Sophos Endpoint Security and Control Managed Service Provider-Anleitung für für verteilte Systeme

Transkript

1 Sophos Endpoint Security and Control Managed Service Provider-Anleitung für für verteilte Systeme Produktversion: 10.0 Stand: Juni 2012

2 Inhalt 1 Einleitung Informationen zu Sophos Software Wie funktioniert SESC für MSPs? Erläuterung der Verwaltung von Clients mit dem SEC-Server Vorgehensweise Installation von Enterprise Console auf dem SEC-Server Herunterladen von Sicherheitssoftware von Sophos Schützen des SEC-Servers Einrichten des Sophos DMZ-Servers Veröffentlichen von Update-Verzeichnissen für Kunden Konfigurieren des SEC zur Verwaltung von Kunden Überprüfen der Konfiguration Schützen des Sophos DMZ-Servers Erstellen eines Installationspakets Überprüfen des Installationspakets Verteilen eines Pakets auf den Kundencomputern Überwachen der Endpoint-Sicherheit Anhang: Erstellen eines Schutz-Pakets über die Befehlszeile Anhang: Inhalt der Datei MRinit.conf Technischer Support Rechtlicher Hinweis

3 Managed Service Provider-Anleitung für für verteilte Systeme 1 Einleitung Die Anleitung richtet sich an MSPs (Managed Service Providers), die Kunden eine verwaltete Version von Sophos Endpoint Security and Control anbieten. Es wird beschrieben, wie Sie Sophos Endpoint Security and Control (SESC) in einem verteilten System für die Remote-Verwaltung im Kundenauftrag einrichten (und Ihre eigenen Computer schützen). Hinweis: Anweisungen zur Einrichtung eines Einzelservers können Sie der Sophos Endpoint Security and Control Managed Service Provider-Anleitung für Einzelserver entnehmen: Es wird dabei davon ausgegangen, dass Sie bereits ein RMM-System (Remote Monitoring and Management System), wie Kaseya, N-able, LevelPlatforms oder Zenith einsetzen, und damit Ihren Kunden Remote-Installations-, Verwaltungs- und Überwachungsdienste anbieten. Verwenden Sie dieses Dokument in Zusammenarbeit mit Ihrem Sophos Sales Engineer. Wenn Sie nicht über einen Sales Engineer verfügen, wenden Sie sich an Ihren Kontakt bei Sophos. Begleitmaterial zu Sophos Software finden Sie hier: Das MSP-Forum der SophosTalk-Community bietet weitere Informationen und Hilfe: 3

4 Sophos Endpoint Security and Control 2 Informationen zu Sophos Software In diesem Abschnitt wird die für die verwaltete Endpont-Sicherheit erforderliche Sophos Software aufgeführt: Sophos Enterprise Console Sophos Update Manager Sophos Endpoint Security and Control 2.1 Sophos Enterprise Console Sophos Enterprise Console ist ein Verwaltungs-Tool zur Bereitstellung und Verwaltung von Sophos Endpoint-Software über Gruppen und Richtlinien. Zudem bietet die Software Alert-Funktionen und detaillierte Reports zum Endpoint-Status und erkannten Threats. Enterprise Console umfasst und verwaltet Sophos Update Manager Sophos Reporting Interface Sophos Reporting Interface ist ein Zusatz-Tool für Enterprise Console. Hiermit können Sie anhand von Reports und Protokollen von Fremdsoftware Reports zu Threats und Ereignisdaten in Sophos Enterprise Console erstellen. Nähere Informationen zum Sophos Reporting Interface finden Sie unter Sophos Update Manager Sophos Update Manager lädt Sophos Software und Updates von der Sophos Website in ein zentrales Verzeichnis herunter. Die Updates werden in freigegebenen Update-Ordnern bereitgestellt. Endpoint-Computer updaten sich über diese Freigaben. Sophos Update Manager wird mit Sophos Enterprise Console installiert, kann jedoch auch separat installiert werden. Für eine verwaltete Endpoint-Sicherheitsinstallation sind zwei Kopien von Update Manager erforderlich, Parent und Child. Der Parent-Update Manager bezieht Updates von Sophos über das Internet. Der Child-Update Manager bezieht Updates vom Parent-Update Manager. Die Kundencomputer beziehen Updates vom Child-Update Manager. Wenn Sie Computer in Ihrem lokalen Netzwerk mit Sophos Sicherheitssoftware schützen, beziehen diese Updates vom Parent-Update Manager. 2.3 Sophos Endpoint Security and Control Sophos Endpoint Security and Control (SESC) bezieht sich sowohl auf die gesamte in diesem Abschnitt Sophos beschriebene Sicherheitssoftware-Suite als auch auf den Agenten auf den Endpoints, der die Computer schützt und mit den Verwaltungs-Tools interagiert. 4

5 Managed Service Provider-Anleitung für für verteilte Systeme Endpoint Security and Control (für Endpoints) umfasst die folgenden Komponenten: Sophos AutoUpdate. Die Komponente aktualisiert sich selbst und die anderen Komponenten über einen Update Manager. Sophos Remote Management System (RMS). Komponente für die Kommunikation mit Sophos Enterprise Console über TCP auf den Ports 8192, 8193 und Sophos Anti-Virus. Die Komponente bietet Virenschutz-, HIPS-, Data Control- und Device Control-Funktionen. Der Web-Schutz bietet besseren Schutz vor Threats aus dem Internet. Die Komponente umfasst folgende Funktionen: Live-URL-Filterung, die den Zugriff auf Websites sperrt, auf denen bekanntermaßen Malware gehostet wird. Die Funktion basiert auf einem Online-Abgleich mit der Sophos Datenbank infizierter Websites. Inhalts-Scan-Funktion zum Scannen von aus dem Internet (oder Intranet) heruntergeladenen Daten und Dateien sowie proaktive Erkennung schädlicher Inhalte. Die Funktion dient dem Scannen von Inhalten, die an beliebigen Stellen gehostet werden, auch wenn sie nicht in der Datenbank infizierter Websites aufgeführt werden. Mit der Kontrolle von Websites (optional) können Sie die Aktivitäten der Benutzer anhand von 14 Kategorien filtern: Pornografie, Anonymisierende Proxys, Kriminelle Handlungen, Glücksspiel, Hacking, Harte Drogen, Intolerantes Verhalten, Phishing und Betrug, Spam-URLs, Spyware, Geschmackloser, anstößiger Inhalt, Gewalt und Waffen. Sophos Client Firewall (optional). Nur bezeichnete Anwendungen oder Anwendungklassen können auf das Netzwerk oder Internet zugreifen. Sophos Patch (optional). Mit Enterprise Console wird festgestellt, ob die aktuellen Sicherheits-Patches auf den Endpoints installiert wurden. Anhand der von den SophosLabs bereitgestellten Bewertung können Sie ermitteln, welche Sicherheits-Patch-Probleme das höchste Risiko bergen, und diese umgehend beheben. Die Bewertungen der SophosLabs basieren auf den aktuellen Exploits und weichen daher unter Umständen vom vom Hersteller angegebenen Schweregrad ab. Verschlüsselung (optional). Sie können zentral verwaltete Festplattenverschlüsselung auf Endpoints installieren. Die Festplattenverschlüsselung schützt Daten auf Endpoints davor, von nicht autorisierten Personen gelesen oder geändert zu werden. Laufwerke werden transparent verschlüsselt. Die Benutzer müssen nicht entscheiden, welche Daten verschlüsselt werden sollen. Verschlüsselung und Entschlüsselung werden im Hintergrund ausgeführt. Mit Hilfe der Power-on Authentication (POA), einem zusätzlichen Authentifizierungsschritt vor dem Booten, wird sichergestellt, dass nur autorisierte Benutzer auf die Daten im System zugreifen können. 5

6 Sophos Endpoint Security and Control 3 Wie funktioniert SESC für MSPs? Im Folgenden wird Sophos Endpoint Security and Control für MSPs näher erläutert: Als Managed Service Provider (MSP) stellen Sie verwaltete IT-Services remote über das Internet für Kunden bereit. Sophos Enterprise Console wird auf einem von Ihnen gehosteten Server (dem SEC-Server) ausgeführt. Mit der Software können Sie Computergruppen und Sicherheitsrichtlinien verwalten und den Endpoint-Status sowie Alerts anzeigen. Sophos Update Manager (SUM-Parent) wird auf dem SEC-Server ausgeführt. Mit dieser Komponente werden die Installationsdateien zu Software sowie Updates von Sophos auf dem Host in Freigaben in Ihrem lokalen Netzwerk veröffentlicht. Sophos Update Manager (SUM-Child) wird auf einem Webserver in Ihrem DMZ (dem Sophos DMZ-Server) ausgeführt. Installationsdateien und Updates werden vom SUM-Parent heruntergeladen und in Freigaben auf Ihrem DMZ abgelegt. Hinweis: Auf dem Sophos DMZ-Server muss zudem der Microsoft IIS (Internet Information Services)-Webserver ausgeführt werden, damit die Sophos Update-Ordner über HTTP im Internet veröffentlicht werden. Sophos Endpoint Security and Control (SESC) wird auf dem DMZ-Server, dem SEC-Server und den Endpoints der Kunden ausgeführt, um Computer vor Threats zu schützen und Reports an Enterprise Console zu senden. SESC umfasst Sophos AutoUpdate (SAU). Diese Komponente bezieht Updates über HTTP (mit IIS) von den von SUM (auf dem SEC-Server installiert) verwalteten Freigaben. Remote Management System (RMS) wird auf allen Computern (einschließlich SEC-Server und Clients) ausgeführt und ermöglicht bidirektionale Kommunikation für Richtlinien, Client-Status und Alerts. Das RMM-System (Remote Monitoring and Management System) (beispielsweise Kaseya) besteht aus einer Konsole am MSP und allen auf dem verwalteten Endpoint installierten Agenten. Das RMM-System: stellt ein benutzerdefiniertes Endpoint Security and Control-Installerpaket auf allen Endpoints bereit, führt das Paket aus und installiert Endpoint Security and Control auf allen Endpoints, führt in regelmäßigen Abständen ein Skript auf allen Endpoints zur Statusabfrage von Endpoint Security and Control aus, so dass die RMM-Konsole den aktuellen Status und Alerts anzeigen kann. verwaltet Endpoint-Software anderer Anbieter auf ähnliche Weise. Es stehen zahlreiche RMM-Produkte von vielen Anbietern für verschiedene Situationen und Anwendungen zur Verfügung. Die Konfiguration und Funktionsweise der RMM-Komponenten wird von dieser Anleitung nicht erfasst. 6

7 Managed Service Provider-Anleitung für für verteilte Systeme Hinweis: Andere Computer im lokalen Netzwerk des MSPs können auf Wunsch auch anhand der Anweisungen im Abschnitt Schützen des SEC-Servers (Seite 15) (hier nicht abgebildet) geschützt werden. Auch die RMM-Netzwerkkommunikation variiert je nach System und wird hier nicht dargestellt. 7

8 Sophos Endpoint Security and Control 4 Erläuterung der Verwaltung von Clients mit dem SEC-Server In diesem Abschnitt wird die Konfiguration der einzelnen Netzwerkkomponenten für die Kommunikation zwischen SEC-Server, Sophos DMZ-Server und den verwalteten Kunden-Endpoints erläutert. Die Grafik zeigt die Interaktion der Server, Domänen, Ports und internen und externen IP-Adressen. Bei den angegebenen IP-Adressen handelt es sich nur um Beispiele. Geben Sie die tatsächliche IP-Adresse ein. Der Sophos DMZ-Server wird intern und extern von der gleichen Domäne adressiert: sophos-dmz.msp.com. Der interne und externe DNS-Server verbinden sophos-dmz.msp.com jedoch mit anderen IP-Adressen (siehe oben). Es wird davon ausgegangen, dass die Website mit dem virtuellen Verzeichnis Port 80 für eingehende Verbindungen verwendet. Bei allen Ports im Beispiel oben handelt es sich um TCP-Ports. Im vorliegenden Beispiel lautet die IP-Adresse des Edge-Geräts Dabei handelt es sich um die externe Schnittstelle der Firewall. Die Ports 80, 8192 und 8194 werden über die Schnittstelle genattet. Wenn Sie Sophos Patch nutzen möchten, müssen Sie den Reverse-Proxy am Edge-Gerät zur Umleitung von Traffic an den SEC-Server konfigurieren, der der folgenden Adresse entspricht: Es empfiehlt sich, auf Kundenseite einen Transparent Caching/Proxy zu verwenden, um den durch Patch und Endpoint-Updates verursachten Traffic zu reduzieren. 8

9 Managed Service Provider-Anleitung für für verteilte Systeme Hinweis: Wenn eine andere Anwendung beispielsweise bereits Port 80 nutzt, können andere Ports verwendet werden. Das Update-Verzeichnis sollte bei der Konfiguration der Updates für Kunden in der Standardform angegeben werden. Wenn beispielsweise Port 8085 verwendet werden soll, muss das Update-Verzeichnis lauten. 4.1 Netzwerkanforderungen Alle Systeme, einschließlich des SEC-Servers, können jetzt den vollqualifizierten Domänennamen (FQDN) ordnungsgemäß auflösen. Wenn der Server eine private IP verwendet (RFC 1918) und mithilfe von NAT öffentlich zugänglich ist, wird sophos-dmz.msp.com zur internen IP-Adresse des SEC-Servers (z.b ) aufgelöst. Bei Remote-Systemen wird der FQDN zur externen IP-Adresse des Sophos DMZ-Servers (z.b ) aufgelöst. 1. Erstellen Sie anhand der folgenden Anweisungen einen DNS A-Eintrag namens sophos-dmz.msp.com für interne und externe DNS-Systeme: a) Erstellen Sie einen internen Adresseneintrag, der zur internen IP-Adresse des Sophos DMZ-Servers (z.b ) aufgelöst wird. b) Erstellen Sie einen externen (Internet) DNS A-Eintrag, der zur öffentlichen Schnittstelle des Sophos DMZ-Servers aufgelöst wird (z.b ). 2. Konfigurieren Sie die Internet-Firewall des Sophos DMZ-Servers zur Weiterleitung (über NAT) der Ports TCP 8192, 8193 und

10 Sophos Endpoint Security and Control 5 Vorgehensweise Die Hauptschritte: Installation von Sophos Enterprise Console auf einem von Ihnen gehosteten Server (dem SEC-Server). Hierzu zählt auch der Sophos Update Manager (Parent-SUM). Verbindungsaufbau zu Sophos und Download der erforderlichen Sicherheitssoftware. Schützen des SEC-Servers mit Sophos Sicherheitssoftware. Einrichten der DMZ durch Ändern der Konfigurationsdatei, Installieren eines Child-Update Managers und Bearbeiten der Registrierungswerte. Veröffentlichen der Freigaben, über die Computer der Kunden Updates beziehen können. Konfigurieren des SEC-Servers durch Erstellen von Gruppen für alle Kunden und Bearbeiten der Update-Richtlinie. Überprüfen der Konfiguration. Schützen des Sophos DMZ-Servers mit Sophos Sicherheitssoftware. Erstellen eines Installer-Pakets. Überprüfen des Installationspakets Verteilen des Installer-Pakets auf den Kundencomputern (über das RMM-System). Verwalten der Endpoint-Sicherheitssoftware. 10

11 Managed Service Provider-Anleitung für für verteilte Systeme 6 Installation von Enterprise Console auf dem SEC-Server Im Folgenden wird erläutert, wie Sophos Enterprise Console auf dem SEC-Server installiert werden kann. 6.1 Vorbereiten der Installation von Enterprise Console Führen Sie auf dem Server, der die Mindestvoraussetzungen eines SEC-Servers (siehe erfüllt, die folgenden vorbereiteten Schritte durch: 1. Überprüfen Sie, ob der Server mit dem Internet verbunden ist. 2. Halten Sie die Windows-Betriebssystems-CD und Service-Pack-CDs bereit. Sie müssen die CDs möglicherweise im Laufe der Installation einlegen. 3. Wenn auf dem SEC-Server Microsoft SQL Server 2000 oder MSDE 2000 installiert ist, führen Sie ein Upgrade auf Microsoft SQL Server 2005 oder höher durch. Wenn nicht: SQL Server Express 2008 ist in Enterprise Console integriert. 4. Wenn der Server unter Windows Server 2008 oder höher betrieben wird, deaktivieren Sie die Benutzerkontensteuerung und starten Sie den Server neu. Nach dem Abschluss der Installation und dem Download der Sicherheitssoftware können Sie die Benutzerkontensteuerung wieder aktivieren. 6.2 Installation von Enterprise Console So installieren Sie Enterprise Console: 1. Anmeldung als Administrator: a) Wenn sich der Computer in einer Domäne befindet, melden Sie sich als Domänenadministrator an. b) Wenn sich der Computer in einer Arbeitsgruppe befindet, melden Sie sich als lokaler Administrator an. 2. Rufen Sie die Download-Website auf, die in der Registrierungs-/Download- angegeben ist. 3. Laden Sie das Enterprise Console-Installer-Paket herunter. 4. Doppelklicken Sie auf das heruntergeladene Download-Paket. 5. Klicken Sie im Dialogfeld Sophos Enterprise Console auf Weiter. Es wird ein Assistent gestartet, der Sie durch die Installation leitet. Gehen Sie folgendermaßen vor: a) Übernehmen Sie die Standardwerte, sofern dies möglich ist. b) Wählen Sie im Dialogfeld Komponentenauswahl alle drei Komponenten aus: Management Server, Management-Konsole und Datenbank. 6. Nach der Installation ist eventuell ein Neustart erforderlich. Klicken Sie auf Ja oder Fertigstellen. 11

12 Sophos Endpoint Security and Control Nähere Informationen zur Installation und Einrichung von Richtlinien entnehmen Sie bitte der Schnellstart-Anleitung und Richtlinienlaneitung zu Enterprise Console. 12

13 Managed Service Provider-Anleitung für für verteilte Systeme 7 Herunterladen von Sicherheitssoftware von Sophos Wenn Sie sich nach der Installation zum ersten Mal wieder am System anmelden oder einen Neustart durchführen, wird Enterprise Console automatisch geöffnet und ein Assistent wird ausgeführt, um Endpoint-Sicherheitssoftware auszuwählen und herunterzuladen. Wenn Sie Enterprise Console mit Remote Desktop installiert haben, wird die Konsole nicht automatisch geöffnet: Öffnen Sie sie über das Startmenü. Beim Ausführen des Assistenten: 1. Geben Sie auf der Seite Sophos Download-Konto die auf der Sophos Lizenz aufgeführten Zugangsdaten ein. Wenn Sie über einen Proxyserver auf das Internet zugreifen, aktivieren Sie das Kontrollkästchen Verbindung zu Sophos über Proxyserver herstellen und geben Sie die Proxyserver-Einstellungen ein. 2. Wählen auf der Seite Plattformauswahl die Systeme aus, die jetzt geschützt werden sollen. Klicken Sie auf Weiter. Enterprise Console lädt die Software herunter. Hinweis: Wenn Sie zu einem späteren Zeitpunkt weitere Plattformen hinzufügen möchten, können Sie Ihr Software-Abonnement in der Ansicht Update Manager ändern. 3. Der Download-Fortschritt wird auf der Seite Software wird heruntergeladen angezeigt. Klicken Sie bei Bedarf auf Weiter. 4. Wenn Sie Ihre eigenen Computer in Ihrem lokalen Netzwerk mit Sophos Sicherheitssoftware schützen möchten und über die entsprechende Lizenz verfügen, wählen Sie auf der Seite Computer aus Active Directory importieren die Option Gruppen für Computer erstellen aus. So wird auf dem SEC-Server ein freigegebener Installationsordner mit installierbaren Versionen von Sophos Endpoint-Software für alle Betriebssysteme, die Sie schützen möchten, erstellt. Der Ordner wird als \\<SEC-Server>\SophosUpdate\CIDs freigegeben. Der Stanm der Freigabe befindet sich unter: Windows Server /2008 R2 Standardverzeichnis C:\Dokumente und Einstellungen\Alle Benutzer\Anwendungsdaten\Sophos\Update Manager\Update Manager\CIDs\ C:\ProgramData\Sophos\Update Manager\Update Manager\CIDs\ Die Installations- und Update-Dateien zu Sophos Endpoint Security and Control für Windows befinden sich im Verzeichnis \S000\SAVSCFXP\ und zu Verschlüsselung im Unterverzeichnis \S000\ENCRYPTION\. Hinweis: Sie können den CID-Pfad für alle Plattformen in Enterprise Console abrufen: Klicken Sie unter Ansicht auf Bootstrap-Verzeichnis. 13

14 Sophos Endpoint Security and Control Wenn die Benutzerkontensteuerung vor der Installation deaktiviert wurde, können Sie sie jetzt wieder aktivieren. 14

15 Managed Service Provider-Anleitung für für verteilte Systeme 8 Schützen des SEC-Servers Zu Testzwecken empfehlen wir, den SEC-Server zu schützen. 1. Installieren Sie Sophos Endpoint Security and Control. Führen Sie hierzu auf dem zu schützenden Computer das Setup vom am Ende von Herunterladen von Sicherheitssoftware von Sophos (Seite 13) aufgeführten CID-Pfad aus. 2. Überprüfen Sie, ob die Installation erfolgreich war. Öffnen Sie hierzu Enterprise Console. In der Registerkarte Status sollte in der Spalte Auf dem neuesten Stand Ja stehen. Nähere Informationen zur Installation von Endpoint Security and Control entnehmen Sie bitte der Upgrade-Anleitung zu Endpoint Security and Control. 15

16 Sophos Endpoint Security and Control 9 Einrichten des Sophos DMZ-Servers Zum Einrichten des Sophos DMZ-Servers verfahren Sie wie folgt: 1. Ändern Sie die Konfigurationsdatei im SEC-Server, um die Kommunikation mit dem Sophos DMZ-Server zu ermöglichen. 2. Installieren Sie Update Manager auf dem Sophos DMZ-Server. 3. Bearbeiten Sie die Registrierungswerte im Sophos DMZ-Server, um die Kommunikation mit dem SEC-Server und den Clients zu ermöglichen. 9.1 Andern der Konfigurationsdatei Verfahren Sie auf dem SEC-Server wie folgt: 1. Navigieren Sie zum Verzeichnis SUMInstaller. Windows- Version 32-Bit 64-Bit Standardverzeichnis C:\Programme\Sophos\Enterprise Console\SUMInstaller C:\Programme (x86)\sophos\enterprise Console\SUMInstaller 2. Suchen Sie die Datei MRinit.conf und bearbeiten Sie die Werte MRParentAddress und ParentRouterAddress. Über MRParentAddress stellt der Sophos DMZ-Server eine Verbindung zum SEC-Server her; über ParentRouterAddress stellen die Clients eine Verbindung zum Sophos DMZ-Server her. Standardwert im Beispiel: "MRParentAddress"="sophos-console.abc.sophos,sophos-console" "ParentRouterAddress"="sophos-console.abc.sophos,sophos-console" Abgeänderter Inhalt im Beispiel: Fügen Sie eine extern verfügbare IP-Adresse und den lokalen NetBIOS-Namen des SEC-Servers und des Sophos DMZ-Servers hinzu. "MRParentAddress"=" , sophos-console.msp.com, sophos-console" "ParentRouterAddress"="sophos-dmz,sophos-dmz.msp.com" Speichern Sie die Datei und schließen Sie Sie sie. Im Abschnitt Anhang: Inhalt der Datei MRinit.conf (Seite 42) finden Sie eine beispielhafte MRinit.conf -Datei. 16

17 Managed Service Provider-Anleitung für für verteilte Systeme 9.2 Installation von Update Manager In diesem Abschnitt wird die Installation eines Child-Update Managers auf einem Server im DMZ (dem Sophos DMZ-Server) sowie die Konfiguration zum Bezug von Updates vom Parent-Update Manager auf dem SEC-Server ausgeführt Vorbereiten der Update Manager-Installation Gehen Sie zum SophosDMZ-Server. Stellen Sie sicher, dass die folgenden Ports eingehenden und ausgehenden Datenfluss zum lokalen Netzwerk akzeptieren: 137, 138, 139 und 445. Wenn die Windows-Version des Servers über integrierte Netzwerkerkennung verfügt, diese Funktion jedoch deaktiviert ist, aktivieren Sie sie und starten Sie den Server neu. Überprüfen Sie, ob der Sophos DMZ-Server Dateien vom SEC-Server über die Freigabe, wie etwa \\<sophos-dmz.msp.com>\sophosupdate\, kopieren kann. Hinweis: Es wird hierbei davon ausgegangen, dass der SEC-Server und der Sophos DMZ-Server per UNC-Netzwerk verbunden sind. Ihr Sophos Techniker kann Ihnen zu anderen Netzwerkprotokollen, wie HTTP, Auskunft geben. Wenn der Server unter Windows Server 2008 betrieben wird, deaktivieren Sie die Benutzerkontensteuerung und starten Sie den Server neu. Nach der Installation des Update Managers und der Anmeldung für die Sophos Updates können Sie die Benutzerkontensteuerung wieder aktivieren Installation von Update Manager 1. Melden Sie sich auf dem Sophos DMZ-Server als Administrator an. a) Wenn der Server einer Domäne angehört, melden Sie sich als Domänenadministrator an. b) Wenn der Server einer Arbeitsgruppe angehört, melden Sie sich als lokaler Administrator an. 2. Suchen Sie die Freigabe SUMInstallSet auf dem SEC-Server. Beispiel: \\<sophos-console.msp.com>\suminstallset 3. Doppelklicken Sie auf Setup.exe, um den Installer zu starten. 4. Klicken Sie im Fenster Sophos Update Manager auf Weiter. Es wird ein Assistent gestartet, der Sie durch die Installation leitet. Übernehmen Sie die Voreinstellungen. 17

18 Sophos Endpoint Security and Control Auf dem Sophos DMZ-Server wurde dadurch: ein von Enterprise Console verwalteter Update Manager installiert. ein freigegebenes Installationsverzeichnis \\<sophos-dmz.msp.com>\sophosupdate\ erstellt. Mit den Installationsdateien in der Installationsfreigabe wird Sophos Endpoint Security and Control auf dem Sophos DMZ-Server installiert. Der Ordner dient zudem als Quelle für den Deployment Packager. Gehen Sie zu Sophos Enterprise Console auf dem SEC-Server und stellen Sie sicher, dass der neue Update Manager im Bereich Update Manager angezeigt wurde. Abonnieren Sie den neuen Sophos Update Manager ( empfohlenes Paket) und geben Sie den SEC-Server als Quelle an. Der Download des Pakets auf den Sophos DMZ-Server nimmt bis zu 15 Minuten in Anspruch. Nähere Informationen zum Ändern der Update-Richtlinie und dem Kennwort des Update Managers finden Sie unter Bearbeiten von Registrierungswerten Verfahren Sie am Sophos DMZ-Server wie folgt: 1. Öffnen Sie den Registrierungs-Editor. Klicken Sie hierzu auf Start, Ausführen, geben Sie regedit ein und klicken Sie auf OK. 2. Sichern Sie die Registrierung. Anweisungen hierzu finden Sie in der Microsoft-Dokumentation. 3. Ändern Sie im Registrierungseditor die beiden folgenden Registrierungswerte: Sophos Message Router Router Verfahren Sie hierzu wie folgt: a) Navigieren Sie zum Registrierungsschlüssel des Sophos Message Routers: Windows- Version 32-Bit oder 64-Bit Standardverzeichnis HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Message Router\ b) Wählen Sie im rechten Fensterbereich den Eintrag ImagePath aus: c) Klicken Sie im Menü Bearbeiten auf Ändern. d) Ändern Sie den Wert unter Wertdaten wie folgt: 32-Bit-Computer: Standardwert: 18

19 Managed Service Provider-Anleitung für für verteilte Systeme C:\Programme\Sophos\Remote Management System\RouterNT.exe" -service -name Router -ORBListenEndpoints iiop://:8193/ssl_port=8194 Geänderter Wert: Ändern Sie den Wert ab und fügen Sie den zusätzlichen Text sowie den extern auflösbaren voll qualifizierten Donämennamen hinzu (fett gedruckt). C:\Programme\Sophos\Remote Management System\RouterNT.exe" -service -name Router -ORBDottedDecimalAddresses 0 -ORBListenEndpoints iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-dmz.msp.com 64-Bit-Computer: Standardwert: C:\Programme (x86)\sophos\remote Management System\RouterNT.exe" -service -name Router -ORBListenEndpoints iiop://:8193/ssl_port=8194 Geänderter Wert: Ändern Sie den Wert ab und fügen Sie den zusätzlichen Text sowie den extern auflösbaren voll qualifizierten Donämennamen hinzu (fett gedruckt). C:\Program Files (x86)\sophos\remote Management System\RouterNT.exe" -service -name Router -ORBDottedDecimalAddresses 0 -ORBListenEndpoints iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-dmz.msp.com e) Navigieren Sie zum Registrierungsschlüssel des Routers: Windows- Version 32-Bit 64-Bit Standardverzeichnis HKEY_LOCAL_MACHINE\SOFTWARE\Sophos\Messaging System\Router\ HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Sophos\Messaging System\Router\ f) Wählen Sie im rechten Fensterbereich den Eintrag ServiceArgs aus: g) Klicken Sie im Menü Bearbeiten auf Ändern. h) Ändern Sie den Wert unter Wertdaten wie folgt: Standardwert: -ORBListenEndpoints iiop://:8193/ssl_port=8194 Ändern in: Ändern Sie den Wert ab und fügen Sie den zusätzlichen Text sowie den extern auflösbaren voll qualifizierten Donämennamen hinzu (fett gedruckt). -ORBDottedDecimalAddresses 0 -ORBListenEndpoints iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-dmz.msp.com 4. Starten Sie den Dienst Sophos Message Router neu: 19

20 Sophos Endpoint Security and Control Der Vorgang wird in den folgenden Support-Artikeln näher erläutert: (Szenario 2 ist am gängigsten). 20

21 Managed Service Provider-Anleitung für für verteilte Systeme 10 Veröffentlichen von Update-Verzeichnissen für Kunden Beim der Installation des Update Managers wird automatisch eine SophosUpdate -Freigabe in folgendem Verzeichnis auf dem Sophos DMZ-Server erstellt: \\<SEC-Server>\SophosUpdate\. Damit Kunden Updates von der Freigabe beziehen können, muss per http darauf zugegriffen werden können. 1. Gehen Sie zum SEC-Server und öffnen Sie Enterprise Console. 2. Wählen Sie in Enterprise Console die Update Manager-Ansicht aus. Wählen Sie den Child-Sophos Update Manager auf dem Sophos DMZ-Server aus und rechtsklicken Sie darauf. 3. Wählen Sie im Bereich Konfiguration anzeigen/bearbeiten Abonnements aus und stellen Sie sicher, dass das empfohlene Paket zu \\<sophos-dmz.msp.com>\sophosupdate abonniert wird. Der SEC-Server kommuniziert mit dem Sophos DMZ-Server und erstellt eine neue Freigabe in SophosUpdate. Der Vorgang kann bis zu 15 Minuten in Anspruch nehmen. 4. Erstellen Sie auf dem Sophos DMZ-Server ein lokales Konto, sophosupd, mit komplexem Kennwort und Lesezugriff auf SophosUpdate. 5. Installieren und konfigurieren Sie Microsoft IIS auf dem Sophos DMZ-Server und sichern Sie es ordnungsgemäß ab. 6. Erstellen Sie in IIS ein virtuelles Verzeichnis mit der Bezeichnung SophosUpdate, das \\<sophos-dmz.msp.com>\sophosupdate, freigibt und weisen Sie dem neuen Konto sophosupd-rechte zu. Wenn Sie statt eines UNC-Pfads einen lokalen Pfad verwenden, lautet der Standard-Pfad zum CID: Windows Server /2008 R2 Standardverzeichnis C:\Dokumente und Einstellungen\Alle Benutzer\Anwendungsdaten\Sophos\Update Manager\Update Manager C:\ProgramData\Sophos\Update Manager\Update Manager\ 7. Konfigurieren Sie MIME-Typen. Zu Testzwecken können Sie ".*" als MIME-Typ hinzufügen. Nähere Informationen zum Erstellen eines Web-CIDs und zur Konfiguration von MIME-Typen entnehmen Sie bitte dem Support-Artikel Hinweis: HTTPS wird nicht für Client-Updates unterstützt. Zur Absicherung der Zugangsdaten empfiehlt sich NTLM- (in Windows integrierte Authentifizierung) oder Digest-Authentifizierung. Sie können die Einstellungen in IIS konfigurieren. Auf den Clients wird automatisch die sicherste Option übernommen. 21

22 Sophos Endpoint Security and Control 11 Konfigurieren des SEC zur Verwaltung von Kunden Nach dem Download der Sicherheitssoftware müssen sie den SEC-Server so konfigurieren, dass Sie Kunden und deren Computer verwalten können Erstellen von Gruppen Computer werden durch Erstellen von Gruppen in Sophos Enterprise Console organisiert. Wir empfehlen Ihnen, mindestens eine Gruppe für Sie, den MSP und je eine Gruppe für alle Kunden zu erstellen. Wenn unterschiedliche Richtlinien für die Kundensysteme erforderlich sind, können Sie in Kundengruppen Untergruppen erstellten (etwa "Server", "Desktop"). Alle Gruppen können unterschiedliche Richtlinien zugewiesen werden. In der Praxis sind die Richtlinien aller Gruppen jedoch aller Wahrscheinlichkeit nach identisch. Wenn Sie so Ihre verwalteten Endpoints in Gruppen unterteilen, wirken sich Änderungen an den Sicherheitsrichtlinien eines bestimmten Kunden nicht auf die Endpoints der anderen Kunden oder Ihre eigenen Endpoints aus. So können Sie eine neue Gruppe für Computer erstellen: 1. Wählen Sie in der Ansicht Endpoints im Fensterbereich Gruppen (links in der Konsole), wo Sie die Gruppe erstellen möchten. Klicken Sie auf den Computernamen oben, wenn Sie eine neue Top-Level-Gruppe erstellen möchten. Klicken Sie auf eine bestehende Gruppe, wenn Sie eine Untergruppe erstellen möchten. 2. Klicken Sie in der Symbolleiste auf das Symbol Gruppe erstellen. Eine Neue Gruppe wird in die Liste aufgenommen. Der Name der Gruppe ist markiert. 3. Geben Sie einen Namen für die Gruppe ein. Der neuen Gruppe werden automatisch Richtlinien zugewiesen. Sie können diese Richtlinien ändern oder andere Richtlinien anwenden. Wenn es sich bei der neuen Gruppe um eine Untergruppe handelt, verwendet die Untergruppe anfangs dieselben Einstellungen wie die Gruppe, in der sie sich befindet. Für Ihre eigenen Computer können Sie Richtlinien aus Microsoft Active Directory importieren. Nähere Informationen zum Einrichten von Gruppen entnehmen Sie bitte der Hilfe zu Enterprise Console und dem Sophos Support-Artikel Tipp: Erstellen von Gruppen in Enterprise Console unter Erstellen von Update-Richtlinien Sie müssen eine neue Update-Richtlinie erstellen und zur Verwendung der vorab im Abschnitt (Veröffentlichen einer Update-Freigabe für Kunden (Seite 21)) in den IIS eingerichteten HTTP-Adresse konfigurieren. 22

23 Managed Service Provider-Anleitung für für verteilte Systeme So erstellen Sie eine neue Update-Richtlinie: 1. Rechtsklicken Sie im Fenster Richtlinien auf Updates und wählen Sie die Option Richtlinie erstellen aus. Geben Sie einen Namen für die Richtlinie ein. 2. Doppelklicken Sie auf den Richtliniennamen. Geben Sie im Dialogfeld Update-Richtlinie auf der Registerkarte Primärserver die Zugangsdaten sowie die Adresse für den Zugang zum Server ein. Bei der Adresse muss es sich um einen vollqualifizierten Domänennamen oder eine IP-Adresse handeln (z.b. oder ). Geben Sie unter Benutzername und Kennwort die Zugangsdaten des Kontos ein, über das die Clients Updates von Sophos herunterladen. Es empfiehlt sich ein Konto pro Kunden mit Lesezugriff. Machen Sie bei Bedarf weitere Angaben und klicken Sie auf OK, um das Dialogfeld der Update-Richtlinie zu schließen. 3. Wählen Sie im Feld Gruppen eine Gruppe aus, auf die die konfigurierte Update-Richtlinie übertragen werden soll: Ziehen Sie hierzu die Richtlinie auf die Gruppe oder rechtsklicken Sie auf die Gruppe, klicken Sie auf Gruppenrichtliniendetails öffnen und wählen Sie die neue Richtlinie im Dropdown-Menü Updates aus. Wiederholen Sie diesen Schritt für alle Gruppen in der Richtlinie. 23

24 Sophos Endpoint Security and Control 12 Überprüfen der Konfiguration Sie haben die Konfiguration abgeschlossen. Führen Sie zur Überprüfung Ihrer Einstellungen die folgenden Tests durch: 1. Überprüfen Sie auf demsophos DMZ-Server, ob Sie unter Verwendung des vollqualifizierten Domänennamens (FQDN) eine Verbindung zu Port 8192 herstellen können. Die ausgegebene Antwort sollte mit IOR anfangen. Hierzu können Sie Telnet oder vergleichbare Tools verwenden. Beispiel: Geben Sie in die Befehlszeile Folgendes ein: telnet sophos-dmz.msp.com Sollte dies nicht funktionieren, verwenden Sie statt des FQDN localhost, um zu ermitteln, ob ein DNS-/IP-Routing-Problem vorliegt. Wiederholen Sie den Schritt für den SEC-Server. Beispiel: Geben Sie in die Befehlszeile Folgendes ein: telnet sec-server Wiederholen Sie die genannten Schritte auf einem externen Client, um zu überprüfen, ob extern auf den DMZ-Server zugegriffen werden kann. Beispiel: Geben Sie telnet sophos-dmz.msp.com 8192 ein. 3. Überprüfen Sie, ob das Management-System mit dem FQDN konfiguriert wurde. Verfahren Sie hierzu wie folgt: a) Öffnen Sie auf dem Sophos DMZ-Server den Registrierungseditor. Klicken Sie hierzu auf Start, Ausführen, geben Sie regedit ein und klicken Sie auf OK. b) Navigieren Sie zum Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE. c) Rechtsklicken Sie auf SOFTWARE und klicken Sie auf Suchen. d) Geben Sie unter Suchen nach: den FQDN des Sophos DMZ-Servers ein. e) Wenn eine Instanz gefunden wurde, drücken Sie auf der Tastatur auf F3, um nach einer weiteren Instanz zu suchen. Hinweis: Es sollten zwei Instanzen des FQDN-Namens vorhanden sein. Wenn Sie sichergestellt haben, dass zwei Instanzen vorhanden sind, schließen Sie den Registrierungseditor. 4. Überprüfen Sie auf einem externen Client, ob unter Verwendung des FQDN des Sophos DMZ-Servers eine Verbindung zu IIS auf Port 80 über einen Webbrowser hergestellt werden kann. Navigieren Sie durch die Ordnerstruktur (wenn die Verzeichnisauflistung deaktiviert ist, geben Sie Pfade an, die sich von der Navigation durch das lokale Verzeichnis ableiten), um sicherzustellen, dass Dateien heruntergeladen werden können. Laden Sie beispielsweise eine.pem -Datei herunter, da sich diese nicht in dr Standardliste der IIS-MIME-Typen befindet. Mit den Standardeinstellungen lautet der Pfad zur.pem -Datei: 24

25 Managed Service Provider-Anleitung für für verteilte Systeme Nach der Durchführung der genannten Schritte können Sie mit dem Schutz des Sophos DMZ-Servers fortfahren. 25

26 Sophos Endpoint Security and Control 13 Schützen des Sophos DMZ-Servers Schützen Sie jetzt den Sophos DMZ-Server, auf dem soeben Sophos Update Manager installiert wurde. 1. Führen Sie auf dem Sophos DMZ-Server die Setup-Datei aus dem Installationsfreigabenpfad auf dem DMZ-Server aus. Den Pfad finden Sie hier: Installation des Update Managers (Seite 17). 2. In Enterprise Console a) Nehmen Sie den Sophos DMZ-Server als Mitglied in eine MSP-Gruppe auf. b) Weisen Sie dem SophosDMZ-Server Richtlinien zu. c) Stellen Sie sicher, dass keine Alerts oder Fehlerzustände für den Sophos DMZ-Server angezeigt werden. Wenn doch, beheben Sie die Probleme, bei denen Handlungsbedarf (beispielsweise eine Neustart) besteht. Der Sophos DMZ-Server wird jetzt geschützt. 26

27 Managed Service Provider-Anleitung für für verteilte Systeme 14 Erstellen eines Installationspakets 14.1 Informationen zum Deployment Packager-Tool Sie können Sophos Endpoint Security and Control (SESC) mit dem Deployment Packager-Tool auf Endpoints installieren. Das Tool steht auf der Sophos Website zum Download bereit. Der Deployment Packager erstellt eine einzelne, selbst-extrahierende Archivdatei aus einer Reihe von Sophos Endpoint-Setup-Dateien für die Installation von Endpoint Security and Control und Sophos Disk Encryption auf Windows-Endpoints. Das Dateipaket umfasst Konfigurations-Optionen, wie etwa automatische/interaktive Installation, Auswahl an Installationspaketen, Update-Pfad/Zugangsdaten und Endpoint-Gruppenmitgliedschaft. Mit dem Deployment Packager erstellte Pakete versuchen, Schutzsoftware anderer Anbieter, die Konflikte auslösen könnte, zu entfernen. Fremdsoftware, die Konflikte mit Verschlüsselungssoftware auslösen kann, lässt sich zwar erkennen, muss jedoch manuell entfernt werden. Sie müssen möglicherweise mehrere Pakete erstellen, die jeweils den Anforderungen unterschiedlicher Endpoint-Arten gerecht werden. Sie können den Deployment Packager über die Benutzeroberfläche (GUI) oder eine Befehlszeile (CLI) ausführen. Die GUI bietet sich vor allem für die einmalige Installation an. Die CLI bietet bei mehrfachen Installationen mehr Flexibilität. Eine Zeichenfolge zum Einleiten der Befehlszeilenversion kann mitsamt aller Optionen in einer Textdatei gespeichert oder über eine zeitgesteuerte Batch-Datei regelmäßig ausgeführt werden, damit sich Installationspakete stets auf dem aktuellen Stand befinden. Wenn Sie also viele Computer verwalten, die viele Endpoint-Installationen erforderlich machen, bietet sich die CLI an. Anweisungen zur Nutzung des Deployment Packagers über die Befehlszeile finden Sie im Abschnitt Anhang: Erstellen eines Schutz-Pakets über die Befehlszeile (Seite 40). Systemvoraussetzungen Deployment Packager setzt Folgendes voraus: Windows-Betriebssysteme: siehe Freier Festplattenspeicher: 1 GB Arbeitsspeicher: 1 GB Prozessor: Mind. Pentium 2 GHz oder kompatibler Sie müssen zudem die Systemvoraussetzungen der Endpoint-Komponenten des Pakets beachten. Siehe 27

28 Sophos Endpoint Security and Control 14.2 Erstellen von Paketen über die Benutzeroberfläche Die Bereitstellung über die Benutzeroberfläche bietet sich für die einmalige Bereitstellung an. Sie können Installationspakete für folgende Funktionen erstellen: Endpoint-Schutz-Paket mit Virenschutz, Remote Management, Firewall und Patch Management. Verschlüsselungs-Paket, wenn Verschlüsselung im Umfang Ihrer Lizenz enthalten ist Erstellen eines Schutz-Pakets über die Benutzeroberfläche 1. Zum Erstellen eines Schutz-Pakets führen Sie DeploymentPackager.exe aus. Das Dialogfeld Sophos Deployment Packager wird angezeigt. 2. Geben Sie unter Source Folder den Speicherort des zentralen Installationsverzeichnisses mit den Endpoint-Software-Installationsdateien ein. Es muss sich hierbei um einen UNC-Pfad oder ein lokales Verzeichnis handeln. 28