TrendMicro Smart Protection Server

Transcription

1 TrendMicro Smart Protection Server Déploiement et paramétrage De TrendMicro TMCSS Préconisations Académiques Nantes Cellule Technique des Réseaux d'établissements DSI-D2 Rectorat de Nantes

2 Contacts Nom Société Fonction Téléphone/fax Adresse électronique Type de document Nom Confidentialité Périmètre de diffusion Préconisations Académiques Académique Etablissements, CRID, Collectivités Révision du document Version Date de modification Auteur Description /10/2011 christian le breton Documentation initiale /03/2012 christian le breton Ajout détails conf réseau /12/2012 christian le breton Contrainte disque IDE /01/2013 christian le breton Ajout annexe 5.1 > interco amon/slis /04/2013 christian le breton Modif ications "cosmétiques" /05/2013 christian le breton Ajout annexes 5.3 et /11/2014 christian le breton modif ication annexe 5.3 (adaption ver 3.x tmcss) Validation du document Nom Fonction Date Rédaction par : Christian Le Breton CTRE 06 / 10 / 2011 Vérif ication par : Sophie Ducros Sylvain Thiboult CRID 85 CRID 49 Validation par : Nicolas Mory Responsable CTRE Approbation par : AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 2 / 11

3 TABLE DES MATIERES TABLE DES MATIERES GENERALITES PRINCIPE DE FONCTIONNEMENT : PRE-REQUIS MATERIEL / LOGICIEL : TELECHARGEMENT FICHIERS D'INSTALLATION ET DOCUMENTATIONS : INSTALLATION "FRAICHE" : INSTALLATION VM POST-INSTALLATION PARAMETRAGE CONSOLE OFFICESCAN INSTALLATION A PARTIR D'UNE VM EXISTANTE : MODIFICATION DE L'IP PARAMETRES D'ADMINISTRATION SUPERVISION COLLEGES : ANNEXES : MISE A JOUR PROGRAMME TMCSS INSTALLATION EN "INTERCO AMON / SLIS" MODIFICATION DU PORT DU SERVICE "RÉPUTATION DE FICHIERS" MODIFICATIONS POST "AGRIATES V2"...11 AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 3 / 11

4 1. Généralités 1.1. Principe de fonctionnement : Depuis la version 10 de TrendMicro OfficeScan, un nouveau système de scan est proposé : le "smart scan". Celui-ci est basé sur la présence, en supplément de la classique console OfficeScan, d'un serveur "smart protection" (serveur de réputation), celui-ci étant relié en permanence au "smart protection network" "in the cloud"! Plus d'infos sur Un serveur smart protection est, par défaut, intégré à la console OfficeScan. Quand on souhaite limiter le trafic lié à ce mode (clients distants ou en trop grand nombre), le serveur smart protection peut être installé en "standalone" : c'est le module TMCSS. Celui-ci se base sur une distribution dédiée, installable dans un environnement virtualisé (VmWare ou HyperV), à partir d'une iso bootable Pré-requis matériel / logiciel : TrendMicro précise l'ensemble des caractéristiques de ce produit ainsi qu'un lien de téléchargement sur le centre de téléchargement menu téléchargement > Pour les clients existants > Mettre à jour votre produit puis "poste de travail > Smart Protection Server (standalone)". Afin de permettre aux clients de trouver facilement leur serveur local, créer un enregistrement "srvscan" sur les DNS de l'établissement (pédagogique et administratif) Téléchargement fichiers d'installation et documentations : L'ensemble est téléchargeable sur la page citée plus haut. Le "package d'installation complet " au format iso permet une primo-installation ; le " package d'installation complet" au format tgz sert, quant à lui, à la mise à jour d'un serveur existant Les documentations liées sont cachées sous le bouton "plus d'informations" AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 4 / 11

5 2. Installation "fraiche" : 2.1. Installation VM Installer le module TMCSS sur un serveur de virtualisation, conformément à la documentation d'installation TrendMicro trouvée sur le centre de téléchargement (en cliquant sur "+ de détails"). Attention : en environnement VmWare, plusieurs choix sont déterminants : le disque affecté à cette VM doit être de type IDE, sous ESXi 4.* ou 5.* choisir une carte réseau "e1000" ou "vmxnet3" choisir un modèle d'os CentOs 5 64-bit ; s'il n'existe pas, red-hat 5 64-bit. Les "spécificités académiques" se résument ensuite au niveau du plan d'adressage et de nommage, au point 7 (network settings) du chapitre "Upgrading and Installing Smart Protection Server" : La machine virtuelle hébergeant ce serveur de réputation doit être en DMZ privée (pour "l'ancienne architecture réseau", comprenant un serveur SLIS, voir l'annexe 5.1). o Cliquer sur "edit" du champ "network devices" Fournir l'ip du serveur (en dmz privée) : 10.1[dep].[chrono].9 Masque : (ou en fonction du masque amon sur son interface eth3) o Configurer le "hostname" : Choisir "manually" et indiquer "srv-scan.[type-etab-dep].in.ac-nantes.fr" (suffixe dns du réseau administratif de l'établissement) o Divers : Gateway : la patte du amon sur la dmz privée : 10.1[dep].[chrono].62 (ou 126) Primary DNS : idem (patte eth3 du amon) AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 5 / 11

6 2.2. Post-installation Ici aussi, assez peu de personnalisations (une fois effectuées les manips indiquées dans la doc) Se connecter au menu administration de la console web du serveur de scan (accessible en http avec le compte "admin") : o service SNMP : cocher "activer le service" et renommer la communauté : "public" o paramètres proxy : toujours l'ip du amon sur la dmz privée, sur le port 3128 o notif ications serveur SMTP : smtp.in.ac-nantes.fr de (expéditeur) : "srv-scan-[nom_etab]@ac-nantes.fr" évènements : cocher "échecs du téléchargement" renseigner l'adresse destinataire (boite fonctionnelle de supervision (CG et/ou Crid pour les collèges), boite dédiée pour les lycées) Cliquer sur les "chevrons" pour conf igurer le destinataire 2.3. Paramétrage console OfficeScan Pour que les clients OfficeScan s'adressent prioritairement à ce nouveau serveur de réputation, il est indispensable de le renseigner dans la console (OfficeScan) à laquelle ils sont rattachés : Menu [smart protection > sources smart protection] Cliquer sur "liste standard" puis "ajouter un serveur" (vérifier que le bouton "ordre" est coché) Indiquer le nom du serveur : "srv-scan" Cocher "service de réputation de fichiers", port 80 et "réputation de sites web", port 5274 Enregistrer puis "notif ier tous les clients" Accéder au menu [ordinateurs en réseau > gestion des clients], choisir de préférence l'aff ichage "smart protection" Vérif ier la valeur des champs "service file reputation" et "service de réputation de sites web" pour les clients en ligne (il doit être affiché "disponible" et, respectivement et AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 6 / 11

7 3. Installation à partir d'une VM existante : Dans l'idée de réutiliser un serveur TMCSS préalablement déployé dans un autre établissement, il suffit de cloner la VM existante dans l'hyperviseur du nouvel environnement. Voici les paramètres à modif ier après coup : 3.1. Modification de l'ip Se connecter (en mode console) à la VM avec le compte "admin" (celui de la console web) Saisir les commandes : enable configure ipv4 static <ip> <masque> <passerelle> configure service interface eth0 Verif ier les modif ications : show interfaces show ip address Redémarrer le serveur reboot Attention : Ces commandes (mis à part la dernière!-) ne sont pas opérationnelles avec le compte "root"! Elles sont documentées plus en détail dans le paragraphe "Frequently Asked Questions" du chapitre 4 de la doc TrendMicro Paramètres d'administration Se connecter à la console web du serveur de scan (accessible en http avec le compte "admin") : o proxy (menu "administration") : adapter son IP en fonction du chrono de l'établissement o notifications : modifier l'@ expéditeur : srv-scan-"nom_etab" Remarques : - A la différence de la console OfficeScan, celle-ci est compatible "navigateurs alternatifs" - Ne pas oublier de vérifier l'existence de l'enregistrement "srv-scan" sur les dns de l'établissement (pédagogique et administratif). 4. Supervision collèges : Ajouter le serveur smartscan TMCSS à la supervision de votre département en utilisant le template EON "trend micro TMCSS". Le rattacher à l'établissement. AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 7 / 11

8 5. Annexes : 5.1. Mise à jour programme TMCSS Comme indiqué au 1.3 on trouve, sur le centre de téléchargement, des packages de mise à jour de TMCSS au format tgz, permettant d'upgrader un serveur existant. Le paragraphe "Upgrading to Smart Protection Server" de la doc d'installation TrendMicro détaille cette manip. Pour déployer la mise à jour : - La télécharger sur un disque local (machine qui lance l'interface d'administration de tmcss), - Accéder à la console web TMCSS avec le compte admin, - S'assurer qu'une mise à jour de "modèle" n'est pas en cours ; désactiver au besoin la maj programmée (sans oublier de la réactiver après coup). * - Accéder au menu "mise à jour > programme" puis "télécharger le pack du programme" - Cliquer sur "parcourir", indiquer le chemin du fichier tgz puis "télécharger" - L'upload s'effectue et la mise à jour dans la foulée : la console est hors ligne quelques minutes Une fois le serveur redémarré, on vérif ie le bon déroulement de l'opération par "aide > à propos de". * Si un message "téléchargement en cours" bloque trop longtemps la mise à jour programme, on peut lancer un reboot de la VM à partir de sa console dans l'hyperviseur * un document dédié «Upgrade-TMCSS_V2-V3» est aussi disponible sur AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 8 / 11

9 5.2. Installation en "interco AMON / SLIS" Dans l'ancienne architecture réseau, actuellement en cours de migration sur l'académie, il est recommandé d'anticiper en disposant les ressources communes (administratif / pédagogie) dans la "pseudo-dmz" constituée par le réseau d'interconnexion entre Amon et Slis. La future zone "dmz privée" englobera cette plage IP. Les paramètres IP à fournir à l'installation sont les suivants : IP du serveur : 10.1[dep].[chrono].9 Masque : Gateway : la patte du amon sur l'interco péda : 10.1[dep].[chrono].2 Primary DNS : idem (patte eth2 du amon) Une machine présente dans cette zone "interco" doit être consciente des deux routes possibles ; celle par défaut (amon) et celle qui pointe en particulier vers le réseau pédagogique (slis). A cet effet, l'ajout d'une route persistante est nécessaire sur le serveur de réputation ; dans l'environnement centos, voici comment on doit procéder : se connecter en mode console (grâce à l'hyperviseur de virtualisation) à l'aide du compte root créer un fichier /etc/sysconfig/network-scripts/route-eth0 y insérer le contenu suivant * : default 10.1[dep].[chrono].2 dev eth /16 via 10.1[dep].[chrono].3 dev eth0 enregistrer le fichier. Ce fichier permettra de créer automatiquement la route vers le réseau pédagogique au(x) prochain(s) démarrage(s) de la VM. Pour la rendre effective immédiatement, procéder classiquement par un : route add -net netmask gw 10.1dep.chrono.3 Dans le cas d'un réseau tertiaire derrière le slis (en /16), il faudra ajouter aussi cette route à la fois dans le fichier "route-eth0" et par "route add" * les paramètres [dep] et [chrono] sont spécifiques au département et au "n chrono" de l'établissement. On les récupère dans les paramètres IP du réseau administratif. L'ip [dep].[chrono].2 correspond à la patte "pédagogique" eth2 du amon et la [dep].[chrono].3 à la patte "internet" eth0 du slis AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 9 / 11

10 5.3. Modification du port du service "réputation de fichiers" Sur un serveur Smart Scan TMCSS, le port de réputation de fichier est par défaut le port http 80. Ceci est incompatible avec le système de traduction d'adresse permettant l'utilisation d'une VIP à partir du pare-feu Amon par ex. C est le cas de collèges rattachés à une console centrale et disposant uniquement d un service de réputation local impossible à identif ier de manière unique par résolution dns Dans ce cas, il est donc nécessaire de modifier ce port (on a défini le 8082 par ex., celui-ci étant déjà affecté au service de réputation intégré à la console Officescan 10.x). Cette opération était plutôt complexe sur les versions 2.x de TMCSS ; elle est maintenant native en version 3.x : Accéder à l'hyperviseur (Vcenter ou Hyper-V ) Ouvrir la console sur la machine srv-scan Se connecter en admin Saisir les commandes : enable Configure port exit AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 10 / 11

11 5.4. Modifications post "Agriates V2" L'architecture Agriates V2 consistant à centraliser les fonctions (dns, pare-feu, proxy filtrant ) du serveur Amon au rectorat, les paramètres DNS et Proxy du serveur smartscan doivent être adaptés : Proxy : Accéder à l'interface web du smartscan Se connecter avec le compte admin Accéder au menu administration > paramètres proxy Remplacer l'ip "eth3" du amon 10.1[dep].[chrono].62 par proxy-eple.in.ac-nantes.fr Conserver le port 3128 / enregistrer la modification DNS : Cette modification se fait en ligne de commande : Accéder à l'hyperviseur (Vcenter ou Hyper-V ) Ouvrir la console sur la machine srv-scan Se connecter en admin Saisir les commandes : enable configure dns ipv exit Pour terminer, lancer un reboot et attendre le retour de l'invite de commande Tester une mise à jour à partir de l'interface web (mise à jour > modèle). Vérif ier le résultat dans les journaux de mise à jour. AC Nantes\DSI\D2\CTRE : Préconisations Académiques Page : 11 / 11