zentralquarantäne weiterleiten. Bedrohungen, die erkannt und mit proaktivem Bedrohungsschutz isoliert werden, werden über einem anderen Mechanismus gesandt. Zentralquarantänekomponenten Tabelle 1-1 beschreibt die Symantec-Zentralquarantänekomponenten. Tabelle 1-1 Komponente Zentralquarantänekomponenten Beschreibung Symantec Security Response Gateway Quarantänekonsole Quarantäne-Server Automatisierte Analysezentrale, in der die Einsendungen analysiert, aktuelle Virendefinitionen erstellt und verteilt werden. Vermittlungsinstanz zwischen Symantec Security Response und dem Zentralquarantänebereich. Die Proben werden nur dann zu Symantec Security Response weitergeleitet, wenn sie mit den Definitionen im Gateway nicht repariert werden können. Wenn sich die Proben reparieren lassen, werden die Definitionen vom Gateway an den Zentralquarantänebereich zurückgesendet. Zentralquarantäne-Benutzeroberfläche zum Konfigurieren der Quarantäne-Server-Operationen, zur Kommunikation mit dem Gateway und zur Verwaltung der Definitionsaktualisierungen. Die Komponente, die von Servern und Clients infizierte Dateien und die zugehörigen Nebeneffekte annimmt und mit der Quarantänekonsole kommuniziert. Die im Quarantänebereich ankommenden Objekte werden mit den Virendefinitionen des Quarantäne-Servers überprüft und weitergeleitet, wenn sie nicht reparierbar sind. Der Quarantäne-Server sollte so konfiguriert sein, dass er spezielle Ports für die Kommunikation mit IP-Protokollen überwacht. Ein Client muss für die Weiterleitung zu dem Port konfiguriert werden, der dem Sendeprotokoll des Clients entspricht.

19 Einführung in die Symantec-Zentralquarantäne Wie funktioniert die Zentralquarantäne? 19 Komponente Quarantäneagent Quarantäne-Scanner Defcast Alert Management System (AMS) Beschreibung Die Komponente, die die Kommunikation zwischen dem Quarantäne-Server und dem Gateway verwaltet und den Defcast-Mechanismus auslöst. Der Quarantäneagent sorgt dafür, dass der Zentralquarantänebereich vom Gateway immer die neuesten Definitionen erhält. Die Komponente, die die eingesendeten Dateien mit den Definitionen des Quarantäne-Servers überprüft. Die im Zentralquarantänebereich ankommenden Proben müssen vor der Weiterleitung überprüft werden. Die Komponente, die Server und Clients nach ihrer Virendefinitionsfolgenummer abfragt. Mit einem entsprechend konfigurierten Quarantäne-Server können auch die Vorteile eines installierten AMS-Servers genutzt werden. Der Quarantäne-Server verfügt über eigene AMS-Ereignisse und -Aktionen sowie ein eigenes AMS-Protokoll. Wie funktioniert die Zentralquarantäne? Die Zentralquarantäne verwendet Digital Immune System, um den gesamten Virenschutzprozess, von der Virenermittlung auf dem Desktop bis zur Virenanalyse und zur Analyse der Nebenwirkungen, zu verwalten. Digital Immune System eliminiert viele der manuellen Aufgaben, die normalerweise bei den Übermittlungsprozessen und den Analyse-Prozessen anfallen. Die Automatisierung reduziert die Zeit zwischen der ersten Entdeckung eines Virus und der Reparatur mit "LiveUpdate". Das Digital Immune System führt folgende Funktionen aus: Identifizieren und Isolieren: Neue Bedrohungen werden mit leistungsstarken heuristischen und verhaltensanalytischen Methoden schnell erkannt. Verdächtige Objekte werden in der Zentralquarantäne isoliert und zur Analyse automatisch an Symantec Security Response übermittelt. Analysieren: Dateien werden zur Analyse, Reparatur und zum Testen an Symantec Security Response gesendet. Identifizieren und das Isolieren von Viren Die wichtigste Aufgabe von Digital Immune System ist das Aufspüren neuer oder unbekannter Bedrohungen für Desktop, Server und Gateway. Symantec verwendet

20 20 Einführung in die Symantec-Zentralquarantäne Wie funktioniert die Zentralquarantäne? Analysieren der Viren die heuristische Bloodhound-Technologie, die die meisten neuen oder unbekannten Viren erkennt. Sie können Clients so konfigurieren, dass verdächtige Dateien und ihre Nebenwirkungen automatisch an eine lokale Quarantäne gesandt werden. Eine lokale Quarantäne kann sich auf dem Desktop, dem Server oder dem Gateway befinden. In lokaler Quarantäne werden verdächtige Dateien zusammen mit Informationen über den übertragenden Computer gebündelt und zur Analyse an die Zentralquarantäne des Unternehmens weitergeleitet. Da in der Zentralquarantäne möglicherweise aktuellere Virendefinitionen als auf dem sendenden Computer vorliegen, werden die Dateien hier erneut überprüft. Wenn die Zentralquarantäne eine Datei nicht reparieren kann, entfernt sie, wenn sie entsprechend konfiguriert ist, möglicherweise kritische Daten aus der Datei, und verschlüsselt sie dann. Anschließend sendet das Digital Immune System die Datei zur weiteren Analyse über das Internet an ein Symantec-Gateway. Das Digital Immune System kann vom Administrator für folgende automatische Funktionen konfiguriert werden: Erkennen und Isolieren unbekannter Viren Filtern und Weiterleiten von verschlüsselten Proben an Symantec Security Response für Analysezwecke. Digital Immune System kann vertraulichen Inhalt entfernen. Prüfen, ob neue Virendefinitionen und Statusaktualisierungen vorliegen. Der Quarantäneagent verwaltet die Kommunikation zwischen der Zentralquarantäne und dem Symantec-Gateway. Wenn die infizierte Datei in der Zentralquarantäne nicht repariert werden kann, wird sie vom Quarantäneagenten an das Gateway weitergeleitet. Der Quarantäneagent fragt dann den Gateway ab, um zu sehen, ob die Reparatur abgeschlossen ist. Wenn die Reparatur abgeschlossen wurde, lädt der Quarantäneagent die neuen Virendefinitionen herunter und installiert diese im Zentralquarantänebereich. Wenn die Reparatur noch nicht abgeschlossen ist, ruft der Quarantäneagent den Gateway alle 60 Minuten für eine Reparatur ab. Nach Empfang einer neuen Sendung führt das Digital Immune System folgende Funktionen aus: Es fügt die Sendung in eine Suchdatenbank ein. Es filtert die Sendung und entfernt saubere (nicht infizierte) Dateien, fälschlicherweise erkannte Viren sowie bekannte Viren und erweiterte Bedrohungen. Der Filtervorgang nimmt nur sehr wenig Zeit in Anspruch. Da

21 Einführung in die Symantec-Zentralquarantäne Was Sie mit der Zentralquarantäne tun können 21 die meisten Probleme bereits durch das Filtern gelöst werden können, ist die Antwortzeit in der Regel sehr kurz. Es analysiert den Virus und die zugehörigen Nebeneffekte, generiert ein Reparaturverfahren und testet dieses. Meistens erfolgen die Analyse und die Erstellung eines Reparaturverfahrens automatisch. Bei einigen Viren ist jedoch die Hilfe von Spezialisten des Symantec Security Response-Teams erforderlich. Es erstellt neue Virendefinitionen mit Fingerabdrücken und sendet diese an das Gateway zurück. Was Sie mit der Zentralquarantäne tun können Frühere Versionen der Zentralquarantäne übermittelten neu eingegangene Virenund Bedrohungsdefinitionen an alle veralteten Clients, die isolierte Übertragungen an die Zentralquarantäne sandten. Diese Version der Zentralquarantäne sendet Übertragungen weiterhin an Symantec Security Response und empfängt Updates dafür. Jedoch übermittelt diese Version diese Definitionen nicht an die Clients, die Symantec Endpoint Protection ausführen. Dennoch stellt die Zentralquarantäne eine einzelne Quelle zur Verfügung, um alle isolierten Objekte gemeinsam auf Ihrem Netzwerk zu installieren. Alle isolierten Objekte erscheinen in einem Fenster und sie werden automatisch an Symantec Security Response übertragen. Dieses Fenster enthält auch Informationen über die übertragenen Bedrohungen, wie den betroffenen Benutzer und den Computer. Dieses Fenster zeigt auch den Status der Definitionen an, die erstellt werden, um die unbekannten Bedrohungen zu erkennen, die Sie übertragen. Digital Immune System speist die Informationen über die gesandten Bedrohungen in das Symantec Global Intelligence Network ein, was einen hervorragenden Einblick in die Internet-Sicherheitlandschaft gewährleistet. Symantec Global Intelligence Network besteht aus mehr als 150 Millionen Desktop-Virenschutzsensoren, Intrusion Detection- und Firewall-Sensoren und überwachte und Managed Security Services-Geräte weltweit. Diese Informationen werden mit der Symantec-Schwachstellendatenbank kombiniert, die mit Einträgen die größte der Welt ist. Diese Einträge umfassen Versionen von Anwendungen und Betriebssysteme von mehr als Händlern. Mehr Informationen über die Zentralquarantäne Sie können die primäre Dokumentation über die Zentralquarantäne im Ordner "Docs" auf den Installations-CDs finden. Komponentenordner enthalten die Dokumentation zu bestimmten Komponenten. Aktualisierungen zur

22 22 Einführung in die Symantec-Zentralquarantäne Mehr Informationen über die Zentralquarantäne Dokumentation sind auf den Symantec-Websites für den Technischen Support und den Platinum Support verfügbar. Tabelle 1-2 führt die zusätzlichen Informationen auf, die auf den Symantec-Websites verfügbar sind. Tabelle 1-2 Websites des Technischen Supports von Symantec Art der Informationen Öffentliche Support-Datenbank Web-Adresse Versionen und Updates Handbücher und Dokumentation Kontaktoptionen Informationen zu Viren und Bedrohungen und entsprechende Aktualisierungen Neuigkeiten und Updates zu Produkten Web-Zugriff für Platinum-Support

23 Kapitel 2 Zentralquarantänesoftware installieren und konfigurieren In diesem Kapitel werden folgende Themen behandelt: Vorbereitung der Installation Systemanforderungen für den Zentralquarantäne-Server Systemanforderungen für die Quarantänekonsole Installieren der Zentralquarantänesoftware Vorbereitung der Installation Bevor Sie die Zentralquarantänesoftware installieren, müssen Sie Folgendes beachten: Zum Installieren der Quarantänekonsole und des Quarantäne-Servers sind Administratorrechte erforderlich. Sorgen Sie dafür, dass Sie auf dem Zielrechner über die erforderlichen Berechtigungen verfügen. Deinstallieren Sie vor der Installation der Zentralquarantäne alle Vorgängerversionen des Produkts auf dem Computer. Die Zentralquarantänesoftware umfasst den Quarantäne-Server und die Quarantänekonsole. Sie können den Quarantäne-Server und die Quarantänekonsole auf demselben oder auf unterschiedlichen Windows 2000/XP/2003-Computern installieren.