Sophos Anti-Virus per VMware vshield Guida di avvio. Versione prodotto: 1.1

Transcript

1 Sophos Anti-Virus per VMware vshield Guida di avvio Versione prodotto: 1.1 Data documento: marzo 2014

2 Sommario 1 Informazioni su questa guida Sophos Anti-Virus per VMware vshield Passaggi chiave per l'installazione Verifica dei requisiti di sistema Ricerca dei prodotti anti-virus non compatibili Installazione dei requisiti Sophos Installazione di virtual machine (VM) di sicurezza Sophos Installazione di vshield Endpoint Thin Agent Verifica che le VM di sicurezza funzioni correttamente Manutenzione di virtual machine (VM) di sicurezza Visualizzazione delle VM guest protette Esecuzione della scansione completa di tutte le VM guest Comportamento di una VM di sicurezza al rilevamento di una minaccia Gestione delle minacce Upgrade della protezione per virtual machine Disinstallazione delle VM di sicurezza Appendice: account amministratore di vcenter Appendice: impostazione di configurazione della CPU Supporto tecnico Note legali

3 Guida di avvio 1 Informazioni su questa guida Questa guida è stata scritta per amministratori che desiderano proteggere reti di virtual machine(vm) da virus e minacce. Viene descritto come installare Sophos Anti-Virus per VMware vshield in host VMware ESXi, in modo tale da consentire la scansione antivirus delle VM guest, aventi un solo vshield Endpoint Thin Agent per VM. Di seguito vengono elencati link a documenti rilevanti su questo argomento. Nel caso si richieda supporto per impostare l'ambiente VMware e vshield Consultare la guida Sophos sulla panoramica di impostazione per VMware e vshield. Consultare anche i seguenti articoli della knowledge base di VMware: Migliori pratiche sull'installazione di vcloud Networking e Security 5.5.x I sistemi operativi guest supportati da vshield Endpoint Thin Agent Nel caso si desiderino informazioni su modalità di protezione delle VM alternative, leggere l'articolo della knowledge base Se si desidera effettuare l'upgrade di Sophos Anti-Virus per VMware vshield, consultare la Guida all'upgrade di Sophos Anti-Virus per VMware vshield. 2 Sophos Anti-Virus per VMware vshield Sophos Anti-Virus per VMware vshield è una virtual machine (VM) di sicurezza. Impostarla nel modo seguente: Installare una VM di sicurezza Sophos su ciascun host VMware ESXi, in modo tale da proteggere tutte le VM guest in esecuzione nell'host. Eseguire Sophos Enterprise Console su un computer diverso per gestire le VM di sicurezza e mantenerle aggiornate con i più recenti software antivirus. 3

4 Sophos Anti-Virus per VMware vshield Quali VM guest possono essere protette? La VM Sophos di sicurezza può proteggere le VM guest che eseguono i sistemi operativi Windows. Per dettagli completi, consultare la sezione Virtual machine (VM) guest a pagina 7. Come funziona la scansione? Quando una VM guest cerca di accedere a un file: Il vshield Endpoint Thin Agent, in esecuzione nella VM, comunica con la VM di sicurezza Sophos. La VM di sicurezza esegue la scansione del file, se il file è stato modificato o se sono stati effettuati aggiornamenti dall'ultima volta in cui è stata eseguita la scansione del file. Se la VM di sicurezza rileva una minaccia, viene bloccato l'accesso al file, e inviato un allarme a Enterprise Console. 4

5 Guida di avvio La VM di sicurezza può anche eseguire la scansione completa delle VM guest. In questo caso: Le pianificazioni della VM di sicurezza effettuano le scansioni per evitare che l'host ESXi non sia sottoposto a carico eccessivo. Se la VM di sicurezza rileva una minaccia, viene inviato un allarme a Enterprise Console. Come viene gestita la VM di sicurezza? Enterprise Console riporta lo stato della VM di sicurezza, oltre che indicare se sia aggiornata e se abbia rilevato minacce. Enterprise Console consente inoltre di configurare la scansione tramite criterio. Come vengono gestite le minacce? A seconda del tipo di minaccia rilevata e dei danni causati, è possibile: Cancellare la VM guest colpita e riclonarla tramite immagine modello. Ripristinare il primo snapshot pulito della VM guest colpita. Utilizzare il Sophos Virus Removal Tool gratuito. Utilizzare Sophos Endpoint Security and Control per Windows. Come viene eseguito l'aggiornamento della VM di sicurezza? Enterprise Console mantiene aggiornata la VM di sicurezza. Enterprise Console scarica i più recenti aggiornamenti relativi a software, dati delle minacce e motore di rilevamento delle minacce direttamente da Sophos e li colloca nella condivisione di rete. Da questa condivisione la VM di sicurezza recupera automaticamente gli aggiornamenti. Quando Sophos rilascia una nuova versione principale della VM di sicurezza, è possibile effettuare l'upgrade secondo la procedura descritta nella Guida all'upgrade di Sophos Anti-Virus per VMware vshield. 3 Passaggi chiave per l'installazione L'installazione richiede l'esecuzione dei seguenti passaggi chiave, descritti dettagliatamente nelle seguenti sezioni: Verificare i requisiti di sistema. Cercare i prodotti anti-virus non compatibili. Installazione dei requisiti Sophos. Installazione della VM di sicurezza Sophos Installazione di vshield Endpoint Thin Agent (se non già installato). Verifica che la VM di sicurezza funzioni correttamente. 5

6 Sophos Anti-Virus per VMware vshield 4 Verifica dei requisiti di sistema In questa sezione vengono descritti i requisiti di sistema necessari e come verificarne la conformità. Vengono inoltre elencati i dati (fra cui i dettagli dei computer) di cui è necessario disporre perché richiesti al momento dell'installazione delle virtual machine (VM) di sicurezza. È necessario disporre dei seguenti dati: Requisiti di VMware. Requisiti di VM guest. Requisiti Sophos (il software Sophos necessario prima di eseguire l'installazione delle VM di sicurezza Sophos). 4.1 Requisiti di VMware Questa sezione indica i software VMware necessari. Vengono qui elencati i requisiti minimi. Ricordare che Sophos Anti-Virus supporta la versione 5.5 dei prodotti VMware e vshield. Nel caso si richieda supporto durante l'installazione del software VMware, consultare la guida Sophos sulla panoramica di impostazione per VMware e vshield. È inoltre possibile leggere i seguenti articoli della knowledge base di VMware: Host ESXi Migliori pratiche sull'installazione di vcloud Networking e Security 5.5.x I sistemi operativi guest supportati da vshield Endpoint Thin Agent Installare i seguenti componenti in ciascun host in cui verrà eseguita una virtual machine (VM) di sicurezza Sophos: Host VMware ESXi versione 5.1 o successive. Requisiti hardware L'host ESXi deve assegnare le seguenti risorse alla VM di sicurezza Sophos: Note 2 CPU. 20 Gb di spazio su disco. 2 Gb di RAM. Per impostazione predefinita, vengono assegnate 2 CPU. Nel caso si disponga di numerose VM guest da proteggere, una volta completata l'installazione della VM di sicurezza sarà possibile configurare più CPU. Questa guida spiega come effettuare questa operazione. 6

7 Guida di avvio La VM di sicurezza Sophos riserva la memoria. I sistemi a disponibilità elevata o con bilanciamento dei carichi effettuano scelte automatiche basate su sistemi di resource reservation per le VM presenti nel proprio ambiente VMware; queste scelte possono quindi essere diverse una volta installata la VM di sicurezza. Non rimuovere la riserva di memoria della VM di sicurezza vcenter e vsphere È necessario disporre dei seguenti software vcenter e vsphere. Software vcenter vsphere Client Versione Versione 5.1 o successive. Versione 5.1 o successive. Note Sarà inoltre necessario disporre di: Indirizzo di rete. Account amministratore. Per quanto riguarda le autorizzazioni necessarie, consultare l'appendice: account amministratore di vcenter a pagina 27. Account in sola lettura. Può essere un account locale o di dominio. I nomi utenti locali discriminano fra lettere maiuscole e minuscole Virtual machine (VM) guest La VM di sicurezza Sophos protegge le VM guest che rispondono ai seguenti requisiti. Hardware virtuale La versione dell'hardware virtuale di VMware deve essere la 7 o successiva. Suggerimento: se si dispone di un hardware virtuale incluso come elemento predefinito in ESXi versione 4.x o successiva, si è già conformi a questo requisito. Nota: per informazioni sull'upgrade delle versioni degli 'hardware virtuali, consultare l'articolo della knowledge base di VMware. Sistema operativo Le VM guest devono eseguire uno dei seguenti sistemi operativi: Windows 8 (a 32 e 64 bit) Windows Server

8 Sophos Anti-Virus per VMware vshield Windows 7 (a 32 e 64 bit) Windows Server 2008 R2 (a 64 bit) Windows Server 2008 (a 32 e 64 bit) Windows Vista (a 32 bit) Windows Server 2003 R2 (a 32 e 64 bit) Windows Server 2003 (a 32 e 64 bit) Windows XP (a 32 bit) vshield È necessario disporre del seguente software vshield. Software vshield Manager Versione Versione 5.1 o successive. Per verificare che sia installato: 1. Riavviare vsphere Client. 2. In vsphere Client, cliccare sull'host ESXi in cui si desidera installare la virtual machine (VM) di sicurezza. 3. Verificare che la scheda vshield sia visibile. Note È inoltre necessario disporre di: Indirizzo di rete. Account di vshield Administrator o Enterprise Administrator. vshield Endpoint Versione 5.1 o successive. Deve essere installato in tutti gli host ESXi che eseguiranno la VM di sicurezza Sophos. Per verificare che sia installato: 1. In vsphere Client, cliccare sull'host ESXi in cui si desidera installare la VM di sicurezza. 2. Nella scheda vshield, pagina General, se la riga vshield Endpoint è inclusa e riporta la versione o successiva sotto la colonna Installed, ciò significa che la versione corretta di vshield Endpoint è installata. In caso contrario, cliccare su Install. vshield Endpoint Thin Agent Deve essere installato su tutte le VM guest che si desidera proteggere. Nota: È possibile installare il Thin Agent anche dopo avere completato l'installazione della VM di sicurezza Sophos. Questa guida spiega come effettuare questa operazione. Sono supportati solo i sistemi operativi Windows. Questo strumento fa parte dei tool VMware e può essere aggiornato automaticamente. 8

9 Guida di avvio Software Versione Per verificare se sia installato: 1. In vsphere Client, cliccare sull'host ESXi in cui si desidera installare la VM di sicurezza. 2. Verificare che le VM guest che si desidera controllare siano attive. 3. Nella scheda vshield, pagina Endpoint, cercare le VM guest nell'elenco dei computer (in cui compaiono con l'acronimo vm ). 4. Controllare che il campo Description presenti la dicitura "Thin Agent enabled". Note vmotion Le virtual machine (VM) di sicurezza Sophos vengono escluse automaticamente da vmotion. Ciò garantisce che le VM di sicurezza restino nell'host ESXi consentendo così di estendere la protezione anche alle VM guest. Non è necessario apportare alcun cambiamento alle impostazioni. 4.2 Requisiti Sophos Prima di poter installare una virtual machine (VM) di sicurezza Sophos è necessario disporre del seguente software Sophos. Se non si dispone di questo software, eseguire le istruzioni descritte alla sezione Installazione dei requisiti Sophos a pagina 10. Nota: Verificare che Sophos Anti-Virus per Windows (incluso in Sophos Endpoint Security and Control) non sia installato nelle VM guest che si desidera proteggere con la VM di sicurezza Sophos. Ciò consente di evitare conflitti generati da due prodotti anti-virus presenti nello stesso computer. Software Sophos Enterprise Console Condivisione di rete per Sophos Anti-Virus per VMware vshield Versione Versione 5.1 o successive. Nessuna versione minima. Note È necessario impostare una condivisione di rete nel percorso in cui Enterprise Console effettua gli aggiornamenti più recenti per la VM. Questa guida spiega come impostare la condivisione. 9

10 Sophos Anti-Virus per VMware vshield 5 Ricerca dei prodotti anti-virus non compatibili Non è possibile utilizzare Sophos Anti-Virus per VMware vshield per proteggere virtual machine (VM) guest che eseguono altri prodotti antivirus. Ciò è dovuto al fatto che i file potrebbero essere sottoposti a scansione più volte (a causa del modo in cui VMware vshield è stato progettato). Questa limitazione si riferisce a VM che eseguono prodotti antivirus Sophos diversi o di altri vendor. È inoltre applicabile alle VM aventi gateway Sophos o altri prodotti per server che includono o richiedono componenti antivirus. È quindi impossibile proteggere VM guest che eseguano: Sophos Endpoint Security and Control per Windows (incluso Sophos-Virus per Windows). PureMessage per Microsoft Exchange. PureMessage per Lotus Domino. Sophos per Sharepoint. Sophos Anti-Virus per NetApp. Qualsiasi software prodotti da terzi che integra l'interfaccia di SAV. 6 Installazione dei requisiti Sophos Prima di installare le virtual machine (VM) di sicurezza Sophos, è necessario: Installare Sophos Enterprise Console (nel caso non sia ancora stata installata). Enterprise Console sarà necessaria per eseguire il download del software di protezione e per gestire le VM che si desidera proteggere. Creare una condivisione di rete per Sophos Anti-Virus per VMware vshield. Questa condivisione viene utilizzata per mantenere aggiornate le VM di sicurezza. Le seguenti sezioni indicano come effettuare queste operazioni. Enterprise Console già installata Avviso: Se Enterprise Console viene già utilizzata per la gestione di altri prodotti Sophos a cui si desidera aggiungere Sophos Anti-Virus per vshield, le credenziali cliente di cui si dispone potrebbero non consentire di impostare la condivisione di rete Sophos. Nel caso si verifichi questa situazione, si prega di contattare il supporto tecnico. 6.1 Installazione di Enterprise Console Se Enterprise Console è già installata, passare alla sezione Creazione di una condivisione di Sophos Anti-Virus a pagina 11. Installare Enterprise Console in un computer con sistema operativo Windows che si trova nella stessa rete in cui è localizzata la virtual machine (VM) di sicurezza. 10

11 Guida di avvio Eseguire le istruzioni descritte nella Guida di avvio rapido di Enterprise Console. Quando viene richiesto di selezionare le piattaforme che si desidera proteggere, includere VMware vshield. Ciò consente di creare la condivisione di rete di Sophos Anti-Virus. Una volta completata l'installazione, consultare la sezione Verifica dell'accesso alla condivisione degli aggiornamenti di Sophos Anti-Virus a pagina Creazione di una condivisione per l'aggiornamento di Sophos Anti-Virus Se si è completata una nuova installazione di Enterprise Console in cui è inclusa anche la funzione di protezione per VMware vshield, non è necessario leggere questa sezione. 1. In Enterprise Console, dal menu Visualizza, cliccare su Gestori aggiornamenti. 2. Impostare una "sottoscrizione" in Sophos Anti-Virus per VMware vshield: a) Nel riquadro Sottoscrizioni software, cliccare sul pulsante Aggiungi, localizzato nella parte alta del riquadro. b) Nella finestra di dialogo Sottoscrizione al software, digitare un nome nella casella di testo Nome sottoscrizione. c) Nell'elenco delle piattaforme, selezionare l'opzione VMware vshield e nella casella relativa alla versione scegliere Recommended. Nota: Se nell'elenco non compare l'opzione VMware vshield, sarà necessario aggiornare le credenziali cliente. Contattare il supporto tecnico. d) Cliccare su OK. 3. Configurare il gestore aggiornamenti per l'utilizzo di queste sottoscrizioni: a) Nel riquadro Gestori aggiornamenti, selezionare il gestore aggiornamenti installato nel server. Cliccarvi col tasto destro del mouse e quindi cliccare su Visualizza/Modifica configurazione. b) Nella finestra di dialogo Configura il gestore aggiornamenti, sulla scheda Sottoscrizioni, assicurarsi che la nuova sottoscrizione sia inclusa nell'elenco Sottoscritto a. c) Cliccare su OK. Passare alla prossima sezione. 6.3 Verifica dell'accesso alla condivisione degli aggiornamenti di Sophos Anti-Virus È necessario individuare la condivisione degli aggiornamenti di Sophos Anti-Virus e verificare che vi si possa accedere tramite credenziali valide o account guest. Nota: a meno che non diversamente indicato, durante l'installazione di Enterprise Console le impostazioni dell'account utente consentono di accedere alla condivisione di Sophos 11

12 Sophos Anti-Virus per VMware vshield Anti-Virus. Si tratta dell'account "Update Manager" a cui molti clienti attribuiscono il nome di SophosUpdateMgr. 1. In Enterprise Console, dal menu Visualizza cliccare su Percorsi Bootstrap. Viene visualizzato un elenco di percorsi. 2. Trovare il percorso di Sophos Anti-Virus per VMware vshield (equivalente alla condivisione "savvshield") e memorizzarlo, in quanto richiesto durante l'installazione delle virtual machine (VM) di sicurezza Sophos. 3. Se la condivisione si trova su Windows Server 2008 o 2012, potrebbe essere necessario modificare temporaneamente le impostazioni del firewall di Windows presente sul server, in modo tale da consentire l'accesso alla VM di sicurezza Sophos. Le seguenti regole In entrata devono essere impostate su Attivo (impostazione predefinita): Condivisione file e stampanti (NB-Datagram-In) Condivisione file e stampanti (NB-Name-In) Condivisione file e stampanti (NB-Session-In) È possibile impostare nuovamente queste regole su Disattivo una volta installate le VM di sicurezza. Note: Nel caso venga eseguita un'installazione personalizzata di Enterprise Console o sia stata creata una condivisione di rete aggiuntiva per gli aggiornamenti della VM di sicurezza, ricordare che: Nel caso vengano richieste le credenziali, queste verranno archiviate nelle VM di sicurezza, per questo motivo si consiglia l'utilizzo di credenziali in sola lettura. Se la condivisione di rete si trova in un computer diverso rispetto a quello in cui si trova Enterprise Console (o il componente di Update Manager di Enterprise Console), verificare che vi si possa comunque accedere utilizzando un account con accesso in scrittura. 7 Installazione di virtual machine (VM) di sicurezza Sophos Installare una VM di sicurezza Sophos su ciascun host ESXi in cui si desidera proteggere VM guest. L'installazione richiede l'esecuzione dei passaggi elencati qui di seguito e descritti dettagliatamente nelle seguenti sezioni: Verificare di disporre delle password necessarie. Verificare che i sistemi siano sincronizzati. Eseguire il download del programma di installazione. Installare le VM di sicurezza. Impostare Enterprise Console in modo tale che possa gestire le VM di sicurezza. 12

13 Guida di avvio 7.1 Verifica di possedere le password necessarie Il programma di installazione della virtual machine (VM) di sicurezza richiede l'inserimento di password specifiche. È necessario disporre delle password relative ai seguenti account: L'account amministratore di vcenter. L'account utente in sola lettura di vcenter, utilizzato per query da vcenter durante le operazioni della VM di sicurezza. L'account amministratore di vshield. L'account utilizzato per accedere alla condivisione di rete di Sophos Anti-Virus (o "Cartella Sophos Update"). Nota: L'account utente di vcenter viene archiviato nelle VM di sicurezza. Per questo motivo si consiglia di impostare l'account in sola lettura. 7.2 Verifica che i sistemi siano sincronizzati Verificare che l'orario del server di Enterprise Console e dell'host ESXi in cui è installata la virtual machine (VM) di sicurezza siano sincronizzati. È possibile utilizzare la sincronizzazione NTP (Network Time Protocol) per tutti i server vcenter o per tutti gli host. Avviso: Nel caso in cui l'orario non sia sincronizzato, sarà comunque possibile installare le VM di sicurezza, ma non sarà possibile gestirle da Enterprise Console. 7.3 Download del programma di installazione I seguenti passaggi presuppongono che si sia in possesso di un account MySophos a cui siano collegate le credenziali della licenza in possesso. In caso si richieda supporto, consultare l'articolo Note: È possibile scaricare il programma di installazione in un qualsiasi computer per poi copiarlo in quello in cui verrà eseguito. Non è possibile utilizzare il programma di installazione su computer con sistema operativo Windows XP o Windows Server Per scaricare il programma di installazione: 1. Andare a swww.sophos.com/it-it/support/downloads/. 2. Digitare il proprio nome utente e password. Viene visualizzata una pagina Web in cui è/sono elencate le licenze in possesso. 3. Trovare e scaricare Sophos Anti-Virus per VMware vshield. Viene effettuato il download di un pacchetto contenente il programma di installazione ed altri file. 13

14 Sophos Anti-Virus per VMware vshield 4. Verificare che il download del programma di installazione sia in un computer con sistema operativo Windows e che possa accedere in rete a vcenter e vshield Manager. Il programma di installazione al momento non supporta l'utilizzo di proxy, per questo motivo l'installazione o disinstallazione della virtual machine (VM) di sicurezza deve avvenire su una rete locale. Nota: Dopo l'installazione il computer utilizzato non verrà coinvolto nella gestione o protezione della VM di sicurezza o delle VM guest. 7.4 Installazione di VM di sicurezza Per installare virtual machine (VM) di sicurezza, eseguire la seguente procedura. Ricordare: Non è possibile utilizzare il programma di installazione su computer con sistema operativo Windows XP o Windows Server Suggerimento: Installare e testare una VM di sicurezza singola e solo successivamente installarne altre. Questa operazione viene resa ancora più semplice grazie all'opzione che consente la ri-esecuzione del programma di installazione utilizzando le impostazioni precedenti, come descritto nella parte finale di questa sezione. 1. Cliccare due volte sul programma di installazione scaricato. Una procedura guidata accompagna nei passaggi dell'installazione. 2. Accettare i termini del contratto di licenza. 3. Cliccare su Install per estrarre i file di installazione in una cartella del computer. 4. Selezionare Install new security VMs. 5. Verificare di avere installato tutti i Prerequisites for installation. 6. Inserire i dettagli del proprio vcenter. Quando vengono inseriti i nomi utente degli amministratori verificare che siano nello stesso formato in cui vengono utilizzati per accedere al vcenter tramite vsphere Client, vale a dire con o senza il prefisso di dominio, a seconda di cosa si sia scelto, e con le medesime maiuscole e minuscole. a) Inserire il proprio indirizzo vcenter. b) Inserire il nome utente e la password dell'amministratore di vcenter. c) Inserire il nome utente e la password in sola lettura di vcenter. Questi dati vengono utilizzati per query da vcenter durante le operazioni della VM di sicurezza. È possibile utilizzare sia un nome utente (per vcenter) di dominio che locale. Il programma di installazione non verifica se le credenziali sono di sola lettura. 7. Inserire l'indirizzo e le credenziali per amministratore di vshield Manager. Il nome dell'amministratore deve essere identico a quello utilizzato per accedere a all'interfaccia utente di vshield Manager, vale a dire con o senza prefisso indicante il dominio, a seconda dell'opzione prescelta, e lo stesso utilizzo di lettere maiuscole o minuscole. 14

15 Guida di avvio 8. La procedura guidata visualizza gli host. Selezionare l'host o gli host su cui si desidera installare la VM di sicurezza. Nota: Il programma di installazione fornisce il nome delle VM di sicurezza basandosi sul nome host o l'indirizzo IP, come spigato dettagliatamente di seguito. 9. Inserire i dettagli relativi alla cartella per gli aggiornamenti di Sophos, che corrisponde alla condivisione di rete di Sophos Anti-Virus network creata in precedenza. a) Inserire il percorso. Utilizzare un percorso UNC (incluso nome host DNS completo) o un indirizzo web (se la condivisione si trova nel server web). Per esempio: \\<nome server>\sophosupdate\cids\sxxx\savvshield Suggerimento: Per verificare il percorso, andare a Enterprise Console. Dal menu Visualizza, cliccare su Percorsi Bootstrap e cercare la condivisione "savvshield". b) Inserire il nome utente e la password. L'utente che esegue queste operazioni (o un altro amministratore) imposta questo account utente durante l'installazione di Enterprise Console. Si tratta dell'account "Update Manager" a cui molti clienti attribuiscono il nome di SophosUpdateMgr. Ricordare che: Se viene specificato un utente di dominio, è necessario indicare il nome del dominio. Le credenziali vengono archiviate nella VM di sicurezza. 10. Creare una password di Supporto. Questa password è necessaria per poter visualizzare le VM guest protette, o se si desidera l'intervento del supporto tecnico di Sophos per risolvere eventuali problemi di installazione in remoto. Gli esperti del supporto utilizzeranno questa password per accedere ai log, che l'utente potrà verificare prima che vengano inviati a Sophos. Questa password può includere anche caratteri speciali e spazi. 11. Selezionare il fuso orario utilizzato dalla VM di sicurezza per programmare le scansioni. 12. Configurare le impostazioni IP per le VM di sicurezza. Per impostazione predefinita, gli indirizzi IP vengono assegnati dinamicamente da DHCP. Se il criterio di rete applicato richiede l'utilizzo di indirizzi statici, selezionare tale opzione ed inserire i dati richiesti. 13. Selezionare il tipo di datastore in cui installare la VM di sicurezza. Se si seleziona l'opzione Select from list of visible datastores for each host, viene visualizzato l'elenco dei datastore. La VM di sicurezza protegge tutte le VM guest presenti nell'host ESXi in cui è installato il vshield Endpoint Thin Agent, anche se i loro modelli sono archiviati in datastore diversi. 14. Selezionare una rete di VM. Ciò consente alla VM di sicurezza di comunicare con Enterprise Console. L'impostazione predefinita è VM network. 15. Nella pagina Summary of installation, è possibile accedere ai dati completi sull'installazione, inclusi i nomi delle VM di sicurezza. Cliccare su Install. 15

16 Sophos Anti-Virus per VMware vshield 16. Nella pagina Installation complete, è possibile verificare se l'installazione delle VM di sicurezza sia riuscita. Nel caso l'installazione non sia riuscita, cercare dettagli specifici nel log. Suggerimento: Nel caso si desideri installare più VM di sicurezza, lasciare aperto il programma di installazione e cliccare su Start Over quando si è pronti a riavviare l'installazione. Il programma di installazione riutilizzerà le impostazioni precedenti e le tratterà come impostazioni predefinite. Le VM di sicurezza sono installate. Durante la configurazione delle VM di sicurezza possono verificarsi ritardi perché viene effettuato l'aggiornamento completo dello scanner di Sophos Anti-Virus. Eseguire le istruzioni descritte nelle due sezioni di seguito: Verificare che in vsphere Client e Enterprise Console vengano visualizzate le VM di sicurezza. Impostazione di Enterprise Console per la gestione di VM di sicurezza. 7.5 Verificare che le VM di sicurezza siano installate Questa sezione spiega come verificare che le virtual machine (VM) di sicurezza siano installate e che dispongano di tutte le risorse necessarie. Verificare che le VM di sicurezza vengano visualizzate in modo corretto Una volta completata l'installazione delle VM di sicurezza, dovrebbe essere possibile visualizzare quanto descritto di seguito: In vsphere Client Le VM di sicurezza dovrebbero essere visualizzate entro venti minuti, nell'elenco degli Endpoint, scheda vshield, per ogni host. Nota: Se nelle VM guest non è ancora installato il vshield Endpoint Thin Agent questo non avviene. In Enterprise Console Le VM di sicurezza vengono registrate e collocate nel gruppo di computer Nessun gruppo. I nomi delle VM di sicurezza si basano sul nome host oppure, nel caso in cui l'host non abbia nome, sull'indirizzo IP. Ciò rende più semplice collegare le VM di sicurezza ai relativi host (nel caso si disponga di più VM di sicurezza). Ecco alcuni esempi. Nomi o indirizzi host MyESXhost Nome della VM di sicurezza Sophos MyESXhost-SSVM SSVM 16

17 Guida di avvio Se si modifica il nome di una VM di sicurezza dopo avere effettuato l'installazione, la VM in questione verrà visualizzata in Enterprise Console ancora col nome attribuitole durante l'installazione. Verificare se sia necessario configurare le risorse Solitamente non è necessario configurare le risorse per le VM di sicurezza. Ricordare che: Il programma di installazione riserverà spazio di memoria nelle VM Sophos di sicurezza. I sistemi a disponibilità elevata o con bilanciamento dei carichi effettuano scelte automatiche basate su sistemi di resource reservation per le VM presenti nel proprio ambiente VMware; queste scelte possono quindi essere diverse una volta installate la VM di sicurezza. Non rimuovere la riserva di memoria della VM di sicurezza. Se si dispone di un numero elevato di VM (70 o più) su un solo host, verificare che la VM di sicurezza abbia potenza sufficiente per effettuare le operazioni di scansione. Consultare l'appendice: impostazione di configurazione della CPU a pagina 28. Le virtual machine (VM) di sicurezza Sophos vengono escluse automaticamente da vmotion. Ciò garantisce che le VM di sicurezza restino nell'host ESXi consentendo così di estendere la protezione anche alle VM guest. Si è ora pronti per impostare Enterprise Console in modo tale che possa gestire le VM di sicurezza. 7.6 Impostazione di Enterprise Console per la gestione di VM di sicurezza 1. In Sophos Enterprise Console, creare un criterio di aggiornamento e un criterio Anti-virus e HIPS. Cliccare col tasto destro del mouse su ciascun criterio e selezionare Ripristina criteri predefiniti. 2. Cliccare due volte sul criterio di a per aprirlo. 3. Nella finestra di dialogo Criterio di aggiornamento, cliccare sulla scheda Sottoscrizione e selezionare la sottoscrizione per VMware vshield. Salvare il criterio. 4. Creare un nuovo gruppo di computer per le virtual machine (VM) di sicurezza. 5. Applicare i nuovi criteri al gruppo appena creato. 6. Trascinare le VM di sicurezza dal gruppo Nessun gruppo al gruppo appena creato. Installare il vshield Endpoint Thin Agent (nel caso non sia ancora installato), secondo la procedura descritta nella sezione qui di seguito. Per verificare che le VM di sicurezza funzionino in modo corretto, consultare la sezione Verifica che le VM di sicurezza funzioni correttamente a pagina 20. Per consigli generali sulle operazioni di post installazione e di manutenzione, consultare la sezione Manutenzione di virtual machine (VM) di sicurezza a pagina 23 8 Installazione di vshield Endpoint Thin Agent Se nelle VM guest non è installata un vshield Endpoint Thin Agent, installarlo ora. 17

18 Sophos Anti-Virus per VMware vshield Questa sezione spiega come: Verificare se l'agente sia già installato (nel caso non si sia certi). Preparare l'installazione dell'agente. Installare l'agente. 8.1 Verifica che l'agente sia già installato Per verificare se vshield Endpoint Thin Agent sia già installato: 1. In vsphere Client, cliccare sull'host ESXi in cui si desidera installare la virtual machine (VM) di sicurezza. 2. Verificare che le VM guest che si desidera controllare siano attive. 3. Nella scheda vshield, pagina Endpoint, cercare le VM guest nell'elenco dei computer, in cui compaiono come vm. 4. Controllare che il campo Description presenti la dicitura "Thin Agent enabled". Nel caso in cui l'agente non sia installato, passare alla sezione Preparazione per l'installazione dell'agente a pagina Preparazione per l'installazione dell'agente Prima di installare l'agente, prepararsi nel modo seguente. I passaggi variano a seconda che si disponga già o meno di un software anti-virus nelle VM guest. Se si dispone già di un software anti-virus Se si dispone già di un software anti-virus (sia che si tratti di un software Sophos o di altro vendor) installato nelle VM guest: 1. Verificare che le VM guest siano attive. 2. Disinstallare il software anti-virus. 3. Non riavviare le VM guest quando viene richiesto. Ora è possibile cominciare l'installazione dell'agente. Se non si dispone di un software anti-virus Se non si dispone di un software anti-virus anti-virus a protezione delle VM guest, accertarsi che nessuna di esse sia collegata alla rete Live. Ora è possibile cominciare l'installazione dell'agente. 8.3 Installazione dell'agente Installare vshield Endpoint Thin Agent come componente dei tool della virtual machine (VM). 18

19 Guida di avvio Il Thin Agent non è incluso nell'installazione standard dei tool della VM, è quindi necessario eseguire una delle seguenti operazioni: Installare i tool della VM utilizzando l'opzione Custom e includere il Thin Agent (anche denominato "vshield Drivers") fra i componenti selezionati. Eseguire l'upgrade dei tool della VM per poter aggiungere il componente Thin Agent. Le seguenti sezioni spiegano come eseguire questa operazione manualmente (in modo interattivo) o automaticamente (in modo non interattivo). Nota: Questa guida presuppone l'utilizzo di vsphere Client per eseguire l'installazione dell'agente, è comunque possibile utilizzare anche altri software di gestione VMware, come descritto nella sezione Installazione e configurazione dei tool VMware Installazione manuale dell'agente Per installare l'agente in modalità interattiva nella virtual machine (VM) guest: 1. Attivare la VM e verificare che il sistema operativo guest sia in esecuzione. 2. Accedere alla VM con credenziali di amministratore. 3. In vsphere Client, selezionare il comando di menu per montare nei sistemi operativi guest il disco virtuale di VMware Tools. Il comando dipende dalla versione vsphere Client in esecuzione. Versione vsphere Client Comando Selezionare Inventory > Virtual Machine > Guest > Install/Upgrade VMware Tools. Nota: Per individuare la VM: Selezionare un datacenter o cluster. Cliccare sulla scheda Virtual Machines. vsphere Web Client Cliccare col tasto destro del mouse sulla VM e selezionare All vcenter Actions > Guest OS > Install/Upgrade VMware Tools. Nota: Per individuare la VM: Selezionare datacenter, cartella, cluster, pool di risorse, host o vapp. Cliccare la scheda Related Objects, e quindi cliccare Virtual Machines. 19

20 Sophos Anti-Virus per VMware vshield 4. Ora è possibile avviare la procedura di installazione. Il comando da eseguire cambia se si desidera effettuare l'upgrade/reinstallazione dei VM Tools, oppure se si debba eseguire l'installazione per la prima volta. Tipo di installazione Upgrade Prima installazione Comando Nella finestra di dialogo Install/Upgrade VMware Tools, selezionare Interactive Tools Upgrade, quindi cliccare su OK. Nella schermata informativa di Install VMware Tools, cliccare su OK. 5. Quando richiesto, confermare che si desidera eseguire il programma di installazione. Se è abilitata l'esecuzione automatica per l'unità CD-ROM nel sistema operativo guest, la procedura guidata dell'installazione dei VMware Tools viene avviata. Nota: Se l'esecuzione automatica non è abilitata, la procedura guidata potrà essere avviata manualmente. Cliccare su Start > Esegui quindi digitare "D:\setup.exe", in cui "D:" corrisponde alla prima unità CD-ROM. 6. La procedura guidata di installazione accompagna durante l'installazione. Ricordare di: Selezionare Modify, nel caso si desideri effettuare un upgrade. Selezionare l'installazione di tipo Custom, nel caso si stia effettuando l'installazione per la prima volta. Nella pagina Custom setup, selezionare VMCI driver > vshield Drivers. 7. Se si esegue la procedura guidata New Hardware di Windows, portarla a termine. È possibile accettare le impostazioni predefinite per ciascuna pagina. Questa procedura guidata di Windows potrebbe essere stata lanciata perché sono stati installati driver che simulano cambiamenti all'hardware installato nella macchina. 8. Quando richiesto, riavviare la VM Installazione automatica dell'agente È possibile automatizzare l'installazione del Thin Agent. Consultare le istruzioni a disposizione nel Centro documentazione di VMware vsphere. Dopo l'installazione, riavviare la VM guest. 9 Verifica che le VM di sicurezza funzioni correttamente Questa sezione spiega come verificare che: La virtual amchine (VM) di sicurezza Sophos funzioni correttamente. Le VM guest siano protette dalla scansione in accesso. Nota: Le VM guest vengano visualizzate come "UNPROTECTED" nella scheda "vshield" della console vsphere Client. Ciò si riferisce solo alla protezione vshield App e non a quella fornita 20

21 Guida di avvio da vshield Endpoint. Ignorare questo dato ed eseguire le istruzioni fornite in questa sezione per verificare che le VM siano protette. 9.1 Verifica dello stato in vsphere Client Per verificare lo stato delle virtual machine (VM) di sicurezza in vsphere Client eseguire la seguente procedura. Importante: È possibile che trascorrano fino a 20 minuti fra l'attivazione della VM di sicurezza e la modifica dello stato visualizzato in "vsphere Client". 1. In "vsphere Client", nella scheda vshield, pagina Endpoint, cercare la VM di sicurezza all'interno dell'elenco dei computer. Il campo Description dovrebbe presentare la dicitura "vshield Endpoint Solution, Sophos Anti-Virus for VMware vshield, enabled e non dovrebbe comparire alcun errore critico sotto Endpoint Status. 2. Se nel campo Description non compare la dicitura "enabled" e viene riportato un errore critico, eseguire le azioni necessarie secondo quanto riportato in questa tabella: Descrizione La versione del protocollo non corrisponde a quella del modulo di "vshield Endpoint". "vshield Endpoint" non è riuscito a collegarsi alla VM di sicurezza. La VM di sicurezza non riporta il suo stato sebbene vi siano VM guest connesse. Azione Verificare che il modulo "vshield Endpoint" abbia un protocollo compatibile con quello della VM di sicurezza. Verificare che la VM di sicurezza sia attiva e che la rete sia configurata in modo corretto. Errore interno. Contattare il supporto tecnico di VMware. 3. Cercare le VM guest (visualizzato come vm ) nell'elenco computer. Il campo Description dovrebbe riportare la dicitura "Thin agent enabled". 4. Se il campo "Description" non presenta la dicitura "Enabled", attivare la VM guest disattivata, oppure riavviare la VM guest. Ciò dovrebbe consentire l'aggiornamento dello stato. 9.2 Verifica del funzionamento corretto della scansione in accesso La scansione in accesso è il principale metodo di protezione contro le minacce. Ogni qual volto si copi, sposti, o apra un file, oppure si avvii un programma, la virtual machine (VM) di sicurezza esegue la scansione di tali file o programmi consentendone l'accesso nel caso non costituiscano alcuna minaccia per il computer. 21

22 Sophos Anti-Virus per VMware vshield Importante: Verificare che Sophos Anti-Virus per Windows non sia installato in nessuna VM guest protetta dalla VM di sicurezza. Per verificare che la VM di sicurezza stia eseguendo la scansione in accesso dei file: 1. Andare a eicar.org/86-0-intended-use.html. Copiare la stringa di test "EICAR" e incollarla in un nuovo file. Attribuire a tale file un nome che abbia estensione ".com" e salvarlo in una delle VM guest. 2. Provare ad accedere al file dalla VM guest. 3. In Sophos Enterprise Console, dall'elenco dei computer nella parte in basso a destra della finestra, cliccare sulla scheda Stato. 4. Nell'elenco computer, cercare la VM di sicurezza. Nella colonna Allarmi ed errori, Enterprise Console visualizza la dicitura Rilevato virus/spyware. Dovrebbe inoltre indicare che EICAR non è disinfettabile. 5. Cancellare il file EICAR creato in precedenza. Prima però di procedere a eliminare il file EICAR, è necessario bloccare l'esecuzione di "vshield Endpoint Thin Agent" nelle VM colpite: In qualità di amministratore, nella finestra del prompt dei comandi digitare: net stop vsepflt Per riavviare l'agente dopo avere cancellato EICAR, digitare: net start vsepflt 6. In Enterprise Console, cancellare gli allarmi. a) Nell'elenco dei computer, localizzato nella parte in basso a destra della finestra, cliccare col tasto destro del mouse sulla VM di sicurezza e selezionare Risolvi allarmi ed errori. b) Nella finestra di dialogo Risolvi allarmi ed errori, scheda Allarmi, selezionare l'allarme e cliccare su Cancella. 9.3 Risoluzione dei problemi relativi alla scansione in accesso Se la scansione in accesso non funziona: 1. Verificare che la virtual machine (VM) di sicurezza faccia parte di un gruppo il cui criterio anti-virus specifichi che la scansione in accesso debba essere attiva: a) In Enterprise Console, nel riquadro Gruppi, cliccare col tasto destro del mouse sul gruppo di cui fa parte la VM di sicurezza e selezionare Visualizza/Modifica dettagli dei criteri di gruppo. Verificare che i criteri Anti-virus e HIPS siano in esecuzione. b) Nel riquadro Criteri, cliccare due volte su Antivirus e HIPS. c) Cliccare due volte sul criterio utilizzato dal gruppo di cui fa parte la VM di sicurezza. d) Nel riquadro Scansione in accesso, assicurarsi che la casella di spunta Abilita scansione in accesso sia selezionata. Cliccare su OK. e) Nell'elenco dei computer, cliccare col tasto destro del mouse sulla VM di sicurezza, quindi selezionare Allinea con. Quindi selezionare Criteri antivirus e HIPS di gruppo. 22

23 Guida di avvio 2. Verificare che tutte le VM guest abbiano installato il vshield Endpoint Thin Agent: a) Nella VM guest, eseguire la procedura guidata per l'impostazione dei tool di VMware. b) Nella pagina Installazione personalizzata, verificare che per l'installazione sia selezionata l'opzione VMware Device Drivers > VMCI Driver > vshield Drivers. 3. Se la scansione in accesso continua a non funzionare, contattare il supporto tecnico di Sophos a pagina Manutenzione di virtual machine (VM) di sicurezza Questa sezione fornisce informazioni sulle operazioni di post-installazione e manutenzione. Attivare manualmente una VM di sicurezza, ogni qualvolta l'host ESXi venga sottoposto a manutenzione o sia in standby. Far ciò prima di attivare le VM guest, in modo tale che vengano immediatamente protette. Se si desidera modificare le impostazioni una volta effettuata l'installazione, sarà necessario disinstallare e reinstallare la VM di sicurezza. Se si desidera disinstallare le VM di sicurezza, eseguire nuovamente il programma di installazione e scegliere l'opzione di rimozione, come descritto nella sezione di questa guida dedicata alla disinstallazione. Non è possibile disinstallare una VM di sicurezza cancellandola da vcenter. 11 Visualizzazione delle VM guest protette È possibile visualizzare le virtual machine (VM) protette dalle VM di sicurezza utilizzando una funzione inclusa nel programma di installazione di Sophos Anti-Virus. 1. Nella stessa directory in cui è stato estratto il programma di installazione, cliccare due volte su ssvmtool.exe. Suggerimento: Nel caso si utilizzino impostazioni predefinite, il programma di installazione si trova nella directory "C:\SSVM_1_x_x", in cui "1.x.x" corrisponde al numero di versione. Viene eseguita una procedura guidata. 2. Selezionare View protected guest VMs. 3. Inserire l'indirizzo e le credenziali di vcenter. 4. Inserire l'indirizzo e le credenziali di vshield Manager. 5. Selezionare l'host o gli host in cui si desidera visualizzare le VM guest. 6. Inserire la propria Support password. Si tratta della password creata durante l'installazione delle VM di sicurezza. 7. Nella pagina Ready to find guest VMs, cliccare su Find. La procedura guidata avvia la ricerca delle VM guest. 8. Una volta conclusa la ricerca, cliccare su View. 23

24 Sophos Anti-Virus per VMware vshield 9. Viene visualizzato un elenco delle Protected guest VMs found. L'elenco è anche disponibile come file nell'hard disk. Per trovarlo, cliccare su Show file location. 12 Esecuzione della scansione completa di tutte le VM guest La virtual machine (VM) di sicurezza può eseguire anche la scansione completa delle VM guest. Esegue questa operazione in modo tale da non sottoporre l'host ESXi a un carico eccessivo. È possibile decidere se eseguire la scansione subito, oppure ad un orario prestabilito. Nota: Per poter eseguire la scansione completa di tutte le VM guest (sia subito che a un orario prestabilito) la VM di sicurezza non può trovarsi nel gruppo Nessun gruppo di Sophos Enterprise Console, ma in un gruppo a cui siano applicati criteri. Per eseguire subito la scansione completa di tutte le VM guest: In Enterprise Console, dall'elenco dei computer, localizzato nella parte in basso a destra della finestra, cliccare col tasto destro del mouse sulla VM di sicurezza e selezionare Scansione completa del sistema. In alternativa, nel menu Azioni, selezionare Scansione completa del sistema. Per eseguire a un orario stabilito la scansione completa di tutte le VM guest: In Enterprise Console, creare una scansione pianificata, secondo la procedura descritta nella Guida in linea di Enterprise Console, alla sezione sulla configurazione dei criteri anti-virus and HIPS. Per visualizzare i dettagli della scansione completata: In Enterprise Console, dall'elenco dei computer nella parte in basso a destra della finestra, cliccare due volte sulla VM di sicurezza per visualizzare la finestra di dialogo Dettagli dei computer. 13 Comportamento di una VM di sicurezza al rilevamento di una minaccia Se una vortual machine (VM) di sicurezza rileva una minaccia in una delle VM guest, invia un allarme a Enterprise Console. Nello specifico: Nel Pannello di controllo viene visualizzato un allarme. Viene visualizzata un'icona rossa di allarme nell'elenco dei computer, scheda Stato, di fianco alla VM di sicurezza sotto la colonna Allarmi ed errori. 24

25 Guida di avvio Se la VM di sicurezza rileva una minaccia quando l'utente cerca di accedere a un file, potrebbe venire visualizzato un messaggio nella VM guest in cui si informa dell'impossibilità di accedere al file, questo però dipende dal tipo di applicazione utilizzata per accedere al file. 14 Gestione delle minacce Per gestire le minacce rilevate dalla virtual machine (VM) di sicurezza: Ottenere maggiori informazioni sulle minacce e su come affrontarle. Disinfettare la VM guest. Eliminare gli allarmi da Enterprise Console. Le seguenti sezioni descriveranno nell'esecuzione di questa procedura Maggiori informazioni sulle minacce Per ottenere maggiori informazioni sulle minacce e su come affrontarle: 1. In Enterprise Console, dall'elenco dei computer nella parte in basso a destra della finestra, cliccare due volte sulla VM di sicurezza per visualizzare la finestra di dialogo Dettagli dei computer. Nella sezione Cronologia, vengono elencati gli Oggetti rilevati. In corrispondenza della colonna Nome viene visualizzato il nome della minaccia, mentre la VM guest e i file colpiti vengono elencati nella colonna Dettagli. 2. Cliccare sul nome della minaccia. Così facendo, ci si collega al sito Web Sophos, in cui è possibile leggere una descrizione dell'oggetto e ricevere consigli sulle azioni da intraprendere contro di esso. È ora possibile gestire la minaccia rilevata utilizzando uno dei metodi descritti nella prossima sezione Disinfezione di una VM guest A seconda di quanto sia stata compromessa la virtual machine (VM), sono diverse le modalità che si possono utilizzare per la disinfezione della VM guest. Alcuni virus non hanno alcun effetto collaterale. Altri possono invece apportare modifiche o compromettere i dati. Se la possibilità che vengano perduti dati è accettabile, semplicemente ripristinare la VM. Utilizzare una delle seguenti modalità: Cancellare la VM guest colpita e riclonarla tramite immagine modello. Eseguire una scansione completa della VM guest per verificare che non sia infetta. Ripristinare il primo snapshot pulito della VM guest infetta. Eseguire una scansione completa della VM guest per verificare che non sia infetta. 25

26 Sophos Anti-Virus per VMware vshield In alternativa, utilizzare il software Sophos per rimuovere le minacce. Utilizzare una delle seguenti modalità: Installare il tool gratuito "Sophos Virus Removal Tool" nella VM infetta per poter rimuovere le minacce. È possibile eseguire il download di questo tool dalla pagina Web Installare Sophos Endpoint Security and Control per Windows nella VM guest infetta e utilizzarlo per rimuovere le minacce. È possibile scaricarlo dalla pagina Web Importante: Se si utilizza un software Sophos, leggere le istruzioni riportate nella sezione Disinfezione tramite software Sophos a pagina Disinfezione tramite software Sophos Se si esegue la disinfezione delle minacce utilizzando Sophos Virus Removal Tool o Sophos Endpoint Security and Control, eseguire la procedura riportata di seguito: 1. Installare il Virus Removal Tool o Endpoint Security and Control. 2. Interrompere l'esecuzione di vshield Endpoint Thin Agent. In qualità di amministratore, nella finestra del prompt dei comandi digitare: net stop vsepflt 3. Eseguire la disinfezione della minaccia. Nota: Se si utilizza Endpoint Security and Control, disinstallarlo prima di riavviare la VM guest o Thin Agent. 4. Riavviare Thin Agent. Digitare: net start vsepflt 14.3 Eliminazione degli allarmi presenti in Enterprise Console Quando si è certi che la VM guest sia disinfettata, cancellare gli allarmi da Enterprise Console: 1. In Enterprise Console, dall'elenco dei computer nella parte in basso a destra della finestra, cliccare col tasto destro del mouse sulla VM di sicurezza e selezionare Risolvi allarmi ed errori. 2. Nella finestra di dialogo Risolvi allarmi ed errori, scheda Allarmi, selezionare l'allarme e cliccare su Cancella. L'allarme non viene più visualizzato in Enterprise Console. 15 Upgrade della protezione per virtual machine Le virtual machine (VM) di sicurezza Sophos mettono automaticamente a disposizione tutti i più recenti aggiornamenti relativi a software, dati sulle minacce e motore di rilevamento delle minacce, direttamente dalla condivisione di rete Sophos. 26