Sommario

Introduzione

Prerequisiti

Configurazione

Verifica

Informazioni correlate

Introduzione

Le seguenti quarantene possono ora essere collettivamente centralizzate su una appliance Cisco Security Management Appliance (SMA):

- Antivirus

- Epidemia

- Quarantene criteri utilizzate per i messaggi intercettati da:

- Filtri messaggi

- Filtri dei contenuti

- Politiche di prevenzione della perdita dei dati

La centralizzazione di queste quarantene offre i seguenti vantaggi:

- Gli amministratori possono gestire i messaggi in quarantena da più appliance ESA (Email Security Appliance) in un'unica posizione.

- I messaggi in quarantena vengono archiviati dietro il firewall anziché nella DMZ, riducendo i rischi per la sicurezza.

- È possibile eseguire il backup delle quarantene centralizzate come parte della funzionalità di backup standard dell'SMA.

Prerequisiti

- SMA in esecuzione 8.1 (Guida per l'utente SMA, Capitolo 8, Criteri centralizzati, Virus e quarantene di epidemie)

- ESA in esecuzione 8.0.1 (Guida dell'utente ESA, Capitolo 27, Quarantene)

- Firewall - porta 7025 / TCP (entrata e uscita) / uso nome host: IP AsyncOS / Descrizione: trasferimento dei dati di quarantena relativi a criteri, virus ed epidemie tra Email Security Appliance e Security Management Appliance quando questa funzionalità è centralizzata

Configurazione

A partire dall'ESA, in una quarantena delle politiche esistente, sono presenti messaggi attivi nella quarantena delle politiche:

Per eseguire la migrazione di questi messaggi e quindi fare affidamento sull'SMA come appliance attiva proprietaria della quarantena delle policy, attenersi alle istruzioni riportate di seguito.

Nell'SMA, passare a Management Appliance > Centralized Services > Policy, Virus and Outbreak Quarantines (Appliance di gestione > Servizi centralizzati > Quarantene criteri, virus ed epidemie). Se non è già abilitato, fare clic su Abilita:

Selezionare l'interfaccia, se applicabile, destinata a gestire il traffico dall'ESA allo SMA.

Nota: La porta di quarantena può essere modificata, ma sarà necessario aprirla se è presente un firewall o un ACL di rete.

Fare clic su Invia. La schermata viene aggiornata per mostrare il Servizio abilitato messaggio, visto di seguito:

Passare a Management Appliance > Centralized Services > Security Appliance e aggiungere la comunicazione ESA all'SMA:

Fare clic su Add Email Appliance (Aggiungi accessorio di posta elettronica).

Nota: È sufficiente aggiungere l'indirizzo IP che l'SMA utilizzerà per comunicare con l'ESA. Il nome dell'accessorio viene utilizzato solo come riferimento amministrativo.

Accertarsi di stabilire la connessione e di verificarla. Una volta stabilita la connessione tra l'SMA e l'ESA, vengono richiesti il nome utente e la password dell'amministratore. Si tratta dell'utente amministrativo e della password dell'ESA che viene aggiunta. I risultati del test possono variare in base all'elemento già attivo e all'elemento aggiunto, ma devono essere simili ai seguenti:

A questo punto, inviare e confermare le modifiche sullo SMA.

In questo momento, se si dovesse rivisitare l'ESA e tentare di configurare la sezione Servizi centralizzati della quarantena politica, sarebbe simile a quanto segue:

Le fasi di migrazione devono essere ancora completate nell'SMA. Tornare all'SMA e continuare con la sezione seguente.

Avviare la Migrazione guidata al termine del commit delle modifiche? del passaggio 2 diventerà attivo:

Selezionare Avvia migrazione guidata e continuare come segue:

Se è necessario migrare solo una particolare quarantena, scegliere Personalizzata. In questo esempio, proseguiremo con Automatic, che migrerà ANY/ALL Policy Quarantines dall'ESA all'SMA. Notare che vedrete il nome specificato scelto durante l'aggiunta dell'ESA menzionata in precedenza, seguito dall'indirizzo IP usato nella comunicazione:

Fare clic su Avanti e continuare:

Infine, fare clic su Submit (Invia) per visualizzare la notifica di esito positivo:

Eseguire il commit delle modifiche nell'SMA.

Per tornare all'ESA, selezionare Security Services > Policy, Virus and Outbreak Quarantines (Servizi di sicurezza > Quarantene di policy, virus ed epidemie). I prerequisiti dell'SMA sono ora riconosciuti:

Fare clic su Enable? e continuare:

Notare che anche in questo caso viene rilevata la porta corretta utilizzata per la comunicazione. Queste devono corrispondere e, se si usa un ACL firewall/di rete, devono essere aperte per consentire la corretta migrazione tra l'ESA e l'SMA.

Nota: se su un'ESA sono state configurate quarantene per policy, virus ed epidemie, la migrazione delle quarantene e di tutti i relativi messaggi inizia non appena si esegue il commit della modifica.

Nota: è possibile eseguire un solo processo di migrazione alla volta. Non attivare la quarantena centralizzata di policy, virus ed epidemie su un altro dispositivo di sicurezza e-mail fino al completamento della migrazione precedente.

Fare clic su Invia e infine su Conferma. La notifica informativa dovrebbe essere simile. Se sono presenti numerosi messaggi già in quarantena locale, l'elaborazione dall'ESA all'SMA potrebbe richiedere del tempo:

Rivedere l'SMA e selezionare Management Appliance > Centralized Services > Policy, Virus and Outbreak Quarantines (Appliance di gestione > Servizi centralizzati > Quarantene criteri, virus ed epidemie). A questo punto, le operazioni di migrazione saranno completate:

Verifica

Al momento, la migrazione della quarantena politica dall'ESA all'SMA è completa. Per la verifica finale, controllare la quarantena della policy sull'SMA:

Dovrebbero essere visualizzati gli stessi messaggi originariamente elencati nell'ESA. Selezionare il collegamento ipertestuale # nella colonna messaggi e verificare:

Se si guardano i mail_logs sull'ESA, la migrazione dei messaggi effettivi sarà presentata:

Nota: notare l'uso della comunicazione tra ESA (XX.X.XX.XXX) e SMA (YY.Y.YY.YYY) tramite la porta 7025.

Wed Mar  5 02:48:40 2014 Info: New SMTP DCID 2 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:48:40 2014 Info: DCID 2 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:49:52 2014 Info: New SMTP DCID 3 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:49:52 2014 Info: DCID 3 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:22 2014 Info: New SMTP DCID 4 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:22 2014 Info: DCID 4 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:23 2014 Info: New SMTP DCID 5 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:23 2014 Info: DCID 5 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:40 2014 Info: New SMTP DCID 6 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:40 2014 Info: DCID 6 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:41 2014 Info: New SMTP DCID 7 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:41 2014 Info: DCID 7 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:50:42 2014 Info: New SMTP DCID 8 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:50:42 2014 Info: DCID 8 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:01 2014 Info: New SMTP DCID 9 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:01 2014 Info: DCID 9 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:01 2014 Info: CPQ listener cpq_listener starting

Wed Mar  5 02:51:01 2014 Info: New SMTP DCID 10 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:01 2014 Info: DCID 10 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 11 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 11 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: MID 1 enqueued for transfer to centralized quarantine

"Policy" (content filter _policy_q_in_)

Wed Mar  5 02:51:02 2014 Info: MID 1 queued for delivery

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 12 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 12 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: Delivery start DCID 12 MID 1 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:51:02 2014 Info: MID 2 enqueued for transfer to centralized quarantine

"Policy" (content filter _policy_q_in_)

Wed Mar  5 02:51:02 2014 Info: MID 2 queued for delivery

Wed Mar  5 02:51:02 2014 Info: MID 3 enqueued for transfer to centralized quarantine

"Policy" (content filter _policy_q_in_)

Wed Mar  5 02:51:02 2014 Info: MID 3 queued for delivery

Wed Mar  5 02:51:02 2014 Info: Message done DCID 12 MID 1 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:51:02 2014 Info: MID 1 RID [0] Response 'ok:  Message 1 accepted'

Wed Mar  5 02:51:02 2014 Info: Message finished MID 1 done

Wed Mar  5 02:51:02 2014 Info: MID 1 migrated from all quarantines

Wed Mar  5 02:51:02 2014 Info: Delivery start DCID 12 MID 2 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 13 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 13 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 14 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 14 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:02 2014 Info: Message done DCID 12 MID 2 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:51:02 2014 Info: MID 2 RID [0] Response 'ok:  Message 2 accepted'

Wed Mar  5 02:51:02 2014 Info: Message finished MID 2 done

Wed Mar  5 02:51:02 2014 Info: MID 2 migrated from all quarantines

Wed Mar  5 02:51:02 2014 Info: Delivery start DCID 12 MID 3 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:51:02 2014 Info: Message done DCID 12 MID 3 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:51:02 2014 Info: MID 3 RID [0] Response 'ok:  Message 3 accepted'

Wed Mar  5 02:51:02 2014 Info: Message finished MID 3 done

Wed Mar  5 02:51:02 2014 Info: MID 3 migrated from all quarantines

Wed Mar  5 02:51:02 2014 Info: New SMTP DCID 15 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:51:02 2014 Info: DCID 15 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:51:07 2014 Info: DCID 12 close

Rivedere l'ESA, e quanto segue è ora presentato quando si visualizza la politica, virus, epidemie quarantene:

Il passo successivo della verifica è l'invio di un nuovo messaggio di prova attraverso l'ESA che sarà preso in quarantena. Osservando mail_logs sull'ESA, notate la riga evidenziata che indica il trasferimento dall'ESA all'SMA tramite 7025, che indica la Quarantena della Politica:

Wed Mar  5 02:57:47 2014 Info: Start MID 4 ICID 6

Wed Mar  5 02:57:47 2014 Info: MID 4 ICID 6 From: <robsherw.cisco@gmail.com>

Wed Mar  5 02:57:47 2014 Info: MID 4 ICID 6 RID 0 To: <robsherw@cisco.com>

Wed Mar  5 02:57:47 2014 Info: MID 4 Message-ID

'<7642E61C-4BA2-432E-A524-E163EA0B9753@gmail.com>'

Wed Mar  5 02:57:47 2014 Info: MID 4 Subject 'NEW FUNNY'

Wed Mar  5 02:57:47 2014 Info: MID 4 ready 525 bytes from

<robsherw.cisco@gmail.com>

Wed Mar  5 02:57:47 2014 Info: MID 4 matched all recipients for per-recipient

policy DEFAULT in the inbound table

Wed Mar  5 02:57:47 2014 Info: MID 4 enqueued for transfer to centralized

quarantine "Policy" (content filter _policy_q_in_)

Wed Mar  5 02:57:47 2014 Info: MID 4 queued for delivery

Wed Mar  5 02:57:47 2014 Info: New SMTP DCID 16 interface XX.X.XX.XXX address

YY.Y.YY.YYY port 7025

Wed Mar  5 02:57:47 2014 Info: DCID 16 TLS success protocol TLSv1 cipher RC4-SHA

the.cpq.host

Wed Mar  5 02:57:47 2014 Info: Delivery start DCID 16 MID 4 to RID [0] to Centralized

Policy Quarantine

Wed Mar  5 02:57:47 2014 Info: Message done DCID 16 MID 4 to RID [0] (centralized

policy quarantine)

Wed Mar  5 02:57:47 2014 Info: MID 4 RID [0] Response 'ok:  Message 4 accepted'

Wed Mar  5 02:57:47 2014 Info: Message finished MID 4 done

Wed Mar  5 02:57:52 2014 Info: DCID 16 close

Rivedere la precedente messa in quarantena delle policy sull'SMA, il nuovo messaggio di prova è ora in quarantena:

Informazioni correlate

- Non è possibile abilitare la policy di centralizzazione ESA, la quarantena per virus ed epidemie (PVO)

- Cisco Email Security Appliance - Guide per l'utente

- Documentazione e supporto tecnico – Cisco Systems