McAfee Enterprise Security Manager 9.5.0

Transcription

1 Notes de publication McAfee Enterprise Security Manager Sommaire A propos de cette version Nouvelles fonctionnalités de la version Problèmes résolus Problèmes connus Instructions de mise à niveau Accès à la documentation sur le produit A propos de cette version Ce document contient des informations importantes au sujet de cette distribution. Nous vous recommandons vivement de le lire dans son intégralité. McAfee ne prend pas en charge la mise à niveau automatique des versions préliminaires du logiciel. Pour effectuer la mise à niveau vers une version de production du logiciel, contactez l'équipe McAfee de développement de la version bêta à l'adresse beta7@mcafee.com pour connaître la procédure de mise à niveau. Nouvelles fonctionnalités de la version McAfee Enterprise Security Manager (McAfee ESM) 9.5.0, un produit Intel Security, offre une vaste gamme de fonctionnalités actualisées prenant en charge la vision de la plateforme Security Connected, des volumes élevés de données de sécurité intégrées et les meilleures fonctionnalités SIEM de sa catégorie. Cloud Amazon Si vous y avez accès, vous pouvez désormais démarrer l'esm dans Amazon Web Services/Elastic Compute Cloud (AWS/EC2). 1

2 Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux notes de publication de la version Améliorations apportées à Application Data Monitor (ADM) ADM prend en charge : Protocoles : BitTorrent, Apple Filing Protocol (AFP), Bitcoin, Git, Server Message Block 2 (SMB2) et Microsoft Endpoint Manager (EPM) Types de fichiers : Iso9660, Applefile et ICal Gestion de la bande passante sur les données envoyées Les restrictions de votre organisation en termes de bande passante peuvent limiter le volume de données que vos équipements peuvent envoyer. Vous pouvez définir une valeur maximale de sortie des données pour le récepteur, et les équipements ACE (Advanced Correlation Engine), ELM (Enterprise Log Manager), ADM, DEM (Database Event Monitor) et IPS (Nitro Intrusion Prevention System). Celles-ci sont définies en kilo-octets (Ko), mégaoctets (Mo) et gigaoctets (Go) par seconde. Vous pouvez également planifier une période quotidienne qui détermine la plage d'extraction des données de chaque équipement par l'esm et d'envoi des données à l'elm. Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Configuration du contrôle du trafic réseau sur un équipement Durée de collecte limite pour les données Configuration du contrôle du trafic réseau sur l'esm Améliorations apportées aux incidents Vous pouvez désormais rechercher des incidents (avec les événements source) à l'aide de n'importe quel champ d'incident, adresse IP source, adresse IP de destination ou équipement hôte. Vous pouvez également créer vos propres vues avec des requêtes d'incident à l'aide d'un composant de tableau, d'un graphique à barres, à secteurs ou de type liste. Pour plus d'informations, reportez-vous à la rubrique suivante dans l'aide en ligne ou le guide produit : Filtrage des vues Sources de données clientes Vous pouvez désormais ajouter plusieurs sources de données clientes avec la même adresse IP et utiliser le numéro de port pour les différencier. Vous pouvez ensuite séparer les types de données en utilisant des ports différents. Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Sources de données clientes Ajout d'une source de données cliente Fichiers de configuration Vous pouvez à présent sauvegarder et restaurer les fichiers de configuration SSH, réseau, SNMP et autres fichiers.conf pour chaque équipement. 2

3 Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Sauvegarde et restauration des paramètres système Restauration des fichiers de configuration sauvegardés Packs de contenu Dans une situation de menace spécifique, réagissez immédiatement en important et en installant le pack de contenu approprié à partir du serveur de règles. Les packs de contenu contiennent des règles de corrélation pilotées par les cas d'utilisation, des alarmes, des vues, des rapports, des variables et des listes de valeurs pour répondre à la menace ou au logiciel malveillant spécifique. Les packs de contenu vous permettent de réagir face aux menaces sans perdre de temps à créer des outils. Pour en savoir plus sur les packs de contenu, consultez cet article de la base de connaissances McAfee KnowledgeBase : KB8373. Vous pouvez également exporter et importer des alarmes, des rapports et des listes de valeurs. Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Utilisation des packs de contenu Importation des packs de contenu Gestion de Cyber Threat ESM vous permet de récupérer des indicateurs de compromission (IOC) à partir de sources distantes et d'accéder rapidement à l'activité IOC dans votre environnement. La gestion de Cyber Threat vous permet de configurer des flux automatiques qui génèrent des listes de valeurs, des alarmes et des rapports. Vous bénéficiez ainsi d'une visibilité sur les données sur lesquelles vous pouvez agir. Par exemple, vous pouvez configurer un flux qui ajoute automatiquement des adresses IP suspectes aux listes de valeurs afin de surveiller le trafic futur. Ce flux peut générer et envoyer des rapports, précisant une activité passée. La vue Vues des workflows d'événements Indicateurs Cyber Threat permet d'accéder rapidement aux données d'événements et d'activités IOC spécifiques dans votre environnement. Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Configuration de la gestion de Cyber Threat Affichage des résultats du flux Cyber Threat Enrichissement des données Les types de sources incluent désormais Apache Hadoop Hive, Apache Hadoop Pig et HTTP/HTTPS. Vous pouvez également tirer parti de Microsoft Active Directory pour renseigner les événements Microsoft Windows avec les noms complets des utilisateurs. 3

4 Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Ajout d'une source d'enrichissement de données Hadoop Pig Création d'une source d'enrichissement de données Internet Ajout de l'enrichissement de données Active Directory pour les noms d'utilisateur Améliorations des sources de données Résultat de plusieurs paramètres possibles, l'horodatage d'une source de données peut ne pas être synchronisé avec l'esm. Lorsqu'une source de données non synchronisée génère un événement, un indicateur rouge s'affiche en regard du récepteur dans l'arborescence de navigation des systèmes. Vous pouvez désormais configurer une alarme qui vous avertit lorsque cet événement se produit. Vous pouvez ensuite gérer les sources de données non synchronisées depuis la page Valeur delta pour la date/heure. Une action par défaut est associée aux règles de source de données. Le récepteur attribue cette action dans le sous-type d'événement associé à la règle. Vous pouvez désormais modifier cette action. Plutôt que d'utiliser la valeur héritée de la règle d'analyse syntaxique, vous pouvez maintenant définir la valeur du sous-type d'événement par règle de source de données. Vous pouvez ensuite définir des actions de règle pour les tableaux de bord, les rapports, les règles d'analyse syntaxique ou les alarmes avec différentes valeurs avec ce sous-type d'événement. Ces fonctionnalités sont disponibles dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Gestion des sources de données non synchronisées Définition des actions de règles de source de données Statistiques d'équipement Vous pouvez à présent afficher des informations propres à l'équipement, telles que le processeur, la mémoire, la file d'attente et autres pour les équipements ESM. Vous pouvez également afficher les statistiques d'utilisation du récepteur, qui comprennent le débit entrant (collecteur) et sortant (analyseur syntaxique) des sources de données au cours des 10 dernières minutes, de la dernière heure et des dernières 24 heures. Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Affichage des statistiques de l'équipement Affichage des statistiques de débit du récepteur Equipements et fonctions respectives Protocole DHCP (Dynamic Host Configuration Protocol) Les réseaux IP utilisent le protocole DHCP pour distribuer les paramètres de configuration du réseau, tels que les adresses IP des interfaces et des services. Configurer ESM pour qu'il se déploie automatiquement dans un environnement cloud active le protocole DHCP et affecte une adresse IP. Si vous n'êtes pas dans un environnement cloud, vous pouvez activer et désactiver les services DHCP sur les réseaux locaux virtuels (VLAN), ESM, le récepteur non haute disponibilité, ACE et ELM. 4

5 Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Configuration du protocole DHCP sur un réseau local virtuel VLAN Configuration du protocole DHCP Améliorations apportées à Enterprise Log Manager (ELM) Gestion de base de données : les performances ELM ont été améliorées. Vous pouvez aussi augmenter la taille de la base de données de gestion ELM. Les indicateurs du moniteur d'intégrité vous avertissent lorsque la base de données vient à manquer d'espace. Vitesse de recherche de l'elm : une nouvelle méthode d'indexation du journal améliore la vitesse de recherche et remplace la fonctionnalité d'indexation de texte intégral. L'espace précédemment utilisé par l'indexation de texte intégral est automatiquement récupéré. Cette nouvelle méthode pouvant nécessiter davantage d'espace, vous pouvez désormais augmenter la taille de la base de données de gestion. Redondance des ELM : cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Page Sélectionner un emplacement de base de données Affichage d'un journal de système ou d'équipement Redondance des ELM Configuration de la redondance des ELM Exportation des vues et des rapports Lors de l'exportation d'une page pour un composant de graphique, de distribution ou de tableau, les données exportées correspondent désormais au contenu de la page. Si vous exportez plusieurs pages, la requête se réexécute lors de l'exportation des données. C'est pourquoi le résultat d'une exportation de plusieurs pages peut ne pas correspondre à ce que vous voyez dans le composant. Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous à la rubrique suivante dans l'aide en ligne ou le guide produit : Exportation d'un composant Filtres Vous pouvez définir l'ordre d'exécution des règles de filtre ou de l'analyseur syslog avancé (ASP). Pour les règles ASP, vous pouvez aussi définir plusieurs formats d'horodatage personnalisés afin d'augmenter la probabilité de correspondance des formats d'horodatage du journal ASP. Lors de la première connexion à l'esm, les filtres par défaut incluent à présent les champs de filtre utilisateur source, utilisateur de destination, adresse IP source et adresse IP de destination. Vous pouvez ajouter et supprimer des champs de filtre, enregistrer des jeux de filtres, modifier le jeu de filtres par défaut et démarrer le gestionnaire de normalisation de chaîne. De même, vous pouvez à présent filtrer les incidents par détails sur l'événement. Si vous disposez d'une autorisation Administration des utilisateurs, vous pouvez désormais limiter les jeux de filtres des autres groupes. 5

6 Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Classement des règles ASP et des règles de filtre Ajout d'un format d'horodatage aux règles ASP Filtrage des vues Récepteurs haute disponibilité Vous pouvez désormais choisir un récepteur principal privilégié lors de la configuration des récepteurs haute disponibilité en mode principal et secondaire Dans cette configuration, un récepteur agit comme équipement principal ou actif. Le récepteur secondaire surveille le récepteur principal en continu. Lorsque le récepteur secondaire identifie une défaillance du récepteur principal, il arrête les opérations en cours sur le récepteur principal et il prend son rôle. Une fois le récepteur principal réparé, il devient le récepteur secondaire ou redevient le récepteur principal selon l'option que vous avez sélectionnée. Avant de procéder à la mise à niveau, définissez votre récepteur principal par défaut sur Aucune préférence, pour pouvoir utiliser l'option de reprise automatique. Une fois les deux récepteurs mis à niveau, vous pouvez appliquer à nouveau votre récepteur principal par défaut. Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Récepteurs haute disponibilité Configuration des récepteurs haute disponibilité Réinitialisation de l'équipement secondaire Réinitialisation des équipements haute disponibilité Permutation des rôles des récepteurs haute disponibilité Mise à niveau des récepteurs haute disponibilité Informations sur l'adresse IP Si vous possédez une licence McAfee Global Threat Intelligence (McAfee GTI) et voulez obtenir des informations sur l'adresse IP, vous pouvez désormais accéder aux informations sur une adresse IP, notamment la gravité des risques et des données de géolocalisation. Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Affichage des informations sur l'adresse IP d'un événement Effectuer une recherche WHOIS ou ASN McAfee Threat Intelligence Services (MTIS) McAfee Threat Intelligence Services (MTIS) et les sources d'évaluation des vulnérabilités de votre système génèrent une liste des menaces connues. ESM utilise la gravité de ces menaces et la criticité de chaque actif pour calculer le niveau de risque que ces menaces représentent pour votre organisation. 6

7 Gestionnaire d'actifs : lorsque vous ajoutez un actif au Gestionnaire d'actifs, vous pouvez affecter un niveau de criticité pour représenter à que point cet actif est critique pour votre organisation. Par exemple, si un seul ordinateur sans sauvegarde gère la configuration de votre entreprise, la criticité de cet ordinateur est élevée. En revanche, si plusieurs ordinateurs (chacun avec sa propre sauvegarde) gère la configuration, le niveau de criticité de chaque ordinateur est considérablement moins élevé. Gestion de la menace : l'onglet Gestion de la menace dans le Gestionnaire d'actifs répertorie les menaces connues, leur gravité, le fournisseur du produit concerné et s'il est défini pour être utilisé dans le calcul des risques. Vous pouvez activer ou désactiver des menaces données pour calculer le risque. Pour chaque menace répertoriée, vous pouvez afficher des recommandations pour son traitement, ainsi que les contre-mesures à envisager. Vues prédéfinies : trois nouvelles vues prédéfinies synthétisent et affichent les données relatives à l'actif, à la menace et au risque : Synthèse des menaces pour l'actif : organise les principaux actifs par score de risque et niveaux de menace, et les niveaux de menace par risque. Synthèse des menaces récentes : organise les menaces récentes par fournisseur, risque, actif et produits de protection disponibles. Synthèse des vulnérabilités : organise les vulnérabilités par menaces et actifs. Si vous créez une vue qui inclut le composant Nombre total de vulnérabilités ou Cadran, vous pouvez afficher un plus grand nombre de vulnérabilités. Le flux MTIS ajoute des menaces en fonction de la vulnérabilité d'origine de la source VA signalée. Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Evaluation des actifs, des menaces et des risques Gestion des menaces connues Gestion des actifs Utilisation des vues ESM Panne d'alimentation ou défaillance matérielle Une panne d'alimentation ou une défaillance matérielle peut arrêter votre système sans préavis. Pour vous alerter d'une défaillance imminente, vous pouvez désormais configurer des alertes qui se déclencheront en cas de panne d'alimentation d'un ESM. Vous pouvez également configurer une interruption SNMP qui vous avertit des défaillances générales du matériel et des pannes d'alimentation DAS. Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Ajout d'une alarme de notification de panne d'alimentation Configuration de la notification d'interruption SNMP en cas de panne d'alimentation 7

8 Correspondance de la gravité et des actions La correspondance de la gravité et des actions contient désormais les nouveaux types d'action suivants : 25 = alerte-rejeter 33 = infecté 26 = alerte-abandonner 34 = déplacer 27 = alerte-abandonner 35 = déplacer-échec 28 = redémarrer 36 = quarantaine 29 = bloquer 37 = quarantaine-échec 30 = nettoyer 38 = supprimer-échec 31 = nettoyage-échec 39 = refusé 32 = continuer Intégration de McAfee Threat Intelligence Exchange (TIE) Cette fonctionnalité TIE est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Intégration de Threat Intelligence Exchange Afficher l'historique d'exécution de TIE et configurer des actions Evénements déclencheurs Lorsqu'une alarme se déclenche, vous pouvez désormais afficher l'événement qui en est à l'origine. Vous pouvez également personnaliser les alarmes déclenchées et les incidents afin d'ajouter la concordance de champ et l'événement interne à la synthèse. Cette fonctionnalité est disponible dans la version Pour plus d'informations, reportez-vous aux rubriques suivantes dans l'aide en ligne ou le guide produit : Affichage et gestion des alarmes déclenchées Synthèse personnalisée pour les alarmes déclenchées et les incidents Listes de valeurs Vous pouvez créer une liste de valeurs à partir des sources sur Internet pouvant être régulièrement actualisée. Les fils de menaces sont automatiquement extraits dans la liste de valeurs. Cette liste de valeurs vous permet d'afficher les données à récupérer via la demande HTTP, et d'ajouter des expressions régulières pour filtrer ces données. Vous devez disposer d'une connexion Internet pour télécharger les listes de valeurs McAfee Global Threat Intelligence (McAfee GTI). Il est impossible de les télécharger hors ligne. Pour plus d'informations, reportez-vous à la rubrique suivante dans l'aide en ligne ou le guide produit : Création d'une liste de valeurs des sources Internet 8

9 Mises à jour de la documentation produit Mode FIPS (Federal Information Processing Standard) : les informations relatives à la norme FIPS ont été mises à jour dans la documentation produit. La rubrique ID de signature du moniteur d'intégrité identifie désormais le type, l'équipement et la gravité pour chaque ID. Guide d'installation : les diagrammes de câblage des ports réseau ont été mis à jour. Aide en ligne/guide produit : le sommaire a été réorganisé afin de faciliter la recherche d'informations. Problèmes résolus Les problèmes suivants sont résolus dans la présente distribution de ce produit. Pour obtenir une liste des problèmes résolus dans les distributions précédentes, consultez les notes de distribution de la distribution spécifique. Problèmes de performances provoqués par des alarmes en temps réel sur la console ESM parente La création d'une alarme en temps réel sur une console ESM parente déclenche à présent cette alarme uniquement sur le récepteur parent, sans déclencher d'alarmes sur les récepteurs distribués correspondants. Le journal de l'équipement ELM affiche des conflits de verrouillage Lorsque vous ajoutez des pools de stockage à l'elm, le journal de l'équipement n'affiche plus les conflits de verrouillage. Alignement du titre dans les rapports HTML Les rapports HTML que vous créez (Propriétés ESM Rapports) appliquent désormais l'alignement du titre que vous avez défini (gauche, droite ou centré). Limite de caractères dans les noms de source de données La limite de caractères pour les noms de source de données a été augmentée à 100 caractères. Affichage de caractère incorrect lors de l'exportation des rapports en japonais Lorsque vous exportez des rapports en japonais, la date s'affiche désormais correctement au format 1 / 2, et non plus sous la forme 1?? 2. Aucune référence pour les composants empilés Si vous sélectionnez une option d'empilement pour grouper des champs sur la distribution d'un événement, la référence s'affiche désormais correctement. Problèmes de synchronisation avec les équipements ESM redondants Les équipements ESM redondants sont désormais correctement synchronisés. Entrées d'hôtes connus supprimées pour les récepteurs haute disponibilité Les entrées d'hôtes connus pour les récepteurs haute disponibilité sont à présent conservées définitivement. 9

10 L'exportation des données au format CSV ne se termine pas ESM parvient désormais à exporter les données dans des fichiers CSV. Processus de synchronisation des ESM redondants Il n'est désormais plus possible d'interrompre la synchronisation d'esm redondants une fois qu'elle a débuté. Les fichiers CSV ne suppriment pas toutes les sources de données ESM utilise désormais correctement les fichiers CSV pour supprimer les sources de données. Modification de la mémorisation automatique des sources de données ESM applique désormais correctement vos modifications à vos types de sources de données automatiquement mémorisées. Problèmes connus Pour obtenir une liste des problèmes connus de cette distribution du produit, consultez cet article de la McAfee KnowledgeBase : KB Instructions de mise à niveau Pour préparer votre système à la version 9.5.0, téléchargez les fichiers de mise à niveau pour ESM, Nitro IPS, ACE, ADM, Database Event Monitor (DEM), le récepteur, ELMERC, ELM et le combiné ESM/ récepteur. Mettez-les ensuite à niveau dans l'ordre indiqué. Pour en savoir plus sur l'installation des équipements, consultez le Guide d'installation de McAfee Enterprise Security Manager Procédures Téléchargement des fichiers de mise à niveau, page 15 Lorsque le système est prêt pour la mise à niveau, téléchargez les fichiers de mise à niveau sur votre système local. Mise à niveau du système, page 16 Pour mettre à niveau l'esm et ses équipements, vous devez effectuer les étapes dans un ordre spécifique, selon le mode que vous avez sélectionné. Après la mise à niveau, réécrivez les paramètres des équipements et déployez la stratégie. Mettez à niveau ESM, ESMREC ou ENMELM., page 18 Lorsque le système est prêt, vous pouvez mettre à niveau votre ESM, ESMREC ou ENMELM vers la version Mise à niveau des équipements, page 19 Si vous n'avez pas activé le mode FIPS, mettez à niveau IPS, Event Receiver, ELM, ELM/ Event Receiver, ACE, ADM et DEM après la mise à niveau de l'esm. Si vous avez activé le mode FIPS, mettez à niveau les équipements avant la mise à niveau de l'esm. 10

11 Préparation de la mise à niveau Avant d'effectuer une mise à niveau, vous devez effectuer plusieurs actions. Consultez la liste de vérification ESM pour vérifier que l'état de l'esm et des équipements est correct avant de commencer la mise à niveau. Vérifiez que la reconstruction de la base de données ESM à partir d'un build précédent (9.3.2 ou ultérieur) est terminée et que vous pouvez planifier une période d'indisponibilité appropriée pour cette mise à niveau. Exécutez une sauvegarde de la base de données ESM avant de commencer la mise à niveau. Vérifiez que le sous-système RAID logiciel fonctionne avec deux lecteurs actifs. Si vous exécutez ESM 4245R, 5205R, 5510R ou 5750R ; ESMREC 4245R, 5205R ou 5510R ; ESMLM 4245R, 5205R ou 5510R, lancez la commande cat/proc/mdstat en utilisant l'une des méthodes suivantes : Dans la console ESM, cliquez sur Propriétés du système Gestion ESM Terminal, puis cliquez sur Ecrire et entrez la commande. Connectez-vous via SSH à l'esm. Connectez un moniteur et un clavier à l'équipement. Si la sortie est similaire à l'exemple suivant, le RAID fonctionne correctement et vous pouvez effectuer la mise à niveau : Personalities : [raid1] md_d127 : active raid1 sda[0](w) sdb[1](w) blocks [2/2][UU] Unused devices: <none> Le code [UU] identifie les lecteurs actifs. Si [_U] ou [U_] est affiché, un lecteur ne fait pas partie du RAID. Vous devez contacter le support technique McAfee avant de procéder à la mise à niveau. 11

12 Type d'informations Types d'équipement pris en charge Suppression d'équipement Détails ESM, ESM/Event Receiver (ESMREC) ou ESM/Log Manager (ENMELM) ne communiquent qu'avec les modèles d'équipements Pour vérifier le modèle de votre équipement, entrez la commande cat /proc/cpuinfo. Le résultat inclut le nombre de processeurs sur la ligne model name. Le processeur doit être de l'un des types suivants : Avant de mettre à niveau ESM, ESMREC ou ENMELM, vous devez supprimer tous les modèles d'équipement spécifiés et les adresses IP virtuelles des modèles Nitro IPS spécifiés. Si vous ne le faites pas, un message s'affiche sur la page Connexion et dans le journal des messages indiquant que ce problème s'est produit et que la mise à niveau va échouer. La mise à niveau d'esm échoue également et des indications seront ajoutées au journal des messages de l'équipement. Pour supprimer un IPS virtuel, sélectionnez l'équipement dans l'arborescence de navigation du système, puis cliquez sur l'icône Propriétés. Sélectionnez Configuration de l'équipement Equipements virtuels, puis sélectionnez les équipements virtuels existants et cliquez sur Supprimer. Cliquez sur Ecrire pour écrire les paramètres dans l'ips. Vous devez déployer la stratégie de l'esm 9.5.0, ESMREC ou ENMELM sur l'équipement IPS, sinon l'ips reste en mode de contournement et aucun trafic n'est inspecté. Durée de la reconstruction La durée de la reconstruction de la table varie en fonction de l'esm, ESMREC ou ENMELM. Pour accélérer la mise à niveau de la base de données ESM : Définissez une durée d'extraction plus longue pour la collecte des événements, des flux et des journaux, afin de laisser plus de temps pour la reconstruction. Dans la console ESM, cliquez sur Propriétés du système Evénements, flux et journaux, puis définissez l'intervalle de vérification automatique. Désactivez la collecte des événements, des flux et des journaux jusqu'à la fin de la reconstruction. N'effectuez cette étape que si le nombre d'événements et de flux envoyés à l'esm est faible. Dans la console ESM, cliquez sur Propriétés du système Evénements, flux et journaux, puis désactivez la case à cocher Intervalle de vérification automatique. La reconstruction des équipements dure environ 45 minutes. 12

13 Type d'informations Chemins de mise à niveau Mise à niveau des récepteurs haute disponibilité Détails Vous pouvez effectuer la mise à niveau vers la version directement à partir de la version ou d'une version ultérieure. Les versions antérieures à doivent être mises à niveau en suivant ce chemin d'accès : 7.x.x > 8.2.x > 8.3.x > > > > > ou version ultérieure > Pour mettre à niveau des récepteurs haute disponibilité, vous devez d'abord vérifier l'état de haute disponibilité du récepteur. Consultez la rubrique Vérification de l'état de haute disponibilité des récepteurs de l'aide en ligne d'esm. Cas particuliers de mise à niveau Dans quelques cas particuliers, vous devez effectuer des étapes supplémentaires avant ou après la mise à niveau. Cas Installation d'un nouveau modèle McAfee ESM Obtention des mises à jour des règles hors ligne Action Lorsque vous installez un nouveau modèle McAfee ESM, vous avez 30 jours pour enregistrer le matériel afin de recevoir les mises à jour des stratégies, des règles et de l'analyseur syntaxique dans le cadre de votre contrat de maintenance. En l'absence d'enregistrement, vous ne pourrez pas recevoir les mises à niveau. Pour obtenir vos nom d'utilisateur et mot de passe permanents, envoyez un à Licensing@McAfee.com en indiquant les informations suivantes : Grant Number McAfeeMcAfee, nom du compte, adresse, nom et adresse du contact. 1 Accédez à 2 Dans le coin supérieur droit, cliquez sur Télécharger mes produits, puis sur OK. 3 Saisissez votre Grant Number, tapez les lettres qui s'affichent, puis cliquez sur Soumettre. 4 Cliquez sur MFE Enterprise Security Manager, puis sur Téléchargements de règles MFE Nitro. 5 Lisez l'accord de licence, puis cliquez sur J'accepte. Les fichiers de mise à jour disponibles s'affichent par version d'esm. 6 Téléchargez les règles correspondant à la version de votre ESM. Résolution des problèmes de communication avec l'équipement Si vous avez mis à niveau un équipement McAfee (pas ESM), le message Vous devez mettre à niveau cet équipement vers la version pour réaliser cette opération peut s'afficher. Vérifiez que la version de l'esm est correcte. 1 Sur la console ESM, sélectionnez l'équipement dans l'arborescence de navigation du système, puis cliquez sur l'icône Propriétés. 2 Cliquez sur Connexion, puis sur Etat. La version est mise à jour. 3 Effectuez à nouveau l'opération qui a généré le message. 13

14 Cas Mise à niveau d'un ESM redondant Action Vous devez d'abord mettre à niveau l'esm principal, puis l'esm redondant en suivant précisément les consignes. 1 Dans l'arborescence de navigation des systèmes, sélectionnez l'esm principal, puis cliquez sur l'icône Propriétés. 2 Cliquez sur Evénements, flux et journaux, puis désélectionnez l'option Intervalle de vérification automatique. 3 Sur l'esm principal, utilisez une connexion SSH sécurisée pour confirmer que les fichiers d'alerte ne sont pas utilisés en exécutant la commande suivante : ll /usr/local/ess/dbredund/ 4 Si le dossier ne contient aucun fichier d'alerte, mettez à niveau l'esm principal. 5 Sur l'esm redondant, utilisez une connexion SSH sécurisée pour confirmer que les fichiers d'alerte ne sont pas utilisés en exécutant la commande suivante : ll /usr/local/ess/dbredundprimarytransfer/ 6 Si le dossier ne contient aucun fichier d'alerte, mettez à niveau l'esm redondant. 7 Une fois l'esm mis à niveau, réactivez la collecte d'événements, de flux et de journaux sur l'esm principal. Une autre façon de vérifier que l'esm a terminé de traiter les alertes consiste à utiliser une connexion SSH sécurisée pour exécuter la commande top. Vérifiez qu'aucune insertion des événements n'est en cours de traitement (voir les éléments en gras) root m 4.5g 9700 S :37.20 cp Job31 idle root m 4.5g 9700 S :51.55 cp Job32 idle root m 4.5g 9700 S :37.59 cp Job33 idle root m 4.5g 9700 S :39.24 cp Job34 idle root m 4.5g 9700 S :32.00 cp Backup root m 4.5g 9700 S :00.72 cp RedundantInsert McAfee epo avec Policy Auditor Si l'équipement McAfee epo est déjà sur l'esm, vous devez l'actualiser. 1 Si vous n'utilisez pas un équipement tout-en-un, mettez à niveau le récepteur vers l'équipement McAfee epo auquel il est connecté. 2 Dans la console ESM, cliquez sur Propriétés epo Gestion des équipements, puis cliquez sur Actualiser. Vous pouvez configurer la récupération automatique sur l'onglet Gestion des équipements 3 Dans la console ESM, cliquez sur Propriétés de récepteur, puis cliquez sur l'onglet Evaluation des vulnérabilités (VA). 4 Cliquez sur Ecrire. 5 Répétez l'étape 2 pour déplacer les données VA sur l'esm. L'actualisation enregistre Policy Auditor comme source VA, ce qui permet l'écriture de Policy Auditor dans vathirdparty.conf. 6 Déconnectez-vous de la console ESM, puis connectez-vous à nouveau. 14

15 Cas Mise à niveau des récepteurs haute disponibilité Reconstruction de la base de données de gestion ELM Mise à niveau d'un ELM redondant Action Avant de procéder à la mise à niveau, définissez votre récepteur principal par défaut sur Aucune préférence, pour pouvoir utiliser l'option de reprise automatique. La mise à niveau traite les deux récepteurs l'un après l'autre, en commençant par le récepteur secondaire. Une fois les deux récepteurs mis à niveau, vous pouvez appliquer à nouveau votre récepteur principal par défaut. L'indexation de votre base de données de gestion ELM peut demander plus de temps en fonction du modèle. Par exemple, le nombre de pools dont vous disposez, le volume de données envoyé à partir des équipements de journalisation et la bande passante de votre réseau si vous utilisez un stockage distant peuvent augmenter la durée de l'indexation. Toutefois, cette tâche d'arrière-plan n'a qu'un impact minimal sur vos performances et améliore l'interrogation de vos données historiques, une fois achevée. Pour vérifier l'état de la reconstruction, accédez à Propriétés ELM Informations ELM. Si le message Base de données en reconstruction s'affiche dans le champ Etat actif, vous ne DEVEZ PAS arrêter ou démarrer la base de données ELM. Le système indexe toutes les nouvelles données ELM sur le périphérique d'envoi avant de les envoyer à l'elm. Si des récepteurs se connectent à l'elm alors qu'ils sont proches de leur capacité maximale, contactez le support technique. Vous devez d'abord mettre à niveau l'elm de secours, puis mettre à niveau l'elm actif. La mise à niveau suspend la redondance des ELM. Une fois les deux ELM mis à niveau, redémarrez la redondance des ELM. 1 Mettez à niveau l'elm de secours. 2 Mettez ensuite à niveau l'elm actif. 3 Dans l'arborescence de navigation des systèmes, sélectionnez l'elm de secours et accédez à Propriétés ELM Redondance des ELM. Cliquez sur Remettre en service. 4 Accédez à Propriétés ELM Informations ELM, puis cliquez sur Actualiser. L'ELM actif et de secours doivent tous les deux afficher OK. Si l'elm de secours affiche Pas OK, cliquez à nouveau sur Actualiser. Après quelques minutes, l'état de l'elm de secours doit afficher OK, ELM redondant synchronisé à 100 %. Il se peut que vous deviez cliquez plusieurs fois sur Actualiser. Téléchargement des fichiers de mise à niveau Lorsque le système est prêt pour la mise à niveau, téléchargez les fichiers de mise à niveau sur votre système local. Procédure 1 Sur le site web McAfee Téléchargements de produits, à l'adresse downloads.aspx, entrez votre numéro client Grant Number dans le champ Télécharger mes produits, puis cliquez sur Rechercher. 2 Sélectionnez l'équipement que vous souhaitez mettre à niveau. 15

16 3 Sélectionnez le lien approprié (MFE <nom de l'équipement> v9.5.0), lisez l'eula McAfee, puis cliquez sur J'accepte. 4 Téléchargez les fichiers suivants sur votre système local : Pour l'équipement McAfee Enterprise Security Manager (ESM ou ETM) : ESS_Update_9.5.0.tgz. Pour l'équipement McAfee Enterprise Security Manager et Log Manager (ENMELM ou ESMREC) : ESSREC_Update_9.5.0.tgz. Pour l'équipement McAfee Nitro Intrusion Prevention System (Nitro IPS ou NTP) : IPS_Update_9.5.0.tgz. Pour l'équipement McAfee Event Receiver (ERC ou ELMERC) : RECEIVER_Update_9.5.0.tgz. Pour l'équipement McAfee Database Event Monitor (DEM) : DBM_Update_9.5.0.tgz. Pour l'équipement McAfee Advanced Correlation Engine (ACE) : RECEIVER_Update_9.5.0.tgz. Pour l'équipement McAfee Enterprise Log Manager (ELM) : RECEIVER_Update_9.5.0.tgz. Pour l'équipement McAfee Application Data Monitor (ADM) : APM_Update_9.5.0.tgz. Ces fichiers sont prêts pour la mise à niveau de l'esm et des équipements. Mise à niveau du système Pour mettre à niveau l'esm et ses équipements, vous devez effectuer les étapes dans un ordre spécifique, selon le mode que vous avez sélectionné. Après la mise à niveau, réécrivez les paramètres des équipements et déployez la stratégie. Avant de commencer Consultez Préparation de la mise à niveau et Cas particuliers de mise à niveau. Vérifiez que le système exécute la version ou une version ultérieure. Si vous avez récemment effectué la mise niveau vers la version 9.3.2, vérifiez que la reconstruction de la base de données a été entièrement effectuée. Procédure 1 Effectuez la mise à niveau des équipements dans l'ordre indiqué ci-dessous. Pour obtenir des informations détaillées sur la mise à niveau d'esm et des équipements, consultez Mise à niveau d'esm, ESMREC, or ENMELM et Mise à niveau des équipements. 16

17 Mode Non FIPS Ordre 1 Mettez à niveau ESM, ESMREC ou ENMELM. 2 Attendez la fin de la construction de la base de données. 3 Mettez à niveau ELM ou ELMERC. 4 Mettez à niveau Nitro IPS, Event Receiver, ACE, DEM et ADM. Pour mettre à niveau un ESM redondant, consultez Mise à niveau d'un ESM redondant dans Cas particuliers de mise à niveau. FIPS 1 Mettez à niveau ELM ou ELMERC. 2 Mettez à niveau Nitro IPS, Event Receiver, ACE, DEM et ADM. 3 Mettez à niveau ESM, ESMREC ou ENMELM. Vous pouvez commencer lorsque la mise à niveau de tous les équipements est lancée. En mode FIPS, si la mise à niveau des équipements n'est pas effectuée avant la mise à niveau d'esm, cela peut avoir des conséquences sur la collecte des données du journal ELM. 2 Vérifiez que la communication avec les équipements fonctionne. 3 Téléchargez la mise à jour des règles manuelle sur ESM (consultez Obtention des mises à jour des règles hors ligne dans la section Cas particuliers de mise à niveau du présent document). 4 Appliquez les règles mises à jour. a Dans l'arborescence de navigation des systèmes, sélectionnez le système, puis cliquez sur l'icône Propriétés. b c Sur la page Informations système, cliquez sur Mise à jour des règles, puis sur Mise à jour manuelle. Naviguez jusqu'au fichier de mise à jour, cliquez sur Charger, puis sur OK. 5 Effectuez la procédure suivante pour réécrire les paramètres de chaque équipement afin que tous les paramètres de la version soient appliqués. a Sur la console ESM, sélectionnez l'équipement dans l'arborescence de navigation du système, puis cliquez sur l'icône Propriétés. b Effectuez ces étapes pour chaque équipement. 17

18 Type d'équipement Event Receiver ou combiné ESM/Event Receiver ACE Nitro IPS, DEM ou ADM Procédure Pour les sources de données : Cliquez sur Sources de données Ecrire. Pour les sources VA : Cliquez sur Évaluation des vulnérabilités Ecrire. Pour la corrélation des risques : Cliquez sur Gestion de la corrélation des risques Ecrire. Pour la corrélation historique : Cliquez sur Historique Activer la corrélation historique Appliquer. Si l'option est déjà sélectionnée, désélectionnez-la et sélectionnez-la à nouveau, puis cliquez sur Appliquer. Pour la corrélation des règles : cliquez sur Corrélation des règles, sélectionnez Activer la corrélation des règles, puis cliquez sur Appliquer. Si l'option est déjà sélectionnée, désélectionnez-la et sélectionnez-la à nouveau, puis cliquez sur Appliquer. Pour les équipements virtuels (IPS et ADM) : Cliquez sur Equipements virtuels Ecrire. Pour les serveurs de base de données : Cliquez sur Serveurs de base de données Ecrire. 6 Déployez la stratégie sur tous les équipements mis à niveau. Après avoir effectué le déploiement sur un équipement Nitro IPS, veillez à sortir l'équipement du mode de contournement dans Configuration de l'équipement Interfaces. 7 Si un ELM ou un ELMERC collecte des journaux à partir d'un équipement, synchronisez l'elm (Propriétés de l'équipement Configuration de l'équipement Synchroniser ELM). Mettez à niveau ESM, ESMREC ou ENMELM. Lorsque le système est prêt, vous pouvez mettre à niveau votre ESM, ESMREC ou ENMELM vers la version Avant de commencer Lisez l'intégralité de ce document, et vérifiez que tous les équipements reliés à l'esm sont pris en charge par la version (consultez Types d'équipement pris en charge dans Préparation de la mise à niveau). Procédure Pour consulter la définition des options, cliquez sur? dans l'interface. 1 Sur la console ESM, sélectionnez l'équipement ESM, puis cliquez sur l'icône Propriétés. 2 Sélectionnez Gestion ESM, puis cliquez sur Mettre à jour ESM. 3 Sur la page Sélectionner le fichier de mise à jour logicielle, recherchez l'un des fichiers ci-dessous. Type d'équipement Enterprise Security Manager (ESM) autonome Enterprise Security Manager avec récepteur intégré (ESMREC) Enterprise Security Manager avec récepteur intégré et Enterprise Log Manager (ENMELM), également appelé combiné Fichier ESS_Update_9.5.0.tgz ESSREC_Update_9.5.0.tgz ESSREC_Update_9.5.0.tgz 18

19 4 Sélectionnez le fichier, puis cliquez sur Charger. Un message indique que l'esm va être redémarré et que la connexion va être interrompue pour tous les utilisateurs. 5 Cliquez sur Oui pour continuer, puis lorsque vous êtes invité à fermer le navigateur, cliquez sur OK. La mise à niveau est effectuée, laquelle peut durer plusieurs heures. 6 Une fois la mise à niveau effectuée, connectez-vous à nouveau à la console via une nouvelle session de navigateur. Mise à niveau des équipements Si vous n'avez pas activé le mode FIPS, mettez à niveau IPS, Event Receiver, ELM, ELM/Event Receiver, ACE, ADM et DEM après la mise à niveau de l'esm. Si vous avez activé le mode FIPS, mettez à niveau les équipements avant la mise à niveau de l'esm. Avant de commencer Lisez l'intégralité de ce document, puis vérifiez que tous les équipements sont pris en charge par la version (consultez Types d'équipement pris en charge dans Préparation de la mise à niveau). Procédure Pour consulter la définition des options, cliquez sur? dans l'interface. 1 Sur la console ESM, sélectionnez l'équipement à mettre à niveau, puis cliquez sur l'icône Propriétés. 2 Cliquez sur l'option Gestion de l'équipement, puis sur Mettre à jour l'équipement. 3 Sur la page Sélectionner le fichier de mise à jour logicielle, recherchez l'un des fichiers suivants : Type d'équipement IPS Event Receiver ELM Combiné ELM/Event Receiver ACE DEM ADM ESS VM Fichier IPS_Update_9.5.0.tgz Receiver_Update_9.5.0.tgz DBM_Update_9.5.0.tgz APM_Update_9.5.0.tgz Les mises à niveau de cet équipement ne sont plus disponibles. Contactez le service commercial de McAfee pour acheter un nouveau modèle de machine virtuelle ESM. 4 Sélectionnez le fichier, puis cliquez sur Charger 5 Dans la page Mettre à jour les logiciels de l'équipement, cliquez sur Oui pour continuer. Le fichier est chargé et l'équipement redémarre. 6 Une fois la communication relancée, vérifiez la version de l'équipement. 19

20 Accès à la documentation sur le produit Dès qu'un produit est distribué, les informations le concernant sont intégrées dans le Centre de connaissances en ligne de McAfee. Procédure 1 Accédez à l'onglet Centre de connaissances du portail McAfee ServicePortal à l'adresse support.mcafee.com. 2 Dans le volet Base de connaissances, cliquez sur une source de contenu : Documentation produit pour rechercher une documentation utilisateur Articles techniques pour rechercher des articles de la base de connaissances 3 Sélectionnez Ne pas effacer mes filtres. 4 Entrez un produit, sélectionnez une version, puis cliquez sur Rechercher pour afficher une liste de documents. Documentation produit Chaque produit McAfee dispose d'un ensemble complet de documents. La documentation produit localisée de McAfee ESM est accessible depuis l'aide en ligne de la console ESM ou depuis le centre de connaissances Knowledge Center. Accès à l'aide en ligne localisée Lorsque vous vous connectez à ESM, vous pouvez changer le paramètre linguistique, qui modifie la langue d'affichage dans l'aide en ligne. 1 Connectez-vous à ESM. 2 Dans la barre de navigation de la console ESM, cliquez sur Options. 3 Sélectionnez une langue dans la liste déroulante Langue, puis cliquez sur OK. 4 Pour accéder à l'aide, cliquez sur l'icône d'aide dans le coin supérieur droit des fenêtres de l'esm ou cliquez sur le menu Aide de la console ESM. L'aide en ligne s'affiche dans la langue de votre choix. Si elle s'affiche uniquement en anglais, cela signifie que l'aide localisée n'est pas disponible. Une prochaine mise à jour permettra d'installer l'aide localisée. Accès aux guides localisés dans le centre de connaissances Knowledge Center 1 Recherchez votre Grant Number et connectez-vous à la page de téléchargement des produits MFE Enterprise Security Manager. 2 Cliquez sur le lien ESM Documentation produit v Sélectionnez une langue dans la liste déroulante Langue. 4 Cliquez sur le lien correspondant pour ouvrir la version localisée du guide produit (pg), du guide d'installation(ig) ou des notes de publication (rn). 20

21 Copyright 2015 McAfee, Inc. Intel et le logo Intel sont des marques commerciales ou des marques commerciales déposées d'intel Corporation. McAfee et le logo McAfee sont des marques commerciales ou des marques commerciales déposées de McAfee, Inc. Les autres noms et marques sont la propriété de leurs détenteurs respectifs.