Depuis le 11 janvier dernier, Microsoft signe la fin du support du Service Pack 1 de System Center Configuration Manager 2007. Pour ceux qui ont du retard, vous pouvez accélérer la migration vers le Service Pack 2.
Source : blog SCCM
Depuis le 11 janvier dernier, Microsoft signe la fin du support du Service Pack 1 de System Center Configuration Manager 2007. Pour ceux qui ont du retard, vous pouvez accélérer la migration vers le Service Pack 2.
Source : blog SCCM
L’équipe du support SCCM vient de publier un article dans la base de connaissance sur un problème concernant l’inventaire matériel. Celui-ci dans certains cas peut engendrer une consommation excessive de la CPU pour le processus SMSexec.exe.
Quand le serveur SCCM procède au traitement des fichiers d’inventaire matériel (.MIF) ; celui-ci échoue et le processus SMSexec.exe se met à consommer une grande quantité de temps processeur.
Ce problème survient si l’option globale « no count » est activée sur le serveur SQL hébergeant la base de données SMS. Si celle-ci est activée, SCCM ne peut obtenir le nombre de ligne de SQL et ne peut ainsi compléter le cycle d’extension du schéma.
Vous devez ainsi désactiver l’option « no count » afin que le traitement ait lieu normalement. Vous pouvez accéder à cette option dans SQL Management Studio : Propriétés du serveur SQL => Connections => « no count ».
Pour plus d’informations, lisez la KB2488396 - Hardware Inventory in Configuration Manager 2007 fails and the SMSexec.exe process shows high sustained CPU utilization
L’équipe du support SCCM vient de publier un billet concernant un problème survenant durant le déploiement des machines avec la tâche d’activation de BitLocker (Enable BitLocker).
En examinant les logs, on apprend que la puce TPM est bien activé et initialisé :
Start
executing the command line: OSDBitLocker.exe /enable /wait:False
/mode:TPM /pwd:AD TSManager
!--------------------------------------------------------------------------------------------!
TSManager
Expand a string: FullOS TSManager
Executing command line: OSDBitLocker.exe /enable /wait:False /mode:TPM
/pwd:AD TSManager
==============================[ OSDBitLocker.exe
]============================== OSDBitLocker
Command line: "OSDBitLocker.exe" /enable /wait:False /mode:TPM
/pwd:AD OSDBitLocker
Initialized COM OSDBitLocker
Command line for extension .exe is "%1" %* OSDBitLocker
Set command line: "OSDBitLocker.exe" /enable /wait:False /mode:TPM
/pwd:AD OSDBitLocker
Target volume not specified, using current OS volume OSDBitLocker
Current OS volume is 'C:' OSDBitLocker
FALSE, HRESULT=80004005
(e:\nts_sms_fre\sms\framework\tscore\encryptablevolume.cpp,364) OSDBitLocker
Unable to find instance of 'Win32_EncryptableVolume' where 'DriveLetter' =
'C:'. Ensure that BitLocker Drive Protection is available for this device.
OSDBitLocker
m_pEncryptableVolume->Initialize( pszVolume ), HRESULT=80004005
(e:\nts_sms_fre\sms\client\osdeployment\bitlocker\bitlocker.cpp,222) OSDBitLocker
pBitLocker->Initialize( argInfo.sTarget ), HRESULT=80004005
(e:\nts_sms_fre\sms\client\osdeployment\bitlocker\main.cpp,637) OSDBitLocker
Process completed with exit code 2147500037 TSManager
!--------------------------------------------------------------------------------------------!
TSManager
Failed to run the action: Enable BitLocker.
Unspecified error (Error: 80004005; Source: Windows) TSManager
Ce problème survient si le disque où vous installez Windows n’a pas été correctement partitionné. Pour rappel, vous devez créer une première partition de 100 à 300 MB dédiée au stockage du boot manager et des fichiers de boot. Ceux-ci ne peuvent être chiffrés pour que l’ordinateur puisse démarrer correctement. La seconde partition est utilisée pour stocker le système.
System Center Configuration Manager 2007 ne créé pas ces deux partitions. Il existe deux méthodes pour palier à ce problème :
Pour plus d’informations sur la mise en œuvre de ces deux solutions, je vous renvoie vers le billet de l’équipe : http://blogs.technet.com/b/configurationmgr/archive/2011/01/20/solution-the-enable-bitlocker-task-fails-to-run-during-a-configmgr-2007-task-sequence.aspx
L’équipe MED-V vient de publier expliquant comment gérer et administrer les adresses MAC des machines virtuelles MED-V. Pour cela, vous devez utiliser le fichier de configuration GlobalImageData.xml. Ce fichier contient deux éléments importants :
Pour plus d’informations, je vous laisse consulter le blog de l’équipe MED-V : http://blogs.technet.com/b/medv/archive/2011/01/24/how-to-manage-vm-mac-addresses-with-the-globalimagedata-xml-file-in-med-v-v1.aspx
L’équipe Forefront vient de publier le Management Pack pour Windows Storage Server 2008 R2 en version 6.0.6600.0.
Le Management Pack supervise :
Télécharger Windows Storage Server 2008 R2 Monitoring Management Pack
L’équipe Remote Desktop vient de publier un connecteur Remote Desktop Services pour System Center Virtual Machine Manager. Celui-ci va permettre d’inclure System Center Virtual Machine Manager dans votre infrastructure de bureau virtuel (VDI). Ainsi, ce connecteur permet la communication entre le rôle Remote Desktop Connection Broker et le serveur Virtual Machine Manager afin de provisionner dynamiquement les machines virtuelles VDI.
Télécharger Remote Desktop Services Connector for System Center Virtual Machine Manager
Microsoft a un rythme de croisière de deux versions de
Microsoft Desktop Optimization Pack (MDOP) par an. On retrouve ainsi
systématiquement une première édition suivie de la R2 dans la seconde moitié de
l’année. MDOP 2010 R2 apportait la version 4.6 de Microsoft Application
Virtualization (App-V) et le Service Pack 1 de Microsoft Enterprise Desktop
Virtualization (MED-V).
Mais que va nous apporter MDOP 2011 ?
Vous l’aurez compris ceux-ci est fourni est à titre indicatif et Microsoft n’a pas encore communiquer sur le contenu exacte de MDOP 2011.
L'équipe Exchange vient de mettre à jour l'outil Exchange 2010 Mailbox Server Role Requirements Calculator dans sa version 14.1. Cet outil est composé de feuilles Excel permettant d'entrer des données relatives à votre architecture.
Le calculateur vous donnera les prérequis de :
La version 14.1 inclut les améliorations et les fonctionnalités suivantes :
La version 14.1 corrige les bugs suivants par rapport aux versions précédentes :
Résumé des changements entre chaque version : http://msexchangeteam.com/archive/2010/01/22/453859.aspx
Article sur son utilisation : http://msexchangeteam.com/archive/2009/11/09/453117.aspx
Télécharger Exchange 2010 Mailbox Server Role Requirements Calculator
L’équipe SCCM vient de publier un billet concernant une erreur qui touche les administrateurs utilisant l’éditeur de séquence de tâches. Celui-ci renvoi l’erreur « too many steps » quand l’administrateur édite une séquence de tâches très complexe.
Pour résoudre ce problème, je vous renvoie vers le blog de l’équipe : http://blogs.technet.com/b/configmgrteam/archive/2011/01/18/task-sequence-editor-too-many-steps-issue-and-solution.aspx
La communauté Opalis est en pleine expansion ; c’est ainsi que Charles Joy a publié trois nouveaux packs d’intégration sur CodePlex.
On retrouve les Integration Packs suivants :
Ces packs rejoignent la liste des packs déjà présents :
Les DeploymentGuys viennent de publier un article très intéressant permettant de forcer l’exécution des publications à la fin du déploiement. Ceci permet de lancer l’ensemble des scripts même ceux facultatifs et nécessitant une intervention de la part de l’utilisateur. C’est un bon moyen de s’assurer que l’ensemble des publications ciblant la machine ont été exécutée à la fin du déploiement. A la base ce script a été construit pour un scénario de déploiement LTI avec MDT mais il se prête très bien à un déploiement via SCCM.
Vous devez procéder aux étapes suivantes :
Pour plus d’informations, je vous renvoie vers le billet : http://blogs.technet.com/b/deploymentguys/archive/2011/01/18/kick-starting-sccm-advertisements.aspx
L’équipe Opalis vient de publier un article dans la base de connaissance afin de détailler les étapes nécessaires à l’installation du pack d’intégration IBM Tivoli Enterprise Console. Ce pack d’intégration nécessite l’intégration de nouvelles classes et règles dans la console IBM Tivoli Enterprise.
Pour plus d’informations, je vous laisse consulter la KB2491953 - How to install Opalis Integration Pack for IBM Tivoli Enterprise Console Class and Rule definitions
Source : Blog Opalis
Voilà un article peu atypique mais qui à le mérite de donner les avantages et inconvénients de Windows Virtual PC 7 pour une utilisation dans le cadre de gamers. Malheureusement, Virtual PC est un piètre élève dans sa catégorie et n’est vraiment pas fait pour ce genre de situation.
Je vous laisse lire l’article des Ben Armstrong (Virtualization Program Manager chez Microsoft) : http://blogs.msdn.com/b/virtual_pc_guy/archive/2011/01/14/gaming-on-windows-virtual-pc.aspx
Microsoft vient de publier la version finale de MAP 5.5. Pour rappel, Microsoft Assessment and Planning Toolkit (MAP) fait partie de la catégorie des accélérateurs de solution (Solution Accelerator) tout comme Microsoft Deployment Toolkit. MAP permet d’opérer un inventaire complet des serveurs et des stations de travail déployés sur votre réseau. Il effectue un inventaire matériel et logiciel. Il opère aussi des analyses de performances et de fiabilité. MAP permet l’inventaire des systèmes suivants : Windows 7, Windows Vista, Windows XP Professional, Windows Server 2008 ou Windows Server 2008 R2, Windows Server 2003 ou Windows Server 2003 R2, Windows 2000 Professional ou Windows 2000 Server, VMware ESX, VMware ESXi, VMware Server. La version 5 apportait l’inventaire des systèmes Linux et Unix ainsi que des scenarii supplémentaires concernant le déploiement d’Office 2010, la détection du déploiement par le biais de SCCM.
Qu’apporte cette version 5.5 ?
MAP doit être installé sur une machine disposant des éléments suivants : Word 2007 ou 2003 SP2, Word Primary Interop Assemblies, Excel 2007 ou Excel 2003 SP2, Excel Primary Interop Assemblies, Microsoft Office Compatibility Pack for Office 2007, .Net Framework. Lors de son installation MAP requiert un accès à une base de données comme celle de SQL Server 2008 Express.
Téléchargez Microsoft Assessment and Planning (MAP) Toolkit 5.5 RTM
Je vous en parlais la semaine dernière, voici mon nouvel article sur l'implémentation de Forefront EndPoint Protection 2010. Comme pour le dernier, cet article est disponible sur Internet ou en version numérique.
En août 2003 alors que les administrateurs systèmes étaient d’avantage exposés à la lumière du soleil qu’à celle de leur écran d’ordinateur ; MS Blaster l’un des fléaux informatiques les plus célèbres commençait à envahir le monde de l’entreprise. Celui-ci allait changer radicalement la vision de la sécurité au cœur des entreprises en lançant une prise de conscience générale. A l’heure du passage en 2011, il n’est pas envisageable qu’une entreprise ne protège pas son parc informatique par un système anti-logiciel malveillant performant. Fin 2010, Microsoft annonçait la sortie de la nouvelle version de sa solution antivirale. Forefront EndPoint Protection était attendu depuis près de 3 ans avec des attentes fortes en matière d’administration. Cette nouvelle version change de stratégie en proposant une intégration complète à la gamme System Center au travers de System Center Configuration Manager (SCCM) 2007 et System Center Operations Manager (SCOM) 2007.
Vous verrez dans cet article comment implémenter Forefront EndPoint Protection et comment l’utiliser au quotidien. Nous verrons les différents avantages et inconvénients de cette solution et les avancées proposées.
Notez que cet article n’abordera pas l’implémentation de Forefront EndPoint Protection 2010 Security Management Pack. C’est-à-dire l’implémentation des Management Packs dans une infrastructure System Center Operations Manager.
Level : 200
Connaissances pré requises : System Center configuration Manager 2007, Windows Server Updates Services.
Lire l'article sur mon blog : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Ou
Télécharger cet article au format numérique : ICI
Nous avons vu dans cet article comment installer et implémenter Forefront EndPoint Protection 2010. Vous avez pu voir l’intégration complète et forte dans System Center Configuration Manager 2007 offerte par cette nouvelle édition. Les avantages de gérer les stratégies ou encore les alertes au travers de l’administration quotidienne offerte par SCCM sont multiples. Nous avons vu la simplicité offerte par l’utilisation d’une console centrale pour gérer l’ensemble des besoins de l’entreprise. Forefront EndPoint Protection fait donc un pas de géant vers les entreprises qui attendaient une intégration au produit d’administration de Microsoft.
Néanmoins les sociétés ne disposant pas de System Center Configuration Manager se sentiront lésées par ce changement de stratégie qui nécessitera un investissement conséquent. Certaines d’entre elles disposent déjà d’un outil de distribution électronique de logiciels (electronic software distribution (ESD) systems) et les migrations peuvent coûter beaucoup plus cher que d’opter pour un concurrent de FEP. De la même manière, les petites et moyennes entreprises ne sont plus la cible de ce produit. En effet, il n’existe pas à ce jour de dispositif d’intégration pour System Center Essentials 2010. On peut simplement regretter que Microsoft n’ait pas prévu une console simplifiée et dédiée pour ce type d’entreprise. Le pari de Microsoft trouvera certainement son sens dans le mode de licence proposé puisque beaucoup d’entreprises utilisent SCCM avec une solution antivirale concurrente et peuvent ainsi se voir attribuer aujourd’hui gratuitement Forefront EndPoint Protection 2010. La citation « FEP and SCCM : Better Together » prend réellement son sens avec cette version 2010.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Il existe différents moyens d’utiliser les données rapportées sur l’état du client Forefront EndPoint Protection. System Center Configuration Manager et Forefront EndPoint Protection proposent :
Nous avons déjà détaillé les collections précédemment dans cet article. Néanmoins pour rappel, on en retrouve sur :
Plus généralement, un tableau de bord est disponible sur le nœud Forefront EndPoint Protection de la console d’administration. Celui-ci donne une vision globale du nombre de machines dans les différents états cités dans les collections. Un bilan des différentes lignes de base est disponible. Celui-ci présente le niveau de conformité ainsi que le nombre de machines conformes ou non.
Forefront EndPoint Protection offre trois types de rapport. Ceux-ci sont disponibles dans l’arborescence : Site Database => Computer Management => Forefront EndPoint Protection => Reports.
Vous pouvez lancer les rapports en cliquant droit et en sélectionnant « Run ».
Le premier rapport « Computer Details » donne la liste des machines accompagnée de l’état de leur protection, de l’état de la sécurité, de la version des définitions. Si un logiciel malveillant a été détecté, on dispose des dates de première et dernière apparition.
Le rapport « Antimalware Protection Summary » donne une vision de l’état général de la protection anti logiciels malveillants.
Les diagrammes suivants sont disponibles :
Enfin, le rapport “Antimalware Activity” donne un résumé de l’activité des logiciels malveillants détectés sur le parc informatique.
On retrouve différentes informations comme :
Sur chacun de ces rapports, vous pouvez bénéficier de la puissance de SQL Server Reporting Services en modifiant différents paramètres (collection, date de début/fin, étendue du rapport…) qui influeront sur le résultat fourni par le rapport.
Enfin, vous pouvez trouver un rapport détaillé sur chaque machine. Ouvrez la console d’administration et déroulez l’arborescence afin d’atteindre les collections. Cliquez droit sur le poste de travail cible et choisissez « Run FEP Computer Details Report » :
Le rapport donne des détails sur l’ordinateur, sur l’état de la protection, sur l’activité des logiciels malveillants :
Forefront EndPoint Protection 2010 apporte un certain nombre de lignes de base et d’objets de configuration disponibles pour assurer la conformité des postes de travail au travers de la configuration du client FEP 2010.
Les lignes de base commençant par le préfix « FEP Monitoring » sont utilisées par Forefront pour superviser le client Forefront et remonter l’état du client et de sa configuration (état des mises à jour, des services…). Lors de l’installation de Forefront EndPoint Protection, l’activation de l’agent de gestion des configurations désirées est un prérequis pour cette raison.
On retrouve 4 lignes de base :
Ces quatre lignes de base sont appliquées à l’ensemble des machines disposant du client Forefront EndPoint Protection. Elles sont essentielles dans le fonctionnement du produit.
En parallèle, Forefront EndPoint Protection 2010 fournit quatre autres lignes de base pouvant être utilisées pour assurer la conformité du client vis-à-vis des standards de configuration (équivalent aux modèles de stratégie disponibles) :
Note : Ces lignes de base ne sont pas assignées par défaut.
Ces lignes de base font toutes références à 23 objets de configuration :
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
System Center Configuration Manager dispose de mécanismes permettant de connaître l’état de santé de l’ordinateur et des différents services de protection Forefront. Parmi ceux-ci, on retrouve des lignes de base permettant de détecter l’état en fonction de différentes requêtes WMI. Ces lignes de bases rapportent par exemple au serveur les différentes menaces détectées. L’intrusion d’un virus ou d’un logiciel malveillant peut causer des dégâts graves sur l’ensemble du parc en très peu de temps.
Ainsi, Forefront EndPoint Protection 2010 offre un système d’alertes que vous pouvez configurer pour alerter les administrateurs du parc informatique. Vous verrez dans cette partie comment configurer le système d’alerte.
Commençons par le paramétrage du système d’envoi d’email. Pour cela, ouvrez la console d’administration et déroulez Site Database => Computer Management => Forefront EndPoint Protection => Alerts. Cliquez droit sur le nœud Alerts et sélectionnez « E-Mail Settings ».
La fenêtre de paramétrage s’ouvre. Cochez la case « E-mail alert notification ». Entrez ensuite le serveur SMTP, le port, la méthode d’authentification, et l’adresse e-mail d’expédition.
Cliquez ensuite sur « Test and Close… » et entrez l’adresse email que vous souhaitez utiliser pour tester le système d’envoi :
Un message d’information s’affiche et un email a été envoyé sur l’adresse indiqué pour vérifier que le système fonctionne :
Après avoir configuré le système d’envoi d’emails, nous allons pouvoir configurer les quatre types d’alertes disponibles.
La première alerte correspond à l’alerte épidémique. Celle-ci envoi un email lorsqu’un même logiciel malveillant est détecté sur un nombre d’ordinateurs spécifiés. Dans le nœud « Malware Outbreak Alert » de la partie Forefront EndPoint Protection => Alerts, sélectionnez l’alerte correspondante.
Cochez « Enable alert » pour activer l’alerte. Entrez le seuil du nombre d’ordinateurs utilisés pour déclencher l’alerte. Ajoutez aussi les adresses email qui recevront les alertes par email.
La seconde alerte est « Malware Detection Alert ». Celle-ci envoi un email lorsqu’un logiciel malveillant est détecté sur un ordinateur membre de la collection cible de l’alerte.
Cliquez droit sur le nœud Malware Detection Alerts et sélectionnez « New Malware Detection Alert… ». Vous pouvez ensuite sélectionner la collection cible de l’alerte ou encore le niveau de détection en fonction du niveau de gravité de l’alerte. Entrez aussi les adresses email des collaborateurs qui recevront les alertes.
L’alerte « Repeated Malware Detection Alert” permet l’envoi d’email lorsqu’un même logiciel malveillant est détecté sur les postes de travail d’une collection dans un intervalle de temps donné.
Cliquez droit sur le nœud Malware Detection Alerts et sélectionnez « New Repeated Malware Detection Alert… ». Vous pouvez ensuite sélectionner le nombre de fois qu’un logiciel malveillant est détecté (4, 8, 16, 32 fois) ainsi que l’intervalle de temps (4 heures, 24 heures, 1 semaine) dans lequel ils sont détectés. Entrez aussi les adresses email des collaborateurs qui recevront les alertes.
Enfin l’alerte « Multiple Malware Detection Alert” permet l’envoi d’email lorsque plusieurs types de logiciels malveillants sont détectés sur un même postes de travail dans un intervalle de temps donné.
Cliquez droit sur le nœud Multiple Detection Alerts et sélectionnez « New Multiple Malware Detection Alert… ». Vous devez sélectionner la collection qui sera cible de l’alerte. Vous pouvez ensuite sélectionner le nombre de logiciels malveillants différents détectés (4, 8, 16, 32 logiciels malveillants) ainsi que l’intervalle de temps (4 heures, 24 heures, 1 semaine) dans lequel ils sont détectés. Entrez aussi les adresses email des collaborateurs qui recevront les alertes.
Lorsqu’une menace est détectée, une alerte est levée et vous recevez un email comme suit :
L’ensemble de ces alertes vous permettent d’être tenu informé en cas d’épidémie ainsi être réactif plus rapidement face aux différentes menaces.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Le quotidien des administrateurs est rythmé par la gestion du parc. Ceci passe par les différentes tâches permettant d’assurer qu’aucune menace n’est actuellement présente sur le réseau. Ainsi Forefront EndPoint Protection 2010 propose différents mécanismes permettant de lancer ponctuellement ou de manière programmé des opérations comme :
Pour rappel, la programmation des analyses doit se faire au travers des stratégies appliquées sur les clients. Néanmoins, il est possible de lancer des stratégies programmées à travers un programme (script).
Nous verrons dans cette partie comment lancer des opérations programmées ou ponctuelles.
Comme vous avez pu le voir précédemment, Forefront EndPoint Protection se base sur les mécanismes offerts par System Center Configuration Manager. Les opérations sont ainsi symbolisées par un package contenant un script. Ce sont ensuite des programmes avec la ligne de commande et les commutateurs spécifiques qui vont permettre d’exécuter l’opération voulue.
On peut ainsi utiliser les mécanismes de System Center Configuration Manager en construisant des collections qui seront ciblées par des programmations récurrentes afin de publier les opérations souhaitées.
Attention ! Ce mode opératoire n’est à utiliser que pour des cas particuliers. Dans la majorité des cas, il est conseillé de configurer des opérations/analyses programmées en utilisant les stratégies appliquées aux clients.
Commencez par créer une arborescence de collections qui serviront à accueillir les différents clients et les publications :
Créez ensuite une publication pour l’opération que vous souhaitez attribuer. Pour cela, ouvrez la console d’administration et déroulez l’arborescence Site Database => Computer Management => Software Distribution => Packages => Microsoft Corporation FEP – Operations => Programs.
Cliquez droit sur le programme associé à l’opération que vous souhaitez publier et sélectionnez Distribute puis Software :
L’assistant de création de la publication s’ouvre. Passez l’écran de bienvenue et sur l’écran suivant sélectionnez ou créez la collection cible de l’opération :
Sur la page Advertisement Name, entrez le nom donné à la publication en cours de création :
Sur l’écran Advertisement Subcollection, choisissez si la publication doit se propager au sous collections :
A l’étape Advertisent Schedule, choisissez la date de mise à disposition et d’expiration de la publication :
A la page Assign Program, cochez la case « Yes, assign the program » et spécifiez l’erreur et les options d’exécution du programme :
Validez l’écran de résumé pour procéder à la création et fermez l’écran de confirmation.
Vous pouvez ensuite modifier les propriétés de la publication pour programmer une récurrence.
Forefront EndPoint Protection 2010 offre la possibilité de lancer des opérations ponctuelles sur les clients en fonction des besoins d’administration. Imaginez le scénario suivant : Vous êtes averti par une alerte qu’un logiciel malveillant a été introduit sur le parc. Celui-ci est une sévérité extrêmement rare. Vous souhaitez donc lancer une analyse complète sur l’ensemble des postes de travail. La fonctionnalité d’opérations ponctuelles va vous aider dans cette tâche.
Pour cela, ouvrez la console d’administration et déroulez l’arborescence Site Database => Computer Management => Collections => All systems. Sélectionnez les postes sur lesquels vous souhaitez lancer l’opération et cliquez droit. Sélectionnez ensuite FEP Operations puis l’opération que vous souhaitez exécuter parmi l’analyse rapide, complète, ou encore la mise à jour des définitions.
Une fenêtre s’affiche vous informant que l’opération a été programmée. Pour cela, une publication et collection ont été créées pour accueillir les machines cibles et l’opération.
La publication a été créée dans le dossier FEP Operations de l’arborescence Site Database => Computer Management => Software Distribution => Advertisments :
Une collection portant le nom <OPERATION> at <DATE_DE_LANCEMENT> est créée dans la collection Operations de l’arborescence : Site Database => Computer Management => Collections => FEP Collections :
A l’issue de cette création, l’opération démarre dès que la publication est reçue par le client SCCM :
Celui-ci lance un script VBS : « AmRemediation » :
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
La gestion des mises à jour de définitions est une étape importante dans la gestion des clients Forefront EndPoint Protection. Microsoft publie des mises à jour de définitions plusieurs fois par jour pour actualiser les nouvelles menaces qui se présentent. Vous pouvez mettre à jour les clients de différentes façons :
Chacune de ces méthodes possèdent un avantage. La mise à jour via Microsoft Updates peut permettre aux clients déconnectés du réseau de quand même bénéficier des mises à jour de définitions. L’utilisation d’un chemin réseau permet aux clients ne disposant pas d’un accès Internet ou d’une infrastructure de déploiement (points de distribution...) d’accéder aux mises à jour. Enfin l’utilisation de SCCM ou WSUS permet à l’administrateur de mieux contrôler le déploiement des définitions. Il est possible d’utiliser l’ensemble de ces méthodes conjointement.
Nous n’aborderons ici que les méthodes de déploiement massives à savoir la gestion des mises à jour par System Center Configuration Manager 2007 et Windows Server Updates Services. Il faut savoir que le système de gestion des mises à jour par SCCM ne se prête pas vraiment à la gestion des mises à jour de définitions. Néanmoins, nous verrons les différentes méthodes (officielles ou non) à savoir :
Notez que pour réaliser cette partie, vous devez disposer des connaissances nécessaires dans la gestion des mises à jour par WSUS et SCCM. Nous ne détaillerons pas l’installation et la configuration de l’infrastructure de déploiement de mises à jour.
Comme expliqué plus haut, le processus de gestion des mises à jour via System Center Configuration Manager ne se prête pas à la mise à jour des définitions FEP. En effet, les mises à jour de définitions ont lieu plusieurs fois par jour. La gestion des mises à jour via SCCM nécessite des opérations manuelles. Ceci signifie que l’administrateur devra procéder aux opérations suivantes au moins une fois par jour s’il veut que son infrastructure soit à jour.
Commençons par revoir brièvement les paramétrages de l’infrastructure System Center Configuration Manager. Ouvrez la console d’administration, déroulez l’arborescence Site Database => Site Management => <SITECODE> - <SITENAME> => Site Settings => Client Agents. Ouvrez l’agent « Software Updates client Agent ». Vérifiez que celui-ci est activé et correctement configuré selon vos besoins :
Cliquez ensuite sur le nœud Component Configuration. Ouvrez l’onglet « Classifications » et cochez la case « Definition Updates » :
Cliquez ensuite sur l’onglet « Products » et cherchez le produit « Forefront EndPoint Protection 2010 ». Cochez la case pour activer la synchronisation du produit.
Dans l’onglet « Languages », vérifiez que les langues des clients sont cochées pour pouvoir appliquer les mises à jour en fonction des langues locales de votre parc :
Initiez ensuite une synchronisation. Pour cela, dirigez-vous dans l’arborescence Site Database => Computer Management => Software Updates => Update Repository. Cliquez droit et sélectionnez « Run Synchronization » :
Validez le message pour procéder à la synchronisation :
Vous pouvez valider que la synchronisation a eu lieu avec succès en visionnant le fichier de journalisation « wsyncmgr.log » :
La mise à jour de définition apparaît ensuite dans la console dans l’arborescence : Site Database => Computer Management => Software Updates => Update Repository => Definition Updates => Microsoft => Forefront EndPoint Protection 2010 :
Cliquez droit sur la mise à jour et sélectionnez « Deploy Software Updates » :
Note : Il est recommandé d’utiliser des listes de mises à jour (Update List). Néanmoins nous n’utiliserons pas ce processus pour simplifier l’article.
L’assistant s’ouvre. Celui-ci permet de créer le déploiement qui ciblera les clients. Entrez le nom d’un déploiement :
Sur la page Deployment Template, vous pouvez choisir d’utiliser un modèle existant ou d’en créer un nouveau. Je vais pour ma part utiliser un modèle déjà créé pour les besoins d’une démonstration.
A l’étape Deployment Package, créez un nouveau package de déploiement qui identifiera les mises à jour de définition. Vous devez pour cela entrer un nom et un chemin UNC faisant référence au répertoire source du package :
Sélectionnez ensuite les points de distribution sur lesquels vous souhaitez déployer le package de mises à jour.
Sur l’écran Download Location, vérifiez que l’option « Download software updates from the Internet” est cochée et passez à l’étape suivante :
Sur la page Language Selection, cochez les langues que vous utilisez dans votre parc pour rendre disponible les mises à jour à l’ensemble des clients :
A l’étape Schedule, vous pouvez programmer le déploiement de la mise à jour. Ainsi vous devez choisir la date de mise à disposition mais aussi la date de fin. Cette date de fin permet de forcer l’installation automatique des mises à jour.
Validez l’écran de résumé pour procéder à la création du déploiement :
Ouvrez une session sur une machine cliente ; celle-ci doit afficher une bulle de notification informant de la disponibilité d’une mise à jour :
Cliquez sur cette bulle pour ouvrir la fenêtre de gestion des mises à jour logiciel. Cliquez sur Install pour procéder à l’installation. Notez que si la date de fin est égale à la date de mise à disposition ; l’utilisateur n’aura pas besoin de procéder à ces étapes et se verra forcer l’installation des mises à jour de définition.
Une fois lancé, le client procède au téléchargement des fichiers de mise à jour :
Enfin l’installation démarre :
Une fois terminée, la mise à jour a été correctement appliquée au client Forefront comme vous pouvez le voir dans l’onglet Updates de son interface :
Nous avons vu comment gérer les mises à jour manuellement via System Center Configuration Manager 2007. La méthode qui suit permet de gérer automatiquement les mises à jour de définitions via Windows Server Updates Services en utilisant les règles d’approbation du produit. Cette méthode est la solution officielle fournie par Microsoft pour résoudre les lacunes de System Center Configuration Manager 2007. Celle-ci a ses avantages : Elle est officielle ! Mais elle dispose aussi de nombreux inconvénients :
Elle n’utilise pas System Center Configuration Manager et le déploiement via les points distribution. Les mises à jour sont déployées via le serveur WSUS. Ainsi la gestion des sites distants est rendue plus difficile.
L’administrateur ne dispose pas de l’ensemble des informations de Reporting (installation avec succès ou non…) de System Center Configuration Manager.
Ouvrez la console d’administration WSUS et dirigez-vous dans le nœud Options.
Sélectionnez « Automatic Approvals » pour ouvrir la fenêtre de configuration des règles d’approbation. Cliquez sur « New Rule… » pour créer une règle :
Sur la fenêtre Add Rule, cochez « When an update is in a specific classification” et “When an update is in a specific product”. Sélectionnez ensuite la classification Definition Updates et le produit Forefront EndPoint Protection 2010. Appliquez cette règle à l’ensemble des ordinateurs.
Note : Vous pouvez choisir de cibler un unique groupe de machines.
Entrez ensuite le nom de la règle et cliquez sur Ok.
Une fois ajoutée, vérifiez que la règle est cochée dans l’écran Automatic Approvals et cliquez sur OK
Toujours dans les options de la console d’administration WSUS, sélectionnez Synchronization Schedule. Choisissez ensuite de procéder à la synchronisation automatique. Vous pouvez choisir la première synchronisation et la fréquence. Quatre fois par jour permettent de maintenir l’infrastructure à jour mais vous pouvez aussi accélérer la fréquence en passant à 24 fois par jour à partir de minuit.
Une fois synchronisé, on peut observer à l’aide de filtre que les mises à jour de définition ont été correctement approuvées :
Connectez-vous sur une machine cliente et ouvrez le client Forefront EndPoint Protection. Ouvrez l’onglet Update et procédez à la mise à jour du client. Le client consulte le serveur WSUS, télécharge et installe les mises à jour qui lui sont proposées :
Le client est ensuite à jour :
Vous pouvez configurer les paramètres de mise à jour du client via stratégie pour que celui-ci se mette à jour avant les analyses ou via stratégie de groupe pour forcer la consultation des mises à jour.
Microsoft a publié le correctif cumulatif 1 (Rollup 1) de Forefront EndPoint Protection (FEP) 2010 apportant son lot de correction et nouveautés (Voir http://microsofttouch.fr/blogs/js/archive/2011/06/28/forefront-endpoint-protection-fep-2010-correctif-cumulatif-1.aspx). Je souhaite aujourd’hui aborder l’utilisation du nouvel outil permettant de télécharger les mises à jour de définitions FEP automatiquement. Cet outil est Officiellement supporté par Microsoft.
Notez que vous devez disposer des prérequis suivants :
Vous devez aussi configurer le Software Update Point ; créer un package contenant les mises à jour de définitions et publier les mises à jour à vos clients. Pour cela, je vous invite à consulter la partie 4.2.1 Gestion manuelle des mises à jour par SCCM de mon article sur FEP 2010. Retenez le nom du package et du Deployment Management (=Publication) que vous donnez.
Commencez par télécharger l’outil : « fepsuasetup.cab » sur Microsoft Forefront Endpoint Protection (FEP) 2010 Update Rollup 1 Tools.
Ouvrez le package « fepsuasetup.cab » et copiez l’outil « SoftwareUpdateAutomation.exe » dans c:\Program Files\Microsoft Configuration Manager\AdminUI\bin.
Notez que l'outil propose les paramétres suivants :
/Help: Get program usage
/SiteServer: Site server computer name
/UpdateFilter: Filter for selecting software updates that are used for the destination packages
/AssignmentName: Name of destination software update assignment
/PackageName: Name of destination software update packages
/PreDownloadFolder: Destination folder holding downloaded update files
/UpdateLanguages: List of language IDs for requested software updates
/RefreshDP: Request automatic propagation of updated package to Distribution Points (true by default)
Certaines options (siteservername) peuvent être nécessaires dans votre infrastructure en fonction de vos contraintes (topologie, langue...). Ces considérations ne seront pas détaillées dans l'article suivant.
Deux solutions s’offrent ensuite à vous :
Cet article détaillera les deux solutions.
Méthode 1 : La tâche planifiée Windows
Commençons par la tâche planifiée Windows, ouvrez l’outil correspondant et cliquez sur Create Task. Donnez un nom à la tâche et vérifiez que l’option « Run whether user is logged on or not » est cochée afin que la tâche s’exécute dans chacun des cas.
Ouvrez l’onglet Actions et ajoutez-en une nouvelle. Choisissez l’action « Start a program ». Spécifiez le chemin vers l’outil de mise à jour automatique en utilisant les variables d’environnement :
Dans la partie arguments, spécifiez « /AssignementName <Nom de votre DeployementManagement> /PackageName <Nom de votre Package> ». J’entends par nom ; le nom qui s’affiche dans la console d’administration SCCM et que vous avez entrez dans l’assistant lors de la création de chacune des entitées.
Ouvrez ensuite l’onglet Triggers, et cliquez sur New. Vous pouvez déclencher cette tâche dans deux modes de fonctionnement :
Nous allons détailler les deux méthodes. Commençons par la programmation récurrente, sélectionnez Daily (journalier). Vérifiez que la récurrence a lieu tous les jours et répétez l’opération toutes les heures pour une durée indéterminée.
Passons au déclenchement à la suite de l’événement de synchronisation avec succès de WSUS. Pour cela, il faut identifier le numéro d’événement qui peut être remonté au travers des journaux d’événements du serveur :
Choisissez le type de déclenchement sur un événement. Entrez ensuite les informations suivantes :
Vérifiez ensuite que la tâche est activée.
Méthode 2 : Les règles de filtre d’état
Nous allons maintenant décrire la deuxième option qui s’offre à vous : Créer une règle de filtrage d’état. Ouvrez la console d’administration et déroulez l’arborescence Site Database => Site Management => <SITECODE> - <SITENAME> => Site Settings => Status Filter Rules. Cliquez droit sur le nœud « Status Filter Rules » et sélectionnez « New Status FIlter Rules ».
L’assistant s’ouvre. Entrez le nom de la règle (par exemple : « AutoDeploy FEP Updates ») et entrez les informations suivantes :
Sur la page Action, cochez Run a program et entrez l’adresse du programme et les arguments nécessaires :
Terminez l’assistant pour procéder à la création.
Après exécution d’une synchronisation l’outil de Microsoft procède aux opérations suivantes :
Le fichier de journalisation est stocké dans %ProgramData%\SoftwareUpdateAutomation.log
Cette méthode de gestion automatique des mises à jour de définitions est proposée par Kim Oppalfens. Sa solution se rapproche des règles de déploiement automatique (ADR) de System Center Configuration Manager 2012.
Pour faire simple, il faut configurer le Software update Point pour procéder à une synchronisation toutes les heures. Il faut ensuite créer une règle de filtrage d’état qui lors de la remontée de l’event id 6702 (synchronisation du serveur WSUS avec succès), lance un exécutable créé par Kim Oppalfens.
Cette exécutable:
Avertissement : Cette solution est à implémenter à vos risques et périls mais elle a le mérite d’apporter une solution viable à un problème quotidien auquel font face les administrateurs SCCM/FCS/FEP.
Commencez par télécharger les binaires de la solution proposée par Kim : http://www.myitforum.com/absolutenm/templates/Articles.aspx?articleid=20071&zoneid=89 Disposez-les dans un répertoire accessible par le serveur de site. Vous allez peut être devoir éditer les sources pour changer les références vers le SDK. Pour cela, lisez le README.
Créez ensuite une règle de filtrage d’état. Ouvrez la console d’administration et déroulez l’arborescence Site Database => Site Management => <SITECODE> - <SITENAME> => Site Settings => Status Filter Rules. Cliquez droit sur le nœud « Status Filter Rules » et sélectionnez « New Status FIlter Rules ».
L’assistant s’ouvre. Entrez le nom de la règle (par exemple : « AutoDeploy FEP Updates ») et entrez les informations suivantes :
Sur la page Actions, cochez la case « Run a program » puis entrez la ligne de commande : « "<chemin vers les sources de la solution>\SUM_E2E_Deployment.exe" <NOMDUPROVIDER> <ID_DE_LA_COLLECTION_CIBLE_DU_DEPLOIEMENT>.
On retrouve par exemple dans mon cas : « "<chemin vers les sources de la solution>\SUM_E2E_Deployment.exe" WTVN-SCCMSS LYN00027
Passez à l’écran suivant et validez le résumé pour procéder à la création. Fermez ensuite l’écran de confirmation.
Note : Vous devez reconfigurer votre Software Update Point pour qu’il procède à des synchronisations toutes les heures.
Une fois la synchronisation effectuée ; le processus créé un package « Latest Forefront Definition Updates Package » déployé sur tous les points de distribution et comprenant les dernières mises à jour de définitions :
Dans le même temps, un déploiement « Forefront Auto-Approved updates » a été créé. Celui-ci cible la collection LYN00027 et comporte les mises à jour de définitions :
Ce déploiement ne dispose pas de date de fin forçant le déploiement. Vous pouvez ainsi aisément le modifier pour correspondre à votre politique de mise à jour :
Connectez-vous ensuite sur un client faisant parti de la collection cible du déploiement. Ce client doit recevoir un déploiement optionnel de mise à jour des définitions antivirales Forefront EndPoint Protection :
Une fois installée, la mise à jour est correctement appliquée au client Forefront :
Vous avez vu dans cette partie, différentes méthodes de gestion des mises à jour de définitions afin de déployer massivement sur le parc informatique. Chacune dispose des avantages et des inconvénients. Il ne fait aucun doute que la gestion manuelle des mises à jour par System Center Configuration Manager rallonge considérablement le temps quotidien passé à l’administration du produit. La solution officielle de Microsoft est un bon compromis. Néanmoins, elle n’utilise pas les avantages des points de distribution souvent utilisés pour distribuer les packages au sein d’infrastructure riche en sites distants.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Les tâches d’administration du produit passent par différentes composantes comme la gestion des stratégies s’appliquant aux clients, la gestion des mises à jour, la gestion des opérations de maintenance, la gestion des alertes, ou la surveillance de l’état de l’infrastructure au travers des rapports. Cette partie vous permettra d’aborder tous ces concepts.
La gestion des stratégies est la tâche la plus importante qu’un administrateur doit opérer sur l’infrastructure FEP. Les stratégies (Policies) sont un ensemble d’éléments/paramétrages s’appliquant au client Forefront EndPoint Protection. Elles permettent de régir le comportement du client. On retrouve ainsi la gestion :
Pour visualiser les stratégies, ouvrez la console d’administration Configuration Manager. Déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies.
Forefront EndPoint Protection fournit deux stratégies par défaut s’appliquant à tous les clients :
Vous ne pouvez pas supprimer les stratégies par défaut et ce afin d’assurer le bon fonctionnement de l’infrastructure. De cette façon, une stratégie est toujours appliquée à un client FEP. Vous pouvez néanmoins facilement éditer les propriétés de la stratégie pour modifier les différents paramètres.
Il est conseillé de ne pas les modifier car celles-ci ont été construite comme un standard s’appliquant aux deux types de profil. Si vous souhaitez appliquer des paramètres spécifiques, vous pouvez créer une nouvelle stratégie (Policy) qui prendra le dessus sur la stratégie par défaut.
Nous n’allons pas détailler ici écran par écran les différents paramétrages. Néanmoins, vous pouvez trouver des tableaux regroupant les principales différences entre les deux stratégies.
Note : Nous détaillerons la signification de chaque paramètre lors de la création des stratégies personnalisées.
Voici les paramétrages pour chacune des stratégies par défaut en ce qui concerne les analyses programmées :
|
Scheduled Scans (params) |
Default Desktop Policy |
Default Server Policy |
|
Activé |
Oui |
Non |
|
Type d’analyse |
Analyse Hebdomadaire rapide |
Aucune |
|
Programmation (Jour) |
Samedi |
- |
|
Programmation (heure) |
03h00 |
- |
|
Vérification des mises à jour avant de démarrer l’analyse |
Oui |
- |
|
Analyse uniquement quand l’ordinateur n’est pas utilisé |
Oui |
- |
|
Randomiser le démarrage de l’analyse programmée (intervalle de 30 min) |
Oui |
- |
|
Force une analyse lors du démarrage du poste si plus de deux analyses ont été manquées |
Non |
- |
|
Limite l’utilisation CPU durant les analyses |
Oui (50%) |
Oui (30%) |
|
Autorise l’utilisateur à configurer l’usage processeur pour les analyses |
Non |
Non |
|
Contrôle de l’utilisateur sur les analyses programmées |
Aucun contrôle |
Aucun contrôle |
Le tableau suivant récapitule les actions utilisées par défaut lors de la découverte d’une menace :
|
Default Actions (params) |
Default Desktop Policy |
Default Server Policy |
|
Sévère |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Haute |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Moyenne |
Mise en quarantaine |
Mise en quarantaine |
|
Faible |
Autorise |
Autorise |
Ce tableau rassemble les paramètres des deux stratégies par défaut en ce qui concerne la protection en temps réel :
|
Real-time protection (params) |
Default Desktop Policy |
Default Server Policy |
|
Activée |
Oui |
Oui |
|
Analyse des fichiers système |
Analyse des fichiers entrants et sortants |
Analyse des fichiers entrants et sortants |
|
Analyse tous les fichiers téléchargés et pièces jointes |
Oui |
Non |
|
Utilise la supervision du comportement |
Oui |
Oui |
|
Active la protection contre les exploits réseau |
Oui |
Non |
|
Autorise l’utilisateur à configurer les paramétrages de la protection en temps réelle |
Non |
Oui |
Vous trouvez ci-dessous trois tableaux regroupant les exclusions de répertoires, de fichiers, de types de fichiers et de processus pour les stratégies par défaut :
|
Excluded files and locations |
Default Desktop Policy |
Default Server Policy |
|
%windir%\SoftwareDistribution\ Datastore |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
|
%windir%\Security\Database |
*.edb, *.sdb, *.log *.chk, *.jrs |
*.edb, *.sdb, *.log *.chk, *.jrs |
|
%ALLUSERSPROFILE%\NTuser.pol |
Oui |
Oui |
|
%SystemRoot%\system32\ GroupPolicy\registry.pol |
Oui |
Oui |
|
Excluded files types |
Default Desktop Policy |
Default Server Policy |
|
|
Aucun |
Aucun |
|
Excluded processes |
Default Desktop Policy |
Default Server Policy |
|
|
Aucun |
Aucun |
Voici les différences entre les deux stratégies en ce qui concerne les paramétrages avancés du client Forefront EndPoint Protection :
|
Advanced |
Default Desktop Policy |
Default Server Policy |
|
Analyse des fichiers archivés |
Oui |
Oui |
|
Analyse des lecteurs réseau lors des analyses complètes |
Non |
Non |
|
Analyse des périphériques de stockage amovibles (Clé USB…) |
Non |
Non |
|
Créer un point de restauration système avant de nettoyer l’ordinateur |
Non |
Non |
|
Afficher un message de notification à l’utilisateur lorsque une opération (analyse complète, téléchargement de définitions…) est nécessaire |
Non |
Non |
|
Suppression des fichiers en quarantaine |
Non |
Non |
|
Autorise l’utilisateur à configurer la période de suppression automatique des fichiers en quarantaine |
Non |
Non |
|
Autorise l’utilisateur à exclure des répertoires, fichiers, type de fichiers et processus |
Non |
Oui |
|
Overrides |
Default Desktop Policy |
Default Server Policy |
|
|
Aucun |
Aucun |
Ce tableau résume les différences en ce qui concerne Microsoft SpyNet :
|
Microsoft SpyNet |
Default Desktop Policy |
Default Server Policy |
|
Activé |
Oui |
Oui |
|
Abonnement |
Basic |
Basic |
|
Autorise l’utilisateur à changer les paramétrages SpyNet |
Non |
Non |
Le tableau Updates regroupe les paramétrages de mises à jour du client pour les deux stratégies :
|
Updates |
Default Desktop Policy |
Default Server Policy |
|
Vérification des définitions (intervalle) |
Toutes les 8 heures |
Toutes les 8 heures |
|
Force la mise à jour des définitions si celle-ci a échoué il y a |
1 jour |
1 jour |
|
Mise à jour à partir d’un partage de fichier |
Non |
Non |
|
Mise à jour à partir de WSUS ou SCCM |
Oui |
Oui |
|
Mise à jour à partir de Microsoft Update |
Oui |
Oui |
Voici un récapitulatif des paramétrages de gestion du Firewall Windows pour les deux stratégies par défaut :
|
Windows Firewall |
Default Desktop Policy |
Default Server Policy |
|
Gestion de Windows Firewall |
Activée |
Desactivée |
|
Réseau Domaine : |
|
|
|
Etat du Firewall |
Activé |
- |
|
Connexions entrantes |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
- |
|
Réseaux Privés : |
|
|
|
Etat du Firewall |
Activé |
- |
|
Connexions entrantes |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
- |
|
Réseaux Publics : |
|
|
|
Etat du Firewall |
Activé |
- |
|
Connexions entrantes |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
- |
Après avoir décortiqué les stratégies par défaut fournies avec Forefront EndPoint Protection, nous allons entrer dans le vif du sujet et voir comment créer une stratégie personnalisée. Nous détaillerons dans cette partie l’ensemble des étapes de création et d’édition. Vous trouverez ici la définition de chaque paramètre.
Pour créer votre stratégie (Policy) personnalisée, ouvrez la console d’administration Configuration Manager. Déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies. Cliquez droit sur le nœud Policies et sélectionnez New Policy :
L’assistant de création d’une stratégie s’ouvre. Nous allons créer une stratégie personnalisée qui s’appliquera à tous les ordinateurs portables (profils itinérants, commerciaux, consultants…). Entrez le nom de la stratégie et la description :
Sur l’écran Policy Type, vous devez choisir le type de stratégie que vous souhaitez créer. Les différentes options proposées sont des modèles qui vous permettront d’adapter la stratégie au besoin émis. On retrouve ainsi 4 types principaux :
Nous aborderons plus tard dans cette partie la création d’une stratégie dédiée à un rôle serveur.
Sélectionnez le type de stratégie « Standard desktop policy » puis passez à l’écran suivant :
Sur l’écran Scheduled Scans, vous pouvez choisir de programmer des analyses en cochant « schedule type and time of scan ». Vous pouvez sélectionner le type et la fréquence des analyses en choisissant :
Vous devez ensuite choisir la programmation (jour et heure) de ces analyses.
La page suivante permet d’ajouter des exclusions à l’analyse. Par défaut, on retrouve les exclusions habituelles du dossier Software Distribution. Il peut être intéressant d’exclure certains fichiers comme des bases de données afin d’optimiser le fonctionnement de certains programmes.
A l’étape Updates, vous pouvez spécifier les différentes méthodes utilisées pour mettre à jour le client Forefront et déployer les nouvelles définitions antivirales. Vous pouvez ainsi :
L’écran Client Configuration permet de configurer les interactions entre l’utilisateur et le client. Vous pouvez ainsi choisir de laisser l’utilisateur configurer la protection en temps réel ou encore les programmations d’analyse. Vous pouvez aussi cocher « Show notification messages to users on … » pour afficher des notifications à l’utilisateur lorsque des actions sont nécessaires. Ceci peut se caractériser par le lancement d’une analyse complète ou le téléchargement des dernières définitions de virus et de logiciels malveillants.
Validez l’écran de résumé pour procéder à la création de la stratégie :
Une fois créée, on retrouve notre stratégie dans la liste des stratégies disponibles :
Maintenant que la stratégie est créée, je vous propose de rentrer plus en détail dans les paramétrages offerts par ces stratégies. Pour cela dans l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies, cliquez droit sur la stratégie et choisissez Properties
Une fois la fenêtre des propriétés ouverte, on se retrouve dans l’onglet General. Cet onglet présente le nom et la description de la stratégie. Vous pouvez y retrouver les collections qui se voient assigner la stratégie.
On retrouve aussi la date de création et de modification ainsi que le numéro de version de la stratégie. Le numéro de version est incrémenté à chaque fois que la stratégie est modifiée.
Ouvrez l’onglet Antimalware. Dans la partie Scheduled scans, on retrouve les paramétrages suivants :
Dans la partie Default actions, on retrouve les paramétrages liés aux actions par défaut face à des niveaux de menaces détectés. Ces niveaux de menace (sévère, haute, moyenne ou faible) sont déterminés par Microsoft en fonction de la sévérité de celle-ci :
La partie Real-time protection rassemble les options concernant le module de protection en temps réel :
L’écran Excluded files and locations permet d’ajouter des exceptions à l’analyse faite par Forefront EndPoint Protection pour éviter que certains fichiers ou répertoires soient analysés. Ceci peut permettre d’améliorer les performances de certaines applications (par exemple dans le cadre de bases de données) mais augmente le risque des machines.
L’écran Excluded file types permet d’ajouter des exceptions pour certains types de fichiers.
L’écran Excluded processes permet d’ajouter des exceptions pour certains processus afin d’éviter d’interférer avec le comportement de certaines applications et rendre l’exécution plus performante.
La partie Advanced offre des paramétrages supplémentaires :
La partie Overrides permet de spécifier des exceptions permettant d’outrepasser le comportement des actions recommandées. Vous pouvez ainsi pour certaines menaces (vous trouverez la liste sur : http://www.microsoft.com/security/portal/Threat/Encyclopedia/Browse.aspx), spécifiez des actions particulières qui prendront le dessus sur l’action recommandée.
L’écran de configuration Microsoft SpyNet permet de configurer l’abonnement à SpyNet. Vous pouvez ainsi désactiver l’abonnement ou choisir le type. L’option « Allow users on endpoint computers to change SpyNet settings » autorise l’utilisateur final de modifier lui-même les paramètres de SpyNet.
L’onglet Updates offre différents paramétrages permettant de modifier le comportement de mis à jour du client :
L’onglet Windows Firewall permet de spécifier les paramètres de configuration influant sur le firewall Windows.
Nous avons vu comment créer une stratégie personnalisée assez standard basée sur les types disponibles. Ceux-ci se prêtent principalement à une utilisation pour les postes de travail. Microsoft propose néanmoins des modèles spécifiques aux serveurs et aux différents rôles et produits qu’ils peuvent héberger.
Nous allons créer une stratégie à destination des serveurs de site System Center Configuration Manager. Celle-ci devra prendre en considération les différents mécanismes des serveurs cibles.
Procéder à la création d’une nouvelle stratégie. Une fois l’assistant ouvert, entrez le nom de la stratégie et sa description.
Sur l’écran Policy Type, cochez « Policy template » et choisissez le modèle « FEP Configuration Manager 2007 including Defaults » :
Validez l’écran de résumé pour procéder à la création :
Une fois créée, nous pouvons éditer cette stratégie spécifique au produit System Center Configuration Manager 2007. Nous pouvons remarquer dans les paramétrages Antimalware => Excluded files and Locations qu’il y a de nombreuses exclusions associées au chemin d’installation de System Center Configuration Manager :
Ces modèles sont un bon moyen d’adapter facilement le comportement du client Forefront EndPoint Protection au rôle et produits sur lequel il est installé.
Après avoir créé nos stratégies, nous allons pouvoir les assigner aux clients Forefront cibles de la configuration. La première étape consiste à créer les collections et l’arborescence des collections nécessaires à votre infrastructure. Vous pouvez créer les collections au niveau de FEP Collections => Deployment Status => Deployment Succeeded. Pour plus de clarté, j’ai créé une arborescence séparée et totalement dédiée à l’application des stratégies personnalisées :
Ce découpage est bien entendu présenté à titre indicatif ; vous êtes libre d’organiser celles-ci selon vos besoins.
Pour assigner une stratégie, rendez-vous dans la console d’administration Configuration Manager et déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies. Cliquez droit sur la stratégie que vous souhaitez déployer et sélectionnez « Assign Policy… » :
Une fenêtre s’ouvre. Celle-ci permet d’ajouter des collections qui seront la cible de la stratégie. Cliquez sur « Add… » pour les ajouter. Vous pouvez ensuite cocher la case « Include subcollections » si vous souhaitez que la publication se propage aux sous-collections :
Une fois ajoutée, nous pouvons voir que la publication est assignée à la collection que nous avons choisie :
Un client Forefront EndPoint Protection peut se voir attribuer plusieurs stratégies mais il n’en appliquera qu’une seule. Un client se voit toujours attribué au moins une stratégie. Les deux stratégies par défaut ne peuvent être supprimées pour cette raison et assure ainsi un « service minimum » sur les nouveaux clients.
Afin de pouvoir au mieux gérer l’application d’une et une seule stratégie sur chaque client ; celles-ci se voient attribuer une priorité. Cette priorité permet au client de s’avoir quelle stratégie doit s’appliquer si plusieurs lui sont proposées. Plus le numéro de priorité est faible ; moins la stratégie est prioritaire. Ainsi si un client se voit attribuer une stratégie avec un numéro de priorité 15 et la stratégie par défaut (priorité 1) ; ce sera bien la stratégie avec la priorité 15 qui sera appliquée.
Les deux stratégies par défaut ont la propriété la plus faible (respectivement 1 pour la stratégie poste de travail et 2 pour les serveurs).
Note : Lors de la création d’une nouvelle stratégie, celle-ci se voit assigner la priorité maximale.
Il est possible d’éditer la priorité des stratégies. Pour cela, ouvrez la console d’administration et déroulez l’arborescence Site Database => Computer Management => Forefront EndPoint Protection => Policies. Cliquez droit sur le nœud Policies et sélectionnez « Edit Policy Precedence… » .
Une fenêtre s’ouvre afin de vous permettre de déplacer vers le haut (en donnant une priorité supérieure) ou vers le bas (en donnant une priorité inférieure) chaque stratégie.
Veuillez noter qu’il n’est pas possible de modifier la priorité des stratégies par défaut.
Voici les paramétrages pour chacun des types de stratégie en ce qui concerne les analyses programmées :
|
Scheduled Scans (params) |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Activé |
Oui |
Oui |
Oui |
|
Type d’analyse |
Analyse Hebdomadaire rapide |
Analyse journalière rapide et hebdomadaire complète |
Analyse Hebdomadaire rapide |
|
Programmation (Jour) |
Samedi |
Samedi (3h00) |
Samedi |
|
Programmation (heure) |
03h00 |
02h00 |
03h00 |
|
Vérification des mises à jour avant de démarrer l’analyse |
Oui |
Oui |
Oui |
|
Analyse uniquement quand l’ordinateur n’est pas utilisé |
Oui |
Non |
Oui |
|
Randomiser le démarrage de l’analyse programmée (intervalle de 30 min) |
Oui |
Oui |
Oui |
|
Force une analyse lors du démarrage du poste si plus de deux analyses ont été manquées |
Non |
Oui |
Non |
|
Limite l’utilisation CPU durant les analyses |
Oui (50%) |
Non |
Oui (30%) |
|
Autorise l’utilisateur à configurer l’usage processeur pour les analyses |
Non |
Non |
Non |
|
Contrôle de l’utilisateur sur les analyses programmées |
Aucun contrôle |
Aucun contrôle |
Aucun contrôle |
Le tableau suivant récapitule les actions utilisées par défaut lors de la découverte d’une menace :
|
Default Actions (params) |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Sévère |
Utilise l’action recommandée |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Haute |
Utilise l’action recommandée |
Utilise l’action recommandée |
Utilise l’action recommandée |
|
Moyenne |
Mise en quarantaine |
Mise en quarantaine |
Mise en quarantaine |
|
Faible |
Autorise |
Autorise |
Autorise |
Ce tableau rassemble les paramètres des types de stratégie en ce qui concerne la protection en temps réel :
|
Real-time protection (params) |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Activée |
Oui |
Oui |
Oui |
|
Analyse des fichiers système |
Analyse des fichiers entrants et sortants |
Analyse des fichiers entrants et sortants |
Analyse des fichiers entrants et sortants |
|
Analyse tous les fichiers téléchargés et pièces jointes |
Oui |
Oui |
Oui |
|
Utilise la supervision du comportement |
Oui |
Oui |
Oui |
|
Active la protection contre les exploits réseau |
Oui |
Oui |
Oui |
|
Autorise l’utilisateur à configurer les paramétrages de la protection en temps réelle |
Non |
Non |
Non |
Vous trouvez ci-dessous trois tableaux regroupant les exclusions de répertoires, de fichiers, de types de fichiers et de processus pour des types de stratégie :
|
Excluded files and locations |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
%windir%\SoftwareDistribution\ Datastore |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
Datastore.edb Res*.jrs Edb.chk Tmp.edb |
|
%windir%\Security\Database |
*.edb, *.sdb, *.log *.chk, *.jrs |
*.edb, *.sdb, *.log *.chk, *.jrs |
*.edb, *.sdb, *.log *.chk, *.jrs |
|
%ALLUSERSPROFILE%\NTuser.pol |
Oui |
Oui |
Oui |
|
%SystemRoot%\system32\ GroupPolicy\registry.pol |
Oui |
Oui |
Oui |
|
Excluded files types |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
|
Aucun |
Aucun |
Aucun |
|
Excluded processes |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
|
Aucun |
Aucun |
Aucun |
Voici les différences entre les types de stratégie en ce qui concerne les paramétrages avancés du client Forefront EndPoint Protection :
|
Advanced |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Analyse des fichiers archivés |
Oui |
Oui |
Oui |
|
Analyse des lecteurs réseau lors des analyses complètes |
Non |
Non |
Non |
|
Analyse des périphériques de stockage amovibles (Clé USB…) |
Non |
Non |
Non |
|
Créer un point de restauration système avant de nettoyer l’ordinateur |
Non |
Non |
Non |
|
Afficher un message de notification à l’utilisateur lorsque une opération (analyse complète, téléchargement de définitions…) est nécessaire |
Non |
Non |
Non |
|
Suppression des fichiers en quarantaine |
Non |
Non |
Non |
|
Autorise l’utilisateur à configurer la période de suppression automatique des fichiers en quarantaine |
Non |
Non |
Non |
|
Autorise l’utilisateur à exclure des répertoires, fichiers, type de fichiers et processus |
Non |
Non |
Non |
|
Overrides |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
|
Aucun |
Aucun |
Aucun |
Ce tableau résume les différences concernant Microsoft SpyNet :
|
Microsoft SpyNet |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Activé |
Oui |
Oui |
Oui |
|
Abonnement |
Basic |
Basic |
Basic |
|
Autorise l’utilisateur à changer les paramétrages SpyNet |
Non |
Non |
Non |
Le tableau Updates regroupe les paramétrages de mises à jour du client pour les types de stratégie:
|
Updates |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Vérification des définitions (intervalle) |
Toutes les 8 heures |
Toutes les 8 heures |
Toutes les 8 heures |
|
Force la mise à jour des définitions si celle-ci a échoué il y a |
1 jour |
1 jour |
1 jour |
|
Mise à jour à partir d’un partage de fichier |
Non |
Non |
Non |
|
Mise à jour à partir de WSUS ou SCCM |
Oui |
Oui |
Oui |
|
Mise à jour à partir de Microsoft Update |
Oui |
Oui |
Oui |
Voici un récapitulatif des paramétrages de gestion du Firewall Windows pour les types de stratégie :
|
Windows Firewall |
Standard Desktop Policy |
High-security Policy |
Performance-optimized policy |
|
Gestion de Windows Firewall |
Activée |
Activée |
Desactivée |
|
Réseau Domaine : |
|
|
|
|
Etat du Firewall |
Activé |
Activé |
- |
|
Connexions entrantes |
Bloquées |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
Oui |
- |
|
Réseaux Privés : |
|
|
|
|
Etat du Firewall |
Activé |
Activé |
- |
|
Connexions entrantes |
Bloquées |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
Oui |
- |
|
Réseaux Publics : |
|
|
|
|
Etat du Firewall |
Activé |
Activé |
- |
|
Connexions entrantes |
Bloquées |
Bloquées |
- |
|
Affichage d’une notification |
Oui |
Oui |
- |
Cette partie va vous permettre de comprendre comment Forefront EndPoint Protection 2010 s’intègre aux différents mécanismes de System Center Configuration Manager 2007.
La création d’une stratégie n’est ni plus ni moins qu’associée à la création d’un nouveau programme dans le package Microsoft Corporation FEP – Policies 1.0 :
Ce package est remis à jour automatiquement tous les jours à heure fixe afin de prendre en considération les différents changements :
L’assignation d’une stratégie correspond à la création d’une publication (Advertisement) pour le programme associé à la stratégie sur une collection donnée avec les différents paramétrages nécessaires.
Ainsi, il existe deux publications par défaut qui s’appliquent tous les jours. Dès lors que vous assignez une stratégie, celle-ci se voit créer une publication qui est appliquée dès que possible pour que les changements de stratégies soient appliqués le plus rapidement possible.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Maintenant que l’infrastructure serveur est correctement installée et fonctionnelle, nous pouvons passer à l’installation et au déploiement à grande échelle du client.
Cette partie liste les différentes considérations à prendre en compte lors de l’installation du client sur une machine.
Les prérequis matériels nécessaires à l’installation d’un client Forefront EndPoint Protection sont les suivants :
L’installation de l’infrastructure Forefront EndPoint Protection 2010 nécessite certains prérequis parmi les suivantes :
L’installation du client Forefront EndPoint Protection procède à la désinstallation automatique des antivirus suivants si ceux-ci sont présents sur la machine :
Vous trouverez plus d’informations sur les prérequis de déploiements du client Forefront EndPoint Protection sur : http://technet.microsoft.com/en-us/library/ff823900.aspx
Après avoir revu les prérequis, nous allons pouvoir commencer la procédure de déploiement de masse du client. Nous n’aborderons pas dans cet article l’installation manuelle du client. Pour cela, je vous renvoie vers la documentation Technet : http://technet.microsoft.com/en-us/library/ff823774.aspx ou http://technet.microsoft.com/en-us/library/gg412485.aspx
Après avoir installé Forefront EndPoint Protection vous disposez des packages et des programmes nécessaires à l’installation du client. Néanmoins, vous devez d’abord rendre disponible ce package sur les points de distribution de votre environnement. Pour cela, ouvrez la console d’administration System Center Configuration Manager 2007. Déroulez l’arborescence : Site Database => Computer Management => Software Distribution => Package => Microsoft Corporation FEP – Deployment 1.0 => Distribution Points :
Cliquez droit sur le nœud Distribution Points et sélectionnez New Distribution Points. L’assistant s’ouvre, passez l’écran de bienvenue.
A l’étape Copy Package, sélectionnez les points de distribution sur lesquels vous souhaitez rendre disponible le package :
Après avoir fermé l’écran de confirmation, dirigez-vous dans Package Status => Package Status => <SITECODE> - <SITENAME> et validez que le package a bien été déployé sur le point de distribution :
Maintenant que le package est disponible nous allons pouvoir créer la publication nécessaire à la distribution et l’installation du client FEP sur les machines. Pour cela, dirigez-vous dans le nœud Programs du package Microsoft Corporation FEP – Deployment 1.0. Cliquez droit sur le programme Install, sélectionnez Distribute puis Software.
Passez l’écran de bienvenue, vous pouvez ensuite choisir quelle collection sera la cible du déploiement. Vous pouvez ainsi cibler une collection existante ou créer une nouvelle collection. FEP nous fournit des collections proposant des requêtes dynamiques. Parmi celles-ci, on retrouve des collections donnant le statut du déploiement. L’utilisation de la collection « Not Targeted » permet de cibler les clients Configuration Manager ne disposant pas déjà du client FEP.
Spécifiez ensuite le nom de la publication et le commentaire associé :
La page suivante permet de configurer le comportement de la publication vis-à-vis des sous collections. Par défaut la publication est propagée et héritée par les clients des sous collections de « Not Targeted ».
L’étape Advertisement Schedule permet de spécifier les informations (date et heure) de publication du programme et si celui-ci doit expirer :
Sur l’écran Assign Program, cochez « Yes, assign the program” et spécifiez les informations d’assignement (date et heure) :
Validez le résumé et la confirmation pour procéder à la création de la publication.
Dans l’état cette publication assigne et procède à l’installation du client sur les postes de travail dès que possible. Le programme est configuré pour s’exécuter en silencieux sans qu’aucune notification ne dérange l’utilisateur.
On se connecte sur le client et on rafraichie les différentes stratégies afin de récupérer les ordres de publication. Après quelques minutes, on peut confirmer que plusieurs processus sont en cours d’exécution : cscript.exe, epplauncher.exe, FEPInstall.exe.
On retrouve aussi un dossier caché à la racine du disque local contenant l’ensemble des binaires nécessaires à l’installation :
Après installation, le client FEP procède à la récupération des mises à jour auprès de son serveur :
L’installation du client a opéré l’installation du correctif de sécurité WPF (KB981889) :
Sur le client toujours, vous retrouvez différents fichiers de journalisation relative au client Forefront EndPoint Protection 2010. Ceux-ci sont stockés dans :
|
Fichier de journalisation |
Description |
|
EppSetup.log |
Fichier de journalisation principal de l’installation. |
|
MSSecurityClient_Setup_epp_install.log |
Fichier de journalisation de l’installation de l’extension d’administration et de l’interface utilisateur. |
|
MSSecurityClient_Setup_FEP_install.log |
Fichier de journalisation de l’installation de l’extension Configuration Manager. |
|
MSSecurityClient_Setup_mp_ambits_install.log |
Fichier de journalisation de l’installation du service Antimalware. |
|
MSSecurityClient_Setup_epploc_x86_Install or MSSecurityClient_Setup_epploc_x64_Install |
Fichier de journalisation de l’installation des ressources localisées. |
|
MSSecurityClient_Setup_amloc-%locale%_install |
Fichier de journalisation de l’installation des ressources localisées pour le service antimalware. |
|
MSSecurityClient_Setup_KB981889_Install.evtx |
Le fichier de journalisation pour l’installation du correctif KB981889. Seulement sur Windows 7 ou Windows Server 2008 R2. |
|
MSSecurityClient_Setup_dw20shared_Install.log |
Le fichier de journalisation pour l’installation de Dr. Watson (seulement sur Windows XP, et seulement s’il n’était pas présent). |
Source : Technet
Sur la console d’administration Configuration Manager, vous pouvez aussi suivre les différents états des machines lors du déploiement du client SCCM avec la collection Deployment Status et ses sous collections :
Voici quelques informations importantes prenant part lors de l’installation du client Forefront EndPoint Protection :
Notez que pour les serveurs de fichiers, il peut être important de désactiver la protection en temps réel pour éviter des problèmes de performance. Pour cela, vous devez créer une stratégie spécifique à ces machines.
Le client Forefront est constitué de plusieurs parties :
La page d’accueil permet d’avoir un bref aperçu de l’état du client et des définitions antivirales. Il est possible à partir de cet écran de lancer des opérations de scan (complet ou partiel).
La page Update permet de connaître la date de création des définitions, la date de dernière vérification et les versions des définitions de virus et de logiciels malveillants. Il est possible d’initier à partir de cet écran, la procédure de mise à jour du client via Microsoft Update, WSUS et les différents cheminS UNC renseignéS comme source des définitions.
L’écran History permet de visualiser l’ensemble des objets détectés par Forefront EndPoint Protection comme potentiellement nuisibles.
La page Settings permet de configurer l’ensemble des paramétrages du client Forefront EndPoint Protection. On retrouve ainsi :
Par défaut, la stratégie dédiée au poste de travail n’autorise aucune modification de paramétrage.
Cette partie traite du test de l’antivirus Forefront EndPoint Protection. Nous allons soumettre celui-ci au test EICAR fournit par le groupe européen de la sécurité Informatique. Ce fichier est un faux négatif utilisé pour tester les antivirus. Il n’a aucune incidence sur le système. Depuis sa création en 2006, ce fichier de test a été largement utilisé et n’a plus vraiment d’intérêt. Il permet néanmoins de tester la fonction de protection en temps réel avec analyse du flux http et https pour détecter ce genre de menace juste après le téléchargement. Il a aussi servi à générer les alertes fournies par Forefront que vous verrez plus loin dans cet article.
Dirigez-vous sur http://www.eicar.org :
Il est possible de tester l’antivirus en téléchargeant les fichiers zippéS ou non sur les protocoles http/https. Une fois le téléchargement lancé, le client Forefront EndPoint Protection lève une alerte et propose de nettoyer la machine :
L’action de nettoyage proposée est la suppression du fichier incriminé. Vous pouvez changer d’action en fonction du niveau de sévérité détecté et appliquer les actions.
Une fois l’action terminée, Forefront vous donne le statut de l’action :
Vous pouvez ensuite visualiser dans l’historique du client, l’ensemble des éléments qui ont été détectés et les différentes actions qui ont été appliquées :
De la même manière si on désactive la protection en temps réel et qu’on télécharge le fichier, celui-ci n’est pas neutralisé lors du téléchargement mais lors de l’analyse de la machine :
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Cette partie va traiter l’installation de la solution serveur de Forefront EndPoint Protection. Vous pourrez y retrouver les différents prérequis et la procédure d’installation.
Les prérequis matériels nécessaires à l’installation d’un serveur Forefront EndPoint Protection sont les suivants :
Il est à noter que les prérequis peuvent varier en fonction de la répartition des rôles ou de la charge imposée au serveur.
L’installation de l’infrastructure Forefront EndPoint Protection 2010 nécessite certains prérequis parmi les suivants :
Pour activer ces agents, ouvrez la console d’administration System Center Configuration Manager sur le site où vous souhaitez installer Forefront EndPoint Protection. Déroulez l’arborescence Site Database => Site Management => <SITECODE> - <SITENAME> => Site Settings => Client Agents :
Ouvrez les différents agents cités plus haut et assurez-vous que ceux-ci sont activés et correctement configurés :
Vous trouverez plus d’informations sur les prérequis sur la documentation Technet : http://technet.microsoft.com/en-us/library/ff823830.aspx
L’installation et la configuration de ces prérequis (SQL Server…) afin d’assurer la validité de l’installation de Forefront EndPoint Protection ne sera pas détaillée dans cet article.
Pour ce qui est de la gestion des sites Configuration Manager au travers d’une hiérarchie avec Forefront EndPoint Protection 2010, je vous renvoie vers le lien de la documentation Technet : http://technet.microsoft.com/en-us/library/gg412503.aspx
Procurez-vous les sources de Forefront EndPoint Protection 2010 dans l’architecture de la machine où vous aller installer le produit. Lancez l’exécutable « serversetup.exe ».
Une fois l’assistant d’installation ouvert, renseignez les informations d’enregistrement du produit :
Sur l’écran suivant, acceptez les termes du contrat de licence :
La page suivante vous propose les options d’installation. On retrouve 4 types d’installation :
Dans le cadre de cet article, nous aborderons le cas le plus général : La topologie basique. Nous allons donc concentrer l’ensemble des rôles sur une seule et unique machine : notre serveur de site SCCM. Néanmoins, nous allons passer par l’option d’installation la plus personnalisable à savoir Advanced Topology pour détailler au mieux les options offertes.
Sur l’écran suivant, vous pouvez choisir ce que vous souhaitez installer :
La page suivante permet la configuration des informations de la base de données FEP. Celle-ci doit être installée sur le même serveur/instance qui héberge la base de données Configuration Manager. Vous pouvez personnaliser le nom de la base de données FEP :
L’écran Reporting Configuration permet de spécifier les informations nécessaires à l’installation des fonctionnalités de Reporting. Vous pouvez ainsi y entrer le nom du serveur, l’instance et le nom de la base de données qui hébergeront les données de Reporting (Data warehouse). Enfin vous devez spécifier les informations du compte utilisé par le serveur de rapport pour accéder à la base de données de Reporting FEP 2010.
L’étape suivante vous permet de configurer les options de mise à jour du produit et de participation au programme d’amélioration :
La page suivante vous permet de joindre le programme Microsoft SpyNet. Ce programme est une initiative de Microsoft comme il en existe chez ses concurrents permettant de rejoindre une communauté afin d’enrayer la propagation des logiciels malveillants et indésirables. Le programme permet par exemple d’être avisé des logiciels non analysés et de savoir si les autres membres ont permis ou refusés les changements initiés par ceux-ci. Le programme permet notamment à Microsoft de détecter plus rapidement les menaces et ainsi de consolider les besoins d’analyse sur les véritables alertes.
On distingue deux types d’abonnements :
L’écran suivant permet de spécifier le répertoire d’installation et d’obtenir une vision des prérequis d’espace disque :
L’étape suivante correspond à la vérification des prérequis. Si vous avez raté un prérequis, vous obtiendrez un écran avec des erreurs comme suit :
Vous pouvez obtenir plus de détail sur l’erreur en cliquant sur « More… ». Ceci vous permettra de résoudre le problème :
Sinon si vous avez suivi la partie 2.1.2 et correctement configuré l’ensemble des prérequis cités vous devez obtenir l’écran suivant :
L’écran qui suit correspond au résumé d’installation. Vous pouvez rapidement revoir les différentes options et procéder à l’installation :
Lorsque l’installation est déroulée, l’ensemble des composants doivent être installés avec succès :
Avant de fermer l’assistant d’installation, vous pouvez vérifier les mises à jour sur Microsoft Update. Vous devrez ensuite procéder au redémarrage de l’ordinateur pour finaliser l’installation :
Vous pouvez consulter les fichiers de journalisation liés à l’installation dans : c:\ProgramData\Microsoft Forefront\Support\Server\ServerSetup_<Date>_<Heure>.log
Comme expliqué plus tôt, Forefront EndPoint Protection 2010 introduit un véritable changement dans le fonctionnement de la gamme d’antivirus pour entreprise de Microsoft. Contrairement à Forefront Client Security (FCS) qui était construit sur une version spécifique de Microsoft Operations Manager (MOM) 2005 ; FEP 2010 est lui construit sur la base de la gamme System Center. De ce fait, ceci implique des changements en profondeur.
Forefront EndPoint Protection 2010 ne permet pas une migration à proprement parler avec des scénarios In-Place ou Side-by-Side.
Voici la marche à suivre :
L’installation de Forefront EndPoint Protection 2010 (FEP) correctement déroulée, vous pouvez ouvrir la console d’administration de System Center Configuration Manager 2007.
Nous allons détailler dans cette partie les brefs changements apportés à la console d’administration.
Déroulez l’arborescence Site Database => Computer Management => Collections.
On retrouve ainsi une collection FEP Collections contenant différentes sous collections. Ces sous collections sont bloquées et ne peuvent être supprimées. Le contenu des requêtes dynamiques ainsi que les paramétrages sont eux aussi non modifiables. Ces collections permettent ainsi de vous donner un aperçu de l’état des clients avec notamment des informations sur :
Toujours dans l’arborescence Site Database => Computer Management. Vous retrouvez le nœud Forefront EndPoint Protection :
Dans la partie Software Distribution, on retrouve trois packages :
Associé à ces packages, on retrouve deux dossiers dédiés aux publications : FEP Operations et FEP Policies.
Nous détaillerons le nœud Forefront EndPoint Protection ainsi que les packages plus loin dans l’implémentation.
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
Microsoft s’est lancé en 2006 dans le secteur des logiciels antivirus avec Windows OneCare Live. Ce logiciel destiné aux particuliers disposait d’un mode de licence particulier offrant la possibilité de l’installer sur 3 ordinateurs dans un seul foyer. Au terme d’un premier renommage pour intégrer la suite Windows Live. Windows Live OneCare fut arrêté en novembre 2008. Microsoft n’abandonna pas cependant l’idée de se lancer sur ce marché jusqu’alors principalement occupé par Symantec. En parallèle, la stratégie de Microsoft fut ensuite différente puisque la firme de Redmond s’est consacré au marché des antivirus d’entreprise en proposant Microsoft Client Protection en 2005. Cette première version fut ensuite renommée en 2007 : Forefront Client Security (FCS). Cet antivirus reprenant les bases de OneCare fut couronné de succès grâce à la stratégie agressive de Microsoft sur le prix des licences. Fin 2009, Microsoft se relance dans l’aventure de l’antivirus dédié aux particuliers. Fort de son succès avec FCS, Microsoft lance Windows Security Essentials, un antivirus gratuit. Le monde de l’informatique fut agréablement surpris de la qualité de l’antivirus et de ses performances générales. Aujourd’hui, FCS se fait vieux et les attentes sont nombreuses. C’est ainsi que Microsoft annonce début 2010 la sortie d’une nouvelle version de son antivirus d’entreprise qui sera rebaptisée : Forefront EndPoint Protection.
Forefront EndPoint Protection 2010 signe un changement dans le fonctionnement de la gamme d’antivirus pour entreprise de Microsoft. Contrairement à Forefront Client Security (FCS) qui était construit sur une version spécifique de Microsoft Operations Manager (MOM) 2005 ; FEP 2010 est lui construit sur la base de la gamme System Center.
Ainsi, le produit est séparé en deux modules :
Note : Nous n’aborderons pas l’implémentation de Forefront EndPoint Protection 2010 Security Management Pack dans cet article.
L’infrastructure Forefront EndPoint Protection 2010 est constituée des éléments suivants :
L’administrateur du parc informatique gère tout à partir de la console d’administration Configuration Manager. Les stratégies et les opérations sont appliquées au client FEP au travers du client SCCM. Le client FEP remonte son état en utilisant des lignes de base primordiales au fonctionnement du produit. Ces données sont stockées dans la base de données FEP. En parallèle l’administrateur peut aussi utiliser des lignes de base par défaut pour connaître l’état de conformité du client. De manière régulière, une opération de stockage a lieu afin de synchroniser la base de données FEP avec l’entrepôt de données (Data WareHouse) utilisé pour les rapports.
Comme expliqué plus tôt, Forefront EndPoint Protection 2010 est une couche supplémentaire apportée à System Center Configuration Manager. Ceci fait de Forefront EndPoint Protection 2010 un piètre élève dans la cours des produits hautement disponible puisque celui-ci est dépendant des services de System Center Configuration Manager. En effet, il est difficile de rendre SCCM hautement disponible. Vous pouvez rendre certains rôles hautement disponibles comme le Management Point, le Software Update Point, ou la base de données. Néanmoins, le serveur de site ne peut faire partie de ce plan.
Microsoft recommande l’utilisation :
Pour plus d’informations, rendez-vous : http://technet.microsoft.com/en-us/library/gg412484.aspx
Le plan de reprise d’activité doit prendre en compte la sauvegarde préalable des différents composants comme notamment System Center Configuration Manager 2007. Celle-ci est assurée par une tâche de maintenance qui sauvegarde à la fois la base de données mais aussi l’ensemble des fichiers de configuration nécessaires. Dans le cadre de Forefront EndPoint Protection, cette tâche sauvegarde les stratégies, les paramétrages effectués dans SCCM et les publications.
Vous devez aussi sauvegarder la base de données de reporting Forefront EndPoint Protection (FEPDW_<SITECODE>) en utilisant la solution de sauvegarde SQL Server.
Microsoft propose ensuite deux procédures de restauration.
La première concerne la restauration du site System Center Configuration Manager quand il est victime d’un « Crash », il est alors nécessaire de le remplacer. Vous devez enchainer les étapes suivantes :
La seconde procédure est à utiliser lorsque le serveur de la base de données de reporting Forefront EndPoint Protection est devenu indisponible. Vous devez suivre les étapes :
Pour plus d’informations, consultez : http://technet.microsoft.com/en-us/library/gg477037.aspx
Forefront EndPoint Protection 2010 dispose de licences pour l’infrastructure serveur et pour les clients. Les clients peuvent utiliser des licences par utilisateur ou par périphérique. En parallèle, les licences pour System Center Configuration Manager R2 ou R3 sont nécessaires pour gérer centralement les clients.
On distingue deux suites de produit :
|
Standalone Products |
Enterprise CAL Suite |
Forefront Protection Suite |
|
Forefront Endpoint Protection 2010 |
|
|
|
Forefront Protection 2010 for Exchange Server |
|
|
|
Forefront Protection 2010 for SharePoint |
|
|
|
Forefront Security for Office Communications Server |
|
|
|
Forefront Online Protection for Exchange |
|
|
|
Forefront TMG Web Protection Service |
|
|
|
Other Server CALs and technologies |
|
La suite Entreprise inclut les licences nécessaires pour System Center Configuration Manager et pour le système d’exploitation.
Côté client, les prix annoncés sont les suivants :
|
Estimated Prices |
|
|
Microsoft Forefront Endpoint Protection 2010 |
$8.64 US par utilisateur ou par périphérique, par an |
Revenir au plan : http://microsofttouch.fr/blogs/js/pages/forefront-endpoint-protection-2010-introduction.aspx
En août 2003 alors que les administrateurs systèmes étaient en d’avantage
exposés à la lumière du soleil qu’à celle de leur écran d’ordinateur ; MS
Blaster l’un des fléaux informatiques les plus célèbres commençait à envahir le
monde de l’entreprise. Celui-ci allait changer radicalement la vision de la
sécurité au cœur des entreprises en lançant une prise de conscience
générale. A l’heure du passage en 2011,
il n’est pas envisageable qu’une entreprise ne protège pas son parc informatique
par un système anti-logiciel malveillant performant. Fin 2010, Microsoft
annonçait la sortie de la nouvelle version de sa solution antivirale. Forefront
EndPoint Protection était attendu depuis près de 3 ans avec des attentes fortes
en matière d’administration. Cette nouvelle version change de stratégie en
proposant une intégration complète à la gamme System Center au travers de System
Center Configuration Manager (SCCM) 2007 et System Center Operations Manager
(SCOM) 2007.
Vous verrez dans cet article comment implémenter Forefront
EndPoint Protection et comment l’utiliser au quotidien. Nous verrons les
différents avantages et inconvénients de cette solution et les avancées
proposées.
Notez que cet article n’abordera pas l’implémentation de Forefront EndPoint Protection 2010 Security Management Pack. C’est-à-dire l’implémentation des Management Packs dans une infrastructure System Center Operations Manager.
Level : 200
Connaissances pré requises : System Center configuration Manager 2007, Windows Server Updates Services.
Plan :
1. Théorie
2. Implémentation : Installation du
serveur
3. Implémentation : Installation du
client
4. Implémentation : Administration
4.1
Gestion des stratégies (Policies)
4.2 Gestion des mises
à jour
4.3 Gestion des
opérations
4.4 Gestion des
alertes
4.5 Gestion des
rapports
4.6 Gestion des
configurations désirées
Ou Télécharger cet article au format numérique : ICI
