Dell Endpoint Security Suite Enterprise security Manuel du propriétaire

Endpoint Security Suite Enterprise for Linux
Guide de l'administrateur v2.1
Remarques, précautions et avertissements
REMARQUE : Une REMARQUE indique des informations importantes qui peuvent vous aider à mieux utiliser votre produit.
PRÉCAUTION : Une PRÉCAUTION indique un risque d'endommagement du matériel ou de perte de données et vous indique
comment éviter le problème.
AVERTISSEMENT : Un AVERTISSEMENT indique un risque d'endommagement du matériel, de blessures corporelles ou même
de mort.
© 2012-2018 Dell Inc. Tous droits réservés. Dell, EMC et d'autres marques sont des marques de Dell Inc. ou de ses filiales. Les autres
marques peuvent être des marques de leurs propriétaires respectifs.Marques déposées et marques commerciales utilisées dans Dell
Encryption, Endpoint Security Suite Enterprise et dans la suite de documents Data Guardian : Dell™ et le logo Dell, Dell Precision™,
OptiPlex™, ControlVault™, Latitude™, XPS®, et KACE™ sont des marques de Dell Inc. Cylance®, CylancePROTECT et le logo Cylance
sont des marques déposées de Cylance, Inc. aux États-Unis. et dans d'autres pays. McAfee® et le logo McAfee sont des marques ou des
marques déposées de McAfee, Inc. aux États-Unis et dans d'autres pays. Intel®, Pentium®, Intel Core Inside Duo®, Itanium® et Xeon®
sont des marques déposées d'Intel Corporation aux États-Unis et dans d'autres pays. Adobe®, Acrobat®, et Flash® sont des marques
déposées d'Adobe Systems Incorporated. Authen tec® et Eikon® sont des marques déposées d'Authen tec. AMD® est une marque
déposée d'Advanced Micro Devices, Inc. Microsoft®, Windows® et Windows Server®, Internet Explorer®, Windows Vista®, Windows
7®, Windows 10®, Active Directory®, Access®, BitLocker®, BitLocker To Go®, Excel®, Hyper-V®, Outlook®, PowerPoint®, Word®,
OneDrive®, SQL Server® et Visual C++® sont des marques commerciales ou des marques déposées de Microsoft Corporation aux ÉtatsUnis et/ou dans d'autres pays. VMware® est une marque déposée ou une marque commerciale de VMware, Inc. aux États-Unis ou dans
d'autres pays. Box® est une marque déposée de Box. Dropbox℠ est une marque de service de Dropbox, Inc. Google™, Android™,
Google™ Chrome™, Gmail™ et Google™ Play sont des marques commerciales ou des marques déposées de Google Inc. aux États-Unis et
dans d'autres pays. Apple®, App Store℠, Apple Remote Desktop™, Boot Camp™, FileVault™, iPad®, iPhone®, iPod®, iPod touch®, iPod
shuffle® et iPod nano®, Macintosh® et Safari® sont des marques de service, des marques commerciales ou des marques déposées
d'Apple, Inc. aux États-Unis et/ou dans d'autres pays. EnCase™ et Guidance Software® sont des marques commerciales ou des marques
déposées de Guidance Software. Entrust® est une marque déposée d'Entrust®, Inc. aux États-Unis et dans d'autres pays. Mozilla®
Firefox® est une marque déposée de Mozilla Foundation aux États-Unis et/ou dans d'autres pays. IOS® est une marque commerciale ou
une marque déposée de Cisco Systems, Inc. aux États-Unis et dans certains autres pays et elle est utilisée sous licence. Oracle® et Java®
sont des marques déposées d'Oracle et/ou de ses sociétés affiliées. Travelstar® est une marque déposée de HGST, Inc. aux États-Unis et
dans d'autres pays. UNIX® est une marque déposée de The Open Group. VALIDITY™ est une marque de Validity Sensors, Inc. aux ÉtatsUnis et dans d'autres pays. VeriSign® et d'autres marques connexes sont des marques commerciales ou des marques déposées de
VeriSign, Inc. ou de ses filiales ou sociétés affiliées aux États-Unis et dans d'autres pays et dont la licence est octroyée à Symantec
Corporation. KVM on IP® est une marque déposée de Video Products. Yahoo!® est une marque déposée de Yahoo! Inc. Bing ® est une
marque déposée de Microsoft Inc. Ask® est une marque déposée d'IAC Publishing, LLC. Les autres noms peuvent être des marques de
leurs propriétaires respectifs.
2018 - 11
Rév. A01
Table des matières
1 Introduction....................................................................................................................................................4
Présentation........................................................................................................................................................................4
Contacter Dell ProSupport................................................................................................................................................4
2 Configuration requise.....................................................................................................................................5
Matériel................................................................................................................................................................................5
Logiciel.................................................................................................................................................................................5
Ports.................................................................................................................................................................................... 5
Endpoint Security Suite Enterprise for Linux et dépendances.....................................................................................6
Compatibilité....................................................................................................................................................................... 6
3 Tâches........................................................................................................................................................... 9
L'installation.........................................................................................................................................................................9
Pré-requis......................................................................................................................................................................9
Installation par ligne de commande............................................................................................................................9
Afficher les détails........................................................................................................................................................11
Vérifier l'installation........................................................................................................................................................... 12
Dépannage.........................................................................................................................................................................14
Désactiver le certificat SSL de confiance................................................................................................................14
Ajout de modifications de règles et d'inventaire XML au dossier Journaux........................................................ 14
Collecte de fichiers journaux........................................................................................................................................... 15
Provision a Tenant............................................................................................................................................................ 15
Provisionner un service partagé............................................................................................................................... 15
Dépannage de provisionnement..................................................................................................................................... 15
Provisionnement et communication de l'agent....................................................................................................... 15
Table des matières
3
1
Introduction
Endpoint Security Suite Enterprise for Linux Administrator Guide (Guide de l'administrateur d'Enterprise Edition Endpoint Security Suite
Enterprise for Linux) fournit les informations nécessaires pour installer et déployer le logiciel client.
Présentation
Endpoint Security Suite Enterprise for Linux offre Advanced Threat Prevention au niveau du système d'exploitation et de la mémoire, le tout
géré de manière centralisée depuis Serveur Dell. Grâce à la gestion centralisée, à la génération de rapports de conformité consolidés et aux
alertes relatives aux menaces émises par la console, les organisations peuvent atteindre leurs objectifs de conformité et fournir les
justifications associées pour tous les points de terminaison. Des fonctionnalités comme les modèles de rapports et de règles prédéfinis
bénéficient d'une expertise intégrée, aidant ainsi les entreprises à réduire leurs coûts de gestion et à simplifier leurs opérations
informatiques.
Security Management Server ou Security Management Server Virtual : fournit une administration centralisée des règles de sécurité,
s'intègre avec les répertoires d'entreprise existants et crée des rapports. Dans ce document, les deux serveurs sont appelés Serveur Dell,
sauf lorsqu'il est nécessaire de désigner une version spécifique (par exemple, une procédure varie en cas d'utilisation de Security
Management Server Virtual).
Advanced Threat Prevention for Linux a un fichier tar.gz, qui contient les trois RPM.
Contacter Dell ProSupport
Appelez le 877-459-7304, poste 4310039, afin de recevoir 24h/24, 7j/7 une assistance téléphonique concernant votre produit Dell.
Un support en ligne pour les produits Dell est en outre disponible à l'adresse dell.com/support. Le support en ligne englobe les pilotes, les
manuels, des conseils techniques et des réponses aux questions fréquentes et émergentes.
Aidez-nous à vous mettre rapidement en contact avec l'expert technique approprié en ayant votre numéro de service ou votre code de
service express à portée de main lors de votre appel.
Pour les numéros de téléphone en dehors des États-Unis, consultez l'article Numéros de téléphone internationaux Dell ProSupport.
4
Introduction
2
Configuration requise
Ce chapitre présente la configuration matérielle et logicielle requise pour le client. Avant d'effectuer toute opération de déploiement,
assurez-vous que l'environnement de déploiement respecte les exigences suivantes.
Matériel
Le tableau suivant indique la configuration matérielle minimale prise en charge.
Matériel
•
•
•
Au moins 500 Mo espace disque libre
2 Go de RAM
Carte d'interface réseau 10/100/1000 ou Wi-Fi
REMARQUE : IPv6 n'est pas pris en charge actuellement.
Logiciel
Le tableau suivant décrit les logiciels pris en charge.
Systèmes d'exploitation (noyaux de 64 bits)
•
CentOS Linux v7.1 - v7.5
•
Red Hat Enterprise Linux v7.1 - v7.5
Ports
•
•
Le port 443 (https) est utilisé pour la communication et doit être ouvert sur le pare-feu pour que les agents puissent communiquer avec
la Console de gestion. Si le port 443 est bloqué pour une raison quelconque, les mises à jour ne pourront pas être téléchargées et les
ordinateurs ne pourront pas bénéficier de la protection la plus récente. Assurez-vous que les ordinateurs clients peuvent accéder aux
éléments suivants :
Utilisation
Protocole
d'application
Protocole de Numéro de
transport :
port
Destination
Direction
Toutes les
communications
HTTPS
TCP
443
Autoriser tout le trafic https vers
*.cylance.com
Sortant
Communication
avec Core Server
HTTPS
TCP
8888
Permet la communication Core Server
Entrant/sortant
Pour plus d'informations, voir SLN303898.
Configuration requise
5
Endpoint Security Suite Enterprise for Linux et
dépendances
Endpoint Security Suite Enterprise for Linux utilise Mono et les dépendances pour s'installer et s'activer sur le SE Linux. Le programme
d'installation télécharge et installe les dépendances requises. Après l'extraction du package, vous pouvez voir quelles dépendances sont en
cours d'exploitation à l'aide de la commande suivante :
./showdeps.sh
Compatibilité
Le tableau suivant indique la compatibilité avec Windows, Mac et Linux.
n/a - Cette technologie ne s'applique pas à cette plate-forme.
Champ vide - Cette stratégie n'est pas prise en charge avec Endpoint Security Suite Enterprise.
Fonctionnali Stratégies
tés
Windows
macOS
Linux
Quarantaine automatique
(Dangereux)
x
x
x
Quarantaine automatique
(Anormal)
x
x
x
Téléchargement auto
x
x
x
Liste de confiance de la
stratégie
x
x
x
Protection de la mémoire
x
x
x
Zone dynamique
d'empilement
x
x
x
Protection de l'empilement x
x
x
Écraser le code
x
Sans objet
Collecte de données
stockées en RAM
x
Sans objet
Charge malveillante
x
Actions de fichier
Actions de mémoire
Exploitation
Injection de processus
6
Attribution à distance de
mémoire
x
x
Sans objet
Adressage à distance de
mémoire
x
x
Sans objet
Écriture à distance dans la
mémoire
x
x
Sans objet
Configuration requise
Fonctionnali Stratégies
tés
Windows
macOS
Linux
Écriture à distance de PE
dans la mémoire
x
Sans objet
Sans objet
Écraser le code à distance
x
Sans objet
Suppression de l'adressage x
de la mémoire à distance
Sans objet
Création de thread à
distance
x
x
Planification APC à
distance
x
Sans objet
Sans objet
x
x
Sans objet
Injection de DYLD
Escalade
Lecture LSASS
x
Sans objet
Attribution nulle
x
x
Contrôle de l'exécution
x
x
Interdire l'arrêt du service
depuis le périphérique
x
x
Arrêter les processus et
x
sous-processus dangereux
en cours d'exécution
x
x
Détection de menace
d'arrière plan
x
x
x
recherche de nouveaux
fichiers
x
x
x
Taille de fichier d'archive
maximale à analyser
x
x
x
Exclure des dossiers
spécifiques
x
x
x
Copier les fichiers
exemples
x
Paramètres de protection
x
Contrôle des applications
Fenêtre de modification
x
Exclusion de dossiers
x
x
Paramètres de l'agent
Activer le téléchargement
automatique des fichiers
journaux
x
x
x
Activer les notifications sur x
le bureau
Contrôle des scripts
Configuration requise
7
Fonctionnali Stratégies
tés
Windows
Script actif
x
Powershell
x
Macros Office
x
Bloquer l'utilisation de la
console Powershell
x
macOS
Linux
Sans objet
Approuver les scripts dans x
ces dossiers (et leurs sousdossiers)
Niveau de journalisation
x
Niveau d'auto-protection
x
Mise à jour automatique
x
Exécuter une détection (à
partir de l'interface
utilisateur de l'agent)
x
Supprimer les éléments mis x
en quarantaine (interface
utilisateur de l'agent et
interface utilisateur de la
console)
8
Mode Déconnecté
x
Données de menace
détaillées
x
Liste de confiance des
certificats
x
x
Sans objet
Copier les échantillons de
programme malveillant
x
x
x
Paramètres de proxy
x
x
x
Vérification manuelle des
stratégies (interface
utilisateur de l'agent)
x
x
Configuration requise
x
3
Tâches
L'installation
Cette section présente Endpoint Security Suite Enterprise pour l'installation de Linux.
Pré-requis
Dell recommande de suivre les meilleures pratiques informatiques pendant le déploiement du logiciel client. Ceci inclut, sans s'y limiter, les
environnements de test contrôlés pour les premiers tests et les déploiements échelonnés pour les utilisateurs.
Avant de démarrer ce processus, assurez-vous que les conditions préalables suivantes sont réunies :
•
Assurez-vous que Serveur Dell et ses composants sont déjà installés.
Si vous n'avez pas encore installé Serveur Dell, suivez les instructions figurant dans le guide approprié ci-dessous.
Security Management Server Installation and Migration Guide (Guide d'installation et de migration de Security Management Server)
Security Management Server Virtual Quick Start Guide and Installation Guide (Guide de démarrage rapide et Guide d'installation de
Security Management Server Virtual)
•
Assurez-vous d'avoir le nom d'hôte du serveur et le port du Serveur Dell. Vous en aurez besoin pour l'installation du logiciel client.
•
Vérifiez que l'ordinateur cible dispose d'une connectivité réseau à Serveur Dell.
•
Si un certificat de serveur du client est manquant ou auto-signé, vous devez désactiver la confiance vis-à-vis du certificat SSL du côté
du client uniquement.
Installation par ligne de commande
Pour installer le client Endpoint Security Suite Enterprise à l'aide de la ligne de commande, suivez les étapes ci-dessous.
La commande sudo doit être utilisée pour appeler les privilèges d'administration au cours de l'installation. Si vous y êtes invité, entrez vos
informations d'identification.
L'approbation des empreintes digitales s'affiche uniquement au cours de la première installation.
1
Localisez et téléchargez le lot d'installation (DellESSE-1.x.x -xxx.tar.gz) à l'aide de votre compte FTP de Dell.
2
Extrayez le fichier tar.gz à l'aide de la commande suivante :
tar -xvf DellESSE*.tar.gz
Tâches
9
3
La commande suivante exécute le script d'installation pour les RPM requis et les dépendances :
sudo ./install.sh
4
Dans Dell Security Management Server Host?, entrez le nom d'hôte entièrement qualifié du Serveur Dell pour gérer l'utilisateur de la
cible. Par exemple, server.organization.com.
5
Dans Dell Security Management Server Port?, vérifiez que le port est défini sur 8888.
6
Entrez y lorsque vous êtes invité à installer le package DellESSE et ses dépendances.
7
Entrez y si vous y êtes invité à effectuer une approbation des empreintes.
10
Tâches
8
Entrez y lorsque vous êtes invité à installer le package DellAdvancedThreatProtection.
9
Entrez y lorsque vous êtes invité à installer le package CylanceDellATPPlugin.
10
L'installation est terminée.
11
Voir Vérifier Endpoint Security Suite Enterprise pour l'installation de Linux.
Désinstallation avec ligne de commande
Pour désinstaller Endpoint Security Suite Enterprise for Linux à l'aide de la ligne de commande, suivez les étapes ci-dessous.
1
Accédez à une fenêtre de terminal.
2
Désinstallez le package à l'aide de la commande suivante :
sudo ./uninstall.sh
3
Appuyez sur Entrée.
Endpoint Security Suite Enterprise for Linux est désormais désinstallé. Vous pouvez utiliser l'ordinateur normalement.
Afficher les détails
Une fois Endpoint Security Suite Enterprise for Linux installé, il est reconnu par le Serveur Dell en tant que point de terminaison.
Tâches
11
atp -t
La commande atp - t affiche toutes les menaces détectées sur le périphérique, ainsi que l'action appliquée. Les menaces sont une
catégorie d'événements récemment détectés comme fichiers ou programmes potentiellement dangereux qui nécessitent une action
corrective guidée.
Ces entrées détaillent les mesures prises, l'ID de hachage et l'emplacement de la menace.
•
Dangereux : fichier suspect qui risque d'être un programme malveillant
•
Anormal : fichier suspect qui pourrait être un programme malveillant
•
En quarantaine : fichier déplacé de son emplacement d'origine, stocké dans le dossier de quarantaine et dont l'exécution sur le
périphérique est bloquée.
•
Exonéré : fichier dont l'exécution est autorisée sur le périphérique.
•
Effacé : fichier effacé de l'organisation. Les fichiers autorisés comprennent des fichiers exonérés, ajoutés à la liste sécurisée et
supprimés du dossier Quarantaine sur le périphérique.
Pour plus d'informations sur la classification des menaces d'Advanced Threat Prevention, voir la rubrique AdminHelp, disponible sur la
console de gestion à distance du Serveur Dell.
Vérifier l'installation
Si vous le souhaitez, vous pouvez vérifier que l'installation a réussi.
•
Sur le client, accédez à une fenêtre de terminal.
•
Avant la réception d'une séquence de stratégie, le client s'enregistre sur le Dell Server.
•
Le fichier /var/log/Dell/ESSE/DellAgent.00.log détaille la communication avec le Dell Server et l'interaction plug-in/service.
Le texte ci-joint confirme que le client a reçu les stratégies depuis le Serveur Dell :
Le texte ci-joint confirme que le service Dell a été arrêté pour charger le plug-in Advanced Threat Prevention :
12
Tâches
Le texte ci-joint confirme les trois Endpoint Security Suite Enterprise pour les plug-ins Linux chargés :
atp -s - Affiche les éléments suivants :
•
État de l'enregistrement
•
Numéro de série : à utiliser pour contacter le support. Il s'agit de l'identificateur unique de l'installation.
•
Stratégie
La commande suivante détaille les variables de ligne de commande pour Endpoint Security Suite Enterprise pour Linux :
/opt/cylance/desktop/atp --help
Tâches
13
La commande atp Advanced Threat Prevention est ajoutée au répertoire /usr/sbin, qui est normalement inclus dans une variable PATH du
Shell, de sorte qu'il puisse être utilisé dans la plupart des cas sans un chemin précis.
Dépannage
Désactiver le certificat SSL de confiance
Si un certificat de serveur de l'ordinateur est manquant ou auto-signé, vous devez désactiver la confiance vis-à-vis du certificat SSL du
côté du client uniquement.
Si vous utilisez un certificat inhabituel, importez le certificat racine vers le magasin de certificats Linux, puis redémarrez Endpoint
Security Suite pour les services Linux avec la commande suivante : /usr/lib/dell/esse/agentservicecmd.sh restart
1
Accédez à une fenêtre de terminal.
2
Entrez le chemin d'accès à CsfConfig app :
/usr/lib/dell/esse/CsfConfig
3
Exécutez CsfConfig.app :
sudo ./CsfConfig
Les paramètres par défaut sont indiqués ci-après :
Paramètres actuels :
ServerHost = deviceserver.company.com
ServerPort = 8888
DisableSSLCertTrust = Faux
DumpXmlInventory = Faux
DumpPolicies = Faux
4
Saisissez -help pour répertorier les options.
5
Pour désactiver le certificat SSL de confiance sur l'ordinateur cible, entrez la commande suivante :
sudo /usr/lib/dell/esse/CsfConfig -disablecerttrust true
Ajout de modifications de règles et d'inventaire XML au dossier
Journaux
Pour ajouter le fichier inventory.xml ou policies.xml au dossier Journaux :
1
Exécutez CsfConfig app, comme indiqué ci-dessus.
2
Pour modifier DumpXmlInventory sur Vrai, entrez la commande suivante :
sudo /usr/lib/dell/esse/CsfConfig -dumpinventory true
3
Pour modifier DumpPolicies sur Vrai, entrez la commande suivante :
sudo /usr/lib/dell/esse/CsfConfig -dumppolicies true
Les fichiers de règles sont vidés uniquement en cas de modification de règle.
4
Pour afficher les journaux inventory.xml et policies.xml, accédez à /var/log/Dell/Dell Data Protection.
14
Tâches
REMARQUE : Les modifications apportées à CsfConfig peuvent ne pas s'appliquer
immédiatement.
Collecte de fichiers journaux
Les journaux de Endpoint Security Suite Enterprise for Linux se trouvent à l'emplacement suivant : /var/log/Dell/ESSE. Pour générer des
journaux, utilisez la commande suivante : . /getlogs.sh
Pour plus d'informations sur la collecte des journaux, voir SLN303924.
Provision a Tenant
Un locataire doit être provisionné dans Serveur Dell pour que l'application des stratégies Advanced Threat Prevention devienne active.
Pré-requis
•
Doit être effectué par un administrateur doté du rôle Administrateur système.
•
Doit disposer d'une connexion à Internet pour provisionner sur Serveur Dell.
•
Doit disposer d'une connexion à Internet sur le client pour afficher l'intégration de service en ligne Advanced Threat Prevention dans la
console de gestion.
•
Le provisionnement est basé sur un jeton qui est généré à partir d'un certificat pendant le provisionnement.
•
Les licences Advanced Threat Prevention doivent être présentes sur Serveur Dell.
Provisionner un service partagé
1
Connectez-vous à la console de gestion à distance en tant qu'administrateur Dell.
2
Dans le volet de gauche de la console de gestion, cliquez sur Gestion > Services de gestion.
3
Cliquez sur Configurer le service Advanced Threat Protection. Importez vos licences Advanced Threat Prevention en cas d'échec à
ce stade.
4
La configuration guidée commence une fois que les licences sont importées. Cliquez sur Suivant pour commencer.
5
Lisez et acceptez les termes du CLUF et cliquez sur Suivant.
6
Fournissez les identifiants à Serveur Dell pour le provisionnement du service partagé. Cliquez sur Suivant. Le provisionnement d'un
service partagé existant de marque Cylance n'est pas pris en charge.
7
Téléchargez le certificat. Celui-ci est nécessaire à la récupération en cas de sinistre affectant Serveur Dell. Ce certificat n'est pas
automatiquement sauvegardé. Sauvegardez le certificat à un emplacement sûr sur un autre ordinateur. Cochez la case pour confirmer
que vous avez sauvegardé le certificat et cliquez sur Suivant.
8
La configuration est terminée. Cliquez sur OK.
Dépannage de provisionnement
Provisionnement et communication de l'agent
Les diagrammes suivants illustrent le processus de provisionnement du service Advanced Threat Prevention
Tâches
15
16
Tâches
Le diagramme suivant illustre le processus de communication agent d'Advanced Threat Prevention.
Tâches
17