Inhalt

Einführung

Voraussetzungen

Konfigurieren

Überprüfung

Zugehörige Informationen

Einführung

Die folgenden Quarantänen können nun kollektiv auf einer Cisco Security Management Appliance (SMA) zentralisiert werden:

- Antivirus

- Ausbruch

- Richtlinienquarantäne, die für Nachrichten verwendet werden, die von:

- Nachrichtenfilter

- Content-Filter

- Richtlinien zum Schutz vor Datenverlust

Die Zentralisierung dieser Quarantänen bietet folgende Vorteile:

- Administratoren können isolierte Nachrichten von mehreren E-Mail Security Appliances (ESAs) an einem Standort verwalten.

- Quarantäne-Nachrichten werden hinter der Firewall statt in der DMZ gespeichert, wodurch das Sicherheitsrisiko verringert wird.

- Zentralisierte Quarantänen können als Teil der standardmäßigen Backup-Funktionen auf dem SMA gesichert werden.

Voraussetzungen

- SMA mit 8.1 (SMA-Benutzerhandbuch, Kapitel 8, Zentrale Richtlinie, Virus und Outbreak Quarantines)

- ESA mit 8.0.1 (ESA-Benutzerhandbuch, Kapitel 27, Quarantänebereiche)

- Firewall - Port 7025 / TCP (Ein und Aus) / Verwendung des Hostnamens: AsyncOS-IPs/Beschreibung: Übergeben von Richtlinien-, Virus- und Outbreak-Quarantänedaten zwischen Email Security Appliances und der Security Management Appliance, wenn diese Funktion zentralisiert ist

Konfigurieren

Beginnend mit der ESA in einer vorhandenen Richtlinienquarantäne befinden sich aktive Nachrichten in der Richtlinienquarantäne:

Gehen Sie wie folgt vor, um diese Nachrichten zu migrieren und sich anschließend darauf zu verlassen, dass SMA die aktive Appliance ist, die die Policy Quarantine besitzt.

Navigieren Sie in der SMA zu Management Appliance > Centralized Services > Policy, Virus and Outbreak Quarantines. Wenn diese Option nicht bereits aktiviert ist, klicken Sie auf Aktivieren:

Wählen Sie ggf. die Schnittstelle aus, die den Datenverkehr von der ESA zur SMA verarbeiten soll.

Hinweis: Der Quarantäne-Port kann geändert werden. Wenn jedoch eine Firewall-/Netzwerk-ACL vorhanden ist, muss dieser geöffnet werden.

Klicken Sie auf Senden. Der Bildschirm wird aktualisiert, um den ?Service enabled? anzuzeigen. Nachricht, siehe unten:

Navigieren Sie zu Management Appliance > Centralized Services > Security Appliances, und fügen Sie die ESA-Kommunikation zur SMA hinzu:

Klicken Sie auf E-Mail-Appliance hinzufügen.

Hinweis: Sie müssen nur die IP-Adresse hinzufügen, die die SMA für die Kommunikation mit der ESA verwendet. Der Gerätename wird nur als administrative Referenz verwendet.

Stellen Sie sicher, dass Sie Verbindung herstellen und Verbindung testen. Beim Herstellen einer Verbindung zwischen SMA und ESA werden der Benutzername und das Kennwort des Administrators angefordert. Dies ist der administrative Benutzer und das Passwort der ESA, die hinzugefügt wird. Je nachdem, was bereits aktiv ist und was hinzugefügt wird, können die Testergebnisse variieren, sollten aber ähnlich sein wie:

Stellen Sie sicher, dass Sie an diesem Punkt der SMA die Änderungen einsenden und bestätigen.

Wenn Sie zu diesem Zeitpunkt erneut die ESA aufrufen und versuchen, den Abschnitt "Zentrale Dienste" der Richtlinienquarantäne zu konfigurieren, wäre dies ähnlich wie folgt:

Die Migrationsschritte müssen im SMA noch abgeschlossen sein. Kehren Sie zum SMA zurück, und fahren Sie mit dem folgenden Abschnitt fort.

Wenn die Änderungen bestätigen abgeschlossen sind, starten Sie den Migrationsassistenten. der Stufe 2 wird aktiviert:

Wählen Sie den Migrationsassistenten starten, und fahren Sie wie folgt fort:

Wenn nur eine bestimmte Quarantäne migriert werden soll, wählen Sie Benutzerdefiniert. In diesem Beispiel fahren wir mit Automatic (Automatisch) fort, das ALLE/ALLE Policy Quarantines von der ESA in SMA migriert. Bitte beachten Sie, dass Sie den angegebenen Namen sehen, der während des oben erwähnten ESA-Hinzufügens gewählt wurde, gefolgt von der in der Kommunikation verwendeten IP-Adresse:

Klicken Sie auf Weiter, und fahren Sie fort:

Klicken Sie abschließend auf Senden, und es wird eine "Erfolgsbenachrichtigung" angezeigt:

Bestätigen Sie Ihre Änderungen am SMA.

Navigieren Sie bei der Rückkehr zur ESA zu Security Services > Policy, Virus and Outbreak Quarantines (Sicherheitsdienste > Richtlinien, Virus- und Outbreak-Quarantäne). Die erforderlichen Schritte für das SMA werden jetzt erkannt:

Klicken Sie auf Aktivieren?, und fahren Sie fort:

Beachten Sie, dass hier wieder der richtige Port für die Kommunikation angegeben wird. Diese müssen übereinstimmen, und wenn Firewall-/Netzwerk-ACL verwendet wird, muss diese geöffnet werden, um eine ordnungsgemäße Migration zwischen der ESA und SMA zu ermöglichen.

Hinweis: Wenn Richtlinien, Viren und Outbreak-Quarantänen auf einer ESA konfiguriert sind, beginnt die Migration von Quarantänen und deren Nachrichten, sobald Sie diese Änderung bestätigen.

Hinweis: Es kann immer nur ein Migrationsprozess ausgeführt werden. Aktivieren Sie erst nach Abschluss der vorherigen Migration zentrale Richtlinien-, Virus- und Outbreak-Quarantänen auf einer anderen E-Mail Security-Appliance.

Klicken Sie auf Senden, und klicken Sie schließlich auf Übernehmen. Die Info-Benachrichtigung sollte ähnlich sein. Wenn sich bereits eine große Anzahl von Nachrichten in der lokalen Quarantäne befindet, kann die Verarbeitung von der ESA zur SMA einige Zeit in Anspruch nehmen:

Rufen Sie die SMA erneut auf, und navigieren Sie zu Management Appliance > Centralized Services > Policy, Virus and Outbreak Quarantines (Verwaltungs-Appliance > Zentrale Dienste > Richtlinien, Virus und Outbreak-Quarantäne). Die Migrationsschritte werden nun abgeschlossen:

Überprüfung

Derzeit ist die Migration der Richtlinienquarantäne von der ESA zur SMA abgeschlossen. Überprüfen Sie zur abschließenden Überprüfung die Richtlinienquarantäne auf dem SMA:

Es sollten dieselben Meldungen angezeigt werden, die ursprünglich auf der ESA aufgeführt waren. Wählen Sie den Hyperlink # in der Nachrichtenspalte aus, und überprüfen Sie:

Wenn Sie sich die mail_logs auf der ESA ansehen, wird die Migration der eigentlichen Nachrichten angezeigt:

Hinweis: Beachten Sie die Verwendung der Kommunikation zwischen der ESA (XX.X.XX.XXX) und SMA (YY.Y.YY.YYY) über Port 7025.

Wed Mar  5 02:48:40 2014 Info: New SMTP DCID 2 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:48:40 2014 Info: DCID 2 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:49:52 2014 Info: New SMTP DCID 3 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:49:52 2014 Info: DCID 3 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:22 2014 Info: New SMTP DCID 4 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:22 2014 Info: DCID 4 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:23 2014 Info: New SMTP DCID 5 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:23 2014 Info: DCID 5 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:40 2014 Info: New SMTP DCID 6 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:40 2014 Info: DCID 6 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:41 2014 Info: New SMTP DCID 7 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:41 2014 Info: DCID 7 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:42 2014 Info: New SMTP DCID 8 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:42 2014 Info: DCID 8 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:01 2014 Info: New SMTP DCID 9 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:01 2014 Info: DCID 9 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:01 2014 Info: CPQ listener cpq_listener starting

Wed Mar  5 02:51:01 2014 Info: New SMTP DCID 10 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:01 2014 Info: DCID 10 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 11 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 11 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: MID 1 enqueued for transfer to centralized quarantine

"Policy" (content filter _policy_q_in_)

Wed Mar  5 02:51:02 2014 Info: MID 1 queued for delivery

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 12 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 12 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: Delivery start DCID 12 MID 1 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:51:02 2014 Info: MID 2 enqueued for transfer to centralized quarantine

"Policy" (content filter _policy_q_in_)

Wed Mar  5 02:51:02 2014 Info: MID 2 queued for delivery

Wed Mar  5 02:51:02 2014 Info: MID 3 enqueued for transfer to centralized quarantine

"Policy" (content filter _policy_q_in_)

Wed Mar  5 02:51:02 2014 Info: MID 3 queued for delivery

Wed Mar  5 02:51:02 2014 Info: Message done DCID 12 MID 1 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:51:02 2014 Info: MID 1 RID [0] Response 'ok:  Message 1 accepted'

Wed Mar  5 02:51:02 2014 Info: Message finished MID 1 done

Wed Mar  5 02:51:02 2014 Info: MID 1 migrated from all quarantines

Wed Mar  5 02:51:02 2014 Info: Delivery start DCID 12 MID 2 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 13 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 13 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 14 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 14 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: Message done DCID 12 MID 2 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:51:02 2014 Info: MID 2 RID [0] Response 'ok:  Message 2 accepted'

Wed Mar  5 02:51:02 2014 Info: Message finished MID 2 done

Wed Mar  5 02:51:02 2014 Info: MID 2 migrated from all quarantines

Wed Mar  5 02:51:02 2014 Info: Delivery start DCID 12 MID 3 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:51:02 2014 Info: Message done DCID 12 MID 3 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:51:02 2014 Info: MID 3 RID [0] Response 'ok:  Message 3 accepted'

Wed Mar  5 02:51:02 2014 Info: Message finished MID 3 done

Wed Mar  5 02:51:02 2014 Info: MID 3 migrated from all quarantines

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 15 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 15 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:07 2014 Info: DCID 12 close

Überprüfen Sie die ESA, und jetzt wird Folgendes beim Anzeigen der Richtlinien, Viren und Outbreak-Quarantänen angezeigt:

Im nächsten Schritt der Überprüfung wird eine neue Testnachricht über die ESA gesendet, die für die Richtlinienquarantäne abgefangen wird. Wenn Sie mail_logs auf der ESA ansehen, achten Sie auf die hervorgehobene Zeile, die den Transfer von der ESA zur SMA über 7025 angibt und die die Richtlinienquarantäne angibt:

Wed Mar  5 02:57:47 2014 Info: Start MID 4 ICID 6

Wed Mar  5 02:57:47 2014 Info: MID 4 ICID 6 From: <robsherw.cisco@gmail.com>

Wed Mar  5 02:57:47 2014 Info: MID 4 ICID 6 RID 0 To: <robsherw@cisco.com>

Wed Mar  5 02:57:47 2014 Info: MID 4 Message-ID

'<7642E61C-4BA2-432E-A524-E163EA0B9753@gmail.com>'

Wed Mar  5 02:57:47 2014 Info: MID 4 Subject 'NEW FUNNY'

Wed Mar  5 02:57:47 2014 Info: MID 4 ready 525 bytes from

<robsherw.cisco@gmail.com>

Wed Mar  5 02:57:47 2014 Info: MID 4 matched all recipients for per-recipient

policy DEFAULT in the inbound table

Wed Mar  5 02:57:47 2014 Info: MID 4 enqueued for transfer to centralized

quarantine "Policy" (content filter _policy_q_in_)

Wed Mar  5 02:57:47 2014 Info: MID 4 queued for delivery

Wed Mar  5 02:57:47 2014 Info: New SMTP DCID 16 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:57:47 2014 Info: DCID 16 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:57:47 2014 Info: Delivery start DCID 16 MID 4 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:57:47 2014 Info: Message done DCID 16 MID 4 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:57:47 2014 Info: MID 4 RID [0] Response 'ok:  Message 4 accepted'

Wed Mar  5 02:57:47 2014 Info: Message finished MID 4 done

Wed Mar  5 02:57:52 2014 Info: DCID 16 close

Überprüfen Sie erneut die zuvor erwähnte Richtlinienquarantäne auf dem SMA. Die neue Testnachricht befindet sich jetzt auch unter Quarantäne:

Zugehörige Informationen

- ESA Zentralisierung von Policy, Virus und Outbreak Quarantine (PVO) kann nicht aktiviert werden

- Cisco Email Security Appliance - Benutzerhandbücher

- Technischer Support und Dokumentation - Cisco Systems