Symantec Network Access Control Erste Schritte

Transkript

1 Symantec Network Access Control Erste Schritte

2 Symantec Network Access Control Erste Schritte Die im vorliegenden Handbuch beschriebene Software wird im Rahmen einer Lizenzvereinbarung zur Verfügung gestellt und darf nur im Einklang mit den Bestimmungen dieser Vereinbarung verwendet werden. Dokumentationsversion Rechtlicher Hinweis Copyright 2007 Symantec Corporation. Alle Rechte vorbehalten. Symantec, das Symantec-Logo, LiveUpdate, Sygate, Symantec AntiVirus, Bloodhound, Confidence Online, Digital Immune System und Norton sind Marken oder eingetragene Marken der Symantec Corporation oder ihrer verbundenen Unternehmen in den USA und anderen Ländern. Andere Bezeichnungen können Marken anderer Rechteinhaber sein. Das in diesem Dokument beschriebene Produkt wird lizenziert vertrieben. Die Lizenzen beschränken die Verwendung, Vervielfältigung, Verteilung und Dekompilierung bzw. Rückentwicklung des Produkts. Kein Teil dieses Dokuments darf ohne vorherige schriftliche Zustimmung von Symantec Corporation und ihrer Lizenzgeber, sofern vorhanden, in irgendeiner Form reproduziert werden. DIE DOKUMENTATION WIRD OHNE MÄNGELGEWÄHR BEREITGESTELLT. ALLE AUSDRÜCKLICHEN UND STILLSCHWEIGENDEN VORAUSSETZUNGEN, DARSTELLUNGEN UND GEWÄHRLEISTUNGEN, EINSCHLIESSLICH DER STILLSCHWEIGENDEN GEWÄHRLEISTUNG DER MARKTGÄNGIGKEIT, EIGNUNG FÜR EINEN BESTIMMTEN ZWECK ODER NICHT-BEEINTRÄCHTIGUNG, SIND AUSGESCHLOSSEN, AUSSER IN DEM UMFANG, IN DEM SOLCHE HAFTUNGSAUSSCHLÜSSE ALS NICHT RECHTSGÜLTIG ANGESEHEN WERDEN. SYMANTEC CORPORATION IST NICHT FÜR BEILÄUFIG ENTSTANDENE SCHÄDEN ODER FÜR FOLGESCHÄDEN VERANTWORTLICH, DIE IN VERBINDUNG MIT DER ERWORBENEN LEISTUNG ODER DER VERWENDUNG DIESER DOKUMENTATION STEHEN. DIE IN DIESER DOKUMENTATION ENTHALTENEN INFORMATIONEN KÖNNEN JEDERZEIT OHNE ANKÜNDIGUNG GEÄNDERT WERDEN. Die lizenzierte Software und die Dokumentation gelten als kommerzielle Computer-Software gemäß FAR und unterliegen eingeschränkten Rechten, definiert in FAR Abschnitt "Commercial Computer Software - Restricted Rights" bzw. DFARS , "Rights in Commercial Computer Software or Commercial Computer Software Documentation" und deren Nachfolgevorschriften. Jegliche Nutzung, Änderung, Reproduktion, Vorführung, Vorstellung oder Offenbarung der lizenzierten Software und Dokumentation durch die US-amerikanische Regierung darf ausschließlich in Übereinstimmung mit den Bedingungen dieser Vereinbarung erfolgen.

3 Symantec Corporation Stevens Creek Blvd. Cupertino, CA USA

4

5 Erste Schritte In diesem Dokument werden folgende Themen behandelt: Informationen zu Symantec Network Access Control Komponenten von Symantec Network Access Control Neue Funktionen dieser Version Planen der Installation Übersicht über die Installation Informationen zu den Systeminstallationsanforderungen Weitere Informationsquellen Informationen zu Symantec Network Access Control Symantec Network Access Control ist das neue Produkt, das Symantec Network Access Control Version 5.x und Sygate Secure Enterprise 4.1 ersetzt. Symantec Network Access Control besteht aus der Host-Integrität und der Anwendung Symantec Enforcer. Der primäre Zweck von Symantec Network Access Control ist sicherzustellen, dass die Clients, die die Software ausführen, mit den Sicherheitsrichtlinien Ihrer Organisation kompatibel sind. Sicherheitsrichtlinieneinhaltung wird mithilfe der Host-Integritätsrichtlinien aktiviert, die Sie erstellen. Zusammen halten Host-Integritätsrichtlinien und Hardware-Durchsetzung nicht der Richtlinie entsprechende Computer von Ihrem Netzwerk fern. Diese Software kann auch Clients an Fehlerbehebungs-Server weiterleiten, wo Software, Patches, Virus-Updates usw. heruntergeladen werden können.

6 6 Erste Schritte Komponenten von Symantec Network Access Control Symantec Network Access Control ist ein Begleitprodukt zu Symantec Endpoint Protection und nutzt die gleiche Management-Konsole. Symantec Endpoint Protection stellt Symantec AntiVirus-Schutz mit erweitertem Bedrohungsschutz zur Verfügung, der Ihre Endpunkte (Laptops, Desktops und Server) vor bekannten und noch unbekannten Bedrohungen schützt. Komponenten von Symantec Network Access Control Symantec Network Access Control enthält die folgenden Kernkomponenten: Der Symantec Network Access Control-Client wird auf den Endpunkten installiert, auf denen Sie Netzwerkzugriffs-Richtlinien verstärken möchten. Der Symantec Network Access Control-Client besitzt die Fähigkeit der Host-Integritätsprüfung und der Selbstdurchsetzung. Der Client wurde auch entwickelt, um Status seiner Host-Integritäts-Richtlinieneinhaltung an einen Symantec Enforcer zu berichten. Symantec Endpoint Protection Manager wird auf einem Computer installiert, den Sie als Host für die Management-Server-Software möchten. Symantec Endpoint Protection Manager kommuniziert mit den Symantec Network Access Control-Clients und wird durch die Symantec Endpoint Protection Manager-Konsole konfiguriert. Mit der Symantec Endpoint Protection Manager-Konsole können Sie zentral die Symantec Network Access Control-Clients verwalten. Aus der Konsole können Sie Clients installieren, Sicherheitsrichtlinien einstellen und verstärken und die Clients überwachen und über die Clients berichten. Die Konsole kann vom Computer, der Symantec Endpoint Protection Manager ausführt, oder über Fernzugriff durch eine webbasierte Schnittstelle ausgeführt werden. Organisationen, die Symantec Network Access Control installieren, können auch das Hardwaregerät, Symantec Enforcer, installieren. Der Enforcer arbeitet mit Symantec Network Access Control-Clients, um ihren Zugriff auf Ihrem Netzwerk zu regeln. Neue Funktionen dieser Version Symantec Network Access Control kombiniert Technologien von vorherigen Symantec-Produkten in einer neuen Oberfläche. Die neu entworfene Management-Konsole hat folgende Funktionen: Verwalten und Implementieren von Host-Integritätsrichtlinien, die auf Symantec Network Access Control-Clients angewendet wurden.

7 Erste Schritte Planen der Installation 7 Verwalten und Implementieren von Durchsetzungsrichtlinien auf Enforcers im Netzwerk. Überwachen und Berichten über Sicherheitsbedrohungen und Systemreaktion von einem zentralen Punkt. Zulassen des Zugriffs auf verschiedene Ebenen des Verwaltungssystems durch verschiedene Administratoren, basierend auf ihren Rollen und Verantwortlichkeiten. Administratoren für veraltete Versionen von Symantec Network Access Control und Sygate Network Access Control finden wichtige Änderungen in der Installationsanleitung für Symantec Endpoint Protection und Symantec Network Access Control. Planen der Installation Sie müssen die Migrationsinformationen in der Installationsanleitung für Symantec Endpoint Protection und Symantec Network Access Control lesen, wenn Sie eines der folgenden Produkte auf Ihrem Netzwerk installiert haben: Symantec AntiVirus Symantec Client Security Symantec Sygate Enterprise Protection Die Installationsanleitung für Symantec Endpoint Protection und Symantec Network Access Control kann im Dokumentationsordner auf Ihrer Produkt-CD gefunden werden. Wenn diese Installation eine neue Installation ist, sollten Sie vor der Installation die ersten drei Kapitel in der Installationsanleitung für Symantec Endpoint Protection und Symantec Network Access Control lesen. Je größer und komplexer Ihr Netzwerk ist, umso wichtiger ist das Lesen der Dokumentation. Um die Planung zu vereinfachen, sollten Sie die folgenden Hardware- und Softwarebausteine identifizieren: Die Arten der Hardware, die Betriebssysteme und die Anwendungen auf dem Computer, auf dem Sie beabsichtigen den Symantec Network Access Control-Client auszuführen. Alle benutzerdefinierten oder andere nicht kommerziell verfügbare Anwendungen, die in Ihrem Produktionsnetzwerk verwendet werden. Sie sollten alle Hauptmerkmale dieser Anwendungen in Ihrer Testumgebung prüfen.

8 8 Erste Schritte Übersicht über die Installation Jede vorhandene Endpunkt-Sicherheitssoftware, die auf Ihrem Netzwerk aktiv ist, wie Desktop-Firewalls oder Virenschutzsoftware. Sie sollten eine Testumgebung erstellen. Die Testumgebung sollte von Ihrem Produktionsnetzwerk isoliert werden. Beachten Sie, dass die Testumgebung Computer enthält, die die Computer in Ihrem Produktionsnetzwerk repräsentieren. Unternehmen, die keine Testumgebung erstellen können, sollten zuerst den Symantec Network Access Control-Client auf wenigen Computern im Produktionsnetzwerk installieren. Die ausgewählten Computer sollten Hardware, Betriebssysteme und Anwendungen installiert haben, die angemessen Ihr Produktionsnetzwerk darstellen. Diese Computer sollten im Unternehmen nicht unternehmenswichtig sein. Verwenden Sie das Client-Handbuch für Symantec Endpoint Protection und Symantec Network Access Control, um mit der Arbeitsweise der Software vertraut zu werden, die auf den Test-Computern läuft, die den Symantec Network Access Control-Client ausführen. Übersicht über die Installation Das Installationsanleitung für Symantec Endpoint Protection und Symantec Network Access Control enthält ausführliche Information über jeden Schritt im Installationsprozess. Übersicht über die Installation beschreibt die Schritte zum Installieren von Symantec Network Access Control. Tabelle 1-1 Installationsschritte Schritt 1 Vorgang Installieren von Symantec Network Access Control Beschreibung Wählen Sie den Computer, auf dem die Software installiert werden soll und den gewünschten Typen der Datenbank. Führen Sie dann das Installationsprogramm von der CD aus. Das Programm installiert zuerst die Manager-Software. Dann wird die Datenbank installiert und konfiguriert.

9 Erste Schritte Übersicht über die Installation 9 Schritt Vorgang Erstellen eines Client-Installationspakets Verteilen der Client-Software Anmelden an der Symantec Endpoint Protection Manager-Konsole. Suchen Ihrer Gruppe in der Konsole Beschreibung Am Ende der Datenbankkonfiguration werden Sie gefragt, ob Sie den Migrations- und Verteilungsassistent ausführen möchten. Dieser Assistent erstellt und verschiebt dann ein Client-Software-Installationspaket. Für Ihre Testumgebung können Sie Standard-Client-Software-Pakete erstellen und installieren. Diese Clients werden der temporären Gruppe zugewiesen und nutzen die Standardrichtlinien. Wenn es viele Computer in Ihrer Produktionsumgebung gibt, sollten Sie möglicherweise zuerst benutzerdefinierte Host-Integritätsrichtlinien erstellen. Sie können dann benutzerdefinierte Client-Installationspakete erstellen, bevor Sie sie auf den Clients verteilen. Bestimmen Sie, wie die Client-Software verteilt werden soll. Sie können die Client-Software auf verschiedene Weisen verteilen. Sie können den Migrations- und Verteilungsassistent verwenden, nachdem Sie den Manager installiert haben. Sie können auch jederzeit den Migrations- und Verteilungsassistenten über das Startmenü aufrufen. Hinweis: Wenn diese Installation eine Upgrade-Verteilung von Symantec Endpoint Protection ist, gibt es keine Notwendigkeit, den Client erneut zu verteilen. Die Installation von Symantec Network Access Control aktiviert die Symantec Network Access Control-Funktionen auf dem Client ohne weitere Verteilung. Zum Anmelden können Sie das Startmenü und den admin-benutzernamen mit dem während der Installation festgelegten Kennwort verwenden. Auf der "Admin"-Seite können Sie auf "Server" klicken, um die Gruppe zu sehen, die Sie während der Installation erstellt haben. 6 Konfigurieren von LiveUpdate für Sites-Updates Sie müssen LiveUpdate-Eigenschaften für Sites konfigurieren, die Sie installiert haben.

10 10 Erste Schritte Informationen zu den Systeminstallationsanforderungen Schritt 7 Vorgang Konfigurieren von Host-Integritätsrichtlinien und Testen von Symantec Endpoint Protection Beschreibung Sie sollten eine Host-Integritätsrichtlinie für Ihre Clients konfigurieren und testen. Informationen zu den Systeminstallationsanforderungen Die Installation der Symantec-Software erfordert spezielle Protokolle, Betriebssysteme, Service Packs, Software und Hardware. Alle Computer, auf denen Sie Symantec-Software installieren, sollten mindestens die empfohlenen Systemanforderungen für das jeweilige Betriebssystem erfüllen. Dieses Dokument enthält nur minimale Informationen über Systemanforderungen. Diese Informationen können für die Installation auf einem kleinen oder Testnetzwerk ausreichen. Sie sollten die vollen Systemanforderungen lesen, bevor Sie das Produkt auf einem komplexeren Netzwerk installieren. Weitere Informationen finden Sie in der Installationsanleitung für Symantec Endpoint Protection und Symantec Network Access Control. Diese Installationsanweisungen gelten nur bei einer neuen Installation. Sie müssen eine Migration durchführen, wenn Sie auf Ihrem Netzwerk eine Version, die Migration unterstützt, der folgenden Produkte installiert haben: Symantec AntiVirus Corporate Edition Symantec Client Security Symantec Sygate Enterprise Protection Sygate Secure Enterprise Vorbereitung der Installation Informationen zur Migration finden Sie in der Installationsanleitung für Symantec Endpoint Protection und Symantec Network Access Control. Wenn dies die erstmalige Installation ist, sollten Sie die Software für Symantec Endpoint Protection oder Symantec Network Access Control zunächst in einer Testumgebung installieren, konfigurieren und testen.

11 Erste Schritte 11 Hinweis: Kleinbetriebe, die keine Testumgebungsressourcen zur Verfügung haben, sollten die Client-Software auf einigen Produktions-Clients installieren und testen. Abbildung 1-1 zeigt eine mögliche Konfiguration einer Testumgebung. Abbildung 1-1 Beispiel für eine Testumgebung Symantec Security Response Internet Router Firewall Schalter/Hub Client A Client B Client C Symantec Endpoint Security Manager mit eingebetteter Datenbank Diese Testumgebung enthält drei Clients und einen Server. Der Server führt drei Verwaltungskomponenten aus, und zwar den Symantec Endpoint Protection Manager, die Symantec Endpoint Protection Manager-Konsole und die integrierte Sybase-Datenbank. Diese Installations- und Konfigurationsverfahren wurden für diese Beispieltestumgebung entwickelt. Die Computer, auf denen Sie den Symantec Endpoint Protection Manager installieren, müssen die folgenden Software-Mindestanforderungen erfüllen: Windows 2000 Server mit Service Pack 3, Windows XP oder Windows-Server 2003

12 12 Erste Schritte Internet Information Services-(IIS), Version 5.0 oder höher Internet Explorer 6.0 Die Computer, auf denen Sie Client-Software installieren, müssen die folgenden Software-Mindestanforderungen erfüllen: Windows 2000 Professional mit Service Pack 3, Windows XP oder Windows-Server 2003 Internet Explorer 6.0 oder höher Installieren und Konfigurieren von Symantec Endpoint Protection Manager Die erstmalige Installation der Verwaltungssoftware ist in zwei Abschnitte unterteilt. Im ersten Abschnitt wird Symantec Endpoint Protection Manager installiert.. und im zweiten die Symantec Endpoint Protection Manager-Datenbank installiert und konfiguriert. Im ersten Abschnitt können Sie alle Standards akzeptieren. Im zweiten müssen Sie mindestens einen benutzerdefinierten Wert hinzufügen, und zwar ein Kennwort. Hinweis: Verwaltungssoftware enthält weder Symantec Endpoint Protection noch irgendeine andere verwaltete Client-Software. So installieren Sie Symantec Endpoint Protection Manager 1 Legen Sie die Installations-CD ein und starten Sie die Installation. 2 Führen Sie im Begrüßungsfenster einen der folgenden Schritte aus: Wenn Sie Symantec Endpoint Protection installieren, klicken Sie auf "Symantec Endpoint Protection installieren". Wenn Sie "Symantec Network Access Control" installieren, klicken Sie auf "Symantec Network Access Control installieren". 3 Klicken Sie im nächsten Installationsfenster auf "Symantec Endpoint Protection Manager installieren". 4 Klicken Sie im Begrüßungsfenster auf Weiter. 5 Klicken Sie im Fenster "Lizenzvereinbarung" auf "Ich akzeptiere die Bedingungen der Lizenzvereinbarung" und klicken Sie anschließend auf "Weiter". 6 Akzeptieren oder ändern Sie im Fenster "Zielordner" das Installationsverzeichnis. 7 Führen Sie einen der folgenden Schritte aus:

13 Erste Schritte 13 Um Symantec Endpoint Protection Manager IIS Web als den einzigen Web-Server auf diesem Computer zu konfigurieren, aktivieren Sie "Benutzerdefinierte Website erstellen", und klicken Sie dann auf "Weiter". Um zuzulassen, dass der IIS-Web-Server für Symantec Endpoint Protection Manager mit anderen Web-Servern auf diesem Computer ausgeführt wird, aktivieren Sie "Standard-Website verwenden" und klicken dann auf "Weiter". 8 Klicken Sie im Installationsfenster auf "Installieren". 9 Klicken Sie nach beendeter Installation im letzten Fenster des Installationsassistenten auf "Fertig". Warten Sie, bis das Fenster "Management-Server-Konfigurationsassistent" angezeigt wird. Dies kann bis zu 15 Sekunden dauern. So konfigurieren Sie Symantec Endpoint Protection Manager 1 Klicken Sie im Fenster "Management-Server-Konfigurationsassistent" auf "Weiter". 2 Aktivieren Sie im Fenster "Standorttyp" die Option "Meinen ersten Standort installieren" und klicken Sie dann auf "Weiter". 3 Akzeptieren oder ändern Sie im Fenster "Server-Informationen" die Standardwerte in den folgenden Feldern, und klicken Sie dann auf "Weiter": Server-Name Server-Port Server-Datenordner 4 Geben Sie im Fenster "Name des Standorts" Ihren Standortnamen in das Feld "Standortname" ein, und klicken Sie dann auf "Weiter". 5 Geben Sie im Fenster "Verschlüsselungskennwort" Werte in beide Feldern ein, und klicken Sie dann auf "Weiter". Notieren Sie dieses Kennwort, wenn Sie Symantec Endpoint Protection in Ihrer Produktionsumgebung installieren. Sie benötigen es zur Systemwiederherstellung und zum Hinzufügen der optionalen Enforcer-Hardware.

14 14 Erste Schritte 6 Aktivieren Sie im Fenster "Datenbank-Server-Auswahl" die Option "Integrierte Datenbank", und klicken Sie dann auf "Weiter". 7 Geben Sie im Fenster "Benutzer festlegen" das Kennwort in die beiden Felder ein, mit dem sich der Administrator bei der Konsole anmeldet, und klicken Sie dann auf "Weiter". Nach beendeter Installation können Sie den "Installations- und Migrationsassistenten" aufrufen, um Client-Software zu installieren. Wenn Sie dies nicht sofort tun möchten, finden Sie die Anleitungen für eine spätere Installation im Kapitel "Client-Installation". Melden Sie sich bei der Konsole mit dem Benutzernamen und Kennwort an, die Sie hier eingegeben haben. Konfigurieren und Verteilen der Client-Software Der Installations- und Migrationsassistent lässt Sie ein Client-Softwarepaket konfigurieren. Der Assistent für die Push-Installationsverteilung wird dann optional angezeigt, damit Sie das Client-Softwarepaket verteilen können. Wenn Sie den Assistenten für die Push-Installationsverteilung nicht auswählen, können Sie ihn manuell mithilfe von ClientRemote.exe im Verzeichnis \tomcat\bin starten. Hinweis: Dieses Verfahren setzt voraus, dass Sie Client-Software auf 32-Bit-Computern und nicht auf 64-Bit-Computern verteilen. Dieses Verfahren lässt Sie auch ein Verzeichnis auswählen, in dem die Installationsdateien abgelegt werden. Sie möchten dieses Verzeichnis möglicherweise erstellen, bevor Sie dieses Verfahren starten. Sie müssen sich auch mit administrativen Anmeldeinformationen bei der Windows-Domäne oder -Arbeitsgruppe authentifizieren, die die Computer enthält. Das Verteilen von Client-Software auf Computern, die Firewalls ausführen und die Windows XP/Vista ausführen, unterliegt speziellen Anforderungen. Firewalls müssen die Remote-Verteilung über TCP-Port 139 zulassen, und die Computer, die sich in Arbeitsgruppen befinden und Windows XP ausführen, müssen die einfache Dateifreigabe deaktivieren. Windows Vista hat zusätzliche Anforderungen. So konfigurieren Sie Client-Software 1 Im Fenster "Management-Server-Konfigurationsassistent abgeschlossen" aktivieren Sie "Ja", und klicken Sie dann auf "Fertig stellen". 2 Im Fenster "Willkommen beim Migrations- und Verteilungsassistenten" klicken Sie auf "Weiter". 3 Im Fenster "Wie möchten Sie verfahren" aktivieren Sie "Client verteilen", und klicken Sie dann auf "Weiter".

15 Erste Schritte 15 4 Im nächsten unbenannten Fenster aktivieren Sie "Geben Sie den Namen einer neuen Gruppe an, an die Clients verteilt werden sollen", geben Sie einen Gruppennamen im Feld ein, und klicken Sie dann auf "Weiter". 5 Im nächsten Fenster deaktivieren Sie jede Client-Software, die Sie nicht installieren möchten, und klicken Sie dann auf "Weiter". 6 Im nächsten Fenster aktivieren Sie die gewünschten Optionen für Pakete, Dateien und Benutzerinteraktionen. 7 Klicken Sie auf "Durchsuchen", suchen Sie das Verzeichnis, in dem Sie die Installationsdateien ablegen möchten, und wählen Sie es aus. Klicken Sie dann auf "Öffnen". 8 Klicken Sie auf "Weiter". 9 Im nächsten unbenannten Fenster aktivieren Sie "Ja" und klicken dann auf "Fertig stellen". Aktivieren Sie nicht "Administratorkonsole starten". Es kann bis zu 5 Minuten dauern, das Installationspaket für Ihre Gruppe zu erstellen und zu exportieren, bevor der "Assistent für die Push-Installationsverteilung" angezeigt wird. So verteilen Sie die Client-Software mit dem Assistenten für die Push-Installationsverteilung 1 Im Fenster "Assistent für die Push-Installationsverteilung" unter "Verfügbare Computer" erweitern Sie die Verzeichnisstrukturen und wählen die Computer aus, auf denen die Client-Software installiert werden soll. Klicken Sie dann auf "Hinzufügen". 2 Im Dialogfeld "Remote-Client-Authentifizierung" geben Sie einen Benutzernamen und ein Kennwort ein, mit dem Sie sich bei der Windows-Domäne oder -Arbeitsgruppe, die die Computer enthält, authentifizieren können. Klicken Sie dann auf "OK". 3 Wenn Sie alle Computer ausgewählt haben und sie im rechten Teilfenster erscheinen, klicken Sie auf "Fertig stellen". 4 Wenn die Installation abgeschlossen ist, klicken Sie auf "Fertig". Bei der Konsole anmelden und Ihre Gruppe finden Als Erstes müssen Sie sich bei der Konsole anmelden und Ihre Gruppe finden. Anmelden bei der Management-Konsole Das erste Mal, wenn Sie sich bei der Management-Konsole anmelden, werden Sie aufgefordert, das Administratorkennwort zu ändern.

16 16 Erste Schritte So melden Sie bei der Management-Konsole an 1 Klicken Sie auf "Start > Programme > Symantec Endpoint Protection Manager > Symantec Endpoint Protection Manager-Konsole". 2 In der Symantec Endpoint Protection Manager-Anmeldeaufforderung geben Sie im Feld "Benutzername" das Wort admin ein. 3 Geben Sie im Feld "Kennwort" das Admin-Kennwort ein, das Sie während der Installation erstellt haben, und klicken Sie dann auf "Anmelden". So finden Sie Ihre Gruppe in der Konsole Nachdem Sie sich angemeldet haben, sollten Sie die Gruppe finden, die Sie während der Installation erstellt haben. Überprüfen Sie dann, dass die Client-Computer, an die Sie Software verteilt haben, in dieser Gruppe angezeigt sind. Abbildung 1-2 Beispiel einer Gruppe, die während der Installation erstellt wurde. Abbildung 1-2 Gruppe Informationen zu Richtlinien Mit Symantec Endpoint Protection Manager können Sie Richtlinien konfigurieren und auf Gruppen oder Orte in den Gruppen anwenden. Alle Client-Computer in Gruppen oder Speicherorten erhalten die Rechte und Funktionen, die in den

17 Erste Schritte 17 Richtlinien angegeben werden. Beispielsweise wenn eine LiveUpdate-Einstellungsrichtlinie angibt, dass LiveUpdate täglich um 22 Uhr ausgeführt wird, führen alle Clients, die diese Richtlinie erhalten, LiveUpdate täglich aus. Für Symantec Endpoint Protection existieren mehrere Richtlinien. Richtlinien existieren für LiveUpdate, Virenschutz und Antispyware-Schutz, globale Ausnahmen usw. Für Symantec Network Access Control existieren zwei Richtlinien, eine für LiveUpdate und eine für Host-Integrität. Hinweis: Für Benutzer veralteter Versionen von Symantec AntiVirus und Symantec Client Security sind die Einstellungen, die für Gruppen, Management-Server und Clients galten, jetzt in den Richtlinien enthalten. Konfigurieren von LiveUpdate für Site-Updates Sie sollten die Häufigkeit konfigurieren, mit der Symantec Endpoint Protection Manager neue Updates für den Standort überprüft und herunterlädt. Sie konfigurieren Client-Updates auch mit LiveUpdate-Content-Richtlinien, weshalb Sie alle Typen herunterladen sollten, die Clients erhalten sollen. Symantec Endpoint Protection Manager für Symantec Network Access Control unterstützt nur Produkt-Updates. So konfigurieren Sie LiveUpdate für den Standort 1 Im linken Teilfenster der Konsole klicken Sie auf "Admin". 2 Im linken unteren Teilfenster klicken Sie auf "Server".

18 18 Erste Schritte 3 Im linken oberen Teilfenster klicken Sie mit der rechten Maustaste auf "Lokaler Standort", und klicken Sie dann auf "Eigenschaften". 4 Auf der Registerkarte "LiveUpdate" aktivieren Sie unter "Download-Plan" die Optionen für die Häufigkeit, mit der die neuesten Definitionen heruntergeladen werden. 5 Für Einzelheiten über das Festlegen anderer Optionen in diesem Dialogfeld, klicken Sie auf "Hilfe". 6 Wenn Sie mit dem Angeben der LiveUpdate-Eigenschaften der Site fertig sind, klicken Sie auf "OK". Konfigurieren und Prüfen von Symantec Network Access Control Symantec Network Access Control unterstützt nur zwei Richtlinien: LiveUpdate und Host-Integrität. Die Host-Integritätsrichtlinie stellt jedoch die Kernfunktionen von Symantec Network Access Control zur Verfügung. Hinweis: Dieser Abschnitt setzt voraus, dass Sie Symantec Network Access Control erworben und installiert haben.

19 Erste Schritte 19 Erstellen einer Host-Integritätsrichtlinie Die Host-Integritätsrichtlinie ist die Grundlage von Symantec Network Access Control. Die Richtlinie, die Sie für diesen Test erstellen, ist nur für Demonstrationszwecke gedacht. Die Richtlinie erkennt das Bestehen eines Betriebssystems und wenn dies der Fall ist, wird ein "NICHT BESTANDEN"-Ereignis erzeugt. Normalerweise werden "NICHT BESTANDEN"-Ereignisse aus anderen Gründen erzeugt. Hinweis: Wenn Sie Symantec Network Access Control und Symantec Endpoint Protection erworben und installiert haben, können Sie eine Firewall-Richtlinie für die Client-Computer erstellen, auf denen die Host-Integrität fehlschlägt. Wenn Sie Symantec Enforcer mit Symantec Network Access Control ausführen, können Sie Clients, auf denen die Host-Integrität mit bestimmten Netzwerksegmenten fehlschlägt, isolieren. Diese Isolierung verhindert Client-Authentifizierung und Domänen-Zugriff. So erstellen Sie eine Host-Integritätsrichtlinie: 1 In der Konsole klicken Sie auf "Richtlinien". 2 Unter "Richtlinien anzeigen" klicken Sie auf Host-Integrität. 3 Ist im rechten Teilfenster eine Host-Integritätsrichtlinie Gelb markiert, klicken Sie auf den weißen Bereich unterhalb der Richtlinien, um die Auswahl der Richtlinie aufzuheben. 4 Klicken Sie unter "Aufgaben" auf "Host-Integritätsrichtlinie hinzufügen". 5 Geben Sie im "Übersicht"-Teilfenster im Feld "Richtlinienname" einen Namen für die Richtlinie ein. 6 Klicken Sie auf "Anforderungen". 7 Im "Anforderungen"-Teilfenster aktivieren Sie "Host-Integritätsprüfung immer ausführen" und klicken Sie dann auf "Hinzufügen". 8 Im Dialogfeld "Neue Anforderung" im "Typ"-Dropdown-Menü, klicken Sie auf "Benutzerdefinierte Anforderung" und klicken Sie dann auf "OK". 9 Geben Sie im Fenster "Benutzerdefinierte Anforderung" im Feld "Name" einen Namen für die benutzerdefinierte Anforderung ein. 10 Klicken Sie unter "Benutzerdefiniertes Anforderungsskript" mit der rechten Maustaste auf "Anweisungen unten einfügen" und dann auf "Hinzufügen > IF.. THEN". 11 Klicken Sie im rechten Teilfenster in der Dropdown-Liste "Wählen Sie eine Bedingung" auf den Eintrag "Dienstprogramm: Betriebssystem ist".

20 20 Erste Schritte 12 Unter "Windows-Version überprüfen" aktivieren Sie eine oder mehrere Betriebssysteme, die auf den Client-Computern ausgeführt werden. 13 Unter "Benutzerdefiniertes Anforderungsskript" klicken Sie mit der rechten Maustaste auf "THEN //Anweisungen hier einfügen:" und klicken Sie dann auf "Hinzufügen > Funktion" > Dienstprogramm: Meldungsdialogfeld anzeigen". 14 Geben Sie im Feld "Bildunterschrift der Meldung:" einen Namen ein, der als Meldungstitel angezeigt werden soll. 15 Geben Sie im Feld "Text der Meldung:" den Text ein, der in der Meldung angezeigt werden soll. 16 Um Informationen über die Einstellungen für die Symbole und die Schaltflächen, die Sie in die Meldung integrieren können, anzuzeigen, klicken Sie auf "Hilfe". 17 Im linken Teilfenster unter "Benutzerdefiniertes Anforderungsskript" klicken Sie auf "ERFOLGREICH". 18 Im rechten Teilfenster unter "Als Ergebnis der Anforderung Folgendes ausgeben" aktivieren Sie "Nicht bestanden" und klicken Sie dann auf "OK". 19 Im "Host-Integrität"-Fenster klicken Sie auf "OK". 20 Klicken Sie in der Eingabeaufforderung "Richtlinie zuweisen" auf "Ja". 21 Im Dialogfeld "Host-Integritätsrichtlinie" aktivieren Sie die Gruppe oder die Gruppen, auf die die Richtlinie angewendet werden sollen und die Ihre Test-Client-Computer enthalten, und klicken Sie dann auf "Zuweisen". 22 Klicken Sie in der Eingabeaufforderung "Host-Integritätsrichtlinie zuweisen" auf "Ja". Testen einer Host-Integritätsrichtlinie Sie können eine Host-Integritätsrichtlinie von der Symantec Endpoint Protection Manager-Konsole aus testen. Hinweis: Sie können auch Host-Integritätsprüfungen vom Client aus ausführen. So testen Sie eine Host-Integritätsrichtlinie: 1 In der Konsole klicken Sie auf "Clients". 2 Im rechten Teilfenster klicken Sie auf die Registerkarte "Clients".

21 Erste Schritte Weitere Informationsquellen 21 3 Klicken Sie im linken Teilfenster unter "Ansicht" auf die Gruppe, die die Client-Computer enthält, auf denen die Host-Integritätsrichtlinie angewendet wurde. 4 Unter "Aufgaben" klicken Sie auf "Befehl auf Gruppe ausführen > Aktualisieren". 5 Melden Sie sich bei einem Client-Computer an, der Symantec Network Access Control ausführt, und beachten Sie das Meldungsfeld, das erscheint. Da die Regel den fehlgeschlagenen Test auslöste, erscheint das Meldungsfeld. Deaktivieren oder löschen Sie die Test-Richtlinien nach dem Test. Weitere Informationsquellen Die folgenden Informationsquellen stehen zur Verfügung: Administrationshandbuch für Symantec Endpoint Protection und Symantec Network Access Control Client-Handbuch für Symantec Endpoint Protection und Symantec Network Access Control LiveUpdate-Administratorhandbuch (nur Symantec Endpoint Protection) Symantec Zentralquarantäne-Administratorhandbuch (nur Symantec Endpoint Protection) Die Online-Hilfe enthält den Inhalt aller oben genannten Handbücher sowie zusätzliche Informationen. Sie finden die Primärdokumentation im Ordner "Documentation" auf der Installations-CD. Einige Komponentenordner enthalten komponentenspezifische Dokumentation. Updates zur Dokumentation sind auf der Website des Technischen Supports von Symantec verfügbar.. Tabelle 1-2 führt die zusätzlichen Informationen auf, die auf den Symantec-Websites verfügbar sind. Tabelle 1-2 Websites von Symantec Art der Informationen Öffentliche Support-Datenbank Web-Adresse Versionen und Updates Aktualisierte Handbücher und Dokumentation Kontaktoptionen