Spécifications de la Protection Antivirus

Création : 17:55 20/05/2008
update : 09:45 28/10/2008

A REMPLACER PAR DOCUMENTATION ENDPOINT !

Obsolète : documentation eTrust

Contexte

Migration de l'antivirus depuis InoculateIT 6.x vers CA Antivirus Threat Management r8.1
Installation du serveur ITM sur un serveur virtuel (vrt-etrust)
Déploiement sur tout le parc Arone/sunnikan.

Problème 1 (805 201 626 45) > résolu

impossibilité d'accéder à la console de management ITM, quelque soit le compte admin utilisé.
Le serveur s'installe, tourne quelques jours, puis la console se bloque. Restaurations de bases sans effets.
Existe une communication entre le serveur et le contrôleur de domaines, sans erreur.

Update 20/09/2008 : le serveur a tenu deux mois avant que l'on perde la main dessus
Update 26/09/2008 : incident a priori résolu, voir notes de résolution en fin de ce document pour les détails
Update 03/10/2008 : Les symptômes sont reproductibles : la connexion sous le compte sunnikan\administrateur fait perdre la main sur le client. Ceci pourrait être la cause de la perte de main sur la console (non testé)
Update (03/10/2008) incident transféré au service technique international, voir Problème 3

Problème 2 (809 251 344 21) > réouvert

impossibilité d'appliquer les stratégies sur le client vrt-vs2003 (w2003server sur un serveur virtuel)
le client s'installe, est découvert, se met à jour mais ne prend pas en compte les stratégies du serveur.
De plus, il est impossible de commander les services etrust à distance.

Update 22/09/2008 : la perte de contrôle s'étend à tous les clients.
Update 26/09/2008 : incident a priori résolu, voir notes de résolution en fin de ce document pour les détails
Update 03/10/2008 : Les symptômes sont reproductibles : la connexion sous le compte sunnikan\administrateur fait perdre la main sur le client. Ceci pourrait être la cause de la perte de main sur la console (non testé)
Update (03/10/2008) incident transféré au service technique international, voir Problème 3

Problème 3 (175 877 19) > transfert des problèmes 1 et 2 vers l'international

Comme indiqué dans les problèmes 1 et 2, le suivi est transféré vers la hotline internationale de CA.

Contact

Hotline technique	01 41 37 79 66	Demander Hervé BIWOL ou Lionel DE OLIVERA
adresse Hervé BIWOL	biwhe01@ca.com cstsfr@ca.com	Mettre le no d'incident en objet
Service Clients	0 811 02 51 46	option 2 1 1 pour le service technique option 2 1 2 pour le service technique international (Demander Nancy LAURENT)
1er No d'incident	805 201 626 45	incident originel concernant la licence, rouvert sur l'incident de perte d'accès console
2nd No d'incident	809 251 344 21	incident supplémentaire payé concernant l'impossibilité d'appliquer des politiques aux clients
3eme No d'incident	175 877 19	Numéro d'incident pour le service technique international
No de contrat	171 498 39
OL	?	correspond à un numéro de contrat de maintenance
No de licence	TFXJQ-21SS2-FCT2S-DSDLU-G2ZTT
Serial	3AV890839645
Numéro inconnu	ETRAV8125BPUEM
Site_ID	632 50 92	obtenu à la suite de l'ouverture du deuxième ticket d'incident

Note : Un contrat est prêt à être payé en cas d'ennui supplémentaires, pour l'heure (11:15 24/09/2008) la carte n'est pas débité et le premier ticket d'incident est rouvert.

Update (25/09/2008) le ticket d'incident supplémentaire est payé et accepté
Update (03/10/2008) incident transféré au service technique international

Actions en cas de perte d'accès sur la console

arrêter les services (utiliser le batch eTrustStop.bat)
recopier les fichiers suivant depuis le répertoire C:\Program Files\CA\eTrustITM\DB.old\Tree vers C:\Program Files\CA\eTrustITM\DB\Tree
auth.dbf (note : fichier dBase, éditable avec excel)
auth.ntx
sid.ntx
relancer les services (eTrustStart.bat)

Si cette manip ne fonctionne pas, réinstaller le serveur eTrust (voir ci-dessous)

Note : cette manipulation ne fait que rest

Procédure de réinstallation du Serveur ITM

se connecter sous le compte sunnikan\etrust (important !)
arrêter tous les services. (eTrustStop.bat)
sauvegarder le répertoire C:\Program Files\CA\eTrustITM\DB
sauvegarder le fichier license.xml de C:\Program Files\CA\SharedComponents\SubscriptionLicense
désinstaller :
le serveur ITM
les Clients AV (sur le serveur et les postes clients)
l'utilitaire d'installation à distance
tout programme CA qui resterait visible.
rebooter
supprimer le dossier C:\Program Files\CA\
supprimer la clef de registre HKLM/SOFTWARE/ComputerAssociates et toutes ses sous-clés
supprimer les exceptions firewall
lancer l'installation depuis le setup.exe du fichier d'install de la version REFRESH.
installer le serveur ITM (voir Notes sur la licence), l'agent et l'utilitaire d'install à distance.
ne pas rentrer les infos de licence et installer la version d'évaluation
rebooter une fois l'install finie
vérifier que l'on a bien la main sur la console d'administration e-trust
arrêter tous les services (eTrustStop.bat)
copier le licence.xml sauvegardé dans C:\Program Files\CA\SharedComponents\SubscriptionLicense
renommer le répertoire DB en DB.old
créer un nouveau répertoire DB
recopier la sauvegarde DB la plus récente dans ce répertoire
copier depuis le DB.old\tree vers le DB\tree les fichiers :
auth.dbf
auth.ntx
sid.ntx
redémarrer les services (eTrustStart.bat)
vérifier que les stratégies sauvegardées sont bien restaurées et que l'on a toujours la main sur la console
vérifier que les stratégies sont toujours appliquées aux clients
vérifier que le client du serveur ITM est bien configuré en serveur de redistribution
rajouter l'admin de domaine et les comptes administrateurs dans les utilisateurs de la console

Procédure de réinstallation de l'agent

Cette procédure s'applique :

si l'on perd la main sur un agent
si un agent refuse les politiques du serveur ITM
en cas de migration d'une version précédente d'eTrust vers la r8.1

Procédure :

via AppWiz.cpl, désinstaller l'agent eTrust
rebooter comme demandé à la fin de la desinstall
supprimer le répertoire C:\Program Files\CA
Supprimer la clef de registre HKLM/SOFTWARE/ComputerAssociates et toutes ses sous-clés
Supprimer les exceptions firewall installées par eTrust
Installer l'agent :
soit en copiant les fichiers d'install de la version refresh d'eTrust, auquel cas :
se connecter sous le compte sunnikan\etrust
n'installer que l'agent
ne pas rentrer les infos de licence
soit via l'utilitaire d'installation à distance, auquel cas :
bien utiliser sunnikan\etrust comme compte de connexion
si l'installation ne passe pas, faire tomber les firewall
Une fois l'agent installé et le poste rebooté, lancer une découverte par balayage sur le serveur ITM
Cocher l'agent (re)découvert et l'affecter à la branche Organisation/Clients AV
vérifier que
les stratégies s'appliquent,
les infos de licence sont correctes,
les services sont pilotables depuis le serveur
lancer une mise à jour de l'agent (clic droit sur l'icone de la barre des taches > Télécharger les mises à jour)
Cliquer sur l'icone qui apparait dans la barre des taches
vérifier que les mises à jour se font bien sur le serveur vrt-etrust et non depuis etrustdownloads.ca.com

Détail de la stratégie

Définir l'organisation :
a - Branche Organisation/Serveur ITM : pour le serveur ITM
b - Branche Organisation/Clients AV : pour les clients AV
Définir les stratégies
a - Branche Organisation/ : Analyse hebdo, Comm Client/Serveur, Type de composants mis à jour (enlever Pest Patrol)
b - Branche Organisation/Serveur ITM : Redistrib de signatures, updates sur le web
c - Branche Organisation/Clients AV : Update sur le client du serveur ITM

Notes sur la licence

Les données de la licence sont contenue dans un fichier license.xml situé :

C:\Program Files\CA\SharedComponents\SubscuptionLicense\

S'il s'avère nécessaire de rentrer manuellement les informations de licence :

consulter le fichier info e-trust.gif pour les champs généraux
saisir mdp = polux32
saisir reminder mdp = arone
saisir date de début de licence = 17/05/2008

En général, saisir la clef et les informations contenues dans e-trust.gif permettent de revalider la clef.

Ports de communication

TCP	5250	Supports the eTrust Threat Management Agent GUI. This port is used by iGateway.
TCP	6688	Supports communication (HTTPS) between browser and the Threat Management Console. Used by the Threat Management Console
TCP	6689	Supports communication (HTTP) between the browser and the Threat Management Console. Used by the Threat Management Console
TCP	8005	This is the port used for the Tomcat management and JMX extensions. If an instance of Tomcat was previously installed, then the eTrust Threat Management Console will use that port instead.
TCP	12169	This port supports the InoWeb service. Used by the Threat Management Console
UDP	42508	This is the default User Datagram Protocol (UDP) port to which packets are returned after IP-directed broadcasts are made to discover eTrust ITM computers in a subnet. Used by the ITM Agent Phone Home section of inoc6.icf file
TCP	42509	This is a required TCP port that the discovery process uses to report back to the Threat Management Server. Allows clients to report back to the ITM Server during discovery. Used by the ITM server
TCP UDP	42510	Allows polices to be pushed to clients by a RPC call. Used by the ITM Agent
TCP	42511	Distributes content updates to other machines. Used by Redistribution servers

Services

TCP	12168	InoWeb
TCP	42510	Regles
TCP	42511	MAJ
TCP	5250	Interface utilisateur ITM
TCP	6688	Console ITM (https)
TCP	6689	Console ITM (http)
UDP	42508	Découverte
UDP	42509	Communication Client/Serveur

Applications

Serveur Apache TomCat :

C:\Program Files\CA\eTrustITM\Apache\bin\Apache.exe

Ports indirectement utilisés

TCP	135	Location Service, RPC, DCE endpoint resolution	epmap
TCP	136	Profile Naming System	profile
UDP	137	NETBIOS Name Service	netbios-ns
UDP	138	NETBIOS Datagram Service	netbios-dgm
TCP	139	NETBIOS Session Service	netbios-ssn
TCP UDP	389	LDAP	ldap (If you are accessing the Threat Management Server using LDAP on Windows, this port is required and must not be used by any other programs.)
UDP	445	Microsoft-DS	microsoft-ds

Services

Les services sont listés dans les fichiers batch présents dans le répertoire utilitaire :

inoRT	Analyseur temps réel
inoWeb	Interface de gestion Java
inoTask	Service de Jobs
inoRPC	Communication Client/serveur
inoNmSrv	Serveur ITM
iGateway	Rôle non clair, communication Client/serveurs (tierce partie ?)
ApacheTomcatApplicationServer	Serveur apache pour la console
ApacheContentServer	Serveur apache pour la console

Lexique

RPC (Remote Procedure Call)
LDAP (Lightweight Directory Access Protocol)

Notes de résolution

17:02 26/09/2008

Un compte AD spécifique à eTrust à été créé : sunnikan\etrust
Ce compte est pourvu des profils suivants (Utilisateurs et Ordinateurs Active Directory):

Administrateur
Administrateur du domaine
Opérateur de sauvegarde

Ce compte est pourvu des droits spécifiques suivants (Paramètres de sécurité/Stratégie locale/Attribution des droits utilisateurs) :

Ouvrir une session en tant que service
Agir en tant que partie du système d'exploitation
Permettre l'ouverture d'une session locale

Une réinstallation totale du serveur à été effectuée
la manipulation du répertoire DB à permis de conserver la config déjà réalisée

15:51 03/10/2008

Lors d'une perte de main sur le client :

RAZ de la clef : HKLM/SOFTWARE/ComputerAssociate/EtrustITM/CurentVersion/InternationalSettings/RPCThreadContent
vérification de l'adresse stockée dans /id./CliName

Tests d'installation (26/09/2008)

pwge750

installation en local sous le compte sunnikan\etrust
copie des fichiers d'install de la version refresh en local
installation sans rentrée d'info de licence
firewall down serveur et client
découverte depuis le serveur > stratégies appliquées

latitude 430-4

Remote install depuis vrt-etrust en utilisant le compte sunnikan\etrust
firewall down des deux cotés

latitude 430-3

remote install depuis vrt-etrust en utilisant le compte sunnikan\etrust
firewall up coté client
firewall down coté serveur (ne passe pas sinon)

Tests à effectuer :

installer en remote en utilisant le compte d'admin de domaine, vu qu'il est désormais sensé être pourvu des droits attribués au compte etrust
connexion à la console sous un autre compte utilisateur

Actions du 17:24 22/10/2008 (Service technique international)

Présentation du problème.
Désintall / réinstall de l'agent AV du vrt-vs2003 :
via le compte sunnikan\administrateur en remote install depuis le vrt-etrust
résultat : perte automatique de main
Ajout de l'utilisateur sunnikan\administrateur dans les users de la console ITM
Aucune amélioration
Création de deux sauvegardes à envoyer plus tard. Stockées sur le bureau :
répertoires de licence
répertoire DB

__________