Transcript Vue d’ensemble de Microsoft Forefront Client Security La solution de protection anti-malwares pour les postes et serveurs en entreprise.

Vue d’ensemble de Microsoft
Forefront Client Security
La solution de protection anti-malwares
pour les postes et serveurs en entreprise
1
Qu’est ce que
?
• Un site Web très orienté technique
– http://www.microsoft.com/france/technet/default.mspx
• Une newsletter personnalisable
– http://www.microsoft.com/france/technet/presentation/flash/default.mspx
• Des séminaires techniques toute l’année, partout en France
– http://www.microsoft.com/france/technet/seminaires/seminaires.mspx
• Des Webcasts accessibles à tout instant
– http://www.microsoft.com/france/technet/seminaires/webcasts.mspx
• Un abonnement
– http://www.microsoft.com/france/technet/presentation/cd/default.mspx
2
Logistique
Pause en milieu de
session
Vos questions sont les
bienvenues.
N’hésitez pas !
Feuille d’évaluation à
remettre remplie en fin
de session
Commodités
Merci d’éteindre ou de
mettre en mode
vibreur vos téléphones
3
Agenda
•
•
•
•
•
•
•
•
Introduction
Architecture
Installation
Administration
Surveillance
Synthèse
Ressources utiles
Questions / Réponses
4
Introduction
5
Menaces et risques sur les systèmes
d’informations
•
Les systèmes d’informations des entreprises sont des cibles classiques
pour les codes malicieux et le contenu inapproprié:
–
–
–
–
–
–
–
–
Virus
Vers
Robots (Bot-nets)
Chevaux de Troie
Spam
Spim
Phishing
Contenu offensant
En 2004, 78% des entreprises
ont été touchées par des virus,
et 37% ont remonté des accès
non-autorisé aux informations
--2004 CSI and FBI Computer Crime and Security
Survey
6
Qu’est-ce que Forefront ?
Forefront est une gamme complète de
produits de sécurité pour les entreprises
qui aident à avoir une meilleure protection
par une intégration poussée.
Postes de travail
et serveur de
fichiers
Applications
serveurs
Périmètre
7
Qu’est ce que Forefront Client Security ?
• C’est une solution de sécurité conçue pour aider à protéger les
ordinateurs de bureau, des ordinateurs portables et des systèmes
d’exploitation serveur des entreprises contre les logiciels malveillants tels
que les logiciels espions, les rootkits, et les menaces traditionnelles telles
que les virus, vers et chevaux de Troie
Protection unifiée
• Anti-virus
• Anti-spyware
• Technologie
éprouvée à
grande échelle
• Gestion des
menaces 24/7
Administration
rationnelle
Supervision et
contrôle
• Une console
unique
d’administration
• Utilise les
infrastructures
déjà en place
• Politiques de
sécurité multiples
• Tableau de bord
des menaces
• Multiples modèles
de rapports
• Remontée
d’informations sur
l’état des
machines
8
Protection unifiée contre une vaste
gamme de menaces
• Un moteur pour la protection contre les virus et les spywares
• Les capacités de détection et de nettoyage incluent :
– Détection et suppression en temps réel, de manières planifiée ou à la
demande
– Nettoyage complet du système pour les virus et les spywares, avec
des vérifications pour s’assurer que le système est complètement
opérationnel après nettoyage
– Analyse de douzaines d’archives et de compacteurs
– Signatures en mode tunnel pour contourner les rootkits en mode
utilisateur
– Émulation de code pour l’analyse de comportement et les virus
polymorphiques
– Détections heuristiques pour les nouveaux codes malveillants et les
variantes
9
Analyse antimalware temps réel
Analyse en
mode noyau
Analyse en
mode utilisateur
• Mini filtre sur les accès
• Essentielle pour toute protection antimalware
• Le malware doit compromettre le noyau pour
s’évader
• Le malware est empêché de s’exécuter
complètement
•
•
•
•
•
•
•
•
Configuration système
Add-ons Internet Explorer
Configurations d’Internet Explorer
Téléchargement Internet Explorer
Services et pilotes
Exécution d’application
Enregistrement d’application
Add-ons Windows
10
Evaluation de FCS par des tiers
• Microsoft Forefront Client Security Awards and Certifications
http://www.microsoft.com/forefront/clientsecurity/prodinfo/awards/default.ms
px
• ICSA Labs
– Desktop/Server Anti-Virus Detection - version 4.0
http://www.icsalabs.com/icsa/product.php
• Virus Bulletin 100% Award
– http://www.virusbtn.com/vb100/about/100use.xml
• West Coast Labs
–
–
–
–
Antivirus Checkmark, Level 1
Antivirus Checkmark, Level 2
Anti-Spyware Desktop Checkmark
Trojan Checkmark
– http://www.westcoastlabs.com/search/productList/product/?productID=284&from
=p&searchString=forefront&checkmark=false&techReport=false&ptReport=false
11
Architecture
12
Architecture générale
PARAMETRES
RAPPORTS
Serveur de
gestion
(ou un système alternatif)
Serveur de rapports
et d’alertes
(ou un système de télédistribution)
DEFINITIONS
EVENEMENTS
Postes de travail, portables, serveurs de fichiers
exécutant Microsoft Forefront Client Protection
13
Le client FCS
• Le composant client FCS est installé sur les postes de
travail, les portables et les serveurs de fichier et
d’application.
• Il est déployé en un seul package et comprend 3
composants:
– Agent de protection contre les malwares
• fournit une protection en temps réel et/ou à la demande des menaces
de type virus, spyware et rootkits.
– Agent SSA (Security State Assessment)
• fournit la vérification de l’état de sécurité des postes et serveurs (niveau
de correctifs, politique de sécurité…)
– Agent Microsoft Operations Manager 2005
• permet la remontée des événements et des alertes
14
Serveur FCS
• La partie FCS serveur correspond à un système de gestion
centralisée qui permet de configurer, mettre à jour les
agents (partie client) et générer des rapports et des alertes
sur l’état de sécurité de leur environnement.
• On distingue 4 rôles logiques:
– Management role
– Collection role
– Reporting role
– Distribution role
15
Serveur FCS – Management role
• Il est utilisé pour gérer et déployer les politiques de
sécurité ainsi que gérer et résoudre les alertes
• Le serveur de management FCS est composé de :
–
–
–
–
–
La console d’administration FCS
Le client FCS
La console d’administration et d’opérations de MOM 2005 SP1
La console GPMC
FCS functional management pack
16
Serveur FCS – Collection Role
• Il est utilisé pour regrouper les données opérationnelles
concernant les agents
• Collection Server :
– Serveur MOM 2005 SP1
– Console MOM 2005 SP1
• Serveur base de données Collection
– SQL Server 2005 SP1
– Base de données opérationnelle MOM 2005 SP1
– Configuration Repository
17
Serveur FCS – Reporting Role
• Il est utilisé pour le stockage des données et la
génération de rapports fonctionnels
• Serveur de Reporting
– MOM 2005 SP1 Reporting
– IIS 6.0
• Base de données du serveur de Reporting
– SQL Server Reporting Service 2005 SP1
– SQL Server 2005 SP1
– MOM 2005 SP1 Data Warehouse
18
Serveur FCS – Distribution Role
• Il utilisé pour gérer et distribuer les mises à jour pour les
clients Forefront Client Security
• Serveur de distribution
– WSUS 2.0 SP1 ou ultérieur
– FCS Update Assistant
19
Dimensionnement des serveurs
Fonction du
serveur
CPU
RAM
Disque
Management server
1 Ghz
ou +
1Go
ou +
512 Mo
ou +
Collection server
without database
1 Ghz
ou +
512 Mo
ou +
1 Go
ou +
Collection server
with database or
collection database
server
Bi
proc
2Ghz
ou +
2 Go
ou +
30 Go
ou +
Reporting server
without database
1 Ghz
ou +
512 Mo
ou +
512 Mo
ou +
Reporting server
with database or
reporting database
server
Bi
proc
2Ghz
ou +
2 Go
ou +
75 Go
ou +
Distribution server
Cf. pré-requis WSUS
(Windows Server Update
Services)
OS
Logiciel
.NET Framework 2.0
Group Policy Management Console
(GPMC) with SP1
Microsoft Management Console
(MMC) 3.0
.NET Framework 2.0
Windows 2003
SP1 édition
standard ou
entreprise
Versions 64
bits non
supportées
SQL Server 2005 with SP1 Enterprise
Edition or Standard Edition (including
Database Services and Workstation
components)
SQL Server 2005 with SP1 Enterprise
Edition or Standard Edition (Reporting
Services), IIS 6.0 and ASP.NET
SQL Server 2005 with SP1 Enterprise
Edition or Standard Editing (including
Database Services, Integration
Services, Reporting Services, and
Workstation components)
IIS 6.0 and ASP.NET
.NET Framework 2.0
WSUS 2.0 with SP1
20
Topologie 1 serveur
• Topologie idéale pour des environnements de test ou
pour de petits déploiements.
• En fonction de la configuration matérielle, cette topologie
peut supporter jusqu’à 3000 postes administrés
Management
Collection
Reporting
Distribution
Base
Base
Collection Reporting
21
Topologie 2 serveurs
• Topologie idéale pour des environnements de test ou
pour de petits déploiements.
• La différence par rapport à la topologie 1 serveur est la
séparation du rôle de serveur de distribution (par
exemple si vous avez déjà un serveur WSUS)
Distribution
Management
Collection
Reporting
Base
Base
Collection Reporting
22
Topologie 3 serveurs
• Dans cette topologie, la base de donnée utilisée pour le
reporting (qui peut être très consommatrice) est sur un
serveur SQL dédié
– Avec un SQL Server édition Entreprise, il est possible de gérer
jusqu’à 5000 postes
• Le serveur de distribution est sur une machine distincte
Distribution
Management
Collection
Reporting
Base
Collection
SQL Server
Base
Reporting
23
Topologie 4 serveurs
• Topologie destinée à des déploiements importants (plus
de 3000 machines)
• Dans cette topologie, chaque serveur gère un rôle.
• Les bases de données sont réparties sur 2 serveurs
– Avec un SQL Server édition Entreprise, il est possible de gérer
jusqu’à 10000 postes
Distribution
Management
Collection
Reporting
Base
Collection
Base
Reporting
24
Topologie 5 serveurs (SQL partagé)
• Topologie destinée à des déploiements importants (plus
de 3000 machines)
• Dans cette topologie, chaque serveur gère un rôle.
• Les bases de données sont hébergées sur un serveur
SQL séparé (avec un SQL Server édition Entreprise, il
Base
est possible de gérer jusqu’à 10000 postes)
Collection
Distribution
Management Collection
Reporting
SQL Server
Base
Reporting
25
Topologie 6 serveurs (SQL dissocié)
• Topologie destinée à des déploiements importants (plus de
3000 machines)
• Dans cette topologie, chaque serveur gère un rôle.
• Les bases de données sont hébergées sur 2 serveurs SQL
SQL Server
Distribution
Management Collection
Base
Collection
Reporting
SQL Server Base
Reporting
26
Comment choisir la bonne topologie ?
Tenir compte des éléments suivants :
• Prévision de stockage
– Planifier l’évolution et la croissance du parc à protéger
• Retour client
• Emplacement des serveurs
• Pré-requis opérationnels des serveurs
– Gestion de l’IT externalisée
– Administrateurs distincts pour les bases de données SQL et
Windows
– Administration centralisée vs. décentralisée
27
Installation – partie serveur
28
Serveur FCS - plateformes supportées
Système d’exploitation
Serveur Forefront Client Security
Windows Server 2003 Standard,
Entreprise SP1 + (x86)
Supporté
Windows Server 2003 Standard,
Entreprise SP1+ (x64)
Non supporté
Windows 2003 Web editions
Non supporté
Windows Server 2003 R2 (x86)
Supporté
Windows Server 2003 R2 (x64)
Non supporté
Windows 2003 Datacenter Edition
Non supporté
Windows 2003 R2 Datacenter Edition
Non supporté
Windows Server 2003 (ia64)
Non supporté
Windows 2003 SBS
Non supporté
Windows Server 2008
Supporté*
(* à la date de la RTM)
29
Cinématique d’installation
1.
2.
3.
4.
Installation des pré-requis
Installation de FCS
Assistant de configuration
Autres tâches post-installation
• Exemple avec une topologie 2 serveurs…
30
Installation de FCS sur le 1er serveur (1/10)
31
Installation de FCS sur le 1er serveur (2/10)
32
Installation de FCS sur le 1er serveur (3/10)
33
Installation de FCS sur le 1er serveur (4/10)
34
Installation de FCS sur le 1er serveur (5/10)
35
Installation de FCS sur le 1er serveur (6/10)
36
Installation de FCS sur le 1er serveur (7/10)
37
Installation de FCS sur le 1er serveur (8/10)
38
Installation de FCS sur le 1er serveur (9/10)
Vérification des paramètres et pré-requis
39
Installation de FCS sur le 1er serveur (10/
10)
40
Installation de FCS sur le 2ème serveur
(WSUS)
41
Assistant de configuration
• Destiné à “recoller ensemble les morceaux” après installation
de tous les serveurs de la topologie
• L’assistant de configuration se lance la 1ère fois que vous
exécutez la console de Management FCS
• Il n’est lancé qu’une seule fois, à moins que:
–
–
–
–
–
–
vous ne changiez de serveur SQL pour les DB Collection
vous ne changiez de serveur SQL pour les DB Reporting
vous ne migriez le serveur de collection sur un autre serveur
vous ne migriez le serveur de reporting sur un autre serveur
vous ne changiez de topologies
Vous ne renommiez les serveurs FCS
42
Assistant de configuration
43
Opérations post installation
Donner les permissions sur les bases au compte de service
44
Opérations post installation
Donner les permissions sur les bases au compte de service
45
Installation côté client
46
Client FCS - plateformes supportées
Système d’exploitation
Client Security Agent
Windows 2000 SP4 + Security Rollup
and GDI+ hotfix
Supporté
Windows XP SP2 (with Filter Manager
hotfix)
Supporté
Windows XP édition “Tablet PC”
Supporté
Windows XP édition “Media Center”
Non supporté
Windows XP Embedded
Non supporté
Windows Vista Business, Enterprise, et
Ultimate
Supporté
Windows Server 2003 SP1 (x86 et x64)
Supporté
Windows Server 2003 (ia64)
Non supporté
Windows Server 2003 R2 (x86 et x64)
Supporté
Windows Server 2008
Non supporté*
1/07/07)
(* à la date du
47
Les différentes étapes
1.
2.
3.
4.
5.
6.
Vérification pré-requis matériel et logiciels
Préparation du réseau pour le déploiement
Approbation du client FCS dans WSUS
Configuration des mises à jour automatiques
Déploiement du client sur les postes
Vérification du déploiement sur les postes
48
1- Vérification pré-requis matériel et
logiciels
• Pré-requis à l’installation
– Agent Windows Update 2.0
– Windows Installer 3.1
– Le client FCS ne supporte pas l’exécution en parallèle d’autres solutions antimalware sur le poste. Désinstaller ce type d’application avant d’installer le
client FCS
– Environ 350 Mo d’espace disque
• L’installation du client FCS inclus l’installation d’un agent MOM 2005
– Le changement de la configuration de cet agent n’est pas supporté
– Le mode « Agentless » n’est pas supporté
– Si un agent MOM 2000, 2005 ou 2007 est déjà présent, l’agent MOM de FCS
sera quand même installé et chaque agent fonctionnera à côté de l’autre (side
by side) sans interférence
49
2- Préparation du réseau pour le
déploiement
• Avant de déployer le client FCS sur les postes, il
faut s’assurer :
– Que les postes sont membre du domaine des
serveurs FCS ou de domaines approuvés
– Que les ports réseaux nécessaires sont ouverts
Ordinateur
Port (protocoles)
Poste client
Connection
Vers le serveur de
connexion
Poste client
Vers le serveur de
distribution
80 (TCP) ou 8530
(TCP) or personnalisé
1270 (TCP et UDP)
50
3- Approbation du client FCS dans
WSUS
51
4- Configuration des mises à jour
automatiques (via GPO)
52
5- Déploiement du client sur les postes
• Pour déployer Client Security sur les postes, il faut déployer
une stratégie FCS sur ces machines. Une fois que la
stratégie FCS est appliquée sur un poste, celui-ci télécharge
automatiquement le client FCS depuis le serveur de
distribution.
– Note : il est possible de déployer le client sur des machines hors du
domaine (et donc inaccessibles via GPO)  Cf. plus loin dans la
présentation
• Une politique FCS peut s’appliquer sur des OU, groupes de
sécurité
53
5- Déploiement du client sur les postes
Point de départ : la console FCS
54
5- Déploiement du client sur les postes
Configuration d’une politique (1/5)
55
5- Déploiement du client sur les postes
Configuration d’une politique (2/5)
56
5- Déploiement du client sur les postes
Configuration d’une politique (3/5)
57
5- Déploiement du client sur les postes
Configuration d’une politique (4/5)
58
5- Déploiement du client sur les postes
Configuration d’une politique (5/5)
59
5- Déploiement du client sur les postes
Choix de la cible pour déploiement
60
5- Déploiement du client sur les postes
Choix de l’installation si non paramétré en installation
automatique
61
5- Déploiement du client sur les postes
Cas du poste hors domaine / Installation manuelle
• Il est possible de déployer le client FCS manuellement ce qui
est pratique si vous n’utilisez pas WSUS ou pour déployer
des postes sans stratégie (ex: poste hors domaine)
• Sur le CD de FCS, dans le répertoire client FCS
– Clientsetup.exe
62
5- Déploiement du client sur les postes
Approbation du client FCS dans MOM
Une fois le client FCS déployé, il est généralement approuvé
dans MOM au bout d’une heure. Pour accélérer ce
processus, il est possible de faire une approbation manuelle
63
6- Vérification du déploiement sur les
postes
64
65
Déploiement d’une stratégie FCS
• 2 mécanismes / 3 méthodes :
– Via l’utilisation des stratégies de groupe (GPO)
• Console Microsoft Forefront Client Security Console
• Fichier ADM
– Exportation vers un fichier puis utilisation d’un
système de télédistribution existant
66
Options de déploiement d’une stratégie
Console
Forefront
Client Security
GPMC
Système
télédistribution
existant
Infrastructure
utilisée
AD/GPO
AD/GPO
Système de
télédistribution
Distribution de la
stratégie via
Console
GPMC, via le
fichier ADM
Fichiers
exportés
Granularité de la
cible
Niveau OU
Machine
unique
Machine
unique
Groupes de
sécurité
Illimitées
Illimitées
Oui
Non
Non
Exceptions à
la stratégie
Permet des rapports
sur la conformité à la
stratégie
67
Déploiement de la stratégie FCS sans
GPO (1/2)
• Peut être utilisé pour appliquer des stratégies sur des
machines qui ne font pas parties de l’Active Directory (ex:
pare-feu, serveurs web…)
• Etape 1 : Export de la stratégie vers un fichier .reg
68
Déploiement de la stratégie FCS
sans GPO (2/2)
• Etape 2 : Import de la stratégie sur le client en
utilisant “FCSLocalPolicyTool.exe”
69
Administration
70
Modèle de gestion
• Définition de l’état de sécurité normal
– En spécifiant le comportement de sécurité des clients FCS
• Maintien des systèmes à jour
– Pour assurer que les clients ont les dernières signatures
• Visualisation de rapports
– Pour évaluer l’état de sécurité, maintenant et au cours du temps
• Réponse à des alertes
– Quels événements de sécurité critiques nécessitent un attention
particulière ?
71
Profils d’administration FCS (1/2)
• Client Security Administrator
– Peut tout faire sauf déployer des stratégies FCS
• Policy Author
– Peut utiliser la console d’administration FCS et l’onglet Policy
Management
– Peut créer, modifier, supprimer des politiques FCS
– Peut déployer des politiques FCS uniquement via Registry
– Peut voir les rapports
• Reports viewer
– Peut voir les rapports
72
Profils d’administration FCS (2/2)
• Policy Deployer
– Peut utiliser la console d’administration FCS et l’onglet Policy
Management
– Peut créer, modifier, supprimer des politiques FCS
– Peut déployer des politiques FCS
– Peut voir les rapports
• Alert Manager
– Peut utiliser la console MOM FCS
– Peut voir les rapports
73
Recherche
de logiciels
malveillants
Mise à jour des signatures (1/2)
•
Déploiement des signatures optimisé pour
Windows Server Update Services (WSUS)
– Peut utiliser tout système de télédistribution
– Approbation automatique ou manuelle des
définitions
•
®
Microsoft
Update
Synchro
Client Security installe un service Update
Assistant pour :
WSUS +
Update
Assistant
– Augmenter la fréquence de synchronisation
entre WSUS et Microsoft Update (MU) pour
les définitions
Synchro
•
Support des utilisateurs itinérants
– Bascule de WSUS vers Microsoft Update
Postes de travai
portables et
serveurs
74
Support des clients itinérants
75
Mise à jour des signatures (2/2)
• Il est également possible de télécharger manuellement les
dernières signatures
– How to manually download the latest antimalware definition updates
for Microsoft Forefront Client Security
http://support.microsoft.com/kb/935934
– Microsoft Forefront Client Security Definition Downloads
http://technet.microsoft.com/enus/forefront/clientsecurity/bb508812.aspx
• Attention : le moteur complet + la signature = environ 12 à
14 Mo
76
77
Planification des analyses AM
• Analyse rapide (Quick Scan)
– Processus en mémoire
– Répertoires ciblés *
• Profil utilisateur
• Bureau
• Répertoires système
• Program Files
– Points d’extensibilité communs pour les malwares *
• Analyse complète (Full Scan)
– Tous les aspects Quick Scan
– Évaluation totale de tous les lecteurs locaux
* Définis dans la mise à jour de définitions pour répondre à l’évolution des malwares
78
Evaluation de l’état de sécurité des
postes (SSA)
• Permet d’avoir une visibilité sur les vulnérabilités et
configurations non sécurisées des postes gérés (correctifs
manquants, mauvaise configuration…)
• Permet d’avoir des actions proactives et non réactives vis à
vis des logiciels malveillants
• 3 composants :
– Agent SSA (partie du client FCS)
• Récupère des paramètres depuis différentes sources (base de Registre, WMI,
pare-feu…)
– Tests de sécurité
• Evaluation de la configuration vis-à-vis de critères connus
• Attribution d’un score de conformité avec les bonnes pratiques de sécurité
– Rapports
79
Security State Assessment
• Paramètres testés par le SSA :
– Mise à jour automatique, mise à jour incomplète, mise à jour de
sécurité, comptes administrateur et invité, système de fichiers,
autologon, expiration des mots de passe, paramètre
restrictanonymous, services inutiles, partages, version de Windows
• Mises à jour des signatures SSA
– Via Microsoft Update (comme les signatures AM)
– Contiennent des nouveaux tests de configuration
– Améliorent les tests existants
80
Analyse des postes à la demande
• Bouton « Scan Now.. »
• Ciblage possible :
– Une machine
– Tous les postes
• Analyse complète ou rapide
• Effectue à la fois une analyse antimalwares et une analyse SSA
(Security State Assessment)
81
82
Surveillance
83
Tableau de bord
• Un tableau de bord pour la visibilité
sur les menaces et les
vulnérabilités
• Visualisation de rapports pertinents
• Objectif : rester informé à propos
des évaluations d’état et des alertes
de sécurité
84
85
Rapports détaillés
• Permet de se focaliser sur les menaces et les vulnérabilités potentielles
– Les analyses d’évaluation de l’état déterminent quelles machines:
• Ont besoin d’être mises à jour
• Sont configurées de manière non sécurisées
• Les catégories dans les rapports incluent :
–
–
–
–
–
–
–
Rapport de synthèse
Déploiement
Alertes
Machines
Menaces de malware
Synthèse de vulnérabilité
Résultats d’analyse
• Navigation granulaire dans les données (par-machine, par menace…)
• Construits sur la technologie MOM 2005
• Utilise SQL Reporting Services
86
Rapports de synthèse
Synthèse du déploiement
Synthèse des machines
Synthèse des malwares
Security Summary
Synthèse des alertes
Synthèse des
évaluations de l’état de
sécurité
87
Visibilité critique et contrôle
“Mon environnement est-il
conforme avec les bonnes
pratiques en matière de
sécurité ?”
“Mon niveau d’exposition aux
vulnérabilités a-t-il changé au
cours du temps ?”
“Quelle portion de mon
environnement court un
risque élevé?”
88
Exemples de rapports FCS
89
Exemples de rapports FCS
90
Savoir quand les menaces apparaissent
• La configuration des alertes est spécifique chaque
stratégie
• Les alertes notifient l’administrateur des incidents
importants, par exemple:
–
–
–
–
Malware détecté
Échec de la suppression d’un malware
Invasion de malware
Protection antimalware désactivé
• Le niveau d’alerte contrôle le type et le volume des alertes
générées
Problèmes critiques
seulement, biens de
faible valeur
Invasion
1
2
Échec
suppression
malware
3
4
5
Données riches, biens
de grande valeur
Échec mise à Malware détecté
jour
et supprimé
signatures
Alertes
maximales
91
Les alertes
• Actionnables
Chaque alerte représente une tâche potentielle
• Importantes
– Seulement sur les incidents importants
• Au bon moment
– Pertinentes pour une action immédiate
• Peu nombreuses
– Quelques événements chaque jour pour une organisation
• Exemples d’alertes:
–
–
–
–
–
Very Infected Computer Found
Protection Turned Off
Scanning Failed
Signature Update Failed
Flooding Detected...
92
Nombre d’occurences
Machine & Domaine
Type d’alerte
Description
Microsoft Client Protection has detected the following malicious
software threat: !AceSFX.
Microsoft Client Protection cannot eliminate the threat.
The following action was attempted on the threat: Clean.
The following error occurred: Access Denied.
Error code: 12.
To learn more about the infection in this computer, read the infection
instance report:
http://ReportServer/Reports/FCS/InfectionInstanceReport
To learn more about the threat, read the threat details report:
http://ReportServer/Reports/FCS/threatReport
And the computer details report:
http://ReportServer/Reports/FCS/computerReport
You can read about the threat in the Microsoft Malicious Software
Encyclopedia:
http://ReportServer/Reports/FCS/maliciousEncyclopediaReport
Enregistrement
Rapports détaillés
Evènement
associé à la
Article KBmachine
associé
93
Informations complémentaires
94
FCS et NAP (Network Access Protection)
• FCS ne propose pas aujourd’hui de modules NAP (SHA,
SHV). Si FCS est installé sur un client NAP, il est possible
d’utiliser le Windows System Health Agent (WSHA) et de
le configurer pour reporter, au travers du centre de
sécurité, qu’un antivirus / antispyware :
– Est activé ou non
– A des signature mises à jour ou pas
– Le nom de l’éditeur (Microsoft), le nom affiché (FCS), le numéro
de version (1700)
• Ceci peut être utile en cas d’utilisation de plusieurs
solutions Antivirale / antimalware dans un système
d’information
• Plus d’informations sur Network Access Protection (NAP) :
http://www.microsoft.com/nap
95
Microsoft Malware Center
• http://www.microsoft.com/security/portal/
96
Synthèse
97
Synthèse des offres anti-malwares de
Windows
Windows
Microsoft
Microsoft
MSRT
Windows
Defender
Live Safety
Center
OneCare
Live
Forefront Client
Security
Supprime les virus
les + répandus
Supprime tous
les virus connus
Protection antivirus temps réel
Supprime tous les
spywares connus
Anti-spyware
temps réel
Gestion centralisée
de clients multiples
Alertes, gestion de
rapports centralisées
Tarif
(1)
Windows authentique
(2) publicité
0
0(1)
0(2)
Pour l’utilisateur individuel
€(3)
€
98
Pour l’entreprise
En résumé – Forefront Client Security
• Fait partie de la gamme Microsoft Forefront
•
• Assure une protection unifiée contre les logiciels
malveillants pour les systèmes d’exploitation des
postes de travail, des portables et des serveurs en
entreprise, plus facile à gérer et à contrôler
• Protection unifiée
• Administration simplifiée
• Contrôle et visibilité critique
99
Pour aller plus loin
100
Ressources utiles (1/2)
• Portail Forefront sur le site de Microsoft France
– http://www.microsoft.com/france/forefront/
• Portail Forefront US
– http://www.microsoft.com/forefront
• Blog de l’équipe
– http://blogs.technet.com/clientsecurity/
• Forum TechNet (US)
– http://forums.microsoft.com/ForeFront/default.aspx?F
orumGroupID=309&SiteID=41
101
Ressources utiles (2/2)
• Démonstrations (US)
• http://www.microsoft.com/antigen/prodinfo/demo/default.
mspx
• Versions d’évaluation
http://www.microsoft.com/antigen/downloads/trialsoftware.mspx
• Forefront Client Security Technical Library
http://www.microsoft.com/technet/clientsecurity/2007/libr
ary/default.mspx
• Microsoft Forefront Client Security
http://technet.microsoft.com/en-us/library/bb432630.aspx
102
Questions / Réponses
103
Microsoft France
18, avenue du Québec
91 957 Courtaboeuf Cedex
www.microsoft.com/france
0 825 827 829
[email protected]
104