Kelverion vient de publier un nouvel outil permettant de simplifier et automatiser l’installation de la console d’opérations Opalis 6.3. En temps normal, l’installation de la console nécessite la validation de nombreux prérequis. Cet outil permet de simplifier cette opération.
Vous pouvez regarder la démo sur http://www.kelverion.com/utility-for-opconsole-demo
Le projet CodePlex était créé afin d’apporter un ensemble de cmdlets PowerShell pour System Center Service Manager (SCSM) 2010 vient d’être mis à jour en bêta 2. Cette mise à jour corrige les différents bugs rapportés.
Cette version apporte les améliorations suivantes :
Voici la liste des commandes :
Accédez au projet : http://smlets.codeplex.com/
L’équipe du support SCCM au travers de J.C Hornbeck vient de publier un article très intéressant sur comment configurer les sites ConfigMgr afin d’obtenir les meilleurs performances possibles. Ce post fait référence à un article sur Technet prenant le cas d’un scénario basé sur une hiérarchie comportant 200,000 clients, un site central, deux sites primaires enfants.
Pour plus d’information, vous pouvez lire l’article Technet : http://technet.microsoft.com/en-us/library/bb892809.aspx
L’équipe du support SCCM vient de publier un article dans la base de connaissance sur un problème survenant avec le rôle Reporting Services Point. Ce composant renvoie l’erreur suivante :
SMS_SRS_REPORTING_POINT 7404 SRS is not installed or properly configured on SRS Reporting point server "<servername>".
Cette erreur survient si l’assistant “Copy Reports to Reporting Services » n’est pas lancé sur le serveur. Cette étape manuelle doit être opérée afin de créer la structure par défaut.
Note : L’erreur ci-dessus est reportée à chaque fois que le service « SMS_SRS_Reporting_POINT »
Pour résoudre cette erreur :
Pour plus d’information, rendez-vous sur la KB2498344 - The Configuration Manager 2007 Reporting Services point fails with 'SRS root folder "configmgr_<sitecode>" is not present'
Depuis le 11 janvier dernier, Microsoft signe la fin du support du Service Pack 1 de System Center Configuration Manager 2007. Pour ceux qui ont du retard, vous pouvez accélérer la migration vers le Service Pack 2.
Source : blog SCCM
L’équipe du support SCCM vient de publier un article dans la base de connaissance sur un problème concernant l’inventaire matériel. Celui-ci dans certains cas peut engendrer une consommation excessive de la CPU pour le processus SMSexec.exe.
Quand le serveur SCCM procède au traitement des fichiers d’inventaire matériel (.MIF) ; celui-ci échoue et le processus SMSexec.exe se met à consommer une grande quantité de temps processeur.
Ce problème survient si l’option globale « no count » est activée sur le serveur SQL hébergeant la base de données SMS. Si celle-ci est activée, SCCM ne peut obtenir le nombre de ligne de SQL et ne peut ainsi compléter le cycle d’extension du schéma.
Vous devez ainsi désactiver l’option « no count » afin que le traitement ait lieu normalement. Vous pouvez accéder à cette option dans SQL Management Studio : Propriétés du serveur SQL => Connections => « no count ».
Pour plus d’informations, lisez la KB2488396 - Hardware Inventory in Configuration Manager 2007 fails and the SMSexec.exe process shows high sustained CPU utilization
L’équipe du support SCCM vient de publier un billet concernant un problème survenant durant le déploiement des machines avec la tâche d’activation de BitLocker (Enable BitLocker).
En examinant les logs, on apprend que la puce TPM est bien activé et initialisé :
Start
executing the command line: OSDBitLocker.exe /enable /wait:False
/mode:TPM /pwd:AD TSManager
!--------------------------------------------------------------------------------------------!
TSManager
Expand a string: FullOS TSManager
Executing command line: OSDBitLocker.exe /enable /wait:False /mode:TPM
/pwd:AD TSManager
==============================[ OSDBitLocker.exe
]============================== OSDBitLocker
Command line: "OSDBitLocker.exe" /enable /wait:False /mode:TPM
/pwd:AD OSDBitLocker
Initialized COM OSDBitLocker
Command line for extension .exe is "%1" %* OSDBitLocker
Set command line: "OSDBitLocker.exe" /enable /wait:False /mode:TPM
/pwd:AD OSDBitLocker
Target volume not specified, using current OS volume OSDBitLocker
Current OS volume is 'C:' OSDBitLocker
FALSE, HRESULT=80004005
(e:\nts_sms_fre\sms\framework\tscore\encryptablevolume.cpp,364) OSDBitLocker
Unable to find instance of 'Win32_EncryptableVolume' where 'DriveLetter' =
'C:'. Ensure that BitLocker Drive Protection is available for this device.
OSDBitLocker
m_pEncryptableVolume->Initialize( pszVolume ), HRESULT=80004005
(e:\nts_sms_fre\sms\client\osdeployment\bitlocker\bitlocker.cpp,222) OSDBitLocker
pBitLocker->Initialize( argInfo.sTarget ), HRESULT=80004005
(e:\nts_sms_fre\sms\client\osdeployment\bitlocker\main.cpp,637) OSDBitLocker
Process completed with exit code 2147500037 TSManager
!--------------------------------------------------------------------------------------------!
TSManager
Failed to run the action: Enable BitLocker.
Unspecified error (Error: 80004005; Source: Windows) TSManager
Ce problème survient si le disque où vous installez Windows n’a pas été correctement partitionné. Pour rappel, vous devez créer une première partition de 100 à 300 MB dédiée au stockage du boot manager et des fichiers de boot. Ceux-ci ne peuvent être chiffrés pour que l’ordinateur puisse démarrer correctement. La seconde partition est utilisée pour stocker le système.
System Center Configuration Manager 2007 ne créé pas ces deux partitions. Il existe deux méthodes pour palier à ce problème :
Pour plus d’informations sur la mise en œuvre de ces deux solutions, je vous renvoie vers le billet de l’équipe : http://blogs.technet.com/b/configurationmgr/archive/2011/01/20/solution-the-enable-bitlocker-task-fails-to-run-during-a-configmgr-2007-task-sequence.aspx
L’équipe MED-V vient de publier expliquant comment gérer et administrer les adresses MAC des machines virtuelles MED-V. Pour cela, vous devez utiliser le fichier de configuration GlobalImageData.xml. Ce fichier contient deux éléments importants :
Pour plus d’informations, je vous laisse consulter le blog de l’équipe MED-V : http://blogs.technet.com/b/medv/archive/2011/01/24/how-to-manage-vm-mac-addresses-with-the-globalimagedata-xml-file-in-med-v-v1.aspx
L’équipe Forefront vient de publier le Management Pack pour Windows Storage Server 2008 R2 en version 6.0.6600.0.
Le Management Pack supervise :
Télécharger Windows Storage Server 2008 R2 Monitoring Management Pack
L’équipe Remote Desktop vient de publier un connecteur Remote Desktop Services pour System Center Virtual Machine Manager. Celui-ci va permettre d’inclure System Center Virtual Machine Manager dans votre infrastructure de bureau virtuel (VDI). Ainsi, ce connecteur permet la communication entre le rôle Remote Desktop Connection Broker et le serveur Virtual Machine Manager afin de provisionner dynamiquement les machines virtuelles VDI.
Télécharger Remote Desktop Services Connector for System Center Virtual Machine Manager
Microsoft a un rythme de croisière de deux versions de
Microsoft Desktop Optimization Pack (MDOP) par an. On retrouve ainsi
systématiquement une première édition suivie de la R2 dans la seconde moitié de
l’année. MDOP 2010 R2 apportait la version 4.6 de Microsoft Application
Virtualization (App-V) et le Service Pack 1 de Microsoft Enterprise Desktop
Virtualization (MED-V).
Mais que va nous apporter MDOP 2011 ?
Vous l’aurez compris ceux-ci est fourni est à titre indicatif et Microsoft n’a pas encore communiquer sur le contenu exacte de MDOP 2011.
L'équipe Exchange vient de mettre à jour l'outil Exchange 2010 Mailbox Server Role Requirements Calculator dans sa version 14.1. Cet outil est composé de feuilles Excel permettant d'entrer des données relatives à votre architecture.
Le calculateur vous donnera les prérequis de :
La version 14.1 inclut les améliorations et les fonctionnalités suivantes :
La version 14.1 corrige les bugs suivants par rapport aux versions précédentes :
Résumé des changements entre chaque version : http://msexchangeteam.com/archive/2010/01/22/453859.aspx
Article sur son utilisation : http://msexchangeteam.com/archive/2009/11/09/453117.aspx
Télécharger Exchange 2010 Mailbox Server Role Requirements Calculator
L’équipe SCCM vient de publier un billet concernant une erreur qui touche les administrateurs utilisant l’éditeur de séquence de tâches. Celui-ci renvoi l’erreur « too many steps » quand l’administrateur édite une séquence de tâches très complexe.
Pour résoudre ce problème, je vous renvoie vers le blog de l’équipe : http://blogs.technet.com/b/configmgrteam/archive/2011/01/18/task-sequence-editor-too-many-steps-issue-and-solution.aspx
La communauté Opalis est en pleine expansion ; c’est ainsi que Charles Joy a publié trois nouveaux packs d’intégration sur CodePlex.
On retrouve les Integration Packs suivants :
Ces packs rejoignent la liste des packs déjà présents :
Les DeploymentGuys viennent de publier un article très intéressant permettant de forcer l’exécution des publications à la fin du déploiement. Ceci permet de lancer l’ensemble des scripts même ceux facultatifs et nécessitant une intervention de la part de l’utilisateur. C’est un bon moyen de s’assurer que l’ensemble des publications ciblant la machine ont été exécutée à la fin du déploiement. A la base ce script a été construit pour un scénario de déploiement LTI avec MDT mais il se prête très bien à un déploiement via SCCM.
Vous devez procéder aux étapes suivantes :
Pour plus d’informations, je vous renvoie vers le billet : http://blogs.technet.com/b/deploymentguys/archive/2011/01/18/kick-starting-sccm-advertisements.aspx
L’équipe Opalis vient de publier un article dans la base de connaissance afin de détailler les étapes nécessaires à l’installation du pack d’intégration IBM Tivoli Enterprise Console. Ce pack d’intégration nécessite l’intégration de nouvelles classes et règles dans la console IBM Tivoli Enterprise.
Pour plus d’informations, je vous laisse consulter la KB2491953 - How to install Opalis Integration Pack for IBM Tivoli Enterprise Console Class and Rule definitions
Source : Blog Opalis
Voilà un article peu atypique mais qui à le mérite de donner les avantages et inconvénients de Windows Virtual PC 7 pour une utilisation dans le cadre de gamers. Malheureusement, Virtual PC est un piètre élève dans sa catégorie et n’est vraiment pas fait pour ce genre de situation.
Je vous laisse lire l’article des Ben Armstrong (Virtualization Program Manager chez Microsoft) : http://blogs.msdn.com/b/virtual_pc_guy/archive/2011/01/14/gaming-on-windows-virtual-pc.aspx
Microsoft vient de publier la version finale de MAP 5.5. Pour rappel, Microsoft Assessment and Planning Toolkit (MAP) fait partie de la catégorie des accélérateurs de solution (Solution Accelerator) tout comme Microsoft Deployment Toolkit. MAP permet d’opérer un inventaire complet des serveurs et des stations de travail déployés sur votre réseau. Il effectue un inventaire matériel et logiciel. Il opère aussi des analyses de performances et de fiabilité. MAP permet l’inventaire des systèmes suivants : Windows 7, Windows Vista, Windows XP Professional, Windows Server 2008 ou Windows Server 2008 R2, Windows Server 2003 ou Windows Server 2003 R2, Windows 2000 Professional ou Windows 2000 Server, VMware ESX, VMware ESXi, VMware Server. La version 5 apportait l’inventaire des systèmes Linux et Unix ainsi que des scenarii supplémentaires concernant le déploiement d’Office 2010, la détection du déploiement par le biais de SCCM.
Qu’apporte cette version 5.5 ?
MAP doit être installé sur une machine disposant des éléments suivants : Word 2007 ou 2003 SP2, Word Primary Interop Assemblies, Excel 2007 ou Excel 2003 SP2, Excel Primary Interop Assemblies, Microsoft Office Compatibility Pack for Office 2007, .Net Framework. Lors de son installation MAP requiert un accès à une base de données comme celle de SQL Server 2008 Express.
Téléchargez Microsoft Assessment and Planning (MAP) Toolkit 5.5 RTM
Je vous en parlais la semaine dernière, voici mon nouvel article sur l'implémentation de Forefront EndPoint Protection 2010. Comme pour le dernier, cet article est disponible sur Internet ou en version numérique.
En août 2003 alors que les administrateurs systèmes étaient d’avantage exposés à la lumière du soleil qu’à celle de leur écran d’ordinateur ; MS Blaster l’un des fléaux informatiques les plus célèbres commençait à envahir le monde de l’entreprise. Celui-ci allait changer radicalement la vision de la sécurité au cœur des entreprises en lançant une prise de conscience générale. A l’heure du passage en 2011, il n’est pas envisageable qu’une entreprise ne protège pas son parc informatique par un système anti-logiciel malveillant performant. Fin 2010, Microsoft annonçait la sortie de la nouvelle version de sa solution antivirale. Forefront EndPoint Protection était attendu depuis près de 3 ans avec des attentes fortes en matière d’administration. Cette nouvelle version change de stratégie en proposant une intégration complète à la gamme System Center au travers de System Center Configuration Manager (SCCM) 2007 et System Center Operations Manager (SCOM) 2007.
Vous verrez dans cet article comment implémenter Forefront EndPoint Protection et comment l’utiliser au quotidien. Nous verrons les différents avantages et inconvénients de cette solution et les avancées proposées.
Notez que cet article n’abordera pas l’implémentation de Forefront EndPoint Protection 2010 Security Management Pack. C’est-à-dire l’implémentation des Management Packs dans une infrastructure System Center Operations Manager.
Level : 200
Connaissances pré requises : System Center configuration Manager 2007, Windows Server Updates Services.
Lire l'article sur mon blog : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Ou
Télécharger cet article au format numérique : ICI
Nous avons vu dans cet article comment installer et implémenter Forefront EndPoint Protection 2010. Vous avez pu voir l’intégration complète et forte dans System Center Configuration Manager 2007 offerte par cette nouvelle édition. Les avantages de gérer les stratégies ou encore les alertes au travers de l’administration quotidienne offerte par SCCM sont multiples. Nous avons vu la simplicité offerte par l’utilisation d’une console centrale pour gérer l’ensemble des besoins de l’entreprise. Forefront EndPoint Protection fait donc un pas de géant vers les entreprises qui attendaient une intégration au produit d’administration de Microsoft.
Néanmoins les sociétés ne disposant pas de System Center Configuration Manager se sentiront lésées par ce changement de stratégie qui nécessitera un investissement conséquent. Certaines d’entre elles disposent déjà d’un outil de distribution électronique de logiciels (electronic software distribution (ESD) systems) et les migrations peuvent coûter beaucoup plus cher que d’opter pour un concurrent de FEP. De la même manière, les petites et moyennes entreprises ne sont plus la cible de ce produit. En effet, il n’existe pas à ce jour de dispositif d’intégration pour System Center Essentials 2010. On peut simplement regretter que Microsoft n’ait pas prévu une console simplifiée et dédiée pour ce type d’entreprise. Le pari de Microsoft trouvera certainement son sens dans le mode de licence proposé puisque beaucoup d’entreprises utilisent SCCM avec une solution antivirale concurrente et peuvent ainsi se voir attribuer aujourd’hui gratuitement Forefront EndPoint Protection 2010. La citation « FEP and SCCM : Better Together » prend réellement son sens avec cette version 2010.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Il existe différents moyens d’utiliser les données rapportées sur l’état du client Forefront EndPoint Protection. System Center Configuration Manager et Forefront EndPoint Protection proposent :
Nous avons déjà détaillé les collections précédemment dans cet article. Néanmoins pour rappel, on en retrouve sur :
Plus généralement, un tableau de bord est disponible sur le nœud Forefront EndPoint Protection de la console d’administration. Celui-ci donne une vision globale du nombre de machines dans les différents états cités dans les collections. Un bilan des différentes lignes de base est disponible. Celui-ci présente le niveau de conformité ainsi que le nombre de machines conformes ou non.
Forefront EndPoint Protection offre trois types de rapport. Ceux-ci sont disponibles dans l’arborescence : Site Database => Computer Management => Forefront EndPoint Protection => Reports.
Vous pouvez lancer les rapports en cliquant droit et en sélectionnant « Run ».
Le premier rapport « Computer Details » donne la liste des machines accompagnée de l’état de leur protection, de l’état de la sécurité, de la version des définitions. Si un logiciel malveillant a été détecté, on dispose des dates de première et dernière apparition.
Le rapport « Antimalware Protection Summary » donne une vision de l’état général de la protection anti logiciels malveillants.
Les diagrammes suivants sont disponibles :
Enfin, le rapport “Antimalware Activity” donne un résumé de l’activité des logiciels malveillants détectés sur le parc informatique.
On retrouve différentes informations comme :
Sur chacun de ces rapports, vous pouvez bénéficier de la puissance de SQL Server Reporting Services en modifiant différents paramètres (collection, date de début/fin, étendue du rapport…) qui influeront sur le résultat fourni par le rapport.
Enfin, vous pouvez trouver un rapport détaillé sur chaque machine. Ouvrez la console d’administration et déroulez l’arborescence afin d’atteindre les collections. Cliquez droit sur le poste de travail cible et choisissez « Run FEP Computer Details Report » :
Le rapport donne des détails sur l’ordinateur, sur l’état de la protection, sur l’activité des logiciels malveillants :
Forefront EndPoint Protection 2010 apporte un certain nombre de lignes de base et d’objets de configuration disponibles pour assurer la conformité des postes de travail au travers de la configuration du client FEP 2010.
Les lignes de base commençant par le préfix « FEP Monitoring » sont utilisées par Forefront pour superviser le client Forefront et remonter l’état du client et de sa configuration (état des mises à jour, des services…). Lors de l’installation de Forefront EndPoint Protection, l’activation de l’agent de gestion des configurations désirées est un prérequis pour cette raison.
On retrouve 4 lignes de base :
Ces quatre lignes de base sont appliquées à l’ensemble des machines disposant du client Forefront EndPoint Protection. Elles sont essentielles dans le fonctionnement du produit.
En parallèle, Forefront EndPoint Protection 2010 fournit quatre autres lignes de base pouvant être utilisées pour assurer la conformité du client vis-à-vis des standards de configuration (équivalent aux modèles de stratégie disponibles) :
Note : Ces lignes de base ne sont pas assignées par défaut.
Ces lignes de base font toutes références à 23 objets de configuration :
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
System Center Configuration Manager dispose de mécanismes permettant de connaître l’état de santé de l’ordinateur et des différents services de protection Forefront. Parmi ceux-ci, on retrouve des lignes de base permettant de détecter l’état en fonction de différentes requêtes WMI. Ces lignes de bases rapportent par exemple au serveur les différentes menaces détectées. L’intrusion d’un virus ou d’un logiciel malveillant peut causer des dégâts graves sur l’ensemble du parc en très peu de temps.
Ainsi, Forefront EndPoint Protection 2010 offre un système d’alertes que vous pouvez configurer pour alerter les administrateurs du parc informatique. Vous verrez dans cette partie comment configurer le système d’alerte.
Commençons par le paramétrage du système d’envoi d’email. Pour cela, ouvrez la console d’administration et déroulez Site Database => Computer Management => Forefront EndPoint Protection => Alerts. Cliquez droit sur le nœud Alerts et sélectionnez « E-Mail Settings ».
La fenêtre de paramétrage s’ouvre. Cochez la case « E-mail alert notification ». Entrez ensuite le serveur SMTP, le port, la méthode d’authentification, et l’adresse e-mail d’expédition.
Cliquez ensuite sur « Test and Close… » et entrez l’adresse email que vous souhaitez utiliser pour tester le système d’envoi :
Un message d’information s’affiche et un email a été envoyé sur l’adresse indiqué pour vérifier que le système fonctionne :
Après avoir configuré le système d’envoi d’emails, nous allons pouvoir configurer les quatre types d’alertes disponibles.
La première alerte correspond à l’alerte épidémique. Celle-ci envoi un email lorsqu’un même logiciel malveillant est détecté sur un nombre d’ordinateurs spécifiés. Dans le nœud « Malware Outbreak Alert » de la partie Forefront EndPoint Protection => Alerts, sélectionnez l’alerte correspondante.
Cochez « Enable alert » pour activer l’alerte. Entrez le seuil du nombre d’ordinateurs utilisés pour déclencher l’alerte. Ajoutez aussi les adresses email qui recevront les alertes par email.
La seconde alerte est « Malware Detection Alert ». Celle-ci envoi un email lorsqu’un logiciel malveillant est détecté sur un ordinateur membre de la collection cible de l’alerte.
Cliquez droit sur le nœud Malware Detection Alerts et sélectionnez « New Malware Detection Alert… ». Vous pouvez ensuite sélectionner la collection cible de l’alerte ou encore le niveau de détection en fonction du niveau de gravité de l’alerte. Entrez aussi les adresses email des collaborateurs qui recevront les alertes.
L’alerte « Repeated Malware Detection Alert” permet l’envoi d’email lorsqu’un même logiciel malveillant est détecté sur les postes de travail d’une collection dans un intervalle de temps donné.
Cliquez droit sur le nœud Malware Detection Alerts et sélectionnez « New Repeated Malware Detection Alert… ». Vous pouvez ensuite sélectionner le nombre de fois qu’un logiciel malveillant est détecté (4, 8, 16, 32 fois) ainsi que l’intervalle de temps (4 heures, 24 heures, 1 semaine) dans lequel ils sont détectés. Entrez aussi les adresses email des collaborateurs qui recevront les alertes.
Enfin l’alerte « Multiple Malware Detection Alert” permet l’envoi d’email lorsque plusieurs types de logiciels malveillants sont détectés sur un même postes de travail dans un intervalle de temps donné.
Cliquez droit sur le nœud Multiple Detection Alerts et sélectionnez « New Multiple Malware Detection Alert… ». Vous devez sélectionner la collection qui sera cible de l’alerte. Vous pouvez ensuite sélectionner le nombre de logiciels malveillants différents détectés (4, 8, 16, 32 logiciels malveillants) ainsi que l’intervalle de temps (4 heures, 24 heures, 1 semaine) dans lequel ils sont détectés. Entrez aussi les adresses email des collaborateurs qui recevront les alertes.
Lorsqu’une menace est détectée, une alerte est levée et vous recevez un email comme suit :
L’ensemble de ces alertes vous permettent d’être tenu informé en cas d’épidémie ainsi être réactif plus rapidement face aux différentes menaces.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Le quotidien des administrateurs est rythmé par la gestion du parc. Ceci passe par les différentes tâches permettant d’assurer qu’aucune menace n’est actuellement présente sur le réseau. Ainsi Forefront EndPoint Protection 2010 propose différents mécanismes permettant de lancer ponctuellement ou de manière programmé des opérations comme :
Pour rappel, la programmation des analyses doit se faire au travers des stratégies appliquées sur les clients. Néanmoins, il est possible de lancer des stratégies programmées à travers un programme (script).
Nous verrons dans cette partie comment lancer des opérations programmées ou ponctuelles.
Comme vous avez pu le voir précédemment, Forefront EndPoint Protection se base sur les mécanismes offerts par System Center Configuration Manager. Les opérations sont ainsi symbolisées par un package contenant un script. Ce sont ensuite des programmes avec la ligne de commande et les commutateurs spécifiques qui vont permettre d’exécuter l’opération voulue.
On peut ainsi utiliser les mécanismes de System Center Configuration Manager en construisant des collections qui seront ciblées par des programmations récurrentes afin de publier les opérations souhaitées.
Attention ! Ce mode opératoire n’est à utiliser que pour des cas particuliers. Dans la majorité des cas, il est conseillé de configurer des opérations/analyses programmées en utilisant les stratégies appliquées aux clients.
Commencez par créer une arborescence de collections qui serviront à accueillir les différents clients et les publications :
Créez ensuite une publication pour l’opération que vous souhaitez attribuer. Pour cela, ouvrez la console d’administration et déroulez l’arborescence Site Database => Computer Management => Software Distribution => Packages => Microsoft Corporation FEP – Operations => Programs.
Cliquez droit sur le programme associé à l’opération que vous souhaitez publier et sélectionnez Distribute puis Software :
L’assistant de création de la publication s’ouvre. Passez l’écran de bienvenue et sur l’écran suivant sélectionnez ou créez la collection cible de l’opération :
Sur la page Advertisement Name, entrez le nom donné à la publication en cours de création :
Sur l’écran Advertisement Subcollection, choisissez si la publication doit se propager au sous collections :
A l’étape Advertisent Schedule, choisissez la date de mise à disposition et d’expiration de la publication :
A la page Assign Program, cochez la case « Yes, assign the program » et spécifiez l’erreur et les options d’exécution du programme :
Validez l’écran de résumé pour procéder à la création et fermez l’écran de confirmation.
Vous pouvez ensuite modifier les propriétés de la publication pour programmer une récurrence.
Forefront EndPoint Protection 2010 offre la possibilité de lancer des opérations ponctuelles sur les clients en fonction des besoins d’administration. Imaginez le scénario suivant : Vous êtes averti par une alerte qu’un logiciel malveillant a été introduit sur le parc. Celui-ci est une sévérité extrêmement rare. Vous souhaitez donc lancer une analyse complète sur l’ensemble des postes de travail. La fonctionnalité d’opérations ponctuelles va vous aider dans cette tâche.
Pour cela, ouvrez la console d’administration et déroulez l’arborescence Site Database => Computer Management => Collections => All systems. Sélectionnez les postes sur lesquels vous souhaitez lancer l’opération et cliquez droit. Sélectionnez ensuite FEP Operations puis l’opération que vous souhaitez exécuter parmi l’analyse rapide, complète, ou encore la mise à jour des définitions.
Une fenêtre s’affiche vous informant que l’opération a été programmée. Pour cela, une publication et collection ont été créées pour accueillir les machines cibles et l’opération.
La publication a été créée dans le dossier FEP Operations de l’arborescence Site Database => Computer Management => Software Distribution => Advertisments :
Une collection portant le nom <OPERATION> at <DATE_DE_LANCEMENT> est créée dans la collection Operations de l’arborescence : Site Database => Computer Management => Collections => FEP Collections :
A l’issue de cette création, l’opération démarre dès que la publication est reçue par le client SCCM :
Celui-ci lance un script VBS : « AmRemediation » :
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
La gestion des mises à jour de définitions est une étape importante dans la gestion des clients Forefront EndPoint Protection. Microsoft publie des mises à jour de définitions plusieurs fois par jour pour actualiser les nouvelles menaces qui se présentent. Vous pouvez mettre à jour les clients de différentes façons :
Chacune de ces méthodes possèdent un avantage. La mise à jour via Microsoft Updates peut permettre aux clients déconnectés du réseau de quand même bénéficier des mises à jour de définitions. L’utilisation d’un chemin réseau permet aux clients ne disposant pas d’un accès Internet ou d’une infrastructure de déploiement (points de distribution...) d’accéder aux mises à jour. Enfin l’utilisation de SCCM ou WSUS permet à l’administrateur de mieux contrôler le déploiement des définitions. Il est possible d’utiliser l’ensemble de ces méthodes conjointement.
Nous n’aborderons ici que les méthodes de déploiement massives à savoir la gestion des mises à jour par System Center Configuration Manager 2007 et Windows Server Updates Services. Il faut savoir que le système de gestion des mises à jour par SCCM ne se prête pas vraiment à la gestion des mises à jour de définitions. Néanmoins, nous verrons les différentes méthodes (officielles ou non) à savoir :
Notez que pour réaliser cette partie, vous devez disposer des connaissances nécessaires dans la gestion des mises à jour par WSUS et SCCM. Nous ne détaillerons pas l’installation et la configuration de l’infrastructure de déploiement de mises à jour.
Comme expliqué plus haut, le processus de gestion des mises à jour via System Center Configuration Manager ne se prête pas à la mise à jour des définitions FEP. En effet, les mises à jour de définitions ont lieu plusieurs fois par jour. La gestion des mises à jour via SCCM nécessite des opérations manuelles. Ceci signifie que l’administrateur devra procéder aux opérations suivantes au moins une fois par jour s’il veut que son infrastructure soit à jour.
Commençons par revoir brièvement les paramétrages de l’infrastructure System Center Configuration Manager. Ouvrez la console d’administration, déroulez l’arborescence Site Database => Site Management => <SITECODE> - <SITENAME> => Site Settings => Client Agents. Ouvrez l’agent « Software Updates client Agent ». Vérifiez que celui-ci est activé et correctement configuré selon vos besoins :
Cliquez ensuite sur le nœud Component Configuration. Ouvrez l’onglet « Classifications » et cochez la case « Definition Updates » :
Cliquez ensuite sur l’onglet « Products » et cherchez le produit « Forefront EndPoint Protection 2010 ». Cochez la case pour activer la synchronisation du produit.
Dans l’onglet « Languages », vérifiez que les langues des clients sont cochées pour pouvoir appliquer les mises à jour en fonction des langues locales de votre parc :
Initiez ensuite une synchronisation. Pour cela, dirigez-vous dans l’arborescence Site Database => Computer Management => Software Updates => Update Repository. Cliquez droit et sélectionnez « Run Synchronization » :
Validez le message pour procéder à la synchronisation :
Vous pouvez valider que la synchronisation a eu lieu avec succès en visionnant le fichier de journalisation « wsyncmgr.log » :
La mise à jour de définition apparaît ensuite dans la console dans l’arborescence : Site Database => Computer Management => Software Updates => Update Repository => Definition Updates => Microsoft => Forefront EndPoint Protection 2010 :
Cliquez droit sur la mise à jour et sélectionnez « Deploy Software Updates » :
Note : Il est recommandé d’utiliser des listes de mises à jour (Update List). Néanmoins nous n’utiliserons pas ce processus pour simplifier l’article.
L’assistant s’ouvre. Celui-ci permet de créer le déploiement qui ciblera les clients. Entrez le nom d’un déploiement :
Sur la page Deployment Template, vous pouvez choisir d’utiliser un modèle existant ou d’en créer un nouveau. Je vais pour ma part utiliser un modèle déjà créé pour les besoins d’une démonstration.
A l’étape Deployment Package, créez un nouveau package de déploiement qui identifiera les mises à jour de définition. Vous devez pour cela entrer un nom et un chemin UNC faisant référence au répertoire source du package :
Sélectionnez ensuite les points de distribution sur lesquels vous souhaitez déployer le package de mises à jour.
Sur l’écran Download Location, vérifiez que l’option « Download software updates from the Internet” est cochée et passez à l’étape suivante :
Sur la page Language Selection, cochez les langues que vous utilisez dans votre parc pour rendre disponible les mises à jour à l’ensemble des clients :
A l’étape Schedule, vous pouvez programmer le déploiement de la mise à jour. Ainsi vous devez choisir la date de mise à disposition mais aussi la date de fin. Cette date de fin permet de forcer l’installation automatique des mises à jour.
Validez l’écran de résumé pour procéder à la création du déploiement :
Ouvrez une session sur une machine cliente ; celle-ci doit afficher une bulle de notification informant de la disponibilité d’une mise à jour :
Cliquez sur cette bulle pour ouvrir la fenêtre de gestion des mises à jour logiciel. Cliquez sur Install pour procéder à l’installation. Notez que si la date de fin est égale à la date de mise à disposition ; l’utilisateur n’aura pas besoin de procéder à ces étapes et se verra forcer l’installation des mises à jour de définition.
Une fois lancé, le client procède au téléchargement des fichiers de mise à jour :
Enfin l’installation démarre :
Une fois terminée, la mise à jour a été correctement appliquée au client Forefront comme vous pouvez le voir dans l’onglet Updates de son interface :
Nous avons vu comment gérer les mises à jour manuellement via System Center Configuration Manager 2007. La méthode qui suit permet de gérer automatiquement les mises à jour de définitions via Windows Server Updates Services en utilisant les règles d’approbation du produit. Cette méthode est la solution officielle fournie par Microsoft pour résoudre les lacunes de System Center Configuration Manager 2007. Celle-ci a ses avantages : Elle est officielle ! Mais elle dispose aussi de nombreux inconvénients :
Elle n’utilise pas System Center Configuration Manager et le déploiement via les points distribution. Les mises à jour sont déployées via le serveur WSUS. Ainsi la gestion des sites distants est rendue plus difficile.
L’administrateur ne dispose pas de l’ensemble des informations de Reporting (installation avec succès ou non…) de System Center Configuration Manager.
Ouvrez la console d’administration WSUS et dirigez-vous dans le nœud Options.
Sélectionnez « Automatic Approvals » pour ouvrir la fenêtre de configuration des règles d’approbation. Cliquez sur « New Rule… » pour créer une règle :
Sur la fenêtre Add Rule, cochez « When an update is in a specific classification” et “When an update is in a specific product”. Sélectionnez ensuite la classification Definition Updates et le produit Forefront EndPoint Protection 2010. Appliquez cette règle à l’ensemble des ordinateurs.
Note : Vous pouvez choisir de cibler un unique groupe de machines.
Entrez ensuite le nom de la règle et cliquez sur Ok.
Une fois ajoutée, vérifiez que la règle est cochée dans l’écran Automatic Approvals et cliquez sur OK
Toujours dans les options de la console d’administration WSUS, sélectionnez Synchronization Schedule. Choisissez ensuite de procéder à la synchronisation automatique. Vous pouvez choisir la première synchronisation et la fréquence. Quatre fois par jour permettent de maintenir l’infrastructure à jour mais vous pouvez aussi accélérer la fréquence en passant à 24 fois par jour à partir de minuit.
Une fois synchronisé, on peut observer à l’aide de filtre que les mises à jour de définition ont été correctement approuvées :
Connectez-vous sur une machine cliente et ouvrez le client Forefront EndPoint Protection. Ouvrez l’onglet Update et procédez à la mise à jour du client. Le client consulte le serveur WSUS, télécharge et installe les mises à jour qui lui sont proposées :
Le client est ensuite à jour :
Vous pouvez configurer les paramètres de mise à jour du client via stratégie pour que celui-ci se mette à jour avant les analyses ou via stratégie de groupe pour forcer la consultation des mises à jour.
Microsoft a publié le correctif cumulatif 1 (Rollup 1) de Forefront EndPoint Protection (FEP) 2010 apportant son lot de correction et nouveautés (Voir http://microsofttouch.fr/blogs/js/archive/2011/06/28/forefront-endpoint-protection-fep-2010-correctif-cumulatif-1.aspx). Je souhaite aujourd’hui aborder l’utilisation du nouvel outil permettant de télécharger les mises à jour de définitions FEP automatiquement. Cet outil est Officiellement supporté par Microsoft.
Notez que vous devez disposer des prérequis suivants :
Vous devez aussi configurer le Software Update Point ; créer un package contenant les mises à jour de définitions et publier les mises à jour à vos clients. Pour cela, je vous invite à consulter la partie 4.2.1 Gestion manuelle des mises à jour par SCCM de mon article sur FEP 2010. Retenez le nom du package et du Deployment Management (=Publication) que vous donnez.
Commencez par télécharger l’outil : « fepsuasetup.cab » sur Microsoft Forefront Endpoint Protection (FEP) 2010 Update Rollup 1 Tools.
Ouvrez le package « fepsuasetup.cab » et copiez l’outil « SoftwareUpdateAutomation.exe » dans c:\Program Files\Microsoft Configuration Manager\AdminUI\bin.
Notez que l'outil propose les paramétres suivants :
/Help: Get program usage
/SiteServer: Site server computer name
/UpdateFilter: Filter for selecting software updates that are used for the destination packages
/AssignmentName: Name of destination software update assignment
/PackageName: Name of destination software update packages
/PreDownloadFolder: Destination folder holding downloaded update files
/UpdateLanguages: List of language IDs for requested software updates
/RefreshDP: Request automatic propagation of updated package to Distribution Points (true by default)
Certaines options (siteservername) peuvent être nécessaires dans votre infrastructure en fonction de vos contraintes (topologie, langue...). Ces considérations ne seront pas détaillées dans l'article suivant.
Deux solutions s’offrent ensuite à vous :
Cet article détaillera les deux solutions.
Méthode 1 : La tâche planifiée Windows
Commençons par la tâche planifiée Windows, ouvrez l’outil correspondant et cliquez sur Create Task. Donnez un nom à la tâche et vérifiez que l’option « Run whether user is logged on or not » est cochée afin que la tâche s’exécute dans chacun des cas.
Ouvrez l’onglet Actions et ajoutez-en une nouvelle. Choisissez l’action « Start a program ». Spécifiez le chemin vers l’outil de mise à jour automatique en utilisant les variables d’environnement :
Dans la partie arguments, spécifiez « /AssignementName <Nom de votre DeployementManagement> /PackageName <Nom de votre Package> ». J’entends par nom ; le nom qui s’affiche dans la console d’administration SCCM et que vous avez entrez dans l’assistant lors de la création de chacune des entitées.
Ouvrez ensuite l’onglet Triggers, et cliquez sur New. Vous pouvez déclencher cette tâche dans deux modes de fonctionnement :
Nous allons détailler les deux méthodes. Commençons par la programmation récurrente, sélectionnez Daily (journalier). Vérifiez que la récurrence a lieu tous les jours et répétez l’opération toutes les heures pour une durée indéterminée.
Passons au déclenchement à la suite de l’événement de synchronisation avec succès de WSUS. Pour cela, il faut identifier le numéro d’événement qui peut être remonté au travers des journaux d’événements du serveur :
Choisissez le type de déclenchement sur un événement. Entrez ensuite les informations suivantes :
Vérifiez ensuite que la tâche est activée.
Méthode 2 : Les règles de filtre d’état
Nous allons maintenant décrire la deuxième option qui s’offre à vous : Créer une règle de filtrage d’état. Ouvrez la console d’administration et déroulez l’arborescence Site Database => Site Management => <SITECODE> - <SITENAME> => Site Settings => Status Filter Rules. Cliquez droit sur le nœud « Status Filter Rules » et sélectionnez « New Status FIlter Rules ».
L’assistant s’ouvre. Entrez le nom de la règle (par exemple : « AutoDeploy FEP Updates ») et entrez les informations suivantes :
Sur la page Action, cochez Run a program et entrez l’adresse du programme et les arguments nécessaires :
Terminez l’assistant pour procéder à la création.
Après exécution d’une synchronisation l’outil de Microsoft procède aux opérations suivantes :
Le fichier de journalisation est stocké dans %ProgramData%\SoftwareUpdateAutomation.log
Cette méthode de gestion automatique des mises à jour de définitions est proposée par Kim Oppalfens. Sa solution se rapproche des règles de déploiement automatique (ADR) de System Center Configuration Manager 2012.
Pour faire simple, il faut configurer le Software update Point pour procéder à une synchronisation toutes les heures. Il faut ensuite créer une règle de filtrage d’état qui lors de la remontée de l’event id 6702 (synchronisation du serveur WSUS avec succès), lance un exécutable créé par Kim Oppalfens.
Cette exécutable:
Avertissement : Cette solution est à implémenter à vos risques et périls mais elle a le mérite d’apporter une solution viable à un problème quotidien auquel font face les administrateurs SCCM/FCS/FEP.
Commencez par télécharger les binaires de la solution proposée par Kim : http://www.myitforum.com/absolutenm/templates/Articles.aspx?articleid=20071&zoneid=89 Disposez-les dans un répertoire accessible par le serveur de site. Vous allez peut être devoir éditer les sources pour changer les références vers le SDK. Pour cela, lisez le README.
Créez ensuite une règle de filtrage d’état. Ouvrez la console d’administration et déroulez l’arborescence Site Database => Site Management => <SITECODE> - <SITENAME> => Site Settings => Status Filter Rules. Cliquez droit sur le nœud « Status Filter Rules » et sélectionnez « New Status FIlter Rules ».
L’assistant s’ouvre. Entrez le nom de la règle (par exemple : « AutoDeploy FEP Updates ») et entrez les informations suivantes :
Sur la page Actions, cochez la case « Run a program » puis entrez la ligne de commande : « "<chemin vers les sources de la solution>\SUM_E2E_Deployment.exe" <NOMDUPROVIDER> <ID_DE_LA_COLLECTION_CIBLE_DU_DEPLOIEMENT>.
On retrouve par exemple dans mon cas : « "<chemin vers les sources de la solution>\SUM_E2E_Deployment.exe" WTVN-SCCMSS LYN00027
Passez à l’écran suivant et validez le résumé pour procéder à la création. Fermez ensuite l’écran de confirmation.
Note : Vous devez reconfigurer votre Software Update Point pour qu’il procède à des synchronisations toutes les heures.
Une fois la synchronisation effectuée ; le processus créé un package « Latest Forefront Definition Updates Package » déployé sur tous les points de distribution et comprenant les dernières mises à jour de définitions :
Dans le même temps, un déploiement « Forefront Auto-Approved updates » a été créé. Celui-ci cible la collection LYN00027 et comporte les mises à jour de définitions :
Ce déploiement ne dispose pas de date de fin forçant le déploiement. Vous pouvez ainsi aisément le modifier pour correspondre à votre politique de mise à jour :
Connectez-vous ensuite sur un client faisant parti de la collection cible du déploiement. Ce client doit recevoir un déploiement optionnel de mise à jour des définitions antivirales Forefront EndPoint Protection :
Une fois installée, la mise à jour est correctement appliquée au client Forefront :
Vous avez vu dans cette partie, différentes méthodes de gestion des mises à jour de définitions afin de déployer massivement sur le parc informatique. Chacune dispose des avantages et des inconvénients. Il ne fait aucun doute que la gestion manuelle des mises à jour par System Center Configuration Manager rallonge considérablement le temps quotidien passé à l’administration du produit. La solution officielle de Microsoft est un bon compromis. Néanmoins, elle n’utilise pas les avantages des points de distribution souvent utilisés pour distribuer les packages au sein d’infrastructure riche en sites distants.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Les tâches d’administration du produit passent par différentes composantes comme la gestion des stratégies s’appliquant aux clients, la gestion des mises à jour, la gestion des opérations de maintenance, la gestion des alertes, ou la surveillance de l’état de l’infrastructure au travers des rapports. Cette partie vous permettra d’aborder tous ces concepts.
La gestion des stratégies est la tâche la plus importante qu’un administrateur doit opérer sur l’infrastructure FEP. Les stratégies (Policies) sont un ensemble d’éléments/paramétrages s’appliquant au client Forefront EndPoint Protection. Elles permettent de régir le comportement du client. On retrouve ainsi la gestion :
Pour visualiser les stratégies, ouvrez la console d’administration Configuration Manager. Déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies.
Forefront EndPoint Protection fournit deux stratégies par défaut s’appliquant à tous les clients :
Vous ne pouvez pas supprimer les stratégies par défaut et ce afin d’assurer le bon fonctionnement de l’infrastructure. De cette façon, une stratégie est toujours appliquée à un client FEP. Vous pouvez néanmoins facilement éditer les propriétés de la stratégie pour modifier les différents paramètres.
Il est conseillé de ne pas les modifier car celles-ci ont été construite comme un standard s’appliquant aux deux types de profil. Si vous souhaitez appliquer des paramètres spécifiques, vous pouvez créer une nouvelle stratégie (Policy) qui prendra le dessus sur la stratégie par défaut.
Nous n’allons pas détailler ici écran par écran les différents paramétrages. Néanmoins, vous pouvez trouver des tableaux regroupant les principales différences entre les deux stratégies.
Note : Nous détaillerons la signification de chaque paramètre lors de la création des stratégies personnalisées.
Voici les paramétrages pour chacune des stratégies par défaut en ce qui concerne les analyses programmées :
|
Scheduled Scans (params) |
Default Desktop Policy |
Default Server Policy |
|
Activé |
Oui |
Non |
|
Type d’analyse |
Analyse Hebdomadaire rapide |
Aucune |
|
Programmation (Jour) |
Samedi |
- |
|
Programmation (heure) |
03h00 |
- |
|
Vérification des mises à jour avant de démarrer l’analyse |
Oui |
- |
|
Analyse uniquement quand l’ordinateur n’est pas utilisé |
Oui |
- |
|
Randomiser le démarrage de l’analyse programmée (intervalle de 30 min) |
Oui |
- |
|
Force une analyse lors du démarrage du poste si plus de deux analyses ont été manquées |
Non |
- |
|
Limite l’utilisation CPU durant les analyses |
Oui (50%) |
Oui (30%) |
|
Autorise l’utilisateur à configurer l’usage processeur pour les analyses |
Non |
Non |
|
Contrôle de l’utilisateur sur les analyses programmées |
Aucun contrôle |
Aucun contrôle |
Le tableau suivant récapitule les actions utilisées par défaut lors de la découverte d’une menace :
|
Default Actions (params) |
Default Desktop Policy |
Default Server Policy |
|
Sévère |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Haute |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Moyenne |
Mise en quarantaine |
Mise en quarantaine |
|
Faible |
Autorise |
Autorise |
Ce tableau rassemble les paramètres des deux stratégies par défaut en ce qui concerne la protection en temps réel :
|
Real-time protection (params) |
Default Desktop Policy |
Default Server Policy |
|
Activée |
Oui |
Oui |
|
Analyse des fichiers système |
Analyse des fichiers entrants et sortants |
Analyse des fichiers entrants et sortants |
|
Analyse tous les fichiers téléchargés et pièces jointes |
Oui |
Non |
|
Utilise la supervision du comportement |
Oui |
Oui |
|
Active la protection contre les exploits réseau |
Oui |
Non |
|
Autorise l’utilisateur à configurer les paramétrages de la protection en temps réelle |
Non |
Oui |
Vous trouvez ci-dessous trois tableaux regroupant les exclusions de répertoires, de fichiers, de types de fichiers et de processus pour les stratégies par défaut :
|
Excluded files and locations |
Default Desktop Policy |
Default Server Policy |
|
%windir%\SoftwareDistribution\ Datastore |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
|
%windir%\Security\Database |
*.edb, *.sdb, *.log *.chk, *.jrs |
*.edb, *.sdb, *.log *.chk, *.jrs |
|
%ALLUSERSPROFILE%\NTuser.pol |
Oui |
Oui |
|
%SystemRoot%\system32\ GroupPolicy\registry.pol |
Oui |
Oui |
|
Excluded files types |
Default Desktop Policy |
Default Server Policy |
|
|
Aucun |
Aucun |
|
Excluded processes |
Default Desktop Policy |
Default Server Policy |
|
|
Aucun |
Aucun |
Voici les différences entre les deux stratégies en ce qui concerne les paramétrages avancés du client Forefront EndPoint Protection :
|
Advanced |
Default Desktop Policy |
Default Server Policy |
|
Analyse des fichiers archivés |
Oui |
Oui |
|
Analyse des lecteurs réseau lors des analyses complètes |
Non |
Non |
|
Analyse des périphériques de stockage amovibles (Clé USB…) |
Non |
Non |
|
Créer un point de restauration système avant de nettoyer l’ordinateur |
Non |
Non |
|
Afficher un message de notification à l’utilisateur lorsque une opération (analyse complète, téléchargement de définitions…) est nécessaire |
Non |
Non |
|
Suppression des fichiers en quarantaine |
Non |
Non |
|
Autorise l’utilisateur à configurer la période de suppression automatique des fichiers en quarantaine |
Non |
Non |
|
Autorise l’utilisateur à exclure des répertoires, fichiers, type de fichiers et processus |
Non |
Oui |
|
Overrides |
Default Desktop Policy |
Default Server Policy |
|
|
Aucun |
Aucun |
Ce tableau résume les différences en ce qui concerne Microsoft SpyNet :
|
Microsoft SpyNet |
Default Desktop Policy |
Default Server Policy |
|
Activé |
Oui |
Oui |
|
Abonnement |
Basic |
Basic |
|
Autorise l’utilisateur à changer les paramétrages SpyNet |
Non |
Non |
Le tableau Updates regroupe les paramétrages de mises à jour du client pour les deux stratégies :
|
Updates |
Default Desktop Policy |
Default Server Policy |
|
Vérification des définitions (intervalle) |
Toutes les 8 heures |
Toutes les 8 heures |
|
Force la mise à jour des définitions si celle-ci a échoué il y a |
1 jour |
1 jour |
|
Mise à jour à partir d’un partage de fichier |
Non |
Non |
|
Mise à jour à partir de WSUS ou SCCM |
Oui |
Oui |
|
Mise à jour à partir de Microsoft Update |
Oui |
Oui |
Voici un récapitulatif des paramétrages de gestion du Firewall Windows pour les deux stratégies par défaut :
|
Windows Firewall |
Default Desktop Policy |
Default Server Policy |
|
Gestion de Windows Firewall |
Activée |
Desactivée |
|
Réseau Domaine : |
|
|
|
Etat du Firewall |
Activé |
- |
|
Connexions entrantes |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
- |
|
Réseaux Privés : |
|
|
|
Etat du Firewall |
Activé |
- |
|
Connexions entrantes |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
- |
|
Réseaux Publics : |
|
|
|
Etat du Firewall |
Activé |
- |
|
Connexions entrantes |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
- |
Après avoir décortiqué les stratégies par défaut fournies avec Forefront EndPoint Protection, nous allons entrer dans le vif du sujet et voir comment créer une stratégie personnalisée. Nous détaillerons dans cette partie l’ensemble des étapes de création et d’édition. Vous trouverez ici la définition de chaque paramètre.
Pour créer votre stratégie (Policy) personnalisée, ouvrez la console d’administration Configuration Manager. Déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies. Cliquez droit sur le nœud Policies et sélectionnez New Policy :
L’assistant de création d’une stratégie s’ouvre. Nous allons créer une stratégie personnalisée qui s’appliquera à tous les ordinateurs portables (profils itinérants, commerciaux, consultants…). Entrez le nom de la stratégie et la description :
Sur l’écran Policy Type, vous devez choisir le type de stratégie que vous souhaitez créer. Les différentes options proposées sont des modèles qui vous permettront d’adapter la stratégie au besoin émis. On retrouve ainsi 4 types principaux :
Nous aborderons plus tard dans cette partie la création d’une stratégie dédiée à un rôle serveur.
Sélectionnez le type de stratégie « Standard desktop policy » puis passez à l’écran suivant :
Sur l’écran Scheduled Scans, vous pouvez choisir de programmer des analyses en cochant « schedule type and time of scan ». Vous pouvez sélectionner le type et la fréquence des analyses en choisissant :
Vous devez ensuite choisir la programmation (jour et heure) de ces analyses.
La page suivante permet d’ajouter des exclusions à l’analyse. Par défaut, on retrouve les exclusions habituelles du dossier Software Distribution. Il peut être intéressant d’exclure certains fichiers comme des bases de données afin d’optimiser le fonctionnement de certains programmes.
A l’étape Updates, vous pouvez spécifier les différentes méthodes utilisées pour mettre à jour le client Forefront et déployer les nouvelles définitions antivirales. Vous pouvez ainsi :
L’écran Client Configuration permet de configurer les interactions entre l’utilisateur et le client. Vous pouvez ainsi choisir de laisser l’utilisateur configurer la protection en temps réel ou encore les programmations d’analyse. Vous pouvez aussi cocher « Show notification messages to users on … » pour afficher des notifications à l’utilisateur lorsque des actions sont nécessaires. Ceci peut se caractériser par le lancement d’une analyse complète ou le téléchargement des dernières définitions de virus et de logiciels malveillants.
Validez l’écran de résumé pour procéder à la création de la stratégie :
Une fois créée, on retrouve notre stratégie dans la liste des stratégies disponibles :
Maintenant que la stratégie est créée, je vous propose de rentrer plus en détail dans les paramétrages offerts par ces stratégies. Pour cela dans l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies, cliquez droit sur la stratégie et choisissez Properties
Une fois la fenêtre des propriétés ouverte, on se retrouve dans l’onglet General. Cet onglet présente le nom et la description de la stratégie. Vous pouvez y retrouver les collections qui se voient assigner la stratégie.
On retrouve aussi la date de création et de modification ainsi que le numéro de version de la stratégie. Le numéro de version est incrémenté à chaque fois que la stratégie est modifiée.
Ouvrez l’onglet Antimalware. Dans la partie Scheduled scans, on retrouve les paramétrages suivants :
Dans la partie Default actions, on retrouve les paramétrages liés aux actions par défaut face à des niveaux de menaces détectés. Ces niveaux de menace (sévère, haute, moyenne ou faible) sont déterminés par Microsoft en fonction de la sévérité de celle-ci :
La partie Real-time protection rassemble les options concernant le module de protection en temps réel :
L’écran Excluded files and locations permet d’ajouter des exceptions à l’analyse faite par Forefront EndPoint Protection pour éviter que certains fichiers ou répertoires soient analysés. Ceci peut permettre d’améliorer les performances de certaines applications (par exemple dans le cadre de bases de données) mais augmente le risque des machines.
L’écran Excluded file types permet d’ajouter des exceptions pour certains types de fichiers.
L’écran Excluded processes permet d’ajouter des exceptions pour certains processus afin d’éviter d’interférer avec le comportement de certaines applications et rendre l’exécution plus performante.
La partie Advanced offre des paramétrages supplémentaires :
La partie Overrides permet de spécifier des exceptions permettant d’outrepasser le comportement des actions recommandées. Vous pouvez ainsi pour certaines menaces (vous trouverez la liste sur : http://www.microsoft.com/security/portal/Threat/Encyclopedia/Browse.aspx), spécifiez des actions particulières qui prendront le dessus sur l’action recommandée.
L’écran de configuration Microsoft SpyNet permet de configurer l’abonnement à SpyNet. Vous pouvez ainsi désactiver l’abonnement ou choisir le type. L’option « Allow users on endpoint computers to change SpyNet settings » autorise l’utilisateur final de modifier lui-même les paramètres de SpyNet.
L’onglet Updates offre différents paramétrages permettant de modifier le comportement de mis à jour du client :
L’onglet Windows Firewall permet de spécifier les paramètres de configuration influant sur le firewall Windows.
Nous avons vu comment créer une stratégie personnalisée assez standard basée sur les types disponibles. Ceux-ci se prêtent principalement à une utilisation pour les postes de travail. Microsoft propose néanmoins des modèles spécifiques aux serveurs et aux différents rôles et produits qu’ils peuvent héberger.
Nous allons créer une stratégie à destination des serveurs de site System Center Configuration Manager. Celle-ci devra prendre en considération les différents mécanismes des serveurs cibles.
Procéder à la création d’une nouvelle stratégie. Une fois l’assistant ouvert, entrez le nom de la stratégie et sa description.
Sur l’écran Policy Type, cochez « Policy template » et choisissez le modèle « FEP Configuration Manager 2007 including Defaults » :
Validez l’écran de résumé pour procéder à la création :
Une fois créée, nous pouvons éditer cette stratégie spécifique au produit System Center Configuration Manager 2007. Nous pouvons remarquer dans les paramétrages Antimalware => Excluded files and Locations qu’il y a de nombreuses exclusions associées au chemin d’installation de System Center Configuration Manager :
Ces modèles sont un bon moyen d’adapter facilement le comportement du client Forefront EndPoint Protection au rôle et produits sur lequel il est installé.
Après avoir créé nos stratégies, nous allons pouvoir les assigner aux clients Forefront cibles de la configuration. La première étape consiste à créer les collections et l’arborescence des collections nécessaires à votre infrastructure. Vous pouvez créer les collections au niveau de FEP Collections => Deployment Status => Deployment Succeeded. Pour plus de clarté, j’ai créé une arborescence séparée et totalement dédiée à l’application des stratégies personnalisées :
Ce découpage est bien entendu présenté à titre indicatif ; vous êtes libre d’organiser celles-ci selon vos besoins.
Pour assigner une stratégie, rendez-vous dans la console d’administration Configuration Manager et déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies. Cliquez droit sur la stratégie que vous souhaitez déployer et sélectionnez « Assign Policy… » :
Une fenêtre s’ouvre. Celle-ci permet d’ajouter des collections qui seront la cible de la stratégie. Cliquez sur « Add… » pour les ajouter. Vous pouvez ensuite cocher la case « Include subcollections » si vous souhaitez que la publication se propage aux sous-collections :
Une fois ajoutée, nous pouvons voir que la publication est assignée à la collection que nous avons choisie :
Un client Forefront EndPoint Protection peut se voir attribuer plusieurs stratégies mais il n’en appliquera qu’une seule. Un client se voit toujours attribué au moins une stratégie. Les deux stratégies par défaut ne peuvent être supprimées pour cette raison et assure ainsi un « service minimum » sur les nouveaux clients.
Afin de pouvoir au mieux gérer l’application d’une et une seule stratégie sur chaque client ; celles-ci se voient attribuer une priorité. Cette priorité permet au client de s’avoir quelle stratégie doit s’appliquer si plusieurs lui sont proposées. Plus le numéro de priorité est faible ; moins la stratégie est prioritaire. Ainsi si un client se voit attribuer une stratégie avec un numéro de priorité 15 et la stratégie par défaut (priorité 1) ; ce sera bien la stratégie avec la priorité 15 qui sera appliquée.
Les deux stratégies par défaut ont la propriété la plus faible (respectivement 1 pour la stratégie poste de travail et 2 pour les serveurs).
Note : Lors de la création d’une nouvelle stratégie, celle-ci se voit assigner la priorité maximale.
Il est possible d’éditer la priorité des stratégies. Pour cela, ouvrez la console d’administration et déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies. Cliquez droit sur le nœud Policies et sélectionnez « Edit Policy Precedence… » .
Une fenêtre s’ouvre afin de vous permettre de déplacer vers le haut (en donnant une priorité supérieure) ou vers le bas (en donnant une priorité inférieure) chaque stratégie.
Veuillez noter qu’il n’est pas possible de modifier la priorité des stratégies par défaut.
Voici les paramétrages pour chacun des types de stratégie en ce qui concerne les analyses programmées :
|
Scheduled Scans (params) |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Activé |
Oui |
Oui |
Oui |
|
Type d’analyse |
Analyse Hebdomadaire rapide |
Analyse journalière rapide et hebdomadaire complète |
Analyse Hebdomadaire rapide |
|
Programmation (Jour) |
Samedi |
Samedi (3h00) |
Samedi |
|
Programmation (heure) |
03h00 |
02h00 |
03h00 |
|
Vérification des mises à jour avant de démarrer l’analyse |
Oui |
Oui |
Oui |
|
Analyse uniquement quand l’ordinateur n’est pas utilisé |
Oui |
Non |
Oui |
|
Randomiser le démarrage de l’analyse programmée (intervalle de 30 min) |
Oui |
Oui |
Oui |
|
Force une analyse lors du démarrage du poste si plus de deux analyses ont été manquées |
Non |
Oui |
Non |
|
Limite l’utilisation CPU durant les analyses |
Oui (50%) |
Non |
Oui (30%) |
|
Autorise l’utilisateur à configurer l’usage processeur pour les analyses |
Non |
Non |
Non |
|
Contrôle de l’utilisateur sur les analyses programmées |
Aucun contrôle |
Aucun contrôle |
Aucun contrôle |
Le tableau suivant récapitule les actions utilisées par défaut lors de la découverte d’une menace :
|
Default Actions (params) |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Sévère |
Utilise l’action recommandée |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Haute |
Utilise l’action recommandée |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Moyenne |
Mise en quarantaine |
Mise en quarantaine |
Mise en quarantaine |
|
Faible |
Autorise |
Autorise |
Autorise |
Ce tableau rassemble les paramètres des types de stratégie en ce qui concerne la protection en temps réel :
|
Real-time protection (params) |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Activée |
Oui |
Oui |
Oui |
|
Analyse des fichiers système |
Analyse des fichiers entrants et sortants |
Analyse des fichiers entrants et sortants |
Analyse des fichiers entrants et sortants |
|
Analyse tous les fichiers téléchargés et pièces jointes |
Oui |
Oui |
Oui |
|
Utilise la supervision du comportement |
Oui |
Oui |
Oui |
|
Active la protection contre les exploits réseau |
Oui |
Oui |
Oui |
|
Autorise l’utilisateur à configurer les paramétrages de la protection en temps réelle |
Non |
Non |
Non |
Vous trouvez ci-dessous trois tableaux regroupant les exclusions de répertoires, de fichiers, de types de fichiers et de processus pour des types de stratégie :
|
Excluded files and locations |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
%windir%\SoftwareDistribution\ Datastore |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
|
%windir%\Security\Database |
*.edb, *.sdb, *.log *.chk, *.jrs |
*.edb, *.sdb, *.log *.chk, *.jrs |
*.edb, *.sdb, *.log *.chk, *.jrs |
|
%ALLUSERSPROFILE%\NTuser.pol |
Oui |
Oui |
Oui |
|
%SystemRoot%\system32\ GroupPolicy\registry.pol |
Oui |
Oui |
Oui |
|
Excluded files types |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
|
Aucun |
Aucun |
Aucun |
|
Excluded processes |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
|
Aucun |
Aucun |
Aucun |
Voici les différences entre les types de stratégie en ce qui concerne les paramétrages avancés du client Forefront EndPoint Protection :
|
Advanced |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Analyse des fichiers archivés |
Oui |
Oui |
Oui |
|
Analyse des lecteurs réseau lors des analyses complètes |
Non |
Non |
Non |
|
Analyse des périphériques de stockage amovibles (Clé USB…) |
Non |
Non |
Non |
|
Créer un point de restauration système avant de nettoyer l’ordinateur |
Non |
Non |
Non |
|
Afficher un message de notification à l’utilisateur lorsque une opération (analyse complète, téléchargement de définitions…) est nécessaire |
Non |
Non |
Non |
|
Suppression des fichiers en quarantaine |
Non |
Non |
Non |
|
Autorise l’utilisateur à configurer la période de suppression automatique des fichiers en quarantaine |
Non |
Non |
Non |
|
Autorise l’utilisateur à exclure des répertoires, fichiers, type de fichiers et processus |
Non |
Non |
Non |
|
Overrides |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
|
Aucun |
Aucun |
Aucun |
Ce tableau résume les différences concernant Microsoft SpyNet :
|
Microsoft SpyNet |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Activé |
Oui |
Oui |
Oui |
|
Abonnement |
Basic |
Basic |
Basic |
|
Autorise l’utilisateur à changer les paramétrages SpyNet |
Non |
Non |
Non |
Le tableau Updates regroupe les paramétrages de mises à jour du client pour les types de stratégie:
|
Updates |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Vérification des définitions (intervalle) |
Toutes les 8 heures |
Toutes les 8 heures |
Toutes les 8 heures |
|
Force la mise à jour des définitions si celle-ci a échoué il y a |
1 jour |
1 jour |
1 jour |
|
Mise à jour à partir d’un partage de fichier |
Non |
Non |
Non |
|
Mise à jour à partir de WSUS ou SCCM |
Oui |
Oui |
Oui |
|
Mise à jour à partir de Microsoft Update |
Oui |
Oui |
Oui |
Voici un récapitulatif des paramétrages de gestion du Firewall Windows pour les types de stratégie :
|
Windows Firewall |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Gestion de Windows Firewall |
Activée |
Activée |
Desactivée |
|
Réseau Domaine : |
|
|
|
|
Etat du Firewall |
Activé |
Activé |
- |
|
Connexions entrantes |
Bloquées |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
Oui |
- |
|
Réseaux Privés : |
|
|
|
|
Etat du Firewall |
Activé |
Activé |
- |
|
Connexions entrantes |
Bloquées |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
Oui |
- |
|
Réseaux Publics : |
|
|
|
|
Etat du Firewall |
Activé |
Activé |
- |
|
Connexions entrantes |
Bloquées |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
Oui |
- |
Cette partie va vous permettre de comprendre comment Forefront EndPoint Protection 2010 s’intègre aux différents mécanismes de System Center Configuration Manager 2007.
La création d’une stratégie n’est ni plus ni moins qu’associée à la création d’un nouveau programme dans le package Microsoft Corporation FEP – Policies 1.0 :
Ce package est remis à jour automatiquement tous les jours à heure fixe afin de prendre en considération les différents changements :
L’assignation d’une stratégie correspond à la création d’une publication (Advertisement) pour le programme associé à la stratégie sur une collection donnée avec les différents paramétrages nécessaires.
Ainsi, il existe deux publications par défaut qui s’appliquent tous les jours. Dès lors que vous assignez une stratégie, celle-ci se voit créer une publication qui est appliquée dès que possible pour que les changements de stratégies soient appliqués le plus rapidement possible.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
