Sophos Reporting Log Writer Guide de l'utilisateur

Transcription

1 Sophos Reporting Log Writer Guide de l'utilisateur Sophos Enterprise Console 5.1 ou supérieur Version du produit : 5.1 Date du document : août 2013

2 Table des matières 1 À propos de ce guide À propos de Sophos Reporting Log Writer Installation de Sophos Reporting Log Writer Configuration du Log Writer Sources de données Log Writer Désinstallation de Sophos Reporting Log Writer Support technique Mentions légales

3 Guide de l'utilisateur 1 À propos de ce guide Ce guide vous explique comment Sophos Reporting Log Writer vous permet d'utiliser le logiciel tiers de surveillance de rapports pour générer des rapports à partir des données de menaces et d'événements dans la Sophos Enterprise Console. Il s'adresse aux administrateurs système et aux administrateurs de base de données. Ce guide suppose que vous connaissez et utilisez déjà la version 5.1 ou supérieure de la Sophos Enterprise Console (SEC). Si vous souhaitez utiliser des applications tierces d'édition de rapports telles que Crystal Reports ou SQL Reporting Services, vous pouvez le faire à l'aide de Sophos Reporting Interface. Retrouvez plus d'informations dans le Guide de l'utilisateur de Sophos Reporting Interface. La documentation Sophos est disponible sur 3

4 Sophos Reporting Log Writer 2 À propos de Sophos Reporting Log Writer Sophos Reporting Log Writer est une application spécialisée dans l'exportation de données qui seront utilisées par des applications tierces de surveillance des journaux comme Splunk, qui récupèrent des données à partir de fichiers en texte brut plutôt que directement depuis une base de données. Sophos Reporting Log Writer peut être installée sur un ordinateur avec une installation autonome de SEC, ou sur tout ordinateur qui a un accès à la base de données Enterprise Console. Important : Sophos Reporting Log Writer met les données de l'enterprise Console à disposition des applications tierces. En l'installant, vous assumez la responsabilité de la sécurité des données mises à disposition et garantissez également que seuls les utilisateurs autorisés ont accès à ces données. 4

5 Guide de l'utilisateur 3 Installation de Sophos Reporting Log Writer Remarque : les données récupérées par Log Writer peuvent contenir des informations confidentielles sur les utilisateurs et les ordinateurs administrés par la SEC. Vous devez gérer l'accès à ces informations. Nous conseillons de restreindre les droits d'accès du dossier d'installation, des fichiers de formatage des données et des fichiers journaux à un compte approprié. Par ailleurs, étant donné que les données transférées depuis Sophos Reporting Interface vers les fichiers journaux ne sont pas chiffrées, ces fichiers journaux doivent seulement être écrits sur la machine locale. Ceci est préférable au transfert des données via un transport réseau non chiffré comme les partages SAMBA/CIFS. 3.1 Vérification de la configuration requise Vérifiez que vous avez :.NET Framework 3.5 installé. Les droits suffisants pour installer un nouveau service sur l'ordinateur sur lequel le Log Writer sera installé. 3.2 Conseils Nous vous conseillons d'installer le Log Writer sur l'ordinateur sur lequel le serveur d'administration est installé. En fait, il peut être installé sur tout serveur qui a accès à la base de données Sophos Enterprise Console. Par défaut, le service Log Writer sera installé sous le compte LocalSystem, lequel a les droits d'accès complets au serveur local. Nous vous conseillons fortement de réaffecter le service à un compte disposant de droits d'accès inférieures après l'installation. Toutefois, le compte doit disposer du droit en écriture dans le dossier de sortie du journal (par défaut, C:\Program Files\Sophos\Reporting Interface\Log Files). Si le service est installé sur un ordinateur autre que le serveur d'administration, il devra être exécuté sous un compte utilisateur disposant des droits appropriés d'accès à distance à la base de données SEC. Pour cette raison, le compte doit être mappé sur une connexion SQL à laquelle les droits SELECT et EXECUTE ont été accordés dans le schéma Sophos LogWriter. Remarque : assurez-vous que l'ordinateur du Log Writer et l'ordinateur de la base de données ont leurs emplacements, fuseaux horaires et horloges définis correctement sur leurs emplacements. 5

6 Sophos Reporting Log Writer 3.3 Installation Téléchargement du programme d'installation Cette section suppose que vous avez un compte MySophos et que vous avez associé vos codes d'accès de licence avec ce compte. Retrouvez plus d'aide sur Pour télécharger le programme d'installation : 1. Rendez-vous sur 2. Saisissez votre nom d'utilisateur et votre mot de passe MySophos. Une page Web apparaît sur laquelle vos licences sont affichées. 3. Sous votre nom de licence, rendez-vous dans les téléchargements pour la Console. Téléchargez le programme d'installation de Sophos Reporting Interface Installation de Log Writer Pour installer le Log Writer : 1. Recherchez le programme d'installation de Sophos Reporting Interface que vous aviez téléchargé auparavant et cliquez deux fois dessus. 2. Modifiez le dossier de destination dans lequel sont copiés les fichiers d'installation, si vous le désirez, et cliquez sur Install. Les fichiers d'installation sont copiés sur l'ordinateur. 3. Recherchez le programme d'installation Sophos Reporting Log Writer.msi. Procédez de l'une des manières suivantes : Si vous voulez générer un fichier journal détaillé lors de l'installation du Log Writer, utilisez la commande suivante : msiexec /l*v logfile.txt /i "Sophos Reporting Log Writer.msi" Le fichier journal sera créé dans le dossier dans lequel la commande a été exécutée. Si vous ne voulez pas générer de fichier journal, cliquez deux fois sur le programme d'installation. L'assistant Sophos Reporting Log Writer Setup démarre et vous guide tout au long des étapes d'installation. 6

7 Guide de l'utilisateur 4. Une fois l'installation terminée, cliquez sur Terminer. Si la case Show configuration file est sélectionnée, le fichier de configuration par défaut SophosLogWriterConfig.xml apparaît dans l'explorateur Windows. Si vous voulez utiliser la configuration par défaut fournie avec le Log Writer, passez à l'étape suivante et démarrez le service Log Writer. Pour plus d'informations sur la configuration par défaut, reportez-vous à la section Configuration par défaut du Log Writer à la page 7. Pour modifier le fichier de configuration du Log Writer, reportez-vous à la section Configuration du Log Writer à la page Pour démarrer le service Log Writer : a) Ouvrez le Panneau de configuration et cliquez deux fois sur Outils d'administration. b) Dans la fenêtre Outils d'administration, cliquez deux fois sur Services. La liste des services disponibles apparaît. c) Sélectionnez Sophos Reporting Log Writer et cliquez sur Démarrer pour démarrer le service. Log Writer lit le fichier de configuration lorsqu'il est lancé pour la première fois et requiert un redémarrage du service pour tout changement de configuration. 3.4 Configuration par défaut du Log Writer Le fichier de configuration par défaut contient deux sources de données. La première source de données sera écrite dans un fichier journal DefaultCommonEvents.log. Il extrait les données d'événements communes à l'aide de la source de données EventsCommonData. La seconde source de données sera écrite dans un fichier journal DefaultThreats.log. Il extrait les données d'événements de menaces à l'aide de la source de données ThreatEventData. Le fichier journal par défaut sera dans le dossier des fichiers journaux ('Log Files') utilisant des fichiers par défaut de formatage des données dans le dossier des fichiers de configuration ('Configuration Files') placé dans le dossier d'installation du Log Writer. Les données des 7 derniers seront extraites lorsque le service sera lancé pour la première fois avec la configuration par défaut. 7

8 Sophos Reporting Log Writer 4 Configuration du Log Writer Le dossier des fichiers de configuration est placé dans le dossier d'installation du Log Writer. Le dossier contient un exemple de fichier de configuration pour chacune des sources de données disponibles. Vous pouvez les personnaliser en fonction de votre configuration requise. Le fichier de configuration est disponible à l'emplacement suivant par défaut : C:\Program Files\Sophos\Reporting Interface\SophosLogWriterConfig.xml. Pour une liste des sources de données disponibles pour le Log Writer, reportez-vous à la section Sources de données Log Writer à la page 11. Pour modifier le fichier de configuration du Log Writer : 1. Modifiez l'élément <connectionstring> des paramètres de connexion qui détermine comment le Log Writer contacte la base de données Enterprise Console : Dans le fichier de configuration par défaut, l'élément <connectionstring> est placé en commentaire (entouré des balises "<!--" et "-->"). Si cet élément est placé en commentaire ou n'est pas présent dans le fichier de configuration, le service tentera de trouver les paramètres appropriés en recherchant dans le registre une chaîne de connexion du service d'administration SEC. Cependant, si le Log Writer est installé sur une machine différente du service d'administration, une chaîne de connexion doit être spécifiée. Pour les installations standard, seuls le nom et l'instance de la base de données doivent être modifiées. Si vous avez une configuration de base de données non standard, la procédure de modification des paramètres de connexion est disponible sur le site Web de Microsoft sur : Remarque : Si l'élément <connectionstring> est présent mais spécifie une chaîne de connexion incorrecte ou vide (comme DataSource=""), le service ne démarrera pas et ne cherchera pas la valeur de registre. Si une connexion à la base de données a été spécifiée, un élément <noofdays> doit être défini qui détermine le nombre de jours de données d'historiques à récupérer. L'élément <commandtimeout> spécifie le temps que le serveur SQL doit attendre avant qu'une exécution de commande expire. Cet élément est facultatif et le serveur attendra indéfiniment s'il n'est pas spécifié. <?xml version= 1.0 encoding= utf-8?> <SophosDatafeed xmlns= > <connection> <connectionstring> Integrated Security = SSPI; Persist Security Info = False; Initial Catalog = Sophos[SECVersion]; Data Source = [SERVER]\[INSTANCE] </connectionstring> 8

9 Guide de l'utilisateur <commandtimeout>[timeout IN SECONDS] </commandtimeout> </connection> <noofdays> [AGE OF HISTORICAL DATA]</noOfDays> 2. Définissez des sources de données personnalisées pour extraire les informations de la base de données. Nous vous conseillons d'ajouter seulement une source à la fois car cela aide à résoudre les problèmes et réduit la charge sur la base de données. La définition de la source de données est la suivante : Remarque : Chaque source de données doit spécifier un <tick> unique et l'élément <logfile>. Ils indiquent la fréquence à laquelle il convient de vérifier les nouvelles données dans la base de données et l'emplacement pour enregistrer les données. L'élément <applylogformat> prend une valeur de vrai ou de faux et spécifie s'il convient de préfixer chaque ligne par la date et l'heure à laquelle la ligne a été écrite dans le fichier journal. Cela peut être utile si on utilise un outil tiers comme Splunk qui recueille automatiquement la première date de chaque ligne du fichier journal. Si elle n'est pas définie, la date du fichier journal n'est pas préfixée. L'élément <filesize> limite la taille du fichier journal courant. L'élément <noofbackupfiles> définit le nombre de fichiers journaux de sauvegarde pouvant être créés avant que d'anciens fichiers ne soient supprimés. Exemple : si vous avez défini l'élément <filesize> sur 500 Ko et l'élément <noofbackupfiles> sur 2, la première fois que le fichier journal atteint 500 Ko, il est renommé et le suffixe ".1" est ajouté. Un nouveau fichier journal est créé sans suffixe pour capturer les nouveaux journaux. Une fois que le nouveau fichier journal atteint 500 Ko, le fichier précédemment suffixé ".1" est renommé sur ".2" et le fichier qui a maintenant atteint 500 Ko est suffixé avec ".1". Un nouveau fichier journal est créé sans suffixe pour capturer les nouveaux journaux. La fois suivante, le fichier suffixé avec ".2" est supprimé et le fichier suffixé avec ".1" est renommé afin qu'il ait un suffixe ".2". Chaque source de données contient un ou plusieurs éléments <call> qui sont identifiés par un attribut callid unique. Le Log Writer conserve la trace de chaque appel effectué en stockant une balise temporelle pour chaque appel dans un fichier "[CallID].last". Le callid doit être unique. <datafeeds> <datafeed> <tick> [TEMPS DE REQUÊTE EN SECONDES] </tick> <applylogformat> TRUE </applylogformat> <logfile> <noofbackupfiles> [NOMBRE DE FICHIERS DE SAUVEGARDE] </noofbackupfiles> <filesize> [TAILLE MAX DU FICHIER Ko/Mo/Go] </filesize> <outputlocation> [EMPLACEMENT DU FICHIER JOURNAL] </outputlocation> <outputfilename> [NOM DU FICHIER JOURNAL] </outputfilename> </logfile> 9

10 Sophos Reporting Log Writer <call callid = [NOM D'APPEL UNIQUE] > <datasource> [SOURCE DE DONNÉES A UTILISER] </datasource> <dataconfigurationlocation>[emplacement DU FICHIER DE CONFIG D'APPEL DE DONNÉES]</dataConfigurationLocation> <dataconfigurationfile>[nom DU FICHIER DE CONFIG D'APPEL DE DONNÉES]</dataConfigurationFile> </call>... </datafeed>... </datafeeds> </SophosDatafeed> 3. Si vous voulez modifier les sources de données, vous pouvez modifier l'élément <call>. Il spécifie la source de données pour extraire les données et l'associe à un fichier de formatage des données qui détermine les colonnes des données disponibles qui devraient être enregistrées. Le fichier de formatage des données peut être créé sous la forme d'une liste dans l'ordre de champs requis comme suit : Remarque : L'attribut field name peut utiliser n'importe quel nom. L'attribut link doit utiliser un champ Reporting Interface valide pour la source de données. Pour l'attribut enabled, 0 indique que les données ne seront pas extraites et 1 indique que les données seront extraites. <?xml version= 1.0 encoding= utf-8?> <LogFile> <Events> <field name= [NOM DU CHAMP] link= [NOM DU CHAMP] enabled= 1 />... </Events> </LogFile> 4. Démarrez le service Sophos Reporting Log Writer. Remarque : Vous devez redémarrer le service Log Writer pour tout changement de configuration. Avant de démarrer le service Log Writer avec un nouvelle configuration, nous vous conseillons d'arrêter le Sophos Management Service pendant que le Log Writer initialise les nouvelles sources de données et télécharge les données d'historiques de la base de données. 10

11 Guide de l'utilisateur 5 Sources de données Log Writer Les sources de données suivantes sont disponibles pour le Log Writer. Remarque : la lettre de l'alphabet mentionnée à côté de chaque source de données est utilisée dans le tableau ci-dessous pour représenter sa disponibilité pour le champ de données. A. EventsApplicationControlData B. EventsCommonData C. EventsDataControlData D. EventsDeviceControlData (nouveaux champs de données ajoutés) E. EventsFirewallData F. EventsTamperProtectionData G. EventsWebData (nouveaux champs de données ajoutés) H. ThreatEventData I. ThreatInstances Les champs de données disponibles pour chacune de ces sources de données sont indiqués dans le tableau ci-dessous. Toutes les colonnes date-heure sont rapportées en Temps Universel Coordonné (UTC, Universal Coordinated Time) au format "aaaa-mm-jj hh:mi:ss" (24 heures). Les nouveaux champs de données disponibles avec SEC 5.0 ou des versions supérieures apparaissent en gras. Champ de données Type de données Source de données A B C D E F G H I EventID EventTime datetime EventTypeID EventTypeName SubTypeID SubTypeName InsertedAt datetime UserName ComputerName ComputerDomain ComputerIPAddress 11

12 Source de données Type de données Champ de données I H G F E D C B A Nom ReportingName ActionID ActionName ScanTypeID ScanTypeName RuleName TrueFileType DestinationPath DestinationTypeID DestinationTypeName SourcePath FileName DestinationValue long FileSize (SEC 5.0 ou supérieure) DeviceTypeID DeviceTypeName Model DeviceID Role FilePath FileVersion FileChecksum CommandLine Session Desktop Location ProtocolID 12 Sophos Reporting Log Writer

13 Guide de l'utilisateur Champ de données Type de données Source de données A B C D E F G H I ProtocolText DirectionID DirectionText LocalAddress RemoteAddress LocalPort RemotePort Target TargetTypeID TargetTypeText RuleID BlockedSite ReferringURL ReasonID(SEC 5.0 ou supérieure) ReasonName(SEC 5.0 ou supérieure) CategoryID(SEC 5.0 ou supérieure) CategoryName(SEC 5.0 ou supérieure) ActionTakenID ActionTakenName ScannerTypeID ScannerTypeName StatusID StatusName ThreatID ThreatName ThreatTypeID 13

14 Sophos Reporting Log Writer Champ de données Type de données Source de données A B C D E F G H I ThreatTypeName ThreatSubTypeID ThreatSubTypeName FullFilePath CheckSum FirstDetectedAt datetime Priority 14

15 Guide de l'utilisateur 6 Désinstallation de Sophos Reporting Log Writer Remarque : lors de la désinstallation du Log Writer, le fichier de configuration sera aussi supprimé. Nous vous conseillons d'effectuer une sauvegarde du fichier de configuration si vous prévoyez d'installer de nouveau le Log Writer. Pour désinstaller le Log Writer : 1. Ouvrez le Panneau de configuration>ajout/suppression de programmes. 2. Dans la boîte de dialogue Ajouter ou supprimer des programmes, sélectionnez Sophos Reporting Log Writer et cliquez sur Supprimer. 3. Dans la boîte de message Confirmer la désinstallation, cliquez sur Oui. Une barre de progression apparaît. Patientez pendant que la désinstallation se termine. 15

16 Sophos Reporting Log Writer 7 Support technique Vous bénéficiez du support technique des produits Sophos de l'une des manières suivantes : Rendez-vous sur le forum de la communauté SophosTalk en anglais sur community.sophos.com et recherchez d'autres utilisateurs rencontrant le même problème que le vôtre. Rendez-vous sur la base de connaissances du support de Sophos sur Téléchargez la documentation des produits depuis Envoyez un à support@sophos.fr, y compris le(s) numéro(s) de version du logiciel Sophos, le(s) système(s) d'exploitation et le(s) niveau(x) de correctif ainsi que le texte de tous les messages d'erreur. 16

17 Guide de l'utilisateur 8 Mentions légales Copyright 2013 Sophos Limited. Tous droits réservés. Aucune partie de cette publication ne peut être reproduite, stockée dans un système de recherche documentaire ou transmise, sous quelque forme ou par quelque moyen que ce soit, électronique, mécanique, photocopie, enregistrement ou autre sauf si vous possédez une licence valide, auquel cas vous pouvez reproduire la documentation conformément aux termes de cette licence ou si vous avez le consentement préalable écrit du propriétaire du copyright. Sophos, Sophos Anti-Virus et SafeGuard sont des marques déposées de Sophos Limited, Sophos Group et de Utimaco Safeware AG, partout ou ceci est applicable. Tous les autres noms de produits et d'entreprises cités dans ce document sont des marques ou des marques déposées de leurs propriétaires respectifs. 17