Guida dell amministratore

Transcript

1 TM TREND MICRO OfficeScan Client/Server Edition 8 Per medie imprese e grandi organizzazioni TM Guía de instalación e implementación Guida dell amministratore Código de artículo: OSSM83300/70727 Sicurezza dei punti terminali

2 Trend Micro Incorporated si riserva il diritto di apportare modifiche a questa documentazione e ai prodotti in essa descritti senza alcun obbligo di notifica. Prima dell'installazione e dell'utilizzo del software, leggere con attenzione i file readme, le note sulla versione corrente e l'ultima edizione della relativa documentazione dell'utente, che sono disponibili presso il sito di Trend Micro all'indirizzo: Trend Micro, il logo Trend Micro della pallina con il disegno di una T, OfficeScan, Control Manager, Damage Cleanup Services, emanager, InterScan, Network VirusWall e TrendLabs sono marchi o marchi registrati di Trend Micro Incorporated. Tutti gli altri nomi di aziende o prodotti poossono essere marchi o marchi registrati dei rispettivi proprietari. Copyright Trend Micro Incorporated. Tutti i diritti riservati. Codice documento: OSEM83042/70123 Data di pubblicazione: giugno 2008 Protetto da brevetti USA n. 5,623,600; 5,889,943; 5,951,698; 6.119,165

3 La documentazione dell'utente di Trend Micro OfficeScan è destinata alla presentazione delle caratteristiche principali del software e alle istruzioni per l'installazione nell'ambiente di produzione dell'utente. Prima di procedere all'installazione o all'utilizzo del software, leggere attentamente questa documentazione. Altre informazioni dettagliate sull'utilizzo di funzioni specifiche del software sono disponibili nella guida in linea e nella Knowledge Base sul sito di Trend Micro.

4 Sommario Sommario Capitolo 1: Introduzione a OfficeScan Informazioni su OfficeScan Novità della versione Antivirus Firewall Protezione dalle minacce Web Duplicazione dei componenti Plug-in Manager Gestione della console Web Supporto piattaforme Altri Principali funzioni e vantaggi Protezione contro i rischi per la sicurezza Reputazione Web Funzionalità anti-spyware avanzate Plug-in Manager e programmi plug-in Gestione centralizzata Implementazione della protezione e dei criteri Firewall di OfficeScan Damage Cleanup Services Server OfficeScan Client OfficeScan Programmi e componenti di OfficeScan Hot fix, patch e service pack Rischi per la sicurezza Virus e minacce informatiche Virus di rete Spyware e grayware Attacchi di phishing Documentazione di OfficeScan Terminologia i

5 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Capitolo 2: Capitolo 3: Introduzione a OfficeScan La console Web Domini OfficeScan Impostazioni proxy Proxy per l'aggiornamento dei componenti del server Proxy per l'aggiornamento dei componenti del client Proxy per la Reputazione Web Aggiornamento dei componenti Origine aggiornamenti Duplicazione dei componenti Aggiornamento server Update Agent Aggiornamento client Privilegi e impostazioni di aggiornamento dei componenti Rollback del componente Impostazioni di scansione Tipi di scansione Parametri di scansione Esclusioni scansione Impostazioni globali di scansione Operazioni di scansione ActiveAction Privilegi scansione Configurazione della reputazione Web Minacce Web Punteggio di reputazione Livelli di sicurezza Criteri di reputazione Web e posizione del computer URL approvati Impostazioni aggiuntive di Reputazione Web Gestione dei computer collegati in rete Firewall di OfficeScan Criteri Eccezioni al criterio Profili Impostazioni predefinite ii

6 Sommario Privilegi firewall Verifica del firewall Firewall: come disattivarlo Protezione dalle infezioni Prevenzione delle infezioni Criteri per la prevenzione delle infezioni Attività dopo l'infezione Notifiche ai client Notifiche sui Rischi per la sicurezza Altre notifiche Verifica della connessione client-server Privilegi e altre impostazioni del client Impostazioni client globali Gestione delle impostazioni dei client Cisco NAC Capitolo 4: Gestione del server OfficeScan Trend Micro Control Manager Registri Registri dei computer collegati in rete Registri aggiornamenti server Registri eventi di sistema Eliminazione dei registri Licenze OfficeScan Database Backup Informazioni sul server Web OfficeScan Notifiche per l'amministratore Notifiche standard Notifiche delle infezioni Password della console Web Client inattivi Gestore della quarantena Strumenti amministrativi e strumenti client World Virus Tracking Program iii

7 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Capitolo 5: Capitolo 6: Descrizione di Policy Server for Cisco NAC Componenti e termini Componenti Termini Architettura Cisco NAC Sequenza di convalida client Policy Server Criteri e regole di Policy Server Composizione delle regole Regole predefinite Composizione dei criteri Criteri predefiniti Sincronizzazione Certificati Certificato CA Requisiti di sistema per Policy Server Sistema operativo Hardware Server Web Console Web Requisiti per Cisco Trust Agent (CTA) Sistema operativo Hardware Altri Piattaforme compatibili e requisiti Implementazione di Policy Server for Cisco NAC Introduzione all'implementazione di Policy Server for NAC Iscrizione del server Cisco Secure ACS Installazione di un certificato CA Preparazione del certificato SSL di Policy Server Implementazione di Cisco Trust Agent Aggiornamento e implementazione di Cisco Trust Agent Verifica dell'installazione di Cisco Trust Agent Installazione di Policy Server for Cisco NAC Configurazione del server ACS Configurazione di Policy Server for Cisco NAC iv

8 Sommario Configurazione di Policy Server da OfficeScan Informazioni riepilogative di un Policy Server Registrazione di Policy Server Regole Criteri Registri di convalida dei client Manutenzione registri client Operazioni di amministrazione Capitolo 7: Gestione di OfficeScan mediante Control Manager Funzioni principali di Control Manager Trend Micro Management Communication Protocol Carico di rete e dimensioni pacchetti ridotti Supporto traversale NAT e firewall Supporto HTTPS Supporto di comunicazione unidirezionale e bidirezionale Supporto Single Sign-On (Single Sign-on) MCP Agent Heartbeat Barra Pianificazione Impostazioni corrette per la funzione Heartbeat Registrazione di OfficeScan Gestione di OfficeScan Directory prodotti Attività della Directory prodotti Configurazione di OfficeScan Gestione delle operazioni di OfficeScan Registri OfficeScan Ripristino di OfficeScan in seguito a rimozione Funzione di ricerca Dispositivo di gestione directory Opzioni del Dispositivo di gestione directory Operazioni del Dispositivo di gestione directory Temp Uso di Temp Operazioni relative a Temp Download e implementazione dei componenti Update Manager v

9 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Download manuali Eccezioni download pianificate Download pianificati Report Report locali Report globali Modelli di report Profili dei report Operazioni correlate ai report Capitolo 8: Capitolo 9: Domande frequenti e risorse per la risoluzione dei problemi Domande frequenti (FAQ) Aggiornamento dei componenti Gestione server Gestione client Funzionalità del prodotto Registri di debug Risorse per la risoluzione dei problemi Case Diagnostic Tool Registri del server OfficeScan Registri dei client OfficeScan Come contattare Trend Micro Assistenza tecnica Semplificazione della chiamata all'assistenza tecnica Knowledge Base di Trend Micro TrendLabs Centro informazioni sulla sicurezza Invio di file sospetti a Trend Micro vi

10 Sommario Appendice A: Configurazione di OfficeScan con software di terzi Panoramica e configurazione dell'architettura Check Point... A-1 Integrazione OfficeScan... A-2 Configurazione di Check Point per OfficeScan... A-4 Installazione supporto SecureClient... A-5 Appendice B: Glossario Termini e definizioni...b-1 Indice vii

11 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore viii

12 Elenco delle tabelle Elenco delle tabelle Tabella 1-1. Icone client online Tabella 1-2. Icone client offline Tabella 1-3. Icone client roaming Tabella 1-4. Condizioni del client che richiedono l'intervento dell'utente Tabella 1-5. Funzioni del client Tabella 1-6. Componenti OfficeScan Tabella 1-7. Programmi OfficeScan Tabella 1-8. Tipi di virus/minaccia informatica Tabella 1-9. Tipi di spyware e grayware Tabella Terminologia utilizzata nella documentazione OfficeScan Tabella 2-1. Impostazioni proxy utilizzate nel corso dell'aggiornamento dei componenti del client Tabella 2-2. Opzioni di aggiornamento dei componenti Tabella 2-3. Scenario di duplicazione dei componenti Tabella 2-4. Requisiti di sistema per gli Update Agent Tabella 2-5. Privilegi di aggiornamento dei componenti per gli utenti dei client selezionati Tabella 2-6. Impostazioni di aggiornamento dei componenti per gli utenti dei client selezionati Tabella 2-7. Aggiornamento pianificato: scenario Tabella 2-8. Aggiornamento pianificato: scenario Tabella 2-9. Parametri di scansione ix

13 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Tabella Comportamento della scansione in tempo reale basato sull'attività dell'utente Tabella Parametri di scansione virus/minacce informatiche Tabella Impostazioni globali di scansione Tabella Scenari e risultati dei file compressi Tabella Azioni di scansione di virus o minaccia informatica disponibili Tabella Operzione di scansione consigliata da Trend Micro contro virus e minacce informatiche Tabella Ulteriori opzioni di operazione di scansione di virus e minacce informatiche Tabella Azioni di scansione spyware/grayware disponibili Tabella Ulteriori opzioni di scansione spyware/grayware Tabella Privilegi di scansione per gli utenti dei client Tabella 3-1. Criteri del firewall predefiniti Tabella 3-3. Profilo firewall predefinito Tabella 3-2. Eccezioni predefinite ai criteri del firewall Tabella 3-4. Privilegi e impostazioni per i client selezionati Tabella 3-5. Impostazioni client globali Tabella 5-1. Componenti di Policy Server for Cisco NAC Tabella 5-2. Termini legati a Policy Server for Cisco NAC Tabella 5-3. Regole predefinite Tabella 5-4. Certificati Cisco NAC Tabella 5-5. Piattaforme compatibili e requisiti Tabella 7-1. Funzionalità di Control Manager Tabella 7-2. Impostazioni consigliate per Heartbeat x

14 Elenco delle tabelle Tabella 7-3. La Directory prodotti di Control Manager Tabella 7-4. Parametri di ricerca per i registri degli eventi Tabella 7-5. Parametri di ricerca per i registri di sicurezza Tabella 7-6. Parametri di ricerca Tabella A-1. Parametri dei nomi e dei valori del file SCV... A-4 xi

15 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore xii

16 Capitolo 1 Introduzione a OfficeScan Argomenti di questo capitolo: Informazioni su OfficeScan a pagina 1-1 Novità della versione a pagina 1-2 Principali funzioni e vantaggi a pagina 1-8 Server OfficeScan a pagina 1-14 Client OfficeScan a pagina 1-15 Programmi e componenti di OfficeScan a pagina 1-22 Rischi per la sicurezza a pagina 1-28 Documentazione di OfficeScan a pagina 1-36 Informazioni su OfficeScan Trend Micro OfficeScan protegge le reti aziendali da virus, cavalli di Troia, worm, hacker, virus di rete, spyware e minacce di tipo misto. In quanto soluzione integrata, protegge i desktop, i PC portatili e i server di rete, mentre la console di gestione basata sul Web facilita l'impostazione di criteri di protezione coordinati e implementa gli aggiornamenti automatici su tutti i client e tutti i server. 1-1

17 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Se integrato con Trend Micro Network VirusWall o altro dispositivo Network Admission Control (NAC), OfficeScan può implementare i criteri sui computer non conformi e quindi riparare, reindirizzare, limitare, negare o consentire l'accesso alla rete. Questo capitolo offre una panoramica delle caratteristiche, delle funzionalità e della tecnologia di OfficeScan. Novità della versione OfficeScan include le seguenti nuove funzioni e miglioramenti: Antivirus IntelliTrap Gli sviluppatori di virus spesso cercano di aggirare i filtri antivirus utilizzando algoritmi di compressione in tempo reale. IntelliTrap contribuisce a ridurre il rischio di infezioni virali o di altre minacce informatiche alla rete bloccando i file contenenti file eseguibili compressi in tempo reale. Per attivare IntelliTrap, accedere a Computer collegati in rete > Gestione client > Impostazioni > {Tipo di scansione} > Scheda Virus/minaccia > Impostazioni di scansione. GeneriClean GeneriClean, conosciuta anche come disinfezione per riferimento, è una nuova tecnologia per la disinfezione dei virus e delle minacce che funziona in assenza dei componenti di disinfezione virale. Utilizzando un file rilevato come base, GeneriClean determina se al file rilevato corrispondono un processo/servizio in memoria e una voce di registro e li rimuove direttamente. Scansione POP3 È possibile assegnare agli utenti client il privilegio di attivare la scansione POP3. Il privilegio consente di configurare le impostazioni di scansione nella scheda Scansione della console client e analizzare i messaggi POP3 alla ricerca di virus/minacce informatiche. 1-2

18 Introduzione a OfficeScan Firewall Registrazione del traffico consentito Oltre a permettere o bloccare il traffico in base ai criteri del firewall, i client OfficeScan ora possono registrare il traffico consentito e, se dispongono dei permessi, inviare i registri al server. È quindi possibile esaminare il traffico proveniente dai computer client e individuare possibili attività dannose senza disturbare i client. Registri del firewall del client È possibile consentire a determinati client di inviare automaticamente i registri del firewall al server (attraverso Computer collegati in rete > Gestione client > Impostazioni > Privilegi e altre impostazioni) e configurare una pianificazione per l'invio dei registri (Computer collegati in rete > Impostazioni client globali). Protezione dalle minacce Web Reputazione Web Oltre all'analisi basata su file, OfficeScan è ora in grado di rilevare e bloccare i rischi per la sicurezza basati sul Web, compresi gli attacchi di phishing. Location awareness consente a OfficeScan di applicare i criteri di reputazione Web corretti in base alla località del computer client. Lo stato di connessione del client con il server OfficeScan o qualsiasi server di riferimento può essere utilizzato per determinare la località del client. Per ulteriori informazioni, consultare Configurazione della reputazione Web a pagina Per configurare le impostazioni di Reputazione Web, passare a Computer collegati in rete > Reputazione Web. I messaggi di notifica della Reputazione Web contengono collegamenti al sistema di query della Reputazione Web Trend Micro. Questo sistema fornisce dettagli sugli URL bloccati e consente agli utenti di inviare commenti sulla Reputazione Web Trend Micro. Questa versione di OfficeScan supporta l'autenticazione del server proxy per la Reputazione Web. È possibile specificare un gruppo di credenziali per l'autenticazione proxy nella console Web. Sono supportati i server proxy HTTP. 1-3

19 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore È possibile replicare le impostazioni di Reputazione Web da un server OfficeScan a un altro dalla console Trend Micro Control Manager. Questa versione comprende l'utilità di importazione impostazioni gateway (GSImporter.exe). Questo strumento consente di importare un elenco delle impostazioni gateway nella schermata Località computer. Per informazioni sull'uso dello strumento, consultare la guida in linea. Anti-spyware OfficeScan è associato a un nuovo motore di scansione e disinfezione anti-spyware in grado di rilevare e disinfettare più spyware/grayware di prima, generando meno falsi allarmi. Il prodotto comprende le seguenti funzioni: Rilevamento in tempo reale La scansione di spyware/grayware in tempo reale nel file system impedisce o interrompe l'esecuzione dello spyware. Ripristino spyware/grayware Dopo aver effettuato operazioni sullo spyware/grayware, i client OfficeScan eseguono il backup dei relativi dati, in modo da consentire al server OfficeScan il ripristino qualora lo spyware/grayware fosse ritenuto sicuro. È possibile selezionare per il ripristino anche segmenti di dati spyware/grayware. Per ripristinare lo spyware/grayware, passare a Computer collegati in rete > Gestione dei client > Operazioni > Ripristino spyware/grayware. Modalità di valutazione In modalità valutazione, OfficeScan segnerà sul registro tutte le attività di grayware e spyware rilevate, ma non effettuerà la disinfezione dei componenti grayware e spyware rilevati. La disinfezione interrompe i processi o elimina registri, file, cookie e collegamenti. La modalità di valutazione di Trend Micro consente di valutare gli elementi che Trend Micro considera spyware/grayware e prendere provvedimenti in base alla valutazione. Ad esempio, lo spyware/grayware rilevato non considerato un rischio per la sicurezza può essere aggiunto all'elenco approvati. 1-4

20 Introduzione a OfficeScan Per configurare le impostazioni della modalità di valutazione, accedere a Computer collegati in rete > Impostazioni client globali > Impostazioni spyware/grayware. Rilevamento rootkit Questa versione comprende anche un nuovo componente per il rilevamento e la rimozione dei rootkit. Costantemente in aumento, i rootkit danneggiano le normali funzioni del sistema operativo che le applicazioni considerano valide per ottenere un esteso controllo del computer dell'utente. I rootkit sono molto difficili da eliminare senza riformattare il sistema. Duplicazione dei componenti Lo scaricamento di un file di pattern completo a ogni aggiornamento dei componenti di OfficeScan richiede un notevole utilizzo dell'ampiezza di banda. Questa versione di OfficeScan può limitare le operazioni di download ai soli nuovi pattern disponibili. Per ulteriori informazioni, consultare Duplicazione dei componenti a pagina 2-9. Plug-in Manager I programmi plug-in sono sviluppati al di fuori di una release del prodotto e non sono ancora completamente integrati in OfficeScan. Grazie a Plug-in Manager, non è più necessario attendere la release di un prodotto per iniziare a utilizzare i programmi plug-in. Plug-in Manager visualizza nella console Web OfficeScan i programmi sia per il server OfficeScan sia per i client, non appena questi sono disponibili. A questo punto è possibile installare e gestire i programmi dalla console Web e distribuire ai client i programmi plug-in per i client. È possibile scaricare e installare Plug-in Manager facendo clic su Plug-in Manager nel menu principale della console Web. Al termine dell'installazione, è possibile verificare la presenza di programmi plug-in disponibili. 1-5

21 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Gestione della console Web Gli amministratori e gli utenti client ora possono gestire separatamente le funzioni anti-spyware e antivirus. Gestione di tutte le operazioni relative ai client tramite le voci di menu sopra la struttura ad albero dei client Gestione dei messaggi di notifica e delle impostazioni della console Web facendo clic su Notifiche nel menu principale Supporto piattaforme Ora è possibile installare OfficeScan nelle seguenti piattaforme e applicazioni. Per un elenco completo dei requisiti di sistema, consultare i file readme di OfficeScan. Server OfficeScan OfficeScan supporta ora l'installazione server su sistemi operativi guest ospitati nelle seguenti applicazioni di virtualizzazione: Microsoft Virtual Server 2005 R2 Service Pack 1 VMware ESX Server 3.0 (ESX Server Edition) VMware Server (Server Edition) VMware Workstation e Workstation ACE Edition 6.0 Client OfficeScan Microsoft certifica che il client OfficeScan supporta la piattaforma Microsoft Windows Vista (a 32 e 64 bit). Tra le edizioni supportate di Windows Vista: Enterprise, Business, Ultimate, Home Basic e Home Premium. Nota. Il server OfficeScan non supporta Windows Vista. I computer dotati di Windows Vista potranno disporre di gran parte dei programmi e delle caratteristiche di OfficeScan, con le seguenti eccezioni: Scansione Microsoft Outlook Check Point SecureClient Cisco NAC 2 1-6

22 Introduzione a OfficeScan Utilità Image Setup (ImgSetup.exe) Nota. Anche se Image Setup non è supportato, i client hanno la possibilità di modificare automaticamente la GUID se lo richiede il server. Notifica dell'origine dell'infezione (il servizio Alerter è rimosso) Le altre nuove piattaforme supportate comprendono: Windows XP Home Edition con Service Pack 3 (versione a 32 bit) Windows Server Standard, Enterprise e Datacenter Edition (versioni a 32 e 64 bit) Windows Web Server 2008 (versioni a 32 e 64 bit) OfficeScan supporta anche l'installazione client su sistemi operativi guest Windows 2000/XP/2003 ospitati nelle seguenti applicazioni di virtualizzazione: Microsoft Virtual Server 2005 R2 con Service Pack 1 (salvo sistemi operativi Windows XP/2003 a 64 bit) VMware ESX Server 3.0 (ESX Server Edition) VMware Server (Server Edition) VMware Workstation e Workstation ACE Edition 6.0 Ora il client OfficeScan è compatibile con le applicazioni seguenti: Citrix Presentation Server Platinum Edition 4.0 e 4.5 (32 e 64 bit) Microsoft ActiveSync 4.2, 4.5 Windows Mobile Device Center 6 (32 bit) Windows Mobile Device Center 6.1 (32 e 64 bit) Altri Migliore uso della memoria client Le nuove versioni del motore di scansione spyware e del motore di scansione virus utilizzano meno memoria rispetto alle versioni precedenti, migliorando le prestazioni del client OfficeScan. L'utilizzo di memoria cambierà in futuro sulla base dei motori di scansione e delle caratteristiche dei file di pattern. Per ottenere dati aggiornati, contattare l'assistenza tecnica. 1-7

23 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Supporto per Trend Micro Control Manager Questa versione di OfficeScan supporta Control Manager 5.0 e 3.5. Applicare le patch più recenti e gli hot fix critici per queste versioni di Control Manager per consentire a Control Manager di gestire OfficeScan. Per ottenere le patch e gli hot fix più recenti, visitare il Centro aggiornamento Trend Micro ( o contattare il proprio fornitore di fiducia. Principali funzioni e vantaggi OfficeScan offre le funzioni e i vantaggi seguenti: Protezione contro i rischi per la sicurezza OfficeScan protegge i computer collegati in rete da virus, minacce informatiche, spyware, grayware e minacce Web. Il client OfficeScan protegge dai rischi per la sicurezza, segnala gli eventi al server OfficeScan e riceve da questo gli aggiornamenti. Il Server OfficeScan ospita la console Web, scarica gli aggiornamenti da un'origine di aggiornamento (ad esempio il server ActiveUpdate di Trend Micro) e invia una notifica ai computer client relativamente all'aggiornamento dei componenti. Reputazione Web La tecnologia di Reputazione Web integrata in OfficeScan protegge in modo proattivo i computer client all'interno o all'esterno della rete aziendale da siti Web dannosi e potenzialmente pericolosi. La Reputazione Web spezza la catena dell'infezione e impedisce lo scaricamento di codice dannoso. Funzionalità anti-spyware avanzate OfficeScan protegge da molti diversi tipi di spyware tra cui adware, dialer, programmi joke, strumenti di accesso remoto e applicazioni per decifratura password. Grazie all'esteso e aggiornato database degli spyware e agli elenchi di esclusione personalizzati, è possibile ridurre al minimo i rischi di rallentamento dovuti a spyware, blocchi di sistema e chiamate ai centri di assistenza. Inoltre OfficeScan impedisce ai keylogger di sottrarre informazioni riservate, preserva l'ampiezza di banda e garantisce la produttività aziendale. Queste funzioni integrano la funzione anti-spyware di Trend Micro 1-8

24 Introduzione a OfficeScan InterScan Web Security Suite e garantiscono una protezione anti-spyware end-to-end dal gateway Web alle reti client/server. Plug-in Manager e programmi plug-in I programmi plug-in, con le nuove versioni dei prodotti, i service pack e le patch, vengono progettati per aggiungere nuove funzioni e funzionalità di protezione a OfficeScan e migliorare le funzioni del prodotto. Plug-in Manager consente l'installazione, la distribuzione e la gestione dei programmi plug-in. Il server OfficeScan scarica Plug-in Manager e altri programmi plug-in, comprese le nuove versioni dei programmi, dal server Trend Micro ActiveUpdate. Gestione centralizzata Una console di gestione basata su Web consente agli amministratori di accedere in modo trasparente a tutti i client e server della rete. La console Web coordina l'implementazione automatica di criteri di sicurezza, file di pattern e aggiornamenti software su ogni client e server. Grazie ai servizi di prevenzione delle infezioni, arresta i vettori delle infezioni e implementa rapidamente i criteri di protezione specifici per attacco al fine di prevenire o contenere le infezioni prima che i file di pattern siano resi disponibili. OfficeScan esegue anche il monitoraggio in tempo reale, spedisce notifiche degli eventi e genera relazioni complete. Gli amministratori possono eseguire l'amministrazione in remoto, impostare criteri personalizzati per singoli desktop o gruppi e bloccare le impostazioni di sicurezza dei client. Implementazione della protezione e dei criteri OfficeScan si integra senza problemi con Cisco TrustAgent, consentendo così l'implementazione dei criteri più efficaci all'interno di una rete Cisco Self-Defending Network. OfficeScan dispone anche di un server dei criteri (Policy Server) per la comunicazione automatica con i server di controllo dell'accesso di Cisco. Se integrato con Trend Micro Network VirusWall o qualsiasi dispositivo Network Admission Control (NAC), OfficeScan può controllare i client provando ad accedere alla rete e riparare, reindirizzare, limitare, negare o consentire l'accesso. Se un computer è vulnerabile o viene infettato, OfficeScan può isolarlo automaticamente, insieme ai relativi segmenti di rete, finché tutti i PC non vengono aggiornati o la disinfezione non è terminata. 1-9

25 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Firewall di OfficeScan Il firewall OfficeScan protegge i client e i server della rete grazie a un sistema di "stateful inspection", con scansione antivirus della rete ad elevate prestazioni ed eliminazione. Con la console di gestione centrale, è possibile creare regole per filtrare le connessioni per indirizzo IP, numero di porta o protocollo e poi applicare tali regole a gruppi diversi di utenti. Nota. È possibile installare, configurare e utilizzare il firewall OfficeScan su computer Windows XP sui quali è stato attivato il firewall di Windows. Per fare questo, tuttavia, è necessario gestire attentamente i criteri per evitare di creare conflitti tra i due firewall e ottenere risultati non desiderati. Se, ad esempio, si configura un firewall in modo da consentire il traffico attraverso una determinata porta, ma l'altro firewall blocca il traffico su quella stessa porta, OfficeScan bloccherà il traffico. Per conoscere i dettagli sul firewall per connessioni Internet, consultare la documentazione Microsoft. Filtro del traffico Il firewall di OfficeScan filtra tutto il traffico in entrata e in uscita e offre la possibilità di bloccare alcuni tipi di traffico in base ai seguenti criteri: Direzione (in entrata/in uscita) Protocollo (TCP/UDP/ICMP) Porte di destinazione Computer di origine e destinazione Scansione dei virus di rete Il firewall di OfficeScan, inoltre, esamina tutti i pacchetti alla ricerca di virus di rete. Profili e criteri personalizzabili Il firewall di OfficeScan consente di configurare i criteri affinché blocchino o consentano tipi di traffico di rete specificati. Assegnare un criterio a uno o più profili, che poi potranno essere implementati nei client OfficeScan specificati. Questo costituisce un metodo molto personalizzabile per l'organizzazione e la configurazione delle impostazioni di firewall per i propri client. 1-10

26 Introduzione a OfficeScan Stateful inspection Il firewall di OfficeScan è di tipo "stateful inspection": monitora cioè tutte le connessioni al computer client e archivia tutti gli stati di connessione. È in grado di identificare condizioni specifiche in ogni connessione, prevedere quali azioni seguiranno e individuare le interruzioni alla connessione normale. Le decisioni sulle modalità di filtro si basano quindi non soltanto su profili e criteri, ma anche sul contesto stabilito analizzando le connessioni e filtrando i pacchetti che passano attraverso il firewall. Sistema di prevenzione intrusioni Il firewall di OfficeScan comprende anche un sistema di prevenzione intrusioni (IDS). Se attivato, il sistema IDS facilita l'identificazione dei pattern nei pacchetti di rete che possono indicare un attacco al client. Il firewall di OfficeScan consente di prevenire le seguenti intrusioni note: Frammento troppo grande: attacco DoS (Denial of Service) in cui un hacker dirige un pacchetto TCP/UDP di dimensioni eccessive su un computer di destinazione. Un'operazione di questo tipo può comportare l'overflow del buffer sui computer, causandone il blocco o il riavvio. Ping of Death: attacco DoS (Denial of Service) in cui un hacker dirige un pacchetto ICMP di dimensioni eccessive su un computer di destinazione. Un'operazione di questo tipo può comportare l'overflow del buffer sui computer, causandone il blocco o il riavvio. Conflitto ARP: tipo di attacco in cui un hacker invia una richiesta di Address Resolution Protocol (ARP) utilizzando lo stesso indirizzo IP come origine e come destinazione. Il computer oggetto dell'attacco, quindi, comincia a inviare continuamente una risposta ARP (il suo indirizzo MAC) a se stesso, con conseguente blocco del sistema. Flooding SYN: attacco DoS (Denial of Service) in cui un programma invia a un computer dei pacchetti di sincronizzazione (SYN) TCP multipli, causando un invio continuo di risposte di riconoscimento (SYN/ACK) da parte del computer. Questi invii possono provocare l'esaurimento della memoria del computer con conseguente blocco del sistema. Frammenti sovrapposti: questo attacco di tipo DoS (Denial of Service) simile al teardrop, invia a un computer dei frammenti TCP sovrapposti. Questo causa la sovrascrittura delle informazioni di intestazione del primo frammento TCP che potrebbe così oltrepassare un firewall. Il firewall, a questo punto, potrebbe 1-11

27 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore consentire l'accesso ai successivi frammenti contenenti il codice maligno permettendo loro di raggiungere il computer di destinazione. Teardrop: questo attacco di tipo DoS (Denial of Service) simile all'attacco a frammenti sovrapposti, utilizza dei frammenti IP. Un valore di offset errato all'interno del secondo o di altri frammenti IP può causare il blocco del sistema operativo del computer ricevente nel momento in cui tenta di riassemblare i frammenti. Attacco con frammenti di dimensioni minime: tipo di attacco in cui un frammento TCP di dimensioni minime forza le informazioni di intestazione del primo pacchetto TCP all'interno del frammento successivo. I router che filtrano il traffico ignorano pertanto il frammento successivo, che potrebbe invece contenere dati maligni. IGMP frammentato: attacco di tipo DoS (Denial of Service) che invia pacchetti IGMP frammentati a un computer di destinazione che non riesce a elaborarli correttamente, con conseguente rallentamento o blocco del computer. Attacco LAND: tipo di attacco che invia a un computer dei pacchetti di sincronizzazione (SYN) IP contenenti lo stesso indirizzo come origine e come destinazione; il computer invia pertanto la risposta di riconoscimento (SYN/ACK) a se stesso, con conseguente rallentamento o blocco del computer. Monitoraggio delle violazioni del firewall Quando le violazioni del firewall superano determinate soglie che potrebbero far pensare a un attacco, il firewall di OfficeScan invia un messaggio di notifica personalizzato a specifici destinatari. Autorizzazioni firewall per il client L'amministratore può concedere agli utenti le autorizzazioni necessarie per visualizzare le impostazioni del firewall sulla console del client OfficeScan, nonché quelle per attivare o disattivare il firewall, per il sistema di prevenzione intrusioni e per il messaggio di notifica della violazione del firewall. Damage Cleanup Services Damage Cleanup Services disinfetta i computer dai virus di rete, da quelli basati su file e dai resti di virus e worm (cavalli di Troia, voci di registro, file virali) utilizzando un processo completamente automatizzato. OfficeScan e Damage Cleanup Services sono 1-12

28 Introduzione a OfficeScan componenti fondamentali della strategia di protezione aziendale (EPS) di Trend Micro, progettata per gestire in modo proattivo il ciclo vitale delle infezioni, dalla prevenzione della vulnerabilità all'eliminazione del codice. Per ulteriori informazioni sulla strategia di protezione aziendale, visitare il seguente sito Web: Soluzione Damage Cleanup Services Per affrontare le minacce e i fastidi provocati dai cavalli di Troia, Cleanup Services effettua le seguenti operazioni: Rileva e rimuove i cavalli di Troia attivi Blocca i processi innescati dai cavalli di Troia Ripara i file di sistema modificati dai cavalli di Troia Elimina i file e le applicazioni lasciati dai cavalli di Troia Poiché DCS viene eseguito automaticamente in background, non è necessario configurarlo. Gli utenti non si rendono neanche conto che il sistema è in funzione. Tuttavia, OfficeScan può a volte richiedere all'utente di riavviare il computer per completare il processo di rimozione di un cavallo di Troia. 1-13

29 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Server OfficeScan Il server OfficeScan basato su HTTP racchiude a livello centrale tutte le configurazioni client, i registri dei rischi per la sicurezza, le applicazioni software e gli aggiornamenti dei client. Il server esegue due importanti funzioni: Installa, monitora e gestisce i client collegati in rete Scarica i componenti dal server di aggiornamento Trend Micro e li distribuisce ai client Il server OfficeScan è in grado di garantire una comunicazione bidirezionale in tempo reale tra server e client. I client possono essere gestiti da una console Web basata sul browser, a cui si può accedere virtualmente da qualsiasi punto della rete. Il server comunica con il client (e il client con il server) attraverso HyperText Transfer Protocol (HTTP). Il server può installare solo client basati su HTTP. Non è possibile installare un client basato su HTTP se il computer client non supporta il protocollo TCP/IP. Internet Il server OfficeScan scarica i componenti dall'origine aggiornamenti. Server OfficeScan Console Web Per la gestione del server e dei client OfficeScan si utilizza la console Web. Client OfficeScan FIGURA 1-1 Come funziona il server basato su HTTP 1-14

30 Introduzione a OfficeScan Client OfficeScan L'installazione del client OfficeScan su ogni computer con sistema operativo Windows consente di proteggere i computer dai rischi per la sicurezza. Il client mette a disposizione tre metodi di scansione: in tempo reale, pianificata e manuale. Il client invia quindi delle notifiche al server principale dal quale è stato installato. È possibile fare in modo che i client rispondano a un altro server utilizzando lo strumento Client Mover (per ulteriori informazioni su questo strumento consultare la guida in linea). Il client invia al server in tempo reale delle informazioni sugli eventi e sullo stato in modo da fornire all'amministratore delle informazioni sul client aggiornate. Gli eventi riportati sono ad esempio il rilevamento di virus e minacce informatiche, l'avvio e lo spegnimento del client, l'avvio di una scansione o il completamento di un aggiornamento. Le impostazioni di scansione sui client possono essere configurate sia dalla console client (se agli utenti viene concesso questo privilegio) sia dalla console Web del server. Per implementare una protezione uniforme dei desktop in tutta la rete, non concedere ai client i privilegi per modificare le impostazioni di scansione o rimuovere il programma client. I client OfficeScan possono essere inseriti in categorie in base alla connessione con il server OfficeScan. Client online Client offline Client roaming 1-15

31 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Client online I client online sono costantemente connessi con il server. Il server OfficeScan può avviare le attività e implementare le impostazioni client su questi client. TABELLA 1-1. Icone client online ICONA DESCRIZIONE SCANSIONE IN TEMPO REALE Tutti i componenti sono aggiornati e i servizi funzionano correttamente. Il file di pattern non è stato aggiornato recentemente. Attivato Attivato Al momento, OfficeScan sta eseguendo una scansione alla ricerca di rischi per la sicurezza o sta eseguendo operazioni contro tali rischi. Questa icona viene visualizzata non appena si avvia Esegui scansione, Scansione manuale o Scansione pianificata. La scansione in tempo reale è stata disattivata. Attivato Disattivato La scansione in tempo reale è stata disattivata e il file di pattern non è stato aggiornato recentemente. Il servizio di scansione in tempo reale è stato interrotto. Nota. OfficeScan utilizza il servizio di scansione in tempo reale non solo per la scansione in tempo reale, ma anche per la scansione manuale e pianificata. Questo significa che se la scansione in tempo reale viene interrotta, il computer client non è protetto. Se la scansione in tempo reale viene interrotta, l'icona diventa rossa. Il servizio di scansione in tempo reale è stato interrotto e il file di pattern non è stato aggiornato recentemente. Disattivato Disattivato Disattivato 1-16

32 Introduzione a OfficeScan Client offline I client offline sono stati disconnessi dal server. Il server OfficeScan non è in grado di gestire questi client. TABELLA 1-2. Icone client offline ICONA DESCRIZIONE SCANSIONE IN TEMPO REALE Il client è stato disconnesso dal server. Attivato Il client è stato disconnesso dal server e il file di pattern non è stato aggiornato recentemente. Il client è stato disconnesso e il servizio di scansione in tempo reale è stato disattivato. Il client è stato disconnesso dal server, la scansione in tempo reale è stata disattivata e il file di pattern non è stato aggiornato recentemente. Il client è stato disconnesso dal server e il servizio di scansione in tempo reale è stato interrotto. Nota. OfficeScan utilizza il servizio di scansione in tempo reale non solo per la scansione in tempo reale, ma anche per la scansione manuale e pianificata. Questo significa che se la scansione in tempo reale viene interrotta, il computer client non è protetto. Se la scansione in tempo reale viene interrotta, l'icona diventa rossa. Il client è stato disconnesso dal server, il servizio di scansione in tempo reale è stato interrotto e il file di pattern non è stato aggiornato recentemente. Attivato Disattivato Disattivato Disattivato Disattivato 1-17

33 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore Client roaming I client roaming non possono aggiornare i componenti dal server OfficeScan, né possono inviare al server i registri. Inoltre, il server OfficeScan non è in grado di gestire i client roaming, compresa l'inizializzazione delle attività e l'implementazione delle impostazioni dei client. In base a vari fattori come la posizione del computer client o lo stato della connessione di rete, un client roaming potrebbe riuscire a comunicare o meno con il server OfficeScan. Gli utenti con privilegi roaming possono attivare la modalità roaming quando l'intervento del server OfficeScan (come la scansione avviata dal server) impedisce di realizzare un'attività quale, ad esempio, la visualizzazione di una presentazione. I client roaming con una connessione Internet possono comunque aggiornare i componenti se configurati per ricevere gli aggiornamenti da un Update Agent o dal server ActiveUpdate di Trend Micro. I client che interrompono la connessione al server OfficeScan per un periodo di tempo prolungato devono disporre dei privilegi di roaming. Per assegnare tali privilegi, accedere alla scheda Computer collegati in rete > Gestione client > Impostazioni > Privilegi e altre impostazioni > Privilegi. Gli aggiornamenti per i client roaming avvengono solo nei casi riportati di seguito: Se l'utente client esegue un aggiornamento manuale Se si configura l'implementazione di aggiornamenti automatici che include i client roaming Se si concede ai client il privilegio di attivare l'aggiornamento pianificato Per ulteriori informazioni sulle modalità di aggiornamento dei client, consultare Aggiornamento client a pagina TABELLA 1-3. Icone client roaming ICONA DESCRIZIONE SCANSIONE IN TEMPO REALE Tutti i componenti sono aggiornati e i servizi funzionano correttamente. La scansione in tempo reale è stata disattivata. Attivato Disattivato 1-18

34 Introduzione a OfficeScan TABELLA 1-3. Icone client roaming ICONA DESCRIZIONE SCANSIONE IN TEMPO REALE Il file di pattern non è stato aggiornato recentemente. Attivato La scansione in tempo reale è stata disattivata e il file di pattern non è stato aggiornato recentemente. Il servizio di scansione in tempo reale è stato interrotto. Nota. OfficeScan utilizza il servizio di scansione in tempo reale non solo per la scansione in tempo reale, ma anche per la scansione manuale e pianificata. Questo significa che se la scansione in tempo reale viene interrotta, il computer client non è protetto. Se la scansione in tempo reale viene interrotta, l'icona diventa rossa. Il servizio di scansione in tempo reale è stato interrotto e il file di pattern non è stato aggiornato recentemente. Disattivato Disattivato Disattivato Azioni dell'utente richieste Se l'icona del client indica una delle seguenti condizioni, effettuare le operazioni necessarie. TABELLA 1-4. Condizioni del client che richiedono l'intervento dell'utente CONDIZIONE OPERAZIONE File di pattern non aggiornato recentemente Gli utenti dei client devono aggiornare i componenti. Dalla console Web, è possibile configurare le impostazioni di aggiornamento dei componenti in Aggiornamenti > Computer collegati in rete o concedere agli utenti il privilegio di aggiornamento tramite la scheda Computer collegati in rete > Gestione client > Impostazioni > Privilegi e altre impostazioni > Privilegi >Privilegi aggiornamento componenti. 1-19

35 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore TABELLA 1-4. Condizioni del client che richiedono l'intervento dell'utente CONDIZIONE OPERAZIONE Servizio di scansione in tempo reale interrotto Scansione in tempo reale disabilitata Scansione in tempo reale disattivata e client in modalità roaming Il client è disconnesso dal server Gli utenti possono avviare manualmente il servizio (Scansione in tempo reale OfficeScanNT) dalla schermata Servizi Windows. Attivare la scansione in tempo reale dalla console Web (Computer collegati in rete > Gestione client > Impostazioni > Impostazioni scansione in tempo reale). Gli utenti devono disattivare la modalità roaming. Dopo aver disattivato la modalità roaming, attivare la scansione in tempo reale dalla console Web. Verificare innanzitutto la connessione tramite la console Web (Computer collegati in rete > Verifica connessione) e controllare i registri di verifica della connessione (Registri > Registri dei computer collegati in rete > Verifica connessione). Se dopo la verifica il client è ancora scollegato: Se lo stato della connessione è offline sia nel server che nel client, verificare la connessione di rete. Se lo stato della connessione del client è offline ma online sul server, il nome di dominio del server potrebbe essere stato modificato e il client continua a collegarsi al server usando il nome di dominio (se è stato selezionato nome di dominio durante l'installazione del server). Registrare il nome di dominio del server OfficeScan nel server DNS o WINS o aggiungere il nome di dominio e le informazioni IP nei file host della cartella {cartella Windows}\system32\drivers\etc del computer client. Se lo stato della connessione del client è online ma offline sul server, verificare le impostazioni del firewall OfficeScan. Il firewall potrebbe bloccare la comunicazione server-client, ma consentire quella client-server. Se lo stato della connessione del client è online ma offline sul server, è possibile che l'indirizzo IP del client sia stato modificato, ma che il suo stato non sia stato aggiornato sul server (ad esempio, al caricamento del client). Si può provare a implementare nuovamente il client. 1-20

36 Introduzione a OfficeScan Funzioni del client per i sistemi operativi supportati Il client OfficeScan supporta i sistemi operativi Windows 2000, XP/server 2003 (32 e 64 bit), Server 2008 e Vista. TABELLA 1-5. Funzioni del client FUNZIONE WINDOWS 2000 WINDOWS XP/SERVER 2003 (32 BIT) WINDOWS XP/SERVER 2003 (64 BIT) WINDOWS SERVER 2008 WINDOWS VISTA Scansione manuale, scansione in tempo reale e scansione pianificata. Aggiornamento dei componenti (aggiornamento manuale e pianificato) Update Agent Reputazione Web Scansione Microsoft Outlook Scansione POP3 Firewall di OfficeScan Damage Cleanup Services Supporto per Cisco NAC Plug-in Manager 1-21

37 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore TABELLA 1-5. Funzioni del client FUNZIONE WINDOWS 2000 WINDOWS XP/SERVER 2003 (32 BIT) WINDOWS XP/SERVER 2003 (64 BIT) WINDOWS SERVER 2008 WINDOWS VISTA Modalità roaming Supporto SecureClient Programmi e componenti di OfficeScan OfficeScan contiene i seguenti componenti e programmi. È possibile visualizzare anche le versioni correnti di questi componenti e programmi nella schermata Riepilogo della console Web. TABELLA 1-6. Componenti OfficeScan COMPONENTE DESCRIZIONE Antivirus Pattern antivirus Motore di scansione virus File che consente a OfficeScan di identificare impronte virali, pattern univoci di bit e byte che segnalano la presenza di un virus (per ulteriori informazioni, consultare Pattern antivirus a pagina 1-25) Motore che effettua la scansione ed esegue le operazioni necessarie per contrastare i virus e le minacce informatiche; supporta le piattaforme a 32 e 64 bit. 1-22

38 Introduzione a OfficeScan TABELLA 1-6. Componenti OfficeScan COMPONENTE DESCRIZIONE Driver scansione dei virus Pattern IntelliTrap Pattern eccezioni IntelliTrap Il driver che monitora le operazioni dell'utente sui file. Le operazioni comprendono l'apertura o la chiusura di un file e l'esecuzione di un'applicazione. Le versioni del driver sono tre. Una versione è per Windows 2000 e il nome è TmFilter.sys. Le altre due versioni, TmXPFlt.sys e TmPreFlt.sys, sono per sistemi operativi diversi da Windows TmXPFlt.sys viene utilizzato per la configurazione in tempo reale del motore di scansione virus e TmPreFlt.sys per il monitoraggio delle operazioni dell'utente. Nota. Questo componente non viene visualizzato nella console. Per verificare la versione, sul computer server accedere a \PCCSRV\Pccnt\Drv. Fare clic con il pulsante destro del mouse sul file.sys, selezionare Proprietà e accedere alla scheda Versione. File per l'individuazione in tempo reale di file compressi impacchettati come file eseguibili. File contenente un elenco di file compressi "approvati". Anti-spyware Pattern spyware Motore di scansione spyware Pattern di monitoraggio attivo spyware File che identifica spyware e grayware nei file, nei programmi, nei moduli di memoria, nel registro di Windows e nei collegamenti URL. Motore che effettua la scansione ed esegue le operazioni necessarie per contrastare spyware e grayware; supporta le piattaforme a 32 e 64 bit. File utilizzato per la scansione in tempo reale di spyware e grayware. Damage Cleanup Services Motore di disinfezione virus Motore utilizzato da Damage Cleanup Services per rilevare e rimuovere i cavalli di Troia e i processi da essi innescati; supporta le piattaforme a 32 e a 64 bit. 1-23

39 Trend Micro OfficeScan 8.0 SP1 Guida dell'amministratore TABELLA 1-6. Componenti OfficeScan COMPONENTE DESCRIZIONE Modello disinfezione virus Utilizzato dal motore di disinfezione virus, questo modello consente di identificare i cavalli di Troia e i processi da essi innescati per consentire al motore di eliminarli. Firewall Driver comune firewall Pattern comune per firewall Utilizzato assieme al pattern comune firewall per effettuare la scansione sui computer client alla ricerca di virus di rete; supporta le piattaforme a 32 e a 64 bit. Come il pattern antivirus, questo file consente a OfficeScan di individuare le impronte virali, i pattern univoci di bit e i byte che segnalano la presenza di un virus di rete. Reputazione Web Motore Filtro URL Motore che consente la comunicazione tra OfficeScan e il servizio di filtro URL di Trend Micro. Il servizio di filtro URL è un sistema che valuta gli URL e trasmette a OfficeScan le informazioni sulla valutazione. Componente comune Driver anti-rootkit Driver in modalità kernel utilizzato dal motore di scansione spyware che consente di evitare potenziali reindirizzamenti effettuati da rootkit; supporta le piattaforme a 32 e a 64 bit. TABELLA 1-7. Programmi OfficeScan PROGRAMMA Programma client Cisco Trust Agent DESCRIZIONE Programma client OfficeScan che fornisce una protezione reale contro i rischi per la sicurezza; supporta le piattaforme a 32 e a 64 bit. Programma utilizzato per consentire la comunicazione tra client e router che utilizzano Cisco NAC. Questo programma funziona solamente se si effettua l'installazione di Policy Server per Cisco NAC. 1-24