MCAFEE TEE防病毒技术方案.docx

MCAFEE TEE防病毒技术方案.docx

《MCAFEE TEE防病毒技术方案.docx》由会员分享，可在线阅读，更多相关《MCAFEE TEE防病毒技术方案.docx（16页珍藏版）》请在冰豆网上搜索。

MCAFEETEE防病毒技术方案

防病毒解决方案

成都优顺科技有限公司

2018年9月21日

1、McaFeeTEE套件中采用的产品

TEE集中安全管理平台：

McAfeeePolicyOrchestrator

主机入侵防护和桌面防火墙：

McAfeeHostIntrusionPrevention7.0

计算机病毒防护：

McAfeeVirusScanEnterprise8.7i

防间谍程序：

McAfeeAnti-Spyware

Linux版操作系统防病毒:

McAfeeCommandLineScanner4.51

McAfeeePolicyOrchestrator4.0（简称ePO4.0）：

TEE集中的安全管理平台，提供部署、策略、配置、自动更新、报表和报警管理，ePO是TEE的安全管理中心。

McAfeeHostIntrusionPrevention6.0（简称HIPS7.0）：

部署在被防护的计算机上，通过主机防火墙进行网络控制，提供在OS系统和核心上的附加层截获所有IO、RPC请求和API调用，使用攻击签名探测、异常探测和的方法探测黑客攻击，并且实时阻止黑客攻击。

HIPS6.0给主机提供了附加保护层，因此，即使不安装安全漏洞补丁计算机也是安全的，从而为安装计算安全补丁赢得了时间，同时也提供了主动的安全防护手段。

McAfeeVirusScanEnterprise8.7i（简称VSE8.7i）和McAfeeAnti-Spyware：

VSE8.7i是McAfee企业机防病毒系统，其最大优势是可以完全做到不需要病毒签名就可以阻挡任何蠕虫病毒；另外，VSE8.7i的内存扫描功能可以确保不需要重启计算机就可以清除蠕虫病毒或者后门程序；此外VSE8i还集成了McAfeeAnti-Spyware，探测和清除间谍程序。

VSE8.7i通过免费的McAfeeePolicyOrchestrator4.0（简称ePO）进行集中管理，包括分发、自动更新、报警、通知和报表管理，同时，ePO可以探测为首防病毒软件保护的计算机，然后发出警报。

McAfeeGroupShield：

提供群件服务器的防病毒和防垃圾邮件功能。

GroupShield集成到MSExchange或者Domino中，提供邮件的即时扫描，进行防病毒和防垃圾邮件扫描；同时，GroupShield的按需扫描模块按照用户的计划定时扫描邮件数据库和资料数据库。

1.1参数

1.1.1ePO

ePolicyOrchestrator4.0（以下简称ePO4.0），是TEE的集中策略管理中心，提供TEE的集中管理，功能包括TEE产品的分发部署、策略配置、自动更新管理、报警和报表管理。

单台ePO服务器支持对25万个客户端的集中管理。

ePO4.0安装平台要求：

Windows2000/2003Server

CPU：

P4/内存512MB/硬盘40GB

IE6.0

ePO使用三层架构：

Manager、Agent和RemoteConsole（客户化的IE），由于用户接口基于web方式，因此更适合远程管理。

ePO提供以下功能：

1）积极的爆发预防

使用ePO病毒爆发响应中心，使用策略配置，可以采取积极的步骤保护您的网络不受逼近的病毒爆发的威胁。

2）病毒爆发通知功能

ePO能够根据设定的阈值自动发出病毒爆发通知。

3）安全通信基础架构

控制管理中心使用一种新的通信基础架构—建立在安全套接层（SSL）协议上。

根据使用的安全设置，通信可以加密或使用认证加密。

4）管理权限

管理权限分成全局、部分的管理域，在不同域上有不同用户权限。

5）实时和按需扫描策略控制

控制管理中心向您提供实时的产品控制。

在控制台上做出的配置更改会立即发送到产品，甚至可以从控制台上运行手动扫描。

这种没有等待时间的命令系统在病毒爆发期间是不可缺少的。

6）集中式更新控制

集中式更新策略规则、病毒码和扫描引擎文件，可以确保所有被管理的防病毒客户端都使用最新的组件。

更新方式可以配置为定期任务更新和实时通知更新两种方式。

7）集中式配置

集中式配置使您可以从一个单一控制台协调病毒响应和安全措施。

这确保了整个企业网络的防毒和内容安全策略的一致实施。

8）桌面防火墙的策略配置

配置桌面防火墙的允许和阻挡策略，查看允许和阻挡网络访问日志等。

9）HIPS的配置和报警管理

配置HIPS的攻击响应策略，配置HIPS的、不同防护模块的策略，修改配置，查看入侵和异常操作报警；

8）微软安全漏洞检测和补丁安装状态检测

通过ePO检测Windows平台计算机的安全漏洞和微软安全补丁安装状态，同时提供详细的报表。

9）Rouge计算机和为保护计算机的探测

通过ePO可以探测未安装防病毒软件的计算机，同时还可以探测接入企业网络的外来计算机。

10）集中式日志报告

使用全面的日志可以得到对防毒和内容安全网络性能的一个概览。

防病毒管理中心可以从所有其管理的产品收集日志；您不再需要检查每个单个产品的日志。

11）防病毒客户端配置修改保护功能

ePO提供客户端锁定Password保护功能，当启用此功能时，客户端修改配置需要输入Password。

1.1.2防病毒系统和防间谍程序

防病毒客户端部署：

平台

安装客户端版本

WindowsNT

Windows2000

Windows2003Server

McAfeeVirusScanEnterprise8.7i

+Anti-SpywareEnterprise

Deskfirewall

HISP入侵检测

WindowsXP

Windows2000Professional

McAfeeVirusScanEnterprise8.7i

+AntiSpyware

Deskfirewall

HISP入侵检测

LINUX/Linux服务器

McAfeeVirusScanCommandLine4.5.1

策略：

●对新威胁增强防护–VirusScan8.7i提供了对最新出现的、危及程序安全的恶意威胁（例如，“间谍”软件）、特定程序的缓冲区溢出攻击、及混合病毒攻击的防护。

●病毒突发期间的策略–先进的病毒爆发响应功能可在DAT文件出现之前就关闭漏洞口，通过阻塞病毒入口和防止突发病毒蔓延的方法将损失限制在最低限度；文件、文件夹锁定功能阻止病毒进入计算机。

●McAfee内存扫描技术–屡获殊荣的McAfee扫描引擎通过对内存的扫描来拦截那些不会将代码写入磁盘的病毒（如Netsky和CodeRed）所带来的威胁。

●集中式管理和报告编制–与McAfeeePolicyOrchestrator的集成为用户提供了全面的安全管理解决方案，包括从一个控制台进行详细的图形报告编制的功能。

策略管理都通过连接在本地局域网上的二级EPO防病毒服务器

●报警集中发送到ePO–由防病毒管理服务器进行统一的报警和日志管理。

●升级更新–防病毒客户端到局域网上的二级防病毒管理服务器上下载更新，更新方式有任务设置定时更新和ePO实时更新通知两种方式，用户可根据需求选择。

安装防病毒客户端时，可以在计算机客户端上部署防病毒管理服务器ePO的Agent，然后通过防病毒管理服务器进行自动分发部署。

1.1.3主机入侵防护（HIPS）的部署

主机入侵防护系统主要部署在管理网的桌面计算机上，通过ePO进行自动分发到管理网的主面计算机。

HIPS7.0的日常策略配置、更新、报表和集中的安全事件报警均通过ePO进行集中管理。

缺省的HIPS策略即可进行主机安全防护。

2TEE产品介绍

2.1TEE集中管理服务器ePO4.0

McAfeeePO4.0的主要优势：

主要优势

∙集中的系统整体防护安全管理平台—ePO4.0是目前业界唯一的能同时管理防病毒、防间谍程序、邮件防病毒、防垃圾邮件、桌面防火墙、主机入侵防护和网络访问控制的唯一产品，统一的管理平台提高了管理效率和策略的一致性，确保整体的安全。

∙前瞻性漏洞评估—ePO能够抢在病毒和蠕虫之前首先发现系统中的安全缺口，它不仅能够对安全策略的一致性进行扫描（包括Microsoft安全补丁），而且能够及时发现系统中隐藏的设备、未受到保护的设备以及容易受到攻击的设备。

∙发现Rogue计算机：

能够探测外部计算机接入网络和未安装防病毒软件的未受保护的计算机，并且向管理员发出报警；

∙成熟高效的企业更新过程—可采用完全自动或完全手动两种模式来完成更新，不仅速度快、占用带宽资源非常少，而且还可以通过一致性报告进行验证；ExpressGlobalUpdate则可以在不到一小时的时间里完成50,000个系统的更新

∙全面的策略管理—管理员可以针对每一个防护级别来定义安全策略（从更新频率到桌面机防火墙设置），并以“每机器”或“每群组”模式来应用这些策略

∙实时的图形化报告功能－用户可以根据自己的特殊要求对报告进行简单的自定义，也可以从40多种预定义的报告中进行选择

∙全面管理多个供应商的安全解决方案—ePO不仅能够帮助您管理McAfeeSecurity产品，而且还能够高效地管理其它第三方产品，例如Symantec和Dr.Ahn的安全解决方案

McAfee®SecurityePolicyOrchestrator™（ePO）是市场上处于领先地位的用来对恶意攻击进行防护的集中式策略管理工具。

您可以使用ePO将防护功能保持为最新状态，配置和增强安全策略，以及通过McAfeeSecurity和第三方产品（包括Symantec和DrAhn的防病毒产品），生成详细的图形报告。

使防护功能保持最新

对安全策略进行前瞻性管理的最大困难是如何在所有系统中都使防护功能保持最新的状态。

使用ePolicyOrchestrator，您可以轻松地了解是否处于最新状态。

只需单击一次按钮，即可在整个网络中实施更新。

在使用分布式数据库的智能化设计时，无需服务器参与更新操作，所有更新都在整个网络范围内实施，从而降低网络流量并提高性能。

可以手动或自动部署对McAfeeSecurityDAT、引擎、服务包、Extra.DATs和修补程序的更新。

快速更新

ePO提供了任务定时更新和全局更新两种方式，全局更新可以实现实时地更新跟新，而且通过分布更新资料库、SuperAgent资料库的技术，一方面提高了更新速度，另一方面节省了网络带宽的使用。

全局透明度

您可以随时使用各种信息，包括仅有一页的安全报告摘要以及有关病毒活动、桌面机防火墙策略和病毒漏洞的详细信息。

轻松地自定义报告以适合您的特定需求。

具有企业级扩展性能的策略管理

ePolicyOrchestrator的设计兼顾了企业级的扩展性能，可以通过每台服务器管理多达250,000个用户，并可以轻松地使用远程控制台从任何位置进行操作。

充分利用在安全方面的投资

可扩展性和业界支持始终是ePolicyOrchestrator核心关注点。

 作为首个提供第三方防病毒应用程序管理和报告功能的工具，与Symantec和DrAhn相似，McAfee可通过ePolicyOrchestratorFusionService帮助企业进一步提高安全投资所获得的回报。

 这些服务由McAfeeExpertServices工作组提供，允许ePolicyOrchestrator与其他第三方安全程序集成，为其他第三方安全层提供同样水平的集中控制和透明度。

管理跨越多个供应商的全面防护

改变攻击需要改变防护策略。

 您可以建立协调、统一的防护。

McAfee还意识到各个组织可能选择使用来自多个供应商的防病毒产品，因此ePolicyOrchestrator可管理和报告Symantec和DrAhn的桌面机和服务器防护功能。

保护移动用户

ePolicyOrchestrator使您可以轻松地管理和保护移动用户，就像管理和保护通过局域网连接的用户一样。

即使膝上型电脑没有连接到网络，通过加强策略以及在连接到Internet时进行更新，ePolicyOrchestrator也可以有效地管理您无法管理的项目。

由于移动用户要求更高的灵活性，ePolicyOrchestrator可以从最近的数据库中以最有效利用带宽资源的方式为移动用户提供更新，并允许延迟更新和重新开始更新。

突发响应

单击按钮，系统即可执行“立即更新”命令，使策略更改生效—此操作可以针对所有系统，也可以仅针对网关等主要问题区域。

ePolicyOrchestrator使您能够做出快速响应，并可以集中处理当前的任务。

提供丰富的报表

ePO可以提供详细丰富的各种报表，包括图形、文本、图形文本结合、CSV、Excel、Html等格式的报表。

2.2McAfeeVirusScanEnterprise8.7i

McAfee®VirusScan®8.7i进一步提高了病毒防护功能，将入侵防护功能与防火墙技术集成于针对计算机和文件服务器的单一解决方案中。

这种强有力的结合为用户提供了极具前瞻性的防护，使其免受当今最新威胁的侵扰—包括缓冲区溢出和混合病毒的攻击—并提供先进的病毒突发管理响应功能，从而能够减少损失和病毒突发带来的成本费用。

McAfeeePolicyOrchestrator®提供全面管理，便于遵守易于扩展的安全策略，并进行图形报告编制。

主要优势：

∙集成的防火墙与IPS技术–防火墙与入侵防护技术的集成使单一集成包具有最大限度的前瞻性防护功能。

∙对新威胁增强防护–VirusScan8.7i提供了对最新出现的、危及程序安全的恶意威胁（例如，“间谍”软件）、特定程序的缓冲区溢出攻击、及混合病毒攻击的防护。

∙病毒突发期间的低成本响应–先进的outbreak功能可在DAT文件出现之前就关闭漏洞口，通过阻塞病毒入口和防止突发病毒蔓延的方法将损失限制在最低限度。

∙McAfee扫描技术–屡获殊荣的McAfee扫描引擎通过对内存的扫描来拦截那些不会将代码写入磁盘的病毒（如Netsky和CodeRed）所带来的威胁。

∙集中式管理和报告编制–与McAfeeePolicyOrchestrator和ProtectionPilot的集成为用户提供了全面的安全管理解决方案，包括从一个控制台进行详细的图形报告编制的功能

全方位的McAfee病毒防护

McAfee防病毒扫描引擎能够拦截各种病毒和恶意代码威胁，包括宏病毒、木马程序、Internet蠕虫、32位高级病毒，甚至是恶意的ActiveX和Java对象。

VirusScan采用的防病毒技术能够对压缩数据进行深入分析，因而能够检测出隐藏在.zip或其他类型压缩文件中的威胁。

先进的启发式检测和通用检测技术使VirusScan具有了前瞻性的防护能力，能够“提前”防御各种新的、未知的病毒以及其它多种威胁。

潜在“恶意/间谍程序/广告软件”程序安全

VirusScan能够自动检测“恶意/间谍/广告”程序，有效防止隐藏程序跟踪企业和用户的Internet使用记录、访问用户个人数据（例如密码和帐户信息）或者在用户系统中造成安全漏洞。

当ViruScan侦测到“垃圾”程序时，用户或管理员可选择让ViruScan作出下列回应之一（警告、清除、删除、和隔离）。

管理员甚至可以按公司定义一个“垃圾”程序列单，如“Spyware、Adware、dialers、PassworkCrack或joke程序。

缓冲区溢出防护（IPS功能）

VirusScan8.7i可防护大约20种最常用的软件应用程序和Microsoft®Windows®OS服务，其中包括MicrosoftWord、Excel、InternetExplorer、Outlook和SQLServer。

必要时，管理员还可以按程序指定例外情况。

全面的病毒突发回应

VirusScan8.7i内设的病毒突发回应功能可在生成DAT文件之前就提供有效防护，这使得管理员可以在发现病毒之后、接到DAT文件之前对严重的漏洞口采取及时的行动。

突发回应功能包括：

●端口阻塞/锁定（防火墙功能）

允许管理员或用户“关闭”（阻塞）特定的端口，使传出或传入的网络流量无法进行端口（例如，对于MyDoom，应该堵塞端口#3196;而对于Bagel.n，应堵塞是端口port#2556）。

●应用程序监控：

电子邮件引擎（防火墙功能）

允许管理员阻塞传出端口，但制定允许某些程序通过已阻塞端口进行交流。

例如，管理员有可能阻塞了传出流量的端口25，但却允许outlook.exe通过该端口进行传出交流。

如果开启了该功能，NetSky和MyDoom当时就不可能溜出系统了。

●文件锁闭、目录锁闭、文件夹/share锁闭（IPS功能）

按系统或传入的网络程序来生成用策略，用以控制已获授权、可能发生在特定文件、目录或文件夹/share等（所使用的名称格式中含文字、通配符）的行动。

例如，为名为Sasser的蠕虫制定的策略有可能会影响到阻塞avserve*.exe,skynetave.exe,lsasss.exe,napatch.exe,*_up.exe,cmd.ftp,ftplog.txt,winlog2.*,和win*.log。

●传染追溯与拦截

VirusScan可以发现和追溯将恶意代码发送到运行ViruScanEnterprise8.7i的端点系统的IP地址（传染源），并将传染源信息发送会管理控制台。

另外，它还可以使来自传染源端点系统的信息交流被阻塞一段时间（可配置的）或使其始终受阻（直到重新另行设置后）。

强大的内存扫描

VirusScan8.7i增强了扫描功能，包括可以对病毒、蠕冲和木马进行“按需扫描”或“定时的存储扫描”。

也就是说，VirusScan能够抵御多种诸如CodeRed和SQLSlammer的威胁因素，虽然此类威胁不会将代码写入到磁盘中，但VirusScanEnterprise却可以从内存中直接清除掉它们的进程。

集中的管理和报告功能

VirusScan8.7i集成了McAfeeePolicyOrchestrator，唯一名副其实易于扩展的安全策略管理工具之一，从而可提供策略干练、详细的图形报告编制和软件部署。

ePolicyOrchestrator具有促进防护实施的集中授权，可提供一个单一的控制台，以管理您的McAfee部署。

另外，小型和中型企业还可以利用用户友好的McAfeeProtectionPilot管理控制台来简化管理和监控程序。

增强的电子邮件扫描功能

VirusScan8.7i除了对MicrosoftOutlook的邮件进行扫描外，还可以将发送到桌面机的所有LotusNotesClients电子邮件（包括HTML文本和附件）进行扫描。

还可以对安装了Outlook和Lotus这两种电子邮件接发软件的系统提供支持。

对使用脚本带来的威胁的防护

VirusScan8.0i可以通过侦测和防止利用JavaScript和（或）VisualBasic（VB）脚本（例如，Nimda或LoveLetter）实施的恶意代码而导致的感染。

针对移动用户的优化功能

区域服务器路由使得用户能够根据地理位置和连接速度对现场更新进行优化，较小的文件规模也使得用户能够轻松地通过连接速度较慢的网络（例如拨号连接）来下载更新文件。

借助于可恢复的更新功能，即使远程用户的网络连接被中断，他们也仍然能够在其它时间从中断处继续下载更新文件。

完全自动化的更新

☐McAfeeAutoUpdateTM保证通过http，ftp，UNC共享，本地或映射驱动进行快速更新。

☐更新信息包括小型增量DAT，完整DAT，引擎更新，Extra.DAT，SP或hot-fix等。

☐可恢复更新，是那些使使用缓慢、不稳定连接的‘工作狂’的理想选择。

报告

☐VirusScan可以集中管理，配置，并可由ePolicyOrchestratorTM提供针对性的图形化报告。

☐以丰富、直观和灵活的图表方式，动态实时表现防病毒软件的运行状况，和病毒活动情况。

在ePO中央控制台很容易统计出某一时间段的某一网络病毒爆发频度最高的几种病毒、病毒发作频度最高的几台计算机或者统计病毒发作频率最高的网络。

增强的性能

☐通过按业务需要对性能进行均衡来提高用户生产率。

☐支持文件扫描高速缓存技术，保证不把处理能力浪费在对‘清洁’文件的重复扫描上。

基于风险的扫描

☐对如电子邮件、浏览器和办公室应用等高风险应用进行严格扫描；而备分软件和数据库作为低风险应用，可进行相对来说不太严格的扫描。

2.3主机入侵防护HIPS7.0

McAfee主机入侵防护（主机IPS）使用多种成熟方法对资产进行保护，包括系统防火墙以及签名技术和活动分析。

独立产品的管理平台是非集成化的，使用起来比较麻烦，所以许多公司无法部署他们需要的全方位的保护以对抗当前的混合攻击威胁。

McAfee主机入侵防护能与您现有的McAfeeePolicyOrchestrator（ePOTM）管理平台集成，实现了精确的、可扩展的且易于使用的先进系统保护功能。

通过自动签名更新和零时间攻击防护，您实现了所需的先进攻击防护功能。

给系统安装补丁程序将不再那么频繁和紧迫，您会发现遵守法定规范也变得易于实现。

通过使用主机入侵防护和桌面防火墙的单一代理，McAfee主机IPS非常易于部署、配置和管理。

主要功能与优势

三层防护

主机IPS提供了最全方位的解决方案以保护企业免受攻击。

活动保护可以拦截零时间攻击并强制规定操作系统和应用程序的合法活动；签名可以拦截各种已知攻击，使管理员能够充分了解他们所面临的威胁；系统防火墙可以确保应用程序及系统访问策略的一致性。

行为保护

主机IPS行为保护无需升级就可以保护系统免受针对新漏洞的零时间攻击。

功能包括：

缓冲区溢出攻击防护--作为McAfee主机IPS的专利技术，它能够防止缓冲区溢出攻击导致的代码执行，而这种攻击正是服务器和桌面机目前所面临的最常见的攻击方法之一。

应用程序防护--可保护应用程序及其数据免受攻击，同时还可以防止应用程序被利用来攻击其他应用程序，即使这种攻击是由具有管理权限的用户发起的。

签名保护

主机IPS签名保护功能能够精确识别和拦截已知的恶意数据通信，大幅减少误报。

功能包括：

∙漏洞防护–自动更新的签名能够对桌面机和服务器的漏洞进行防护，它几乎100%地覆盖了Microsoft®的软件漏洞，使您在部署之前有充足的时间对补丁程序进行测试。

∙Web服务器和数据库服务器保护–服务器代理包含了专用于保护Web服务器和数据库服务器的特殊保护功能，使其免受目录遍历和SQLInjection这样的攻击。

∙k桌面机应用程序保护–桌面机代理包含了特殊的保护功能