Shunze 學園 - 《分享》Security Heartbeat設定

Shunze 學園 >資訊設備專區 >Sophos XG > 《分享》Security Heartbeat設定

哈囉，還沒有註冊或者登入。請你[註冊|登入]

顯示成列印模式 | 增加到我的最愛

作者

主題

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》Security Heartbeat設定

由防火牆與防毒軟體做聯合防禦是Sophos XG上的一個訴求重點。
漂亮的官方話順子就不說了，以下直接來看看如何在XG上設定Security Heartbeat，
讓Endpoint與XG能夠成功同步訊息。

環境需求
XG防火牆上，Network Protection module授權是必需的。
前端電腦必需安裝Sophos Cloud Endpoint Protection Advanced或Sophos Cloud Enduser Protection。

注意！Security Heartbeat前端電腦不支援MAC OS，不支援Windows XP，不支援Windows Server。
(什麼！？只支援Windows 7以上的Workstation，那還要玩嗎？這個...看個人囉...)

申請Sophos Central帳號
若還沒有Sophos Central帳號，可以跟順子一樣去 Sophos Central 網站申請一個30天試用版。
然後登入 Sophos Central 進行操作。
前端電腦安裝Sophos Central
登入Sophos Central後，可在 Configure / Protect Devices 中依前端電腦類型來下載對應的軟體。

由於這次的重點是跟XG的聯防，所以我們下載Windows Installer到前端電腦進行安裝。

如果前端電腦使用者要自行安裝，那麼我們還可email軟體連結，讓使用者自行下載安裝，
前提是前端使用者有系統管理員權限，可自行安裝。

可依需求勾選要email的軟體種類。

Computer的email連結。

行動裝置的email連結。
透過AD來大量部署
若是一兩台電腦那還好處理，但若是公司行號，總不能叫MIS一台一台裝吧？
在這種情境下可以透過AD來進行前端user電腦的大量部署。

要透過AD來部署，請先下載Windows Installer - SophosInstall.exe 備用，
然後到AD中的群組原則，進行網域電腦啟動時的指令碼編寫，讓電腦啟動時即進行Sophos Endpoint的安裝。

基本上，透過指令碼來安裝可在user登入時進行或電腦開機時進行；
但在user登入時進行，該user需具有系統管理員權限才能進行安裝，
所以我們選擇在電腦開機時進行安裝，以避免安裝時的權限問題。

於啟動的指示碼中，按下顯示檔案。

然後把安裝script建立於此路徑中，檔名就叫做EndPoint_install.bat。

該script內容如下，

@echo off
SET MCS_ENDPOINT=Sophos\Management Communications System\Endpoint\McsClient.exe
IF "%PROCESSOR_ARCHITECTURE%" == "x86" GOTO X86_PROG
IF NOT EXIST "%ProgramFiles(x86)%\%MCS_ENDPOINT%" GOTO INSTALL
exit /b 0

:X86_PROG
IF NOT EXIST "%ProgramFiles%\%MCS_ENDPOINT%" GOTO INSTALL
exit /b 0

:INSTALL
pushd \\172.16.16.1\netlogon
SophosInstall.exe -q
Popd
↑其中\\172.16.16.1\netlogon為SophosInstall.exe安裝檔所放置的路徑。

然後新增一個指令碼，指向剛才建立的script。

這樣指令碼的設定就好了。

完成後，AD主機上的設定就已經結束了～
等前端電腦的網域原則同步後(或下gpupdate /force指令來強迫同步)，
重開機時，Sophos就會在背景偷偷安裝EndPoint。

登入電腦，也可發現有一個Sophos圖示出現在常駐列中。

給它一點時間進行同步，完成後Sophos的圖示會變成以下這個樣子，代表安裝完成。
XG啟用Security Heartbeat
在XG的Dashboard按下Security Heartbeat的Configure即可進行Sophos Central的連結設定。

正確輸入Central的帳號/密碼後，按下Register即可完成註冊。

完成後，Sophos Central欄位會顯示其註冊帳號。

回到Sophos Central上，也可看到XG與Central已產生連結。

若剛才Client端的Endpoint已安裝好並完成同步的話，
在XG的Dashboard上，就可以Security Heartbeat的數字已由0變成1。

點進去看，則可以看到進一步的內容，若有異常前端電腦會在這裏顯示出來。
設定Security Heartbeat Rule
前端Heartbeat已同步後，我們就可以在防火牆規則中加入Security Heartbeat的限制等級，
例如我們只放行Green狀態健康的user。

那麼非Green等級或未安裝Endpoint的前端電腦在上網時，就會被XG所阻擋。

Security Heartbeat的安裝設定就這麼簡單嗎？
其實不然喔...
Security Heartbeat的設定其實有些小麻煩，以下順子將分做幾篇來進行分享～

參考資料
Methods for automating the deployment of...ndows computers
Deploying Endpoint Security and Control ...ry group policy

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2016-11-02, 20:54

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》V15上的特別設定

Security Heartbeat在V15的操作上，有些Sophos的FQDN站台需要額外放行，
否則前端Endpoint在第一次裝好後，會因無法連線到遠端更新網站而導致相關元件下載失敗。

↑Central上顯示無法至http://dci.sophosupd.com/update網站下載WindowsCloudNextGen。

無法成功下載更新元件的電腦只能看到以下3個Sophos服務，少了最重要的Sophos Heartbeat服務。

我們需把以下Sophos FQDN Host另建規則置頂放行。

dci.sophosupd.com
sophos.com
mojave.net
sophosupd.com
sophosupd.net
sophosxl.net

完成後再試試更新Sophos Endpoint，這時總算可以成功下載相關元件了～

成功下載元件後，給它一點時間更新，完成後會看到Sophos圖示已變成另一個ICON。

而服務中也多出了許多Sophos服務，當然包括了最重要的Sophos Heartbeat服務～

Heartbeat跑起來了，XG上自然也就能跟前端Endpoint同步了～

參考資料
How to make security heartbeat work?

♥順子老婆的網拍，請多關照～

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!

2016-11-03, 10:31

shunze
工友伯伯

註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2380
shunze 離線

《分享》大量部署的頻寬風暴問題

如第一篇所說，前端只有一兩台時，可以一台一台裝，
而在大量部署時，則可透過AD網域的開機指令碼在背景逐一安裝，以減輕IT人員的負擔。

但這樣又衍生出一個問題，
環境中一次幾十台，甚至是幾百台的安裝後更新，不就把對外頻寬吃光光了？
畢竟Sophos Central是雲端版，只能向外對Sophos主機來進行更新...

關於這問題Sophos提供了兩種解決方案，
一個是治標的，製作一個已下載最新樣本的離線安裝檔，以減少對外的更新量；
另一個是治本的，在內部建立一台Cache主機，內部所有Endpoint的更新均指向這台Cache主機。

Cache主機的需求如下，

Windows 2008 and later
x64
At least 5GB free disk space
TCP Port 8191 is available and accessible to computers that will update from the cache
Windows Firewall service must be started

Note: It is recommended to use servers that have a multi-core processor.

除此之外，Cache主機是需要一套Sophos Central Server Protection授權的(也就是要錢的)，
所以順子沒法測試...
以下將以Win7為操作平台，進行順子能測的離線安裝檔的操作演練。

準備必要的三個檔案
1. Sophos Pattern樣本檔
  上述已經說了，離線安裝檔之所以能減輕對外的頻寬需求，
  就是因為它裏面已包含最新的pattern，因此可以減少對外的下載。
  
  所以製作離線安裝檔的第一步，就是到一台已經更新到最新的電腦中將pattern取出來供其它電腦使用。
  Win7中Sophos的pattern放置路徑如下，
  
  C:\ProgramData\Sophos\AutoUpdate\Data\
  
  把路徑下的Warehouse資料夾壓縮備用，這是第一個需求檔。
2. Sophos Endpoint安裝檔
  有了樣本檔後，第二檔案自然就是Sophos Central Endpoint安裝檔本身。
  請到Sophos Central中進行下載安裝檔 - SophosInstall.exe。
3. Sophos安裝腳本檔
  最後就是安裝腳本檔，請建立一個如下內容的腳本檔，並存檔為 SophosInstall.vbs 備用。
  
  'Script to install Sophos Cloud software using an archive of a warehouse to save initial bandwidth
  option explicit
  
  on error resume next
  
  'Constants
  const ALL_USERS_APPLICATION_DATA = &H23&
  
  'Global objects
  dim objFSO : set objFSO = CreateObject("Scripting.FileSystemObject")
  dim objShell : set objShell = CreateObject("WScript.Shell")
  dim objShellApp : set objShellApp = CreateObject("Shell.Application")
  
  'Global variables
  dim strWarehouseDirectory : strWarehouseDirectory = ""
  dim strApplicationData : strApplicationData = ""
  dim strWarehouseLocation : strWarehouseLocation = "\Sophos\AutoUpdate\data\"
  dim strSourceFile : strSourceFile = objFSO.GetAbsolutePathName(".") & "\warehouse.zip"
  dim strCommandToInstall : strCommandToInstall = "SophosInstall.exe -q"
  
  'Get future "Warehouse" location
  strApplicationData = GetAppData()
  
  if strApplicationData <> "-1" then
      strWarehouseDirectory = strApplicationData & strWarehouseLocation
  else
      'Failed to get valid application data directory.
      wscript.quit(1)
  end if
  
  'Unpack warehouse archive to directory
  Unpack strSourceFile, strWarehouseDirectory
  
  'Run the command to install Sophos Cloud endpoint software
  objShell.run strCommandToInstall, 10, true
  
  'Tidy up
  set objFSO = nothing
  set objShell = nothing
  set objShellApp = nothing
  
  'Functions ----------------------------------------------------------------------------
  '--------------------------------------------------------------------------------------
  Function GetAppData()
  
      dim objFolder : set objFolder = objShellApp.Namespace(ALL_USERS_APPLICATION_DATA)
      dim objFolderItem : set objFolderItem = objFolder.Self
  
      dim strPath : strPath = objFolderItem.Path
  
      if strPath = "" then
          GetAppData = "-1"
      else
          GetAppData = strPath
      end if
  
      set objFolder = nothing
      set objFolderItem = nothing
  
  End Function
  '--------------------------------------------------------------------------------------
  
  '--------------------------------------------------------------------------------------
  Function Unpack(strSourceFile, strLocation)
  
      if not objFSO.FolderExists(strLocation) Then
       CreateFolderStructure(strLocation)
      end If
  
      dim objFiles : set objFiles = objShellApp.NameSpace(strSourceFile).items
      objShellApp.NameSpace(strLocation).CopyHere objFiles, 4
  
      set objFiles = nothing
  
  End Function
  '--------------------------------------------------------------------------------------
  
  '--------------------------------------------------------------------------------------
  Function CreateFolderStructure(strDirs)
  
      if not objFSO.FolderExists(strDirs) then
          CreateFolderStructure objFSO.GetParentFolderName(strDirs)
          objFSO.CreateFolder strDirs
      end if
  
  End Function
  '--------------------------------------------------------------------------------------
三個檔案準備好後，準備進行下一個步驟～
建立自解壓縮安裝檔
三個必要檔案備齊後，接下來就要用Win7中已內建的封裝程式 - iexpress.exe 來建立自解壓縮安裝檔。

↑開啟時，請以系統管理員身份來執行喔～

然後按以下方式逐一進行。

↑Title名稱請自訂，例如Sophos Cloud Full Installer。

↑由於是背景安裝，所以不要提示。

↑在這邊把上個步驟的三個檔案加進去！

↑Install program請輸入 cscript.exe //b //nologo SophosInstall.vbs。

↑由於是背景安裝，所以不要顯示Windows視窗。

↑Package Name and Options請輸入 C:\windows\temp\SophosInstallFull.exe，做為安裝時的解壓路徑，
然後下方兩個checkbox要勾選。

↑No restart，安裝完成後不要重開機。

↑選擇 Save SED 檔案。

↑封裝的進行需要一點時間。

完成後，可在C:\Windows\Temp路徑中找到剛才建立的檔案，檔案有251M，比原來17M單純的安裝檔太的多了～