Getting started guide
Sym ante c ™ Ga t e w a y
Security 300 Se r i e s
This guide briefly describes the tasks and information
you need to configure, operate, and maintain your
secuirty gateway and provides references to where you
can find more information.
This guide includes the following topics:
■ Set up an Internet account that all your users can
share. Set up multiple Internet connections for
continuous access.
■ Control traffic to and from your protected network.
■ Secure your network. Grant network access to your
remote users.
■ Prevent and handle attacks. Keep hackers out.
■ Enforce virus protection on your network.
■ Control access to what users on your network can
view.
■ Automatically update your security gateway.
■ Maintain your security gateway.
1
Set up an Internet account that all your users
can share. Set up multiple Internet
connections for continuous access.
The first time you access the security gateway, the Setup
Wizard guides you through configuring Internet
connectivity for the security gateway. Using the Security
Gateway Management Interface (SGMI), you can
configure a second Internet connection as a backup.
The Internet account or accounts that you set up using
either the Setup Wizard or the SGMI can be shared by all
computers that you connect through the LAN ports, or
that use the security gateway as a wireless access point.
See Chapter 3, “Running the Setup Wizard” in the
Symantec Gateway Security 300 Series Installation Guide
for information on the Setup Wizard.
Symantec Gateway Security 300 Series security gateways
provides additional ports for backup WAN connection
and software that automatically senses failures and
transfers WAN data through the backup connection.
Model 320 has a serial port to which an external dial-up
modem can be attached. Models 360 and 360R have a
second full-speed WAN port, in addition to the serial
port, to ensure continuous access.
See Chapter 3, “Configuring a connection to the outside
network” in the Symantec Gateway Security 300 Series
Administrator’s Guide for information on connecting
your security gateway to the Internet.
Control traffic to and from your protected
network.
Symantec Gateway Security 300 Series protects
enterprise assets and business transactions with one of
the most secure, high-performance solutions for
ensuring safe connections with the Internet and between
networks. The firewall component delivers security and
speed, providing strong and transparent firewall
protection against unwanted intrusion without slowing
the flow of approved traffic on enterprise networks.
Using rules-based software, the security gateway lets you
define the type of traffic that can enter or leave your
network.
■ Inbound rules control the type of traffic flowing
into application servers on your security gateway-
protected networks. When creating inbound rules,
you must specify the applications server, the service,
protocols, and ports that the rule allows. When an
inbound rule exists, the firewall allows entry for
traffic matching the rule from any external host.
Note: By default, all inbound traffic is blocked.
■ Outbound rules control the type of traffic leaving
your protected network. By default, all internal
computers have no restrictions on outbound access.
When you define an outbound rule for a given
computer group however, all other traffic is blocked
unless an outbound rule is defined to allow it.
The security gateway also lets you configure special
applications that can be used for certain applications
with two-way communication (such as games and video
conferencing). When a special application is enabled, it
acts as a global filter; it is not specific to any computer
group or inbound/outbound rule. When enabled, the
traffic specified can pass in either direction from any
host.
See Chapter 5, “Network Traffic Control” in the
Symantec Gateway Security 300 Series Administrator’s
Guide.
2
Secure your network. Grant network access
to your remote users.
Symantec Gateway Security 300 Series supports IPsec-
compliant Virtual Private Network (VPN) technology
that lets you securely extend the boundaries of your
internal network to use insecure communication
channels (such as the Internet or wireless) to safely
transport sensitive data. VPNs are used to allow remote
users or remote networks access to the protected
resources of your network.
Symantec Gateway Security 300 Series supports three
types of VPN tunnels: Gateway-to-Gateway, Client-to-
Gateway, and wireless LAN (WLAN) Client-to-Gateway
tunnels.
Additive license/media kit options for Symantec
Gateway Security 300 Series Client-to-Gateway VPN
software allow concurrent client-to-gateway VPN
tunnels on all models. Licenses are available in 5 and 10
concurrent session increments.
Securing your network connections using VPN
technology is an important step in ensuring the quality
and integrity of your data.
See Chapter 6, “Establishing Secure VPN Connections”
in the Symantec Gateway Security 300 Series
Administrator’s Guide.
Prevent and handle attacks. Keep hackers
out.
The Symantec Gateway Security 300 Series’ intrusion
detection and intrusion prevention (IDS and IPS)
features help you to secure your organization against
unwanted intruders and attacks. They let you monitor
network traffic for suspicious behavior and respond to
detected intrusions in real time.
The intrusion detection component detects intrusion
attempts based on specific atomic signatures including
Teardrop, Back Orifice, Girlfriend, buffer overflows, and
many others. As new firmware packages containing
more atomic signatures become available, Symantec’s
LiveUpdate technology, can download it to address new
threats well before they become security issues.
In addition to preventing attacks based on atomic
signatures, the IDS and IPS components also offer the
following levels of protection:
■ IP spoofing protection
■ IP options verification
■ TCP flag validation
■ Trojan horse protection
■ Port scan detection
See Chapter 8, “Preventing Attacks” in the Symantec
Gateway Security 300 Series Administrator’s Guide.
Enforce virus protection on your network.
Symantec Gateway Security 300 Series includes an
antivirus policy enforcement (AVpe) feature that lets
you monitor client AV configurations and, if necessary,
enforce security policies to restrict network access to
only those clients who are protected by antivirus
software with the most current virus definitions.
Implementing antivirus protection at each client
computer is an important step in protecting your
network against viruses and other related threats that
may enter your network through other means. The
security gateway’s AVpe feature, when used with
supported Symantec antivirus products, provides a level
of assurance that clients are fully compliant with
network security policies before they are allowed access
to your network.
See Chapter 7, “Advanced Network Traffic Control” in
the Symantec Gateway Security 300 Series Administrator’s
Guide.
Control access to what users on your
network can view.
Symantec Gateway Security 300 Series supports content
filtering for outbound traffic. You use content filtering
to restrict the content to which clients have access. For
example, add to the allow list the URLs to known
business-related sites such as www.cnn.com.
Content filtering is administered through computer
groups. A computer group is a group of computers,
defined in the Firewall section, to which you apply the
same rules. When you define a computer group in the
Firewall section, you specify if the group uses a content
filtering deny or allow list.
3
See Chapter 7, “Advanced Network Traffic Control” in
the Symantec Gateway Security 300 Series Administrator’s
Guide.
Automatically update your security
gateway.
The key to security is vigilance. One of the best ways to
keep your network secure is to have the latest updates for
your security gateway. You can configure the security
gateway to automatically handle updates using
Symantec’s LiveUpdate technology.
Symantec Gateway Security 300 Series firmware can be
securely and automatically updated without user
involvement to apply updates or protection for new
threats.
When enabled, the LiveUpdate component contacts
Symantec’s LiveUpdate servers and checks for available
updates. If updates are available, the security gateway
downloads and applies them, and then restarts the
security gateway.
The Symantec Gateway Security 300 Series LiveUpdate
feature offers a Scheduler to help you minimize network
downtime from restarts. Using the Scheduler, you can
specify the exact time and day of week that you want the
security gateway to check for firmware updates. This
helps to ensure that network traffic is not interrupted
during peak operating hours.
See chapter 9, “Logging, Monitoring, and Updates” in
the Symantec Gateway Security 300 Series Administrator’s
Guide.
Maintain your security gateway.
After you have installed and configured the functionality
on your security gateway, you should perform periodic
maintenance tasks. Use this list as a basis to create your
own maintenance routine.
Based on growth
■ Build VPN Gateway-to-Gateway tunnels to business
partners and remote offices.
As you create relationships and expand to remote
offices, secure your traffic with VPN Gateway-to-
Gateway tunnels. See Chapter 6, “Establishing
secure VPN connections” in the Symantec Gateway
Security 300 Series Administrator’s Guide.
■ Enable secured Client-to-Gateway access to
employees.
■ Expand your secured wireless local area network.
See Symantec Gateway Security 300 Series Wireless
Implementation Guide.
■ Enable dynamic user authentication for VPN
tunnels.
Dynamic users use RADIUS authentication for
their Client-to-Gateway tunnels. See Chapter 6,
“Establishing secure VPN connections” in the
Symantec Gateway Security 300 Series
Administrator’s Guide.
■ Add new internal users to the security policy.
Daily
■ Monitor the security gateway status.
Current security gateway status is available on the
main page when you log in, or by clicking Logging/
Monitoring > Status. You can get information like
the current build, the current WAN and LAN IP
addresses, and connection states.
Status on many specific features is available in their
respective sections. For example, for status on VPN
tunnels, in the SGMI, click VPN > Status.
■ Respond to new virus threats and attacks.
View the log daily to watch for attack patterns by
clicking Logging/Monitoring > View Log.
Ensure that your clients have a supported Symantec
antivirus client with the latest virus signatures by
enabling AVpe. See Chapter 7, “Advanced network
traffic control” in the Symantec Gateway Security
300 Series Administrator’s Guide.
■ Respond to internal calls on connections blocked by
content filtering or AVpe to help users with their AV
updates.
See Chapter 7, “Advanced network traffic control”
in the Symantec Gateway Security 300 Series
Administrator’s Guide for information on AVpe.
Weekly or monthly
■ Enable access to external applications by internal
users. Enable access for external users to internal
applications.
You enable access to your network with inbound
firewall rules, and enable external access for your
4
internal users by creating outbound firewall rules.
See Chapter 5, “Network traffic control” in the
Symantec Gateway Security 300 Series
Administrator’s Guide.
■ Troubleshoot user authentication problems with
RADIUS.
Dynamic VPN clients (users) use RADIUS to
authenticate. You must set up a separate RADIUS
server for this authentication. See Chapter 6,
“Establishing secure VPN connections” in the
Symantec Gateway Security 300 Series
Administrator’s Guide.
Monthly
■ LiveUpdate the security gateway to the latest version
of the firmware.
Symantec Gateway Security 300 Series’s LiveUpdate
includes a Scheduler that automatically checks for
firmware updates. You should configure the
Scheduler to check for updates at least monthly.
Also, if you prefer to check for updates manually,
schedule this into regular monthly maintenance.
See Chapter 9, “Logging, monitoring, and
maintenance” in the Symantec Gateway Security 300
Series Administrator’s Guide.
■ Add new sites to the content filtering allow or deny
list.
Periodically you should monitor the types of traffic
that your internal clients are viewing and create
content filtering rules to match your policies for
traffic. See Chapter 7, “Advanced network traffic
control” in the Symantec Gateway Security 300
Series Administrator’s Guide.
Monthly or based on changes at remote sites
■ Improve Gateway-to-Gateway VPN tunnels to
remote offices.
When a remote office goes through a change (new
ISP, new office, moving the servers, and so on), you
may have to improve Gateway-to-Gateway VPN
tunnels. See Chapter 6, “Establishing secure VPN
connections” in the Symantec Gateway Security 300
Series Administrator’s Guide.
As needed
■ Recover from power failures.
In the event of a power failure, traffic may be
interrupted. You can mitigate interruptions by
backing up the power with a universal power supply
(UPS).
If a LiveUpdate is occurring when the power fails,
the security gateway may revert to the last
successfully applied all.bin version of the firmware.
■ Communicate with Symantec Technical Support for
technical issues.
See Appendix A, “Troubleshooting” in the
Symantec Gateway Security 300 Series
Administrator’s Guide for information on
contacting Symantec Technical Support.

Where to get more information

Online Help is available for each tab by clicking the Help
button (blue circle with a question mark) at the top right
corner of each screen.
The following documents describe the Symantec
Gateway Security 300 Series functionality:
Symantec Gateway Security 300 Series Installation Guide
Symantec Gateway Security 300 Series Administrator’s
Guide

5
Erste Schritte
S ymante c ™ Ga t e w a y
S ecurity 300 Se r i e
Dieses Dokument enthält kurze Beschreibungen und
Informationen zur Konfiguration, Bedienung und War-
tung Ihres Sicherheits-Gateways sowie Referenzen zu
weiteren Informationen.
Dieses Dokument behandelt folgende Themen:
■ Ein Internet-Konto einrichten, das alle Ihre Benut-
zer verwenden können. Mehrere Internet-Verbin-
dungen für kontinuierlichen Zugriff einrichten.
■ Datenverkehr von und zu Ihrem geschützten Netz-
werk steuern.
■ Netzwerk sichern. Remote-Benutzern Zugriff auf
das Netzwerk gewähren.
■ Angriffe verhindern und darauf reagieren. Hackern
den Zugriff verwehren.
■ Virenschutz auf Ihrem Netzwerk durchsetzen.
■ Zugriff von Benutzern auf bestimmte Bereiche in
Ihrem Netzwerk steuern.
■ Sicherheits-Gateway automatisch aktualisieren.
■ Sicherheits-Gateway warten.
1
Ein Internet-Konto einrichten, das alle Ihre
Benutzer verwenden können. Mehrere Inter-
net-Verbindungen für kontinuierlichen Zugriff
einrichten.
Wenn Sie zum ersten Mal auf das Sicherheits-Gateway
zugreifen, führt Sie der Setup-Assistent durch die Konfi-
guration der Internet-Konnektivität für das Sicherheits-
Gateway. Unter Verwendung des Security Gateway
Management Interface (SGMI) können Sie eine zweite
Internet-Verbindung als Ausweichverbindung konfigu-
rieren. Das bzw. die von Ihnen mit dem Setup-Assisten-
ten oder über das SGMI eingerichteten Internet-Konten
können von allen Computern verwendet werden, die Sie
über die LAN-Ports anschließen oder die das Sicherheits-
Gateway als drahtlosen Zugangspunkt verwenden.
Informationen zum Setup-Assistenten finden Sie in
Kapitel 3, "Ausführen des Setup-Assistenten", im Instal-
lationshandbuch zur Symantec Gateway Security
Appliance der 300er Serie.
Sicherheits-Gateways der Symantec Gateway Security
300 Serie bieten zusätzliche Ports für WAN-Ausweichver-
bindungen sowie Software, die Verbindungsfehler auto-
matisch erkennt und dann die WAN-Daten über die Aus-
weichverbindung weiterleitet.
Das Modell 320 verfügt über eine serielle Schnittstelle, an
die ein externes Modem angeschlossen werden kann. Die
Modelle 360 und 360R haben zusätzlich zur seriellen
Schnittstelle einen zweiten WAN-Port, der die volle
Geschwindigkeit bietet, um einen unterbrechungsfreien
Zugriff zu gewährleisten.
Informationen zum Verbinden Ihres Sicherheits-Gate-
ways mit dem Internet finden Sie in Kapitel 3, "Konfigu-
ration der Verbindung zu einem externen Netzwerk", im
Administratorhandbuch zur Symantec Gateway Security
Appliance der 300er Serie.
Datenverkehr von und zu Ihrem geschützten
Netzwerk steuern.
Die Symantec Gateway Security 300 Serie schützt Vermö-
genswerte und Geschäftstransaktionen von Unterneh-
men durch eine der sichersten und hochleistungsfähigs-
ten Lösungen für die Gewährleistung sicherer Verbindun-
gen mit dem Internet und zwischen Netzwerken. Die Fire-
wall-Komponente bietet Sicherheit und Geschwindigkeit
und stellt durch den starken und transparenten Firewall-
Schutz sicher, dass keine unerwünschten Zugriffsversuche
möglich sind, ohne dabei den zulässigen Datenverkehr im
Unternehmensnetzwerk zu verlangsamen.
Mithilfe der regelbasierten Software können Sie im
Sicherheits-Gateway die Art von Datenverkehr definie-
ren, der in Ihr Netzwerk gelangen oder es verlassen darf.
■ Eingangsregeln steuern den Datenverkehr, der an den
Anwendungs-Servern in Ihren durch das Sicherheits-
Gateway geschützten Netzwerken eingeht. Beim
Erstellen von Eingangsregeln müssen Sie angeben,
welche Anwendungs-Server, Dienste, Protokolle und
Ports die Regel zulässt. Wenn eine Eingangsregel vor-
handen ist, werden von externen Hosts gesendete
Daten zugelassen, die der Regel entsprechen.
Hinweis: Standardmäßig wird der gesamte einge-
hende Datenverkehr blockiert.
■ Ausgangsregeln steuern die Art der Daten, die Ihr
geschütztes Netzwerk verlassen. Standardmäßig
unterliegen alle internen Computer keinen Ein-
schränkungen für ausgehenden Datenverkehr.
Wenn Sie eine Ausgangsregel für eine bestimmte
Computer-Gruppe definieren, wird der übrige
Datenverkehr blockiert, bis Sie eine Ausgangsregel
definieren, die diesen Verkehr zulässt.
2
Darüber hinaus können Sie im Sicherheits-Gateway auch
spezielle Anwendungen konfigurieren, die für bestimmte
Anwendungen mit 2-Wege-Kommunikation (z. B. Spiele
oder Videokonferenzen) verwendet werden können.
Wenn eine spezielle Anwendung aktiviert ist, fungiert sie
als globaler Filter. Sie gilt nicht nur für eine bestimmte
Computer-Gruppe oder Eingangs- bzw. Ausgangsregel.
Wenn diese Funktion aktiviert ist, kann der angegebene
Datenverkehr zwischen den Clients und beliebigen Hosts
in beiden Richtungen stattfinden.
Siehe Kapitel 5, "Steuerung des Netzwerkverkehrs", im
Administratorhandbuch zur Symantec Gateway Security
Appliance der 300er Serie.
Netzwerk sichern. Remote-Benutzern Zugriff
auf das Netzwerk gewähren.
Die Symantec Gateway Security 300 Serie unterstützt
IPsec-kompatible VPN-Technologie (Virtual Private
Network), mit der Sie Ihr internes Netzwerk so erweitern
können, dass wichtige Daten über nicht gesicherte Kom-
munikationskanäle (z.B. das Internet oder das drahtlose
Netzwerk) sicher transportiert werden. VPNs werden
verwendet, um Remote-Benutzern oder Remote-Netz-
werken den Zugriff auf geschützte Ressourcen in einem
anderen Netzwerk zu ermöglichen.
Die Symantec Gateway Security 300 Serie unterstützt
drei Arten von VPN-Tunnels: Gateway-to-Gateway,
Client-to-Gateway und Wireless LAN (WLAN) Client-
to-Gateway.
Zusätzliche Lizenzen bzw. Medien-Kits für die Client-to-
Gateway-VPN-Software der Symantec Gateway Security
300 Serie ermöglichen mehrere gleichzeitig aktive Client-
to-Gateway-VPN-Tunnels auf allen Modellen. Lizenzen
sind für 5 und für 10 gleichzeitige Sitzungen erhältlich.
Die Sicherung Ihrer Netzwerkverbindungen mithilfe der
VPN-Technologie ist entscheidend, um die Qualität und
Integrität Ihrer Daten zu gewährleisten.
Siehe Kapitel 6, "Einrichten sicherer VPN-Verbindun-
gen", im Administratorhandbuch zur Symantec Gateway
Security Appliance der 300er Serie.
Angriffe verhindern und darauf reagieren.
Hackern den Zugriff verwehren.
Die Funktionen "Intrusion Detection" und "Intrusion
Prevention" (IDS und IPS) der Symantec Gateway Secu-
rity 300 Serie helfen Ihnen, Ihr Unternehmen vor uner-
wünschten Eindringlingen und Angriffen zu schützen.
Mit ihnen können Sie den Netzwerkverkehr auf verdäch-
tiges Verhalten überwachen und in Echtzeit auf Zugriffs-
versuche reagieren.
Die Intrusion Detection-Komponente erkennt unbe-
fugte Zugriffsversuche anhand von spezifischen atomi-
schen Signaturen, darunter Teardrop, Back Orifice, Girl-
friend, Pufferüberläufe und viele andere. Sobald neue
Firmware-Pakete mit weiteren atomischen Signaturen
verfügbar werden, können diese mit LiveUpdate von
Symantec heruntergeladen werden, um das Netzwerk vor
neuen Bedrohungen zu schützen.
Neben der Abwehr von Angriffen anhand von atomi-
schen Signaturen bieten die IDS- und IPS-Komponenten
außerdem folgenden Schutz:
■ IP-Spoof-Schutz
■ Überprüfung der IP-Optionen
■ TCP-Flag-Validierung
■ Schutz vor Trojanern
■ Port-Scan-Erkennung
Siehe Kapitel 8, "Verhindern von Angriffen", im Adminis-
tratorhandbuch zur Symantec Gateway Security Appliance
der 300er Serie.
Virenschutz auf Ihrem Netzwerk durchsetzen.
Die Symantec Gateway Security 300 Serie enthält eine
Funktion zur Einhaltung von Virenschutz-Richtlinien
(AVpe), mit der Sie Client-AV-Konfigurationen überwa-
chen und bei Bedarf Sicherheitsrichtlinien durchsetzen
können, um den Netzwerkzugriff auf jene Clients zu
beschränken, die durch Antivirus-Software mit den aktu-
ellsten Virendefinitionen geschützt sind.
3
Die Implementierung von Virenschutz auf jedem Client-
Computer ist ein wichtiger Schritt zum Schutz Ihres
Netzwerks vor Viren und anderen Bedrohungen. Die
AVpe-Funktion des Sicherheits-Gateways bietet bei Ver-
wendung mit einem unterstützten Symantec-Antivirus-
Produkt einen Grad an Sicherheit, der gewährleistet, dass
Clients beim Zugriff auf Ihr Netzwerk vollständig den
Netzwerk-Sicherheitsrichtlinien entsprechen.
Siehe Kapitel 7, "Erweiterte Steuerung des Netzwerkver-
kehrs", im Administratorhandbuch zur Symantec Gateway
Security Appliance der 300er Serie.
Zugriff von Benutzern auf bestimmte Bereiche
in Ihrem Netzwerk steuern.
Die Symantec Gateway Security 300 Serie unterstützt das
Content Filtering für ausgehenden Datenverkehr. Mit-
hilfe von Content Filtering können Sie festlegen, auf wel-
che Inhalte Clients Zugriff haben sollen. Fügen Sie bei-
spielsweise die URL-Adressen von bekannten Sites wie
www.symantec.de zur Liste vom Typ "Zulassen" hinzu.
Die Content Filtering-Funktion wird mithilfe von Com-
puter-Gruppen verwaltet. Computer-Gruppen sind im
Firewall-Abschnitt definierte Gruppen, für die dieselben
Regeln gelten. Wenn Sie eine Computer-Gruppe im Fire-
wall-Abschnitt definieren, geben Sie an, ob die Gruppe
für das Content Filtering Listen vom Typ "Ablehnen"
oder Listen vom Typ "Zulassen" verwendet.
Siehe Kapitel 7, "Erweiterte Steuerung des Netzwerkver-
kehrs", im Administratorhandbuch zur Symantec Gateway
Security Appliance der 300er Serie.
Sicherheits-Gateway automatisch aktualisieren.
Der Schlüssel zur Sicherheit ist Wachsamkeit. Die größt-
mögliche Sicherheit für Ihr Netzwerk ist gewährleistet,
wenn Sie über die neuesten Updates für Ihr Sicherheits-
Gateway verfügen. Sie können das Sicherheits-Gateway
so konfigurieren, dass es Updates automatisch mithilfe
der LiveUpdate-Technologie von Symantec herunterlädt
und installiert.
Firmware der Symantec Gateway Security 300 Serie kann
sicher und automatisch aktualisiert werden, um Updates
oder Schutz vor neuen Bedrohungen zu implementieren.
Wenn die LiveUpdate-Komponente aktiviert ist, stellt sie
eine Verbindung zu den LiveUpdate-Servern von Syman-
tec her und prüft, ob Updates verfügbar sind. Ist dies der
Fall, werden die Updates auf das Sicherheits-Gateway
heruntergeladen und installiert. Anschließend wird das
Sicherheits-Gateway neu gestartet.
Die LiveUpdate-Funktion der Symantec Gateway Secu-
rity 300 Serie bietet einen Planer, mit dem Sie die Netz-
werk-Ausfallzeiten durch Neustarts minimieren können.
Mithilfe des Planers können Sie die genaue Uhrzeit und
den genauen Wochentag festlegen, an dem das Sicher-
heits-Gateway nach Firmware-Updates suchen soll. So
stellen Sie sicher, dass der Netzwerkverkehr nicht zu den
Hauptgeschäftszeiten unterbrochen wird.
Siehe Kapitel 9, "Protokollierung, Überwachung und
Updates", im Administratorhandbuch zur Symantec
Gateway Security Appliance der 300er Serie.
Sicherheits-Gateway warten.
Nachdem Sie die Funktionalität auf Ihrem Sicherheits-
Gateway installiert und konfiguriert haben, sollten Sie
regelmäßig Wartungsaufgaben durchführen. Verwenden
Sie nachfolgende Liste als Basis für Ihre individuelle War-
tungsroutine.
Basierend auf Wachstum
■ Erstellen Sie VPN-Gateway-to-Gateway-Tunnels zu
Geschäftspartnern und standortfernen Niederlas-
sungen.
Wenn Sie Geschäftsbeziehungen aufbauen und neue
Niederlassungen gründen, sichern Sie Ihren Netz-
werkverkehr mit VPN-Gateway-to-Gateway-Tun-
nels. Siehe Kapitel 6, "Einrichten sicherer VPN-
Verbindungen", im Administratorhandbuch zur
Symantec Gateway Security Appliance der 300er Serie.
■ Ermöglichen Sie einen sicheren Client-to-Gateway-
Zugriff für Ihre Mitarbeiter.
■ Erweitern Sie Ihr gesichertes Wireless Local Area
Network (WLAN).
Weitere Informationen hierzu finden Sie im
Symantec Gateway Security 300 Wireless Implemen-
tierungshandbuch.
4
■ Aktivieren Sie die dynamische Benutzerauthentifi-
zierung für VPN-Tunnels.
Dynamische Benutzer verwenden die RADIUS-
Authentifizierung für die Client-to-Gateway-Tun-
nels. Siehe Kapitel 6, "Einrichten sicherer VPN-Ver-
bindungen", im Administratorhandbuch zur
Symantec Gateway Security Appliance der 300er Serie.
■ Fügen Sie neue interne Benutzer zu den Sicherheits-
richtlinien hinzu.
Täglich
■ Überwachen Sie den Sicherheits-Gateway-Status.
Der aktuelle Sicherheits-Gateway-Status wird nach
Ihrer Anmeldung auf der Hauptseite angezeigt oder
indem Sie "Protokoll/Überwachen > Status" wählen.
Sie erhalten Informationen zum aktuellen Build,
den aktuellen WAN- und LAN-IP-Adressen sowie
zum Verbindungsstatus.
Der Status zu vielen spezifischen Funktionen ist in
den jeweiligen Abschnitten verfügbar. Beispielsweise
erhalten Sie den Status von VPN-Tunnels im SGMI,
indem Sie auf "VPN > Status" klicken.
■ Reagieren Sie auf neue Virenbedrohungen und
Angriffe.
Prüfen Sie täglich das Protokoll, um nach Angriffs-
mustern zu suchen, indem Sie "Protokoll/Überwa-
chen > Protokoll anzeigen" wählen.
Stellen Sie sicher, dass Ihre Clients einen unterstütz-
ten AntiVirus-Client von Symantec mit den neues-
ten Virensignaturen installiert haben, indem Sie
AVpe aktivieren. Siehe Kapitel 7, "Erweiterte Steue-
rung des Netzwerkverkehrs", im Administrator-
handbuch zur Symantec Gateway Security Appliance
der 300er Serie.
■ Reagieren Sie auf interne Benachrichtigungen über
Verbindungen, die von der Content Filtering- oder
AVpe-Funktion blockiert wurden, um Benutzern bei
ihren AV-Updates zu helfen.
In Kapitel 7, "Erweiterte Steuerung des Netzwerk-
verkehrs", im Administratorhandbuch zur Symantec
Gateway Security Appliance der 300er Serie finden Sie
weitere Informationen zu AVpe.
Wöchentlich oder monatlich
■ Ermöglichen Sie den Zugriff auf externe Anwendun-
gen durch interne Benutzer. Ermöglichen Sie den
Zugriff von externen Benutzern auf interne Anwen-
dungen.
Den Zugriff auf Ihr Netzwerk ermöglichen Sie durch
Firewall-Eingangsregeln, den externen Zugriff für
interne Benutzer ermöglichen Sie durch Firewall-
Ausgangsregeln. Siehe Kapitel 5, "Steuerung des
Netzwerkverkehrs", im Administratorhandbuch zur
Symantec Gateway Security Appliance der 300er Serie.
■ Beheben Sie Benutzerauthentifizierungsprobleme
mit RADIUS.
Dynamische VPN-Clients (Benutzer) verwenden
RADIUS zur Authentifizierung. Sie müssen einen
separaten RADIUS-Server für diese Authentifizie-
rung einrichten. Siehe Kapitel 6, "Einrichten sicherer
VPN-Verbindungen", im Administratorhandbuch
zur Symantec Gateway Security Appliance der 300er
Serie.
Monatlich
■ Aktualisieren Sie das Sicherheits-Gateway mit
LiveUpdate auf die neueste Firmware-Version.
Die LiveUpdate-Funktion der Symantec Gateway
Security 300 Serie umfasst einen Planer, der auto-
matisch nach Firmware-Updates sucht. Sie sollten
den Planer so konfigurieren, dass er mindestens ein-
mal im Monat nach Updates sucht. Wenn Sie es vor-
ziehen, manuell nach Updates zu suchen, sollten Sie
dies im Rahmen der monatlichen Wartung tun.
Siehe Kapitel 9, "Protokollierung, Überwachung
und Updates", im Administratorhandbuch zur
Symantec Gateway Security Appliance der 300er Serie.
■ Fügen Sie neue Sites zur Content Filtering-Liste vom
Typ "Zulassen" oder "Ablehnen" hinzu.
In regelmäßigen Abständen sollten Sie die Arten von
Daten überprüfen, die Ihre internen Clients abru-
fen, und Content Filtering-Regeln erstellen, damit
die Daten den Sicherheitsrichtlinien für den Netz-
werkverkehr entsprechen. Siehe Kapitel 7, "Erwei-
terte Steuerung des Netzwerkverkehrs", im Adminis-
tratorhandbuch zur Symantec Gateway Security
Appliance der 300er Serie.
5
Monatlich oder basierend auf Änderungen
an Remote-Sites
■ Verbessern Sie die Gateway-to-Gateway-VPN-Tun-
nels zu den standortfernen Niederlassungen.
Wenn bei einer Niederlassung eine Veränderung
vorgenommen wird (neuer Internet-Dienstanbieter,
neues Büro, Verschiebung der Server an einen ande-
ren Standort, etc.), müssen Sie möglicherweise die
Gateway-to-Gateway-VPN-Tunnels verbessern.
Siehe Kapitel 6, "Einrichten sicherer VPN-Verbin-
dungen", im Administratorhandbuch zur Symantec
Gateway Security Appliance der 300er Serie.
Bei Bedarf
■ Wiederherstellung nach Stromausfall.
Im Fall eines Stromausfalls wird der Netzwerkver-
kehr möglicherweise unterbrochen. Sie können
diese Unterbrechungen vermeiden, indem Sie eine
USV als Sicherung bei Stromausfällen installieren.
Wird gerade ein LiveUpdate-Vorgang ausgeführt,
wenn der Strom ausfällt, kehrt das Sicherheits-Gate-
way zur letzten erfolgreich angewandten all.bin-
Version der Firmware zurück.
■ Wenden Sie sich bei technischen Fragen an die Tech-
nische Unterstützung von Symantec.
Weitere Informationen zur Technischen Unterstüt-
zung von Symantec finden Sie in Anhang A, "Fehler-
behebung" im Administratorhandbuch zur Symantec
Gateway Security Appliance der 300er Serie.
Weitere Informationsquellen
Sie können für die einzelnen Registerkarten die Online-
Hilfe aufrufen, indem Sie auf die Hilfeschaltfläche
(blauer Kreis mit einem Fragezeichen) in der rechten
oberen Ecke des Bildschirms klicken.
In den folgenden Dokumenten werden die Funktionen
der Symantec Gateway Security 300 Serie beschrieben:
Installationshandbuch zur Symantec Gateway Security
Appliance der 300er Serie
Administratorhandbuch zur Symantec Gateway Security
Appliance der 300er Serie
Guide de prise en main
S ymante c ™ Ga t e w a y
S ecurity 300
Ce guide décrit brièvement les tâches requises pour
configurer, utiliser et maintenir votre passerelle de
sécurité. Il vous indique également où trouver des
informations supplémentaires.
Ce guide traite des rubriques suivantes :
■ Configurez un compte Internet partagé par tous les
utilisateurs. Configurez des connexions Internet
multiples pour accès permanent.
■ Contrôlez le trafic en provenance et à destination de
votre réseau protégé.
■ Sécurisez votre réseau. Accordez l'accès à vos
utilisateurs distants.
■ Evitez et traitez les attaques. Interdisez l'entrée aux
pirates.
■ Imposez la protection antivirus au réseau
■ Contrôlez l'accès de vos utilisateurs aux ressources
du réseau.
■ Actualisez automatiquement la passerelle de
sécurité.
■ Maintenez la passerelle de sécurité.
1
Configurez un compte Internet partagé par
tous les utilisateurs. Configurez des
connexions Internet multiples pour accès
permanent.
La première fois que vous accédez à la passerelle de
sécurité, l’assistant d’installation vous guide tout au long
de la configuration initiale de la connexion à Internet.
L'interface SGMI (Security Gateway Management
Interface) vous permet de configurer une seconde
connexion Internet, destinée à servir de sauvegarde. Les
comptes Internet que vous configurez avec l'assistant
d'installation ou SGMI peuvent être partagés par tous les
ordinateurs connectés aux ports de réseau local ou
utilisant la passerelle de sécurité comme point d'accès
sans fil.
Pour des informations sur l'assistant d'installation,
reportez-vous au chapitre 3, "Assistant d'installation",
du Guide d'installation de Symantec Gateway Security
300.
La passerelle de sécurité Symantec Gateway Security 300
comporte des ports supplémentaires pour une
connexion de réseau étendu de secours. Son logiciel
détecte automatiquement les défaillances et transfère les
données du réseau étendu sur la connexion de secours.
Le modèle 320 est doté d'un port série qui peut recevoir
un modem externe de connexion à distance. Les
modèles 360 et 360R sont dotés d'un second port de
réseau étendu haute vitesse, en plus du port série, pour
garantir un accès ininterrompu.
Pour des informations sur la connexion de la passerelle de
sécurité à Internet, reportez-vous au chapitre 3,
"Configuration d'une connexion au réseau externe", du
Guide de l'administrateur de Symantec Gateway Security
300.
Contrôlez le trafic en provenance et à
destination de votre réseau protégé.
Symantec Gateway Security 300 protège les actifs
d'entreprise et les transactions professionnelles avec une
des solutions les plus sécurisées et les plus performantes
du marché, garantissant des connexions sécurisées avec
Internet et entre les réseaux. Fiable et rapide, le
composant pare-feu assure une protection élevée et
transparente contre les intrusions, sans ralentir le flux
du trafic licite sur le réseau de l'entreprise.
En utilisant un logiciel basé sur des règles, la passerelle
de sécurité vous permet de définir le type de trafic qui
sera autorisé à entrer sur le réseau ou à en sortir.
■ Les règles de trafic entrant contrôlent les types de
trafic à destination des serveurs d'application
présents sur les réseaux protégés par la passerelle de
sécurité. Lorsque vous créez des règles de trafic
entrant, vous devez spécifier le serveur
d'application, le service, les protocoles et les ports
autorisés par la règle. Quand une règle de trafic
entrant a été définie, le pare-feu autorise tout trafic
d'un hôte externe correspondant à la règle.
Remarque : Par défaut, tout trafic entrant est
bloqué.
■ Les règles de trafic sortant contrôlent les types de
trafic quittant votre réseau protégé. Par défaut, il n'y
a aucune restriction d'accès sortant sur les
ordinateurs internes. Lorsque vous définissez une
règle de trafic sortant pour un groupe d'ordinateurs
déterminé, tous les autres trafics sont bloqués sauf si
vous définissez une règle de trafic sortant pour
autoriser chacun de ces trafics.
2
La passerelle de sécurité permet de configurer des
applications spéciales pour certaines applications
utilisant des communications bidirectionnelles (comme
les jeux et la vidéoconférence). Lorsqu'une application
spéciale est activée, elle se comporte comme un filtre
global : sa portée n'est pas spécifique à un groupe
d'ordinateurs ou à une règle de trafic sortant ou entrant.
Une fois l'application spéciale activée, le trafic spécifié
peut passer dans les deux directions depuis tous les
hôtes.
Reportez-vous au chapitre 5, "Supervision du trafic
réseau", du Guide de l’administrateur de Symantec
Gateway Security 300.
Sécurisez votre réseau. Accordez l'accès à
vos utilisateurs distants.
Le boîtier Symantec Gateway Security 300 prend en
charge les VPN (Virtual Private Networks – réseaux
privés virtuels) compatibles IPsec. Cette technologie
permet d'étendre les frontières de votre réseau interne en
utilisant des canaux de communication non sécurisés
(comme Internet) pour transporter des donnés sensibles
de manière sécurisée. Les VPN vous permettent
d'autoriser un utilisateur ou un réseau distant à accéder
aux ressources protégées de votre réseau.
Les boîtiers Symantec Gateway Security 300 prennent en
charge trois types de tunnels VPN : entre passerelles,
client à passerelle et client à passerelle sans fil.
Des options de licences additives et de kit de support
pour le logiciel de VPN client-passerelle autorisent des
tunnels VPN simultanés avec tous les modèles de boîtier
Symantec Gateway Security 300. Les licences sont
proposées par modules de 5 et 10 sessions simultanées.
La sécurisation de vos connexions réseau à l'aide de VPN
est un élément majeur pour assurer la qualité et
l'intégrité de vos données.
Reportez-vous au chapitre 6, "Etablissement de
connexions VPN sécurisées", du Guide de
l’administrateur de Symantec Gateway Security 300.
Evitez et traitez les attaques. Interdisez
l'entrée aux pirates.
Le boîtier Symantec Gateway Security 300 intègre des
fonctions de détection et de prévention des intrusions
(IDS/IPS) qui protègent votre entreprise contre les
intrus et les attaques. Elles permettent de contrôler le
trafic réseau pour détecter les activités douteuses et
bloquer les intrusions en temps réel.
La détection d'intrusion détecte les attaques sur la base
de signatures spécifiques incluant Teardrop, Back
Orifice, Girlfriend, les débordements de tampon et bien
d'autres. Quand de nouveaux paquets contenant
d'autres signatures sont publiés, la technologie
LiveUpdate de Symantec les télécharge pour faire face
aux nouvelles menaces avant qu'elles ne constituent un
risque de sécurité.
Outre une protection contre les attaques basée sur les
signatures, les composants IDS et IPS assurent les
niveaux de protection suivants :
■ protection d'interrogation IP (spoofing)
■ vérification des options IP
■ validation d'indicateur TCP
■ protection contre les chevaux de Troie
■ détection d'analyse de port
Reportez-vous au chapitre 8, "Prévention des attaques",
du Guide de l’administrateur de Symantec Gateway
Security 300.
Imposez la protection antivirus au réseau
Symantec Gateway Security 300 comporte la fonction
d’application de la stratégie antivirus (AVpe). Celle-ci
permet de contrôler la configuration antivirus des
clients et, si nécessaire, d'imposer l’application de
stratégies de sécurité pour réserver l’accès au réseau aux
clients protégés par un logiciel antivirus utilisant les
définitions de virus les plus récentes.
La mise en œuvre d'une protection antivirus sur chaque
ordinateur client est une étape essentielle de la protection
du réseau contre les virus et autres menaces apparentées
susceptibles d'entrer sur le réseau par d'autres moyens.
Utilisée conjointement aux produits antivirus Symantec,
la fonction AVpe de la passerelle de sécurité garantit la
conformité des clients aux stratégies de sécurité en
vigueur avant de les autoriser à accéder au réseau.
3
Reportez-vous au chapitre 7, "Supervision avancée du
trafic réseau", du Guide de l’administrateur de Symantec
Gateway Security 300.
Contrôlez l'accès de vos utilisateurs aux
ressources du réseau.
Symantec Gateway Security 300 prend en charge le
filtrage de contenu du trafic sortant. Vous pouvez utiliser
le filtrage de contenu pour restreindre les contenus
auxquels les clients ont accès. Ajoutez, par exemple, à la
liste d'autorisations les URL de sites à usage
professionnel tels que www.cnn.com.
Le filtrage de contenu est administré par l'intermédiaire
de groupes d'ordinateurs. Un groupe d'ordinateurs est
un ensemble de machines, défini dans la section Pare-
feu, auquel vous appliquez les mêmes règles. Lorsque
vous définissez un groupe d'ordinateurs, vous spécifiez si
le groupe doit utiliser un filtrage de contenu basé sur
une liste d'interdictions ou sur une liste d'autorisations.
Reportez-vous au chapitre 7, "Supervision avancée du
trafic réseau", du Guide de l’administrateur de Symantec
Gateway Security 300.
Actualisez automatiquement la passerelle de
sécurité.
La vigilance est la clé de la sécurité. L'un des éléments les
plus importants pour maintenir la sécurité du réseau est
de disposer des dernières mises à jour pour la passerelle
de sécurité. Vous pouvez configurer celle-ci pour gérer
automatiquement les mises à jour en exploitant la
technologie LiveUpdate de Symantec.
Le micrologiciel de Symantec Gateway Security 300 peut
être actualisé automatiquement et en toute fiabilité, sans
intervention de l'utilisateur, pour faire face aux
nouvelles menaces avec des mises à jour de la protection.
Une fois activé, le composant LiveUpdate contacte les
serveurs de Symantec et vérifie la présence de mises à
jour. Si des mises à jour sont disponibles, la passerelle de
sécurité les télécharge et les applique, puis redémarre la
passerelle.
La fonction LiveUpdate de Symantec Gateway Security
300 comporte un programmateur afin de limiter les
périodes d'indisponibilité du réseau. Le programmateur
vous permet de spécifier l'heure et la date exactes
auxquelles vous souhaitez que la passerelle de sécurité
vérifie la disponibilité de mises à jour du micrologiciel.
Vous évitez ainsi que le trafic réseau ne soit interrompu
aux heures de pointe.
Reportez-vous au chapitre 9, "Consignation, suivi et
mises à jour", du Guide de l’administrateur de Symantec
Gateway Security 300.
Maintenez la passerelle de sécurité.
Après avoir installé et configuré la passerelle de sécurité,
vous devez effectuer périodiquement des tâches de
maintenance. Utilisez cette liste comme base pour
planifier votre maintenance.
Selon l'évolution
■ Créez des tunnels VPN entre passerelles pour
communiquer avec les partenaires professionnels et
les filiales distantes.
Quand vous établissez de nouvelles relations et
développez des implantations, sécurisez votre trafic
avec des tunnels VPN entre passerelles. Reportez-
vous au chapitre 6, "Etablissement de connexions
VPN sécurisées", du Guide de l’administrateur de
Symantec Gateway Security 300.
■ Etablissez un accès sécurisé client-passerelle pour
les employés.
■ Déployez un réseau local sans fil sécurisé.
Reportez-vous au Guide de mise en œuvre du réseau
sans fil Symantec Gateway Security 300.
■ Activez l'authentification dynamique d'utilisateur
sur les tunnels VPN.
Les utilisateurs dynamiques se servent de
l'authentification RADIUS pour leurs tunnels
client-passerelle. Reportez-vous au chapitre 6,
"Etablissement de connexions VPN sécurisées", du
Guide de l’administrateur de Symantec Gateway
Security 300.
■ Ajoutez de nouveaux utilisateurs internes à la
stratégie de sécurité.
4
Chaque jour
■ Contrôlez l'état de la passerelle de sécurité.
Vous obtenez l'état de la passerelle de sécurité lors
d'une connexion ou en cliquant sur Consignation/
suivi > Etat. Des informations sont disponibles sur
le numéro de version, l'adresse IP de réseau étendu
et local, et l'état des connexions.
L'état des fonctionnalités est indiqué dans les
sections correspondantes. Par exemple, cliquez sur
VPN > Etat pour obtenir des informations sur l'état
des tunnels VPN.
■ Réagissez aux nouveaux virus et aux attaques.
Consultez le journal chaque jour pour anticiper les
attaques en cliquant sur Consignation/suivi >
Afficher le journal.
Activez Avpe pour vous assurer que vos clients
utilisent un logiciel antivirus Symantec pris en
charge et doté des dernières signatures de virus.
Reportez-vous au chapitre 7, "Supervision avancée
du trafic réseau", du Guide de l’administrateur de
Symantec Gateway Security 300.
■ Réagissez aux appels internes sur des connexions
bloquées par le filtrage de contenu ou Avpe pour
aider les utilisateurs à mettre à jour leur logiciel
antivirus.
Reportez-vous au chapitre 7, "Supervision avancée
du trafic réseau", du Guide de l’administrateur de
Symantec Gateway Security 300 pour des
informations sur AVpe.
Chaque semaine ou chaque mois
■ Activez l'accès des utilisateurs internes aux
applications externes. Activez l'accès des utilisateurs
externes aux applications internes.
Vous autorisez l'accès au réseau avec des règles de
trafic entrant et vous autorisez l'accès externe à vos
utilisateurs internes avec des règles de trafic sortant.
Reportez-vous au chapitre 5, "Supervision du trafic
réseau", du Guide de l’administrateur de Symantec
Gateway Security 300.
■ Dépannez les problèmes d'authentification des
utilisateurs avec RADIUS.
Les clients VPN dynamiques (utilisateurs) passent
par RADIUS pour s'authentifier. Vous devez
configurer un serveur RADIUS indépendant pour
cette authentification. Reportez-vous au chapitre 6,
"Etablissement de connexions VPN sécurisées", du
Guide de l’administrateur de Symantec Gateway
Security 300.
Chaque mois
■ Utilisez LiveUpdate pour actualiser la passerelle de
sécurité avec la version la plus récente du
micrologiciel.
La fonction LiveUpdate de Symantec Gateway
Security 300 comporte un programmateur qui
vérifie automatiquement la disponibilité des mises à
jour. Vous devez configurer le programmateur pour
effectuer cette vérification au moins une fois par
mois. Si vous préférez vérifier manuellement la
présence de mises à jour, planifiez une procédure
mensuelle. Reportez-vous au chapitre 9,
"Consignation, suivi et mises à jour", du Guide de
l’administrateur de Symantec Gateway Security 300.
■ Ajoutez de nouveaux sites à la liste d'autorisations
ou d'interdictions du filtrage de contenu.
Vous devez contrôler périodiquement le type de
trafic de vos clients internes et créer des règles de
filtrage de contenu en accord avec votre stratégie.
Reportez-vous au chapitre 7, "Supervision avancée
du trafic réseau", du Guide de l’administrateur de
Symantec Gateway Security 300.
Chaque mois ou en fonction des changements sur les
sites distants
■ Faites évoluer les tunnels VPN entre passerelles vers
les filiales distantes.
Quand une filiale subit des modifications (nouveau
FAI, nouveaux bureaux, déplacement des serveurs,
etc.), il peut être nécessaire d'optimiser les tunnels
VPN entre passerelles. Reportez-vous au chapitre 6,
"Etablissement de connexions VPN sécurisées", du
Guide de l’administrateur de Symantec Gateway
Security 300.
5
Selon les besoins
■ Effectuez une restauration en cas de problèmes
d'alimentation.
En cas de défaillance de l'alimentation, le trafic
risque d'être interrompu. Vous pouvez limiter les
interruptions en protégeant l'alimentation avec une
UPS (alimentation ininterruptible).
Si une session LiveUpdate est en cours lors de la
coupure de courant, la passerelle de sécurité peut se
réinitialiser sur la dernière version du micrologiciel
correctement appliquée.
■ Contactez le support technique Symantec en cas de
problème.
Reportez-vous à l'annexe A, "Dépannage" du Guide
de l’administrateur de Symantec Gateway Security
300 pour des informations sur le support technique
Symantec.
Pour plus d’informations
Une aide en ligne est disponible pour chaque onglet, en
cliquant sur le cercle bleu contenant un point
d'interrogation situé dans le coin supérieur droit de
l'écran.
Les fonctionnalités du boîtier Symantec Gateway
Security 300 sont décrites dans les guides suivants :
Guide d’installation de Symantec Gateway Security 300
Guide de l’administrateur de
Symantec Gateway Security 300
Guida introduttiva
Sym ante c ™ Ga t e w a y
Security Se r i e 300
Questa guida descrive brevemente le attività e le
informazioni necessarie per configurare, far funzionare e
mantenere il gateway di sicurezza e indica dove trovare
ulteriori informazioni.
Questa guida tratta i seguenti argomenti:
■ Configurazione di un account Internet condiviso da
tutti gli utenti. Configurazione di più connessioni a
Internet per un accesso costante.
■ Controllo del traffico da e verso la rete protetta.
■ Protezione della rete. Concessione dell'accesso alla
rete agli utenti remoti.
■ Prevenzione e gestione degli attacchi per tenere
lontani gli hacker.
■ Applicazione della protezione antivirus nella rete.
■ Controllo di ciò che possono visualizzare gli utenti
nella rete.
■ Aggiornamento automatico del gateway di
sicurezza.
■ Manutenzione del gateway di sicurezza.
1
Configurazione di un account Internet
condiviso da tutti gli utenti. Configurazione di
più connessioni a Internet per un accesso
costante.
La prima volta che si accede al gateway di sicurezza, la
Configurazione guidata fornisce le istruzioni per
configurare la connettività a Internet. Mediante la SGMI
(Security Gateway Management Interface, Interfaccia di
gestione del gateway di sicurezza), è possibile
configurare una seconda connessione a Internet di
backup. L'account o gli account Internet che vengono
configurati mediante la Configurazione guidata o la
SGMI possono essere condivisi da tutti i computer che
vengono connessi attraverso le porte LAN o che
utilizzano il gateway di sicurezza come punto di accesso
wireless.
Per ulteriori informazioni sulla Configurazione guidata,
vedere il capitolo 3, "Esecuzione della Configurazione
guidata" nella Guida all'installazione di Symantec
Gateway Security Serie 300.
Il gateway di sicurezza Symantec Gateway Security Serie
300 fornisce porte aggiuntive per una connessione WAN
di backup attraverso la quale trasferire i dati WAN
quando vengono rilevati automaticamente guasti
dall'apposito software.
Il modello 320 è dotato di una porta seriale alla quale è
possibile collegare un modem su linea commutata
esterna. I modelli 360 e 360R, oltre alla porta seriale,
sono dotati di una seconda porta WAN alla massima
velocità per garantire un accesso costante.
Per informazioni sulla connessione del gateway di
sicurezza a Internet, vedere il capitolo 3,
"Configurazione di una connessione alla rete esterna"
nel Manuale dell'amministratore di Symantec Gateway
Security Serie 300.
Controllo del traffico da e verso la rete
protetta.
Symantec Gateway Security Serie 300 protegge le risorse
dell'azienda e le transazioni economiche tramite una
delle più sicure soluzioni ad alte prestazioni per
garantire connessioni protette con Internet e tra le reti. Il
componente firewall offre sicurezza e velocità, fornendo
un'efficiente e trasparente protezione firewall contro
intrusioni non desiderate senza rallentare il flusso del
traffico approvato nelle reti aziendali.
Utilizzando software basato su regole, il gateway di
sicurezza consente di definire il tipo di traffico che può
entrare o uscire dalla rete.
■ Le regole in entrata controllano il tipo di traffico
che arriva ai server di applicazione nelle reti protette
dall'appliance. Quando si creano regole in entrata, è
necessario specificare il server delle applicazioni, il
servizio, i protocolli e le porte che sono autorizzati
dalla regola. Quando esiste una regola in entrata, il
firewall autorizza l'ingresso del traffico da qualsiasi
host esterno che ne soddisfa i criteri.
Note: per impostazione predefinita, tutto il traffico
in entrata viene bloccato.
■ Le regole in uscita controllano il tipo di traffico che
esce dalla rete protetta. Per impostazione
predefinita, i computer interni non hanno
restrizioni all'accesso in uscita. Tuttavia, quando si
definisce una regola in entrata per un determinato
gruppo di computer, tutto il resto del traffico viene
bloccato a meno che non sia definita un regola in
uscita che lo autorizza.
2
Il gateway di sicurezza consente inoltre di configurare
applicazioni speciali che possono essere utilizzate in
modo specifico con comunicazione bidirezionale, come
ad esempio videogiochi e videoconferenze. Quando
un'applicazione speciale è attivata, agisce come filtro
globale; essa non è specifica di alcun gruppo di
computer o regola in entrata/in uscita. Quando è
attivata, il traffico specificato può passare in entrambe le
direzioni da qualsiasi host.
Vedere il capitolo 5, "Controllo del traffico di rete" nel
Manuale dell'amministratore di Symantec Gateway
Security Serie 300.
Protezione della rete. Concessione
dell'accesso alla rete agli utenti remoti.
Symantec Gateway Security Serie 300 supporta la
tecnologia VPN (Virtual Private Network) compatibile
IPsec che permette di estendere i confini della rete
interna utilizzando canali di comunicazione non
protetti, come ad esempio Internet o wireless, per
trasportare in modo sicuro dati importanti. Le VPN
vengono utilizzate per autorizzare a utenti remoti o reti
remote l'accesso alle risorse protette della rete.
Symantec Gateway Security Serie 300 supporta tre tipi di
tunnel VPN: da gateway a gateway, da client a gateway e
tunnel wireless LAN (WLAN) da client a gateway.
Kit aggiuntivi di licenze/supporti per il software VPN da
client a gateway di Symantec Gateway Security Serie 300
permettono di attivare tunnel VPN da client a gateway
simultanei su tutti i modelli. Le licenze sono disponibili
in incrementi di 5 e 10 sessioni simultanee.
La protezione delle connessioni di rete mediante
tecnologia VPN è un passo importante per garantire la
qualità e l'integrità dei dati.
Vedere il capitolo 6, "Creazione di connessioni VPN
protette" nel Manuale dell'amministratore di Symantec
Gateway Security Serie 300.
Prevenzione e gestione degli attacchi per
tenere lontani gli hacker.
Le funzionalità di rilevazione e prevenzione delle
intrusioni (IDS e IPS) di Symantec Gateway Security
Serie 300 aiutano a proteggere l'organizzazione contro
intrusi e attacchi non desiderati. Permettono di
monitorare il traffico di rete alla ricerca di
comportamenti sospetti e di rispondere in tempo reale
alle intrusioni rilevate.
Il componente per la rilevazione delle intrusioni rileva i
tentativi di intrusione sulla base di specifiche firme
atomiche che comprendono tra l'altro Teardrop, Back
Orifice, Girlfriend, overflow del buffer e molte altre.
Quando vengono resi disponibili nuovi pacchetti di
firmware contenenti altre firme atomiche, la tecnologia
LiveUpdate di Symantec è in grado di scaricarli per
affrontare le nuove minacce prima che possano
diventare problemi per la sicurezza.
Oltre alla prevenzione degli attacchi in base a firme
atomiche, i componenti IDS e IPS offrono anche i
seguenti livelli di protezione:
■ Protezione contro lo spoofing IP
■ Verifica delle opzioni IP
■ Convalida del flag TCP
■ Protezione contro Trojan horse
■ Rilevazione della scansione delle porte
Vedere il capitolo 8, "Prevenzione degli attacchi" nel
Manuale dell'amministratore di Symantec Gateway
Security Serie 300.
Applicazione della protezione antivirus
nella rete.
Symantec Gateway Security Serie 300 include una
funzionalità di applicazione della politica antivirus
(AVpe) che permette di monitorare le configurazioni
AVpe dei client e, se necessario, applicare politiche di
sicurezza per limitare l'accesso alla rete solamente ai
client che sono protetti da software antivirus con le
definizioni dei virus più aggiornate.
L'implementazione della protezione antivirus in ciascun
computer client è un passo importante nella protezione
della rete contro i virus e altre minacce correlate che
potrebbero entrare nella rete con altri mezzi. Quando
viene utilizzata con prodotti Symantec supportati, la
3
funzionalità AVpe del gateway di sicurezza garantisce
che i client siano pienamente conformi alle politiche di
sicurezza prima di essere autorizzati ad accedere alla
rete.
Vedere il capitolo 7, "Controllo avanzato del traffico di
rete" nel Manuale dell'amministratore di Symantec
Gateway Security Serie 300.
Controllo di ciò che possono visualizzare gli
utenti nella rete.
Symantec Gateway Security Serie 300 supporta una
funzione di filtro del traffico in uscita finalizzata a
limitare i contenuti ai quali possono accedere i client. Ad
esempio, è possibile aggiungere all'elenco di
autorizzazioni gli indirizzi URL dei siti Web conosciuti
correlati all'economia come www.cnn.com.
Il filtro dei contenuti è amministrato attraverso i gruppi
di computer. Un gruppo di computer viene definito
nella sezione Firewall e a tutti i relativi membri vengono
applicate le stesse regole. Quando si definisce un gruppo
di computer nella sezione Firewall, occorre specificare se
questo utilizza un elenco di autorizzazioni o di divieti
per il filtro dei contenuti.
Vedere il capitolo 7, "Controllo avanzato del traffico di
rete" nel Manuale dell'amministratore di Symantec
Gateway Security Serie 300.
Aggiornamento automatico del gateway di
sicurezza.
Il fattore chiave della sicurezza è la vigilanza. Uno dei
modi migliori per tenere protetta la rete è di disporre
degli aggiornamenti più recenti per il gateway di
sicurezza. È possibile configurare il gateway di sicurezza
per gestire automaticamente gli aggiornamenti
utilizzando la tecnologia LiveUpdate di Symantec.
Il firmware di Symantec Gateway Security Serie 300 può
essere aggiornato in modo automatico e sicuro senza
l'intervento dell'utente per applicare gli aggiornamenti o
la protezione contro le nuove minacce.
Quando è attivato, il componente LiveUpdate contatta i
server LiveUpdate di Symantec e controlla se vi sono
aggiornamenti disponibili. In caso affermativo, questi
vengono scaricati e applicati, quindi il gateway di
sicurezza viene riavviato.
La funzionalità LiveUpdate di Symantec Gateway
Security Serie 300 offre un'utilità di pianificazione per
aiutare a ridurre al minimo l'inattività della rete causata
dai riavvii. Mediante l'utilità di pianificazione, è
possibile specificare l'ora esatta e il giorno della
settimana in cui si desidera che il gateway di sicurezza
controlli la disponibilità di aggiornamenti del firmware.
Questo aiuta a garantire che il traffico di rete non venga
interrotto durante gli orari di punta.
Vedere il capitolo 9, "Registrazione, monitoraggio e
aggiornamenti" nel Manuale dell'amministratore di
Symantec Gateway Security Serie 300.
Manutenzione del gateway di sicurezza.
Dopo avere installato e configurato le funzionalità
presenti nel gateway di sicurezza, è necessario svolgere
attività di manutenzione periodiche. Utilizzare il
seguente elenco come base per creare una routine di
manutenzione.
In base alla crescita
■ Creare tunnel VPN da gateway a gateway con
partner commerciali e sedi remote.
Mano a mano che l'azienda sviluppa nuove
relazioni e si espande con nuove sedi remote,
proteggere il traffico con tunnel VPN da gateway a
gateway. Vedere il capitolo 6, "Creazione di
connessioni VPN protette" nel Manuale
dell'amministratore di Symantec Gateway Security
Serie 300.
■ Attivare l'accesso da client a gateway protetto per gli
impiegati.
■ Espandere la rete locale wireless protetta.
Vedere la Guida all'implementazione di Symantec
Gateway Security Serie 300.
■ Attivare l'autenticazione utente dinamica per i
tunnel VPN.
Gli utenti dinamici utilizzano l'autenticazione
RADIUS per i propri tunnel da client a gateway.
Vedere il capitolo 6, "Creazione di connessioni VPN
protette" nel Manuale dell'amministratore di
Symantec Gateway Security Serie 300.
■ Aggiungere nuovi utenti interni alla politica di
sicurezza.
4
Giornaliera
■ Monitorare lo stato del gateway di sicurezza.
Lo stato corrente del gateway di sicurezza è
disponibile nella pagina principale quando si esegue
l'accesso o facendo clic su Registrazione/
Monitoraggio > Stato. È possibile ottenere
informazioni come la versione di build corrente, gli
indirizzi IP WAN e LAN correnti e lo stato delle
connessioni.
Nelle rispettive sezioni sono disponibili
informazioni di stato su molte funzionalità. Ad
esempio, per informazioni sullo stato dei tunnel
VPN, nella SGMI, fare clic su VPN > Stato.
■ Rispondere a nuove minacce di virus e attacchi.
Visualizzare quotidianamente il registro per
individuare schemi di attacco facendo clic su
Registrazione/Monitoraggio > Visualizza registro.
Assicurarsi che i client siano dotati di un client
antivirus Symantec supportato con le firme dei
virus più recenti attivando la AVpe. Vedere il
capitolo 7, "Controllo avanzato del traffico di rete"
nel Manuale dell'amministratore di Symantec
Gateway Security Serie 300.
■ Rispondere alle chiamate interne sulle connessioni
bloccate dalle funzioni di filtro dei contenuti o AVpe
per aiutare gli utenti con gli aggiornamenti
antivirus.
Per informazioni sulla AVpe, vedere il capitolo 7,
"Controllo avanzato del traffico di rete" nel
Manuale dell'amministratore di Symantec Gateway
Security Serie 300.
Settimanale o mensile
■ Attivare l'accesso ad applicazioni esterne per gli
utenti interni. Attivare l'accesso per utenti esterni
alle applicazioni interne.
L'accesso alla rete viene attivato tramite regole
firewall in entrata, e l'accesso esterno per gli utenti
interni tramite la creazione di regole firewall in
uscita. Vedere il capitolo 5, "Controllo del traffico di
rete" nel Manuale dell'amministratore di Symantec
Gateway Security Serie 300.
■ Risolvere i problemi di autenticazione degli utenti
con RADIUS.
I client VPN dinamici (utenti) utilizzano RADIUS
per l'autenticazione. Per questo tipo di
autenticazione è necessario configurare un server
RADIUS separato. Vedere il capitolo 6, "Creazione
di connessioni VPN protette" nel Manuale
dell'amministratore di Symantec Gateway Security
Serie 300.
Mensile
■ Eseguire LiveUpdate per aggiornare il gateway di
sicurezza all'ultima versione del firmware.
LiveUpdate di Symantec Gateway Security Serie 300
comprende un'utilità di pianificazione che controlla
automaticamente la disponibilità di aggiornamenti
del firmware. È consigliabile configurare l'utilità di
pianificazione in modo che controlli gli
aggiornamenti almeno una volta al mese. Inoltre,
nel caso venga preferito il controllo manuale degli
aggiornamenti, pianificare l'operazione nel quadro
della normale manutenzione mensile. Vedere il
capitolo 9, "Registrazione, monitoraggio e
aggiornamenti" nel Manuale dell'amministratore di
Symantec Gateway Security Serie 300.
■ Aggiungere nuovi siti all'elenco di autorizzazioni o
di divieti del filtro dei contenuti.
Periodicamente è opportuno monitorare i tipi di
traffico che vengono visualizzati dai client interni e
creare regole di filtro dei contenuti adeguate alle
politiche stabilite. Vedere il capitolo 7, "Controllo
avanzato del traffico di rete" nel Manuale
dell'amministratore di Symantec Gateway Security
Serie 300.
Mensile o in base alle modifiche nei siti remoti
■ Potenziare i tunnel da gateway a gateway con le sedi
remote.
Quando una sede remota introduce qualche
modifica (nuovo ISP, nuova sede, spostamento dei
server e così via), può essere necessario potenziare i
tunnel da gateway a gateway. Vedere il capitolo 6,
"Creazione di connessioni VPN protette" nel
Manuale dell'amministratore di Symantec Gateway
Security Serie 300.
5
In base alle esigenze
■ Recuperare dalle interruzioni di corrente.
In caso di guasto all'impianto elettrico, il traffico
può subire un'interruzione. È possibile mitigare gli
effetti delle interruzioni supportando
l'alimentazione con un'unità UPS (Universal Power
Supply) di backup.
Se quando si verifica l'interruzione di corrente è in
corso una sessione di LiveUpdate, il gateway di
sicurezza potrebbe ritornare all'ultima versione
applicata correttamente del file all.bin del firmware.
■ Comunicare i problemi tecnici al supporto tecnico
di Symantec.
Per informazioni su come contattare il supporto
tecnico, vedere l'appendice A, "Risoluzione dei
problemi" nel Manuale dell'amministratore di
Symantec Gateway Security Serie 300.
Dove ottenere ulteriori informazioni
Per ciascuna scheda è disponibile la guida in linea
facendo clic sul reltivo pulsante, il cerchio blu con il
punto interrogativo, situato nell'angolo superiore destro
di ciascuna finestra.
I seguenti documenti descrivono le funzionalità di
Symantec Gateway Security Serie 300:
Guida all'installazione di Symantec Gateway Security
Serie 300
Manuale dell'amministratore di Symantec Gateway
Security Serie 300
Guia de Introdução
Sym ante c ™ Ga t e w a y
Security 300
Este guia descreve rapidamente as tarefas e informações
que você precisa para configurar, operar e manter seu
gateway de segurança, além de fornecer referências sobre
onde encontrar mais informações.
Este guia inclui os seguintes tópicos:
■ Configure uma conta de Internet que possa ser
compartilhada por todos os seus usuários.
Configure várias conexões à Internet para acesso
contínuo.
■ Controle o tráfego de e para a rede protegida.
■ Proteja sua rede. Conceda acesso à rede aos seus
usuários remotos.
■ Impeça e manipule os ataques. Mantenha os
hackers afastados.
■ Aplique a proteção antivírus à sua rede.
■ Controle o acesso ao que pode ser visto pelos
usuários da rede.
■ Atualize automaticamente seu gateway de
segurança.
■ Faça a manutenção do gateway de segurança.
1
Configure uma conta de Internet que possa
ser compartilhada por todos os seus
usuários. Configure várias conexões à
Internet para acesso contínuo.
Na primeira vez que você acessa o gateway de segurança,
o Assistente de Instalação o orienta na configuração da
conectividade de Internet para o gateway de segurança.
Ao usar a Interface do Security Gateway Management
(SGMI, Security Gateway Management Interface), você
poderá configurar uma segunda conexão à Internet
como backup. A(s) conta(s) de Internet que você
configura usando o Assistente de Instalação ou a SGMI
pode(m) ser compartilhada(s) por todos os
computadores que forem conectados pelas portas LAN
ou que usarem o gateway de segurança como ponto de
acesso sem fio.
Consulte o Capítulo 3, “Executando o Assistente de
Instalação” no Guia de Instalação do Symantec Gateway
Security 300, para obter informações sobre o Assistente
de Instalação.
Os gateways de segurança do Symantec Gateway
Security 300 dispõem de portas adicionais para conexão
de backup da WAN e software que detecta
automaticamente falhas e transfere dados da WAN
através da conexão de backup.
O modelo 320 possui uma porta serial à qual é possível
conectar um modem dial-up externo. Os modelos 360 e
360R possuem uma segunda porta WAN de velocidade
máxima (além da porta serial) para garantir o acesso
contínuo.
Consulte o Capítulo 3, “Configurando uma conexão à
rede externa” no Guia do Administrador do Symantec
Gateway Security 300 para obter mais informações sobre
como conectar seu gateway de segurança à Internet.
Controle o tráfego de e para a rede protegida.
O Symantec Gateway Security 300 protege bens
empresariais e transações comerciais com uma das mais
seguras soluções de alto desempenho, para garantir
conexões seguras à Internet e entre redes. O componente
de firewall confere segurança e velocidade,
proporcionando proteção de firewall robusta e
transparente contra intrusões indesejadas, sem
desacelerar o fluxo de tráfego aprovado em redes
empresariais.
Usando software baseado em regras, o gateway de
segurança permite que você defina o tipo de tráfego que
pode entrar ou sair da rede.
■ As regras de entrada controlam o tipo de fluxo de
tráfego nos servidores de aplicativos nas suas redes
protegidas por gateway de segurança. Ao criar
regras de entrada, você deve especificar o servidor
de aplicativos, o serviço, os protocolos e as portas
permitidas pela regra. Quando uma regra de
entrada existe, o firewall permite a entrada de
tráfego que atende à regra, proveniente de qualquer
host externo.
Nota: Por padrão, todo o tráfego de entrada é
bloqueado.
■ As regras de saída controlam o tipo de tráfego que
sai da rede protegida. Por padrão, para todos os
computadores internos não há restrições no acesso
de saída. No entanto, quando você define uma regra
de saída para um determinado grupo de
computadores, qualquer outro tráfego é bloqueado,
a menos que uma regra de saída seja definida para
autorizá-lo.
2
O gateway de segurança também permite configurar
aplicativos especiais que podem ser usados para certos
aplicativos com comunicação bidirecional (como jogos e
conferência de vídeo). Quando um aplicativo especial é
ativado, ele atua como um filtro global; não é específico
de nenhum grupo de computadores ou regra de
entrada/saída. Quando ativado, o tráfego especificado
pode passar em qualquer direção de qualquer host.
Consulte o Capítulo 5, “Controle de tráfego de rede” no
Guia do Administrador do Symantec Gateway Security
300.
Proteja sua rede. Conceda acesso à rede aos
seus usuários remotos.
O Symantec Gateway Security 300 suporta tecnologia de
rede virtual privada (VPN, Virtual Private Network)
compatível com IPsec, que permite estender de modo
seguro os limites da sua rede interna para usar canais de
comunicação desprotegidos (como de Internet ou sem
fio), visando o transporte seguro de dados confidenciais.
As VPNs são usadas para permitir que os usuários
remotos ou redes remotas acessem os recursos
protegidos da sua rede.
O Symantec Gateway Security 300 suporta três tipos de
túneis de VPN: gateway-para-gateway, cliente-para-
gateway e cliente-para-gateway de LAN sem fio
(WLAN).
Opções adicionais de kit de licença/mídia para o
software de VPN de cliente-para-gateway do Symantec
Gateway Security 300 permitem túneis de VPN de
cliente-para-gateway simultâneos em todos os modelos.
As licenças estão disponíveis em incrementos de 5 e 10
sessões simultâneas.
A proteção das conexões de rede com a tecnologia VPN é
uma etapa importante para garantir a qualidade e
integridade dos dados.
Consulte o Capítulo 6, “Estabelecendo conexões VPN
seguras” no Guia do Administrador do Symantec
Gateway Security 300.
Impeça e manipule os ataques. Mantenha os
hackers afastados.
Os recursos de detecção e prevenção de intrusões (IDS e
IPS) do Symantec Gateway Security 300 o ajudam a
proteger sua organização contra intrusos e ataques
indesejados. Eles permitem monitorar o tráfego da rede
quanto ao comportamento suspeito e reagir a intrusões
detectadas em tempo real.
O componente de detecção de intrusão detecta
tentativas de intrusão baseadas em assinaturas atômicas
específicas, incluindo Teardrop, Back Orifice, Girlfriend,
estouros de buffer e muitas outras. À medida que novos
pacotes de firmware contendo mais assinaturas atômicas
são disponibilizados, a tecnologia LiveUpdate da
Symantec faz download deles para tratar novas ameaças
a tempo, antes que se tornem questões de segurança.
Além de impedir ataques com base em assinaturas
atômicas, os componentes IDS e IPS também oferecem
os seguintes níveis de proteção:
■ Proteção contra falsificação de IP
■ Verificação de opções de IP
■ Validação de marca de TCP
■ Proteção contra Cavalo de Tróia
■ Detecção de verificação de porta
Consulte o Capítulo 8, “Evitando ataques” no Guia do
Administrador do Symantec Gateway Security 300.
Aplique a proteção antivírus à sua rede.
O Symantec Gateway Security 300 inclui um recurso de
aplicação da política antivírus (AVpe) que permite
monitorar configurações de antivírus de cliente e, se
necessário, aplicar políticas de segurança para restringir
o acesso à rede somente aos clientes protegidos por
software antivírus com as definições de vírus mais atuais.
A implementação da proteção antivírus em cada
computador-cliente é uma etapa importante para a
proteção da rede contra vírus e outras ameaças
relacionadas, que possam entrar na rede por outros
meios. O recurso AVpe do gateway de segurança,
quando usado com produtos antivírus da Symantec
suportados, oferece um nível de garantia de que os
clientes estão totalmente em conformidade com as
políticas de segurança de rede antes de terem permissão
para acessá-la.
3
Consulte o Capítulo 7, “Controle avançado de tráfego de
rede” no Guia do Administrador do Symantec Gateway
Security 300.
Controle o acesso ao que pode ser visto
pelos usuários da rede.
O Symantec Gateway Security 300 suporta a filtragem de
conteúdo para o tráfego de saída. Use a filtragem de
conteúdo para limitar o conteúdo ao qual os clientes têm
acesso. Por exemplo, adicione à lista de permissões os
URLs de sites conhecidos relativos a negócios, como
www.cnn.com.
A filtragem de conteúdo é administrada através de
grupos de computadores. Um grupo de computadores é
um grupo, definido na seção Firewall, ao qual são
aplicadas as mesmas regras. Ao definir um grupo de
computadores na seção Firewall, você especifica se o
grupo utiliza uma lista de negações ou permissões de
filtragem de conteúdo.
Consulte o Capítulo 7, “Controle avançado de tráfego de
rede” no Guia do Administrador do Symantec Gateway
Security 300.
Atualize automaticamente seu gateway de
segurança.
A chave para a segurança é a vigilância. Uma das
melhores maneiras de manter sua rede protegida é tendo
as últimas atualizações do gateway de segurança. Você
pode configurar o gateway de segurança para tratar
atualizações automaticamente usando a tecnologia
LiveUpdate da Symantec.
O firmware do Symantec Gateway Security 300 pode ser
atualizado automaticamente e com segurança, sem o
envolvimento do usuário na aplicação de atualizações ou
proteção contra novas ameaças.
Quando ativado, o componente LiveUpdate entra em
contato com os servidores do LiveUpdate da Symantec e
procura atualizações disponíveis. Se houver atualizações
disponíveis, elas serão descarregadas e aplicadas pelo
gateway de segurança, que será reiniciado em seguida.
O recurso LiveUpdate do Symantec Gateway Security
300 oferece um Agendador que o ajuda a minimizar o
tempo de inatividade da rede após reinicializações.
Usando o Agendador, você poderá especificar o dia da
semana e a hora exatos para o gateway de segurança
procurar atualizações de firmware. Isso ajuda a garantir
que o tráfego da rede não seja interrompido durante
horas de operação intensa.
Consulte o Capítulo 9, “Registro, monitoração e
atualizações” no Guia do Administrador do Symantec
Gateway Security 300.
Faça a manutenção do gateway de
segurança.
Após instalar e configurar a funcionalidade em seu
gateway de segurança, você deverá executar tarefas
periódicas de manutenção. Use esta lista como base para
criar sua própria rotina de manutenção.
Com base no aumento
■ Crie túneis de VPN de gateway-para-gateway para
parceiros comerciais e escritórios remotos.
À medida que você cria relações e expande para
escritórios remotos, proteja seu tráfego com túneis
de VPN de gateway-para-gateway. Consulte o
Capítulo 6, “Estabelecendo conexões VPN seguras”
no Guia do Administrador do Symantec Gateway
Security 300.
■ Ative o acesso protegido cliente-para-gateway para
os funcionários.
■ Expanda sua rede local sem fio protegida.
Consulte o Guia de Implementação do Recurso Sem
Fio do Symantec Gateway Security 300.
■ Ative a autenticação dinâmica de usuário para
túneis de VPN.
Usuários dinâmicos usam a autenticação RADIUS
para seus túneis de cliente-para-gateway. Consulte
o Capítulo 6, “Estabelecendo conexões VPN
seguras” no Guia do Administrador do Symantec
Gateway Security 300.
■ Adicione usuários internos novos à política de
segurança.
4
Diariamente
■ Monitore o status do gateway de segurança.
O status atual do gateway de segurança está
disponível na página principal após o login ou
quando você clica em Registro/Monitoração >
Status. Você pode obter informações como build
atual, endereços IP atuais de WAN e LAN, e estados
de conexão.
O status em muitos recursos específicos está
disponível em suas respectivas sessões. Por
exemplo, para saber o status dos túneis de VPN, na
SGMI, clique em VPN > Status.
■ Reaja a novas ameaças e ataques de vírus.
Exiba o registro diariamente para observar padrões
de ataque clicando em Registro/Monitoração >
Exibir registro.
Verifique se seus clientes possuem um cliente
antivírus da Symantec suportado com as assinaturas
de vírus mais recentes ativando a AVpe. Consulte o
Capítulo 7, “Controle avançado de tráfego da rede”
no Guia do Administrador do Symantec Gateway
Security 300.
■ Reaja a chamadas internas em conexões bloqueadas
pela filtragem de conteúdo ou pela AVpe, a fim de
ajudar os usuários com as atualizações antivírus.
Consulte o Capítulo 7, “Controle avançado de
tráfego de rede” no Guia do Administrador do
Symantec Gateway Security 300 para obter
informações sobre a AVpe.
Semanalmente ou mensalmente
■ Ative o acesso de usuários internos a aplicativos
externos. Ative o acesso de usuários externos a
aplicativos internos.
O acesso à rede é ativado por regras de entrada de
firewall; o acesso externo aos usuários internos é
ativado pela criação de regras de saída de firewall.
Consulte o Capítulo 5, “Controle de tráfego de
rede” no Guia do Administrador do Symantec
Gateway Security 300.
■ Solucione problemas de autenticação de usuários
com RADIUS.
Os clientes de VPN dinâmicos (usuários) usam
RADIUS para fazer autenticação. É necessário
configurar um servidor RADIUS separado para essa
autenticação. Consulte o Capítulo 6,
“Estabelecendo conexões VPN seguras” no Guia do
Administrador do Symantec Gateway Security 300.
Mensalmente
■ Use o LiveUpdate para atualizar o gateway de
segurança com a versão mais recente do firmware.
A atualização do Symantec Gateway Security 300
pelo LiveUpdate inclui um Agendador que procura
automaticamente atualizações de firmware.
Configure o Agendador para procurar atualizações
pelo menos uma vez por mês. Além disso, se você
preferir procurar atualizações manualmente,
agende essa tarefa na manutenção mensal regular.
Consulte o Capítulo 9, “Registro, monitoração e
atualizações” no Guia do Administrador do
Symantec Gateway Security 300.
■ Adicione novos sites à lista de permissões ou
negações de filtragem de conteúdo.
Monitore periodicamente os tipos de tráfego que
seus clientes internos exibem e crie regras de
filtragem de conteúdo que correspondam às suas
políticas de tráfego. Consulte o Capítulo 7,
“Controle avançado de tráfego de rede” no Guia do
Administrador do Symantec Gateway Security 300.
Mensalmente ou com base em alterações de sites
remotos
■ Aperfeiçoe túneis de VPN de gateway-para-gateway
para escritórios remotos.
Quando um escritório remoto sofre alguma
alteração (ISP novo, escritório novo, alteração de
lugar dos servidores etc.), talvez seja necessário
aperfeiçoar os túneis de VPN de gateway-para-
gateway. Consulte o Capítulo 6, “Estabelecendo
conexões VPN seguras” no Guia do Administrador
do Symantec Gateway Security 300.
5
Conforme necessário
■ Recupere o sistema em quedas de energia.
Em caso de queda de energia, o tráfego pode ser
interrompido. É possível atenuar interrupções
sustentando a alimentação com uma fonte de
alimentação universal (UPS, universal power
supply).
Se uma atualização do LiveUpdate estiver em
andamento no momento da queda de energia, o
gateway de segurança poderá reverter para a versão
bem-sucedida mais recente do all.bin do firmware.
■ Entre em contato com o Suporte técnico da
Symantec com relação a questões técnicas.
Consulte o Apêndice A, “Solução de problemas” no
Guia do Administrador do Symantec Gateway
Security 300, para obter informações sobre como
entrar em contato com o Suporte técnico da
Symantec.
Onde obter mais informações
A Ajuda on-line é disponibilizada para cada guia quando
você clica no botão Ajuda (círculo azul com ponto de
interrogação), no canto superior direito da tela.
Os documentos a seguir descrevem a funcionalidade do
Symantec Gateway Security 300:
Guia de Instalação do Symantec Gateway Security 300
Guia do Administrador do Symantec Gateway Security
300
Guía de inicio
S ymante c ™ Ga t e w a y
S ecurity 300
Esta guía describe de forma genérica las tareas y la
información necesaria para configurar, utilizar y
mantener la pasarela de seguridad así como dónde
encontrar más información.
Esta guía incluye los temas siguientes:
■ Configure una cuenta de Internet compartida por
todos los usuarios, así como varias conexiones a
Internet de acceso continuo
■ Control del tráfico de entrada y salida de la red
protegida
■ Protección de la red y garantía de acceso a usuarios
remotos
■ Prevención y gestión de ataques a la red y
eliminación de piratas informáticos
■ Activación de protección antivirus en la red
■ Control del acceso a lo que los usuarios de su red
pueden ver
■ Actualización automática de la pasarela de
seguridad
■ Mantenimiento de la pasarela de seguridad
1
Configure una cuenta de Internet compartida
por todos los usuarios, así como varias
conexiones a Internet de acceso continuo
La primera vez que acceda a la pasarela de seguridad, el
Asistente de configuración le guiará a través del proceso
de configuración de conectividad a Internet de la
pasarela de seguridad. Por medio de la Interfaz de
gestión de pasarelas de seguridad (SGMI), podrá
configurar una segunda conexión de Internet como
respaldo. Las cuentas de Internet que configure por
medio del Asistente de configuración o de la SGMI se
podrán compartir con todos los equipos que estén
conectados a los puertos LAN o que utilicen la pasarela
de seguridad como punto de acceso inalámbrico.
Consulte el capítulo 3, “Uso del Asistente de
configuración” del Manual de instalación de Symantec
Gateway Security 300 para obtener más información
acerca del Asistente de configuración.
Las pasarelas de seguridad Symantec Gateway Security
300 Series proporcionan puertos adicionales para
conexiones WAN de respaldo así como software que
detecta automáticamente errores y transfiere datos WAN
a través de la conexión de respaldo.
El modelo 320 dispone de un puerto serie al que se
puede conectar un módem de marcación externo.
Además del puerto serie, los modelos 360 y 360R
disponen de un segundo puerto WAN de alta velocidad
para asegurar el acceso continuo.
Consulte el capítulo 3, “Configuración de una conexión
con la red exterior” en el Manual del administrador de
Symantec Gateway Security 300 para obtener más
información acerca de cómo conectar la pasarela de
seguridad a Internet.
Control del tráfico de entrada y salida de la
red protegida
Symantec Gateway Security 300 protege los activos
empresariales y las transacciones comerciales con una de
las soluciones más seguras y de más alto rendimiento
que garantiza conexiones seguras tanto a Internet como
a redes internas. El firewall incluido proporciona
seguridad y velocidad, así como una sólida protección de
firewall transparente frente a intrusiones no deseadas,
sin que ello ralentice el flujo de tráfico permitido en
redes empresariales.
Por medio de un programa basado en reglas, la pasarela
de seguridad puede definir el tipo de tráfico al que se le
permite entrar y salir de la red.
■ Las reglas de entrada controlan el tipo de tráfico que
entra en los servidores de aplicaciones situados en
las redes protegidas por la pasarela de seguridad. Al
crear reglas de entrada, debe especificar el servidor
de aplicaciones, el servicio, los protocolos y los
puertos permitidos por la regla. Una vez definida
una regla de entrada, el firewall permitirá la entrada
de tráfico de un host externo que se ajuste a ella.
Nota: De forma predeterminada, todo tráfico de
entrada estará bloqueado.
■ Las reglas de salida controlan el tipo de tráfico que
sale de la red protegida. De forma predeterminada,
ningún componente interno sufrirá restricciones de
acceso. Una vez definida una regla de salida para un
grupo de equipos, todo tráfico de salida fuera de
éste estará bloqueado, a menos que se defina una
regla de salida que permita lo contrario.
2
La pasarela de seguridad también permite configurar
aplicaciones especiales que se pueden utilizar para
ciertas aplicaciones de comunicación bidireccional
(como juegos o videoconferencias). Cuando se usa una
aplicación especial, actúa como filtro global y no es
específica de un grupo de equipos ni de ninguna regla de
entrada o salida. Cuando esté activada, el tráfico
especificado podrá pasar en cualquier dirección desde
cualquier host.
Consulte el capítulo 5, “Control del tráfico de red” en el
Manual del administrador de Symantec Gateway Security
300.
Protección de la red y garantía de acceso a
usuarios remotos
Symantec Gateway Security 300 admite tecnología de
redes privadas virtuales (VPN) compatible con IPsec
que permite ampliar de manera segura los límites de su
red interna para usar canales de comunicación no
seguros (como Internet o canales inalámbricos) con el
fin de transportar de forma segura datos importantes.
Las VPN se utilizan para permitir a usuarios o redes
remotos acceder a los recursos protegidos de la red.
Symantec Gateway Security 300 admite tres tipos de
túneles VPN: pasarela a pasarela, cliente a pasarela y de
cliente a pasarela de LAN inalámbrica (WLAN).
Las opciones añadidas del kit de medios o licencia del
software VPN de cliente a servidor Symantec Gateway
Security 300 permite túneles VPN de cliente a pasarela
simultáneos en todos los modelos. Las licencias están
disponibles en incrementos de sesiones simultáneas de 5
y 10.
El uso de la tecnología VPN para hacer seguras las
conexiones de red es un paso importante para garantizar
la calidad y la integridad de los datos.
Consulte el capítulo 6, “Establecimiento de conexiones
VPN seguras” en el Manual del administrador de
Symantec Gateway Security 300.
Prevención y gestión de ataques a la red
y eliminación de piratas informáticos
Las funciones de detección y prevención de intrusiones
(IDS y IPS) de Symantec Gateway Security 300 protegerán
a su empresa de la acción de intrusos y de piratas
informáticos. Éstas permiten monitorizar el tráfico de la
red para detectar comportamientos sospechosos y
responder en tiempo real a las intrusiones detectadas.
El componente de detección de intrusiones localiza
intentos de intrusión basados en firmas atómicas
específicas, incluidas entre otras Teardrop, Back Orifice,
Girlfriend y desbordamientos de búfer. Cuando estén
disponibles nuevos paquetes de firmware que contengan
más firmas atómicas, la tecnología LiveUpdate de
Symantec podrá descargarlas para hacer frente a nuevas
amenazas antes de que puedan suponer un problema de
seguridad.
Además de prevenir ataques basados en firmas atómicas,
los componentes IDS e IPS ofrecen también los niveles
de protección siguientes:
■ Protección frente a falsificación de IP
■ Verificación de opciones de IP
■ Validación de indicadores TCP
■ Protección frente a caballos de Troya
■ Detección de análisis de puerto
Consulte el capítulo 8, “Prevención de ataques” en el
Manual del administrador de Symantec Gateway Security
300.
Activación de protección antivirus en la red
Symantec Gateway Security 300 Series incluye una
función de activación de la política de antivirus (AVpe)
que permite monitorizar configuraciones AV cliente y, si
es necesario, activar políticas de seguridad para
restringir el acceso a la red a los clientes protegidos por
software antivirus con la definición más actualizada.
La implementación de protección antivirus en todos los
equipos cliente supone un paso importante para la
protección de su red frente a virus y otras amenazas que
puedan llegar hasta su red por algún otro medio. La
función AVpe de la pasarela de seguridad, usada con los
productos antivirus de Symantec compatibles, garantiza
que los clientes cumplen con la política de seguridad de
la red antes de que se les permita acceder a ella.
3
Consulte el capítulo 7, “Control avanzado del tráfico de
la red” en el Manual del administrador de Symantec
Gateway Security 300.
Control del acceso a lo que los usuarios de
su red pueden ver
Symantec Gateway Security 300 Series permite filtrar el
contenido del tráfico de salida. Utilice el filtrado de
contenidos para restringir el contenido al que tienen
acceso los clientes. Por ejemplo, añada a la lista de
permisos las direcciones URL de empresas conocidas,
como www.cnn.com.
El filtrado de contenidos se gestiona a través de los
grupos de equipos. Un grupo de equipos es un grupo de
PC definido en la sección Firewall y al que se le aplican
las mismas reglas. Al definir un grupo de equipos en la
sección Firewall, especificará si el grupo utiliza filtrado
de contenidos o una lista de permisos o rechazos.
Consulte el capítulo 7, “Control avanzado del tráfico de
la red” en el Manual del administrador de Symantec
Gateway Security 300.
Actualización automática de la pasarela de
seguridad
La clave de la seguridad está en la vigilancia, por lo que
una de las formas más eficaces de mantener la seguridad
en una red es disponer en todo momento de las últimas
actualizaciones de la pasarela de seguridad. Puede
configurar ésta de forma que gestione automáticamente
las actualizaciones por medio de la tecnología
LiveUpdate de Symantec.
El firmware de Symantec Gateway Security 300 Series
puede actualizarse de forma segura y automática, sin
necesidad de que el usuario intervenga en la aplicación
de actualizaciones o en la protección frente a nuevas
amenazas.
Mientras esté activado, el componente LiveUpdate
contactará con los servidores LiveUpdate de Symantec
en busca de actualizaciones disponibles. En caso de
encontrar alguna actualización disponible, la pasarela de
seguridad la descargará y la aplicará. Seguidamente, se
reiniciará.
La función LiveUpdate de Symantec Gateway Security
300 Series ofrece un Programador que le ayudará a
minimizar el tiempo de inactividad de cada vez que se
reinicie. Por medio del Programador puede especificar la
hora y el día de la semana en que desee que la pasarela de
seguridad compruebe la disponibilidad de las
actualizaciones de firmware. Así, se garantizará la
continuidad del tráfico de la red durante las horas de
mayor actividad.
Consulte el capítulo 9, “Registro, monitorización y
actualizaciones” en el Manual del administrador de
Symantec Gateway Security 300.
Mantenimiento de la pasarela de seguridad
Una vez instalada y configurada la funcionalidad de la
pasarela de seguridad, es necesario llevar a cabo tareas
periódicas de mantenimiento. Utilice esta lista como
base para realizar las tareas de mantenimiento habitual.
Según el crecimiento
■ Cree túneles VPN de pasarela a pasarela para socios
comerciales y oficinas remotas.
Asegure el tráfico por medio de túneles VPN de
pasarela a pasarela a medida que establece nuevas
relaciones y se expande hacia oficinas remotas.
Consulte el capítulo 6, “Establecimiento de
conexiones VPN seguras” en el Manual del
administrador de Symantec Gateway Security 300.
■ Permita a los empleados un acceso seguro de cliente
a pasarela.
■ Expanda la red segura de área local inalámbrica.
Consulte el Manual de implementación de
conexiones inalámbricas de Symantec Gateway
Security 300.
■ Permita la autenticación de usuarios dinámicos
para túneles VPN.
Los usuarios dinámicos utilizan la autenticación
RADIUS para los túneles de cliente a pasarela.
Consulte el capítulo 6, “Establecimiento de
conexiones VPN seguras” en el Manual del
administrador de Symantec Gateway Security 300.
■ Añada nuevos usuarios internos a la política de
seguridad.
4
A diario
■ Monitorice el estado de la pasarela de seguridad.
El estado actual de la pasarela estará disponible en la
página principal cuando inicie una sesión o cuando
haga clic en Registro/Monitorización > Estado.
Puede obtener información acerca de la creación
actual, las direcciones IP de la LAN o WAN actuales
y de los estados de la conexión.
El estado de varias funciones específicas estará
disponible en sus secciones respectivas. Por
ejemplo, para ver el estado de los túneles VPN, en la
SGMI haga clic en VPN > Estado.
■ Defiéndase ante nuevos virus y ataques externos.
Acceda al registro diario para consultar los patrones
de ataque. Para ello haga clic en Registro/
Monitorización > Ver registro.
Asegúrese de que los clientes poseen un cliente de
antivirus Symantec compatible que dispone de las
últimas firmas de virus activando AVpe. Consulte el
capítulo 7, “Control avanzado del tráfico de la red”
en el Manual del administrador de Symantec
Gateway Security 300.
■ Responda a llamadas internas de conexiones
bloqueadas mediante el filtrado de contenidos o
AVpe para ayudar a los usuarios con las
actualizaciones de AV.
Consulte el capítulo 7, “Control avanzado del
tráfico de la red” en el Manual del administrador de
Symantec Gateway Security 300 para obtener más
información acerca de AVpe.
Semanal o mensualmente
■ Permita el acceso de usuarios internos a
aplicaciones externas y el acceso de usuarios
externos a aplicaciones internas.
Puede permitir el acceso a la red mediante reglas de
firewall de entrada, así como permitir el acceso
externo a usuarios internos creando reglas de
firewall de salida. Consulte el capítulo 5, “Control
del tráfico de red” en el Manual del administrador de
Symantec Gateway Security 300.
■ Solucione los problemas de autenticación de
usuario con RADIUS.
Los clientes de VPN dinámicos (usuarios) utilizan
RADIUS para realizar la autenticación. Debe
configurar un servidor RADIUS independiente para
esta autenticación. Consulte el capítulo 6,
“Establecimiento de conexiones VPN seguras” en el
Manual del administrador de Symantec Gateway
Security 300.
Mensualmente
■ Utilice LiveUpdate para obtener la última versión
del firmware de la pasarela de seguridad.
LiveUpdate de Symantec Gateway Security 300
Series incluye un Programador que comprueba de
forma automática la existencia de actualizaciones de
firmware. Debe configurar éste para que realice la
comprobación al menos una vez al mes. Si prefiere
efectuar esta comprobación manualmente,
prográmelo dentro del mantenimiento mensual
habitual. Consulte el capítulo 9, “Registro,
monitorización y actualizaciones” en el Manual del
administrador de Symantec Gateway Security 300.
■ Añada nuevas páginas a la lista de rechazos o
permisos de filtrado de contenidos.
Debe monitorizar periódicamente los tipos de
tráfico que visualizan los clientes internos y crear
reglas de filtrado de contenidos que coincidan con
las políticas de tráfico. Consulte el capítulo 7,
“Control avanzado del tráfico de la red” en el
Manual del administrador de Symantec Gateway
Security 300.
Mensualmente o según los cambios de los sitios
remotos
■ Mejore los túneles VPN de pasarela a pasarela a
oficinas remotas.
Cuando una oficina remota sufra un cambio
importante (como un nuevo ISP, una nueva oficina
o un cambio de servidores), puede que sea
necesario realizar mejoras en los túneles VPN de
pasarela a pasarela. Consulte el capítulo 6,
“Establecimiento de conexiones VPN seguras” en el
Manual del administrador de Symantec Gateway
Security 300.
Según sea necesario
■ Supere los fallos de alimentación.
En caso de que se produzca algún fallo en la
alimentación, puede interrumpirse el tráfico. Puede
hacer frente a estas interrupciones restaurando la
alimentación con una fuente de alimentación
universal (UPS).
Si en el momento de producirse un fallo de
alimentación se está llevando a cabo una
actualización LiveUpdate, la pasarela de seguridad
puede volver a la última versión aplicada con éxito
del archivo all.bin del firmware.
■ Póngase en contacto con el Soporte Técnico de
Symantec para obtener información técnica.
Consulte el Apéndice A, “Solución de problemas”
en el Manual del administrador de Symantec
Gateway Security 300 para obtener más información
acerca de cómo contactar con el Soporte Técnico de
Symantec.
Sitios donde se puede obtener más
información
En todas las fichas se puede acceder a la ayuda en línea
haciendo clic en el botón de ayuda (círculo azul con un
signo de interrogación) situado en la esquina superior
derecha de cada pantalla.
En los siguientes documentos se describen las
funcionalidades de Symantec Gateway Security 300:
Manual de instalación de Symantec Gateway Security 300
Manual del administrador de
Symantec Gateway Security 300