De vijf beste tips over McAfee ePolicy Orchestrator
Werbung
Whitepaper De vijf beste tips over McAfee ePolicy Orchestrator Haal alles uit uw McAfee-endpointbeveiliging WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator Inhoudsopgave 1. Onderhoud uw McAfee ePO SQL-database voor maximale prestaties 3 Fragmentatie van tabelgegevens 3 Gebeurtenissen automatisch verwijderen 3 Een servertaak maken voor het verwijderen van gebeurtenissen 4 Taak 4 2.Organiseer uw systeemstructuur voor maximale productiviteit: integratie van Microsoft Active Directory 4 3. Dynamisch sorteren: endpoints automatisch groeperen voor productiviteit 4 4. Automatiseer uw werk met behulp van servertaken: acties uitvoeren op basis van query's 5 Een actie op basis van een query uitvoeren. 6 Een servertaak maken 6 5.Rapportagetip voor McAfee ePO-software: aangepaste query's kunnen tot belangrijke ontdekkingen leiden 7 McAfee 8 WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator Deze whitepaper belicht enkele van de beste aanbevolen procedures voor het implementeren van McAfee®-endpointproducten met McAfee ePolicy Orchestrator® (McAfee ePO™), softwareversie 4.5.0 en 4.0. 1. Onderhoud uw McAfee ePO SQL-database voor maximale prestaties De SQL-database die gebruikt wordt door de McAfee ePO-server vereist regelmatig onderhoud en regelmatige back-ups om een correcte werking van de McAfee ePO-software te kunnen garanderen. De volgende taken moeten regelmatig worden uitgevoerd om het onderhoud van uw SQL-server op peil te houden: Maak regelmatig een back-up van de McAfee ePO SQL-database en het bijbehorende transactielogboek. regelmatig een herindexering van uw database uit. • Bouw uw database regelmatig opnieuw op. • Verwijder oudere gebeurtenissen met behulp van servertaken, zoals hieronder beschreven. • • Voer De McAfee ePO SQL-database bevat alles wat de McAfee ePO-software nodig heeft om goed te kunnen functioneren: de systeemstructuur, de beleidsregels, de beheerders, de clienttaken en de configuratieinstellingen voor de McAfee ePO-server zelf. Maak regelmatig een back-up van uw SQL-database, voor het geval er zich een storing in uw SQL-database of uw McAfee ePO-serveromgeving voordoet. Met deze back-ups hebt u altijd een veilige en actuele kopie achter de hand indien de McAfee ePOserver moet worden hersteld of opnieuw moet worden opgebouwd. Als u daarnaast het Microsoftherstelmodel voor SQL op "Full" hebt ingesteld, kan uw transactielogboek onbeperkt blijven groeien totdat een volledige back-up is uitgevoerd. Fragmentatie van tabelgegevens De fragmentatie van tabelgegevens is waarschijnlijk een van de belangrijkste factoren die de prestaties van databases negatief beïnvloeden. Zo kunnen de gegevens in een database als gevolg van tabelfragmentatie op de index van een dik boek gaan lijken. Eén indexvermelding in een dergelijk boek kan verwijzen naar verschillende pagina's die over het hele boek verspreid zijn. Dit betekent dat u elke pagina moet controleren op de specifieke informatie waarnaar u op zoek bent. Een dergelijke index verschilt enorm van de index van een telefoonboek waarin de gegevens in een gesorteerde volgorde zijn opgeslagen. Een query op de naam "Jansen" kan meerdere opeenvolgende telefoonboekpagina's opleveren, maar de gegevens worden altijd in een gesorteerde volgorde weergegeven. In het geval van een database zien de gegevens er in eerste instantie als een telefoonboek uit, maar na verloop van tijd vertonen de gegevens meer gelijkenis met de index van een dik boek. De gegevens moeten daarom zo nu en dan opnieuw worden gesorteerd om de "telefoonboekvolgorde" te herstellen. Het opnieuw indexeren en opnieuw opbouwen van uw McAfee ePO SQL-database is van essentieel belang, omdat de fragmentatie van uw database na verloop van tijd steeds groter wordt, met name als er een grotere omgeving wordt beheerd en er elke dag duizenden gebeurtenissen in de database worden geschreven. Het instellen van een onderhoudstaak om uw McAfee ePO SQL-database automatisch opnieuw te indexeren en opnieuw op te bouwen neemt slechts enkele minuten in beslag en is van wezenlijk belang om de prestaties van de McAfee ePO-server op peil te houden. Het opnieuw indexeren van de database kan als onderdeel van uw normale back-upplan worden uitgevoerd, zodat alles in één taak wordt gecombineerd. TIP: krimp uw database niet in. Dit is een veel voorkomende misvatting onder beheerders die met name bij het opstellen van de onderhoudstaak tot uiting komt. Zie McAfee KnowledgeBase-artikel KB67184 voor meer informatie over het opstellen van uw onderhoudstaak. Gebruik de DBCC-opdracht in het artikel "Understanding SQL Server’s DBCC SHOWCONTIG" (Inzicht in DBCC SHOWCONTIG van SQL Server) voor meer informatie over databasefragmentatie en het vaststellen van de fragmentatie van uw database. Gebeurtenissen automatisch verwijderen Uw softwareagents sturen elke dag honderdduizenden gebeurtenissen voor verwerking naar uw McAfee ePO-server. De prestaties van de McAfee ePO-server en SQL-servers kunnen door al deze gebeurtenissen negatief worden beïnvloed. De verstuurde gebeurtenissen kunnen op allerlei zaken betrekking hebben, van de detectie van een dreiging tot de geslaagde voltooiing van een update. In kleinere omgevingen met een paar honderd nodes kunt u deze gebeurtenissen elke nacht verwijderen. Maar in grote omgevingen met duizenden nodes die rapport uitbrengen aan de McAfee ePO-server, is het van essentieel belang dat deze gebeurtenissen worden verwijderd wanneer ze verouderen. 3 WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator U moet eerst bepalen hoelang u de gegevens wilt bewaren. Dit kan één maand zijn, maar misschien ook wel een heel jaar. Bij de meeste organisaties wordt een bewaartijd van circa zes maanden aangehouden. Hierbij worden gebeurtenissen volgens een bepaald schema om de zes maanden uit de database verwijderd. Het is belangrijk dat verouderde gebeurtenissen elke nacht uit uw database worden verwijderd. In grote omgevingen heeft de grootte van de database rechtstreeks invloed op de prestaties van uw McAfee ePOserver. Het is dus van essentieel belang dat de database wordt opgeschoond. De McAfee ePO-software heeft geen vooraf geconfigureerde servertaak om taakgebeurtenissen te verwijderen. Veel gebruikers maken daarom nooit een taak om deze gebeurtenissen te verwijderen, met als gevolg dat de SQL-database van de McAfee ePO-server na verloop van tijd exponentieel gaat groeien en nooit wordt opgeschoond. Uw database bevat twee belangrijke gebeurtenistypen: clientgebeurtenissen en dreigings­ gebeurtenissen. Deze twee gebeurtenistypen vormen het grootste deel van de gebeurtenisgegevens in uw database. Zie tip 5 als u het totale aantal client- en dreigingsgebeurtenissen in uw database wilt vaststellen. Een servertaak maken voor het verwijderen van gebeurtenissen Maak een automatische servertaak om alle gebeurtenissen uit de database te verwijderen die ouder zijn dan X dagen (X is het aantal dagen bewaartijd dat uw organisatie heeft vastgesteld). Taak Klik voor optiedefinities op ? in de interface. 1. Klik op Menu | Automation | Server Tasks (Menu | Automatisering | Servertaken) en vervolgens op Action | New Task (Actie | Nieuwe taak). Het dialoogvenster Server Task Builder (Opbouwfunctie voor servertaak) wordt geopend. 2. Geef de taak een naam, bijvoorbeeld "Clientgebeurtenissen verwijderen" en configureer op het tabblad Actions (Acties) de volgende opties in de lijst met acties: • Purge Audit Log (Controlelogboek leegmaken): leegmaken na zes maanden • Purge Client Events (Clientgebeurtenissen verwijderen): verwijderen na zes maanden • Purge Server Task Log (Logboek voor servertaken leegmaken): leegmaken na zes maanden • Purge Threat Event Log (Logboek voor dreigings­ gebeurtenissen leegmaken): leegmaken na één dag • Purge McAfee SiteAdvisor Enterprise Plus Events (McAfee SiteAdvisor Enterprise Plusgebeurtenissen verwijderen): verwijderen na 10 dagen In dit voorbeeld worden SiteAdvisor-gebeurtenissen afzonderlijk verwijderd omdat deze niet in de normale gebeurtenistabel worden opgenomen. Voor deze gebeurtenissen moet daarom een eigen verwijdertaak worden geconfigureerd. De SiteAdvisor-gebeurtenissen worden slechts tien dagen bewaard, omdat SiteAdvisor alle URL's verzamelt die door de beheerde computers zijn bezocht. In omgevingen met meer dan 10.000 nodes kan dit een enorme hoeveelheid gegevens opleveren. Om die reden worden deze gegevens veel korter opgeslagen dan andere gebeurtenistypen. 3. Plan de taak zodanig dat deze elke dag buiten kantooruren wordt uitgevoerd en klik vervolgens op Save (Opslaan). 2.Organiseer uw systeemstructuur voor maximale productiviteit: integratie van Microsoft Active Directory Met Active Directory-synchronisatie kunt u uw systemen en organisatie-eenheden uit uw Active Directorystructuur halen en deze in de McAfee ePO-software spiegelen. Dit is een ideale optie als uw Active Directory-structuur goed is georganiseerd op basis van business unit, computertype en andere onderdelen. 3. Dynamisch sorteren: endpoints automatisch groeperen voor productiviteit Als u uw computers dynamisch wilt sorteren in uw McAfee ePO-systeemstructuur, kunt u met een combinatie van systeemcriteria (zoals computernaam of IP-adres) de computers dynamisch in de juiste groep in uw McAfee ePO-systeemstructuur plaatsen. 4 WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator U moet hiervoor enkele basisgroepen voor uw systeemstructuur maken. Voor kleinere organisaties is de structuur meestal niet erg complex en omvat soms maar enkele groepen. Voor grotere organisaties kunt u de onderstaande bouwstenen maken en vervolgens de voor- en nadelen van een paar ontwerpen onderzoeken: • GEO: geografische locatie • NET: netwerklocatie • BU: business unit • SBU: sub-business unit • FUNC: functie van het systeem (internet, SQL, toepassingsserver) • CHS: chassis (server, werkstation, laptop) Nadat u een beslissing hebt genomen over de elementaire bouwstenen voor groepen in de structuur, moet u bepalen welke bouwstenen u wilt gebruiken en in welke volgorde, op basis van de volgende factoren: • Beleidstoewijzing: zijn er veel verschillende aangepaste productbeleidsregels die aan groepen moeten worden toegewezen op basis van chassis of functie? Hebben bepaalde business units een eigen aangepast productbeleid nodig? • Netwerktopologie: heeft uw organisatie vertrouwelijke WAN's die nooit het risico mogen lopen om door een inhoudsupdate overbelast te worden? Of hebt u alleen grote locaties en is dit geen probleem? • Toewijzing van clienttaken: moeten clienttaken, zoals een scan-op-verzoek, op groepsniveau (bijv. een business unit) of op systeemtype (bijv. een webserver) worden gemaakt? • Distributie van inhoud: hebt u een beleid voor agents waarin wordt aangegeven dat bepaalde groepen inhoud uit een specifieke opslagplaats moeten halen? • Beheermogelijkheden: moeten er speciale rechten aan uw McAfee ePO-beheerders worden gedelegeerd, zodat zij specifieke locaties in de systeemstructuur kunnen beheren? • Query's: hebt u bij het filteren van query's veel opties nodig om resultaten te verkrijgen van een specifieke groep in de systeemstructuur? Dit is ook een factor die belangrijk kan zijn bij het ontwerpen van uw systeemstructuur. Nadat u de basisonderdelen van uw systeemstructuur hebt gekozen, maakt u een paar voorbeeld­ structuren om de voor- en nadelen van elk ontwerp nader te bekijken. Er is geen goede of verkeerde manier om een systeemstructuur te maken, er zijn alleen pluspunten en minpunten, afhankelijk van uw keuze. Dit zijn een paar van de meest gebruikte systeemstructuren: • GEO -> CHS -> FUNC NET -> CHS -> FUNC • GEO -> BU -> FUNC • 4. Automatiseer uw werk met behulp van servertaken: acties uitvoeren op basis van query's Servertaken zijn items die gepland zijn om te worden uitgevoerd op de McAfee ePO-server zelf. Een goed gebruik van servertaken kan de efficiëntie in uw organisatie aanzienlijk verbeteren. Veel gangbare items die dagelijks of wekelijks handmatig worden uitgevoerd, kunnen met behulp van servertaken worden geautomatiseerd. Servertaken worden automatisch toegevoegd wanneer er nieuwe extensies aan de McAfee ePO-software worden toegevoegd. Servertaken die betrekking hebben op versleuteling worden bijvoorbeeld pas zichtbaar wanneer de versleutelingsextensie wordt geïnstalleerd. Met andere woorden, McAfee ePO wordt geconfigureerd rondom de componenten die u daadwerkelijk beheert en er worden geen opties aangeboden voor producten die u nooit gebruikt. Enkele veel voorkomende servertaken: Een actie uitvoeren met behulp van de resultaten van een query. Rapporten automatisch op gezette tijden e-mailen en exporteren. • Inhoud automatisch van de McAfee-site ophalen en repliceren. • Oudere gebeurtenissen automatisch uit de McAfee ePO-serverdatabase verwijderen. • Inactieve computers automatisch uit de systeemstructuur verwijderen. • • 5 WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator Een actie op basis van een query uitvoeren. Met servertaken kunt u activiteiten op de McAfee ePO-server automatiseren door op gezette tijden een actie uit te voeren die gebaseerd is op de resultaten van een query. Voor deze actie moet u de volgende handelingen uitvoeren: 1. Geef uw servertaak een beschrijvende naam. 2. Kies een actie en vervolgens een subactie. Dit is het belangrijkste deel van het maken van uw taak. Nadat de taak de eerste actie heeft uitgevoerd, wordt de subactie uitgevoerd op basis van de resultaten van de oorspronkelijke actie. Bijvoorbeeld: • Voer een query uit op de computers die langer dan 30 dagen niet met de McAfee ePO-server hebben gecommuniceerd. • E-mail dat rapport naar een bepaalde beheerder. • Verwijder desgewenst de betreffende computers uit uw systeemstructuur nadat het rapport is verzonden. • Maak een query (of gebruik een vooraf geconfigureerde query) om alle computers te vinden die in de afgelopen 12 uur met een virus zijn besmet. TIP: u kunt de query beperken tot een specifiek gebied in uw systeemstructuur, bijvoorbeeld het datacenter in New York. Exporteer het gemaakte rapport in HTML. de koppeling naar de helpdesk, bijvoorbeeld in het datacenter in New York, zodat zij het rapport in hun helpdeskportaal kunnen bekijken. • Plaats eventueel een tag op de computers die binnen het specifieke tijdsbestek met een virus zijn besmet, en voer vervolgens op basis van die tag een scan-op-verzoek op deze besmette computers uit. Er zijn tientallen opties die u kunt gebruiken om acties uit te voeren op basis van een specifieke query. Raadpleeg de Producthandleiding voor McAfee ePolicy Orchestrator 4.5 voor meer informatie. De belangrijkste vereiste is dat uw query een tabel met beheerde systemen retourneert, zodat de McAfee ePO-software acties op die systemen kan uitvoeren. • • Stuur Een servertaak maken Taak Klik voor optiedefinities op ? in de interface. 1. Klik op Menu | Automation | Server Tasks (Menu | Automatisering | Servertaken) en klik vervolgens op Actions | New Task (Acties | Nieuwe taak). Het dialoogvenster Server Task (Servertaak) wordt geopend. 2. Geef de taak een naam, bijvoorbeeld "Inactieve systemen beheren" en klik op Next (Volgende). Het dialoogvenster Actions (acties) wordt geopend. 3. Configureer een weekrapport. • Klik op Run Query (Query uitvoeren) in de lijst met Actions (acties). Klik op de query Managed Inactive Agents (Beheerde inactieve agents) in het dialoogvenster met query's dat wordt geopend en klik vervolgens op OK. • Maak een subactie om de inactieve agents te verwijderen die door het rapport zijn gegenereerd en klik vervolgens op Next (Volgende). • 6 WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator • U ziet dat u eerst een actie en vervolgens een subactie moet kiezen. Op deze manier kan de taak eerst de actie uitvoeren en vervolgens op basis van de resultaten van deze actie de subactie uitvoeren. 4. Plan het uitvoeren van de servertaak. Als de McAfee ePO-server druk bezet is, zorg er dan voor dat deze taak buiten kantooruren wordt uitgevoerd, hetzij elke nacht of één keer in de week. 5.Rapportagetip voor McAfee ePO-software: aangepaste query's kunnen tot belangrijke ontdekkingen leiden U kunt heel eenvoudig aangepaste query's op de McAfee ePO-server maken. Ook is het mogelijk om bestaande query's te dupliceren en te wijzigen om andere resultaten en rapporten te verkrijgen. Aangepaste query's kunnen in vier eenvoudige stappen worden gemaakt. Net als bij de meeste taken in de McAfee ePO-software kunt u gebruik maken van de gebruiksvriendelijke wizard (die boven in het scherm staat). Er zijn twee manieren om aangepaste query's te maken: • • Bepaal vooraf exact welke soort query u wilt maken voordat u deze daadwerkelijk probeert te maken. Blader door de querywizard en probeer verschillende variabelen om te zien welke soort query's er kunnen worden gemaakt. Beide manieren zijn bruikbaar en kunnen interessante gegevens over uw omgeving opleveren. Als u geen of weinig ervaring met het querysysteem hebt, probeer dan eens verschillende variabelen te gebruiken, zodat u beter vertrouwd raakt met het soort gegevens dat door McAfee ePO wordt geretourneerd. Nadat u uw rapport hebt opgesteld, kunt u actie ondernemen op basis van de resultaten (indien de geretourneerde gegevens betrekking hebben op beheerde systemen). Dit betekent dat u allerlei verschillende acties kunt uitvoeren in de systeemstructuur. U kunt bijvoorbeeld computers activeren, bijwerken, verwijderen of naar een andere groep verplaatsen. Dit is bijzonder handig bij het uitvoeren van rapporten op computers die: • al geruime tijd niet met de McAfee ePO-server hebben gecommuniceerd. vermoedelijk niet correct werken wanneer u ze probeert te activeren. • een nieuwe agent nodig hebben die rechtstreeks vanaf de McAfee ePO-server moet worden geïmplementeerd. • 7 WhitepaperDe vijf beste tips over McAfee ePolicy Orchestrator Aanvullende tips McAfee's technisch YouTube-kanaal: korte demonstratievideo's gemaakt door productexperts van McAfee. Korte videotips over McAfee ePO-software: meer dan 100 video's over allerlei technische onderwerpen. McAfee Security Blogs: lees wat de experts te zeggen hebben over een brede verscheidenheid van onderwerpen. McAfee KnowledgeBase: de officiële McAfee Support-site. McAfee Community Forum: een gemeenschap van ePO-gebruikers die een schat aan informatie biedt over aanbevolen procedures voor McAfee ePO-software. McAfee McAfee, een volledige dochteronderneming van Intel Corporation (NASDAQ:INTC), is het grootste bedrijf ter wereld dat gespecialiseerd is in beveiligingstechnologie. McAfee biedt proactieve en bewezen oplossingen en services die systemen, netwerken en mobiele apparaten over de hele wereld helpen beveiligen, zodat gebruikers veiliger op internet kunnen surfen en winkelen. McAfee kan dankzij haar ongeëvenaarde Global Threat Intelligence vernieuwende producten ontwikkelen die thuisgebruikers, bedrijven, de overheid en serviceproviders de mogelijkheid bieden om regelnaleving te bewijzen, gegevens te beveiligen, onderbrekingen te voorkomen, kwetsbaarheden te identificeren en hun beveiliging voortdurend te controleren en te verbeteren. McAfee zoekt onophoudelijk naar nieuwe manieren om haar klanten te beschermen. http://www.mcafee.com/nl McAfee International BV Boeingavenue 30 1119 PE Schiphol-Rijk The Netherlands + 31 (0)20 5863800 www.mcafee.com/nl McAfee, het McAfee-logo, McAfee ePolicy Orchestrator, McAfee ePO en SiteAdvisor zijn gedeponeerde handelsmerken of handelsmerken van McAfee Inc. of haar dochterondernemingen in de VS en andere landen. Andere namen en merken kunnen eigendom van anderen zijn. De productplannen, specificaties en beschrijvingen hierin zijn alleen bedoeld ter informatie. Deze kunnen zonder kennisgeving worden gewijzigd en worden geleverd zonder enige garantie (expliciet of impliciet). Copyright © 2011 McAfee, Inc. 30501wp_top-5-tips-for-mcafee-epo_0711_fnl_ETMG
