vShield Endpoint com Trend Micro Deep Security

Neste documento poderemos ver a implementação do vShield Endpoint com o antivírus Deep Security da Trend Micro, como já sabemos, com o vShield Endpoint poderemos evitar ter em cada máquina virtual (hospedada na nossa infraestrutura vSphere) um software antivírus/antimalware, com isto conseguiremos otimizar ainda mais os nossos ambientes VDI por não termos tantos AV como MV, o processamento dessa carga passa a ser executado apenas uma vez pelo nosso hipervisor.

vShield Endpoint descarga del procesamiento de cada agente (de antivirus o antimalware) de cada máquinas virtual a un appliance de seguridad dedicado en cada host ESXi (proporcionado por partners de VMware), dando esa segurança a nível de hypervisor y descargando notablemente la carga de cada MV y host. Se instala como módulo y se distribuye como dicho appliance de terceros, en cada host ESXi.

Este será el esquema final que se montará, en este documento usaremos la versión 8.0 de Deep Security que es compatible con ESXi 5.0 Atualização 1, software que necesitaremos disponer:

Deep Security Manager: Manager-Windows-8.0.1448.x64.exe o Manager-Windows-8.0.1448.i386.exe

Deep Security Agent: Agent-Windows-8.0.0-1201.i386.msi o Agent-Windows-8.0.0-1201.x86_64.msi

Deep Security Notifier [opcional]: Notifier-Windows-8.0.0-1201.i386.msi

Deep Security Relay [opcional]: Relay-Windows-8.0.0-1201.i386.msi o Relay-Windows-8.0.0-1201.x86_64.msi

Deep Security Virtual Appliance: Appliance-ESX-8.0.0-1199.x86_64.zip

Deep Security Filter Driver: FilterDriver-ESX_5.0-8.0.0-1189.x86_64.zip

Começou, desde la consola de administración de vShield Manager desplegaremos a cada host el módulo desde la vista de ‘Hosts & Clusters’ > Centro de dados > Cluster > Anfitrião, desde la pestaña ‘Summary’ en vShield EndPoint “Install”,

Seleccionamos ‘vShield Endpoint’ & “Instalar”,

… Esperamos enquanto você instala & carga el módulo…

OKEY.

En una máquina nueva desplegaremos Trend Micro Deep Security Manager, que será el encargado de gestionar nuestra infraestructura Deep Security, además de bajarse las últimas definiciones y desplegarlas en cada host. Comenzamos con su instalación,

Aceitamos o contrato de licença & “Próximo”,

Selecione o caminho de instalação, por defecto en '%ProgramFiles%Trend MicroDeep Security Manager', “Próximo”,

Seleccionamos el formato de BD que queremos generar, podrá ser embebida (Apache Derby), Microsoft SQL Server u Oracle, “Próximo”,

Introducimos el código de activación de Trend Micro que nos permitirá executar distintos módulos, “Próximo”,

Introducimos el nombre FQDN de host donde instalaremos el Manager, así como el puerto predeterminado de gestión (4119TCP) o el de heartbeat (4120TCP), “Próximo”,

Especificamos una contraseña para 'MasterAdmin',

Assinalar “Atualização Automática de Componentes” & “Verificação Automática de Novo Software” para criar unas tarefas programadas onde nos actualizará en todo momento todos los componentes de Trend Micro, assim como los motores de definiciones, etc…

Podremos instalar en este mesmo equipo el servicio de relay que será quien se conecte diretamente a Trend Micro
Active Update para descargar las actualizaciones, em caso contrário podremos instalarlo en outro equipo, “Próximo”,

Si habilitamos Trend Micro Smart Feedback enviaremos informes de nosso malware a Smart Protection Network para su análisis/registro, “Próximo”,

Confirmamos os dados & Pressionado “Acabar” para iniciar a instalação,

…

Dejamos marcado el check para poder gerir de forma imediata Deep Security, “Acabar”,

Abrir-se-á um navegador ou abrimo-lo a: https (em inglês)://DEEP_SECURITY_MANAGER:4119, autenticamo-nos como 'MasterAdmin'’ e com a palavra-passe que definimos anteriormente,

O primeiro será adicionar o nosso servidor vCenter a partir do 'Dashboard'’ > 'Computers'’ > 'New'’ > 'Add VMware vCenter'…’

No assistente web indicamos o endereço IP/hostname do nosso vCenter, su puerto, indicamos um nome & uma descrição, bem como um utilizador administrador e a sua palavra-passe, “Próximo”,

Indicamos igualmente os dados do nosso vShield Manager, indicaremos o seu endereço IP/hostname e as credenciais, “Próximo”,

Será apresentado o certificado do vShield Manager, Vamos clicar em “Aceitar” para confiar nele.

Será apresentado o certificado do VMware vCenter, Vamos clicar em “Aceitar” para confiar nele.

Confirmamos que os dados do nosso vCenter estão corretos & “Acabar”,

… Aguardamos enquanto são adicionados os hosts e máquinas virtuais à vista…

Pronto, vCenter adicionado, “Fechar”.

O seguinte será preparar os hosts ESXi da nossa organização com o filter driver para interceptar todo o tráfego de I/O das nossas VMs e poder analisá-lo, desde a vista principal, 'Computers'’ > ‘vCenter’ > ‘Hosts and Clusters’ > ‘Datacenter’ > ‘Cluster’, Selecionaremos cada host e sobre ele: ‘Actions’ > “Prepare ESX…”,

Si es la primera vez que lo executamos, Irá indicar-nos que não dispomos do Filter Driver e que teremos de o importar, Clique em “Import Wizard”,

Este novo assistente permitirá importar o software, lo buscamos desde “Examinar” & “Próximo”,

confirmamos que es el componente correcto & “Acabar”,

Nada mau, de vuelta en el anterior asistente, ya podremos continuar con la preparação de nuestros hosts ESXi, con este desplegaremos el componente necesario, “Próximo”,

Poço, antes de começar, tendremos que tener en cuenta que nosso host se pondrá em modo mantenimiento, se instalará o Filter Driver y posteriormente se reiniciará, así que cuidado con las MV's de producción. “Acabar”,

O que eu disse, primero se apagarán/moverán las MV's para ser colocado en modo mantenimiento,

… instalará…

… y se reiniciará.

Pronto, servidor correcto! agora queda desplegarle el appliance Deep Security, então marcamos a primeira opção “Deploye um Appliance Virtual de Deep Security Now” & “Próximo”,

Al igual que no nos encontró el Filter Driver, esta vez deberemos importar el appliance virtual, por lo que pulsamos en “Import Wizard”,

Selecionamos a partir do “Examinar” el appliance & “Próximo”,

Confirmamos que es el software correcto & “Acabar” para cerrar el asistente de importación,

Okey, finalmente podremos começar com el despliegue del vapp de Trend Micro, “Próximo”

Indicamos un nombre al virtual appliance para VMware, un datastore donde lo almacenaremos, su carpeta y su red de gestión, “Próximo”,

Introducimos el hostname para el vapp, asignaremos su red por DHCP o podremos especificarle una configuración manual, “Próximo”,

Selecionaremos si queremos disco Thin o Thick & “Acabar” para comenzar si despliegue,

… esperamos mientras se crea la MV & configura…

OKEY, aceptamos el certificado de nuestro host,

… esperamos enquanto se desplega el virtual appliance…

Clique em “Activate Deep Security Virtual Appliance now” & “Próximo”,

“Próximo”,

Bien activaremos el virtual appliance al que le tendremos que asignar un perfíl de seguridad, en este caso tendrá que ser 'Deep Security Virtual Appliance’ & “Próximo”,

…

Y marcamos si queremos activar de forma inmediata las MV's que executa el host, Vamos marcar “No thanks, I will activate them later”, ya que no tenemos prisa.

Pronto, Clique em “Fechar”.

Nada mau, ahora sobre las máquinas que queramos proteger con este appliance, desde la vista de ‘Virtual Machines’ > ‘Datacenter’, buscamos la MV que nos interese, e com o botão direito > ‘Actions’ > ‘Activate/Reactivate’, con esto activaremos dicha MV para que sea analizada por el appliance de Trend Micro.

Deberemos asociarla un perfíl de seguridad, así que botón derecho > ‘Actions’ > ‘Assign Security Profile…’

Seleccionaremos el perfíl de seguridad existente de su sistema operativo & “OKEY”,

Veremos como ya tenemos la máquina protegida, en caso de no ver reflejados los cambios, la reactivaremos de nuevo.

Instalaremos adicionalmente el agente de Trend Micro en cada máquina virtual, bien de una forma manual como es este el caso, o de forma automatizada con el despliegue de software mediante alguna política del Directorio Activo. Ejecutamos pues el instalador de Trend Micro Deep Security Agent & “Próximo”,

“Aceito os termos do Contrato de Licença” & “Próximo”,

Selecionaremos todos os componentes que queremos, no meu caso haré uma instalação completa para detectar virus, spyware, filtrado de URLs, anti-malware…

E é isso, Clique em “Instalar” para comenzar con la instalación del agente en cada MV a proteger,

… Aguarde alguns segundos…

& Pronto.

Nada mau, lo siguiente será instalar el vShield Endpoint Thin Agent en las máquinas virtuales que serán protegidas por vShield Endpoint, ahora ya viene perfectamente integrado dentro de las VMware Tools, por lo que podremos customizar la instalación y marcar ‘vShield Drivers’ A instalar. Deberemos reiniciar la MV posteriormente.

Sería necesario disponer del patch ESXi500-201109401-BG en los hosts ESXi 5 ou ESX410-201107001 en los ESX 4.1, que nos permitirá disponer de las VMware Tools actualizadas, podríamos bajarnos las tools además de su repositorio.

Podremos actualizar las Tools en las MV’s de distintas formas, manualmente (Interactive Tools Upgrade), de forma semi automática (Automatic Tools Upgrade) o de forma totalmente automatizada ejecutando bien en línea de comandos o mediante una GPO: PATH_TOOLSsetup.exe /S /v “/qn REBOOT=R ADDLOCAL=VMCI, REMOVE=Hgfs”

Por ejemplo si disponemos del parche bajado ESXi500-201109001.zip, lo descomprimimos, podremos encontrar los binários de las Tools en: ESXi500-201109001vib20tools-lightVMware_locker_tools-light_5.0.0.0-0.3.XXXXX.Xtoolstools-light.tgz*.iso

Podremos confirmar cómo agora a parte de disponer la protección de 'Appliance’ tenemos también la del 'Agent', veremos qué funcionalidades tenems habilitadas (que dependerá de la plantilla aplicada: Anti-Malware, Web Reputation, Firewall, DPI, Monitorização de Integridade ou Inspeção de Logs).

Podremos hacer en la máquina un testeo para confirmar que funciona mismamente navegando a la web de Eicar y veremos cómo no podremos descargar el fichero de 'test'.