Sophos Endpoint Security and Control Managed Service Provider Guide

Sophos Endpoint Security
and Control
Managed Service Provider 指
南 供分布式系统使用
产品版本: 10
文档日期: 2014 年 9 月
目录
1 关于本指南..................................................................................................................4
2 关于 Sophos 软件........................................................................................................5
2.1 Sophos Enterprise Console............................................................................5
2.2 Sophos Update Manager................................................................................5
2.3 Sophos Endpoint Security and Control........................................................5
3 SESC 怎样为 MSP 工作..............................................................................................7
4 SEC 服务器怎样管理客户端.....................................................................................9
4.1 网络要求......................................................................................................10
5 哪些是主要步骤 ......................................................................................................11
6 在 SEC 服务器上安装 Enterprise Console..............................................................12
6.1 准备安装 Enterprise Console......................................................................12
6.2 安装 Enterprise Console..............................................................................12
7 从 Sophos 下载安全软件.........................................................................................14
8 保护您的 SEC 服务器..............................................................................................15
9 设置您的 Sophos DMZ 服务器...............................................................................16
9.1 修改配置文件..............................................................................................16
9.2 安装更新管理器..........................................................................................17
9.3 编辑注册表值..............................................................................................18
10 发布客户的更新文件夹.........................................................................................21
11 配置您的 SEC 服务器管理客户............................................................................22
11.1 创建组........................................................................................................22
11.2 创建更新策略............................................................................................22
12 校验您的配置.........................................................................................................24
13 保护 Sophos DMZ 服务器.....................................................................................25
14 创建安装包..............................................................................................................26
14.1 关于 Deployment Packager 工具..............................................................26
14.2 通过图形用户界面创建软件包...............................................................26
15 校验您的安装包.....................................................................................................31
2
16 分发安装包到客户的计算机................................................................................32
17 监控终结点计算机的安全.....................................................................................33
17.1 关于 SetData 脚本.....................................................................................33
17.2 关于终结点计算机参数...........................................................................34
17.3 使用 RMM 读取终结点计算机的参数 ..................................................36
18 附录 通过 CLI 创建保护软件包 ..........................................................................37
19 附录 MRinit.conf 文件内容...................................................................................39
20 技术支持..................................................................................................................40
21 法律声明..................................................................................................................41
3
Sophos Endpoint Security and Control
1 关于本指南
本指南供管理服务提供商 (MSP) 使用。MSP 向客户提供受管理的 Sophos Endpoint Security and
Control。它将说明怎样设置 Sophos Endpoint Security and Control (SESC) 以便您可以在分布式
系统中替用户对它进行远程管理 以及保护您自己的计算机安全 。
注: 如果您想要使用供单个服务器 而不是分布式系统 请参见 Sophos Endpoint
Security and Control MSP 指南 供单个服务器使用 而不是本指南。
它假定您熟悉并且已经使用远程监控和管理 (RMM) 系统 如 Kaseya N-able LevelPlatforms 或
Zenith 等向您的客户终端用户 提供远程软件安装 管理 和监控服务 。
请与指派给您的 Sophos 销售工程人员一道使用此文件。如果您没有指派的销售工程人员 那么 请联系您的 Sophos 客户经理。
Sophos 技术文档发布在 http://www.sophos.com/en-us/support/documentation.aspx 中。
在 SophosTalk 社区中的 MSP 论坛里 您可以获得更多的信息和指导 http://community.sophos.com/t5/Sophos-Managed-Service-Provider/bd-p/SophosMSP。
4
Managed Service Provider 指南 供分布式系统使用
2 关于 Sophos 软件
本节将说明保护受管理的终结点计算机的安全所需要的 Sophos 产品 ■
Sophos Enterprise Console
■
Sophos Update Manager
■
Sophos Endpoint Security and Control
2.1 Sophos Enterprise Console
Sophos Enterprise Console 是用来部署和管理使用组和策略的 Sophos 终结点计算机软件的一种
管理工具。它还提供有关终结点计算机的状态和检测到的安全隐患的警报 以及详细报告。
Sophos Enterprise Console 中包括并可以管理 Sophos Update Manager。
2.1.1 Reporting Interface and Log Writer
Sophos Reporting Interface 是一种附加的工具 您可以与 Enterprise Console 一道使用。它使您能
够使用第三方的报告和日志监控软件 根据 Sophos Enterprise Console 中的安全隐患和事件的数
据 生成各种报告。要了解更多信息 请参见
■
Sophos Reporting Interface documentation page
■
Sophos Reporting Log Writer documentation page
■
请参见 Sophos 知识库文章112873。
2.2 Sophos Update Manager
Sophos Update Manager 会自动从 Sophos 下载软件和更新文件到统一的路径。它为共享的更新
文件夹提供这些更新文件。终结点计算机会从这些共享文件夹中进行更新。
Sophos Update Manager 是作为 Sophos Enterprise Console 的一部分安装的 但是也可以分别安
装。受管理的终结点计算机的安全软件的安装要求两份 Update Manager 拷贝 一份是父级 一份
是子级。父 Update Manager 通过因特网从 Sophos 获取更新文件。子 Update Manager 从父 Update
Manager 获取更新文件。
客户的计算机从子 Update Manager 中获取更新文件。如果您使用 Sophos 安全软件保护您的局
域网 ( LAN) 中的计算机 那么 它们会从父 Update Manager 中获取更新文件。
2.3 Sophos Endpoint Security and Control
Sophos Endpoint Security and Control (SESC) 既指本节中说明的整个 Sophos 安全软件 同时 也指
在终结点计算机上运行的 保护它们 以及与管理工具交互的那个代理。
在终结点计算机上的 Endpoint Security and Control 中包括这些组件 ■
Sophos AutoUpdate。此组件会从某个 Update Manager 更新自身 以及其它组
件。
5
Sophos Endpoint Security and Control
■
Sophos Remote Management System (RMS)。此组件处理通过 TCP 协议 在端
口 8192 和 8194 与 Sophos Enterprise Console 进行的通讯。
■
Sophos Anti-Virus。此组件包括防病毒 HIPS 数据控制 以及设备控制等功能。
■
网页保护 选项 能加强对网页中的安全隐患的防范。它有以下功能 ■
实时 URL 过滤 它可以阻断对已知的带有恶意软件的网站的访问。此功能通过实时比对
Sophos 的感染网站在线数据库来实现的。
■
内容扫描 它可以扫描从因特网 或内部网 下载的数据和文件 并预先检测恶意内容。此功
能可以扫描来自所有网站的内容 包括那些并没有在感染网站在线数据库的列表中的网
站的内容。
■
6
使用网页控制 选项 您可以基于 14 种网站类别过滤用户的网页访问行为 成人性暴露 酒精和烟草 匿名代理 犯罪活动 赌博 黑客活动 禁药 狭隘和仇恨 诱骗和诈骗 垃圾邮
件 URL 间谍软件 低俗和冒犯 暴力 以及武器。
■
Sophos Client Firewall 选项 。此组件使得只有经批准的应用程序 或应用程
序类别 才能访问网络或因特网。
■
Sophos Patch 选项 。Enterprise Console 使您能够检查终结点计算机是否安
装了及时更新的补丁。SophosLabs 提供的评级可以帮助您了解最重要的安全
补丁问题 以便您能够迅速解决它们。SophosLabs 的评级将考虑最新的安全
实例 因此该评级可能与软件商提供的严重性级别不同。
■
Encryption 选项 。终结点计算机上可以部署统一管理的完全磁盘加密。完
整磁盘加密可以保护终结点计算机上的数据不被未经授权的人阅读或更改。
驱动器的加密 将以隐形方式进行。用户无需自行决定要加密什么数据。加
密过程和解密过程都在后台进行。开机验证 (POA) 一种启动前额外的身份
验证机制 可以确保只有经授权的才能访问系统中的数据。
Managed Service Provider 指南 供分布式系统使用
3 SESC 怎样为 MSP 工作
受管理的 Sophos Endpoint Security and Control 工作方式如下 您 Managed Service Provider (MSP) 通过因特网提供受管理的 IT 服务给远程的客户。
Sophos Enterprise Console (SEC) 在您的主机服务器 SEC 服务器 上运行。它允许您管理计算机
组和安全策略 以及显示终结点计算机的状态和警报的详情。
Sophos Update Manager (父 SUM) 在 SEC 服务器上运行。它从您的主机中获取来自 Sophos 的
软件安装文件和更新文件 并将它们发布到您的局域网 (LAN) 中的共享文件夹中。
Sophos Update Manager 子 SUM 在您的 DMZ 中的网页服务器 Sophos DMZ 服务器 上运行。它
从父 SUM 中获取软件安装文件和更新文件 并将它们发布到您的 DMZ 中的共享文件夹中。
注意 Sophos DMZ 服务器上还需要运行 Microsoft IIS Internet 信息服务 网页服务器 以便它能使
用 HTTP 发布共享的 Sophos 更新文件夹到因特网。
Sophos Endpoint Security and Control (SESC) 在SEC 服务器上 Sophos DMZ 服务器 以及客户的
终结点计算机上运行 保护终结点计算机免遭安全隐患的侵害 并会向 Enterprise Console 发送报
告。
SESC 中包括 Sophos AutoUpdate (SAU) 它 使用 IIS 通过 HTTP 方法从由安装在 SEC 服务器上的
SUM 维护的共享文件中获取更新文件。
Remote Management System (RMS) 在所有的计算机 包括 SEC 服务器和客户机 上运行 就策略 客户端状态 警报等提供双向交流机制。
Remote Monitoring and Management (RMM) 系统 如 Kaseya 由在 MSP 中的控制台 以及安装在
各个受管理的终结点计算机上的代理组成。
RMM 系统 ■
部署自定义的 Endpoint Security and Control 安装包到各个终结点计算机上 ■
运行软件包 在各个终结点计算机上安装 Endpoint Security and Control ■
定时在各个终结点计算机上运行脚本 查询 Endpoint Security and Control 使得 RMM 控制台
中能够显示基本状态和警报。
■
以类似的方式管理其它的第三方终结点软件。
针对不同的情况和应用程序 不同的软件商 提供了多种 RMM 产品。
至于 RMM 组件之间相互通讯的方法和配置都具有专属性质 因此 超出了本指南所能涉及的范
围。
7
Sophos Endpoint Security and Control
注: 在 MSP 的局域网 (LAN) 中的其它计算机同样也可以被选择受到保护 具体说明请见 保护您
的 SEC 服务器 第15页 简明起见 此不赘述。同样 RMM 网络通讯也会由于所使用的系统不同
而不同 这里因此不赘述。
8
Managed Service Provider 指南 供分布式系统使用
4 SEC 服务器怎样管理客户端
本节将解释怎样配置不同的网络组件 以启用 SEC 服务器 Sophos DMZ 服务器 以及客户的受管
理的终结点计算机之间的通讯。
下面的示意图 显示不同的服务器 域 端口 内部和外部 IP 地址之间是怎样相互联系的。示意的
IP 地址仅为示例 请勿用它们替换真实的 IP 地址。
Sophos DMZ 服务器具有内部地址和外部地址 共有同一个域名 (sophos-dmz.msp.com) 。不过 如上所示 内部的和外部的 DNS 服务器映射 sophos-dmz.msp.com 到不同的 IP 地址。
我们假定该虚拟目录的网址 使用端口 80 进行入站连接。以上例子中显示的所有端口都是 TCP
端口。
在示例中 边缘设备具有 IP 地址 1.1.1.1 它 是防火墙的外部接口。端口 80 8192 和 8194 通过此接
口被 NAT 转换。
如果您要使用 Sophos Patch 那么 您必须在边缘设备上配置反向代理 以便它能够将匹配
“http://<1.1.1.1>/Sophos/Management/Patch/EndpointCommunicator/” 地址的通讯流直接重新
转向到 SEC 服务器。
我们建议您在客户所在的位置使用透明缓存代理 (transparent caching proxy) 以便减少补丁和终
结点计算机更新所引起的通讯流。
注: 如果必要 可以使用备用的端口 例如 在其它的应用程序已经使用端口 80 的情况下。在配置
客户端更新时 应该以标准格式指定路径。例如 如果要使用的端口 8085 那么 应该指定更新路
径为 http://sophos-dmz.msp.com:8085/sophos。
9
Sophos Endpoint Security and Control
4.1 网络要求
包括 SEC 服务器在内的所有的计算机 都应该能够正确地解析完全限定的域名 (FQDN) 。如果
您的服务器使用的是专有 IP (RFC 1918) 并且可以通过 NAT 公开访问 这说明 sophos-dmz.msp.com
将解析到 Sophos DMZ Server 的内部 IP 地址 如 192.168.0.2 。对于远程计算机 FQDN 将被解析
到您的 Sophos DMZ 服务器的外部 IP 地址 如 1.1.1.1 。
1. 按照以下说明 为内部和外部 两者 DNS 系统创建一个名为 sophos-dmz.msp.com
的 DNS A 记录。
a) 创建一个内部的地址记录 解析 Sophos DMZ 服务器的内部 IP 地址 如 192.168.0.11 。
b) 创建一个外部的 因特网 DNS A 记录 解析 Sophos DMZ 服务器 如 1.1.1.1 的
公有接口。
2. 配置 Sophos DMZ 服务器因特网防火墙到端口转发( port-forward) 附带 NAT 端口 TCP 8192 和 8194。
10
Managed Service Provider 指南 供分布式系统使用
5 哪些是主要步骤 主要步骤如下 ■
在您的主机服务器 您的 SEC 服务器 上安装 Sophos Enterprise Console 。它包括父 Sophos
Update Manager。
■
连接到 Sophos 并下载您需要的安全软件。
■
使用 Sophos 安全软件保护 SEC 服务器。
■
通过修改配置文件设置您的 DMZ 服务器 安装子 Update Manager 以及编辑注册表值。
■
创建共享文件夹 以便客户的计算机可以从中进行更新。
■
通过为每个客户创建组 以及编辑更新策略 配置您的 SEC 服务器。
■
校验您的配置。
■
使用 Sophos 安全软件保护 Sophos DMZ 服务器。
■
创建安装程序包。
■
校验您的安装包。
■
分发安装程序包到客户的计算机上 使用 RMM 系统 。
■
管理终结点安全软件。
11
Sophos Endpoint Security and Control
6 在 SEC 服务器上安装 Enterprise Console
以下是怎样在 SEC 服务器上安装 Sophos Enterprise Console 的操作指导。
6.1 准备安装 Enterprise Console
在符合作 SEC 服务器的系统要求的服务器上 请参见知识库文章 118635 您必须 1. 确保它已连接到因特网。
2. 确保可以访问 Windows 操作系统的安装和 Service Pack CD。在安装的过程
中 您可能会被提示使用它们。
3. 如果 SEC 服务器上已安装了 Microsoft SQL Server 2000 或 MSDE 2000 请将它
升级到 Microsoft SQL Server 2005 或以后。如果没有 那么 在 Enterprise Console
中已包括 SQL Server Express 2008。
4. 如果该服务器上运行的是 Windows Server 2008 或以后 那么 请关闭“用户帐
户控制 (UAC)” 并重新启动该服务器。
在完成了安装 并且下载了安全软件之后 您可以重新开启 UAC。
6.2 安装 Enterprise Console
要安装 Enterprise Console 1. 以管理员身份登录 a) 如果计算机在域中 请以域管理员的身份登录。
b) 如果计算机在工作组中 请以本地管理员的身份登录。
2. 请转到在您的注册/下载电子邮件中指定的下载网页中。
3. 下载 Enterprise Console 安装包。
4. 双击已下载的软件包。
5. 在 Sophos Enterprise Console 对话框中 单击 下一步。会出现一个向导指导您
完成安装过程。您按照以下说明做 a) 尽量接受默认值。
b) 在 组件选择 对话框中 选择所有的三个组件 Management Server Management
Console 以及 数据库。
6. 当安装完成后 会提示您重新启动计算机。单击 确定 或 完成。
12
Managed Service Provider 指南 供分布式系统使用
要了解更多有关安装和设置策略的信息 请参见 Enterprise Console 快速安装指南和策略设置指
南。
13
Sophos Endpoint Security and Control
7 从 Sophos 下载安全软件
在您首次安装之后 重新注销再登录 或重新启动 之后 Enterprise Console 会自动开启 并且会有
一个向导出现 以选择和下载终结点安全软件。
如果您使用了 Remote Desktop 安装 Enterprise Console 那么 控制台不会自动开 请从“开始”菜
单中打开它。
在向导运行时 1. 在 Sophos 下载帐户详情 页面中 请您的 Sophos 用户使用许可证的条款中的
用户名和密码。如果您是通过代理服务器访问因特网的 请勾选 通过代理服
务器访问 Sophos 勾选框 并输入您的代理设置。
2. 在 操作平台选择 页面中 只勾选您当前需要保护的操作平台。
在您单击 下一步 后 Enterprise Console 会开始下载您的软件。
注: 稍后 您可以在 Update Manager 视图中 通过修改您的软件预订 来添加其它的操作平台。
3. 在 正在下载软件 页面中 会出现下载进程。随时单击 下一步。
4. 在 从 Active Directory 中导入计算机 页面中 如果您希望使用 Sophos 安全软
件保护您的局域网 (LAN) 中自己的计算机 在获得适当的用户使用许可证的
前提下 您可以选择 为您的计算机设置组。
这会在您的 SEC 服务器上创建一个共享的安装文件夹 它含有针对您选择保护的各个操作平台
的各种安装版的 Sophos 终结点软件。它共享为 \\<SEC-Server>\SophosUpdate\CIDs。
共享文件夹的根目录位于以下路径中 Windows
Server
默认路径
2003
C:\Documents and Settings\All Users\Application Data\Sophos\Update Manager\Update
Manager\CIDs\
2008/ 2008R2
C:\ProgramData\Sophos\Update Manager\Update Manager\CIDs\
针对 Sophos Endpoint Security and Control for Windows 的安装和更新文件位于子目录
\S000\SAVSCFXP\ 中 而加密软件位于子目录 \S000\ENCRYPTION\ 中。
注: 您可以从 Enterprise Console 中 查看各个操作平台的 CID 路径 在 查看 菜单中 单击 引导路
径。
如果您在安装之前关闭了“用户帐户控制” 您现在可以重新开启它。
14
Managed Service Provider 指南 供分布式系统使用
8 保护您的 SEC 服务器
作为测试 我们建议您保护您的 SEC 服务器。
1. 请安装 Endpoint Security and Control。要安装 请在需要保护的计算机上 从中
央安装目录 (CID) 中运行安装文件。中央安装目录 (CID) 路径列示在前面 从
Sophos 下载安全软件 第14页 中的结尾处。
2. 确认安装是成功的。
要校验安装是否成功 请打开 Enterprise Console。在 状态 标签页中 及时更新
栏中应显示“是”字样。
要了解更多有关安装 Endpoint Security and Control 的信息 请参见 Endpoint Security and Control
升级指南。
15
Sophos Endpoint Security and Control
9 设置您的 Sophos DMZ 服务器
要设置您的 Sophos DMZ 服务器 您必须按照以下说明做 1. 修改 SEC 服务器上的配置文件 以便它能够与 Sophos DMZ 服务器通讯。
2. 在 Sophos DMZ 服务器上安装 Update Manager。
3. 在 Sophos DMZ 服务器上编辑注册表值 以便它能够与 SEC 服务器和客户端的计算机通讯。
9.1 修改配置文件
在 SEC 服务器上 1. 浏览找到 SUMInstaller 文件夹。
Windows
版
默认路径
32 位
C:\Program Files\Sophos\Enterprise Console\SUMInstaller
64 位
C:\Program Files (x86)\Sophos\Enterprise Console\SUMInstaller
2. 找到 MRinit.conf 文件 并编辑 MRParentAddress 和 ParentRouterAddress 的
值。
Sophos DMZ 服务器使用 MRParentAddress 连接到 SEC 服务器 客户端的计算
机使用 ParentRouterAddress 连接到 Sophos DMZ 服务器。
默认值示例 "MRParentAddress"="sophos-console.abc.sophos,sophos-console"
"ParentRouterAddress"="sophos-console.abc.sophos,sophos-console"
修改内容示例 包括 SEC 服务器和 Sophos DMZ 服务器的外部可访问的 IP 地址 以及本地的
NetBIOS 名。
"MRParentAddress"="192.168.0.10, sophos-console.msp.com,
sophos-console"
"ParentRouterAddress"="sophos-dmz,sophos-dmz.msp.com"
保存并关闭文件。有关修改的 MRinit.conf 文件的示例 请参见 附录 MRinit.conf
文件内容 第39页 。
16
Managed Service Provider 指南 供分布式系统使用
9.2 安装更新管理器
本节将说明怎样在您的 DMZ 中的服务器 您的 Sophos DMZ 服务器 上安装子 Update Manager 以及怎样配置它从您的 SEC 服务器上的父 Update Manager 中获取更新文件。
9.2.1 Update Manager 的安装准备
在您的 Sophos DMZ 服务器上。
■
确保以下端口能够接收入站和出站局域网 (LAN) 的通讯流 137 138 139 以及
445。
■
如果服务器运行的 Windows 版本中具有“网络发现”功能 并且该功能是关
闭的 那么 请开启该功能 并重新启动服务器。
■
检查 Sophos DMZ 服务器是否能使用共享路径 如 \\<sophos-dmz.msp.com>\SophosUpdate\ 从 SEC 服务器中复制文件。
注:
■
以上的操作指导 假定您在 SEC 服务器和 Sophos DMZ 服务器之间使用的
是 UNC 网络连接。对于其它的网络连接协议 如 HTTP 请联系您的 Sophos
销售工程人员。
■
如果该服务器上运行的是 Windows Server 2008 那么 请关闭“用户帐户控
制 (UAC)” 并重新启动该服务器。在安装完毕更新管理器 并预订 Sophos
更新文件之后 您可以重新开启 UAC。
9.2.2 安装更新管理器
1. 以管理员身份登录到您的 Sophos DMZ 服务器上。
a) 如果该服务器在 域 中 请以域管理员的身份登录。
b) 如果该服务器在 工作组 中 请以本地管理员的身份登录。
2. 在您的 SEC 服务器上 找到 SUMInstallSet 共享文件夹。
例如 \\<sophos-console.msp.com>\SUMInstallSet
3. 双击 Setup.exe 运行安装程序。
4. 在 Sophos Update Manager 对话框中 单击 下一步。
会出现一个向导指导您完成安装过程。接受默认选项。
在您的 Sophos DMZ 服务器上 ■
安装了一个由 Enterprise Console 管理的更新管理器。
17
Sophos Endpoint Security and Control
■
创建了一个共享安装文件夹 \\<sophos-dmz.msp.com>\SophosUpdate\
共享的安装文件夹中的安装文件 用于在 安装 Sophos Endpoint Security and Control 到 Sophos
DMZ 服务器上 并且是创建安装包的来源。
到 SEC 服务器的上的 Sophos Enterprise Console 上 确保新的更新管理器出现在“更新管理器”
之下。用新的 Sophos Update Manager 预订“建议的”软件包 并设置它的更新源为 SEC 服务
器。下载软件包到 Sophos DMZ 服务器上 需要 15 分钟或更短的时间。
要了解有关更改更新策略和更新管理器密码的信息 请参见知识库文章 65318。
9.3 编辑注册表值
在 Sophos DMZ 服务器上 1. 打开 注册表编辑器。要打开注册表编辑器 请单击 开始 运行 键入 regedit 然后 单击 确定。
2. 备份注册表。
要了解有关怎样备份注册表的信息 请参见微软公司的技术文档。
3. 在 注册表编辑器 窗口中 请修改以下两个注册表值 ■
Sophos Message Router
■
Router
要这样做 a) 找到 Sophos Message Router 注册表项 Windows
版
默认路径
32 位或 64 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos
Message Router\
位
b) 在右边的窗格板中 选择 ImagePath 。
c) 在 编辑 菜单中 单击 修改。
d) 在 数值数据 中编辑数值如下 ■
对于 32 位 计算机 默认值 "C:\Program Files\Sophos\Remote Management System\RouterNT.exe" -service -name
Router -ORBListenEndpoints iiop://:8193/ssl_port=8194
修改值 18
Managed Service Provider 指南 供分布式系统使用
修改该值 按照 黑体 显示的内容 添加更多的文字 以及您的外部的可解析的完全的限
制的域名。
"C:\Program Files\Sophos\Remote Management System\RouterNT.exe" -service -name
Router -ORBDottedDecimalAddresses 0 -ORBListenEndpoints
iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-dmz.msp.com
■
对于 64 位 计算机 默认值 "C:\Program Files (x86)\Sophos\Remote Management System\RouterNT.exe" -service -name
Router -ORBListenEndpoints iiop://:8193/ssl_port=8194
修改值 修改该值 按照 黑体 显示的内容 添加更多的文字 以及您的外部的可解析的完全的限
制的域名。
"C:\Program Files (x86)\Sophos\Remote Management System\RouterNT.exe" -service -name
Router -ORBDottedDecimalAddresses 0 -ORBListenEndpoints
iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-dmz.msp.com
e) 找到 Router 注册表项 Windows
版
默认路径
32 位
HKEY_LOCAL_MACHINE\SOFTWARE\Sophos\Messaging
System\Router\
64 位
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Sophos\Messaging
System\Router\
f) 在右边的窗格板中 选择 ServiceArgs。
g) 在 编辑 菜单中 单击 修改。
h) 在 数值数据 中编辑数值如下 默认值 -ORBListenEndpoints iiop://:8193/ssl_port=8194
修改为 修改该值 按照 黑体 显示的内容 添加更多的文字 以及您的外部的可解析的完全的限制的
域名。
-ORBDottedDecimalAddresses 0 -ORBListenEndpoints
iiop://:8193/ssl_port=8194&hostname_in_ior=sophos-dmz.msp.com
19
Sophos Endpoint Security and Control
4. 重新启动 Sophos Message Router 服务。
下面的知识库文章 提供了有关此过程的更多信息 20
■
知识库文章 50832 通常 情景 2 最常见 ■
知识库文章 14635
Managed Service Provider 指南 供分布式系统使用
10 发布客户的更新文件夹
当您安装 Update Manager 时 一个名为 'SophosUpdate' 的共享文件 会在 Sophos DMZ 服务器上
的以下路径中自动创建 \\<sophos-dmz.msp.com>\SophosUpdate。此共享文件夹必须
能够通过 HTTP 协议访问 以便客户的计算机能够从中进行更新。
1. 转到 SEC 服务器 并开启 Enterprise Console。
2. 在 Enterprise Console 中 选择 Update Managers 视图。找到并右击您的 Sophos
DMZ 服务器上的子 Sophos Update Manager。
3. 从 查看/编辑配置 中选择 预订 并确保建议的软件包 将被预订到
\\<sophos-dmz.msp.com>\SophosUpdate。
SEC 服务器将与 Sophos DMZ 服务器通讯 并在 SophosUpdate 中新建共享的
文件夹。这会花费 15 分钟。
4. 在 Sophos DMZ 服务器上创建一个具有复杂密码和能够只读访问 SophosUpdate
的帐户sophosupd 。
5. 在 Sophos DMZ 服务器上安装和配置 Microsoft IIS 并妥善保护它的安全。
6. 在 IIS 中 创建一个名为 SophosUpdate 的虚拟目录 它共享
\\<sophos-dmz.msp.com>\SophosUpdate 指派新建帐户 sophosupd 的权限。
如果您使用本地路径 而不是 UNC 路径 那么 默认的到 CID 的路径是 Windows
Server
默认路径
2003
C:\Documents and Settings\All Users\Application Data\Sophos\Update
Manager\Update Manager\
2008/
2008R2
C:\ProgramData\Sophos\Update Manager\Update Manager\
7. 配置 MIME 类型。在以测试为目的的情况下 您可以添加 .* 作为 MIME 类
型。
要了解更多有关怎样创建 Web CID 和配置 MIME 类型的信息 请参见知识库
文章 38238。
注: 客户端的更新不支持 HTTPS。我们建议您使用 NTLM 集成 Windows 身份验证 或摘要式身
份验证 以确保身份认证资料的安全性。这些设置可以在 IIS 中配置 并且客户端将自动使用可
用最安全的选项。
21
Sophos Endpoint Security and Control
11 配置您的 SEC 服务器管理客户
在下载了安全软件后 您必须配置您的 SEC 服务器 以便管理客户和他们的计算机。
11.1 创建组
通过在 Sophos Enterprise Console 中创建组 您可以组织计算机。我们建议您至少为您自己创建
一个组 — MSP 组 并且为每个客户至少创建一个组。如果您的客户的系统要求专门的策略 您
可以在客户组下创建子组 如 "Servers" 和 "Desktops"。各个组可以设置为遵照某个专门的策略集 尽管在实际应用中 许多组可能都是使用同样的策略。像这样 将受管理的终结点计算机分成不
同的组 使您能够在为某个客户更改特定的策略时 不会影响到其它的客户 也不会影响到您自己
的终结点计算机。
要创建新的计算机组 1. 在 终结点 视图的 组 窗格板 控制台左手边 中 选择您要创建新组的位置。
如果您要创建一个新的最高一级的组 请单击最高一级的那台计算机的名称。
如果您要创建一个子组 请单击某个现存的组。
2. 在工具栏上 单击 创建组 图标。
一个“新组”已被添加到列表中 该组的名称会高亮显示。
3. 为该组输入名称。
策略会自动应用到新建的组中。您可以编辑这些策略 或者 应用不同的策略。
如果新建的组是一个子组 它在创建时会使用它所在的组的设置。
对于您自己的计算机 您可以从 Microsoft Active Directory 中导入组。
要了解更多有关设置组的信息 请参见 Enterprise Console 帮助和知识库文章 63155。
11.2 创建更新策略
您必须创建一个新的更新策略 并配置它使用您早先在 IIS 中设置的那个 HTTP 地址 发布客户
的更新文件夹 第21页 。
要创建新的更新策略 1. 在 策略 窗格板中 右击 更新 并选择 创建策略。
输入策略名称。
22
Managed Service Provider 指南 供分布式系统使用
2. 双击该策略名称。在 更新策略 对话框的 主服务器 标签页中 输入访问该服
务器时将要使用的地址和认证资料。地址 中的信息应该是完全限定的域名 或者 IP 地址 例如 http://sophos-dmz.msp.com/SophosUpdate or
http://1.1.1.1/SophosUpdate 。
对于 用户名 和 密码 请输入客户端用来下载更新文件时 将要使用的那个帐
户的认证资料。我们建议每个用户使用独自的帐户 并且具备只读权限。
如果需要 请更改其它的详情 然后单击 确定 关闭“更新策略”对话框。
3. 在 组 窗格板中 选择要使用您配置的更新策略的组 并将该策略拖放到组上 或者 右击该组 在 查看/编辑组策略详情 中 从下拉列表里选择更新所使用的
新策略。
对您想要应用更新策略的每个组重复此步骤。
23
Sophos Endpoint Security and Control
12 校验您的配置
您已完成配置。要校验设置是否合适 我们建议您进行以下测试 1. 在 Sophos DMZ 服务器上 确保您可以使用 Sophos DMZ 服务器自身的完全限
定的域名 (FQDN) 连接到端口 8192。
您应该收到以 "IOR" 开始的回应。您可以使用类似 Telnet 的工具进行测试。
例如 在命令行提示窗中 输入 telnet sophos-dmz.msp.com 8192。
如果不行 则请试用 “localhost” 替换 FQDN 看看是否是 DNS/IP 路由问题。
在 SEC 服务器上重复同样的步骤。例如 使用 Telnet 在命令行提示窗中 输入 telnet sec-server 8192。
2. 从外部的客户端 重复以上步骤 校验是否能从外部访问 DMZ 服务器。示例 输入 telnet sophos-dmz.msp.com 8192。
3. 校验是否使用 FQDN 配置了管理系统。要这样做 a) 在您的 Sophos DMZ 服务器上 打开 注册表编辑器。
要打开注册表编辑器 请单击 开始 运行 键入 regedit 然后 单击 确定。
b) 找到注册表项 HKEY_LOCAL_MACHINE\SOFTWARE。
c) 右击 SOFTWARE 并单击 查找。
d) 在 查找内容 中输入 Sophos DMZ 服务器的 FQDN。
e) 在找到一个实例后 请按键盘上的 F3 再次搜索其它的实例。
注: 您应该找到两个 FQDN 名称的实例。
一旦确认了您具有两个实例 请关闭 注册表编辑器 窗口。
4. 从外部的客户端 检查您是否可以通过网页浏览器使用 Sophos DMZ 服务器的
FQDN 在端口 80 连接到 IIS。通过在文件夹结构中导航 或者 如果目录列表
已禁用 请指定基于本地目录的浏览路径 以确保您可以下载文件。
例如 下载一个 .pem 文件 如果它没有在默认的 IIS MIME 类型列表中的话。
在默认的初始设置中 下载 .pem 文件的路径是 http://<sophos-dmz.msp.com>/SophosUpdate/CIDs/s000/SAVSCFXP/cac.pem
在校验了以上步骤之后 您可以继续进行保护 Sophos DMZ 服务器的工作。
24
Managed Service Provider 指南 供分布式系统使用
13 保护 Sophos DMZ 服务器
现在 您可以保护刚安装了 Sophos Update Manager 的 Sophos DMZ 服务器。
1. 在 Sophos DMZ 服务器上 从安装共享路径中运行安装文件。该路径列示在
安装更新管理器 第17页 中。
2. 在 Enterprise Console 中
a) 使 Sophos DMZ 服务器成为 MSP 组的成员。
b) 使 Sophos DMZ 服务器遵照策略。
c) 检查 Sophos DMZ 服务器上是否有警报或出错消息 给与任何必要的处置 如 重新启动等等。
您的 Sophos DMZ 服务器已处于保护中。
25
Sophos Endpoint Security and Control
14 创建安装包
14.1 关于 Deployment Packager 工具
您可以使用 Sophos 网站中提供的 Deployment Packager 工具 在客户端的终结点计算机上安装
Sophos Endpoint Secuirty and Control (SESC) 。Deployment Packager 可以将一组 Sophos 终结点
安装文件创建为一个自解压的打包文件 用于在 Windows 终结点计算机上安装 Endpoint Security
and Control 和 Sophos Disk Encryption。打包的文件中 包括配置选项 如 静默/交互安装 安装包
选择和安装参数 更新路径/认证资料 以及终结点组成员。
Deployment Packager 创建的安装包 在进行安装时 总是会删除会发生潜在冲突的其它安全保护
软件。对于加密功能而言 会发生潜在冲突的其它加密软件可以被删除 但是必须手动删除。
您可能有必要创建数个安装包 每个安装包分别满足不同类型的终结点计算机的要求。
您通过图形用户界面 (GUI) 也可以通过命令行界面 (CLI) 来运行 Deployment Packager 工具。
■
GUI 比较易于进行一次性的部署。
■
CLI 则更加灵活多样 适合进行对此部署。
一条提示带有选项的命令行版本的字符串 可以保存在文本文件中 或者 从某个计划的批处
理文件中定期运行 以确保安装包总是及时更新的。因此 如果您管理着大量的计算机 需要
经常地在终结点计算机上进行安装 那么 CLI 是首选。
有关通过命令行使用 Deployment Packager 的操作指导 请参见 Appendix: 第37页 。通过 CLI 创
建保护软件包 第37页 。
系统要求
运行 Deployment Packager 工具的最低要求如下 ■
Windows 操作系统 请参见知识库文章 118635
■
磁盘空间 1 GB
■
内存 1 GB
■
处理器 2 GHz Pentium 或同等处理能力
同时 您还应该满足软件包中的终结点计算机组件的系统要求。请参见 Sophos 知识库文章
118620。
14.2 通过图形用户界面创建软件包
针对只进行一次的部署使用图形用户界面。您可以为以下的功能创建安装软件包 26
■
包括防病毒 远程管理 防火墙 以及补丁管理的终结点计算机保护软件包。
■
加密软件包 如果您的用户授权使用许可协议中包括加密功能 。
Managed Service Provider 指南 供分布式系统使用
14.2.1 通过 GUI 创建保护软件包
1. 要创建保护软件包 请运行 DeploymentPackager.exe。
会出现 Sophos Deployment Packager 对话框。
注: Sophos NAC 已于 2014 年 8 月 31 日淘汰。要了解更多信息 请参见知识库
文章 121321。
2. 在 Source Folder 中 指定包含终结点计算机软件安装文件的中央安装目录的
路径。它可能是 UNC 路径或本地文件夹。
3. 在 Package Endpoint Protection components 勾选以下选项 ■
Remote Management System (RMS)
它将安装并启用 Sophos Remote Management System 使 Enterprise Console 能够控制 Endpoint
Security and Control。对于已管理的系统 您必须启用此组件。
注: 当您选择此选项时 终结点计算机会通过 RMS 从 Enterprise Console 获得它们的更新
路径和认证资料。
27
Sophos Endpoint Security and Control
■
Firewall
这将安装 Sophos Client Firewall。
注: 如果您想要安装此选项 那么 请在知识库文章 118620 中核实终结点计算机的系统要
求。
■
Patch
注: 端口 80 是用于客户端更新和 Patch 的默认端口。您必须能够使用以下
方法之一 转向通讯流 ■
使用单独的 FQDN 或 IP 地址 或者
■
使用基于所请求的 URL 的路由。
这将安装 Sophos Patch Agent。如果您选择此选项 请在 管理服务器的 URL 中输入反向代
理的地址 通过它终结点计算机能够与 SEC 服务器通讯。该地址必须是一个 IP 地址或完
全限定的域名 (FQDN)。例如 http://1.1.1.1
您必须配置反向代理 以便它能够将匹配
“http://1.1.1.1/Sophos/Management/Patch/EndpointCommunicator/” 地址的通讯流重新
直接转向到 SEC 服务器。
■
在 Include selected components 进行以下操作之一 要在分发包中包含已选择的组件 单击 In the package。如果您使用此选项并带有补丁 您
可以选择 Operating system type。
要从更新源下载所选择的组件 请单击 Configure AutoUpdate to download components。
如果您选择 Remote Management System (RMS) 然后 在 Include selected components 中 单击 In the package 那么 会从 Enterprise Console 中获得所有的更新详情。
注: 终结点计算机安装程序不能使用代理服务器。如果更新路径是通过代
理服务器访问的 那么 所要求的终结点计算机组件必须包括在安装包中。
4. 请为软件包选择 Operating system type。只有从分发包中安装 Patch 才能使
用此选项。如果您选择 32-bit 或 64-bit 安装包只能安装在指定的 32 位或 64
位的操作系统上。如果您选择 32-bit and 64-bit 安装包可以安装在 32 位和 64
位的操作系统上 但是安装包会更大。
5. 在 Installation type 中 选择安装程序如何在终结点计算机上运行。
■
■
■
28
选择 Silent 安装程序将在用户不介入的情形下运行。安装进程不会在终
结点计算机上显示。
选择 Non-interactive 安装程序将在用户不介入的情形下运行。安装进程
会在终结点计算机上显示。
选择 Interactive 安装程序将在用户介入的情形下运行。用户可以控制安
装进程。
Managed Service Provider 指南 供分布式系统使用
6. 在 Additional setup parameters 中 指定终结点计算机的安装设置选项。总是
使用 -g 选项指定组成员。这样 每个安装程序都会被指定 因此会设置终结点
计算机为现有的组的成员。
Sophos Deployment Packager 不会检查是否正确地选择了选项。
要了解更多信息 请参见知识库文章 12570。
7. 在 Output package 中 指定放置输出的安装程序软件包的目标路径。您还可
以指定文件名 可选 如果没有提供文件名 Deployment Packager 将使用默认的
文件名。
8. 在 Updating 面板中 对于间接管理的终结点计算机安装包 或者 对于远程管理
已启用 但没有包括在其中的安装包 请输入更新路径和认证资料。您可以在
HTTP URL 之后设置 ":<port number>" 端口号 如果不设置 则默认的端口号
为 80。
注:
■
请确保选择的所有组件都能从您指定的更新路径进行更新 如 Patch 。如
果各组件使用了不同的路径 您可以将该路径设置为副更新路径。
■
安装包中的认证资料已经加密 不过 为终结点计算机设置的 可以读取更新
服务器路径的帐户 应该尽量严格 只运行读访问。
■
如果设置使用环境变量 http_proxy 或 all_proxy 那么 终结点计算机会试图
只使用它们系统的代理设置。在 Windows 控制面板中的 Internet 选项里
的代理设置 或者 IE 浏览器中的代理设置会被忽略。_proxy 变量的值采用
的格式为 _proxy=[protocol://][user:password@]host[:port] 例如 http_proxy=http://user:password@proxy:8080
9. 单击 Build Package 创建自解压的打包文件。
14.2.2 通过 GUI 创建加密软件包
请确保终结点计算机已为安装完整磁盘加密做好了准备。要了解更多信息 请参见 SEC 快速安
装指南 中的“准备安装加密软件”一章。
尤其是要确保 ■
Sophos 保护软件 防病毒 Remote Management 已安装在终结点计算机上。
■
第三方加密软件已从终结点计算机上卸载。
1. 要创建加密软件包 请运行 DeploymentPackager.exe。
会出现 Deployment Packager 对话框。
2. 在 Source Folder 中 指定包含终结点计算机加密软件安装文件的中央安装目
录的路径(<CID>\ENCRYPTION)。它可能是 UNC 路径或本地文件夹。
3. 选择 Package Disk Encryption。这将在终结点计算机上安装完整磁盘加密。
29
Sophos Endpoint Security and Control
4. 请为软件包选择 Operating system type。如果您选择 32-bit 或 64-bit 安装包
只能安装在指定的 32 位或 64 位的操作系统上。如果您选择 32-bit and 64-bit 安装包可以安装在 32 位和 64 位的操作系统上 但是安装包会更大。
5. 在 Installation type 中 选择安装程序如何在终结点计算机上运行。
■
■
■
选择 Silent 安装程序将在用户不介入的情形下运行。安装进程不会在终
结点计算机上显示。
选择 Non-interactive 选择此选项 不会影响 在终结点计算机上创建加密包
的情况 它仍将以交互的方式安装。
选择 Interactive 安装程序将在用户介入的情形下运行。用户可以控制安
装进程。
6. 在 Additional setup parameters 中 指定终结点计算机加密的安装设置选项。
Sophos Deployment Packager 不会检查是否正确地选择了选项。
要了解有关参数的更多信息 请参见知识库文章 12570。
7. 在 Output package 中 指定放置输出的安装程序软件包的目标路径。您还可
以指定文件名 可选 如果没有提供文件名 Deployment Packager 将使用默认的
文件名。
8. 单击 Build Package 创建自解压的打包文件。
30
Managed Service Provider 指南 供分布式系统使用
15 校验您的安装包
在创建了安装包之后 我们建议您校验是否能使用创建的安装包进行安装 更新 以及管理计算
机。
要这样做 1. 确定您的本地网络中的某台独立使用(standalone)的计算机作为终结点计算
机。
2. 部署安装包到终结点计算机上。
3. 确保安装顺利完成 并检查以下功能 ■
更新 要校验终结点计算机是否可以从 Enterprise Console 下载更新文件 在
终结点计算机中 右击 Sophos 保护系统托盘图标 并单击 立即更新。终结
点计算机应该能够从 Enterprise Console 进行下载。
■
管理 要校验 Enterprise Console 是否可以管理终结点计算机。在 Enterprise
Console 窗口中 确保 Sophos 保护图标旁的终结点计算机图标没有呈灰白
显示 并且没有红十字叉 或者 黄色的感叹号。
在校验了安装包之后 您可以将它部署到客户的计算机上。
31
Sophos Endpoint Security and Control
16 分发安装包到客户的计算机
通过您的 RMM 系统 分发安装包到客户的计算机上 并运行安装包。具体应该怎样做的详细情
况 取决于您所使用的系统 因此 已超出了本指南涉及的范围。
32
Managed Service Provider 指南 供分布式系统使用
17 监控终结点计算机的安全
一旦在终结点计算机上安装了 Sophos Endpoint Security and Control 您就能够通过可以提供完
整的终结点状态报告的 Sophos Enterprise Console 管理计算机组 策略和其它设置。要了解更多
详情 请参见 Sophos Enterprise Console 帮助文件和策略设置指南。
大多数的 MSP 会使用它们现有的 RMM 系统进行例行的状态监控 而仅仅使用 Sophos Enterprise
Console 进行组/策略设置 并且在出现安全问题时 进行详细的终结点计算机状态分析。您的
RMM 系统是用来管理和监控所有的终结点计算机软件 不仅仅是 Sophos Endpoint Security and
Control 的首要手段。
本节将说明怎样使用 SetData 脚本为您的 RMM 系统提供最重要的终结点计算机状态的信息。
下面的示意图显示 RMM 系统怎样通过 SetData 脚本了解终结点计算机的状态。
17.1 关于 SetData 脚本
SetData 脚本 MSPSetData.vbs 可以从 Windows 运行 或者 从命令行或批处理文件中调用。
MSPSetData:
■
从 Sophos Endpoint Security and Control 中读取参数 ■
可以将 SESC 参数写入终结点计算机的 Windows 注册表中 33
Sophos Endpoint Security and Control
■
必须具备 LOCAL_SYSTEM 管理员权限运行 ■
必须在 32 位环境中运行。针对 64 位版本的 Windows 32 位版本的命令行提示窗执行文件可
以在 %WINDIR%\SysWOW64\cmd.exe 中找到。
要在命令行模式中运行 SetData 脚本 请使用以下格式 MSPSetData <base_key> [logFileName]
这里的 <base_key> 是 HKEY_LOCAL_MACHINE 中的将要写入终结点计算机的参数的基本
键 [logFileName] 是可选的日志文件的路径。
注: 如果您调用带有 logFileName 参数的 SetData 那么 它会将日志记录数据添加到现有的日志
文件中。如果您经常调用 SetData 最终会导致庞大的日志文件。
示例 MSPSetData "SOFTWARE\Sophos\ESCStatus" "c:\MSPSetDataLog.txt"
这将写入所有的参数到 HKEY_LOCAL_MACHINE\SOFTWARE\Sophos\ESCStatus 中 并日
志记录到 c:\MSPSetDataLog.txt 文件中。
17.2 关于终结点计算机参数
SetData 脚本会从 Endpoint Security and Control 和 Sophos Client Firewall 中读取参数 并将它们写
入以下详细说明的 终结点计算机的 Windows 注册表中的 HKEY_LOCAL_MACHINE 里的可配置
单元路径中。
如果 Endpoint Security and Control 或 Sophos Client Firewall 没有安装或没有运行 那么 它们的
REG_DWORD 参处会被设置为 -1 REG_SZ 参数会被设置为空 (null)。
如果 Endpoint Security and Control 或 Sophos Client Firewall 正在更新 那么 除 UpdateInProgress
之外的所有 REG_DWORD 参数会被设置为 -1 所有的 REG_SZ 参数会被设置为空 (null)。
参数列表
注册表单元路径
参数/键
\SAVService\Status\Infected ControlledAppDetected
描述
0:没有检测到受控程序
1:检测到 并隔离 了受控程序
MalwareDetected
0:没有检测到恶意软件
1:检测到 并隔离 了恶意软件
PUADetected
0:没有检测到 PUA
1:检测到了 PUA
SuspiciousBehaviorDetected
34
0:没有检测到可疑行为
Type REG_
DWORD
Managed Service Provider 指南 供分布式系统使用
注册表单元路径
参数/键
描述
Type REG_
1:终结点计算机显示可疑行为
SuspiciousFileDetected
0:没有检测到可疑文件
1:检测到了可疑文件
\SAVService\Status\LastScan SystemScan
最近一次扫描的时间/日期 返回
值 。如 1268337010
NormalScan
EnterpriseScan
\SAVService\Status\Policy
AppControlComplies
SAVComplies
0:没有遵照 SEC 策略
1:遵照 SEC 策略
DataControlComplies
DevControlComplies
\SAVService\Application
受管理的
0:独立的
1:受 SEC 管理
\SAVService\Version
\SAVService\Status\Policy
数据
SAV 病毒数据版本。如 4.50G
SZ
主
SAV 主版本号 # 如 9
DWORD
副
SAV 副版本号 # e.g. 5
附加
SAV 版本补充信息。如 beta
OnAccessEnabled
0:禁用了读写扫描
SZ
DWORD
1:启用了读写扫描
\SAVService\Update
UpdateInProgress
0:没有更新
1:更新
IDECount
Sophos 病毒识别文件数
LastUpdated
最近一次更新时间/日期
dd.mm.yyyy hh:mm:ss。如 02.03.2010 18:56:30
SZ
35
Sophos Endpoint Security and Control
注册表单元路径
参数/键
\Sophos Client
Firewall\Config
ActiveLocation
DetectedLocation
已禁用
描述
1:主路径
Type REG_
DWORD
2:副路径
0:可操作的
1:传送所有通讯流
模式
0:交互式
1:阻断未知的 通讯流 2:传送未知的 通讯流 \Sophos Client
Firewall\Update
UpdateInProgress
0:没有更新
1:更新
\Sophos Client
Firewall\Version
FirewallVersion
Firewall 版本号 # 如 2.0
SZ
17.3 使用 RMM 读取终结点计算机的参数
这些操作说明都是一般性的 具体的操作 要根据您特定的远程管理的实施情况来定。
1. 复制 SetData 脚本到受管理的终结点计算机上。
2. 配置您的 RMM 控制台定时 如 每 4 小时一次 运行该脚本 读取终结点计算机
参数注册表值 以及在紧要级警报中 按照要求显示它们。
您可以手动运行该脚本 以检查它是否正常工作 并检查使用 regedit 命令写入终结点 Windows 注
册表中的值。
36
Managed Service Provider 指南 供分布式系统使用
18 附录 通过 CLI 创建保护软件包
在使用本节之前 请阅读 通过图形用户界面创建软件包 第26页 。
要在命令行模式中运行 Deployment Packager 请以下格式作为最基本的使用格式 DeploymentPackager.exe -cli -mng yes -cidpath <CIDpath> -sfxpath
<SFXpath> -crt R
这里的 <CIDpath> 是相关的中央安装目录 (CID) 所在的路径 <SFXpath> 是输出安装包的路
径。-crt R 会自动删除第三方的保护软件。
Deployment Packager 会发送消息到标准误方法(stderr) 如果运行顺利 则会附带返回零值 如果出
错 则会附带返回非零值。
命令行选项
您还可以使用以下列示的其它命令行限定符。
-mng yes
启动 Remote Management。
-mngcfg
指定自定义 Remote Management 配置文件的路径。
-scf
安装 Sophos Client Firewall。
-patch <管理服务器的 URL>
这将安装 Sophos Patch Agent。请在 管理服务器的 URL 中输入反向代理的地址 通过它终结点计
算机能够与 SEC 服务器通讯。该地址必须是完全限定的域名或 IP 地址。例如 http://<SEC-Server.msp.com> or http://192.168.0.10。
您必须配置反向代理 以便它能够将匹配
“http://<SEC-Server.msp.com>/Sophos/Management/Patch/EndpointCommunicator/” 地址的通
讯流重新直接转向到 SEC 服务器。
-sauonly
只包括 Sophos AutoUpdate 所选择的远程管理和防火墙则从更新源下载 。如果没有选择此选项 那么 所选的组件则会包括在安装包中。
-arch <32bit, 64bit>
指定您想要创建的软件包的结构 即是32位还是64位。
注: 只有从 CID 的安装包中安装 Patch 才能使用此选项。如果您选择 32-bit 或 64-bit 安装包只
能安装在指定的 32 位或 64 位的操作系统上。如果您不指定结构 会有一个安装包被创建 它可
以安装在 32 位和 64 位的操作系统上 但是安装包会更大。
-diskenc
启用加密。
-updp <update_path>
37
Sophos Endpoint Security and Control
更新路径。
-user <用户名>
-pwd <密码>
用户名和密码。Deployment Packager 会加密安装包中的用户名和密码。但是 如果您在文本文
件或批处理文件中保存的 Deployment Packager 命令行中带有明确的用户名和密码 那么 请确保
它安全保密。
-opwd <obfuscated_password>
加密的密码。要了解更多有关怎样加密密码的信息 请参见知识库文章 13094。
-nocheck
不检查中央安装目录的路径 以及输入软件包的路径的正确性。
-nodetect
禁用检测第三方的加密软件。
-s
静默安装。
-ni
非交互式安装。在创建加密包时 此选项不可用。
Other options 其它选项 任何可以在安装包中与安装设置文件一道运行的其它选项。
38
Managed Service Provider 指南 供分布式系统使用
19 附录 MRinit.conf 文件内容
以下是修改后的 MRinit.conf 文件的示例 [Config]
"NotifyRouterUpdate"="EM"
"ClientIIOPPort"=dword:00002001
"ClientSSLPort"=dword:00002002
"ClientIORPort"=dword:00002000
"IORSenderPort"=dword:00002000
"DelegatedManagerCertIdentityKey"="NOChhZvtx8i59YN4OVkvtaOYHsA="
"ManagedAppCertIdentityKey"="KeDbiqpDTPaiKSPwXhiS/FxPMaE="
"RouterCertIdentityKey"="+Z3KILDInN7HZn0jbZu4zsLSyfg="
"ServiceArgs"=""
"MRParentAddress"="192.168.0.10, sophos-console.msp.com,
sophos-console"
"ParentRouterAddress"="sophos-dmz,sophos-dmz.msp.com"
39
Sophos Endpoint Security and Control
20 技术支持
您可以通过以下各种方式获得 Sophos 产品的技术支持 40
■
访问 community.sophos.com/ 中的 SophosTalk 论坛 并搜索遇到相同问题的其
它用户。
■
访问 www.sophos.com/en-us/support.aspx 中的 Sophos 技术支持知识库。
■
在 www.sophos.com/en-us/support/documentation/ 中下载产品的技术文档。
■
访问 https://secure2.sophos.com/support/contact-support/support-query.aspx 联
系我们的技术支持团队。
Managed Service Provider 指南 供分布式系统使用
21 法律声明
版权所有 © 2012-2014 Sophos Limited。保留一切权利。本出版物的任何部分 都不得被以电子
的、机械的、复印的、记录的或其它的一切手段或形式 再生 存储到检索系统中 或者传输。除
非您是有效的被授权用户 并且根据您的用户授权使用许可协议中的条件 您可以再生本文档 或
者 除非您事先已经获得了版权所有者的书面许可。
Sophos Sophos Anti-Virus 以及 SafeGuard 都是 Sophos Limited Sophos Group 和 Utimaco Safeware
AG 的注册商标。所有其它提及的产品和公司的名称都是其所有者的商标或注册商标。
ACE™, TAO™, CIAO™, DAnCE™, and CoSMIC™
ACE™, TAO™, CIAO™, DAnCE™, and CoSMIC™ (henceforth referred to as "DOC software") are
copyrighted by Douglas C. Schmidt and his research group at Washington University, University of
California, Irvine, and Vanderbilt University, Copyright (c) 1993-2014, all rights reserved.Since DOC
software is open-source, freely available software, you are free to use, modify, copy, and
distribute—perpetually and irrevocably—the DOC software source code and object code produced
from the source, as well as copy and distribute modified versions of this software.You must, however,
include this copyright statement along with any code built using DOC software that you release.No
copyright statement needs to be provided if you just ship binary executables of your software products.
You can use DOC software in commercial and/or binary software releases and are under no obligation
to redistribute any of your source code that is built using DOC software.Note, however, that you may
not misappropriate the DOC software code, such as copyrighting it yourself or claiming authorship of
the DOC software code, in a way that will prevent DOC software from being distributed freely using
an open-source development model.You needn't inform anyone that you're using DOC software in
your software, though we encourage you to let us know so we can promote your project in the DOC
software success stories.
The ACE, TAO, CIAO, DAnCE, and CoSMIC web sites are maintained by the DOC Group at the
Institute for Software Integrated Systems (ISIS) and the Center for Distributed Object Computing of
Washington University, St. Louis for the development of open-source software as part of the open-source
software community.Submissions are provided by the submitter "as is" with no warranties whatsoever,
including any warranty of merchantability, noninfringement of third party intellectual property, or
fitness for any particular purpose.In no event shall the submitter be liable for any direct, indirect, special,
exemplary, punitive, or consequential damages, including without limitation, lost profits, even if advised
of the possibility of such damages.Likewise, DOC software is provided as is with no warranties of any
kind, including the warranties of design, merchantability, and fitness for a particular purpose,
noninfringement, or arising from a course of dealing, usage or trade practice.Washington University,
UC Irvine, Vanderbilt University, their employees, and students shall have no liability with respect to
the infringement of copyrights, trade secrets or any patents by DOC software or any part
thereof.Moreover, in no event will Washington University, UC Irvine, or Vanderbilt University, their
employees, or students be liable for any lost revenue or profits or other special, indirect and consequential
damages.
DOC software is provided with no support and without any obligation on the part of Washington
University, UC Irvine, Vanderbilt University, their employees, or students to assist in its use, correction,
modification, or enhancement.A number of companies around the world provide commercial support
for DOC software, however.DOC software is Y2K-compliant, as long as the underlying OS platform is
Y2K-compliant.Likewise, DOC software is compliant with the new US daylight savings rule passed by
Congress as "The Energy Policy Act of 2005," which established new daylight savings times (DST) rules
for the United States that expand DST as of March 2007.Since DOC software obtains time/date and
41
Sophos Endpoint Security and Control
calendaring information from operating systems users will not be affected by the new DST rules as long
as they upgrade their operating systems accordingly.
The names ACE™, TAO™, CIAO™, DAnCE™, CoSMIC™, Washington University, UC Irvine, and
Vanderbilt University, may not be used to endorse or promote products or services derived from this
source without express written permission from Washington University, UC Irvine, or Vanderbilt
University.This license grants no permission to call products or services derived from this source ACE™,
TAO™, CIAO™, DAnCE™, or CoSMIC™, nor does it grant permission for the name Washington
University, UC Irvine, or Vanderbilt University to appear in their names.
If you have any suggestions, additions, comments, or questions, please let me know.
Douglas C. Schmidt
Apache
The Sophos software that is described in this document may include some software programs that are
licensed (or sublicensed) to the user under the Apache License.A copy of the license agreement for any
such included software can be found at http://www.apache.org/licenses/LICENSE-2.0
Boost
Version 1.0, 17 August 2003
Permission is hereby granted, free of charge, to any person or organization obtaining a copy of the
software and accompanying documentation covered by this license (the “Software”) to use, reproduce,
display, distribute, execute, and transmit the Software, and to prepare derivative works of the Software,
and to permit third-parties to whom the Software is furnished to do so, all subject to the following:
The copyright notices in the Software and this entire statement, including the above license grant, this
restriction and the following disclaimer, must be included in all copies of the Software, in whole or in
part, and all derivative works of the Software, unless such copies or derivative works are solely in the
form of machine-executable object code generated by a source language processor.
THE SOFTWARE IS PROVIDED “AS IS”, WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE, TITLE AND NON-INFRINGEMENT.IN NO EVENT
SHALL THE COPYRIGHT HOLDERS OR ANYONE DISTRIBUTING THE SOFTWARE BE LIABLE
FOR ANY DAMAGES OR OTHER LIABILITY, WHETHER IN CONTRACT, TORT OR OTHERWISE,
ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER
DEALINGS IN THE SOFTWARE.
Common Public License
The Sophos software that is referenced in this document includes or may include some software programs
that are licensed (or sublicensed) to the user under the Common Public License (CPL), which, among
other rights, permits the user to have access to the source code.The CPL requires for any software
licensed under the terms of the CPL, which is distributed in object code form, that the source code for
such software also be made available to the users of the object code form.For any such software covered
under the CPL, the source code is available via mail order by submitting a request to Sophos; via email
to [email protected] or via the web at
http://www.sophos.com/en-us/support/contact-support/contact-information.aspx.A copy of the license
agreement for any such included software can be found at http://opensource.org/licenses/cpl1.0.php
ConvertUTF
Copyright 2001 2004 Unicode, Inc.
42
Managed Service Provider 指南 供分布式系统使用
This source code is provided as is by Unicode, Inc. No claims are made as to fitness for any particular
purpose.No warranties of any kind are expressed or implied.The recipient agrees to determine
applicability of information provided.If this file has been purchased on magnetic or optical media from
Unicode, Inc., the sole remedy for any claim will be exchange of defective media within 90 days of
receipt.
Unicode, Inc. hereby grants the right to freely use the information supplied in this file in the creation
of products supporting the Unicode Standard, and to make copies of this file in any form for internal
or external distribution as long as this notice remains attached.
Loki
The MIT License (MIT)
Copyright © 2001 by Andrei Alexandrescu
Permission is hereby granted, free of charge, to any person obtaining a copy of this software and
associated documentation files (the "Software"), to deal in the Software without restriction, including
without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to
the following conditions:
The above copyright notice and this permission notice shall be included in all copies or substantial
portions of the Software.
THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT.IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN
THE SOFTWARE.
OpenSSL Cryptography and SSL/TLS Toolkit
The OpenSSL toolkit stays under a dual license, i.e. both the conditions of the OpenSSL License and
the original SSLeay license apply to the toolkit.See below for the actual license texts.Actually both licenses
are BSD-style Open Source licenses.In case of any license issues related to OpenSSL please contact
[email protected].
OpenSSL license
Copyright © 1998-2011 The OpenSSL Project.All rights reserved.
Redistribution and use in source and binary forms, with or without modification, are permitted provided
that the following conditions are met:
1. Redistributions of source code must retain the above copyright notice, this list of conditions and
the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions
and the following disclaimer in the documentation and/or other materials provided with the
distribution.
3. All advertising materials mentioning features or use of this software must display the following
acknowledgment:
“This product includes software developed by the OpenSSL Project for use in the OpenSSL
Toolkit.(http://www.openssl.org/)”
43
Sophos Endpoint Security and Control
4. The names “OpenSSL Toolkit” and “OpenSSL Project” must not be used to endorse or promote
products derived from this software without prior written permission.For written permission, please
contact [email protected].
5. Products derived from this software may not be called “OpenSSL” nor may “OpenSSL” appear
in their names without prior written permission of the OpenSSL Project.
6. Redistributions of any form whatsoever must retain the following acknowledgment:
“This product includes software developed by the OpenSSL Project for use in the OpenSSL Toolkit
(http://www.openssl.org/)”
THIS SOFTWARE IS PROVIDED BY THE OpenSSL PROJECT “AS IS” AND ANY EXPRESSED
OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES
OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED.IN
NO EVENT SHALL THE OpenSSL PROJECT OR ITS CONTRIBUTORS BE LIABLE FOR ANY
DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
(INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES;
LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND
ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT
(INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF
THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
This product includes cryptographic software written by Eric Young ([email protected]).This product
includes software written by Tim Hudson ([email protected]).
Original SSLeay license
Copyright © 1995 1998 Eric Young ([email protected]) All rights reserved.
This package is an SSL implementation written by Eric Young ([email protected]).The implementation
was written so as to conform with Netscape’s SSL.
This library is free for commercial and non-commercial use as long as the following conditions are
adhered to.The following conditions apply to all code found in this distribution, be it the RC4, RSA,
lhash, DES, etc., code; not just the SSL code.The SSL documentation included with this distribution is
covered by the same copyright terms except that the holder is Tim Hudson ([email protected]).
Copyright remains Eric Young’s, and as such any Copyright notices in the code are not to be removed.If
this package is used in a product, Eric Young should be given attribution as the author of the parts of
the library used.This can be in the form of a textual message at program startup or in documentation
(online or textual) provided with the package.
Redistribution and use in source and binary forms, with or without modification, are permitted provided
that the following conditions are met:
1. Redistributions of source code must retain the above copyright notice, this list of conditions and
the following disclaimer.
2. Redistributions in binary form must reproduce the above copyright notice, this list of conditions
and the following disclaimer in the documentation and/or other materials provided with the
distribution.
3. All advertising materials mentioning features or use of this software must display the following
acknowledgement:
This product includes cryptographic software written by Eric Young ([email protected]).
The word “cryptographic” can be left out if the routines from the library being used are not
cryptographic related :-).
4. If you include any Windows specific code (or a derivative thereof) from the apps directory
(application code) you must include an acknowledgement:
“This product includes software written by Tim Hudson ([email protected])”
44
Managed Service Provider 指南 供分布式系统使用
THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS “AS IS” AND ANY
EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED
WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
DISCLAIMED.IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE FOR ANY
DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
(INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES;
LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND
ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT
(INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF
THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
The license and distribution terms for any publically available version or derivative of this code cannot
be changed. i.e. this code cannot simply be copied and put under another distribution license [including
the GNU Public License.]
WilsonORMapper
Copyright © 2007, Paul Wilson
All rights reserved.
Redistribution and use in source and binary forms, with or without modification, are permitted provided
that the following conditions are met:
■
Redistributions of source code must retain the above copyright notice, this list of conditions and
the following disclaimer.
■
Redistributions in binary form must reproduce the above copyright notice, this list of conditions
and the following disclaimer in the documentation and/or other materials provided with the
distribution.
THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS"
AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
ARE DISCLAIMED.IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE
LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR
CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF
SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS
INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN
CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE)
ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE
POSSIBILITY OF SUCH DAMAGE.
45
">