Whitepaper
De vijf beste tips over
McAfee ePolicy Orchestrator
Haal alles uit uw McAfee-endpointbeveiliging
WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator
Inhoudsopgave
1. Onderhoud uw McAfee ePO SQL-database voor maximale prestaties
3
Fragmentatie van tabelgegevens
3
Gebeurtenissen automatisch verwijderen
3
Een servertaak maken voor het verwijderen van gebeurtenissen
4
Taak
4
2.Organiseer uw systeemstructuur voor maximale productiviteit:
integratie van Microsoft Active Directory
4
3. Dynamisch sorteren: endpoints automatisch groeperen voor productiviteit
4
4. Automatiseer uw werk met behulp van servertaken: acties uitvoeren
op basis van query's
5
Een actie op basis van een query uitvoeren.
6
Een servertaak maken
6
5.Rapportagetip voor McAfee ePO-software: aangepaste query's
kunnen tot belangrijke ontdekkingen leiden
7
McAfee
8
WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator
Deze whitepaper belicht enkele van de beste aanbevolen procedures voor het
implementeren van McAfee®-endpointproducten met McAfee ePolicy Orchestrator®
(McAfee ePO™), softwareversie 4.5.0 en 4.0.
1. Onderhoud uw McAfee ePO SQL-database voor maximale prestaties
De SQL-database die gebruikt wordt door de McAfee ePO-server vereist regelmatig onderhoud en regelmatige
back-ups om een correcte werking van de McAfee ePO-software te kunnen garanderen. De volgende taken
moeten regelmatig worden uitgevoerd om het onderhoud van uw SQL-server op peil te houden:
Maak regelmatig een back-up van de McAfee ePO SQL-database en het bijbehorende transactielogboek.
regelmatig een herindexering van uw database uit.
• Bouw uw database regelmatig opnieuw op.
• Verwijder oudere gebeurtenissen met behulp van servertaken, zoals hieronder beschreven.
•
• Voer
De McAfee ePO SQL-database bevat alles wat de McAfee ePO-software nodig heeft om goed te kunnen
functioneren: de systeemstructuur, de beleidsregels, de beheerders, de clienttaken en de configuratieinstellingen voor de McAfee ePO-server zelf. Maak regelmatig een back-up van uw SQL-database,
voor het geval er zich een storing in uw SQL-database of uw McAfee ePO-serveromgeving voordoet.
Met deze back-ups hebt u altijd een veilige en actuele kopie achter de hand indien de McAfee ePOserver moet worden hersteld of opnieuw moet worden opgebouwd. Als u daarnaast het Microsoftherstelmodel voor SQL op "Full" hebt ingesteld, kan uw transactielogboek onbeperkt blijven groeien
totdat een volledige back-up is uitgevoerd.
Fragmentatie van tabelgegevens
De fragmentatie van tabelgegevens is waarschijnlijk een van de belangrijkste factoren die de
prestaties van databases negatief beïnvloeden. Zo kunnen de gegevens in een database als gevolg van
tabelfragmentatie op de index van een dik boek gaan lijken. Eén indexvermelding in een dergelijk boek
kan verwijzen naar verschillende pagina's die over het hele boek verspreid zijn. Dit betekent dat u elke
pagina moet controleren op de specifieke informatie waarnaar u op zoek bent. Een dergelijke index
verschilt enorm van de index van een telefoonboek waarin de gegevens in een gesorteerde volgorde
zijn opgeslagen. Een query op de naam "Jansen" kan meerdere opeenvolgende telefoonboekpagina's
opleveren, maar de gegevens worden altijd in een gesorteerde volgorde weergegeven.
In het geval van een database zien de gegevens er in eerste instantie als een telefoonboek uit, maar na
verloop van tijd vertonen de gegevens meer gelijkenis met de index van een dik boek. De gegevens moeten
daarom zo nu en dan opnieuw worden gesorteerd om de "telefoonboekvolgorde" te herstellen. Het opnieuw
indexeren en opnieuw opbouwen van uw McAfee ePO SQL-database is van essentieel belang, omdat de
fragmentatie van uw database na verloop van tijd steeds groter wordt, met name als er een grotere omgeving
wordt beheerd en er elke dag duizenden gebeurtenissen in de database worden geschreven.
Het instellen van een onderhoudstaak om uw McAfee ePO SQL-database automatisch opnieuw te indexeren
en opnieuw op te bouwen neemt slechts enkele minuten in beslag en is van wezenlijk belang om de
prestaties van de McAfee ePO-server op peil te houden. Het opnieuw indexeren van de database kan als
onderdeel van uw normale back-upplan worden uitgevoerd, zodat alles in één taak wordt gecombineerd.
TIP: krimp uw database niet in. Dit is een veel voorkomende misvatting onder beheerders die met
name bij het opstellen van de onderhoudstaak tot uiting komt.
Zie McAfee KnowledgeBase-artikel KB67184 voor meer informatie over het opstellen van uw
onderhoudstaak. Gebruik de DBCC-opdracht in het artikel "Understanding SQL Server’s DBCC
SHOWCONTIG" (Inzicht in DBCC SHOWCONTIG van SQL Server) voor meer informatie over
databasefragmentatie en het vaststellen van de fragmentatie van uw database.
Gebeurtenissen automatisch verwijderen
Uw softwareagents sturen elke dag honderdduizenden gebeurtenissen voor verwerking naar uw
McAfee ePO-server. De prestaties van de McAfee ePO-server en SQL-servers kunnen door al deze
gebeurtenissen negatief worden beïnvloed. De verstuurde gebeurtenissen kunnen op allerlei zaken
betrekking hebben, van de detectie van een dreiging tot de geslaagde voltooiing van een update.
In kleinere omgevingen met een paar honderd nodes kunt u deze gebeurtenissen elke nacht verwijderen.
Maar in grote omgevingen met duizenden nodes die rapport uitbrengen aan de McAfee ePO-server,
is het van essentieel belang dat deze gebeurtenissen worden verwijderd wanneer ze verouderen.
3
WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator
U moet eerst bepalen hoelang u de gegevens wilt bewaren. Dit kan één maand zijn, maar misschien ook
wel een heel jaar. Bij de meeste organisaties wordt een bewaartijd van circa zes maanden aangehouden.
Hierbij worden gebeurtenissen volgens een bepaald schema om de zes maanden uit de database verwijderd.
Het is belangrijk dat verouderde gebeurtenissen elke nacht uit uw database worden verwijderd. In grote
omgevingen heeft de grootte van de database rechtstreeks invloed op de prestaties van uw McAfee ePOserver. Het is dus van essentieel belang dat de database wordt opgeschoond.
De McAfee ePO-software heeft geen vooraf geconfigureerde servertaak om taakgebeurtenissen te verwijderen.
Veel gebruikers maken daarom nooit een taak om deze gebeurtenissen te verwijderen, met als gevolg dat
de SQL-database van de McAfee ePO-server na verloop van tijd exponentieel gaat groeien en nooit wordt
opgeschoond. Uw database bevat twee belangrijke gebeurtenistypen: clientgebeurtenissen en dreigings­
gebeurtenissen. Deze twee gebeurtenistypen vormen het grootste deel van de gebeurtenisgegevens in uw
database. Zie tip 5 als u het totale aantal client- en dreigingsgebeurtenissen in uw database wilt vaststellen.
Een servertaak maken voor het verwijderen van gebeurtenissen
Maak een automatische servertaak om alle gebeurtenissen uit de database te verwijderen die ouder zijn
dan X dagen (X is het aantal dagen bewaartijd dat uw organisatie heeft vastgesteld).
Taak
Klik voor optiedefinities op ? in de interface.
1. Klik op Menu | Automation | Server Tasks
(Menu | Automatisering | Servertaken) en
vervolgens op Action | New Task (Actie | Nieuwe
taak). Het dialoogvenster Server Task Builder
(Opbouwfunctie voor servertaak) wordt geopend.
2. Geef de taak een naam, bijvoorbeeld
"Clientgebeurtenissen verwijderen" en
configureer op het tabblad Actions (Acties) de
volgende opties in de lijst met acties:
•
Purge Audit Log (Controlelogboek leegmaken):
leegmaken na zes maanden
•
Purge Client Events (Clientgebeurtenissen
verwijderen): verwijderen na zes maanden
•
Purge Server Task Log (Logboek voor servertaken
leegmaken): leegmaken na zes maanden
•
Purge Threat Event Log (Logboek voor dreigings­
gebeurtenissen leegmaken): leegmaken na één dag
•
Purge McAfee SiteAdvisor Enterprise Plus
Events (McAfee SiteAdvisor Enterprise Plusgebeurtenissen verwijderen): verwijderen na 10 dagen
In dit voorbeeld worden SiteAdvisor-gebeurtenissen afzonderlijk verwijderd omdat deze niet in de
normale gebeurtenistabel worden opgenomen. Voor deze gebeurtenissen moet daarom een eigen
verwijdertaak worden geconfigureerd. De SiteAdvisor-gebeurtenissen worden slechts tien dagen
bewaard, omdat SiteAdvisor alle URL's verzamelt die door de beheerde computers zijn bezocht.
In omgevingen met meer dan 10.000 nodes kan dit een enorme hoeveelheid gegevens opleveren.
Om die reden worden deze gegevens veel korter opgeslagen dan andere gebeurtenistypen.
3. Plan de taak zodanig dat deze elke dag buiten kantooruren wordt uitgevoerd en klik vervolgens
op Save (Opslaan).
2.Organiseer uw systeemstructuur voor maximale productiviteit: integratie van
Microsoft Active Directory
Met Active Directory-synchronisatie kunt u uw systemen en organisatie-eenheden uit uw Active Directorystructuur halen en deze in de McAfee ePO-software spiegelen. Dit is een ideale optie als uw Active
Directory-structuur goed is georganiseerd op basis van business unit, computertype en andere onderdelen.
3. Dynamisch sorteren: endpoints automatisch groeperen voor productiviteit
Als u uw computers dynamisch wilt sorteren in uw McAfee ePO-systeemstructuur, kunt u met een
combinatie van systeemcriteria (zoals computernaam of IP-adres) de computers dynamisch in de juiste
groep in uw McAfee ePO-systeemstructuur plaatsen.
4
WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator
U moet hiervoor enkele basisgroepen voor uw systeemstructuur
maken. Voor kleinere organisaties is de structuur meestal niet
erg complex en omvat soms maar enkele groepen. Voor grotere
organisaties kunt u de onderstaande bouwstenen maken en
vervolgens de voor- en nadelen van een paar ontwerpen onderzoeken:
• GEO:
geografische locatie
•
NET: netwerklocatie
•
BU: business unit
• SBU:
sub-business unit
•
FUNC: functie van het systeem (internet, SQL, toepassingsserver)
•
CHS: chassis (server, werkstation, laptop)
Nadat u een beslissing hebt genomen over de elementaire
bouwstenen voor groepen in de structuur, moet u bepalen welke
bouwstenen u wilt gebruiken en in welke volgorde, op basis van
de volgende factoren:
• Beleidstoewijzing:
zijn er veel verschillende aangepaste productbeleidsregels die aan groepen moeten
worden toegewezen op basis van chassis of functie? Hebben bepaalde business units een eigen
aangepast productbeleid nodig?
•
Netwerktopologie: heeft uw organisatie vertrouwelijke WAN's die nooit het risico mogen lopen om door
een inhoudsupdate overbelast te worden? Of hebt u alleen grote locaties en is dit geen probleem?
• Toewijzing
van clienttaken: moeten clienttaken, zoals een scan-op-verzoek, op groepsniveau
(bijv. een business unit) of op systeemtype (bijv. een webserver) worden gemaakt?
• Distributie
van inhoud: hebt u een beleid voor agents waarin wordt aangegeven dat bepaalde groepen
inhoud uit een specifieke opslagplaats moeten halen?
• Beheermogelijkheden:
moeten er speciale rechten aan uw McAfee ePO-beheerders worden
gedelegeerd, zodat zij specifieke locaties in de systeemstructuur kunnen beheren?
• Query's:
hebt u bij het filteren van query's veel opties nodig om resultaten te verkrijgen van een
specifieke groep in de systeemstructuur? Dit is ook een factor die belangrijk kan zijn bij het ontwerpen
van uw systeemstructuur.
Nadat u de basisonderdelen van uw systeemstructuur hebt gekozen, maakt u een paar voorbeeld­
structuren om de voor- en nadelen van elk ontwerp nader te bekijken. Er is geen goede of verkeerde
manier om een systeemstructuur te maken, er zijn alleen pluspunten en minpunten, afhankelijk van
uw keuze. Dit zijn een paar van de meest gebruikte systeemstructuren:
• GEO
-> CHS -> FUNC
NET -> CHS -> FUNC
• GEO -> BU -> FUNC
•
4. Automatiseer uw werk met behulp van servertaken: acties uitvoeren op basis van query's
Servertaken zijn items die gepland zijn om te worden uitgevoerd op de McAfee ePO-server zelf. Een goed
gebruik van servertaken kan de efficiëntie in uw organisatie aanzienlijk verbeteren. Veel gangbare items
die dagelijks of wekelijks handmatig worden uitgevoerd, kunnen met behulp van servertaken worden
geautomatiseerd. Servertaken worden automatisch toegevoegd wanneer er nieuwe extensies aan de
McAfee ePO-software worden toegevoegd. Servertaken die betrekking hebben op versleuteling worden
bijvoorbeeld pas zichtbaar wanneer de versleutelingsextensie wordt geïnstalleerd. Met andere woorden,
McAfee ePO wordt geconfigureerd rondom de componenten die u daadwerkelijk beheert en er worden
geen opties aangeboden voor producten die u nooit gebruikt. Enkele veel voorkomende servertaken:
Een actie uitvoeren met behulp van de resultaten van een query.
Rapporten automatisch op gezette tijden e-mailen en exporteren.
• Inhoud automatisch van de McAfee-site ophalen en repliceren.
• Oudere gebeurtenissen automatisch uit de McAfee ePO-serverdatabase verwijderen.
• Inactieve computers automatisch uit de systeemstructuur verwijderen.
•
•
5
WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator
Een actie op basis van een query uitvoeren.
Met servertaken kunt u activiteiten op de McAfee ePO-server automatiseren door op gezette tijden
een actie uit te voeren die gebaseerd is op de resultaten van een query.
Voor deze actie moet u de volgende handelingen uitvoeren:
1. Geef uw servertaak een beschrijvende naam.
2. Kies een actie en vervolgens een subactie. Dit is het belangrijkste deel van het maken van uw
taak. Nadat de taak de eerste actie heeft uitgevoerd, wordt de subactie uitgevoerd op basis van
de resultaten van de oorspronkelijke actie.
Bijvoorbeeld:
• Voer
een query uit op de computers die langer dan 30 dagen niet met de McAfee ePO-server
hebben gecommuniceerd.
• E-mail dat rapport naar een bepaalde beheerder.
• Verwijder desgewenst de betreffende computers uit uw systeemstructuur nadat het rapport is verzonden.
• Maak een query (of gebruik een vooraf geconfigureerde query) om alle computers te vinden die in de
afgelopen 12 uur met een virus zijn besmet.
TIP: u kunt de query beperken tot een specifiek gebied in uw systeemstructuur, bijvoorbeeld het
datacenter in New York.
Exporteer het gemaakte rapport in HTML.
de koppeling naar de helpdesk, bijvoorbeeld in het datacenter in New York, zodat zij het rapport
in hun helpdeskportaal kunnen bekijken.
• Plaats eventueel een tag op de computers die binnen het specifieke tijdsbestek met een virus zijn
besmet, en voer vervolgens op basis van die tag een scan-op-verzoek op deze besmette computers
uit. Er zijn tientallen opties die u kunt gebruiken om acties uit te voeren op basis van een specifieke
query. Raadpleeg de Producthandleiding voor McAfee ePolicy Orchestrator 4.5 voor meer informatie.
De belangrijkste vereiste is dat uw query een tabel met beheerde systemen retourneert, zodat de
McAfee ePO-software acties op die systemen kan uitvoeren.
•
• Stuur
Een servertaak maken
Taak
Klik voor optiedefinities op ? in de interface.
1. Klik op Menu | Automation | Server Tasks (Menu | Automatisering | Servertaken) en klik vervolgens
op Actions | New Task (Acties | Nieuwe taak). Het dialoogvenster Server Task (Servertaak) wordt
geopend.
2. Geef de taak een naam, bijvoorbeeld "Inactieve systemen beheren" en klik op Next (Volgende).
Het dialoogvenster Actions (acties) wordt geopend.
3. Configureer een weekrapport.
•
Klik op Run Query (Query uitvoeren) in de lijst met Actions (acties).
Klik op de query Managed Inactive Agents (Beheerde inactieve agents) in het dialoogvenster met
query's dat wordt geopend en klik vervolgens op OK.
• Maak een subactie om de inactieve agents te verwijderen die door het rapport zijn gegenereerd en klik
vervolgens op Next (Volgende).
•
6
WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator
•
U ziet dat u eerst een actie en vervolgens een subactie moet kiezen. Op deze manier kan de taak eerst
de actie uitvoeren en vervolgens op basis van de resultaten van deze actie de subactie uitvoeren.
4. Plan het uitvoeren van de servertaak. Als de McAfee ePO-server druk bezet is, zorg er dan voor
dat deze taak buiten kantooruren wordt uitgevoerd, hetzij elke nacht of één keer in de week.
5.Rapportagetip voor McAfee ePO-software: aangepaste query's kunnen tot belangrijke
ontdekkingen leiden
U kunt heel eenvoudig aangepaste query's op de McAfee ePO-server maken. Ook is het mogelijk om
bestaande query's te dupliceren en te wijzigen om andere resultaten en rapporten te verkrijgen.
Aangepaste query's kunnen in vier eenvoudige stappen worden gemaakt. Net als bij de meeste taken
in de McAfee ePO-software kunt u gebruik maken van de gebruiksvriendelijke wizard (die boven in het
scherm staat).
Er zijn twee manieren om aangepaste query's te maken:
•
•
Bepaal vooraf exact welke soort query u wilt maken voordat u deze daadwerkelijk probeert te maken.
Blader door de querywizard en probeer verschillende variabelen om te zien welke soort query's er
kunnen worden gemaakt.
Beide manieren zijn bruikbaar en kunnen interessante gegevens over uw omgeving opleveren. Als u geen
of weinig ervaring met het querysysteem hebt, probeer dan eens verschillende variabelen te gebruiken,
zodat u beter vertrouwd raakt met het soort gegevens dat door McAfee ePO wordt geretourneerd.
Nadat u uw rapport hebt opgesteld, kunt u actie ondernemen op basis van de resultaten (indien
de geretourneerde gegevens betrekking hebben op beheerde systemen). Dit betekent dat u allerlei
verschillende acties kunt uitvoeren in de systeemstructuur. U kunt bijvoorbeeld computers activeren,
bijwerken, verwijderen of naar een andere groep verplaatsen. Dit is bijzonder handig bij het uitvoeren
van rapporten op computers die:
• al
geruime tijd niet met de McAfee ePO-server hebben gecommuniceerd.
vermoedelijk niet correct werken wanneer u ze probeert te activeren.
• een nieuwe agent nodig hebben die rechtstreeks vanaf de McAfee ePO-server moet
worden geïmplementeerd.
•
7
WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator
Aanvullende tips
McAfee's technisch YouTube-kanaal: korte demonstratievideo's gemaakt door productexperts van McAfee.
Korte videotips over McAfee ePO-software: meer dan 100 video's over allerlei technische onderwerpen.
McAfee Security Blogs: lees wat de experts te zeggen hebben over een brede verscheidenheid
van onderwerpen.
McAfee KnowledgeBase: de officiële McAfee Support-site.
McAfee Community Forum: een gemeenschap van ePO-gebruikers die een schat aan informatie biedt
over aanbevolen procedures voor McAfee ePO-software.
McAfee
McAfee, een volledige dochteronderneming van Intel Corporation (NASDAQ:INTC), is het grootste
bedrijf ter wereld dat gespecialiseerd is in beveiligingstechnologie. McAfee biedt proactieve en bewezen
oplossingen en services die systemen, netwerken en mobiele apparaten over de hele wereld helpen
beveiligen, zodat gebruikers veiliger op internet kunnen surfen en winkelen. McAfee kan dankzij haar
ongeëvenaarde Global Threat Intelligence vernieuwende producten ontwikkelen die thuisgebruikers,
bedrijven, de overheid en serviceproviders de mogelijkheid bieden om regelnaleving te bewijzen,
gegevens te beveiligen, onderbrekingen te voorkomen, kwetsbaarheden te identificeren en hun
beveiliging voortdurend te controleren en te verbeteren. McAfee zoekt onophoudelijk naar nieuwe
manieren om haar klanten te beschermen. http://www.mcafee.com/nl
McAfee International BV
Boeingavenue 30
1119 PE Schiphol-Rijk
The Netherlands
+ 31 (0)20 5863800
www.mcafee.com/nl
McAfee, het McAfee-logo, McAfee ePolicy Orchestrator, McAfee ePO en SiteAdvisor zijn gedeponeerde handelsmerken of handelsmerken
van McAfee Inc. of haar dochterondernemingen in de VS en andere landen. Andere namen en merken kunnen eigendom van anderen zijn.
De productplannen, specificaties en beschrijvingen hierin zijn alleen bedoeld ter informatie. Deze kunnen zonder kennisgeving worden
gewijzigd en worden geleverd zonder enige garantie (expliciet of impliciet). Copyright © 2011 McAfee, Inc.
30501wp_top-5-tips-for-mcafee-epo_0711_fnl_ETMG
Herunterladen

De vijf beste tips over McAfee ePolicy Orchestrator