McAfee Web Gateway 7.3.2

Transcription

1 Notes de distribution Révision A McAfee Web Gateway Sommaire A propos de cette version Nouvelles fonctionnalités Améliorations Problèmes résolus Instructions d'installation Problèmes connus Accès à la documentation sur le produit A propos de cette version Ce document contient des informations importantes au sujet de cette distribution. Nous vous recommandons vivement de le lire dans son intégralité. McAfee Web Gateway (Web Gateway), version 7.3.2, est fourni en tant que version contrôlée. Cette version principale présente de nouvelles fonctionnalités et améliorations, et résout les problèmes présents dans les précédentes versions. Nouvelles fonctionnalités Cette distribution du produit inclut les nouvelles fonctionnalités suivantes. Transfert DNS conditionnel L'utilisation de différents serveurs DNS (Domain Name Service) pour résoudre les informations de nom de domaine en adresses IP peut être configurée en fonction des domaines des destinations demandées. Pour un domaine donné, plusieurs serveurs DNS peuvent être configurés pour résoudre les informations de domaine, lorsqu'une requête de destination au sein de ce domaine est reçue. Cloud Single Sign On Lorsque les utilisateurs demandent d'accéder à des applications sur le cloud au sein d'un réseau protégé par Web Gateway, la connexion aux applications sur le cloud est prise en charge dans un processus intégré par Web Gateway et le produit de gestion des identités McAfee Cloud Single Sign On McAfee Cloud SSO. Sous ce processus, les utilisateurs peuvent accéder aux applications sur le cloud qui ne sont pas disponibles lorsque McAfee Cloud SSO est exécuté en mode autonome. 1

2 McAfee Cloud SSO gère l'accès aux applications sur le cloud par authentification unique. Une fois que les utilisateurs ont soumis leurs informations d'identification à l'application sur le cloud et à McAfee Cloud SSO lors de leur première connexion, ils ne doivent les fournir qu'à McAfee Cloud SSO par la suite. Le processus peut également être configuré de manière à permettre la soumission des informations d'identification à Web Gateway. Chiffrement du stockage sur le cloud Pour renforcer la sécurité des activités dans le cloud, le chiffrement peut être configuré pour les données chargées par un utilisateur sur un service de stockage sur le cloud. Lorsque les données sont téléchargées à nouveau, elles sont déchiffrées pour permettre à l'utilisateur de les utiliser. Mots de passe à usage unique Les mots de passe à usage unique peuvent être traités sur l'appliance Web Gateway pour authentifier les utilisateurs. Cela inclut l'utilisation de mots de passe pour le remplacement autorisé lorsqu'une session web s'est terminée en raison d'une expiration de quota. L'authentification à l'aide d'un mot de passe à usage unique est effectuée dans une seconde étape, après avoir authentifié l'utilisateur par toute autre méthode disponible sur l'appliance Web Gateway. Un mot de passe à usage unique peut être fourni par McAfee Pledge à un utilisateur qui accède au Web à partir d'un périphérique mobile, tel qu'un smartphone, et traité par Web Gateway. Marquage d'en têtes IP DSCP Le champ d'en tête IP DSCP peut être défini pour l'évaluation par des périphériques réseau prenant en charge DSCP (Differentiated Services Code Point), lorsque des paquets de données sont envoyés de Web Gateway à un serveur web demandé ou renvoyés à un client. Analyseur de contenu multimédia diffusé en flux continu Le contenu multimédia diffusé en flux continu, tel que vidéos ou données audio, est analysé par l'analyseur de contenu multimédia diffusé en flux continu pour détecter toute infection causée par des virus et d'autres logiciels malveillants (malware), et fournis par étapes à l'utilisateur qui le télécharge. Cela renforce la sécurité web, car le contenu multimédia diffusé en flux continu contournait l'analyse dans les précédentes versions de Web Gateway. Les utilisateurs peuvent voir et entendre le contenu multimédia diffusé en flux continu simultanément et plus rapidement, vu qu'ils ne doivent pas attendre la fin de l'analyse. Traçage de règles Pour résoudre les problèmes de traitement de règles, des fonctions de traçage de règles sont fournies dans l'interface utilisateur. Des traçages peuvent être créés pour enregistrer le traitement des règles de sécurité web implémentées, lorsque les utilisateurs envoient des requêtes d'accès au Web à partir de clients de Web Gateway. Le traçage couvre toutes les activités dans les différents cycles de traitement et peut être affiché séparément pour chaque cycle. Les propriétés utilisées dans les critères de règle qui ont été impliquées dans le traitement peuvent également être affichées séparément, avec leurs valeurs respectives définies lors du traitement des règles. 2

3 Module de sécurité matériel Un module de sécurité matériel (HSM, Hardware Security Module) peut être installé sur une appliance Web Gateway pour renforcer la sécurité des clés privées pour les certificats envoyés aux serveurs et aux clients dans une communication sécurisée SSL. Les clés privées peuvent être stockées sur ce composant matériel et utilisées séparément. Les clés sont chargées par l'agent HSM de manière à ce qu'elles soient disponibles sur l'appliance Web Gateway. Redimensionnement du volume de cache Les volumes logiques sur une appliance Web Gateway peuvent être redimensionnés à l'aide d'un nouvel assistant. L'administrateur peut ainsi réduire le volume de cache web et augmenter le volume de cache des fichiers journaux et temporaires à l'aide de cet assistant. Améliorations Cette distribution du produit inclut les améliorations suivantes. Améliorations apportées à l'assistant de configuration Les fonctions de l'assistant qui aide l'administrateur à configurer Web Gateway ont été étendues et permettent désormais d'effectuer les tâches suivantes : Configuration des paramètres réseau, y compris des interfaces réseau et des serveurs DNS ; Configuration du fuseau horaire pour une appliance Web Gateway ; Modification du mot de passe de l'administrateur ; Utilisation des options de navigation étendues. Gestion des adresses IP améliorée Lorsque les informations de nom de domaine ont été résolues en une liste d'adresses IP par un serveur DNS, les autres adresses IP résolues pour un domaine sont utilisées pour la connexion si le domaine ne peut pas être atteint sous l'adresse IP qui a été résolue et renvoyée la première de la liste. Préanalyse plus flexible La préanalyse des objets web pour détecter toute infection causée par des virus et d'autres logiciels malveillants (malware) peut être effectuée d'une manière plus flexible et permet ainsi une analyse ultérieure plus performante des objets web par le module antimalware (filtre). Dans les précédentes versions de Web Gateway, la fonction de préanalyse pouvait être activée ou désactivée. Trois options sont désormais disponibles pour la configuration de l'ensemble des objets web préanalysés, en fonction des niveaux de confiance. Reconnaissance des types de supports étendue Lorsqu'un en tête Content Type est envoyé avec un objet incorporé, la fonction de filtrage des types de supports reconnaît le type, à l'aide d'une nouvelle propriété, tandis que dans les précédentes versions de Web Gateway, les types de supports n'étaient reconnus que pour les objets traités dans les cycles de requête et de réponse. 3

4 Ajouts apportés à l'interface REST Les options suivantes ont été ajoutées à l'interface REST (Representational State Transfer) interne, qui permet à l'administrateur d'utiliser Web Gateway sans avoir à se connecter à son interface utilisateur : Déclenchement automatique des mises à jour YUM et du moteur ; Création d'une sortie à l'aide de ping, feedback et de commandes similaires ; Configuration de paramètres de configuration et de stratégie supplémentaires ; Gestion de listes complexes ; Gestion d'ensembles de règles dans l'arborescence d'ensembles de règles par défaut et dans la bibliothèque de règles locale ; Configuration de comptes d'administrateur ; Exécution manuelle des mises à jour du moteur. Problèmes résolus Les problèmes suivants sont résolus dans la présente distribution de ce produit. Pour obtenir une liste des problèmes résolus dans les distributions précédentes, consultez les notes de distribution de la distribution spécifique. Problèmes de protocole et de proxy réseau Lorsqu'une option de récupération d'un certificat à partir d'un hôte était utilisée pour ajouter des entrées à une liste d'autorisation dans une communication sécurisée SSL, était ajouté au début d'une entrée, ce qui était redondant, car ces informations de protocole s'affichaient déjà dans le champ relatif à l'entrée. (730598) Après l'envoi d'une requête à un serveur web en mode pont transparent, un client recevait un message de dépassement du délai de Web Gateway, qui n'avait pas été configuré pour ce chemin réseau, car une adresse MAC expirée pour le serveur web sur un commutateur entraînait le transfert de la requête à tous les ports, y compris celui de Web Gateway. (835083) Une réponse envoyée à partir d'un proxy correspondant au tronçon suivant et considérée comme non valide entraînait le marquage du proxy correspondant au tronçon suivant comme inactif sur le tableau de bord de Web Gateway, alors qu'il ne l'était pas. (835895) Dans une configuration de proxy correspondant au tronçon suivant, l'en tête Via manquait dans les requêtes CONNECT envoyées par Web Gateway, ce qui empêchait l'application des règles de sécurité existantes. (839620) Les clients ne pouvaient pas se connecter sous le protocole IPv6 aux sites web en mode sécurisé SSL à l'aide de Web Gateway, qui était exécuté en mode routeur transparent, car Web Gateway envoyait aux clients une erreur Requête incorrecte comme réponse. (841303) Dans une configuration où Web Gateway recevait les requêtes des clients en mode routeur transparent, mais où l'authentification était gérée par un autre proxy exécuté en mode proxy explicite, un client ne pouvait pas être authentifié, car le routeur transparent supprimait les informations NTLM Negotiate de la requête avant de la transmettre au proxy explicite. (841540) L'augmentation de la valeur par défaut pour le nombre maximum de requêtes dans le backlog d'écoute sous les paramètres de proxy avancés n'avait aucun effet, car le paramètre permettant de définir cette limite dans le fichier système sysctl n'était pas modifié en même temps et devait l'être manuellement. (848340) 4

5 Le traitement d'un chargement envoyé dans une requête POST entraînait l'échec du processus principal, en raison de problèmes de fonction de proxy sur l'appliance Web Gateway. (848595) L'exécution d'un proxy XMPP entraînait une boucle qui permettait au nombre maximum de connexions d'être atteint. Les requêtes ultérieures étaient alors refusées et un message d'erreur était envoyé. (849365) Lorsqu'un fichier volumineux à charger sur un serveur FTP était reçu d'un client, aucun message Keepalive n'était renvoyé au client alors que le fichier était encore analysé, ce qui entraînait la fermeture de la connexion par le client et l'échec du chargement. (851385) Lorsqu'un mode proxy transparent était configuré, l'activation du réacheminement de ports TCP entraînait un grand nombre de messages d'erreur indiquant l'indisponibilité du protocole requis. (871069) Après l'envoi à un serveur web d'une requête POST dont le corps manquait, le serveur web fermait la connexion alors que Web Gateway répétait en vain la requête POST et envoyait finalement un message d'erreur au client qui avait émis la requête. (871192, ) Lors de l'envoi d'une requête POST à un serveur web, le processus principal échouait avec le signal TERM 11, en raison de problèmes de fonction de proxy de Web Gateway. (873657) Lorsque l'utilisation d'un proxy IFP était configuré pour le filtrage d'url, une fuite de mémoire se produisait et entraînait une augmentation constante de la consommation de la mémoire, ce qui provoquait l'échec du processus principal. (874960) Problèmes d'interprétation des caractères spéciaux Les caractères à deux octets, qui sont, par exemple, utilisés pour traiter les noms saisis en chinois, n'étaient pas correctement rendus lorsqu'une synchronisation de stratégie entre Web Gateway et le produit SaaS était effectuée si nécessaire sous la solution Web Hybrid Security. (816208) Lorsqu'un fichier contenant des caractères chinois dans son nom était téléchargé comme pièce jointe, le nom contenu dans l'en tête Content Disposition n'était pas codé avant d'être écrit dans le journal des accès. (831873) Les entrées de fichier journal créées par Web Gateway provoquaient des erreurs sur un serveur de journaux, car elles contenaient des lignes vides, résultant de l'affectation à la propriété Authentication.User de noms d'utilisateur sous forme de valeurs contenant des sauts de lignes. (816208) Problèmes d'authentification Lorsque la méthode d'authentification LDAP était configurée, la requête envoyée pour rechercher des contrôleurs de domaine avait une syntaxe incorrecte, ce qui entraînait des réponses indiquant l'absence de tout serveur de domaine sous le nom demandé. (842931) Après la configuration d'une méthode d'authentification de certificat client, l'interface utilisateur n'était pas accessible et la page de connexion s'affichait de nouveau lorsqu'un nom d'hôte était saisi dans le champ d'adresse du navigateur, au lieu d'une adresse IP. (872174) Après la configuration d'une URL spécifique pour contourner l'authentification, celle ci était encore bloquée par une autre règle qui utilisait la propriété Authentication.IsAuthenticated, car True était défini comme valeur pour la propriété, bien qu'aucune authentification n'ait été effectuée. (876584) Problèmes de filtrage de contenu web Un fichier temporaire n'était pas transféré correctement entre les modules antimalware lors de l'analyse d'une requête, ce qui entraînait une erreur de filtrage antivirus et antimalware. (834178) Lorsque la propriété MediaType.MagicByteMismatch était utilisée dans les critères d'une règle de blocage, la détection incorrecte des non concordances entraînait un blocage excessif du contenu de type JavaScript. (834454) 5

6 Lorsque des URL spécifiques étaient analysées par le module McAfee Gateway Anti Malware, le processus échouait sur plusieurs appliances et une erreur SIGBUS 7 était renvoyée, en raison d'un remplacement sporadique de la mémoire causé par des problèmes de filtrage d'url. (838350, , , , ) L'échec du module McAfee Gateway Anti Malware se produisait lorsqu'une URL non valide était traitée avec le filtrage d'url désactivé et le paramètre de détection des programmes potentiellement indésirables activé. (842474) Lorsqu'une requête était analysée par le module McAfee Gateway Anti Malware, un dépassement du délai entraînait l'échec du processus d'analyse. (843179) Lorsque le filtre de jetons de sécurité était appliqué, une condition de concurrence spécifique entraînait un échec, car plusieurs threads modifiaient la clé de chiffrement. (848210) Lorsqu'un type de support spécifique était configuré pour le blocage, le support d'un autre type n'était pas correctement reconnu et était bloqué, alors qu'il aurait dû être autorisé. (850909) Lorsque le traitement d'une règle avec la propriété URL.Categories définissait une liste vide comme valeur de la propriété, car aucune catégorie ne pouvait être trouvée pour l'url demandée, l'utilisation de la propriété URL.CategoriesForURL dans une autre règle entraînait la même valeur pour la propriété, bien qu'une autre URL avait été configurée pour la recherche de catégories. (851335) Lorsque l'outil Dynamic Content Classifier était activé, les requêtes d'accès au web ne pouvaient pas être traitées en raison d'une erreur interne du moteur de règles, car un fichier de configuration requis pour le fonctionnement de Dynamic Content Classifier n'était pas disponible comme l'ensemble de catégories 3 était en cours d'utilisation. (873468) Après la mise à jour de Dynamic Content Classifier, des ressources, notamment une bibliothèque et des pointeurs, étaient publiées dans un ordre qui entraînait l'échec du processus principal avec le signal TERM 11. (878275) Problèmes de gestion centralisée Après l'ajout de nœuds à une configuration de gestion centralisée, l'ordre des options de la configuration système dans l'interface utilisateur différait sur certains nœuds. (834647) Après le démarrage d'une mise à jour logicielle dans l'interface utilisateur d'une appliance dans une configuration de gestion centralisée, l'utilisateur était déconnecté et le message d'erreur «Session active introuvable pour l'uuid» s'affichait, car l'appliance s'était connectée à un nœud ne permettant pas la mise à jour au lieu du nœud qui distribuait les mises à jour. (841943) Un grand nombre de fichiers temporaires, créés par le sous système de coordination, remplissait le répertoire opt, car ceux ci n'étaient pas supprimés comme d'habitude lorsqu'une appliance renvoyait un nœud dans une configuration de gestion centralisée. (843345) Après la mise à niveau d'une configuration de gestion centralisée avec deux appliances, aucun certificat par défaut n'existait sous les paramètres ICAP, et l'application de modifications à ces paramètres entraînait plusieurs erreurs, notamment le journal des erreurs pour l'interface utilisateur, les listes étendues et une liste de configuration ne pouvaient pas être enregistrés. (849415) Autres problèmes Une règle d'ouverture de fichiers qui utilisait la propriété Body.IsCorruptedObject dans ses critères générait des faux positifs lors du blocage d'objets web. (814649) La section de contrôle des applications du tableau de bord affichait une version légèrement modifiée du nom des applications ainsi que leur ancien nom, tandis que les statistiques sur les données d'application cessaient d'être affichées sous l'ancien nom et s'affichaient sous le nouveau. (824046) 6

7 Une erreur UseCount entraînait l'échec du processus principal avec le signal TERM 11. (832060) Des valeurs incorrectes étaient affectées à la propriété Quota.TimeRemaining.Day.ReducedAtActivation et aux propriétés similaires, puis après une réinitialisation des quotas, la durée de la session était déduite au lieu d'afficher de nouveau la durée totale de la session configurée. (833459) Après la modification du nom d'une liste par un utilisateur disposant d'un accès en lecture/écriture et la déconnexion de ce dernier, la liste devenait invisible pour le super administrateur, mais pouvait être vue par un autre utilisateur qui auparavant n'était pas autorisé à afficher la liste. (836505) La génération d'un certificat Interface utilisateur dans l'interface utilisateur de Web Gateway échouait, car le démon de configuration système nécessitait des données codées en Base64, alors que l'interface utilisateur fournissait uniquement du texte brut. (840073) Une augmentation excessive d'allocation de mémoire se produisait sur une appliance, ce qui entraînait l'échec du processus principal avec le signal TERM 6. (840447) L'augmentation de la valeur par défaut pour le nombre maximum de requêtes dans le backlog d'écoute sous les paramètres de proxy avancés n'avait aucun effet, car le paramètre permettant de définir cette limite dans le fichier système sysctl n'était pas modifié en même temps et devait l'être manuellement. (848340) Lors du traitement d'url spécifiques envoyées par un client, Web Gateway répondait le message d'erreur «Proxy inconnu» et fermait la connexion, ce qui était causé par le comportement défaillant de l'outil d'ouverture composite. (844478, ) Une liste qui avait été configurée sans aucune autorisation ne pouvait pas être modifiée à l'aide de l'interface REST par un administrateur dont le rôle disposait d'autorisations complètes, y compris la modification de listes. (874634) Instructions d'installation Procédez comme suit pour installer la version du logiciel Web Gateway sur une appliance. Procédures Mise à niveau à partir de la version ou d'une version x, page 8 A partir de la version ou d'une version x, vous pouvez effectuer une mise à niveau vers la nouvelle version depuis l'interface utilisateur ou une console système. Mise à niveau à partir de la version 7.2.x ou de toute version 7.x antérieure, page 9 A partir de la version 7.2.x ou de toute version 7.x antérieure, effectuez une mise à niveau vers la nouvelle version depuis une console système. Présentation Les conditions requises pour installer la version varient en fonction de la version actuellement exécutée sur une appliance. A partir de la version ou d'une version x, vous pouvez effectuer une mise à niveau vers la nouvelle version. Reportez vous à la section Mise à niveau à partir de la version ou d'une version x. Si vous avez testé la version bêta 7.3.2, nous vous recommandons vivement de créer une nouvelle image de l'appliance en utilisant une image de la nouvelle version. 7

8 A partir de la version 7.2.x ou de toute version 7.x antérieure : Créez une sauvegarde de la configuration. Utilisez les options fournies sous Dépannage Sauvegarde/Restauration dans l'interface utilisateur pour créer la sauvegarde. Effectuez une mise à niveau vers la nouvelle version. Reportez vous à la section Mise à niveau à partir de la version 7.2.x ou de toute version 7.x antérieure. Le processus de mise à niveau inclut une importante mise à niveau du système d'exploitation. Plusieurs étapes seront nécessaires et l'opération prendra plus de temps que d'habitude. Si le processus de mise à niveau échoue ou est interrompu, vous pouvez créer une nouvelle image de l'appliance en utilisant une image de la nouvelle version et installer la sauvegarde de la configuration. Sinon, vous pouvez suivre les étapes suivantes : Créez une sauvegarde de la configuration. Créez une nouvelle image de l'appliance en utilisant une image de la nouvelle version et installez la sauvegarde de la configuration. A partir d'une version 6.8.x ou 6.9.x, vous devez créer une nouvelle image de l'appliance en utilisant une image de la nouvelle version. Téléchargez une image de la nouvelle version à partir de la page de téléchargement du portail McAfee Content & Cloud Security Portal à l'adresse : Pour plus d'informations sur la création d'une nouvelle image, reportez vous au Guide Produit de McAfee Web Gateway, version Mise à niveau à partir de la version ou d'une version x A partir de la version ou d'une version x, vous pouvez effectuer une mise à niveau vers la nouvelle version depuis l'interface utilisateur ou une console système. Mise à niveau depuis l'interface utilisateur Pour effectuer une mise à niveau depuis l'interface utilisateur : Procédure 1 Sélectionnez Configuration Appliances. 2 Dans l'arborescence des appliances, sélectionnez l'appliance que vous souhaitez mettre à niveau. La barre d'outils de l'appliance s'affiche dans le coin supérieur droit de l'onglet. 3 Cliquez sur Mettre à jour le logiciel de l'appliance. La mise à niveau vers la nouvelle version est effectuée. 4 Cliquez sur Redémarrer pour terminer l installation. 8

9 Mise à niveau depuis une console système Pour effectuer une mise à niveau depuis une console système : Procédure 1 Connectez vous à l'appliance que vous souhaitez mettre à niveau, à l'aide de SSH. 2 Exécutez les deux commandes suivantes : yum upgrade yum yum upgrade La mise à niveau vers la nouvelle version est effectuée. 3 Exécutez la commande suivante pour terminer l'installation : reboot Mise à niveau à partir de la version 7.2.x ou de toute version 7.x antérieure A partir de la version 7.2.x ou de toute version 7.x antérieure, effectuez une mise à niveau vers la nouvelle version depuis une console système. Procédure 1 Connectez vous à l'appliance que vous souhaitez mettre à niveau, à l'aide de SSH. 2 Exécutez les deux commandes suivantes : yum install yumconf 7.3 mwg mwg dist upgrade La mise à niveau vers la nouvelle version est effectuée. Une fois la mise à niveau effectuée, l'appliance redémarre automatiquement pour terminer l'installation. Il est possible qu'elle redémarre plusieurs fois. Problèmes connus Pour obtenir une liste des problèmes connus de cette distribution du produit, consultez cet article de la McAfee KnowledgeBase : KB Accès à la documentation sur le produit McAfee fournit les informations nécessaires à chaque phase de la mise en œuvre du produit, de l'installation à l'utilisation au quotidien et à la résolution de problèmes. Après la distribution d'un produit, des informations le concernant sont publiées dans la base de connaissances en ligne (KnowledgeBase) de McAfee. Procédure 1 Accédez au portail de support technique ServicePortal McAfee à l'adresse mysupport.mcafee.com. 2 Sous Self Service (Libre service), accédez au type d'informations dont vous avez besoin : 9

10 Pour accéder à Documentation utilisateur Opérations à exécuter 1 Cliquez sur Product Documentation (Documentation produit). 2 Sélectionnez un produit, puis une version. 3 Sélectionnez un document. Base de connaissances (KnowledgeBase) Cliquez sur Search the KnowledgeBase (Rechercher dans la base de connaissances) pour trouver des réponses aux questions que vous vous posez sur le logiciel. Cliquez sur Browse the KnowledgeBase (Parcourir la base de connaissances) pour obtenir une liste des articles par produit et version. Documentation du produit Chaque produit McAfee dispose d'un ensemble complet de documents. La documentation du produit Web Gateway inclut les éléments suivants : Guide Produit de McAfee Web Gateway : décrit les fonctionnalités de Web Gateway et fournit une vue d'ensemble du produit, ainsi que des instructions détaillées relatives à son installation, sa configuration et sa maintenance. Guide de démarrage rapide de McAfee Web Gateway : décrit les étapes de configuration générales d'une version de Web Gateway fournie en tant que logiciel préinstallé sur une plate forme matérielle. Ce document est fourni au format imprimé avec le logiciel préinstallé et le matériel. La version actuelle de Web Gateway, 7.3.2, n'est pas fournie en tant que logiciel préinstallé. Copyright 2013 McAfee, Inc. Copie sans autorisation interdite. McAfee et le logo McAfee sont des marques commerciales ou des marques commerciales déposées de McAfee, Inc. ou de ses filiales aux Etats Unis et dans d'autres pays. Les autres noms et marques sont la propriété de leurs détenteurs respectifs. 0-A03