Les mises à jour antivirus Sophos sur les appareils de sécurité Cisco sont différentes de celles disponibles sur le site Web de Sophos

Introduction

Ce document explique pourquoi les mises à jour de l'antivirus Sophos sur l'appliance de sécurité Cisco sont différentes de celles disponibles sur le site Web Sophos.

Prérequis

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Appliance de sécurisation de la messagerie Cisco (ESA)
• Toutes les versions d'AsyncOS

Fond

Il existe deux types de mises à jour : les mises à jour du moteur antivirus Sophos et les mises à jour des fichiers d'identité des virus Sophos (fichiers IDE (Integrated Development Environment)).

Le moteur antivirus Sophos est entièrement intégré au système d'exploitation AsyncOS. Sophos génère une nouvelle version de son moteur d'analyse antivirus environ tous les mois. La nouvelle version contient à la fois les définitions de virus actuelles et toutes les modifications de code nécessaires pour reconnaître les nouveaux types de virus et résoudre les problèmes connus. À mesure que d'autres virus sont découverts, Sophos publie des fichiers d'identité de virus, appelés fichiers IDE. Ils fonctionneront avec des moteurs qui ont moins de 90 jours.

Les mises à jour Sophos sont gérées automatiquement par Cisco AsyncOS dans l'appliance C-Series. Lorsque Sophos publie de nouvelles versions de son moteur, Cisco les certifie par le biais d'un processus d'assurance qualité, puis les place sur les serveurs de mise à jour Cisco afin que votre appliance C-Series les télécharge et les mette à jour automatiquement. Lorsque les fichiers de définition de virus IDE sont publiés, ils sont automatiquement transférés via le service et placés sur les serveurs de mise à jour Cisco dans les minutes qui suivent leur publication par Sophos.

Les signatures de virus Sophos IDE sont valides et fonctionnent avec les versions précédentes du moteur. Tous les IDE actuels seront chargés et fonctionneront avec la version du moteur exécutée dans l'appliance Cisco série C.

Configurer

Parfois, les fichiers du Cisco ESA peuvent sembler désynchronisés par rapport à ceux disponibles directement auprès de Sophos. Cela peut être compliqué par la différence de fuseau horaire entre Sophos et la plupart des clients nord-américains. Le site Web de Sophos est géré par le siège social de Sophos près d'Oxford au Royaume-Uni. Les publications sur le site sont datées avec le fuseau horaire local, GMT. Il est un peu déroutant de corréler les fichiers IDE Sophos. Non seulement le grand décalage horaire fait souvent apparaître les dates à un jour d'intervalle, mais Cisco utilise un schéma de numérotation différent pour les fichiers IDE. Vous pouvez essayer de faire correspondre ces fichiers en consultant le site IDE de Sophos pour voir quand un IDE a été publié, ainsi que combien d'autres ont été publiés ce jour-là et la veille, mais comme Cisco ramasse souvent les modifications incrémentielles non publiées sur ce site, ce n'est pas la méthode la plus efficace. Cisco interroge le site Web de Sophos toutes les 10 minutes. Le paramètre par défaut d'une appliance consiste à interroger le site de téléchargement Cisco toutes les cinq minutes. Dans le pire des cas, il y aura un délai de 15 minutes.

Le schéma de numérotation des fichiers IDE est la date. Par exemple, "Sophos IDE Rules 2004121402 Tue Dec 14 06:27:14 2004" correspond à la troisième mise à jour (début du comptage à partir de zéro) du 14 décembre, publiée ici.

Cisco recommande de définir l'intervalle de mise à jour automatique Sophos sur le paramètre par défaut de 15 minutes. Vérifiez que vous recevez des mises à jour continues de Cisco à l'aide de l'interface utilisateur graphique Web, sur la page Security Services->Anti-Virus. Ces informations sont également disponibles à l'aide de la commande CLI antivirusstatus, par exemple :

mail3.example.com> antivirusstatus
    SAV Engine Version        4.03
    IDE Serial                2006031503
    Last Engine Update        Tue Mar 14 01:01:49 2006
    Last IDE Update           Thu Mar 16 06:33:50 2006
    Last Update Attempt       Thu Mar 16 09:18:51 2006
    Last Update Success       Thu Mar 16 06:33:50 2006

Si vos mises à jour échouent (si cela se produit, vous recevrez un message d'alerte), vous pouvez essayer une mise à jour manuelle à l'aide du bouton Update Now dans l'interface graphique utilisateur ou de la commande antivirusupdate CLI. L'état de la mise à jour est affiché dans le fichier journal de l'antivirus. Exemple :

smtp.example.com> tailCurrently configured logs:
1. "antivirus" Module: thirdparty Format: Anti-Virus
2. "avarchive" Module: mail Format: Anti-Virus Archive
3. "bounces" Module: bounces Format: Bounces
4. "brightmail" Module: thirdparty Format: Symantec Brightmail Anti-Spam
5. "cli_logs" Module: system Format: CLI Audit Logs
6. "error_logs" Module: mail Format: IronPort Text
7. "ftpd_logs" Module: ftpd Format: IronPort Text
8. "gui_logs" Module: gui Format: IronPort Text
9. "mail_logs" Module: mail Format: IronPort Text
10. "rptd_logs" Module: rptd Format: IronPort Text
11. "sntpd_logs" Module: sntpd Format: IronPort Text
12. "status" Module: mail Format: Status Logs
13. "system_logs" Module: system Format: IronPort Text
Enter the number of the log you wish to tail.
[]> 1Press Ctrl-C to stop.
Thu Mar 16 09:08:50 2006 Info: Current IDE serial=2006031503. No update needed.
Thu Mar 16 09:13:50 2006 Info: Checking for Sophos Update
Thu Mar 16 09:13:50 2006 Info: Current SAV engine ver=4.03. No engine update needed
Thu Mar 16 09:13:50 2006 Info: Current IDE serial=2006031503. No update needed.
Thu Mar 16 09:18:50 2006 Info: Checking for Sophos Update
Thu Mar 16 09:18:50 2006 Info: Current SAV engine ver=4.03. No engine update needed
Thu Mar 16 09:18:50 2006 Info: Current IDE serial=2006031503. No update needed.
Thu Mar 16 09:23:50 2006 Info: Checking for Sophos Update
Thu Mar 16 09:23:50 2006 Info: Current SAV engine ver=4.03. No engine update needed
Thu Mar 16 09:23:50 2006 Info: Current IDE serial=2006031503. No update needed.
 ^C
smtp.example.com>