Las actualizaciones de Sophos Anti-virus en Cisco Security Appliance son diferentes de las disponibles en el sitio web de Sophos

Introducción

Este documento describe por qué las actualizaciones de Sophos Anti-Virus en el dispositivo de seguridad de Cisco son diferentes de las disponibles en el sitio web de Sophos.

Requisito previo

Cisco recomienda que tenga conocimiento sobre estos temas:

• Dispositivo de seguridad Cisco Email Security Appliance (ESA)
• Todas las versiones de AsyncOS

Background

Existen dos tipos de actualizaciones: las actualizaciones del motor de Sophos Anti-Virus y las actualizaciones de los archivos de identidad de virus de Sophos (archivos IDE).

El motor antivirus de Sophos está totalmente integrado en el sistema operativo AsyncOS. Sophos genera una nueva versión de su motor de análisis antivirus aproximadamente cada mes. La nueva versión contiene definiciones de virus actuales y cualquier cambio de código necesario para reconocer nuevos tipos de virus y solucionar problemas conocidos. A medida que se descubren virus adicionales, Sophos libera archivos de identidad de virus, denominados archivos IDE. Funcionarán con motores que tengan menos de 90 días de antigüedad.

Cisco AsyncOS gestiona automáticamente las actualizaciones de Sophos en el dispositivo C-Series. A medida que Sophos lanza nuevas versiones de su motor, Cisco las califica a través de un proceso de garantía de calidad (QA) y, a continuación, las coloca en los servidores de actualización de Cisco para que su dispositivo C-Series las descargue y actualice automáticamente. A medida que se liberan los archivos de definición de virus del IDE, estos se desplazan automáticamente a través del servicio y Sophos los coloca en los servidores de actualización de Cisco a los pocos minutos de su lanzamiento.

Las firmas de virus IDE de Sophos son válidas y funcionan con las versiones anteriores del motor. Se cargarán todos los IDE actuales y funcionarán con la versión del motor que se ejecuta en el dispositivo Cisco C-Series.

Configurar

En ocasiones, los archivos de Cisco ESA pueden parecer no estar sincronizados con los que están disponibles directamente desde Sophos. Esto puede complicarse aún más debido a la diferencia horaria entre Sophos y la mayoría de los clientes norteamericanos. El sitio web de Sophos está gestionado por la sede de Sophos, cerca de Oxford, en el Reino Unido. Las publicaciones en el sitio están fechadas con la zona horaria local, GMT. Es un poco confuso correlacionar archivos IDE de Sophos. La gran diferencia horaria no solo suele hacer que las fechas parezcan un día separadas, sino que Cisco utiliza un esquema de numeración diferente para los archivos IDE. Puede intentar encontrar la correspondencia entre estos archivos consultando el sitio IDE de Sophos para ver cuándo se publicó un IDE, así como cuántos otros se publicaron ese día y el día anterior, pero como Cisco a menudo recogerá los cambios incrementales no publicados en este sitio, este no es el método más eficiente. Cisco consulta la Web de Sophos cada 10 minutos. La configuración predeterminada de un dispositivo es consultar el sitio de descargas de Cisco cada cinco minutos. En el peor de los casos habrá un retraso de 15 minutos.

El esquema de numeración de los archivos IDE es la fecha. Por ejemplo, "Sophos IDE Rules 2004121402 Tue Dec 14 06:27:14 2004" se correlaciona con la tercera actualización (comience a contar desde cero) el 14 de diciembre, publicada aquí.

Cisco recomienda que establezca el intervalo de actualización automática de Sophos en el valor predeterminado de 15 minutos. Compruebe que Cisco le está ofreciendo actualizaciones continuas mediante la GUI en línea, en la página Servicios de seguridad ->Antivirus. Esta información también está disponible mediante el comando de CLI antivirusstatus, por ejemplo:

mail3.example.com> antivirusstatus
    SAV Engine Version        4.03
    IDE Serial                2006031503
    Last Engine Update        Tue Mar 14 01:01:49 2006
    Last IDE Update           Thu Mar 16 06:33:50 2006
    Last Update Attempt       Thu Mar 16 09:18:51 2006
    Last Update Success       Thu Mar 16 06:33:50 2006

Si sus actualizaciones no son exitosas (recibirá un mensaje de alerta si esto sucede), puede intentar una actualización manual usando el botón Update Now en la GUI, o el comando antivirusupdate CLI. El estado de la actualización se muestra en el archivo de registro del antivirus. Por ejemplo:

smtp.example.com> tailCurrently configured logs:
1. "antivirus" Module: thirdparty Format: Anti-Virus
2. "avarchive" Module: mail Format: Anti-Virus Archive
3. "bounces" Module: bounces Format: Bounces
4. "brightmail" Module: thirdparty Format: Symantec Brightmail Anti-Spam
5. "cli_logs" Module: system Format: CLI Audit Logs
6. "error_logs" Module: mail Format: IronPort Text
7. "ftpd_logs" Module: ftpd Format: IronPort Text
8. "gui_logs" Module: gui Format: IronPort Text
9. "mail_logs" Module: mail Format: IronPort Text
10. "rptd_logs" Module: rptd Format: IronPort Text
11. "sntpd_logs" Module: sntpd Format: IronPort Text
12. "status" Module: mail Format: Status Logs
13. "system_logs" Module: system Format: IronPort Text
Enter the number of the log you wish to tail.
[]> 1Press Ctrl-C to stop.
Thu Mar 16 09:08:50 2006 Info: Current IDE serial=2006031503. No update needed.
Thu Mar 16 09:13:50 2006 Info: Checking for Sophos Update
Thu Mar 16 09:13:50 2006 Info: Current SAV engine ver=4.03. No engine update needed
Thu Mar 16 09:13:50 2006 Info: Current IDE serial=2006031503. No update needed.
Thu Mar 16 09:18:50 2006 Info: Checking for Sophos Update
Thu Mar 16 09:18:50 2006 Info: Current SAV engine ver=4.03. No engine update needed
Thu Mar 16 09:18:50 2006 Info: Current IDE serial=2006031503. No update needed.
Thu Mar 16 09:23:50 2006 Info: Checking for Sophos Update
Thu Mar 16 09:23:50 2006 Info: Current SAV engine ver=4.03. No engine update needed
Thu Mar 16 09:23:50 2006 Info: Current IDE serial=2006031503. No update needed.
 ^C
smtp.example.com>