Trend Micro 11.0 OfficeScan Service Pack 1. Guida per l'amministratore (2015) - 11
futuri sono i domini non ancora creati al momento della configurazione delle
impostazioni.
•
Applica soltanto ai domini futuri: applica le impostazioni solo agli agenti
aggiunti ai domini futuri. Questa opzione non applica le impostazioni ai nuovi
agenti aggiunti a un dominio esistente.
Applicazioni peer-to-peer
OfficeScan controlla i file condivisi dagli utenti attraverso le applicazioni peer-to-peer.
Per un elenco di applicazioni peer-to-peer supportate, consultare gli elenchi di protezione
dati su:
Crittografia PGP
OfficeScan controlla i dati che devono essere crittografati dal software di crittografia
PGP. OfficeScan controlla i dati prima della crittografia.
Per un elenco dei software di crittografia PGP supportati, consultare gli elenchi di
protezione dati su:
Stampante
OfficeScan controlla le operazioni della stampante avviate da varie applicazioni.
OfficeScan non blocca le operazioni della stampante sui nuovi file che non sono stati
salvati perché a questo punto le informazioni di stampa sono solo state salvate in
memoria.
Per un elenco di applicazioni di avvio delle operazioni di stampa supportate, consultare
gli elenchi di protezione dati su:
10-36
Utilizzo di Prevenzione perdita di dati
Dispositivi di archiviazione rimovibili
OfficeScan effettua il monitoraggio della trasmissione dei dati verso o all'interno dei
dispositivi di memoria rimovibili. Attività correlate alla trasmissione dei dati
comprendono:
•
Creazione di un file nel dispositivo
•
Copia di un file dal computer host al dispositivo
•
Chiusura di un file modificato nel dispositivo
•
Modifica delle informazioni sul file (ad esempio, l'estensione) nel dispositivo
Se un file da trasmettere contiene un identificatore di dati, OfficeScan blocca oppure
autorizza la trasmissione.
Nota
•
L'azione di Controllo dispositivo ha una priorità maggiore rispetto all'azione DLP. Se,
ad esempio, Controllo dispositivo non autorizza la copia dei file su un dispositivo di
archiviazione rimovibile, la trasmissione delle informazioni sensibili non viene eseguita
anche se DLP la autorizza.
•
Prevenzione perdita di dati supporta la crittografia su dispositivi di archiviazione
rimovibili quando Endpoint Encryption è installato sul dispositivo agente.
Per un elenco dei dispositivi di archiviazione rimovibili e delle applicazioni che facilitano
le attività di trasmissione di dati supportati, consultare gli elenchi di protezione dati su:
La gestione della trasmissione di file su un dispositivo di archiviazione rimovibile è un
processo semplice e lineare. Ad esempio, un utente che crea un file da Microsoft Word
potrebbe voler salvare il file su una scheda SD (non importa il tipo di file con il quale
l'utente salva il file). Se il file contiene un identificatore di dati che non deve essere
trasmesso, OfficeScan impedisce il salvataggio del file.
Per la trasmissione di file all'interno del dispositivo, OfficeScan esegue innanzitutto il
backup del file (se le dimensioni non superano i 75 MB) in %WINDIR%
\system32\dgagent\temp prima di elaborarlo. OfficeScan elimina il file di backup se ha
10-37
autorizzato la trasmissione del file. Se OfficeScan ha bloccato la trasmissione, è possibile
che il file possa essere stato eliminato nel corso del processo. In questo caso, OfficeScan
copia il file di backup nella cartella che contiene il file originale.
OfficeScan consente di definire le eccezioni. OfficeScan consente sempre la trasmissione
dei dati su o tra i dispositivi di archiviazione rimovibili. Identificare i dispositivi in base ai
fornitori e, facoltativamente, specificare l'ID di serie e il modello dei dispositivi.
Suggerimento
Utilizzare lo Strumento elenco dispositivi per verificare i dispositivi connessi agli
dispositivo. Lo strumento fornisce il fornitore, il modello e l'ID di serie per ciascun
dispositivo. Per i dettagli, consultare Strumento elenco dispositivi a pagina 9-14.
Software di sincronizzazione (ActiveSync)
OfficeScan controlla i dati trasmessi a un dispositivo portatile attraverso il software di
sincronizzazione.
Per un elenco dei software di sincronizzazione supportati, consultare gli elenchi di
protezione dati su:
Se i dati hanno un indirizzo IP di origine di 127.0.0.1 e vengono inviati attraverso la
porta 990 o 5678 (le porte usate per la sincronizzazione), OfficeScan controlla se i dati
sono identificatori di dati prima di autorizzarne o bloccarne la trasmissione.
Se OfficeScan blocca un file trasmesso sulla porta 990, potrebbe comunque essere
creato un file con lo stesso nome contenente caratteri in formato non corretto nella
cartella di destinazione sul dispositivo portatile. Questo è perché parti del file sono state
copiate sul dispositivo prima che OfficeScan bloccasse la trasmissione.
Appunti di Windows
OfficeScan controlla i dati da trasmettere agli appunti di Windows prima di consentirne
o bloccarne la trasmissione.
OfficeScan può anche controllare le attività degli appunti tra l'host e VMWare o desktop
remoto. Il monitoraggio avviene sull'entità con l'Agente OfficeScan. L'Agente
10-38
Utilizzo di Prevenzione perdita di dati
OfficeScan su una macchina virtuale VMware, ad esempio, può impedire la trasmissione
dei dati degli appunti della macchina virtuale al computer host. Allo stesso modo, un
computer host con l'Agente OfficeScan non può copiare i dati degli appunti su un
dispositivo a cui si accede da desktop remoto.
Azioni di Prevenzione perdita di dati
Quando Prevenzione perdita di dati rileva la trasmissione di identificatori di dati,
controlla il criterio DLP per gli identificatori di dati rilevati ed esegue l'azione
configurata per il criterio.
Nella tabella riportata è riportato un elenco delle azioni di Prevenzione perdita di dati.
TABELLA 10-5. Azioni di Prevenzione perdita di dati
AZIONE
DESCRIZIONE
Azioni
Ignora
Prevenzione perdita di dati consente e registra la
trasmissione.
Blocca
Prevenzione perdita di dati blocca e registra la
trasmissione.
Ulteriori azioni
Notifica all'utente dell'agente
Prevenzione perdita di dati visualizza un messaggio di
notifica per informare l'utente della trasmissione di dati e
se tale operazione è stata bloccata o consentita.
Registra dati
Indipendentemente dall'azione primaria, Prevenzione
perdita di dati registra le informazioni sensibili nella
<Cartella di installazione del client>\DLPLite\Forensic. Selezionare
questa azione per valutare le informazioni sensibili da
contrassegnate da Prevenzione perdita di dati.
Le informazioni sensibili registrate possono utilizzare
troppo spazio su disco. Quindi, Trend Micro consiglia
vivamente di scegliere questa opzione solo per
informazioni particolarmente sensibili.
10-39
AZIONE
DESCRIZIONE
Crittografa i canali supportati
Se Trend Micro Endpoint Encryption è installato insieme
utilizzando la chiave o la
all'agente OfficeScan, Prevenzione perdita di dati è in
password specificata
grado di crittografare automaticamente i file prima di
(disponibile solo se Endpoint
consentire all'utente di spostarli in un'altra posizione. Se
Encryption è installato)
Endpoint Encryption non è installato, Prevenzione perdita
di dati esegue l'azione Blocca sui file.
Nota
Scegliere una delle seguenti chiavi di crittografia o una
password fissa:
Questa opzione è
disponibile solo per i
•
Chiave utente: questa chiave, denominata anche
canali dei servizi dei
Chiave locale, è univoca per ciascun utente e
dispositivi di
consente l'accesso al file crittografato solo all'utente
archiviazione
che l'ha creato.
rimovibili e della cloud
•
Chiave condivisa: questa chiave fa riferimento alla
storage, nonché
Chiave di gruppo o alla Chiave aziendale e
quando viene
selezionata l'azione
l'amministratore di Endpoint Encryption configura il
Ignora.
tipo mediante PolicyServer MMC.
•
Password fissa: gli utenti specificano manualmente
una password fissa attraverso una richiesta sullo
schermo. Endpoint Encryption crea un pacchetto
autoestraente a cui gli utenti possono accedere su
qualsiasi dispositivo dopo aver fornito la password di
decrittografia.
Importante
•
Per poter crittografare i dati, è necessario che
il dispositivo di destinazione abbia Endpoint
Encryption installato e che l'utente vi abbia
eseguito l'accesso.
•
I file crittografati contenuti in dispositivi USB
sono soggetti alla scansione Prevenzione
perdita di dati quando gli utenti provano a
descrittografarli. La decrittografia di file
contenenti dati sensibili in un dispositivo USB
attiva il protocollo di crittografia USB, con la
conseguenza che il sistema richiede che i dati
sensibili vengano nuovamente crittografati. Per
evitare che OfficeScan tenti di crittografare di
nuovo i dati, spostare i file crittografati in
un'unità locale prima di provare ad accedere ai
dati.
10-40
•
Prevenzione perdita di dati bocca i tentativi di
caricamento dei file nella cloud storage
quando viene utilizzato un client Web.
Crittografare i file manualmente prima di
caricarli mediante un client Web.
Utilizzo di Prevenzione perdita di dati
AZIONE
DESCRIZIONE
Giustificazione utente
Prevenzione perdita di dati chiede conferma all'utente
prima di eseguire l'azione “Blocca”. L'utente può scegliere
di sovrascrivere l'azione “Blocca” fornendo una
Nota
spiegazione del perché sia sicuro ignorare i dati sensibili.
Questa opzione è
Le giustificazioni disponibili sono le seguenti:
disponibile solo dopo
•
Si tratta di un processo aziendale definito.
aver selezionato
l'azione Blocca.
•
Il responsabile ha approvato il trasferimento dei
dati.
•
I dati di questo file non sono riservati.
•
Altro: Gli utenti forniscono una spiegazione
alternativa nel campo del testo disponibile.
Eccezioni di Prevenzione perdita di dati
Le eccezioni DLP si applicano all'intero criterio, incluse tutte le regole definite all'interno
del criterio. Prevenzione perdita di dati applica le impostazioni delle eccezioni a tutte le
trasmissioni prima della scansione delle risorse digitali. Se una trasmissione corrisponde
a una delle regole di eccezione, Prevenzione perdita di dati consente immediatamente la
trasmissione o la scansione, in base al tipo di eccezione.
Definizione di destinazioni non monitorate e monitorate
Definire le destinazioni non monitorate e monitorate in base all'ambito di trasmissione
nella scheda Canale. Per ulteriori informazioni su come definire le destinazioni non
monitorate e monitorate per Tutte le trasmissioni, vedere Ambito trasmissione: Tutte le
trasmissioni a pagina 10-29. Per ulteriori informazioni su come definire le destinazioni non
monitorate e monitorate per Solo trasmissioni esterne alla LAN (Local Area
Network), vedere Ambito trasmissione: Solo trasmissioni esterne alla LAN (Local Area
Network) a pagina 10-31.
Seguire queste istruzioni quando si definiscono le destinazioni monitorate e non
monitorate:
1.
Definire ciascuna destinazione secondo:
10-41
•
Indirizzo IP
•
Nome host
•
FQDN
•
Indirizzo di rete e subnet mask, ad esempio 10.1.1.1/32
Nota
Per la subnet mask, Prevenzione perdita di dati supporta solo una porta di tipo CIDR
(Classless Inter-Domain Routing). Questo significa che si dovrà immettere
semplicemente un numero come 32 invece di 255.255.255.0.
2.
Per utilizzare come destinazione canali specifici, includere i numeri di porta
predefiniti o i numeri di porta definiti dall'azienda per tali canali. Ad esempio, la
porta 21 in genere è riservata al traffico FTP, la porta 80 al traffico HTTP e la
porta 443 al traffico HTTPS. Utilizzare i due punti per separare la destinazione dai
numeri di porta.
3.
È possibile includere anche intervalli di porte. Per includere tutte le porte, ignorare
l'intervallo di porte.
Di seguito sono riportati alcuni esempi di destinazioni con numeri di porta e
intervalli di porte:
•
10.1.1.1:80
•
host:5-20
•
host.domain.com:20
•
10.1.1.1/32:20
4.
Separare le destinazioni con delle virgole.
Regole di decompressione
I file inclusi all'interno di file compressi possono essere sottoposti a scansione per
individuare risorse digitali. Per determinare i file da sottoporre a scansione, Prevenzione
perdita di dati applica le seguenti regole a un file compresso:
10-42
Utilizzo di Prevenzione perdita di dati
•
Le dimensioni del file decompresso superano: __ MB (1-512 MB)
•
I livelli di compressione superano: __ (1-20)
•
Il numero di file da analizzare supera: __ (1-2000)
Regola 1: Dimensioni massime di un file decompresso
Un file compresso, una volta decompresso, deve soddisfare il limite specificato.
Esempio: il limite è impostato a 20 MB.
Scenario 1: se le dimensioni di archive.zip dopo la decompressione sono di 30 MB,
nessuno dei file di archive.zip viene sottoposto a scansione. Le altre due regole non
vengono verificate.
Scenario 2: se le dimensioni di my_archive.zip dopo la decompressione sono di 10 MB:
•
Se my_archive.zip non contiene file compressi, OfficeScan ignora la Regola 2 e
procede con la Regola 3.
•
Se my_archive.zip contiene file compressi, le dimensioni di tutti i file decompressi
devono essere entro il limite. Ad esempio, se my_archive.zip contiene AAA.rar,
BBB.zip e EEE.zip, e EEE.zip contiene 222.zip:
my_archive.zip
= 10 MB dopo la decompressione
\AAA.rar
= 25 MB dopo la decompressione
\BBB.zip
= 3 MB dopo la decompressione
\EEE.zip
= 1 MB dopo la decompressione
\222.zip
= 2 MB dopo la decompressione
my_archive.zip, BBB.zip, EEE.zip e 222.zip vengono verificati in base alla Regola 2
perché le dimensioni combinate di questi file sono entro il limite di 20 MB. AAA.rar
viene ignorato.
Regola 2: Numero massimo di livelli di compressione
I file compresi nel numero specificato di livelli vengono contrassegnati per la scansione.
10-43
Ad esempio:
my_archive.zip
\BBB.zip
\CCC.xls
\DDD.txt
\EEE.zip
\111.pdf
\222.zip
\333.txt
Se il limite è impostato su due livelli:
•
OfficeScan ignora 333.txt perchè si trova al terzo livello.
•
OfficeScan contrassegna i seguenti file per la scansione e verifica la Regola 3:
•
DDD.txt (nel primo livello)
•
CCC.xls (nel secondo livello)
•
111.pdf (nel secondo livello)
Regola 3: Numero massimo di file da sottoporre a scansione
OfficeScan esegue la scansione dei file fino al limite specificato.OfficeScan esegue la
scansione di file e cartelle prima in ordine numerico e poi alfabetico.
Continuando l'esempio della Regola 2, OfficeScan ha contrassegnato i file evidenziati
per la scansione:
my_archive.zip
\BBB.zip
\CCC.xls
\DDD.txt
\EEE.zip
\111.pdf
\222.zip
\333.txt
10-44
Utilizzo di Prevenzione perdita di dati
Inoltre, my_archive.zip contiene una cartella denominata 7Folder, che non viene
controllata in base alla Regola 2. Questa cartella contiene FFF.doc e GGG.ppt. In tal
modo, il numero totale di file da anlizzare diventa 5, come indicato di seguito:
my_archive.zip
\7Folder
\FFF.doc
\7Folder
\GGG.ppt
\BBB.zip
\CCC.xls
\DDD.txt
\EEE.zip
\111.pdf
\222.zip
\333.txt
Se il limite è stato impostato a 4 file, viene eseguita la scansione dei seguenti file:
•
FFF.doc
•
GGG.ppt
•
CCC.xls
•
DDD.txt
Nota
Se i file contengono file incorporati, OfficeScan estrae il contenuto dei file incorporati.
Se il contenuto estratto è testo, il file che lo contiene (ad esempio, 123.doc) e i file
incorporati (ad esempio, abc.txt e xyz.xls) vengono contati come un solo file.
Se il contenuto estratto non è testo, il file che lo contiene (ad esempio, 123.doc) e i file
incorporati (ad esempio, abc.exe) vengono contati come file separati.
Eventi che innescano le regole di decompressione
I seguenti eventi innescano le regole di decompressione:
10-45
TABELLA 10-6. Eventi che innescano le regole di decompressione
Un file compresso che deve essere
Ad esempio, per monitorare i file .ZIP
trasmesso corrisponde a un criterio e
trasmessi dagli utenti, è stato definito un
l'azione per il file compresso è Ignora
attributo di file (.ZIP) e aggiunto a un
(trasmetti il file).
modello, quindi il modello è stato usato in
un criterio e l'azione è stata impostata su
Ignora.
Nota
Se l'azione è Blocca, l'intero file
compresso non viene trasmesso e,
quindi, non è necessario eseguire la
scansione dei file che questo
contiene.
Un file compresso che deve essere
In questo caso, OfficeScan applica
trasmesso non corrisponde a un criterio.
comunque le regole di decompressione al
file compresso per determinare quali file in
esso contenuti devono essere sottoposti a
scansione per verificare la presenza di
risorse digitali e stabilire se l'intero file
compresso deve essere trasmesso o
meno.
Entrambi gli eventi hanno gli stessi risultati. Quando OfficeScan rileva un file
compresso:
•
Se la Regola 1 non viene soddisfatta, OfficeScan consente la trasmissione
dell'intero file compresso.
•
Se la Regola 1 viene soddisfatta, viene eseguita la verifica per le altre due regole.
OfficeScan consente la trasmissione dell'intero file compresso se:
•
Tutti i file sottoposti a scansione non corrispondono a un criterio.
•
Tutti i file sottoposti a scansione corrispondono a un criterio e l'azione
Ignora.
10-46
Utilizzo di Prevenzione perdita di dati
La trasmissione dell'intero file compresso viene bloccata se almeno uno dei
file sottoposti a scansione corrisponde a un criterio e l'azione è Blocca.
Configurazione dei criteri Prevenzione perdita
di dati
È possibile iniziare a creare criteri di Prevenzione perdita di dati dopo aver configurato
gli identificatori di dati e averli organizzati in modelli.
Oltre agli identificatori di dati e ai modelli, quando si crea un criterio, è necessario
configurare canali e azioni. Per ulteriori informazioni sui criteri, vedere Criteri di
Prevenzione perdita di dati a pagina 10-3.
Creazione di un criterio di Prevenzione perdita di dati
Procedura
1.
Accedere a Agenti > Gestione agente.
2.
Nella struttura dell'agente, fare clic sull'icona del dominio principale (root) (
) per
includere tutti gli agenti oppure selezionare domini o agenti specifici.
3.
Fare clic su Impostazioni > Impostazioni DLP.
4.
Fare clic sulla scheda Agenti esterni per configurare un criterio per gli agenti
esterni oppure sulla scheda Agenti interni per configurare un criterio per gli agenti
interni.
Nota
Se ancora non sono state configurate, configurare le impostazioni della posizione
dell'agente. Gli agenti utilizzano tali impostazioni per determinare il corretto criterio
di Prevenzione perdita di dati da applicare. Per i dettagli, consultare Posizione dispositivo
a pagina 14-2.
5.
Selezionare Attiva Prevenzione perdita di dati.
10-47
6.
Scegliere una delle seguenti opzioni:
•
Nella scheda Agenti esterni, è possibile applicare tutte le impostazioni di
Prevenzione perdita di dati agli agenti interni selezionando Applica tutte le
impostazioni agli agenti interni.
•
Nella scheda Agenti interni, è possibile applicare tutte le impostazioni di
Prevenzione perdita di dati agli agenti esterni selezionando Applica tutte le
impostazioni agli agenti esterni.
7.
Nella scheda Regole, fare clic su Aggiungi.
Un criterio può contenere un massimo di 40 regole.
8.
Configurare le impostazioni delle regole.
Per maggiori dettagli sulla creazione delle regole DLP, vedere Creazione di regole di
Prevenzione perdita di dati a pagina 10-49.
9.
Fare clic sulla scheda Eccezioni e configurare eventuali impostazioni di eccezione
necessarie.
Per ulteriori informazioni sulle impostazioni di eccezione disponibili, vedere
Eccezioni di Prevenzione perdita di dati a pagina 10-41.
10.
Se sono stati selezionati domini o agenti nella struttura agente, fare clic su Salva. Se
è stata selezionata l'icona del dominio principale, scegliere una delle opzioni
riportate di seguito:
•
Applica a tutti gli agenti: applica le impostazioni a tutti gli agenti esistenti e
a qualsiasi nuovo agente aggiunto a un dominio corrente o futuro. I domini
futuri sono i domini non ancora creati al momento della configurazione delle
impostazioni.
•
Applica soltanto ai domini futuri: applica le impostazioni solo agli agenti
aggiunti ai domini futuri. Questa opzione non applica le impostazioni ai nuovi
agenti aggiunti a un dominio esistente.
10-48
Utilizzo di Prevenzione perdita di dati
Creazione di regole di Prevenzione perdita di dati
Nota
Modelli e regole dei processi di Prevenzione perdita di dati in base alla priorità. Se una
regola è impostata su “Ignora”, Prevenzione perdita di dati elabora la regola successiva
dell'elenco. Se una regola è impostata su “Blocca” o su “Giustificazione utente”,
Prevenzione perdita di dati blocca o accetta l'operazione dell'utente e non elabora
ulteriormente tale regola/modello.
Procedura
1.
Selezionare Attiva questa regola.
2.
Specificare un nome per la regola.
Configurare le impostazioni dei modelli:
3.
Fare clic sulla scheda Modello.
4.
Selezionare i modelli dall'elenco Modelli disponibili, quindi fare clic su Aggiungi.
Quando si selezionano i modelli:
•
Selezionare più voci facendo clic sui nomi dei modelli che evidenziano il
nome.
•
Usare la funzione di ricerca se si pensa a un modello specifico. È possibile
digitare il nome del modello per intero o parziale.
Nota
Ogni regola può comprendere un massimo di 200 modelli.
5.
Se il modello che si preferisce utilizzare non si trova nell'elenco Modelli
disponibili:
a.
Fare clic su Aggiungi nuovo modello.
Viene visualizzata la schermata Modelli di Prevenzione perdita di dati.
10-49
Per istruzioni su come aggiungere i modelli nella schermata Modelli di
Prevenzione dati, vedere Modelli di Prevenzione perdita di dati a pagina 10-20.
b. Dopo aver creato il modello, selezionarlo e fare clic su Aggiungi.
Nota
OfficeScan utilizza la prima regola corrispondente quando verifica i modelli. Questo
significa che se un file o dei dati corrispondono alla definizione di un modello,
OfficeScan non esegue la verifica in altri modelli. La priorità è data dall'ordine dei
modelli nell'elenco.
Configurare le impostazioni dei canali:
6.
Fare clic sulla scheda Canale.
7.
Selezionare i canali per la regola.
Per ulteriori informazioni sui canali, vedere Canali di rete a pagina 10-25 e Canali di
applicazioni e sistemi a pagina 10-32.
8.
Se sono stati selezionati dei canali di rete, selezionare l'ambito di trasmissione:
•
Tutte le trasmissioni
•
Solo trasmissioni esterne alla LAN (Local Area Network)
Vedere Ambito e destinazioni della trasmissione per i canali di rete a pagina 10-29 per
maggiori dettagli sull'ambito della trasmissione, sul modo in cui le destinazioni
dipendono dall'ambito della trasmissione e su come definire le destinazioni
correttamente.
9.
Se si seleziona Client di posta elettronica:
a.
Fare clic su Eccezioni.
b. Specificare domini di posta elettronica interni monitorati e non monitorati.
Per maggiori dettagli sui domini di posta elettronica monitorati e non
monitorati, vedere Client di posta elettronica a pagina 10-25.
10.
Se si seleziona Dispositivi di archiviazione rimovibili:
a.
Fare clic su Eccezioni.
10-50
Utilizzo di Prevenzione perdita di dati
b. Aggiungere dispositivi di archiviazione rimovibili non monitorati e identificarli
in base al fornitore. L'ID di serie e il modello and serial ID sono facoltativi.
L'elenco Approvati per i dispositivi USB supporta l'uso dell'asterisco (*) come
carattere jolly. Sostituire qualsiasi campo con l'asterisco (*) per includere tutti i
dispositivi che soddisfano gli altri campi.
Ad esempio, [fornitore]-[modello]-* inserisce tutti i dispositivi USB del
fornitore e modello specificati, indipendentemente dall'ID di serie, nell'elenco
approvati.
c.
Per aggiungere altri dispositivi, fare clic sull'icona (+).
Suggerimento
Utilizzare lo Strumento elenco dispositivi per verificare i dispositivi connessi agli
dispositivo. Lo strumento fornisce il fornitore, il modello e l'ID di serie per ciascun
dispositivo. Per i dettagli, consultare Strumento elenco dispositivi a pagina 9-14.
Configurare le impostazioni delle azioni:
11. Fare clic sulla scheda Operazione.
12. Selezionare un'azione primaria ed eventuali azioni aggiuntive.
Per ulteriori informazioni sulle azioni, vedere Azioni di Prevenzione perdita di dati a
pagina 10-39.
Nota
Prevenzione perdita di dati supporta solo la crittografia dei dati sensibili su dispositivi
rimovibili e cloud storage services. Prevenzione perdita di dati esegue l'azione
“Ignora” senza crittografia su tutti i canali in cui la crittografia non è supportata. Per
poter crittografare i dati, è necessario che il dispositivo di destinazione abbia
Endpoint Encryption installato e che l'utente vi abbia eseguito l'accesso.
13. Dopo aver configurato le impostazioni Modello, Canale e Azione, fare clic su
Salva.
10-51
Importazione, esportazione e copia delle regole DLP
Gli amministratori possono importare le regole precedentemente definite, contenute in
un file .dat adeguatamente formattato, o esportare l'elenco delle regole DLP configurate.
Con la copia di una regola DLP, l'amministratore può modificare i contenuti di una
regola precedentemente definita per risparmiare tempo.
La seguente tabella descrive in che modo opera una funzione.
TABELLA 10-7. Funzioni di importazione, esportazione e copia per le regole DLP
FUNZIONE
DESCRIZIONE
Importa
L'importazione di un elenco di regole aggiunge regole non esistenti
all'elenco di regole DLP esistenti. Prevenzione perdita di dati ignora le
regole che esistono già nell'elenco di destinazione. Prevenzione perdita
di dati gestisce tutte le impostazioni preconfigurate per ciascuna regola,
incluso lo stato di attivato o disattivato.
Esporta
Con l'esportazione di un elenco di regole si ottiene l'elenco completo in
un file .dat che gli amministratori possono importare e implementare in
altri domini o agenti. Prevenzione perdita di dati salva tutte le
impostazioni delle regole sulla base della configurazione corrente.
Nota
•
Gli amministratori devono salvare o applicare eventuali
regole nuove o modificate prima di esportare l'elenco.
•
Prevenzione perdita di dati non esporta nessuna eccezione
configurata per il criterio ma solo le impostazioni configurate
per ciascuna regola.
Copia
Con la copia di una regola viene creata una replica esatta delle
impostazioni di configurazione correnti per la regola. Gli amministratori
devono digitare un nuovo nome per la regola e possono effettuare
modifiche di configurazione necessarie per la nuova regola.
10-52
Utilizzo di Prevenzione perdita di dati
Notifiche di Prevenzione perdita di dati
OfficeScan viene fornito con una serie di messaggi di notifica predefiniti per informare
gli amministratori di OfficeScan e gli utenti dell'agente sulle trasmissioni di risorse
digitali.
Per ulteriori informazioni sulle notifiche inviate agli amministratori, vedere Notifiche di
Prevenzione perdita di dati per gli amministratori a pagina 10-53.
Per ulteriori informazioni sulle notifiche inviate agli utenti dell'agente, consultare
Notifiche di Prevenzione perdita di dati per gli utenti dell'agente a pagina 10-56.
Notifiche di Prevenzione perdita di dati per gli
amministratori
Configurare OfficeScan in modo da inviare agli amministratori un messaggio di notifica
quando viene rilevata la trasmissione di risorse digitali o quando la trasmissione viene
bloccata.
OfficeScan viene fornito con una serie di messaggi di notifica predefiniti per informare
gli amministratori sulle trasmissioni di risorse digitali. È possibile modificare i messaggi
di notifica e configurare impostazioni aggiuntive in base alle esigenze aziendali.
Nota
OfficeScan è in grado di inviare notifiche tramite e-mail, trap SNMP e Registro Eventi di
Windows NT. Configurare le impostazioni quando OfficeScan invia i messaggi di notifica
attraverso tali canali. Per i dettagli, consultare Impostazioni notifica amministratore a pagina
13-35.
Configurazione delle notifiche di Prevenzione perdita di dati
per gli amministratori
Procedura
1.
Accedere a Amministrazione > Notifiche > Amministratore.
10-53
2.
Sulla scheda Criteri:
a.
Fare clic sulla sezione Trasmissioni di risorse digitali.
b. Specificare se inviare le notifiche per il rilevamento della trasmissione delle
risorse digitali o solo quando la trasmissione è bloccata.
3.
Sulla scheda E-mail:
a.
Fare clic sulla sezione Trasmissioni di risorse digitali.
b.
Selezionare Attiva notifica mediante e-mail.
c.
Selezionare Invia notifiche agli utenti con autorizzazioni per i domini
della struttura agente.
Utilizzare il Role-based Administration (RBA) per concedere agli utenti
autorizzazioni per il dominio della struttura agente. Se la trasmissione avviene
in un agente appartenente a un dominio specifico, il messaggio e-mail viene
inviato all'indirizzo e-mail degli utenti con autorizzazioni per il dominio. La
tabella seguente illustra alcuni esempi:
TABELLA 10-8. Autorizzazioni e domini della struttura agente
RUOLI CON
INDIRIZZO E-MAIL
DOMINIO DELLA
ACCOUNT
UTENTE
AUTORIZZAZIONI
DELL'ACCOUNT
STRUTTURA AGENTE
CON IL RUOLO
PER IL DOMINIO
UTENTE
Dominio A
Amministratore
root
mary@xyz.com
(integrato)
Role_01
admin_john
john@xyz.com
admin_chris
chris@xyz.com
Dominio B
Amministratore
root
mary@xyz.com
(integrato)
Role_02
admin_jane
jane@xyz.com
Se qualsiasi Agente OfficeScan appartenente al Dominio A rileva una
trasmissione di risorse digitali, il messaggio e-mail viene inviato a
mary@xyz.com, john@xyz.com e chris@xyz.com.
10-54
Utilizzo di Prevenzione perdita di dati
Se qualsiasi Agente OfficeScan appartenente al Dominio B rileva la
trasmissione, il messaggio e-mail viene inviato a mary@xyz.com e
jane@xyz.com.
Nota
Quando si attiva questa opzione, tutti gli utenti con autorizzazioni per il
dominio devono avere un indirizzo e-mail corrispondente. Il messaggio e-mail
di notifica non sarà inviato agli utenti senza un indirizzo e-mail. Gli utenti e gli
indirizzi e-mail sono configurati da Amministrazione > Gestione account >
Account utente.
d.
Selezionare Invia notifiche ai seguenti indirizzi e-mail e immettere gli
indirizzi e-mail.
e.
Accettare o modificare il contenuto e l'oggetto predefiniti del messaggio.
Usare solo variabili token per rappresentare i dati nei campi Oggetto e
Messaggio.
TABELLA 10-9. Variabili token per le notifiche di Prevenzione perdita di dati
VARIABILE
DESCRIZIONE
%USER%
L'utente che accede al dispositivo quando la
trasmissione viene rilevata
%COMPUTER%
Dispositivo in cui è stata rilevata la trasmissione
%DOMAIN%
Dominio del dispositivo
%DATETIME%
Data e ora di rilevamento della trasmissione
%CHANNEL%
Il canale attraverso il quale viene rilevata la trasmissione
%TEMPLATE%
Il modello di risorse digitali che ha avviato il rilevamento
%RULE%
Il nome della regola che ha attivato l'incidente.
4.
Sulla scheda Trap SNMP:
a.
Fare clic sulla sezione Trasmissioni di risorse digitali.
b. Selezionare Attiva notifica mediante trap SNMP.
10-55
c.
Accettare o modificare il messaggio predefinito. Utilizzare variabili token per
rappresentare i dati nel campo Messaggio. Consultare Tabella 10-9: Variabili
token per le notifiche di Prevenzione perdita di dati a pagina 10-55 per ulteriori
dettagli.
5.
Sulla scheda Registro eventi NT:
a.
Fare clic sulla sezione Trasmissioni di risorse digitali.
b. Selezionare Attiva notifica mediante registro eventi NT.
c.
Accettare o modificare il messaggio predefinito. È possibile utilizzare solo
variabili token per rappresentare i dati nel campo Messaggio. Consultare
Tabella 10-9: Variabili token per le notifiche di Prevenzione perdita di dati a pagina
10-55 per ulteriori dettagli.
6.
Fare clic su Salva.
Notifiche di Prevenzione perdita di dati per gli utenti
dell'agente
OfficeScan è in grado di visualizzare i messaggi di notifica sui computer agente
immediatamente dopo aver consentito o bloccato la trasmissione delle risorse digitali.
Per notificare agli utenti che la trasmissione di una risorsa digitale è stata bloccata o
consentita, selezionare l'opzione Notifica all'utenteagente quando si crea un criterio di
Prevenzione perdita di dati. Per istruzioni sulla creazione di criteri, vedere Configurazione
dei criteri Prevenzione perdita di dati a pagina 10-47.
Configurazione delle notifiche di Prevenzione perdita di dati
per gli agenti
Procedura
1.
Accedere a Amministrazione > Notifiche > Agente.
2.
Dal menu a discesa Tipo, selezionare Trasmissioni di risorse digitali
10-56
Utilizzo di Prevenzione perdita di dati
3.
Accettare o modificare il messaggio predefinito.
4.
Fare clic su Salva.
Registri di Prevenzione perdita di dati
Gli agenti registrano le trasmissioni (bloccate e consentite) delle risorse digitali e inviano
immediatamente i registri al server. Se l'agente non è in grado di inviare i registri, riprova
dopo 5 minuti.
Per evitare che le dimensioni dei registri occupino troppo spazio nel disco rigido,
eliminare i registri manualmente oppure configurare una pianificazione per eliminarli.
Per ulteriori informazioni sulla gestione dei registri, vedere Gestione dei registri a pagina
13-38.
Visualizzazione dei registri di Prevenzione perdita di dati
Procedura
1.
Accedere a Agenti > Gestione agente o Registri > Agenti > Rischi per la
sicurezza.
2.
Nella struttura dell'agente, fare clic sull'icona del dominio principale (root) (
) per
includere tutti gli agenti oppure selezionare domini o agenti specifici.
3.
Fare clic su Registri > Registri di Prevenzione perdita di dati o su Visualizza
registri > Registri DLP.
4.
Specificare i parametri del registro e fare clic su Visualizza registri.
5.
Visualizzare i registri.
I registri contengono le seguenti informazioni:
10-57
TABELLA 10-10. Informazioni del registro Prevenzione perdita di dati
COLONNA
DESCRIZIONE
Data/Ora
La data e l'ora in cui Prevenzione perdita di dati ha registrato
l'incidente
Utente
Il nome utente che ha effettuato l'accesso al dispositivo
Dispositivo
Il nome del dispositivo in cui Prevenzione perdita di dati ha
rilevato la trasmissione
Dominio
Il dominio del dispositivo
IP
L'indirizzo IP del dispositivo
Nome regola
I nomi delle regole che hanno generato l'incidente.
Nota
I criteri creati in una versione precedente di OfficeScan
visualizzano come nome predefinito
LEGACY_DLP_Policy.
Canale
Il canale attraverso il quale si è verificata la trasmissione
Processo
Il processo che ha facilitato la trasmissione di una risorsa
digitale (il processo dipende dal canale)
Per i dettagli, consultare Processi per canale a pagina
10-59.
Origine
L'origine del file contenente la risorsa digitale o il canale (se
non è presente alcuna risorsa disponibile)
Destinazione
La destinazione designata del file contenente la risorsa
digitale o il canale (se non è disponibile alcuna risorsa )
Azione
L'azione eseguita sulla trasmissione
Dettagli
Un collegamento che include ulteriori informazioni sulla
trasmissione
Per i dettagli, consultare Dettagli del registro per Prevenzione
della perdita di dati a pagina 10-61.
10-58
Utilizzo di Prevenzione perdita di dati
6.
Per salvare i registri in un file CSV (comma-separated value), fare clic su Esporta in
CSV. Aprire il file o salvarlo in una posizione specifica.
Processi per canale
La tabella seguente contiene un elenco dei processi che vengono visualizzati nella
colonna Processo dei registri di Prevenzione perdita di dati.
TABELLA 10-11. Processi per canale
CANALE
PROCESSO
Software di
Il percorso completo e il nome del processo del software di
sincronizzazione
sincronizzazione.
(ActiveSync)
Esempio:
C:\Windows\system32\WUDFHost.exe
Supporto di
Percorso completo e nome di processo del supporto di
registrazione dati
registrazione dati
(CD/DVD)
Esempio:
C:\Windows\Explorer.exe
Appunti di
Non pertinente
Windows
Client di posta
Percorso completo e nome di processo di Lotus Notes
elettronica - Lotus
Esempio:
Notes
C:\Program Files\IBM\Lotus\Notes\nlnotes.exe
Client di posta
Percorso completo e nome di processo di Microsoft Outlook
elettronica -
Esempio:
Microsoft Outlook
C:\Programmi\Microsoft Office\Office12\OUTLOOK.EXE
10-59
CANALE
PROCESSO
Client di posta
Percorso completo e nome di processo del client di posta
elettronica - Tutti i
elettronica
client che usano il
Esempio:
protocollo SMTP
C:\Programmi\Mozilla Thunderbird\thunderbird.exe
Dispositivi di
Nome di processo dell'applicazione che ha trasmesso i dati al
archiviazione
dispositivo di archiviazione oppure all'interno dello stesso
rimovibili
Esempio:
explorer.exe
FTP
Percorso completo e nome di processo del client FTP
Esempio:
D:\Programmi\FileZilla FTP Client\filezilla.exe
HTTP
"Applicazione HTTP"
HTTPS
Percorso completo e nome di processo del browser o
dell'applicazione
Esempio:
C:\Programmi\Internet Explorer\iexplore.exe
Applicazione IM
Percorso completo e nome di processo dell'applicazione di
messaggistica istantanea
Esempio:
C:\Program Files\Skype\Phone\Skype.exe
Applicazione di
•
Percorso completo e nome di processo di MSN
messaggistica
Esempio:
istantanea - MSN
C:\Programmi\Windows Live\Messenger\ msnmsgr.exe
•
"Applicazione HTTP" se i dati sono trasmessi da una finestra
di chat
10-60
Utilizzo di Prevenzione perdita di dati
CANALE
PROCESSO
Applicazione peer-
Percorso completo e nome di processo dell'applicazione peer-to-
to-peer
peer
Esempio:
D:\Program Files\BitTorrent\bittorrent.exe
Crittografia PGP
Percorso completo e nome di processo del software di crittografia
PGP
Esempio:
C:\Programmi\PGP Corporation\PGP Desktop\ PGPmnApp.exe
Stampante
Percorso completo e nome di processo dell'applicazione che ha
avviato un'operazione della stampante
Esempio:
C:\Programmi\Microsoft Office\Office12\ WINWORD.EXE
Protocollo SMB
Percorso completo e nome di processo dell'applicazione da cui è
stato effettuato l'accesso ai file condivisi (copia o creazione di un
nuovo file)
Esempio:
C:\Windows\Explorer.exe
Webmail (modalità
"Applicazione HTTP"
HTTP)
Webmail (modalità
Percorso completo e nome di processo del browser o
HTTPS)
dell'applicazione
Esempio:
C:\Programmi\Mozilla Firefox\firefox.exe
Dettagli del registro per Prevenzione della perdita di dati
La schermata dei dettagli Registri di Prevenzione perdita di dati visualizza dati
aggiuntivi sulla trasmissione della risorsa digitale. I dati di una trasmissione variano in
base al canale e al processo attraverso il quale OfficeScan ha rilevato l'incidente.
10-61
Nella seguente tabella sono riporta i dati che vengono visualizzati.
TABELLA 10-12. Dettagli del registro per Prevenzione della perdita di dati
DETTAGLI
DESCRIZIONE
Data/Ora
La data e l'ora in cui Prevenzione perdita di dati ha registrato
l'incidente
ID violazione
L'ID univoco dell'incidente
Utente
Il nome utente che ha effettuato l'accesso al dispositivo
Dispositivo
Il nome del dispositivo in cui Prevenzione perdita di dati ha
rilevato la trasmissione
Dominio
Il dominio del dispositivo
IP
L'indirizzo IP del dispositivo
Canale
Il canale attraverso il quale si è verificata la trasmissione
Processo
Il processo che ha facilitato la trasmissione di una risorsa digitale
(il processo dipende dal canale)
Per i dettagli, consultare Processi per canale a pagina 10-59.
Origine
L'origine del file contenente la risorsa digitale o il canale (se non è
presente alcuna risorsa disponibile)
Mittente e-mail
L'indirizzo e-mail dal quale la trasmissione proviene
Oggetto e-mail
La riga dell'oggetto del messaggio e-mail contenente la risorsa
digitale
Destinatario e-mail
Gli indirizzi e-mail di destinazione del messaggio e-mail
URL
L'URL di un sito Web o di una pagina Web
Utente FTP
Il nome utente usato per accedere al server FTP
Classe file
Il tipo di file nel quale Prevenzione perdita di dati ha rilevato la
risorsa digitale
10-62
Utilizzo di Prevenzione perdita di dati
DETTAGLI
DESCRIZIONE
Regola/Modello
Un elenco di nomi di regole e modelli esatti che hanno attivato il
rilevamento
Nota
Ciascuna regola contiene modelli multipli che hanno
generato l'incidente. I nomi dei modelli multipli sono
separati dalle virgole.
Azione
L'azione eseguita sulla trasmissione
Motivo
Il motivo fornito dall'utente per il trasferimento continuo di dati
giustificazione
sensibili
utente
Attivazione del registro di debug per il modulo Protezione
dati
Procedura
1.
Richiedere il file logger.cfg all'assistenza tecnica.
2.
Aggiungere i seguenti dati in HKEY_LOCAL_MACHINE\SOFTWARE\TrendMicro
\PC-cillinNTCorp\DlpLite (per i sistemi a 32 bit) o HKEY_LOCAL_MACHINE
\SOFTWARE\Wow6432Node\TrendMicro\PC-cillinNTCorp\DlpLite (per
i sistemi a 64 bit):
•
Tipo: stringa
•
Nome: debugcfg
•
Valore: C:\Log\logger.cfg
3.
Creare una cartella denominata “Log” nella directory C:\
4.
Copiare logger.cfg nella cartella “Log”.
5.
Implementare le impostazioni di Prevenzione perdita di dati e Controllo dispositivo
della console Web per avviare la raccolta dei registri.
10-63
Nota
Per disattivare il registro di debug per il modulo Protezione dati, eliminare debugcfg nella
chiave di registro e riavviare il dispositivo.
10-64
Capitolo 11
Protezione dei computer dalle
minacce Web
In questo capitolo si descrivono le minacce basate su Web e l'uso di OfficeScan per
proteggere la rete e i computer dalle minacce Web.
Di seguito sono riportati gli argomenti trattati:
•
Minacce Web a pagina 11-2
•
Servizi di avvisi contatti Command & Control a pagina 11-2
•
Reputazione Web a pagina 11-4
•
Criteri di reputazione Web a pagina 11-5
•
Servizio di connessione sospetta a pagina 11-13
•
Notifiche di minacce Web per utenti agente a pagina 11-16
•
Configurazione delle notifiche di callback C&C per gli amministratori a pagina 11-18
•
Infezioni dei callback C&C a pagina 11-22
•
Registri delle minacce Web a pagina 11-25
11-1
Minacce Web
Le minacce Web comprendono un'ampia gamma di minacce che hanno origine su
Internet. Le minacce Web sono sofisticate nei loro metodi in quanto utilizzano una
combinazione di diversi file e tecniche e non un solo file o approccio. Gli sviluppatori di
minacce Web modificano, ad esempio, in modo continuo la versione o la variante di una
minaccia utilizzata. Poiché la minaccia Web si trova in una posizione fissa di un sito Web
anziché sul dispositivo infetto, l'autore della minaccia modifica continuamente il suo
codice affinché non venga rilevata.
Negli ultimi anni, gli hacker, i creatori di virus e spyware, gli autori di spam e spyware
sono noti come criminali informatici. Le minacce Web consentono a questi individui di
perseguire uno o due obiettivi. Il primo obiettivo è ottenere informazioni a scopo di
lucro. Il risultato di tali azioni è la perdita di informazioni private e la perdita di identità.
Il dispositivo infetto può essere utilizzato per un attacco di phishing o per altre attività
volte a carpire informazioni. Altro effetto di queste attività è la creazione di un clima di
insicurezza generale nei confronti delle transazioni via Internet e la conseguente perdita
di fiducia nel commercio elettronico da parte degli utenti. Il secondo obiettivo è
impossessarsi delle risorse della CPU di un utente per condurre attività a scopo di lucro.
Alcuni esempi di queste sono l'invio di spam o attività di estorsione quali attacchi
Denial-of-Service distribuiti o abuso di annunci "pay-per-click".
Servizi di avvisi contatti Command & Control
I Servizi di avvisi contatti Trend Micro Command & Control (C&C) forniscono
funzionalità migliorate di avviso e rilevamento per ridurre i danni causati da minacce
costanti e attacchi mirati avanzati. I Servizi di avvisi contatti C&C sono integrati con i
Servizi di reputazione Web che determinano l'azione eseguita sugli indirizzi di callback
rilevati in base al livello di sicurezza della reputazione Web.
L'elenco IP C&C migliora ulteriormente i rilevamenti di callback C&C utilizzando il
Motore di ispezione contenuti della rete per identificare i contatti C&C tramite qualsiasi
canale di rete.
Per i dettagli di configurazione del livello di sicurezza dei servizi di reputazione Web,
consultare Configurazione dei Criteri di reputazione Web a pagina 11-5.
11-2
Protezione dei computer dalle minacce Web
TABELLA 11-1. Caratteristiche dei servizi di avvisi contatti C&C
FUNZIONE
DESCRIZIONE
Elenco Global
Trend Micro Smart Protection Network compila l'elenco Global
Intelligence
Intelligence da origini di tutto il mondo e verifica e valuta il livello di
rischio di ciascun indirizzo di callback C&C I servizi di reputazione
Web utilizzano l'elenco Global Intelligence insieme ai punteggi di
reputazione per i siti Web dannosi al fine di fornire una maggiore
sicurezza dalle minacce avanzate. Il livello di sicurezza della
reputazione Web determina l'azione eseguita sui siti Web dannosi o
sui server C&C in base ai livelli di rischio assegnati.
Elenco Virtual
Gli Smart Protection Server possono essere integrati con Virtual
Analyzer
Analyzer per ottenere l'elenco dei server Virtual Analyzer C&C. Virtual
Analyzer valuta i potenziali rischi in un ambiente protetto e, utilizzando
euristica avanzata e metodi di verifica dei comportamenti, assegna un
livello di rischio alle minacce analizzate. Virtual Analyzer popola
l'elenco Virtual Analyzer con le minacce che tentano di connettersi a
un possibile server C&C. L'elenco Virtual Analyzer è altamente
specifico per ciascuna azienda e offre una difesa più personalizzata
dagli attacchi mirati.
OfficeScan recupera l'elenco da Virtual Analyzer ed è in grado di
valutare tutte le possibili minacce C&C attraverso l'elenco Global
Intelligence e quello Virtual Analyzer locale.
Per ulteriori informazioni sulla connessione degli elenchi di oggetti
sospetti di Virtual Analyzer, consultare Configurazione delle
impostazioni dell'elenco oggetti sospetti a pagina 13-31.
Servizio di
Il Servizio di connessione sospetta gestisce gli elenchi C&C IP globali
connessione
e definiti dall'utente e controlla il comportamento delle connessioni che
sospetta
i dispositivi stabiliscono con i potenziali server C&C.
Per i dettagli, consultare Servizio di connessione sospetta a pagina
11-13.
Notifiche
Gli amministratori possono scegliere di ricevere notifiche dettagliate e
amministratore
personalizzabili una volta rilevato un callback C&C.
Per i dettagli, consultare Configurazione delle notifiche di callback
C&C per gli amministratori a pagina 11-18.
11-3
FUNZIONE
DESCRIZIONE
Notifiche
Gli amministratori possono scegliere di inviare notifiche dettagliate e
agente
personalizzabili agli utenti finali una volta rilevato un callback C&C in
un dispositivo.
Per i dettagli, consultare Notifiche di avvisi contatti C&C per gli utenti
degli agenti a pagina 11-21.
Notifiche di
Gli amministratori possono personalizzare le notifiche di infezione
infezione
specifiche degli eventi di callback C&C e specificare se l'infezione
avviene in un solo dispositivo o nell'intera rete.
Per i dettagli, consultare Infezioni dei callback C&C a pagina 11-22.
Registri di
I registri forniscono informazioni dettagliate relative a tutti gli eventi di
callback C&C
callback C&C.
Per i dettagli, consultare Visualizzazione dei registri di callback C&C a
pagina 11-26.
Reputazione Web
La tecnologia di reputazione Web tiene traccia della credibilità dei domini Web
assegnando un punteggio di reputazione basato su fattori quali la maturità del sito Web, i
cambiamenti di posizione e le indicazioni di attività sospette rilevate mediante l'analisi
del comportamento delle minacce informatiche. I siti sono continuamente sottoposti a
scansione e l'accesso ai siti infetti viene bloccato.
Gli Agenti OfficeScan inviano query alle origini Smart Protection per determinare la
reputazione dei siti Web ai quali gli utenti tentano di accedere. La reputazione di un sito
Web è correlata al criterio di reputazione Web specifico applicato sul dispositivo. A
seconda del criterio utilizzato, l'Agente OfficeScan blocca o consente l'accesso a un sito
Web.
Nota
Per ulteriori informazioni sulle origini Smart Protection, vedere Elenco delle origini Smart
Protection a pagina 4-24.
11-4
Protezione dei computer dalle minacce Web
Aggiungere all'elenco dei siti approvati o bloccati, i siti Web considerati sicuri o
pericolosi. Quando l'Agente OfficeScan rileva un accesso a tali siti Web, consente o
blocca automaticamente l'accesso e non invia altre query alle origini Smart Protection.
Criteri di reputazione Web
I criteri di reputazione Web indicano se OfficeScan bloccherà o consentirà l'accesso a un
sito Web.
È possibile configurare i criteri per gli agenti interni ed esterni. Gli amministratori di
OfficeScan in genere configurano criteri più rigidi per gli agenti esterni.
I criteri sono impostazioni flessibili nella struttura agente OfficeScan. È possibile
applicare criteri specifici a gruppi di agenti o a singoli agenti. È inoltre possibile applicare
un singolo criterio a tutti gli agenti.
Dopo l'implementazione dei criteri, gli agenti usano i criteri di posizione definiti nella
schermata Posizione dispositivo (consultare Posizione dispositivo a pagina 14-2) per
determinare la posizione e il criterio da applicare. Gli agenti cambiano criteri ogni volta
che cambia la posizione.
Configurazione dei Criteri di reputazione Web
Se è stato impostato un server proxy per gestire la comunicazione HTTP aziendale ed è
necessaria l'autenticazione per consentire l'accesso Web, specificare le credenziali per
l'autenticazione del server proxy.
Per le istruzioni per la configurazione delle impostazioni proxy, vedere Proxy esterno per gli
agenti OfficeScan a pagina 14-53.
Procedura
1.
Accedere a Agenti > Gestione agente.
2.
Selezionare le destinazioni nella struttura agente.
11-5
•
Per configurare un criterio per gli agenti con Windows XP, Vista, 7, 8 o 8.1,
selezionare l'icona del dominio root (
) oppure specificare domini o agenti
specifici.
Nota
Quando si seleziona un dominio root o domini specifici, l'impostazione sarà
applicata soltanto agli agenti con Windows XP, Vista, 7, 8 o 8.1. L'impostazione
non sarà applicata agli agenti che eseguono Windows Server 2003, Windows
Server 2008 o Windows Server 2012 anche se fanno parte dei domini.
•
Per configurare un criterio per gli agenti con Windows Server 2003, Windows
Server 2008 o Windows Server 2012, selezionare un agente specifico.
3.
Fare clic su Impostazioni > Impostazioni di reputazione Web.
4.
Fare clic sulla scheda Agenti esterni per configurare un criterio per gli agenti
esterni oppure sulla scheda Agenti interni per configurare un criterio per gli agenti
interni.
Suggerimento
Configurare le impostazioni della posizione agente se non sono state già configurate.
Gli agenti useranno queste impostazioni per determinare i rispettivi percorsi e
applicare il criterio di reputazione Web corretto. Per i dettagli, consultare Posizione
dispositivo a pagina 14-2.
5.
Selezionare Attiva criterio di reputazione Web sui seguenti sistemi operativi.
I sistemi operativi elencati nella schermata variano in base alle destinazioni
selezionate nel passaggio 1.
Suggerimento
Trend Micro consiglia di disattivare la reputazione Web per gli agenti interni nel caso
in cui si stia già utilizzando un prodotto Trend Micro con funzionalità di reputazione
Web, come InterScan Web Security Virtual Appliance.
Quando un criterio di reputazione Web è attivato:
11-6
Protezione dei computer dalle minacce Web
•
Gli agenti esterni inviano query di reputazione Web a Smart Protection
Network.
•
Gli agenti interni inviano query di reputazione Web a:
•
Gli Smart Protection Server se l'opzione Invia query a Smart
Protection Server è attivata. Per ulteriori informazioni su questa
opzione, vedere il passaggio 7.
•
Gli Smart Protection Network se l'opzione Invia query a Smart
Protection Server è attivata.
6.
Selezionare Attiva valutazione.
Nota
In modalità di valutazione, gli agenti consentono l'accesso a tutti i siti Web, ma
registrano gli accessi ai siti Web che sarebbero bloccati se la modalità di valutazione
fosse disattivata. La modalità di valutazione fornita da Trend Micro consente di
valutare i siti Web e prendere provvedimenti in base alla valutazione. È possibile, ad
esempio, aggiungere i siti Web considerati sicuri all'elenco dei siti approvati.
7.
Selezionare Verifica URL HTTPS.
Le comunicazioni HTTPS utilizzano i certificati per identificare i server Web.
Codificano i dati per prevenire furti e intercettazioni. Sebbene sia più sicuro,
accedere ai siti Web utilizzando HTTPS comporta comunque dei rischi. I siti
compromessi, anche quelli con certificati validi, possono ospitare minacce
informatiche e sottrarre informazioni personali. Inoltre, i certificati sono
relativamente semplici da ottenere, rendendo altrettanto semplice l'impostazione di
server Web dannosi che utilizzano HTTPS.
Attivare la verifica degli URL HTTPS per ridurre l'esposizione a siti compromessi
o dannosi che usano HTTPS. OfficeScan è in grado di monitorare il traffico
HTTPS sui seguenti browser:
11-7
TABELLA 11-2. Browser supportati per il traffico HTTPS
BROWSER
VERSIONE
Microsoft Internet Explorer
•
6 con SP2 o successivo
•
7.x
•
8.x
•
9.x
•
10.x
•
11.x
Mozilla Firefox
3.5 o versioni successive
Chrome
N.D.
Importante
•
La scansione HTTPS supporta solo le piattaforme Windows 8, Windows 8.1 o
Windows 2012 in modalità desktop.
•
Dopo aver attivato la scansione HTTPS per la prima volta negli Agenti
OfficeScan, è necessario che gli utenti attivino il componente aggiuntivo
necessario nel browser prima che la scansione HTTPS sia operativa.
Per gli Agenti OfficeScan con Firefox, è necessario che gli utenti attivino il
componente aggiuntivo Trend Micro Osprey Firefox Extension 2.0.0.1061 nella
finestra di popup del browser (o nella schermata del componenti aggiuntivi >
Estensioni).
Per gli Agenti OfficeScan con Internet Explorer 9, 10 o 11, è necessario che gli
utenti attivino il componente aggiuntivo TmIEPlugInBHO Class nella finestra di
popup del browser.
Per informazioni sulla configurazione delle impostazioni di Internet Explorer
per la reputazione Web, consultare i seguenti articoli della Knowledge Base:
•
•
8.
Selezionare Esegui scansione solo delle porte HTTP comuni per limitare la
scansione della reputazione Web al traffico nelle porte 80, 81 e 8080. Per
11-8
Protezione dei computer dalle minacce Web
impostazione predefinita, OfficeScan esegue la scansione di tutto il traffico in tutte
le porte.
Nota
Non supportato in Windows 7, 8, 8.1 o Windows Server 2008 R2, 2012 o piattaforme
successive.
9.
Selezionare Invia query a Smart Protection Server se si desidera che gli agenti
interni inviino query di reputazione Web agli Smart Protection Server.
•
Se si attiva questa opzione:
•
Gli agenti fanno riferimento all'elenco delle origini Smart Protection per
determinare a quale Smart Protection Server connettersi.
Per ulteriori informazioni sull'elenco delle origini Smart Protection,
consultare Elenco delle origini Smart Protection a pagina 4-24.
•
Accertarsi che gli Smart Protection Server siano disponibili. Se nessuno
Smart Protection Server è disponibile, gli agenti non inviano query a
Smart Protection Network. Le sole origini rimanenti di dati di
reputazione Web per gli agenti sono gli elenchi di URL approvati e
bloccati (configurati nel passaggio 10).
•
Se si desidera che gli agenti si connettano agli Smart Protection Server
tramite un server proxy, specificare le impostazioni del proxy nella
scheda Amministrazione > Impostazioni > Proxy > Proxy interno.
•
Aggiornare gli Smart Protection Server regolarmente in modo da
mantenere aggiornata la protezione.
•
Gli agenti non bloccano i siti Web non testati. Gli Smart Protection
Server non memorizzano i dati di reputazione Web per questi siti Web.
•
Se si disattiva questa opzione:
•
Gli agenti inviano query di reputazione Web a Smart Protection
Network. I computer agente devono essere dotati di una connessione
Internet per poter inviare query correttamente.
•
Se la connessione a Smart Protection Network richiede l'autenticazione
del server proxy, specificare le credenziali di autenticazione in
11-9
Amministrazione > Impostazioni > Proxy > Proxy esterno
(scheda) > Connessione dell'agente OfficeScan con i server Trend
Micro.
•
Gli agenti bloccheranno i siti Web non testati se si seleziona Blocca le
pagine che non sono state testate da Trend Micro nel passaggio 9.
10. Selezionare uno dei livelli di sicurezza disponibili per la reputazione Web: Alto,
Medio o Basso
Nota
I livelli di sicurezza determinano se OfficeScan consentirà o bloccherà l'accesso a un
URL. Se, ad esempio, si imposta il livello di sicurezza su Basso, OfficeScan blocca
solo gli URL considerati come minaccia Web. Impostando il livello di sicurezza più
elevato, il rilevamento di minacce Web migliora ma aumentano anche le possibilità di
falsi allarmi.
11.
Se è stata disattivata l'opzione Invia query a Smart Protection Server nel
passaggio 7, è possibile selezionare Blocca le pagine che non sono state testate
da Trend Micro.
Nota
Anche se Trend Micro verifica attivamente le pagine Web per la garantire la sicurezza,
gli utenti possono trovare pagine non verificate quando visitano pagine Web nuove o
poco conosciute. Bloccando le pagine non verificate si migliora la sicurezza, ma si
impedisce anche l'accesso alle pagine sicure.
12.
Selezionare Blocca le pagine che contengono script dannosi per identificare
vulnerabilità dei browser Web e script dannosi e impedire che l'uso di tali minacce
comprometta il browser Web.
OfficeScan utilizza sia il pattern Prevenzione minaccia browser sia il pattern Script
Analyzer, per identificare e bloccare le pagine Web prima di esporre il sistema.
11-10
Protezione dei computer dalle minacce Web
TABELLA 11-3. Browser supportati per Prevenzione minaccia browser
BROWSER
VERSIONE
Microsoft Internet Explorer
•
7.x
•
8.x
•
9.x
•
10.x
•
11.x
Importante
Per usare la funzione Prevenzione minaccia browser, è necessario abilitare il Servizio
di protezione avanzata.
Per attivare il Servizio di protezione avanzata, accedere a Agenti > Gestione agente
e fare clic su Impostazioni > Impostazioni aggiuntive del servizio.
13. Configurare gli elenchi approvati e bloccati.
Nota
L'elenco degli URL approvati ha la precedenza sull'elenco degli URL bloccati.
Quando un URL corrisponde a una voce nell'elenco degli URL approvati, gli agenti
consentono sempre l'accesso all'URL, anche se questo è presente nell'elenco degli
URL bloccati.
a.
Selezionare Attiva elenco approvati/bloccati.
b. Immettere un URL.
È possibile utilizzare i caratteri jolly (*) in qualsiasi punto dell'URL.
Ad esempio:
•
Micro saranno approvate.
•
Se si immette *.trendmicro.com/*, tutte le pagine di un qualsiasi
sottodominio di trendmicro.com saranno approvate.
11-11
È possibile immettere URL che contengono indirizzi IP. Se un URL contiene
un indirizzo IPv6, racchiudere l'indirizzo tra parentesi.
c.
Fare clic su Aggiungi all'elenco Approvati o su Aggiungi all'elenco
Bloccati.
d.
Per esportare l'elenco in un file .dat, fare clic su Esporta, quindi fare clic su
Salva.
e.
Se l'elenco è stato esportato da un altro server e occorre importarlo in questa
schermata, fare clic su Importa e selezionare il file .dat. L'elenco viene
importato nella schermata.
Importante
Reputazione Web non esegue alcuna scansione sugli indirizzi presenti negli elenchi
Approvati e Bloccati.
14.
Per inviare un commento sulla reputazione Web, fare clic sull'URL fornito in
Valuta di nuovo l'URL. Si aprirà una finestra del browser con il sistema di query
della reputazione Web di Trend Micro.
15.
Selezionare se consentire che l'Agente OfficeScan invii i registri di reputazione Web
al server. Consentire agli agenti di inviare i registri se si desidera analizzare gli URL
che vengono bloccati da OfficeScan ed eseguire le azioni appropriate per gli URL
che si considerano sicuri per l'accesso.
16.
Se sono stati selezionati domini o agenti nella struttura agente, fare clic su Salva. Se
è stata selezionata l'icona del dominio principale, scegliere una delle opzioni
riportate di seguito:
•
Applica a tutti gli agenti: applica le impostazioni a tutti gli agenti esistenti e
a qualsiasi nuovo agente aggiunto a un dominio corrente o futuro. I domini
futuri sono i domini non ancora creati al momento della configurazione delle
impostazioni.
•
Applica soltanto ai domini futuri: applica le impostazioni solo agli agenti
aggiunti ai domini futuri. Questa opzione non applica le impostazioni ai nuovi
agenti aggiunti a un dominio esistente.
11-12
Protezione dei computer dalle minacce Web
Servizio di connessione sospetta
Il Servizio di connessione sospetta gestisce gli elenchi C&C IP globali e definiti
dall'utente e controlla il comportamento delle connessioni che i dispositivi stabiliscono
con i potenziali server C&C.
•
Gli elenchi di indirizzi IP bloccati e approvati definiti dall'utente consentono un
ulteriore controllo sulla possibilità per gli dispositivo di accedere a indirizzi IP
specifici. Configurare questi elenchi quando si desidera consentire l'accesso a un
indirizzo bloccato dall'elenco IP C&C globale oppure bloccare l'accesso a un
indirizzo che può rappresentare un rischio per la sicurezza.
Per i dettagli, consultare Configurazione impostazioni degli elenchi di indirizzii IP globali
definiti dall'utente a pagina 11-14.
•
L'elenco IP C&C globale, insieme al Motore di ispezione contenuti della rete
(Network Content Inspection Engine, NCIE), rileva le connessioni di rete con i
server C&C confermati da Trend Micro. Il motore NCIE rileva il contatto del
server C&C attraverso qualsiasi canale di rete. Il Servizio di connessione sospetta
registra tutte le informazioni delle connessioni ai server nell'elenco IP C&C globale
per la valutazione.
Per informazioni sull'attivazione dell'elenco di indirizzi IP C&C globale, consultare
Configurazione delle impostazioni di connessione sospetta a pagina 11-15.
•
Dopo aver rilevato la minaccia informatica sui dispositivi tramite il pattern regola di
pertinenza corrispondente sui pacchetti di rete, il Servizio di connessione sospetta
può effettuare ulteriori ricerche sul comportamento della connessione, per
determinare se si è verificato un callback C&C. Dopo aver individuato un callback
C&C, il Servizio di connessione sospetta può cercare di bloccare e disinfettare
l'origine della connessione utilizzando la tecnologia GeneriClean.
Per maggiori dettagli sulla configurazione del Servizio di connessione sospetta,
vedere Configurazione delle impostazioni di connessione sospetta a pagina 11-15.
Per ulteriori informazioni su GeneriClean, vedere GeneriClean a pagina E-4.
Attivare il Servizio di connessione sospetta nella schermata Impostazioni aggiuntive
del servizio per proteggere gli agenti dai callback del server C&C. Per i dettagli,
consultare Attivazione o disattivazione dei servizi dell'agente dalla console Web a pagina 14-8.
11-13
Configurazione impostazioni degli elenchi di indirizzii IP
globali definiti dall'utente
Gli amministratori possono configurare OfficeScan per consentire, bloccare o registrare
tutte le connessioni tra agenti e indirizzi IP C&C definiti dall'utente.
Nota
Gli elenchi degli indirizzi IP definiti dall'utente supportano solo gli indirizzi IPv4.
Procedura
1.
Accedere a Agenti > Impostazioni globali agente.
2.
Accedere alla sezione Impostazioni connessione sospetta.
3.
Fare clic su Modifica elenco IP definito dall'utente.
4.
Nella scheda Elenco approvati o in quella Elenco bloccati, aggiungere gli
indirizzi IP che si desidera monitorare.
Suggerimento
È possibile configurare OfficeScan solo per registrare le connessioni effettuate verso
gli indirizzi dell'elenco di indirizzi IP bloccati definito dall'utente. Per registrare solo le
connessioni effettuate verso indirizzi dell'elenco di indirizzi IP bloccati definito
dall'utente, vedere Configurazione delle impostazioni di connessione sospetta a pagina 11-15.
a.
Fare clic su Aggiungi.
b. Nella nuova schermata che viene visualizzata, digitare l'indirizzo IP,
l'intervallo dell'indirizzo IP o l'indirizzo IPv4 e la subnet mask per
l'OfficeScan da monitorare.
c.
Fare clic su Salva.
5.
Per rimuovere gli indirizzi IP dall'elenco, selezionare la casella di controllo accanto
all'indirizzo e fare clic su Elimina.
11-14
Protezione dei computer dalle minacce Web
6.
Dopo aver configurato gli elenchi, fare clic su Chiudi per tornare alla schermata
Impostazioni globali agente.
Configurazione delle impostazioni di connessione
sospetta
OfficeScan è in grado di registrare tutte le connessioni effettuate tra agenti e indirizzi
nell'elenco IP C&C globale. La schermata impostazioni di connessione sospetta
consente effettivamente la registrazione ma permette ancora di accedere agli indirizzi IP
configurati nell'elenco di indirizzi IP bloccati definito dall'utente
OfficeScan è inoltre in grado di monitorare le connessioni che possono essere risultato
di un botnet o di un'altra minaccia informatica. Dopo aver rilevato una minaccia
informatica, OfficeScan può tentare di eliminare l'infezione.
Procedura
1.
Accedere a Agenti > Gestione agente.
2.
Nella struttura dell'agente, fare clic sull'icona del dominio principale (root) (
) per
includere tutti gli agenti oppure selezionare domini o agenti specifici.
3.
Fare clic su Impostazioni > Impostazioni di connessione sospetta.
Viene visualizzata la schermata Impostazioni di connessione sospetta.
4.
Attivare l'impostazione Registra connessioni di rete effettuate agli indirizzi
nell'elenco IP C&C globale per monitorare le connessioni effettuate sui server
C&C confermati di Trend Micro.
•
Per consentire agli agenti di connettere gli indirizzi nell'elenco di indirizzi IP
bloccati definito dall'utente, attivare l'impostazione Registra e consenti
l'accesso agli indirizzi dell'elenco IP bloccati definito dall'utente.
Nota
È necessario attivare il registro della connessione di rete prima che OfficeScan
consenta l'accesso agli indirizzi dell'elenco di indirizzi IP bloccati definito dall'utente.
11-15
Per ulteriori informazioni sull'elenco IP C&C globale, consultare Servizio di
connessione sospetta a pagina 11-13.
5.
Attivare l'impostazione Registra connessioni mediante l'impronta di rete della
minaccia per eseguire la corrispondenza di pattern sulle intestazioni dei pacchetti.
OfficeScan registra tutte le connessioni effettuate dai pacchetti con le intestazioni
che corrispondono alle minacce informatiche con l'uso del pattern regola di
pertinenza.
•
Per consentire a OfficeScan di disinfettare le connessioni effettuate sui server
C&C, attivare l'impostazione Disinfetta connessioni sospette quando
viene rilevato un callback C&C. OfficeScan usa GeneriClean per
disinfettare le minacce informatiche e interrompere la connessione al server
C&C.
Nota
È necessario attivare Registra connessioni mediante l'impronta di rete della
minaccia prima che OfficeScan tenti di disinfettare le connessioni effettuate sui
server C&C rilevate dalla corrispondenza della struttura dei pacchetti.
6.
Se sono stati selezionati domini o agenti nella struttura agente, fare clic su Salva. Se
è stata selezionata l'icona del dominio principale, scegliere una delle opzioni
riportate di seguito:
•
Applica a tutti gli agenti: applica le impostazioni a tutti gli agenti esistenti e
a qualsiasi nuovo agente aggiunto a un dominio corrente o futuro. I domini
futuri sono i domini non ancora creati al momento della configurazione delle
impostazioni.
•
Applica soltanto ai domini futuri: applica le impostazioni solo agli agenti
aggiunti ai domini futuri. Questa opzione non applica le impostazioni ai nuovi
agenti aggiunti a un dominio esistente.
Notifiche di minacce Web per utenti agente
OfficeScan può visualizzare un messaggio di notifica sul dispositivo Agente OfficeScan
subito dopo aver bloccato un URL che viola un criterio di reputazione Web. È
11-16
Protezione dei computer dalle minacce Web
necessario attivare il messaggio di notifica e, se lo si desidera, modificare il contenuto di
tale messaggio.
Attivazione del messaggio di notifica di minacce Web
Procedura
1.
Accedere a Agenti > Gestione agente.
2.
Nella struttura dell'agente, fare clic sull'icona del dominio principale (root) (
) per
includere tutti gli agenti oppure selezionare domini o agenti specifici.
3.
Fare clic su Impostazioni > Privilegi e altre impostazioni.
4.
Fare clic sulla scheda Altre impostazioni.
5.
Nella sezione Impostazioni di reputazione Web, selezionare Visualizza una
notifica quando un sito Web viene bloccato.
6.
Nella sezione Impostazioni callback C&C, selezionare Visualizza una notifica
quando un callback C&C viene rilevato.
7.
Se sono stati selezionati domini o agenti nella struttura agente, fare clic su Salva. Se
è stata selezionata l'icona del dominio principale, scegliere una delle opzioni
riportate di seguito:
•
Applica a tutti gli agenti: applica le impostazioni a tutti gli agenti esistenti e
a qualsiasi nuovo agente aggiunto a un dominio corrente o futuro. I domini
futuri sono i domini non ancora creati al momento della configurazione delle
impostazioni.
•
Applica soltanto ai domini futuri: applica le impostazioni solo agli agenti
aggiunti ai domini futuri. Questa opzione non applica le impostazioni ai nuovi
agenti aggiunti a un dominio esistente.
11-17
Modifica delle notifiche di minacce Web
Procedura
1.
Accedere a Amministrazione > Notifiche > Agente.
2.
Dall'elenco a discesa Tipo, selezionare il tipo di notifica di minaccia Web da
modificare:
•
Violazioni della reputazione Web
•
Callback C&C
3.
Modificare il messaggio predefinito nella casella di testo disponibile.
4.
Fare clic su Salva.
Configurazione delle notifiche di callback C&C
per gli amministratori
OfficeScan dispone di una serie di messaggi di notifica predefiniti per informare l'utente
e altri amministratori di OfficeScan dei rilevamenti dei callback C&C. È possibile
modificare i messaggi di notifica e configurare impostazioni aggiuntive in base alle
proprie esigenze.
Procedura
1.
Accedere a Amministrazione > Notifiche > Amministratore.
2.
Sulla scheda Criteri:
a.
Accedere alla sezione Callback C&C.
b. Specificare se inviare le notifiche quando OfficeScan rileva un callback C&C
(l'azione può essere bloccata o registrata) o solo quando il livello di rischio
dell'indirizzo di callback è Alto.
3.
Sulla scheda E-mail:
11-18
Protezione dei computer dalle minacce Web
a.
Accedere alla sezione Callback C&C.
b.
Selezionare Attiva notifica mediante e-mail.
c.
Selezionare Invia notifiche agli utenti con autorizzazioni per i domini
della struttura agente.
Utilizzare il Role-based Administration (RBA) per concedere agli utenti
autorizzazioni per il dominio della struttura agente. Se la trasmissione avviene
in un agente appartenente a un dominio specifico, il messaggio e-mail viene
inviato all'indirizzo e-mail degli utenti con autorizzazioni per il dominio. La
tabella seguente illustra alcuni esempi:
TABELLA 11-4. Autorizzazioni e domini della struttura agente
RUOLI CON
INDIRIZZO E-MAIL
DOMINIO DELLA
ACCOUNT
UTENTE
AUTORIZZAZIONI
DELL'ACCOUNT
STRUTTURA AGENTE
CON IL RUOLO
PER IL DOMINIO
UTENTE
Dominio A
Amministratore
root
mary@xyz.com
(integrato)
Role_01
admin_john
john@xyz.com
admin_chris
chris@xyz.com
Dominio B
Amministratore
root
mary@xyz.com
(integrato)
Role_02
admin_jane
jane@xyz.com
Se un Agente OfficeScan appartenente al Dominio A rileva un callback C&C,
il messaggio e-mail viene inviato a mary@xyz.com, john@xyz.com e
chris@xyz.com.
Se qualsiasi Agente OfficeScan appartenente al Dominio B rileva il callback
C&C, il messaggio e-mail viene inviato a mary@xyz.com e jane@xyz.com.
11-19
Nota
Quando si attiva questa opzione, tutti gli utenti con autorizzazioni per il
dominio devono avere un indirizzo e-mail corrispondente. Il messaggio e-mail
di notifica non sarà inviato agli utenti senza un indirizzo e-mail. Gli utenti e gli
indirizzi e-mail sono configurati da Amministrazione > Gestione account >
Account utente.
d.
Selezionare Invia notifiche ai seguenti indirizzi e-mail e immettere gli
indirizzi e-mail.
e.
Accettare o modificare il contenuto e l'oggetto predefiniti del messaggio.
Utilizzare le variabili token per rappresentare i dati nei campi Oggetto e
Messaggio.
TABELLA 11-5. Variabili token per le notifiche dei callback C&C
VARIABILE
DESCRIZIONE
%CLIENTCOMPU
Il dispositivo di destinazione che ha inviato il callback
TER%
%IP%
L'indirizzo IP del dispositivo di destinazione
%DOMAIN%
Dominio del computer
%DATETIME%
Data e ora di rilevamento della trasmissione
%CALLBACKADD
L'indirizzo di callback del server C&C
RESS%
%CNCRISKLEVE
Il livello di rischio del server C&C
L%
%CNCLISTSOUR
Indica l'elenco delle origini di C&C
CE%
%ACTION%
Operazione eseguita
4.
Sulla scheda Trap SNMP:
a.
Accedere alla sezione Callback C&C.
b. Selezionare Attiva notifica mediante trap SNMP.
11-20
Protezione dei computer dalle minacce Web
c.
Accettare o modificare il messaggio predefinito. Utilizzare variabili token per
rappresentare i dati nel campo Messaggio. Consultare Tabella 11-5: Variabili
token per le notifiche dei callback C&C a pagina 11-20 per ulteriori dettagli.
5.
Sulla scheda Registro eventi NT:
a.
Accedere alla sezione Callback C&C.
b. Selezionare Attiva notifica mediante registro eventi NT.
c.
Accettare o modificare il messaggio predefinito. È possibile utilizzare solo
variabili token per rappresentare i dati nel campo Messaggio. Consultare
Tabella 11-5: Variabili token per le notifiche dei callback C&C a pagina 11-20 per
ulteriori dettagli.
6.
Fare clic su Salva.
Notifiche di avvisi contatti C&C per gli utenti
degli agenti
OfficeScan può visualizzare un messaggio di notifica sui computer Agente OfficeScan
subito dopo il blocco dell'URL del server C&C. È necessario attivare il messaggio di
notifica e, se lo si desidera, modificare il contenuto del messaggio
Modifica delle notifiche di callback C&C
Procedura
1.
Accedere a Amministrazione > Notifiche > Agente.
2.
Dal menu a discesa Tipo, selezionare Callback C&C.
3.
Modificare il messaggio predefinito nella casella di testo disponibile.
4.
Fare clic su Salva.
11-21