Forefront UAG 2010 için management pack;

http://www.microsoft.com/downloads/details.aspx?FamilyID=fb864a15-ea6c-4801-a312-15c3b4d2ade7&displayLang=en

UAG product group UAG 2010 için ilk update paketini yayınladı.Bu paketle birlikte bizi neler bekliyor inceleyelim;

Remote Desktop access from Windows Vista and Windows XP: Windows Vista ve Windows XP clientlar artık Forefront UAG ile publish edilmiş RemoteApps ve Remote Desktops e erişim sağlayabilirler.

Support for Microsoft SharePoint Server 2010: Forefront UAG üzerinde SharePoint Server 2010 desteği.

Support for site cookies: Forefront UAG domain cookie desteği yanında artık site cookilerinide destekliyor.

Support for large CustomUpdate files:  CustomUpdate dosyaları 1.5 GB değerine kadar destekleniyor.

Changes in Group Policy Object (GPO) provisioning for DirectAccess clients: Update 1 öncesi oluşturulan policy sadece direct access clientlar yerine authentication clientlara uygulanıyordu.Bu davranış fix edilmiş.

Download için;

www.microsoft.com/downloads/details.aspx?FamilyID=a862c57f-5c27-4cd0-8528-91b3cc5cd758&displaylang=en#filelist

16 eylülden itibaren Forefront Client Security ürününüz için Service Pack 1′indirebilirsiniz.Service Pack 1 ile birlikte;

• Windows Server 2008 ve Core edition için Agent koruması
• FCS server komponentleri için Windows Server 2008 üzerinde Server Role desteği
• Windows Server 2008 üzerinde FCS Enterprise Manager
• Hyper-V üzerinde Agent koruması
• Cluster sunucular üzerinde Agent koruması
• Nap Entegrasyonu

desteği geliyor.

SP1 kurulumu için öncelikle FCS kurulumunu gerçekleştirip Windows Update üzerinden SP1′i çekebilirsiniz.

Hayatımıza yeni giren forefront ailesininde yeni sürümü olan stirling içerisindeki tüm ürünleri denemek istiyorsanız aşağıdaki linkte toplam 16gb’lık bir VHD bulunuyor.Bu VHD içerisinde;

Forefront for exchange

Forefront Thread Management Gateway

Forefront Code Name Stirling

Vista Client

Forefront for Sharepoint

makinaları hazır olarak gelmekte.Harika bir lab ortamı oluşturabilirsiniz.VHD’leri download için

http://www.microsoft.com/downloads/details.aspx?FamilyID=d4c3410f-11f0-42b8-9da7-b826d243536b&DisplayLang=en

Sisteminizde Forefront Client Security kullanıyor olabilirsiniz.Bu yeni teknolojileri yakından     takip ettiğiniz anlamına gelir.Çünkü FCS yeni bir ürün sayılır.O zaman Server 2008 ile birlikte duyurulan NAP(Network Access Protection)’da size yabancı gelmeyecektir.Nap ile ilgili aşağıdaki yazı inceleyebilirsiniz.

http://www.anilerduran.com/index.php/2007/nap-network-access-protection/

O zaman güvenliği en üst düzeyde sağlamak için şöyle birşey aklımıza gelsin.

“Hem forefront Client Security ile koruma sağlarken,NAP ile bu korumayı monitor etmek aynı zamanda bu koruma için çeşitli health policyler hazırlamak istiyorum.”

Yayınlanan bu ıntegration kit içerisinde bulunan System Health Validator (SHV) ile, FCS tarafından yönetilen bilgisayarlarınız için policy oluşturabilirsiniz.Örneğin FCS, xxx bilgisayarında yüklü olmalı,aynı zamanda çalışıyor olmalı,birde tarama motorlarının signatureları güncel olmalı.Ancak bu özelliği sağlayabilen bilgisayarlar networküme girebilsin.

Eğer FCS ve NAP’ı birlikte kullanarak arttırılmış bir güvenlik düşünüyorsanız buradaki adresten download sayfasına ulaşabilirsiniz.

Forefront Security For Exchange Server ile ilgili birkaç makale yayınladım.Aynı şekilde devamda edicek.Yalnız kurulum ile ilgili bir yönergenin blogumda bulunmadığını anladım.Çok ayrıntıya girmeden kısaca forefront for Exchange server kurulumunu inceleyelim.

Öncelikle http://technet.microsoft.com/tr-tr/bb738109(en-us).aspx adresinden SP1′li versiyonu indirerek setup.exeyi çalıştırırız.

Welcome ekranını next ile geçeriz.

Lisans anlaşmasını kabul ederiz.

Kendimize ait bilgileri gireriz.

Bu bölümde Local yada remote installation seçeneklerinden birini seçebiliriz.Local installation setup.exe’nin çalıştırıldığı makine üzerine kurulumu sağlamaktadır.Eğer uzak bir sunucuda kurulum yapmak istiyorsak remote installation seçeneğini seçerek sunucu ismi ile browse ederek kurulumu gerçekleştirebiliriz.

Bu ekranda sadece management konsolu yada tüm componentleri yükleyebiliriz.Yeni kurulum yaptığımız için full installation seçeriz.

Burada da iki seçeneğimiz var.Secure Mod altındayken hali hazırda karantina altında bulunan dosyalarımız var ise tekrardan virus taramasından geçecektir.Compatibility Mod altında ise bu işlem gerçekleşmeyecektir.

Bu ekranda forefront for exchange server için tarama aşamasında kullanacağımız motorları seçebiliriz.Varsayılan olarak Microsoftun kendi motoru ekli gelmektedir.Bunun üzerine 4 adet daha seçeriz.Aynı işlemleri kurulumu gerçekleştirdikten sonra konsol içerisindende gerçekleştirebiliriz.

Eğer yapımızda proxy ile dışarıya çıkıyorsak gerekli bilgileri gireriz.

Kurulum dizinini belirtiriz.

Uyguladığımız ayarların bir özeti.Next işle devam ederiz.

Kurulum gerçekleşiyor.

Kurulum sırasında bazı exchange servislerinin yeniden başlatılması istenebilir.

Ve kurulum tamamlandı.

Kurulumdan sonra seçilen motorların internet üzerinde güncellenmesi gerekmektedir.

Forefront güvenlik ailesi ile birlikte sunulan ürünlerden biride Forefront Security For Exchange Server’dır.Server Security kategorisi altında sharepoint ve exchange koruması için ürretilmiş ürünlerden birisi olan Forefront For Exchange ile aynı anda güvenilirliğini kanıtlamış birden fazla tarama motorunu kullanabilir,gerçek zamanlı ve zamanlanmış taramalar oluşturabilir,farklı kriterlere göre filtrelemeler yaparak Exchange güvenliğinde bir adım önde olabiliriz.

Bu yazımıda Forefront Security for Exchange ürünü içerisinde bulunan filtering özelliğini inceleyeceğiz. Temel olarak filtering mekanizması tarafımızdan hazırlanan listeler yardımıyla işlev görmektedir.5 ana başlık altında filter listler hazırlayabiliriz.İsterseniz her bir filtering mekanizmasını örnek uygulamalarla inceleyelim.

FILE FILTERING

Forefront Security For Exchange Server file filtering özelliği sayesinde mailler ile birlikte gelen attachmentleri boyutlarına,ismine yada türüne göre ayırabilir ve belirli kısıtlamalar getirebiliriz.Bu kısıtlamalar için standart actionlar yerine farklı farklı actionlarda tanımlayabiliriz.Örneğin varolan ekli dosyanın direk silinmesi,rapor edilmesi yada karantiye alınması gibi.Bunun dışında File filtering özelliği sadece maillerden değil aynı zamanda Outlook içindeki diğer componentlerden de (tasks/schedules) sorumludur.Şimdi örnek bir uygulama için bir file filtering oluşturup clientlar üzerindeki yansımalarına bakalım.

File filtering oluşturmak için

- Forefront Server Security Administrator konsolu içerisinde soldaki navigasyon menusunden FILTERING’i seçerek File’a tıklarız.

-Transport Scan Job için bu ayarı aktif etmek istediğimiz için yukarıdan seçimi yaparak aşağıdaki bölüme geçeriz.

Forefront Security for Exchange Server’da genel olarak göreceğimiz şekilde File Names bölümü altındaki ADD butonuna basarak çeşitli dosya tiplerini belirleyebiliriz.Burada çeşitli uzantılar kullanarak dosya kısıtlaması gerçekleştireceğiz.Bunun yanında eklentileri boyutlarına görede sınırlandırma imkanımız bıulunmaktadır.Bunun için herhangi bir arayüz görülmemesine rağmen uzantı eklentisi sırasında kullanacağımız (=, >, <, >=, <=) karakterleri ile bunu gerçekleştirebiliriz.Örneğin 50kb’dan daha büyük bir jpg dosyasını file names kısmına eklemek için aşağıdaki gibi bir girdi oluşturabiliriz.

Peki burada kullanabileceğimiz diğer değişkenler neler olabilir?

*karakteri ile belirttiğimiz uzantıdaki tüm dosyaları seçebiliyoruz.

? karakteri ile belirli bir kısımdan sonraki karakterleri belirtebiliriz.Örneğin virus?.exe şeklinde girdi yaparsak FSE virusa.exe yada virusb.exe gibi değişkenleri yakalayacaktır.Yalnız virus.exe’nin kendisini yakalamaz.

[set] şeklinde bir dizi karakteri belirtmek için kullanabiliriz.Örneğin yukarıdaki örnekten gidersek virus[a-n] dersek virusa.exe’den virusn.exe’ye kadarki karakterleri dikkate alacaktır.

Bunun yanında <in> ve <out> komutlarını kullanabiliriz.Dosya tipinden önce <in> kullanırsak Forefront sadece inbound mesajlara <out> kullanırsak sadece outbound mesajlara bakacaktır.

Bunların dışında sol tarafta gördüğümüz File Types bölümünden de belirli dosya tiplerini seçebiliriz.Varsayılan olarak bunların hepsi seçili gelmektedir.Görüldüğü gibi kısıtlama mekanızması için birçok varyasyon kullanabiliyoruz.

Şimdi belirttiğimiz kriterde ekli dosya yakalandığında yapılması gereken action’ı belirlicez.Bunu sağ taraftaki action bölümünden gerçekleştirebiliriz.Buranın seçilebilir olması için File Filter:Enabled yapmayı unutmayalım.

Görüldüğü gibi action kısmında 4 seçeneğimiz var.

Skip:Detect Only Dosya üzerine herhangi bir yaptırım uygulanmadan loglama yapılacaktır.

Delete:Remove Contents Ekli dosya belirtilen kriterlere uyuyorsa silinecektir.

Purge: Eliminate Message Varolan ekli dosya gelen mesajla birlikte silinecektir.Bu seçeneği seçersek bize aşağıdaki gibi bir uyarı çıkabilir.

Identify: Tag Message Bu seçeneği seçtiğimizde herhangi bir silim işlemi olmaz ama gelen mesajın header yada subject kısmına belirlenen bir uyarı eklenir.Varsayılan olarak bu uyarı SUSPECT’dir.

Bu ayarların altndaki send notifications kısmı seçili ise kısıtlama gerçekleştiğinde bu kullanıcıya bildirilir.Şimdi örnek olarak 50kb üstü jpg dosyaları yakalandığında mesajın headerını taglaması için gerekli seçeneği seçelim.Şimdi clientlardan bir tanesi 50kb’dan büyük jpg dosyası gönderdiğinde mesaj yerine ulaşacak ama header bilgisinde SUSPECT tagi eklenecektir.

Aynı şekilde bu tag bilgisinide değiştirmek isteyebiliriz.Bunun için soldaki navigasyon menusunden settings/scan job altına gelerek alt kısımdaki tag text’e tıklamamız yeterli.Buraya istediğimiz kelimeyi girebiliriz

Şimdi clientlar arasında 50 kb’den büyük bir mail alışverişi gerçekleştirip forefront’un bizim için neler yaptığına bakalım.

Görüldüğü gibi mailde belirttiğimiz kriterleri bulan Forefront mail subjectini tagleyerek maili alıcıya gönderdi.

KEYWORD FILTERING

Forefront üzerindeki genel filtreleme mantığını görmüş olduk.Diğer filtering çeşitleride aynı temeli kullanarak çalışmaktadır.Bir diğer filtering özelliğide keyword filtering.Bu özellik sayesinde forefront maillerin içeriğine bakarak içerisinde geçen kelimelere dayanarak yasaklama yapabiliyor.Bu özellik ile çalışmak istersek;

-Sağdaki navigasyon menusunden Filter List’e girerek Keywords’e tıklarız.

Burada forefront’un durdurmasını istediği kelimelerle ilgili bir liste hazırlayacağız.Bunun için add’e basarız.

Görüldüğü gibi bu ekranda biraz önce oluşturduğumuz liste için ilgili kelimeleri ekliyoruz.Sol taraftaki kelimeler filtrelemeye dahil olanlar ,sağ taraftakiler ise filtrelemeye dahil olmayanlar.sağ taraftaki exclude listesini kullanmamızın sebebi,ileriki zamanda yanlışlıkla bloklanabilecek kelimeleri önceden buraya dahil ederek filtreleme haricinde bırakmak.Aynı zamanda daha önceden oluşturduğumuz listeleri import ile içeri alabilir yada şu anda oluşturduğumuz listeyi sonra kullanmak amacıyla export edebiliriz.

İlgili kelimeleri ekledikten sonra OK ile pencereyi kapatırız.

Şimdi yine soldaki menuden FILTERING altındaki keyword’u seçeriz.Aşağıdaki bölümde biraz önce oluşturduğumuz listeyi görmemiz gereklidir.

Sağ taraftan kuralı enabled yaparak aynı şekilde durum karşısında ne tür bir action yapılacağını seçeriz.Alt taraftaki save ile ayarlarımızı kaydettiğimizde artık oluşturduğumuz wordlist içerisindeki kelimeler mailde geçtiği takdirde belirttiğimiz action uygulanacaktır.

Ben uygulama olarak aynı şekilde Subject kısmını taglemesini belirterek clientlar arasında mail alışverişini sağladım.Oluşturduğum listedeki kumar kelimesini mail içeriğinde kullanarak neler olduğunu gözlemleyelim.

Görüldüğü gibi şimdi de forefront maildeki kelimeleri tarayarak uygun kriterleri bulduğunda belirttiğimiz action’u gerçekleştirdi.

CONTENT FILTERING

Content filtering özelliği sayesinde organizasyonumuza giren ve çıkan mailleri kontrol edebiliriz.Bu özellik sayesinde mailleri 2 kritere göre filtreleyebiliyoruz.Bunlar:

* Sender-domains filtering (Realtime ve Manual scan için geçerlidir.)

* Subject line filtering (Realtime ve Manual scan için geçerlidir.)

Şimdi isterseniz bu 3 filtreleme teknolojisini inceleyelim.

Sender-domains filtering

Önceki exchange verisyonlarından da hatırlayacağımız bir özellik olan sender-domain filter sayesinde mailleri gönderen kişilere/domainlere göre filtreleyebiliyoruz.Yani bu filtrelemede bizi ilgilendiren kısım maillerin “œfrom” kısmı.Sender-domains filtring oluşturmak için:

- Sol taraftaki FILTERING bölümünden Content’i seçeriz.

- Yukarıdaki bölümden realtime yada manual seçeneklerinden birini seçebiliriz.Yukarıda da belirttiğimiz gibi bu özellik transport scan için geçerli değildir.

- Alt taraftaki Content Fields alanında Sender-Domains’i seçeriz.

- ADD butonuna basarak ilgili kısıtlama getireceğimiz domainleri gireriz.domain ekleme sırasında wildcard kullanarak komple bir domain için kısıtlama getirebileceğimiz gibi username@domain.com şeklinde giriş yaparak belirli bir domaindeki belirli bir kullanıcı için filtreleme uygulanmasını sağlayabiliriz.

Yukarıdaki konfigurasyonda iki çeşit giriş yaptık.Bunlardan ilkinde anilerduran.com domaininden gelen tüm mailler filtrelemeye takılacaktır.İkincisinde ise sadece anilerduran@hotmail.com adresi filtrelemeye tabi tutulmuştur.

Diğer filtering özelliklerinde olduğu gibi burada da filter’ı enable haline getirip ilgili action’u seçerek filtrelemeyi kaydederiz.

Subject Line Filtering

Subject line filtering özelliğinde ise adından da anlaşıldığı gibi maillerin yalnızca subject kısmındaki bilgiye göre filtreleme gerçekleştirebiliyoruz.

Bu işlemi gerçekleştirmek içn Content penceresindeyken alt kısımda Sender-Domains yerine Subject Lines’ı seçeriz.ADD butonunu kullanarak subject kısmında filtrelemeye tabi tutmak istediğimiz kelimeleri gireriz ve aynı şekilde istediğimiz action’u seçerek kaydederiz.

Bu iki filtreleme özelliğinde karşımıza çıkan bir diğer özellikte yine önceden hazırladığımız listeleri kullanabiliyor olmamız.Soldaki FILTERING tabından filter lists altına girdiğimizde

Sender domains ve Subject Lines seçeneklerini görebiliyoruz.Bu alanları seçerek ADD ile listeler oluşturabilir,önceden oluşturduğumuz listeleri import edebiliriz.Bu işlemden sonra Tekrar Content penceresine gelip Lists’e tıkladığımızda oluşturduğumuz listeleri görüntüleyebilir ve kullanabiliriz.

Bu şekilde liste halinde kullanmamızın bir diğer getiriside şudur.Örneğin bir domainden gelen mailleri sadece bir kullanıcı hariç engellemek istiyorsunuz.O zaman Liste oluştururken include ve exclude menulerini kullanabilirsiniz.

Örneğin yukarıdaki filtrelemeden anilerduran.com’dan gelen mailler kısıtlanmış yalnız admin@anilerduran.com adresi hariç tutulmuştur.(exclude)

ALLOWED SENDERS

Forefront Security For Exchange Server filtreleme özelliklerinin sonuncusu allowed senders.Peki ne zaman kullanabiliriz Allowed senders’ları.

Yapımıza göre birçok kural oluşturduğumuzu düşüneli.Kimi domainleri komple yasakladık.Kimi adreslerden resim gelmesini engelledik.Belirli kelimeler için filtreler oluşturduk.Yalnız kullandığımız öyle adresler varki,Exchange’e ulaştığında hiçbir filtrelemeye takılmadan tüm kısıtlamaları aşarak içeriye girebilmesi gerekiyor.İşte böyle durumlarda Allowed Senders’ı kullanabiliriz.Forefront mailleri kontrol ederken adrese göre onun Allowed Senders içerisinde olup olmadığını kontrol eder.Eğer değilse kurallara göre geçiş izni verir.Ama eğer bu listede bulunuyorsa tüm kısıtlamaları bypass ederek maili içeriye alır.

Allowed Senders listesi oluşturmak için;

- FILTERING bölümünden Filter List’e tıklarız.

- Allowed Sender’ı seçerek ADD “˜e basarız.Açılan pencerede önceki filtrelemelerde de gördüğümüz listeleme penceresi açılır.Bu pencerede güvenli mail adreslerini girerek listemizi oluştururuz.Aynı şekilde *.domain şeklinde giriş yaparak bu dmoainden gelen tüm mailleri güvenli olarak işaretleyebiliriz.

Şimdi FILTERING tabında allowed Senders’a tıklayarak oluşturduğumuz listeyi görebiliriz.Aynı şekilde ilgili action’u seçerek kuralımızı oluşturabiliriz

Kaydetmeden önce Skip Scanning for kısmınada dikkat etmemiz gerekli.Burada oluşturuduğumuz listenin hangi filtrelemelere takılmadan geçebileceğini seçiyoruz.Eğer iki tick’ide kaldırırsak otomatik olarak Link State disable olacaktır.

Forefront Security For Exchange Server ile bu şekilde filtrelemeler oluşturarak güvenliği sadece tarama motorlarına bırakmayarak ,kendimizde sınırları belirleyebiliriz.Son olarak kullanıcılara geri döndürülen mesajlarda yada hata kodlarında kullanabileceğimiz forefront tarafından tanınan değişkenleri aşağıda bulabilirsiniz.

%Company% Organizasyonunuzun ismi

%EBccAddresses% External Bcc adresleri

%EBccNames% External Bcc isimleri.

%ECcAddresses% External Cc adresleri

%ECcNames% External Cc isimleri

%ERAddresses% External recipient adresleri

%ERNames% External recipient isimleri

%ESAddress% External sender adresleri

%ESName% External sender isimleri

%File% Detect deilen dosyanın ismi

%Filter% Dosyayı detect eden filtrenin ismi

%IBccAddresses% Internal Bcc adresleri

%IBccNames% Internal Bcc isimleri

%ICcAddresses% Internal Cc adresleri.

%ICcNames% Internal Cc isimleri.

%IRAddresses% Internal recipient adresleri.

%IRNames% Internal recipient isimleri.

%ISAddress% Internal sender adresleri.

%ISName% Internal sender isimleri

%Message% Mesajın Subject bölümü

%MIME% MIME Header.

%ScanJob% Çalışan tarama görevinin ismi

%Server% Filtreleme yapılan yada şüpheli dosya bulunan sunucunun ismi

%State% Bulunan dosyanın akibeti.Silindi-karantinaya alında vb..

%Virus% Virusun ismi

%VirusEngines% Virus bulan tüm tarama motorlarının ismi

Bildiğimiz gibi artık Microsoft ,Forefront ismi altında farklı güvenlik çözümlerini biraraya getirerek sunuyor.Farklı güvenlik çözümlerinin neler olduğuna bakarsak;

-Forefront Client Security

-Forefront Server Security

-ForeFront Security for Exchange

-ForeFront Security for SharePoint

-Antigen

Forefront Edge Security

-Internet Security and Acceleration Server 2006

-IAG (Internet Application Gateway)

Görüldüğü gibi Microsoft piyasa sürdüğü bu aile ile eksiksiz bir güvenlik ağı oluşturuyor.Bu yazımızda Kurumsal masaüstü ve dizüstü bilgisayarlar ve sunucu işletim sistemleri için yönetimi ve kullanımı kolay birleştirilmiş virüs ve casus yazılım koruması olan Forefront Client Security ürününün kurulumunu ve temel konfigurasyonlarını inceleyeceğiz.

Forefront ailesi ile birlikte sunulan Forefront Client Security ile;

Kötü amaçlı yazılımlara karşı birleştirilmiş koruma sağlayabiliriz.

Varolan altyapımıza(Active Directory sunucu sistemleri) kolayca entegre edebiliriz.

Aynı zamanda Forefront Client Security Microsoft tarafından desteklenen tüm işletim sistemleri ile uyumludur ve entegre edilmiş raporlama sistemine sahiptir.Updateler WSUS aracılığı ile Windows Update’den indirilir.

Öncelikle Forefront Client Security yüklemesine geçmeden önce ön hazırlıklarımızı tamamlamalıyız.Ön hazırlıkları aşağıdaki sıraya göre tamamlamamız gerekli.(Bu aşamaları one-server topology yani tek bir sunucu topolojisine göre hazırladığımızı unutmayalım.Farklı topoloji çeşitlerini incelemek için http://technet.microsoft.com/tr-tr/library/bb404259(en-us).aspx adresini kontrol edebilirsiniz)

-IIS ve ASP.NET. kurulumu.

Control Panel/Add or Remove Programs/Add-Remove Windows Components/Application Server/Details/Internet Informatıon Services Manager/Details altında ilgili kutucukları işaretleyek kurulumu gerçekleştiririz.

-SQL Server 2005 SP2 yada SP1 kurulumu.

Bu kurulum sırasında şu componentleri kurmamız gerekli:Database Services, Reporting Services, Integration Services, ve Workstation components.

-MMC 3.0 kurulumu.

Şu adresten indirebilirsiniz.Server 2003 SP2 paketiniz yüklü ise mmc’de otomatik olarak 3.0 versiyona yükselecektir.

-GPMC – SP1 kurulumu.

Bu adresten indirebilirsiniz.

-WSUS – SP1 kurulumu.

-Client Security server sitesini Internet Explorer’da Local intranet bölgesine üye yaparız.

Burada SQL Server kurulumuna değinmeyeceğiz.Bununla ilgili ayrıntılı makaleler mevcut.Yalnız yeni kurduğunuz yada önceden kurulu olan SQL Server için doğru componentlerin kurulup kurulmadığını kontrol etmeniz faydalı olacaktır.Bunun için servislere bakabiliriz.Standart servislerin ve SQL Server Reporting Servisinin running durumda olduğunu kontrol ederiz.

Şimdi aynı sunucu üzerine Forefront Client Security kurulumuna geçelim.

-Forefront Client Security Cd’sini cd sürücüsüne yerleştirdikten sonra kurulum sihirbazını çalıştırırız.

Bu kısım topolojimize göre seçimler yapacağımız pencere.Forefront Client Security kurulumunu 6 farklı sunucuya kadar gerçekleştirebiliriz.Yukarıdaki componentlerin her birisi tek bir sunucu üzerine yüklendiğinde performans kayıpları yaşanabilir.Aynı zamanda network yapısına görede topolojimizi belirleyebiliriz.

Four-server topolojide Collection Server ve database server’ı ayrı bir sunucuya, reporting serverı ayrı bir sunucuya,management serverı diğer bir sunucuya vede distribition serverı başka bir sunucuya yükleriz.

Three-server topolojide management collection ve database’i aynı sunucuya ,reporting server ve distribiton serverı ayrı sunuculara yükleriz.Bu senaryoyu daha çok orta büyüklükteki bir organizasyonumuz varsa ve raporlama bizim için önemliyse kullanabiliriz.

Two-server topolojide tüm componentleri bir sunucuya yükleriz.Sadece distribiton serverı farklı bir sunucuya yükleriz.

One-Server topolojide ise yukarıdaki rollerin hepsini seçeriz.Her bir topoloji modeli sahip olduğumuz imkanlar için tasarlanan en iyi kompozisyonlardır.İsterseniz kısaca yukarıda seçtiğimiz her bir componentin FCS yapısındaki görevlerini inceleyelim.

Management Server:FCS konsolunu ve kurulumla birlikte gelen Mom konsolunu içerir.Yönetimsel olarak tüm fonksiyonları gerçekleştirdiğimiz yerdir.

Collection Server:Clientların gönderdikleri eventların saklandığı sunucudur.Buraya gelen bilgiler kısa bir süre burada tutulur.

Reporting Server:Collection Servera gelip kısa bir süre sonra oradan ayrılan bilgilerin tutulduğu bölümdür.Aynı zamanda burada öncelikli kurduğumuz SQL Server 2005 Reporting Server bulunur.Böylece özelliştirilmiş raporlar oluşturabilir ve bunları web arayüzü ile görüntüleyebiliriz.

Distribition Server:WSUS yüklemesini gerçekleştirdiğimiz sunucu.Bildiğimiz gibi clientlar güncelleştirmelerini Windows update üzerinden WSUS yardımıyla gerçekleştirecekler.

Next diyerek diğer ekrana geçeriz.

Bu pencerede Collection Server ile ilgili temel ayarları gerçekleştireceğiz.Collection server kısmı standart olarak computer name şeklinde gelir.Management group name kısmına bir isim verebilir yada olduğu şekilde bırakabiliriz.Yalnız bu ismi aklımızda tutmamız gerekiyor.İleride Client Securityleri dağıtırken tekrar kullanacağız.

Alt kısımda ise bizden DAS Account için kullanıcı adı ve şifre istemektedir. DAS hesabı MOM sunucusu ile ilgili bir hesap türüdür.Hatırlayacak olursak MOM 2005’de DAS hesabı aşağıdaki işlevlerden sorumluydu:

Alerts, events, performance data gibi bilgilerin OnePoint veritabanına girilmesi

OnePoint database üzerinde tutulan prosedürlerin çalıştırılması

MMPC servisinin çalıştırılması ..vb

Buraya gireceğimiz hesabın bir domain user olmasına dikkat etmeliyiz.İlgili kullanıcı adı ve parolayı girerek devam ederiz.

Bu kısımda Collection Database için bir isim ve account belirleyebiliriz.İstersek ayrı bir account belirlemek yerine bir önceki ekranda kullandığımız DAS hesabını kullanabiliriz.Burada yapacağımız bir diğer seçimde veritabanı boyutu.Burada belirlediğimiz değeri ileride istediğimiz aman değiştirebiliriz.Gerekli seçimleri yaptıktan sonra diğer ekrana geçeriz.

Bir önceki ekranda olduğu gibi burada da gerekli değerleri gireriz.Görüldüğü gibi burada max veritabanı boyutu olarak 1 terabyte gibi bir değer görünüyor.Eğer sizin için raporlama oldukça önemliyse ve bunun için yer sıkıntısı çekebileceğinizi düşünüyorsunuz yukarıdaki topoloji modellerinden 3-server modelini seçip reporting database için disk sıkıntısı çekmeyeceğiniz ayrı bir sunucu kullanabilirsiniz.Gerekli ayarlardan sonra bir sonraki ekrana geçeriz.

Bu pencerede Reporting Server ayarlarını görüyoruz.Report Server ve Report Manager “˜a web üzerinden erişebilmemizi sağlayan adresleri istersek değiştirebiliriz.Bu adresler ile web tarayıcımızı kullanarak raporları görüntüleme imkanına sahibiz.Biz olduğu gibi bırakarak devam ediyoruz.

Bu ekrandan sonra Action account kısmı geliyor.Burada da yine action işlemlerinden sorumlu olarak DAS Accountunu atayabiliriz.Bir diğer ekranda Install Location ekranı.Kurulum dizinlerini belirleriz.

Son olarak yaptığımız ayarları ve gereklilikleri kontrol eden bir pencere karşımıza gelecektir.Burada kurulumdan önce herhangi bir sorun var ise görebilir ve sorunu giderdikten sonra yükleme işlemini tamamlayabiliriz.Sağ kısımda bize sorunla ilgili neler yapılması gerektiği belirtiliyor.

Herhangi bir sorun yoksa yükleme işlemini başarıyla tamamlarız.İstersek

%Program Files%\Microsoft Forefront\Client Security\Server\Logs

Altında kurulum ile ilgili server-client loglarına ulaşabiliriz.Eğer bir hata ile karşılaştıysak bu loglar yardımıyla ayrıntılı bilgiler edinebiliriz.

Kurulum işlemini sancısız gerçekleştirdiğimize göre şimdi yavaş yavaş konfigurasyon işlemlerine başlayalım. Bunun için Forefront Konfigurasyon sihirbazını çalıştırırız.Aslında bu konfigurasyon sihirbazını tamamladıktan sonra FCS ile çalışmaya başlayabiliriz.Bu sihirbazın temeldeki amacı farklı topoloji modelleri kurulumunda örneğin distribiton server’ın yerini,reporting database’in yerini management server’a belirtmektir.

Start/Programs/Microsoft Forefront/Client Security/Microsoft Forefront Client Security Console “˜u çalıştırırız.Bu alanda genel hatlarıyla konfigurasyonları gerçekleştireceğiz.

Başlangıç ekranına baktığımızda hangi pencerelerle karşılaşacağımızı görebiliriz.Dikkat edersiniz one-server topoloji kurulumu yaparken değiştirdiğimiz veya olduğu gibi bıraktığımız ayarları görebiliriz.Bunlar üzerinde ekstra bir değişiklik yapmamıza gerek yoktur.Gerektiği yerlerde kurulumda kullandığımız account bilgisini kullanacağız. Sihirbazı tamamlarken FCS varolan sunucularına erişim sağlamaya çalışacaktır.

Örneğin burada tüm sunuculara erişim sağlayabildi ama DAS Account bilgilerinin doğru olmadığını bize bildirdi.Varolan hataları View Log kısmına girerek ayrıntılı şekilde inceleyebiliriz.Tüm gereksinimleri karşıladıktan sonra konfigurasyon sihirbazını tamamlarız.

Görüldüğü gibi tüm componentler çalışır vaziyette görünüyor.Şimdi FCS ile çalışmaya başlamadan önce son bir konfigurasyon gerçekleştiririz. SystemCenterReporting üzerinde gerekli servis hesaplarına izin vermemiz gerekli.İzin vermemiz gereken hesabın ismi db_owner.Bunu SQL Server üzerinden gerçekleştireceğiz.Aşağıdaki adımları izleriz.SQL Server içerisinde ;

1. Console ağacında Security tabını genişletiriz.

2. Logins’e sağ tıklayarak New Login’e tıklarız.

3. Login dialog kutusunda ilgili hesap için giriş yaparız.

4. User Mapping’e tıklayarak Map bölümünde veritabanını seçeriz.

5. db_owner kutucuğunu işaretleyek OK deriz.

Buraya kadar gerçekleştirdiğimiz işlemler ile FSC kurulumunu one-server topology için tamamlamış bulunuyoruz.Herşeyi tam yaptığımızdan emin olmak için birkaç alanı kontrol edebiliriz.Bunun için Client Security Console’u açarak 14-day History ve diğer tablolardaki bilgileri görebildiğimizden emin oluruz.Burada bir sorun çıkıyorsa bu genellikle SQL server’a uzaktan bağlanma ile ilgili bir sorundur.Bu durumda;

SQL Server üzerinde Uzaktan erişimin aktif olup olmadığını kontrol ederiz.Bunun için ;

SQL Server Surface Area Configuration‘ı açarız.Burada Surface Area Configuration for Services and Connections‘ı tıklatırız.Surface Area Configuration for Services and Connections sayfasında, Database Engine‘i genişletip, Remote Connections‘ı açarızBu kısımda kullandığımız uygun protokolü tıklatarak OK deriz.Ardından MQSQLSERVER servisini yeniden başlatırız.

Bunun yanında SQL Server Browser servisinin çalıştığını kontrol ederiz.

Son olarakda Windows Firewall servisi açık ise gerekli izinlerin verildiğinden emin oluruz.

Tüm bu adımlar doğru yapılandırılmışsa Console içerisinde aşağıdaki gibi bir tabloyla karşılaşırız.

Yapmamız gereken diğer bir işlemde WSUS’u ayarlamak olacaktır.Çünkü FCS definition updatelerini WSUS üzerinden gerçekleştirecek.Distribution server kurulumunu yaptığımız server üzerinde WSUS consolunu açarız.İlk yapmamız gereken Synchronisation Options bölümünü açmak.

Görüldüğü gibi Forefront Client Security ürünler altında listelenmiş.İşaretleyerek yukarıdaki Classifications tabına geçeriz.

Burada güncelleştirme için sınıflandırmaları görebiliriz.Definition Updates kısmını seçerek güncel malware databaseini indirebiliriz.

WSUS ile ilgili dikkat etmemiz gereken başka bir konu senkronizasyon durumu.Standart kurulum sonrasında senkronizasyon manuel şekilde ayarlanmıştır.Bunu otomatik olarak ayarlayarak forefront client securty ürününü sürekli güncel tutabiliriz.

Şimdi Wsus’a şöyle bir kural yazmalıyız.Bu ürün ve bu kategorideki updateleri indir ve benim söylediğim bilgisayarlara dağıt.Bunun için WSUS options ekranında Automatic Approvals’ı seçeriz.Burada New Rule ile bir kural oluştururuz.

Bu ekranda görüldüğü gibi Forefront Client Security için Definition Updatelerini All Computers için approve et diyoruz.Şimdi yapmamız gereken istediğimiz bilgisayarları All Computers altına eklemek.

Bunun için WSUS altında client bilgisayarlarımızı eklememiz ve group policy ile client bilgisayarların updatelerini WSUS üzerinden gerçekleştirmesini sağlamamız gerekli.Client bilgisayarların updatelerini WSUS üzerinden almaları için ilgili OU için Group Policy ekranında aşağıdaki adımları izleriz.

Yukarıda olduğu gibi 3 policy için enabled değerini seçtik.Bu policylerden “œSpecify intranet Microsoft update service location” policysini enabled yaptıktan sonra bizden WSUS Server adresi girmemizi isteyecektir.Bu isim http://serverismi şeklinde olmalıdır.One-server bir topology kurduğumuz için distribition server’da aynı sunucu üzerindedir.Bu yüzden FCS kurulumu yaptığımız sunucunun adresini buraya girebiliriz.Bunun yanında eğer two-server topolojiyi seçmiş olsaydık baştaki FCS kurulumu sırasında Distribiton Server’ı başka bir sunucu üzerinde kurabilirdik.Buda bize performans bakımından artı olarak dönecektir.

Bu ayarıda yaptıktan sonra artık WSUS 3.0 konsolunda ilgili OU altındaki bilgisayarları görebiliriz.

Server2003 isimli bilgisayar updatelerini WSUS üzerinden gerçekleştiriyor.Bizde WSUS’a daha önceden ,Forefront Client Security ürünü için Definition Updateleri indirmesini ve All Computer altındaki bilgisayarlara dağıtmasını söylemiştik.Böylece FCS güncelleştirmeleri dağıtılmaya başlandı.

Yalnız burada dağıtım FCS sunucusunu kurduğumuz pc üzerinde gerçekleşti.Peki biz networkümüzdeki diğer terminallere FCS dağıtımı yapmak aynı zamanda güncelleştirmeleride dağıtmak istersek ne yapacağız.

Öncelikle aynı işlemi onlar içinde gerçekleştireceğiz.Hepsinin Updatelerini WSUS üzerinden yapmaları için yukarıdaki gibi policy ayarlamaları gerçekleştireceğiz.Bir diğer yapmamız gereken işlem ise Client Security’i istediğimiz bilgisayarlara yüklemek olacaktır.Bunun içinde yine Wsus ve Windows Update’i kullanacağız.Fakat bunu FCS konsolundan gerçekleştireceğiz.

FCS Consolunu açarak Policy Management tabına geliriz.New diyerek policy penceresini açarız.

Örneğin ben sunucular için ayrı bir policy oluşturdum.Burada gerekli ayarlamaları yaparak deploy işlemini gerçekleştireceğiz.Protection tabı ile devam ederiz.

Malware Protection bölümünde deploy edilecek sunucular için virus ve spyware korumasu isteyip istemediğimizi belirtiyoruz.

Malware scanning bölümünde gerçek zamanlı koruma ve tarama zamanlama ayarlarını yapabiliriz.Aynı zamanda “œRun a Quick Scan at set interval” kısmında belirli periyodlarla tarama işleminin tekrarlanmasını sağlarız.

Security State Assesment temel olarak var virus veya spyware dışında sistemimizde potansiyel risk oluşturabilecek tehlikelere karşı bizi,belirlenen kriterlere göre uyaran bir sistemdir.Örneğin belirli yamalar yüklenmemiş,boş parolalar kullanılmış gibi.Denetlemeler aşağıdaki bölümler için geçerlidir.

“¢ Windows Version check

“¢ Automatic Updates check

“¢ Security Updates check

“¢ Incomplete Updates check

“¢ Restrict Anonymous check

“¢ File System check

“¢ Autologon check

“¢ Shares check

“¢ Unnecessary Services check

“¢ Guest Account check

“¢ Administrators check

“¢ Password Expiration check

“¢ Unapproved Critical Security Updates check

“¢ Windows Firewall check

Bir nevi güvenlik asistanı diyebiliriz.Aynı şekilde SSA içinde belirli tarama metodları uygulayabiliriz. Advanced tabından devam edelim.

Üst kısımda update ile ilgili ayarlar bulabiliriz.tarama yapmadan önce update kontrolü yapılmasını,belirli süreler dahilinde update işlemini tekrarlanmasını ve WSUS ulaşılamaz olduğunda update için Windows Update’in kullanılmasını ayarlayabiliriz.

Exclusions bölümünde taramalar sırasında dışarıda tutulacak alanları belirleyebiliyoruz.Örneğin C:/ONEMLI isimli klasarü hiçbir zaman taramamasını istitorsak “œAdd” ile bu klasörü listeye ekleyebiliriz.Yan taraftada aynı şekilde uzantı bazlı bir engelleme yapabiliriz.Örneğin .doc uzantılı dosyalar taranmasın gibi.

Client options bölümünde ise istemcilerin FCS ile ilgili sahip olabilecekleri yetkileri belirleriz.

Genellikle son kullanıcı bu applicationların kullanımı için yetersiz bilgiye sahip olduğu için minumum yetki verilmesi,sadece uyarıları görüntülemesi mantıklı olacaktır.

Override bölümüde ise FCS’nin varsayılan tepkilerini değiştirebiliriz.Örneğin belirli bir malware yakaladığı zaman varsayılan olarak tepkisi kaldırmaktır.Fakat biz bunun yerine o malware’i yakaladığında karantinaya al diyebiliriz.

Son olarak reporting ayarlarını gireriz.Burada ilk ayarımız Alert Level.Bildiğimiz gibi istemciler belirli sürelerde tarama sonuçlarında alarmlar yayınlarlar.Bu alarmlar için burada 5 seviye seçebiliriz.Örneğin en üst seviyeyi seçtiğimizde tüm olaylar için alarmlar üretilirken,en alt seviyeyi seçersek ,malware bulunduğunda yada güncelleştirme gerektiğinde alarm üretilmeyecektir.

Tüm bu alarm sistemi temelde Mom altyapısını kullanmaktadır.

Orta kısımda loglama ile ilgili ayarı gerçekleştirebiliriz.

En alt kısımda ise yapımızdaki malware ve diğer risk bilgilerini SpyNet ile paylaşmamız için gerekli ayarlamaları yapabiliriz.

OK diyerek policy oluşturduktan sonra bunu deploy etmemiz gereklidir.Bunun için “œDeploy”a basarız.

Deploy işlemi için farklı metodlar kullanabiliriz.Herhangi bir OU’ya yada Gruba atayabiliriz.Aynı zamanda varolan bir GPO’ya ekleyebiliriz.”Add File” bölümünde de policy’yi .reg dosyası olarak export edebiliriz.Biz sunucular için bir policy oluşturmuştuk bu yüzden Sunucular OU’sunu seçerek ekliyoruz.

Ve deploy diyerek işlemi tamamlarız.Policy’nin hemen aktif olması için Gpupdate/Force komutunu kullanabiliriz.

Ardından Dashboard’daki raporları inceleyerek atamaların başarılı olup olmadığını görebiliriz.

Bu yöntem dışında client bilgisayarlar üzerine client security atamasını manuel olarakda gerçekleştirebilir.Örneğin yapımızda WSUS bulunmuyorsa Client bilgisayarlar üzerinde setup dosyalarını çalıştırarak atamalar gerçekleştirebiliriz.Bunun için aşağıdaki adımları izleriz

1-FCS cd’sini client bilgisayarında takarak komut istemini açarız.Şimdi client bilgisayarın versiyonuna göre dizine geçeceğiz.

o 32bit Windows çalıştıran clientlar için cd drive\Client komutunu,64 bit çalıştıran için ise cd drive \Client\x64 komutunu gireriz.

2. Şimdi aşağıdaki parametreleri kullanarak setup işlemine başlayabiliriz.

o /I InstallationFolder paramteresi ile yükleme dizinini belirtiriz.Varsayılan olarak bu dizin %Program Files\Microsoft Forefront\Client Security\client altındadır.

o /L LoggingFolder ile kurulumm esnasındaki logların tutulacağı dizini belirleriz.Varsayılan olarak bu dizin makalede de belirttiğimiz gibi %Program Files\Microsoft Forefront\Client Security\client\logs altındadır.

o /NOMOM mom agent dışındaki tüm kurulumları gerçekleştirmemizi sağlar.Eğer bu parametreyi kullandıysak /CG ve /MS parametrelerini kullanmamamız gereklidir.

o /CG ManagementGroup parametresi ile Management gorup ismini belirleriz.Eğer bu parametreyi kullanmazsak isim otomatik olarak Client Security tarafından atancaktır.Aynı zamanda bu parametreyi /MS parametresi ile birlikte kullanmalıyız.

o /MS CollectionServer parametresi ile yine aynı şekilde Collection Server ismini belirleriz.

o /R ile Client Security agent ve MOM agent’ı yeniden yükleriz.

3. ENTER ile kuruluma başlarız.

Kurulum ve dağıtım işlemlerini one-server topoloji için ayrıntılı bir şekilde gördük.Benzer şekilde diğer topolojileride sadece sunucu lokasyonlarını değiştirerek hayata sokabiliriz.Bir sonraki makalemizde Forefront Client Security genel yönetimi,policy uygulamaları,mobile clientların yönetimi,performans uygulamaları gibi konuları ele alacağız.

Forefront Security For Exchange ile birçok konfigurasyon gerçekleştirebiliriz.Örneğin filter listler oluşturabilir,çeşitli templateler yaratabilir,notificationlar ayarlayabiliriz.Bu kadar zahmete girip ayarları kaydettikten sonra varolan konfigurasyonun bir yedeğini almak akıllıca olacaktır.Bu amaçla konsolu incelediğimde herhangi bir arayüze rastlayamadım.Yalnız aşağıdaki dizine gidersek;

\Program Files\Microsoft Forefront Security \ Exchange Server \ Data folder

burada .fdb dosyalarını görebiliriz.

İşte buradaki .fdb dosyalarının yedeğini alarak conf. yedeğini almış oluruz.

Bildiğimiz gibi Forefront ailesinin Exchange güvenliğinden sorumlu üyesi Forefront Security for exchange,sahip olduğu 8 tarama motoru ile etkin bir çözüm olarak önümüzde.Bu motorlar;

CA Vet, Microsoft Antimalware Engine, Norman Virus Control, Sophos Virus Detection Engine, Kaspersky Antivirus Technology, Authentium Command Antivirus Engine, AhnLab Antivirus Scan Engine, ve VirusBuster Antivirus Scan Engine

Yalnız bu motorların hepsini aynı anda kullanamıyoruz.Bunlardan seçtiğimiz 4 tanesi ve Microsoft Antimalware motoru ile 5 tane seçim hakkımız bulunuyor.Kurulum sırasında bu 4 motor rastgele seçilmiş olarak karşımıza geliyor.Kurulumdan sonrada bu seçimi değiştirme olanağımız var.

Hal böyleyken update işlemleride her bir motor için ayrı ayrı olmak zorunda tabiki.

Forefront for Security’de update mantığı şu şekilde.Kurulumdan sonra tarama motorları için updateler otomatik olarak gerçekleşiyor.Varsayılan olarak FSCController servisi başladıktan 5 dakika sonra başlar.Ve 5 dakika aralıklarda devam eder.Yani interval değerimiz 5 dakika.Ve update indirildikten sonra otomatik olarak yükleme işlemide gerçekleştiriyor.Burada şunu sorabiliriz.Update işlemi sırasında Forefront devre dışımı?Hayır yalnızca update olan motor devre dışı.O birkaç saniyelik update işlemi sırasından da seçilen diğer motorlar aktif olarak görev yapmakta.

Peki updatelerin ne zaman ne kadar sıklıkla ,hangi kaynaklardan yapılacağına nasıl karar verebiliriz? (kaynak olarak HTTP olarak windowsa bağlanaibldiği gibi organizasyon içerisindeki başka bir exchanden’de updateleri çekebilir)

Bunun için konsole ekranında settings altındaki Scanner Updates bölümünü kullanabiliriz.Burada herhangi bir motoru seçerek gerekli ayarları gireriz.Örneğin aşağıdaki bölümü inceleyelim.

Burada bir motoru seçtiğimizde aşağıdaki kısımda Primary ve Secondary update pathlerini görebiliriz.Forefront birinci update kaynağından updatei alamazsa ikincisine otomatik olarak geçer.Bu kısıma aynı zamanda updateleri çeken başka bir exchange serverın UNC pathinide yazabiliriz.

Görüldüğü gibi Forefront for exchange için primary path

http://forefrontdl.microsoft.com/server/scanengineupdate adresidir.

Bunun dışında bu ekranda yine update işlemi için seçilen motorlara scheduling işlemini gerçekleştirebiliriz.Ve bu ayarı günlük haftalık yada aylık olarak ayarlayabiliriz.

.

Forefront Client Security ile ilgili birkaç yazıdan sonra birazda Forefront Security For Exchange üzerine konuşmamız faydalı olacaktır.

Forefront for exchange bildiğimiz gibi forefront ailesinin server security kısmında yer alıyor.Yapımızdaki Exchange server’ın güvenliğinden sorumlu olan bu yapı kullandığı çoklu tarama motorları ve filtering özellikleriyle başarılı işler çıkarıyor.Bu yazıda sadece ufak bir bölümünden söz edelim.Örneğin yapımızda keyword filtering yapmak istiyoruz.Yani mail içeriğinde belirli kelimelere rastlandığında FSE’nin belirli actionlar gerçekleştirmesini istiyoruz.Bunun için yapacağımız işlem aşağıda adım adım belirtilmiştir.Öncelikle Forefront Server Security Administrator konsoluna gireriz.

-Burada solda bulunan filtering bölümünü seçerek Filter list altında keywords’a gelerek add deriz.

Şimdi kendimize bir filter list oluşturucaz.Tabiki içerisinde keywordler barındıran bir list olucak bu.

Add dedikten sonra listemize bir isim vererek edit’e basarız.

Burada yine add’i kullanarak istediğimiz kelimeleri ekleriz.Yukarıda benim biraz anlamsız list’imi görüyorsunuz=)

Aynı zamanda bu ekranda import ve export işlemlerinizide gerçekleştirebilirsiniz.Import ile hazırladığınız listeleri içeri alabilir,export ilede burada hazırladığınız listeleri dışarıya aktarabilirsiniz.Sol tarafa filtrelemede kullanılacak kelimeleri,sağ tarafa ise filtrelemeden bağımsız olan kelimeleri ekleyeibliyoruz.

Buradaki işlemlerinizi yaptıktan sonra OK diyerek çıkalım.Şimdi sol taraftaki filtering bölümünden Keyword kısmını seçtiğimizde Transport Scan Job altında oluşturduğumuz listeyi görebiliriz.

Yalnız görüldüğü gibi sağ tarafta filtre disable edilmiş durumda.Filtrenin aktif olabilmesi için Burayı enable hale getiririz.Action bölümünde ise 3 adet seçeneğimiz var.

Identify:Tag Message: Bu ayar seçilirse e-mail alıcıya ulaşır fakat subject kısmı SUSPECT şeklinde taglanir.

Skip:Detect Only:Burada bir action gerçekleşmez.Sadece durumu monitor ederek ileriye dair fikirler oluşturabiliriz.

Purge:Eliminate Message:Bu ayarda da tahmin edileceği üzere mail yokedilir.Alıcı kendisine bir mail gönderildiğinden haberdar olmaz.

Bunun yanında alt kısımdaki send notifications kısmıda işaretlenirse ,maili gönderen kişiye mailinin Forefront tarafından filtrelendiği belirtilir.

Şimdi clientların birinden diğerine yukarıda belirttiğimiz kelimeleri kullanarak bir mail atalım.Ben action olarak mesajın subject kısmını taglamesini seçtim.Maili gönderdiğimde mail alıcıya ulaşır ancak aşağıdaki şekilde subject kısmı düzenlenir.

Aynı şekilde dosya bazlı filtrelemeyide birdahaki yazımızda inceleyeceğiz.

Eğer Forefront Client Security Evaluation versiyonu deneyip kullanmaya karar verdiyseniz retail versiyona upgrade işlemini gerçekleştirmeniz gereklidir.Öncelikle varolan Client Security yüklemesinin Evaluation versiyon olduğunu doğrulamak için;

-Collection Server üzerinde regedite girerek : HKEY_LOCAL_MACHINE\Software\Microsoft\Microsoft Operations Manager\2.0\Setup dizini altına ineriz.

-Burada InstalledServerSKU anahtarı bizim için önemli.Eğer evaluation versiyon kullanıyorsak bu anahtarın değeri Eval olacaktır.

Eğer upgrade işlemine karar verdiysek öncelikle Client Security Installation Tool’u indiririz. http://go.microsoft.com/fwlink/?LinkId=93631

Bu msi dosyası bir upgrade dosyası oluşturarak gerekli dosyaları buraya kopyalayacaktır.Upgarde işlemini gerçekleştirmek için önceliğimiz 3 component olacak.Bunlar Collection Database,collection ve management server.Yani bunların dışındaki componentleri değiştirmemize gerek yok.Sırasıyla gidersek;

Collection Database’i upgrade etmek için run’a gelerek aşağıdaki komutu gireriz.

Msiexec /i kaynak\server\momserver.msi

Buradaki kaynak değişkeni bizim Retail yükleme dosyasının dizini olucaktır.Açılan sihirbazla varsayılan değerleri kullanarak kurulumu tamamlarız.

Collection Server’ı upgrade etmek için öncelikle upgrade dosyası oluşturduğumuz dizindeki FCScs-kb939366-x86-enu.msi dosyasını collection servera taşıyarak çalıştırırız ve hotfixi yükleriz.Ardından aynı şekilde yukarıdaki momserver.msi dosyasını çalıştırırız.Kurulum bittiğinde ekstra olarak

sourcefilelocation\server\Q913801.msp komutunu run’dan çalıştırırız.

Management Server upgrade işlemi için Upgrade dosyasından FCSInstall.exe dosyasını servera kopyalarız.Sonra aynı şekilde momserver.msi dosyasını çalıştırıp sihirbazı tamamladıktan sonra komut satırına inerek aşağıdaki komutu gireriz.

FCSInstall.exe fcsms.msi

Böylece upgrade işlemini sancısız ve kayıpsız bir biçimde gerçekleştirmiş olduk.

Forefront Client Security kurulumundan sonra bir başka sorun ile karşı karşıya kalabilirsiniz.FCS konsolunu açtığınızda karşınıza hiçbir veri gelmeyebilir ve şöyle bir hata mesajı ekrana çıkabilir.

An error has occurred while establishing a connection to the server.   When connecting to SQL Server 2005, this failure may be caused by the fact that under the default settings SQL Server does not allow remote connections

Hatadanda anlayacağımız gibi SQL üzerinde uzaktan bağlantılara izin verilmediği için bu hatayla karşılaşıyoruz.Temelde 3 adımı kontrol etmeliyiz

-SQL üzerinde uzak bağlantıları tekrardan kontrol ederiz.

-SQL Browser servisi çalışıyormu bir bakarız.

-Son olarakda güvenlik duvarını kontrol ederiz.Eğer açık ise gerekli ayrıcalıkları tanırız.

Bu 3 adımla ilgili aşağıdaki makaleyi inceleyebilirsiniz.

http://support.microsoft.com/kb/914277

Forefront Client Security deployment işleminden sonra yönetebileceğimi client sayısı 10000 olarak belirlenmiş.Peki biraz daha ileri gidersek ne olacak?
Örneğin farklı farklı alanlarda toplamda 60000 clientımız var ve bunları tek bir konsoldan yönetmek istiyoruz.İşte bu amaçla yayınlanan bir yönetim aracı var.Forefront Client Security Enterprise Manager ile 10 adet client security topolojisinden bilgileri yönetebiliriz.Buda tam anlamıyla 100000 client bilgisayar demek.Burada client bilgisayar derken sadece istemciler aklınıza gelmesin.Daha öncedende bahsettiğimiz gibi forefront’ta client kavramı geniş tutulmuş.Yani organizasyondaki sunucularda istemcilerde forefront için birer client.
Enterprise Manager ile tek bir konsoldan yönetebileceğimiz client sayısını önemli ölçüde arttırmış oluyoruz.Yalnız dikkat edilmesi gereken bazı noktalar var.Kurulumdaki topoloji one-server yada two-server şeklinde olmalı.Sistem gereksinimleri standart FCS kurulumu ile aynı.Yalnızca 10 adet farklı FCS’den 100000 client bilgisi gelebileceğini düşünürek disk alanı konusunda biraz daha cömert olmamız gerekiyor.

Raporlama işlemindede pek bir değişiklik görülmüyor.FCS ile web üzerinden raporları görüntüleyebiliyorduk.Aynı şey enterprise manager içinde geçerli.Fakat tabikide bu raporlar varolan tüm FCS deploymentlarındaki raporlar olacak.

Eklene bir diğer özellikte status bar benzeri bir alan.Bu alanda örneğin network ile ilgili bir sorun olduğunda ve enterprise manager diğer FCS lere ulaşamadığında bizi bilgilendiriyor.

Yönetim alanında ise FCS de bulunan dashboard ve Policy Management tablarında herhangi bir değişiklik bulunmuyor.Eğer sizde Enterprise Management’ı (yöneteceğiniz 100000 bilgisayar olmasada) denemek istiyorsanız aşağıdaki linkten indirip kurulumunu gerçekleştirebilirsiniz.

http://www.microsoft.com/downloads/details.aspx?FamilyID=d9413461-9384-4b14-8a26-1e77e6d98182&DisplayLang=en

Henüz Forefront ailesi ile yeni tanışmışken Microsoft yeni nesil Forefront ailesini tanıttı.2009 başlarında piyasaya sürülmesi planlanan bu sürümün kod ismi “stirling”

Forefront stirling ile birlikte birçok yenilikte bizi bekliyor.Aynı şekilde Client security server security ve edge security partları korunuyor.Fakat ISA 2006′nın geliştirilmiş versiyonu olarak Forefront Threat Management Gateway sunuluyor.Eminim çoğu kişi henüz forefront ailesi ile tanışmamış olsada aşağıdaki adresten deneme sürümünü indirip kullanmaya başlayabilirsiniz.

http://technet.microsoft.com/tr-tr/evalcenter/cc339029(en-us).aspx

Forefront kurulumunda karşılaşabileceğiniz bir hata daha farkettim.Eğer sunucunuz üzerinde SQL Server’ı kurduktan sonra suncunuzun bilgisayar ismini değiştirdiyseniz Forefront Client Security kurulumu devam etmeyecektir.Yalnız loglara baktığınızda size sebebini söylemiyor.Sebebini ise şöyle anlıyoruz.Cd’nin içerisindeki MOMServer,msi dosyasını çalıştırdığımızda kurulum başlamadan hata oluştuğunu söyleyecek ve sebep olarak yukarıdaki isim değişkliğini bildiricek.

Eğer böyle bir durumla karşı karşıyaysak SQL Server’ı reinstall etmemiz gereklidir.

Forefront Client Security kurulumu sırasında iki hata ile karşılaştım.Çözümleri oldukça kolay olan bu hataların ikiside reporting server yani sql üzerinde kaynaklanan hatalar.

Forefront Client Security kurulumu için toplojiyi belirleyip ilgili değerleri girdiğimizde kuruluma başlamadan önce tüm bu ayarları ve gereksinimleri kontrol eden bir pencere gelir.

Bu pencerede hataların ilki “Verifying URL’s for reports” kısmında idi.Sql server kurulumu sırasında erişim izinlerini vermiş olmama rağmen raporlar için kullanacağı adreslere erişemediğini söylüyor.Hata metni şu şekilde:

The report server cannot open a connection to the report server database. A connection to the database is required for all requests and processing.

Bu durumda iki aşamalı bir çözüm kullandım.İlk önce rsconfig aracı ile(Program files/Microsoft Sql server/80/Tools/Binn) aşağıdaki komutu gireriz.

rsconfig -c -iMSSQLSERVER -s localhost -dReportServer -aWindows

Ardından hatamız şu şekile döndü.

The report server cannot decrypt the symmetric key used to access sensitive or
encrypted data in a report server database

Bu hatayı gidermek için Start/Programs/Sql server/Configuration Tools/Reporting Service Configuration konsolunu açarız.Burada Encryption Keys bölümüne gelerek Delete’e basarız ve içeriği sileriz.

Bu işlemden sonra setup sihirbazına kontrol işlemini tekrar yaptırdığımızda sorunsuz ilerleyecektir.

Forefront Client Security dağıtımını yapmadan önce topolojimizi iyi belirlememiz gerekiyor.Bunun için Gökhan güzel bir yazı hazırlamış.

http://mshowto.org/index.php?option=com_content&task=view&id=328&Itemid=35

Buradan ilgili deployment planını seçtikten sonra ise eğer her bölüm için ayrı sunucular kullanacaksak bunlar arasındaki trafiğin sorunsuz olması için gerekli iletişim portlarının herhangi bir firewall tarafından engellenmemesi gereklidir.Aşağıdaki tabloda FCS için kullanılan tüm bağlantıların portları verilmiştir.

Forefront Client Security çözümünde client bilgisayarlar üzerine Client Security Componentlerini yüklemeliyiz.Bu işlemi ileride makale olarak ayrıntılı görücez.Şimdi ise deploy işlemini nasıl gerçekleştirebilirizona bakalım.Öncelikle componentleri dağıtacağımız pclerin

• Microsoft Windows  2000 with SP4 and Update Rollup 1
• Windows  XP with SP2
• Windows  Server  2003 with SP1
• Windows Vista Business

işletim sistemlerinden birine sahip olmaları gerekiyor.Aynı zamanda 64bit teknolojisi desteklenirken Itanıum desteklenmemektedir.Bunun yanında Client bilgisayarlarda

• Windows Update Agent  2.0
• Windows Installer  3.1

kurulu olması gerekmektedir.

Temel olarak iki yöntemimiz var.Bunlar otomatik ve manuel.

WSUS KULLANARAK DAĞITMA:

Eğer organizasyonumuzda WSUS var ise dağıtım işlemini merkezi bir şekilde Active Directory ile tümleşik olarak gerçekleştirebiliriz.Bunun için Client Security Policy’sini ilgili OU lara atamamız yeterli.Client bilgisayarın bu policy’i WSUS ile alabilmesi için Automatic Updates özelliğinin WSUS kullanacak şekilde ayarlanması gerekmektedir.Bunu Group Policy kullanarak yapabiliriz.Burada dikkat etmemiz gereken konu policy refresh süresi.Yani client bilgisayar ilgili policy’i yani Client Security componentini ancak standar refresh rate sırasında alacaktır.Buda gerçek zamanlı koruma sağlamayabilir.Bu durumda gpupdate /force komutu ile anlık policy güncellemesi yapabiliriz.wuauclt.exe /detectnow komutuylada WSUS server ile senkronizasyon gerçekleştirmesini tetikleriz.

MANUEL DAĞITMA:

Eğer yapımızda WSUS   yoksa manuel dağıtabiliriz bu componentleri.Bu fazla management pc olmadığı durumlarda kolay olabilir.Ama sayı arttıkça iş yüküde artıcaktır.Çünkü her pcde ilgili setup dosyasını çalıştırmamız gereklidir.

Forefront ile birlikte Microsoft en yeni güvenlik çözüm paketini sundu.Genel anlamda Server Security,Client Security ve Edge Security olarak sınıflandırabileceğimiz yapı ile organizasyonumuzdaki güvenlik altyapısını en üst seviyeye çıkarabiliriz.

Forefront Client Security , ismi itibariyle sadece client yani istemci workstationlar üzerinde görev yapmıyor.Aynı zamanda varolan sunucularımızda birer istemci olarak algılandığı için kapsama alanımıza giriyor.

Forefront Client Security, işletmenizdeki sistemleri virus ve casus yazılımlara karşı korurken aynı zamanda sağladığı merkezi yönetim ile birlikte ayrıntılı raporlar oluşturmanızı sağlıyor. Kurulum aşamasında farklı deploy seçenekleri karşımıza çıkıyor.Bununla ilgili aşağıdaki makaleyi inceleyebilirsiniz.

http://technet.microsoft.com/tr-tr/library/bb418915(en-us).aspx

Görüldüğü gibi varolan yapımızı gözönünde buludurarak değişik deployment planları yapabiliriz.Bunun dışında önemli bir konuda Forefront Client Security’nin SQL 2005 kullanıyor olması.Client Security şu veritabanlarını aktif olarak kullanır:

• SQL Server 2005 Reporting Services Report database
• Collection database
• Reporting database
• (Optionally) WSUS database

Bu databaselerin boyutları tabiki organizasyona göre farklılık gösterebilir.Örneğin eğer bir işletme tüm güncelleştirmelerini yapmıyor ise sisteme sızan birçok malware yüzünden oldukça fazla event oluşacaktır.Buda daha fazla veritabanı gereksinimi doğurur.Default olarak FCS içerisindeki database boyutları aşağıdaki tabloda gösterilmiştir.

Şimdi kullanacağımız bu veritabanları için boyutları gözden geçirelim.

Collection – reporting database boyutları:

Resimde gördüğümüz gibi Collection ve reporting database boyutlarını FCS kurulumu sırasında belirliyoruz.FCS ile yönettiğimiz tüm bilgisayarla belirli kısa aralıklarla Collection Server’a bilgi gönderir.Buradadan ise ,daha uzun süre saklanacağı Reporting Database’e aktarılır.Bu aktarılma işlemi hergün 01:00 ‘da gerçekleşir.Bu birazcık zaman alabilir.Tabiki buda yapımıza bağlı.Örneğin 395 gün tutulma sınırı varsa ve 2000 management edilen computer varsa bu süre yaklaşık 2 saattir.Ama yönetilen pc sayısı 10000′ çıkarsa aktarılma işlemide yaklaşık 6 saat sürecektir.Dikkat etmemiz gerekn nokta bu sürenin sahip olduğumuz donanımla alakalı olması.Örneğin 8GB ramli ve üzerinde AWE etkin olan bir sunucu önemli bu süreyi önemli ölçüde hızlandıracaktır.(AWE ile ilgili bilgi için tıklayın)

Biz kurulum sırasında buradaki veritabanı boyutunu belirtirken birkaç noktaya dikkat etmeliyiz.Öncelikle kullandığımız SQL server sürümü önemlidir.Varolan yapısı nedeniyle SQL Server Standart daha fazla yer kaplayacaktır.Bunun dışında:

• Yönetilen bilgisayar sayısı
• Kötü yazılım(Malware) olaylarının sıklığı
• Keşfedilen Security state assessment (SSA) vulnerability sayısı
• Yapılacak tarama sayısı ve çeşidi

gibi faktörleride ,veritabanı boyutumuzu belirlerken göz önünde bulundurmalıyız.Aslında database boyutunu oluşturan yukarıdaki olayların oluşturduğu event sayısı.Ne kadar çok event oluşuyorsa veritabanı boyutu o derece artacaktır.Örneğin temel birkaç işlemin oluşturduğu event sayısı:

Mesela Scan Now butonuna basıp tarama başlattığımızda yularıdaki tabloya göre 4 adet event oluşur.2 tanesi Antimalware scan için, 1 event SSA için, 1 event ise definition update için.

Bunun yanında kullandığımız alert’lerde veritabanında yer tutacaktır.Bunların boyutları eventlardan çok daha büyüktür fakat eventlar kadar sık kullanılmadığı için çok fazla sıkıntı yaratmazlar.

Reporting Database içerisinde bilgileri ne kadar tutarsak o kadar fazla büyüme olucaktır.Yani buradaki konfigurasyon bize bağlı.Eventlar alertler deploy edilen client security agentları buradaki büyümeyi oluşturuyor.Varsayılan olarak reporting databasede bilgilerin tutulacağı süre 395 gündür.Yani 1 sene + 1 ay.Bu süre doldıktan sonra silme işlemi gerçekleşir.Bu süreyi kendimize göre ayarlayabiliriz.Bunun için herhangi bir arayüz bulunmuyor.Biz MOM 2005 Reporting componentini yüklediğimizde SystemCenterReporting database altına p_updategroomdays isimli bir procedure oluşur.Bu precedure üzerinde oynama yaparak 395 olan değeri değiştirebiliriz.Bunun için:

1. Microsoft SQL Server konsolunu açarak Query Analyzer’ı tıklarız.
2. İlgili logon bilgilerini gireriz.
3. Toolbardaki SystemCenterReporting butonuna basarız.
4. Query – ServerName – Untitled1 bölümüne aşağıdaki komutu girip Query ve ardından Execute’a basarız.

exec p_updategroomdays ‘Tabloismi’, istenilengunsayısı

Örneğin aşağıdaki gibi bir komut ile SC_AlertFact tablosu için sınırı 300 gün yapabiliriz.

exec p_updategroomdays ‘SC_AlertFact_Table’, 300

SQL Server tempdb database

Bu veritabanı ise SQL Server tarafından kullanılan sistem veritabanıdır.Yani databse üzerinde işlemler yapılırken sorgular çalıştırılırken kullanılan geçici depodur.Bu veritabanı otomatik olarak max 2Gb kullanacak şekilde ayarlanmıştır.