Sophos Reporting Interface Benutzeranleitung. Produktversion: 5.1

Transkript

1 Sophos Reporting Interface Benutzeranleitung Produktversion: 5.1 Stand: Juni 2012

2 Inhalt 1 Einleitung Was ist das Sophos Reporting Interface? Konfigurieren von Crystal Reports mit dem Reporting Interface Installation des Sophos Reporting Log Writers Konfigurieren des Log Writers Abrufbare Informationen Datenquellen des Reporting Interface Datenquellen des Log Writers Deinstallation des Sophos Reporting Log Writers Technischer Support Rechtlicher Hinweis

3 Benutzeranleitung 1 Einleitung Die Anleitung bietet Details zu Sophos Tools, mit denen Sie mit Hilfe von Software zur Erstellung von Reports und Protokollen von anderen Anbietern Reports zu Threats und Ereignisdaten in Sophos Enterprise Console erstellen. Die Anleitung richtet sich an Systemund Datenbankadministratoren. Es wird davon ausgegangen, dass Sie im Umgang mit Sophos Enterprise Console (SEC) 5.1 oder höher vertraut sind und die Software im Einsatz haben. Begleitmaterial zu Sophos Software finden Sie hier: 3

4 Sophos Reporting Interface 2 Was ist das Sophos Reporting Interface? Mit dem Sophos Reporting Interface lassen sich detaillierte, benutzerdefinierte Reports zu mit Sophos Enterprise Console verwalteten Endpoints erstellen. Es wird zwischen zwei Oberflächen unterschieden: Mit dem Sophos Reporting Interface kann mittels Anwendungen anderer Anbieter, wie etwa Crystal Reports und SQL Reporting Services, auf von Enterprise Console auf dem SQL-Server gespeicherte Daten zugegriffen werden. Die erforderlichen Datenbankobjekte werden im Zuge der Datenbankinstallation von Enterprise Console 5.1 installiert. Mit dem Sophos Reporting Log Writer können Anwendungen anderer Anbieter zum Überwachen von Protokollen (z.b. Splunk) verwendet werden, die Daten nicht direkt aus einer Datenbank, sondern aus Nur-Text-Dateien abrufen. Die Installation des Sophos Reporting Log Writers ist freigestellt. Falls erforderlich, kann es auf einem Computer mit einer Einzelplatzversion von SEC oder auf einem Computer mit Zugriff auf die Datenbank von Enterprise Console installiert werden. Wichtig: Mit Hilfe des Sophos Reporting Interface und des Sophos Reporting Log Writer werden SEC-Daten Anwendungen anderer Anbieter zugänglich gemacht. Wenn Sie eines der Tools installieren, übernehmen Sie die Verantwortung über die Sicherheit der erfassten Daten und müssen sicherstellen, dass nur berechtigte Benutzer darauf zugreifen können. 4

5 Benutzeranleitung 3 Konfigurieren von Crystal Reports mit dem Reporting Interface Zum Zugriff auf das Reporting Interface empfiehlt sich Crystal Reports 2008 oder höher. Eine Installation des Sophos Reporting Log Writers ist zur Einrichtung von Crystal Reports nicht erforderlich. Hinweis: Unter Umständen enthalten die vom Reporting Interface abgerufenen Daten vertrauliche Informationen zu Ihren Benutzern und Computern. Es empfiehlt sich, den Zugriff auf diese Daten zu überwachen. Sofern Sie Remote-Datenbanken einsetzen, sollten Sie Verschlüsselung in SQL-Server aktivieren. Nähere Informationen zur Verschlüsselung für Microsoft SQL Server finden Sie unter In manchen Systemumgebungen wirken sich zusätzliche Anfragen an die SEC-Datenbank beim Zugriff auf das Reporting Interface negativ auf die Leistung anderer Datenbankenvorgänge, wie etwa Sophos Enterprise Console, aus. Bei der Übertragung großer Datenvolumen vom Reporting Interface können merkliche Leistungseinbußen von Enterprise Console auftreten. Der Crystal Reports-Assistent verbindet automatisch Spalten mit identischen Namen in den einzelnen Ansichten, die in den Report aufgenommen wurden. Manche Verbindungen müssen jedoch entfernt werden, da Spalten mit ähnlichen Namen nicht zwangsweise die gleichen Werte mit Bezug auf ein einzelnes Protokollierungsereignis aufweisen. So ist beispielsweise die Spalte InsertedAt, aus der hervorgeht, wann die jeweiligen Einträge hinzugefügt wurden, in allen Ansichten vorhanden. Die einem bestimmten Ereignis entsprechenden Einträge in allen Ansichten können jedoch unterschiedliche Zeitwerte im Bereich InsertedAt aufweisen. Wenn der Crystal Reports-Assistent die Spalten automatisch verbindet, müssen die Verbindungen entfernt werden, um die Vollständigkeit der Daten zu gewährleisten. Nähere Informationen zu den verbundenen Datenquellen entnehmen Sie bitte dem Abschnitt Welche Datenquellen sind verbunden? (Seite 12). So erstellen Sie eine Verbindung zwischen dem Reporting Interface und Crystal Reports her: 1. Öffnen Sie Crystal Reports und erstellen Sie eine neue Verbindung über OLE DB (ADO). Wählen Sie Microsoft OLE DB Provider for SQL Server. 2. Machen Sie die erforderlichen Angaben zur Verbindung und beenden Sie den Assistenten. Das Sophos Reporting Interface wird jetzt als Datenquelle aufgeführt. Nähere Informationen zur Report-Erstellung entnehmen Sie bitte der Dokumentation zu Crystal Reports. Eine Liste der verfügbaren Datenquellen des Reporting Interfac finden Sie unter Datenquellen des Reporting Interface (Seite 14). Nähere Informationen sowie Beispiele zum Zugriff auf die Daten des Sophos Reporting Interface entnehmen Sie bitte dem Support-Artikel

6 Sophos Reporting Interface 4 Installation des Sophos Reporting Log Writers Hinweis: Unter Umständen enthalten die vom Log Writer abgerufenen Daten vertrauliche Informationen zu den von Sophos Enterprise Console verwalteten Computern und Gruppen. Es empfiehlt sich, den Zugriff auf diese Daten zu überwachen. Es empfiehlt sich, den Zugriff auf den Installationsordner, die Datenformatierungsdateien sowie die Protokolldateien auf ein geeignetes Konto zu beschränken. Da die vom Sophos Reporting Interface an die Protokolldateien übertragenen Daten zudem nicht verschlüsselt sind, empfiehlt sich ferner, die Dateien auf das lokale System zu schreiben, anstatt sie über ein unverschlüsseltes Netzwerk (wie etwa SAMBA-/CIFS-Freigaben) zu übertragen. 4.1 Voraussetzungen Folgende Voraussetzungen sollten erfüllt sein:.net Framework 3.5 ist installiert. Sie verfügen über eine gültige, vollständige Sicherungskopie der Datenbank sowie der Installation von Enterprise Console. Sie verfügen über die erforderlichen Rechte zur Installation eines neuen Diensts auf dem Computer, auf dem der Log Writer installiert wird. 4.2 Empfehlungen Es empfiehlt sich, den Log Writer auf dem Computer mit dem Management-Server zu installieren. Das Tool kann jedoch auch auf einem beliebigen Server mit Zugriff auf die Datenbank von Enterprise Console installiert werden. Standardmäßig wird der Log Writer mit dem lokalen Systemkonto installiert, das mit Vollzugriff auf den lokalen Server ausgestattet ist. Es empfiehlt sich, den Dienst nach der Installation einem Konto mit niedrigeren Zugriffsrechten zuzuweisen. Wenn der Dienst auf einem Computer installiert wird, bei dem es sich nicht um den Management-Server handelt, muss er mit einem Benutzerkonto mit Remote-Zugriffsrechten auf die SEC-Datenbank ausgeführt werden. Das Konto sollte daher mit einer SQL-Anmeldung verbunden werden, der im Sophos Log Writer-Schema die Rechte SELECT und EXECUTE zugewiesen wurde. Hinweis: Stellen Sie sicher, dass Ort, Zeitzone und Uhrzeit des Computers mit dem Log Writer und des Computers mit der Datenbank korrekt auf der Basis ihres Standorts eingestellt sind. 4.3 Installation So installieren Sie den Log Writer: 1. Suche Sie die Installationsdatei des Log Writers (InstallLogWriter.msi). Ein ausführliches Installationsprotokoll können Sie auf Wunsch über folgenden Befehl erstellen: msiexec /l*v logfile.txt /i "SophosReportingLogWriter.msi" Die Protokolldatei wird in dem Verzeichnis erstellt, in dem der Befehl ausgeführt wurde. Wenn keine Protokolldatei erstellt werden soll, fahren Sie mit dem nächsten Schritt fort. 6

7 Benutzeranleitung 2. Doppelklicken Sie auf die Datei InstallLogWriter.msi. 3. Klicken Sie im Dialogfeld Sophos Reporting Log Writer Setup auf Weiter. Es wird ein Assistent gestartet, der Sie durch die Installation leitet. 4. Klicken Sie nach Abschluss der Installation auf Fertigstellen. Wenn die Option Show configuration file ausgewählt wurde, öffnet sich ein Fenster, in dem die Standard-Konfigurationsdatei SophosLogWriterConfig.xml markiert ist. Wenn Sie die Standard-Konfigurationsdatei des Log Writers verwenden möchten, fahren Sie mit dem nächsten Schritt fort und starten Sie den Log Writer-Dienst. Informationen zur Standardkonfiguration entnehmen Sie bitte dem Abschnitt Standardkonfiguration des Log Writers (Seite 7). Anweisungen zum Bearbeiten der Konfigurationsdatei des Log Writers finden Sie unter Konfigurieren des Log Writers. (Seite 8). 5. So starten Sie den Log Writer-Dienst: a) Öffnen Sie die Systemsteuerung und doppelklicken Sie auf Verwaltung. b) Doppelklicken Sie im Fenster Verwaltung auf Dienste. Alle verfügbaren Dienste werden aufgelistet. c) Wählen Sie Sophos Reporting Log Writer und klicken Sie zum Starten des Diensts auf Starten. Beim ersten Start liest der Log Writer die Konfigurationsdatei. Bei sämtlichen Konfigurationsänderungen ist ein Neustart erforderlich. 4.4 Standardkonfiguration des Log Writers Die Standard-Konfigurationsdatei umfasst zwei Datafeeds. Der erste Datenfeed schreibt Informationen in eine Protokolldatei DefaultCommonEvents.log. Gängige Ereignisdaten werden unter Berücksichtigung der Datenquelle EventsCommonData extrahiert. Der zweite Datenfeed schreibt Informationen in eine Protokolldatei DefaultThreats.log. Ereignisdaten zu Bedrohungen werden unter Berücksichtigung der Datenquelle ThreatEventData extrahiert. Die Standard-Protokolldatei befindet sich im Ordner Log Files mit den Standarddatenformatierungsdateien im Ordner Configuration Files des Installationsverzeichnisses des Log Writers. Wenn der Dienst zum ersten Mal mit der Standardkonfiguration gestartet wird, werden die Daten der vergangenen 7 Tage extrahiert. 7

8 Sophos Reporting Interface 5 Konfigurieren des Log Writers Der Ordner mit den Konfigurationsdateien befindet sich im Installationsverzeichnis des Log Writers. Der Ordner umfasst eine beispielhalfte Konfigurationsdatei für alle verfügbaren Datenquellen. Sie können die Datei an Ihre Wünsche anpassen. Standardmäßig befindet sich die Konfigurationsdatei in folgendem Verzeichnis: C:\Programme\Sophos\Reporting Interface\SophosLogWriterConfig.xml. Eine Liste der verfügbaren Datenquellen des Log Writers finden Sie unter Datenquellen des Log Writers (Seite 19). So bearbeiten Sie die Konfigurationsdatei des Log Writers: 1. Ändern Sie die Verbindungszeichenfolge (<connectionstring>), die festlegt, wie der Log Writer Kontakt zur Datenbank von Enterprise Console aufnimmt. In der Standardkonfigurationsdatei ist das Element <connectionstring> auskommentiert (d.h. es steht zwischen den Tags <!-- und -->). Wenn das Element auskommentiert oder nicht in der Konfigurationsdatei vorhanden ist, sucht der Dienst in der Registrierung nach einer Verbindungszeichenfolge für den SEC Management-Dienst und ermittelt so die passenden Einstellungen. Wenn der Log Writer jedoch nicht auf dem System mit dem Management-Dienst installiert wurde, muss eine Verbindungszeichenfolge angegeben werden. Bei Standardinstallationen müssen lediglich der Servername der Datenbank und die Instanz geändert werden. Anweisungen zum Bearbeiten der Verbindungsparameter für nicht standardmäßige Datenbank-Setups können Sie der Microsoft Website entnehmen: Hinweis: Wenn eine Verbindungszeichenfolge vorhanden ist, jedoch auf die falsche oder eine leere Verbindungszeichenfolge verweist (z.b. DataSource=""), lässt sich der Dienst nicht starten und es wird nicht nach dem Registrierungswert gesucht. Wenn eine Verbindung zur Datenbank angegeben wurde, muss das Element <noofdays> definiert werden, das vorgibt, wie viele Tage beim Abrufen der Vergangenheitsdaten erfasst werden sollen. Das Element <commandtimeout> legt fest, wie lange der SQL-Server warten muss, bis eine Zeitüberschreitung bei einer Befehlsausführung vorliegt. Dies ist optional. Wird es nicht definiert, wartet der Server unbestimmt lange. <?xml version= 1.0 encoding= utf-8?> <SophosDatafeed xmlns= > <connection> <connectionstring> Integrated Security = SSPI; Persist Security Info = False; Initial Catalog = Sophos[SECVersion]; Data Source = [SERVER]\[INSTANZ] 8

9 Benutzeranleitung </connectionstring> <commandtimeout>[zeitüberschreitung IN SEKUNDEN] </commandtimeout> </connection> <noofdays> [ALTER DER VERGANGENHEITSDATEN]</noOfDays> 2. Legen Sie benutzerdefinierte Datenfeeds zum Extrahieren von Datenbankinformationen fest. Es empfiehlt sich, jeweils nur einen Feed festzulegen, da sich dadurch die Problembehebung erleichtert und die Datenbanksauslastung reduziert wird. Datenfeeds werden wie folgt definiert: Hinweis: Jeder Datenfeed muss jeweils die Elemente <tick> und <logfile> umfassen. Hiermit wird festgelegt, wie oft nach neuen Daten in der Datenbank gesucht werden soll. Des Weiteren wird das Zielverzeichnis zum Speichern der Daten angegeben. Das Element <applylogformat> kann die Werte True oder False aufweisen. Es gibt vor, ob am Zeilenanfang jeder Zeile jeweils Datum und Uhrzeit des Protokolleintrags stehen sollen. Dies bietet sich bei Tools von anderen Anbietern, wie etwa Splunk an, das automatisch das erste Datum in jeder Zeile der Protokolldatei aufgreift. Wenn es nicht in der Protokolldatei festgelegt wird, erscheint das Datum nicht am Zeilenanfang der Protokolldatei. Über das Element <filesize> wird die Größe der aktuellen Protokolldatei beschränkt. Mit dem Element <noofbackupfiles> wird die Anzahl der Sicherungskopien von Protokolldateien festgelegt, die vor dem Löschen älterer Dateien erstellt werden können. Beispiel: Wenn für das Element <ilesize> der Wert 500 KB und für das Element <noofbackupfiles> 2 angegeben wurde, wird die Protokolldatei bei Erreichen von 500 KB, umbenannt (.1 wird an die Datei angehängt), und es wird eine neue Protokolldatei ohne Suffix für neue Protokolle erstellt. Wenn die neue Protokolldatei wiederum 500 KB erreicht hat, wird die Datei mit dem Suffix.1 umbenannt und erhält das Suffix.2, und die Datei, die jetzt 500 KB groß ist, erhält das Suffix.1. Es wird erneut eine neue Protokolldatei ohne Suffix erstellt. Beim nächsten Mal wird die Datei mit dem Suffix.2 gelöscht, und die Datei mit dem Suffix.1 wird umbenannt und erhält das Suffix.2. Alle Datafeeds umfassen ein oder mehrere Elemente <Call>, die durch einmalige callid -Attribute gekennzeichnet werden. Der Log Writer verzeichnet sämtliche Calls und speichert diese in einer Datei [CallID].last mit Zeitstempel. Die callid muss einzigartig sein. <datafeeds> <datafeed> <tick> [ABRUFZEIT IN SEKUNDEN] </tick> <applylogformat> TRUE </applylogformat> <logfile> <noofbackupfiles> [ANZAHL DER SICHERUNGSDATEIEN] </noofbackupfiles> <filesize> [MAX. DATEIGRÖSSE KB/MB/GB] </filesize> <outputlocataion> [SPEICHERORT DER PROTOKOLLDATEI] </outputlocation> 9

10 Sophos Reporting Interface <outputfilename> [NAME DER PROTOKOLLDATEI] </outputfilename> </logfile> <call callid = [EINMALIGER CALL-NAME] > <datasource> [ZU VERWENDENDE DATENQUELLE] </datasource> <dataconfigurationlocation>[call DATA CONFIGFILE LOCATION]</dataConfigurationLocation> <dataconfigurationfile>[name DER CALL-DATA-KONFIGURATIONSDATEI]</dataConfigurationFile> </call>... </datafeed>... </datafeeds> </SophosDatafeed> 3. Wenn Sie die Datenquellen bearbeiten möchten, können Sie das Element <Call> ändern. Das Element legt die Datenquelle zum Extrahieren von Daten fest und weist dieser eine Datenformatierungsdatei zu, die die Spalten der verfügbaren, zu speichernden Daten vorgibt. Die Datenformatierungsdatei kann als geordnete Liste erforderlicher Felder gestaltet werden: Hinweis: Das Attribut field name kann einen beliebigen Namen haben. Das Attribut link benötigt ein gültiges Reporting Interface-Feld für die Datenquelle. Beim Attribut enabled legt der Wert 0 fest, dass Daten nicht extrahiert und der Wert 1, dass Daten extrahiert werden. <?xml version= 1.0 encoding= utf-8?> <LogFile> <Events> <field name= [FELDNAME] link= [FELDNAME] enabled= 1 />... </Events> </LogFile> 4. Starten Sie den Sophos Reporting Log Writer-Dienst. Hinweis: Der Log Writer-Dienst muss bei Konfigurationsänderungen immer neu gestartet werden. Vor dem Starten des Log Writer-Diensts bei einer neuen Konfiguration empfiehlt sich, den Sophos Management-Dienst anzuhalten, bis der Log Writer neue Datenfeeds initialisiert und Vergangenheitsdaten aus der Datenbank heruntergeladen hat. 10

11 Benutzeranleitung 6 Abrufbare Informationen Sophos Enterprise Console protokolliert Folgendes: Computer Pakete Gruppen Ereignisse Threats 6.1 Computer Bei Computern handelt es sich um die einzelnen, von Enterprise Console überwachten Endpoints, die durch eine eindeutige ComputerID identifiziert werden. Mit Hilfe der beiden folgenden Datenbankansichten können Sie auf Protokollinformationen zu den Computern zugreifen: vcomputerhostdata liefert Informationen zu allen von SEC überwachten Computern. vpolicycompliancedata listet die den Computern zugewiesenen Richtlinien auf. 6.2 Gruppen Bei Gruppen handelt es sich um in Enterprise Console erstellte logische Computergruppierungen, die anhand einer eindeutigen Kennung, der GroupID, identifiziert werden. Mit Hilfe der beiden folgenden Datenbankansichten können Sie auf Protokollinformationen zu den Gruppen zugreifen: vgrouppathandnamedata Auflistung von Gruppenpfaden. vcomputergroupmapping Übersicht über die Gruppenzugehörigkeit von Computern. 6.3 Pakete Bei Paketen handelt es sich um bestimmte Versionen von Sophos Anti-Virus, die anhand ihrer PackageID identifiziert werden. Mit Hilfe der beiden folgenden Datenbankansichten können Sie auf Protokollinformationen zu den Paketen zugreifen: Mit vpackagedata werden sämtliche gerade im Netzwerk aktive Versionen von Sophos Anti-Virus aufgeführt. Mit vcomputerpackagemapping werden die jeweils auf den einzelnen Computern installierten Pakete aufgeführt. 6.4 Ereignisse Bei Ereignissen handelt es sich um Meldungen zu Ereignissen auf Endpoints, die sich anhand ihrer EventID sowie ihrer EventTypeID identifizieren lassen. 11

12 Sophos Reporting Interface Ereignisse werden je nach Typ in unterschiedliche Kategorien eingeteilt. veventscommondata bietet Basisinformationen zu sämtlichen Ereignissen und umfasst den Wert EventTypeName, der vorgibt, welche der folgenden Ansichten zusätzliche kategoriespezifische Informationen zu dem Ereignis beinhaltet. Application Control verwendet veventsapplicationcontroldata Data Control verwendet veventsdatacontroldata Device Control verwendet veventsdevicecontroldata Firewall verwendet veventsfirewalldata Manipulationsschutz verwendet veventstamperprotectiondata Web verwendet veventswebdata Threat Actions verwendet vthreateventdata 6.5 Threats Bei Threats handelt es sich um auf Endpoints erkannte Malware. Sie werden anhand ihrer ThreatID identifiziert.mit Hilfe der beiden folgenden Datenbankansichten können Sie auf Protokollinformationen zu Threats zugreifen: Mit vthreatinstance werden die auf alen Computern erkannten Threats aufgelistet. Mit vthreateventdata lassen sich sã mtliche als Reaktion auf im Netzwerk erkannte Threats ergriffene Maßnahmen auflisten. 6.6 Welche Datenquellen sind verbunden? Bei der Zusammenführung von Daten aus mehreren Ansichten, müssen Zeilen aus allen Ansichten, die sich auf die gleiche Einheit beziehen, verbunden werden. Hierzu müssen die Zeilen, die sich auf die gleichen ID-Nummern beziehen, verbunden werden. Aus dem folgenden Diagramm geht hervor, welche Felder für das Verbinden der verfügbaren Ansichten zuständig sind. 12

13 Benutzeranleitung 13

14 Sophos Reporting Interface 7 Datenquellen des Reporting Interface Die folgenden Datenquellen stehen für das Reporting Interface zur Verfügung. Hinweis: Der Buchstabe neben der Datenquelle in der nachstehenden Tabelle gibt Aufschluss über die Verfügbarkeit für das Datenfeld. A. vcomputerhostdata B. vthreatinstances C. veventscommondata D. veventsapplicationcontroldata E. veventsdatacontroldata (neue Datenfelder hinzugefügt) F. veventsdevicecontroldata G. veventsfirewalldata H. veventstamperprotectiondata I. veventswebdata (neue Datenfelder hinzugefügt) J. vthreateventdata K. vcomputergroupmapping L. vgrouppathandnamedata M. vcomputerpackagemapping N. vpackagedata O. vpolicycompliancedata Die verfügbaren Datenfelder aller Datenquellen werden in der Tabelle unten aufgeführt. Zeitund Datumsangaben liegen im UTC-Format vor: JJJJ-MM-TT hh:mm:ss (24 Stunden). Neue Datenfelder, die in SEC 5.0 oder höher verfügbar sind, sind fett gedruckt. Datenfeld Datentyp Datenquelle A B C D E F G H I J K L M N O EventID ThreatID ComputerID Name EventTime datetime EventTypeID EventTypeName 14

15 Datenquelle Datentyp Datenfeld O N M L K J I H G F E D C B A ReportingName UserName ActionID ActionName ScanTypeID ScanTypeName SubTypeID SubTypeName datetime InsertedAt Domain IPAddress Description datetime LastMessageReceived Time ThreatTypeID ThreatTypeName ThreatSubTypeID ThreatSubTypeName Priority ThreatName FullFilePath FileVersion CheckSum datetime FirstDetectedAt RuleName TrueFileType DestinationPath DestinationTypeID DestinationTypeName 15 Benutzeranleitung

16 Datenquelle Datentyp Datenfeld O N M L K J I H G F E D C B A SourcePath FileName DestinationValue long FileSize (SEC 5.0 oder höher) DeviceTypeID DeviceTypeName Model DeviceID Rolle FileName FilePath FileVersion FileChecksum CommandLine Session Desktop Location ProtocolID ProtocolText DirectionID DirectionText LocalAddress RemoteAddress LocalPort RemotePort TargetTypeID TargetTypeText Target 16 Sophos Reporting Interface

17 Benutzeranleitung Datenfeld Datentyp Datenquelle A B C D E F G H I J K L M N O RuleID BlockedSite ReferringURL ReasonID (SEC 5.0 oder höher) ReasonName (SEC 5.0 oder höher) CategoryID (SEC 5.0 oder höher) CategoryName (SEC 5.0 oder höher) ActionTakenID ActionTakenName ScannerTypeID ScannerTypeName StatusID StatusName GroupID PathAndName Depth PackageID Product SAVVersion EngineVersion VirusDataVersion ExpiryTime datetime NotificationTime datetime Expired bit PolicyTypeID PolicyTypeName 17

18 Sophos Reporting Interface Datenfeld Datentyp Datenquelle A B C D E F G H I J K L M N O ComplianceID ComplianceName 18

19 Benutzeranleitung 8 Datenquellen des Log Writers Die folgenden Datenquellen stehen für den Log Writer zur Verfügung. Hinweis: Der Buchstabe neben der Datenquelle in der nachstehenden Tabelle gibt Aufschluss über die Verfügbarkeit für das Datenfeld. A. EventsApplicationControlData B. EventsCommonData C. EventsDataControlData D. EventsDeviceControlData (neue Datenfelder hinzugefügt) E. EventsFirewallData F. EventsTamperProtectionData G. EventsWebData (neue Datenfelder hinzugefügt) H. ThreatEventData I. ThreatInstances Die verfügbaren Datenfelder aller Datenquellen werden in der Tabelle unten aufgeführt. Zeitund Datumsangaben liegen im UTC-Format vor: JJJJ-MM-TT hh:mm:ss (24 Stunden). Neue Datenfelder, die in SEC 5.0 oder höher verfügbar sind, sind fett gedruckt. Datenfeld Datentyp Datenquelle A B C D E F G H I EventID EventTime datetime EventTypeID EventTypeName SubTypeID SubTypeName InsertedAt datetime UserName ComputerName ComputerDomain ComputerIPAddress Name ReportingName 19

20 Datenquelle Datentyp Datenfeld I H G F E D C B A ActionID ActionName ScanTypeID ScanTypeName RuleName TrueFileType DestinationPath DestinationTypeID DestinationTypeName SourcePath FileName DestinationValue long FileSize (SEC 5.0 oder höher) DeviceTypeID DeviceTypeName Model DeviceID Rolle FilePath FileVersion FileChecksum CommandLine Session Desktop Location ProtocolID ProtocolText DirectionID 20 Sophos Reporting Interface

21 Benutzeranleitung Datenfeld Datentyp Datenquelle A B C D E F G H I DirectionText LocalAddress RemoteAddress LocalPort RemotePort Target TargetTypeID TargetTypeText RuleID BlockedSite ReferringURL ReasonID (SEC 5.0 oder höher) ReasonName (SEC 5.0 oder höher) CategoryID (SEC 5.0 oder höher) CategoryName (SEC 5.0 oder höher) ActionTakenID ActionTakenName ScannerTypeID ScannerTypeName StatusID StatusName ThreatID ThreatName ThreatTypeID ThreatTypeName ThreatSubTypeID 21

22 Sophos Reporting Interface Datenfeld Datentyp Datenquelle A B C D E F G H I ThreatSubTypeName FullFilePath CheckSum FirstDetectedAt datetime Priority 22

23 Benutzeranleitung 9 Deinstallation des Sophos Reporting Log Writers Hinweis: Im Zuge der Deinstallation des Log Writers wird die Konfigurationsdatei gelöscht. Wenn Sie den Log Writer erneut installieren möchten, empfiehlt sich, eine Sicherungskopie der Konfigurationsdatei anzulegen. So deinstallieren Sie den Log Writer: 1. Öffnen Sie in der Systemsteuerung das Dienstprogramm Software. 2. Wählen Sie im Dialogfeld Software die Option Sophos Reporting Log Writer und klicken Sie auf Entfernen. 3. Klicken Sie im Meldungsfenster Deinstallation bestätigen auf Ja. Es wird ein Fortschrittsbalken angezeigt. Warten Sie, bis die Installation abgeschlossen wurde. 23

24 Sophos Reporting Interface 10 Technischer Support Technischen Support zu Sophos Produkten können Sie wie folgt abrufen: Rufen Sie das SophosTalk-Forum unter auf und suchen Sie nach Benutzern mit dem gleichen Problem. Durchsuchen Sie die Support-Knowledgebase unter Begleitmaterial zu den Produkten finden Sie hier: Senden Sie eine an den technischen Support und geben Sie die Versionsnummer(n), Betriebssystem(e) und Patch Level Ihrer Sophos Software sowie ggf. den genauen Wortlaut von Fehlermeldungen an. 24

25 Benutzeranleitung 11 Rechtlicher Hinweis Copyright 2012 Sophos Limited. Alle Rechte vorbehalten. Diese Publikation darf weder elektronisch oder mechanisch reproduziert, elektronisch gespeichert oder übertragen, noch fotokopiert oder aufgenommen werden, es sei denn, Sie verfügen entweder über eine gültige Lizenz, gemäß der die Dokumentation in Übereinstimmung mit dem Lizenzvertrag reproduziert werden darf, oder Sie verfügen über eine schriftliche Genehmigung des Urheberrechtsinhabers. Sophos, Sophos Anti-Virus und SafeGuard sind eingetragene Warenzeichen der Sophos Limited, Sophos Group und Utimaco Safeware AG. Alle anderen erwähnten Produkt- und Unternehmensnamen sind Marken oder eingetragene Marken der jeweiligen Inhaber. 25