En este post vamos a ver como asignar perfiles de Endpoints a Grupos de equipos de Active Directory.

• El primer perfil se lo vamos a asignar a los controladores de dominio, para ello, accedemos a Endpoints > Domains > Midominio > Domain Controllers y le asignamos el perfil correspondiente:

• Le indicamos que Si:

• Como podemos ver, el instalador de Forticlient, está pendiente de ser desplegado sobre uno de nuestros controladores de dominio:

• Aquí vemos que Forticlient se ha desplegado correctamente sobre nuestro controlador de dominio:

• El segundo perfil se lo vamos a asignar a los servidores, para ello, accedemos a Endpoints > Domains > Midominio > Servidores y le asignamos el perfil correspondiente:

• Le indicamos que Si:

• Aquí vemos que Forticlient se ha desplegado correctamente sobre nuestros servidores:

• Si accedemos al Dashboard > Forticlient Status podemos ver que tenemos ocupadas 7 de las 10 licencias de las que disponemos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como crear perfiles de Endpoints y seleccionar un instalador de FortiClient.

• Accedemos a Endpoint Profiles > Manage Profiles > Add:

• Le indicamos un nombre al perfil, en este caso, SERVIDORES, sobre la pestaña Deployment activamos el check, le indicamos el instalador que se va a instalar sobre los servidores, una hora para la tarea y que reinicie la máquina cuando nosotros se lo digamos, también debemos de introducir unas credenciales con permisos de administrador:

• Sobre la pestaña Antivirus habilitamos el check para la protección, y los demás parámetros los dejamos todos por defecto, excepto la tarea para el escaneo que la programamos semanalmente:

• Sobre la pestaña Web Filter habilitamos el check del filtrado web y lo dejamos por defecto:

• Sobre la pestaña Firewall habilitamos el check y las notificaciones, bloquemos las categorías que nos interesen:

• Sobre la pestaña VPN deshabilitamos el check ya que los servidores no se van a conectar a ninguna VPN:

• Sobre la pestaña Vulnerabity Scan lo dejamos todo por defecto:

• Sobre la pestaña System Settings configuramos un password para que los usuarios no puedan cambiar la configuración y deshabilitamos que no se puedan desregistrar del EMS, clc en Save para guardar los cambios:

• Como podemos ver aquí tenemos el perfil creado:

• Ahora vamos a crear otro exactamente igual para los Controladores de dominio:

• Crearemos otro exactamente igual para los equipos, pero en este caso sobre la pestaña VPN habilitamos el check y le vamos a dejar configurada la VPN SSL de nuestra infraestructura:

• Con esto ya tendríamos todos los perfiles que nos interesan creados.

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir un instalador de Forticlient Endpoint a nuestro servidor de Forticlient Enterprise Management Server.

• Accedemos a Profile Components > Manage Installers > Add:

• Se nos abrirá este asistente, y sobre la opción General le asignamos un nombre, descripción, le indicamos la versión y el update de la versión, clic sobre Next:

• Sobre la opción de Features seleccionamos las características para nuestro instalador, clic sobre Next:

• Sobre la opción de Advanced seleccionamos que nos habilite, configurar FortiClient para conectar automáticamente la telemetría a EMS o FortiGate, después de que FortiClient se instale en el punto final. Si deshabilitamos esta función, entonces, requieren que los usuarios finales se conecten manualmente a la telemetría del EMS o FortiGate, también habilitamos los accesos directo sobre los equipos:

• Sobre la opción de Telemetry nos indica que los Forticlient Endpoint serán administrados por nuestro servidor de Forticlient EMS:

• Aquí podemos ver el instalador que acabamos de configurar:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como añadir nuestro dominio de Active Directory para descubrir los equipos de nuestra infraestructura, para más tarde, poder hacerles el despliegue de los Forticlient Endpoint.

• Para ello, accedemos a Endpoints > Manage Domains > Add:

• Introducimos los datos de nuestra AD, a través del puerto LDAP 389, que autentique con uno de los usuarios del dominio que hemos creado para este servicio, y que sincronize con el AD cada 15 minutos, clic sobre Test para verificar que conecta:

• Como podemos ver el Test ha sido satisfactorio, clic sobre Save para guardar los cambios:

• Aquí vemos que está conectado a nuestro Active Directory y ha encontrado 29 dispositivos:

• Si nos situamos sobre Endpoints > Domains, podemos ver toda la estructura del árbol LDAP de nuestro dominio de Active Directory, dónde ya podemos ver los equipos a los que les vamos a desplegar los Forticlient Endpoints, una vez tengamos configurados los perfiles:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar cuentas de usuario de nuestro Active Directory para el acceso al Forticlient Enterprise Management Server.

• Para configurar los accesos a la consola de Forticlient EMS con usuarios de nuestro Active Directory, debemos de configurar en primera instancia el acceso a nuestro Active Directory a través del puerto LDAP 389, con uno de los usuarios autenticados de nuestro domino (ldapsearch), accedemos a Administration > User Server, configuramos los parámetros de nuestro AD y Save para guardar los cambios:

• El siguiente paso sería añadir los usuarios del Active Directory con los permisos de acceso que nos vayan interesando, para ello, accedemos a Administration > Administrators > Add:

• Aquí podemos elegir el usuario que nos interese de nuestro Active Directory y asignarle los permisos que creamos conveniente:

• En nuestro caso, voy a seleccionar el siguiente usuario y le voy a asignar permisos de Super Administrador:

• Aquí podemos ver el usuario agregado desde nuestro Active Directory:

• Ahora vamos a probar algunas de las configuraciones que hemos realizado, por ejemplo, vamos a acceder a la consola de Forticlient EMS vía web (HTTPS) con el usuario del Active Directory:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar Forticlient Enterprise Management Server en modo Standalone, esta sería la topología que estamos utilizando:

El modo Standalone o autónomo no requiere un FortiGate y no es compatible con el control de acceso a la red (NAC). En modo autónomo EMS despliega el software FortiClient en los puntos finales, y los puntos finales de FortiClient conectan la telemetría al EMS para recibir información de configuración de EMS. En el modo autónomo, se utiliza EMS para desplegar, configurar y monitorear los puntos finales de FortiClient.

La otra forma de configurar Forticlient EMS es integrándolo con un firewall Fortigate, esta sería la topología:

El modo integrado requiere un FortiGate y soporta NAC. En el modo integrado, EMS despliega el software FortiClient en los puntos finales y conectan la telemetría con el FortiGate para recibir las reglas de cumplimiento. FortiClient Endpoint también se conectan al EMS para ser manejados. Después de que los FortiClient Endponit se conectan, las reglas de cumplimiento son descargadas del FortiGate al Endpoint, desde EMS también se podría desplegar un perfil de información de configuración de FortiClient Endpoint.

FortiClient utiliza las reglas de cumplimiento de FortiGate para comunicar si el punto final cumple con las normas. Si un punto final no cumple las normas, se comunican los pasos necesarios para mantener el cumplimiento.

En nuestro caso vamos a montar el modo Standalone, por lo que vamos a seguir estas pautas que serán los post que iremos haciendo:

• Forticlient EMS – Configurar cuentas de usuario del Active Directory
• Forticlient EMS – Añadir dominio Active Directory y descubrir Endpoints
• Forticlient EMS – Añadir un instalador FortiClient a EMS
• Forticlient EMS – Crear perfiles de Endpoint y seleccionar un instalador de FortiClient
• Forticlient EMS – Asignar perfiles de Endpoints a Grupos de equipos de Active Directory

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar los puertos que utiliza Forticlient EMS en un Firewall Fortigate 50E, esto lo debemos configurar si en nuestra infraestructura tenemos la red segmentada en distintas subredes, así los equipos que se encuentren en una subred distinta a la del Forticlient EMS se puedan comunicar con él, en esta tabla se muestran los puertos utilizados por Forticlient EMS, que serán los que configuremos como servicios en el firewall Fortigate y aplicaremos a las políticas o reglas de filtrado.

• Iniciamos sesión en nuestro Fortigate 50E, y lo primero que vamos a realizar será crearnos una nueva categoría de Servicios dónde dejaremos bien ordenados todos los puertos o servicios que utiliza Forticlient EMS, para ello, nos vamos a Políticas y Objetos > Servicio > Crear nuevo > Categoría:

• Le indicamos un nombre y una descripción, OK:

• Aquí podemos ver la nueva categoría creada:

• Ahora siguiendo la tabla que os he puesto al principio del post vamos a configurar el primer puerto o servicio, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Servicio:

• Le indicamos un nombre, categoría, tipo de protocolo y puerto de destino, clic sobre OK:

• Para los demás servicios, los configuramos de igual forma siguiendo la tabla, nos quedaría por tanto, de la siguiente manera:

• Una vez que tenemos creados los servicios los vamos a agrupar en dos grupos distintos, ya sean de entrada o de salida, al grupo de entrada lo vamos a llamar ForticlientEMS_IN y al de salida ForticlientEMS_OUT, de nuevo seguiremos la tabla propuesta por Fortinet para realizar estas configuraciones.

• Nos creamos el primer grupo de servicios FoticlientEMS_IN, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Grupos de servicios:

• Le indicamos un nombre, descripción y los miembros o servicios que lo conforman, clic en OK:

• Nos creamos el segundo grupo de servicios FoticlientEMS_OUT, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Grupos de servicios:

• Le indicamos un nombre, descripción y los miembros o servicios que lo conforman, clic en OK:

• Como podemos ver, aquí tenemos los dos grupos de servicios creados y configurados:

• Ya tenemos, por tanto, los servicios y grupos de servicios listos para poder aplicarlos en nuestras políticas de filtrado, os voy a mostrar un ejemplo de un servidor llamado WDSMDT que está ubicado en una subred distinta de la que se encuentra nuestro servidor de Forticlient EMS, por lo tanto, necesito acceso de entrada a los servicios de Forticlient EMS, para ello, nos creamos una nueva política en Políticas y Objetos > Política IPv4 > Crear nuevo:

• Configuramos la nueva política con el grupo de servicios que configuramos anteriormente:

• Como podemos ver aquí tenemos la nueva política creada:

• Para verificar que desde el servidor WDSMDT podemos acceder a los puertos del Forticlient EMS que hemos configurado en las políticas del firewall, nos abrimos una consola de PowerShell con permisos de administrador y ejecutamos los siguientes comandos, Test-NetConnection nombremaquina –port numeropuerto, y como podemos observar los accesos son corrcetos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver las configuraciones iniciales de Forticlient Enterprise Management Server (EMS).

• Antes de comenzar con las configuraciones iniciales de Forticlient EMS, en el servidor DNS de nuestra infraestructura, vamos a crear un registro del tipo CNAME, para acceder con el nombre de fortclientems a la consola web:

• Una vez que estamos en la consola de Forticlient EMS, lo primero que vamos a realizar, es el cambio de password a la cuenta admin, para ello, accedemos a Administration > Administrators seleccionamos el usuario admin y cambiamos Password:

• Ahora vamos a configurar el acceso a la consola de Forticlient EMS a través de acceso remoto vía web por HTTPS, para ello, accedemos a System Settings > Server > Shared Settings y configuramos estos parámetros:

• Sobre las mismas configuraciones en System Settings > Server > EMS Settings configuramos los parámetros para las descargas del Forticlient en los equipos clientes, clic en Save para guardar los cambios:

• Le indicamos que siga con el proceso:

• Vamos a configurar también el servidor de correos SMTP para el envío de correos electrónico a nuestra cuenta de soporte, para ello, accedemos a System Settings > SMTP Server, configuramos los parámetros de nuestro servidor SMTP, enviamos un mail de prueba y guardamos los cambios en Save:

• Aquí podemos ver el mail que hemos mandado de prueba para verificar que todo está correcto:

• Sobre System Settings > EMS Alerts configuramos las alertas sobre EMS, que queremos que se nos notifiquen a la cuenta de correo soporte que hemos configurado en el SMTP Server, clic sobre Save para guardar los cambios:

• Sobre System Settings > Endpoint Alerts configuramos las alertas sobre los Endpoint, que queremos que se nos notifiquen a la cuenta de correo soporte que hemos configurado en el SMTP Server, clic sobre Save para guardar los cambios:

Saludos y espero que os sea de ayuda

En este post vamos a ver como instalar Forticlient Enterprise Management Server (EMS) sobre MS Windows Server 2019.

Antes de comenzar, debemos asegurarnos de que los puertos y servicios requeridos están habilitados para su uso por FortiClient EMS y sus aplicaciones asociadas en nuestro servidor. Los puertos y servicios requeridos permiten a FortiClient EMS comunicarse con los puntos finales y los servidores que ejecutan las aplicaciones asociadas. No es necesario habilitar los puertos 8013 y 10443 ya que la instalación de FortiClient EMS los abre.

En las siguientes tablas podemos ver los puertos y servicios:

• Comenzamos con la instalación de Forticlient EMS, ejecutamos el instalador Online y cómo podemos ver empieza a descargar la aplicación Forticlient EMS:

• Aceptamos el EULA, clic sobre Install:

• Comienza el proceso de instalación:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre cerrar:

• Una vez finalizada la instalación, nos va a aparecer en el escritorio del servidor un acceso directo a la consola de Forticlient Enterprise Management Server:

• Damos doble clic e introducimos las credenciales por defecto, dónde el usuario es admin y el password va en blanco:

• Este es el aspecto de la consola de Forticlient EMS:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como instalar y configurar Forticlient Enterprise Management Server.

Forticlient, es una plataforma de protección de endpoints integrada que proporciona protección automatizada contra amenazas de próxima generación, visibilidad y control de inventario de software y hardware en toda la infraestructura.

Forticlient EMS es una consola de administración central de FortiClient, desde la cual podemos configurar, implementar y administrar los clientes de Forticlient, desde esta consola se integrarán los Endpoint con Security Fabric, podremos escanear las vulnerabilidades y aplicar parches, tendremos un inventario de software junto con un resumen de alertas y amenazas.

Este post lo vamos a dividir en varias partes:

• Instalación Forticlient Enterprise Management Server sobre MS Windows Server 2019
• Configuraciones iniciales Forticlient Enterprise Management Server
• Configuración de puertos Forticlient EMS en Firewall Fortigate
• Forticlient EMS modo Standalone
• Forticlient EMS – Configurar cuentas de usuario del Active Directory
• Forticlient EMS – Añadir dominio Active Directory y descubrir Endpoints
• Forticlient EMS – Añadir un instalador Forticlient a EMS
• Forticlient EMS – Crear perfiles de Endpoints y seleccionar un instalador FortiClient
• Forticlient EMS – Asignar perfiles de Endpoints a Grupos de equipos de Active Directory

Saludos y espero que os resulte de ayuda

En los próximos post vamos a hablar sobre la instalación, configuración y administración de servidores en un entorno con Microsoft Windows Server 2016, los iremos entregando “poquito a poco”, en esta serie de post empezaremos por lo básico, como puede ser la instalación del sistema operativo, más adelante instalaremos y configuraremos muchos de sus roles y características como pueden ser, Active Directory, DNS, DHCP, Servidor de ficheros, Servidor de impresión, WSUS, RDS, etc…; también montaremos una infraestructura de correo empresarial con MS Exchange 2016, veremos como implementar una suite de seguridad para empresas con los productos de Fortinet, concretamente con Forticlient Enterprise Management Server, y bueno, seguro que se me van ocurriendo más instalaciones y configuraciones para añadir a esta infraestructura.

La topología que hemos configurado y desarrollado sería la siguiente, esta topología seguramente irá cambiando a medida que vayamos añadiendo servidores, según los roles y características que en cada momento necesitemos:

Explicaremos un poco esta topología, tendremos una oficina central situada en Madrid y cuatro oficinas remotas (Barcelona, Valencia, Bilbao y Sevilla) que conectamos a través de VPN con la sede central en Madrid.

El direccionamiento IP utilizado será el siguiente:

• Para la sede principal en Madrid: 192.168.5.0/24 (Inside), 192.168.14.0/24 (Outside), 192.168.3.0/24 (DMZ)
• Para la sede remota en Barcelona: 192.168.6.0/24
• Para la sede remota en Valencia: 192.168.7.0/24
• Para la sede remota en Bilbao: 192.168.8.0/24
• Para la sede remota en Sevilla: 192.168.9.0/24

Este post lo vamos a dividir en: (en esta parte iremos añadiendo los artículos a medida que los vayamos realizando)

• Ediciones, licenciamiento y requisitos mínimos del sistema MS Windows Server 2016
• Instalación MS Windows Server 2016 – Administrador del servidor
• Controlador de dominio sobre MS Windows Server 2016, DNS y DHCP
• Organización de Active Directory sobre MS Windows Server 2016
• Organización Sitios Y Servicios de Active Directory sobre MS Windows Server 2016
• Agregar un controlador de dominio adicional sobre MS Windows Server 2016
• Administración de directivas de grupo (GPO) sobre Microsoft Windows Server 2016
• GPO para delegar tareas administrativas del Active Directory a otros Administradores de sistemas
• Instalación y configuración de un Servidor de Ficheros en MS Windows Server 2016
• ………………………………………………………………………………

Saludos y espero que os guste, ya que estos artículos, me van a llevar horas planificarlos y realizarlos

En este post vamos a ver las funcionalidades y características de Kaspersky Security 9.0 for Microsoft Exchange Servers (KSE).

• Una vez que hemos instalado la aplicación, nos abrimos la consola de KSE 9.0 y sobre la ventana principal tenemos las siguientes secciones:
• Barra de herramientas, se muestra en la parte superior de la ventana principal. Los botones de la barra de herramientas permiten acceder directamente a algunas funciones de la aplicación utilizadas con frecuencia.
• Menú,se muestra justo encima de la barra de herramientas. El menú proporciona funciones de gestión de archivos y ventanas, así como acceso al sistema de ayuda.
• Árbol de consola, se ubica en la parte izquierda de la ventana principal. El árbol de la consola muestra los servidores de seguridad conectados y la configuración de Kaspersky Security. Los servidores conectados y los parámetros de configuración de Kaspersky Security figuran como nodos. Puede abrir nodos principales haciendo clic en el signo más correspondiente. Un nodo abierto se muestra con el signo menos al lado.
• Panel de detalles, se ubica en la parte derecha de la ventana principal. La ventana muestra el contenido del nodo seleccionado en el árbol.

• El nodo situado más arriba en el árbol de consola es Kaspersky Seurity 9.0 for Microsoft Exchange. Al hacer doble clic en él, se abre la lista de servidores conectados con Kaspersky Security instalado.El panel de detalles muestra también los servidores conectados y el botón Agregar servidor.

• Al hacer clic en el nodo del servidor conectado, en el panel de detalles se muestra, información general sobre los componentes de protección instalados en el servidor seleccionado, el tipo de licencia, la base de datos del AntiVirus – AntiSpam y las estadísticas de la aplicación mostrándonos los resultados del trabajo realizado (al no poseer licencia de esta aplicación me lo muestra todo con errores):

• Al hacer clic en el signo más situado junto a un servidor conectado, se abre una lista de parámetros configurables de Kaspersky Security para dicho servidor en el árbol de la consola. Podemos ver y configurar los siguientes parámetros de configuración de KSE 9.0:

• Server protection, se utiliza para ver y editar la configuración de la protección AntiVirus y AntiSpam.

• Updates, se utiliza para ver y editar la configuración de las actualizaciones de las bases de datos de AntiVirus y del componente AntiSpam.

• Notifications, se utiliza para ver y editar la configuración de las notificaciones por correo electrónico.

• Backup, se usa para ver el almacén de copias de seguridad.

• Reports, se utiliza para ver y editar la configuración de los informes del AntiVirus y del componente AntiSpam.

• Settings, se usa para ver y editar la configuración de las notificaciones, la copia de seguridad y las estadísticas.

• Licensing, se utiliza para instalar o quitar licencias, y revisar información sobre la licencia actual.

• Al seleccionar cualquier nodo en el árbol de la consola, se muestran los parámetros configurables correspondientes a dicho nodo en el panel de detalles.

• Como en nuestra infraestructura tenemos dos servidores de correos y cada uno de ellos con distintos roles, mail01 (roles de Mailbox, Client Access y Management Tools), mx01 (roles de Edge Transport – Transporte perimetral), sobre el parámetro de configuración “Server protection” las opciones a configurar serán distintas, ya que dependen de los roles que tenga cada servidor.
• En el server mail01 sobre la opción “Protection for the Mailbox role” vamos a configurar los siguientes parámetros:

• En el server mx01 sobre la opción “Protection for the Hub Transport role” vamos a configurar los siguientes parámetros:

Saludos y espero que os resulte de ayuda

En este post vamos a ver la instalación y configuración inicial de Kaspersky Security 9.0 for Microsoft Exchange Servers (KSE).

• Lo primero que vamos a realizar será descargarnos la suite de seguridad de la web de Kaspersky – Descargas:

• Una vez que nos hemos descargado el ejecutable, lo copiamos en el escritorio de los servidores MAIL01 y MX01:

INSTALACIÓN SOBRE EL PRIMER SERVIDOR DE EXCHANGE MAIL01 – ROLES DE MAILBOX, CLIENT ACCESS Y MANAGEMENT TOOLS

• Uno de los requisitos indispensables para poder instalar Kaspersky Security 9.0 for Microsoft Exchange Servers es tener instalado un servidor Microsoft SQL Server 2014, por lo tanto, nos vamos a instalar los paquetes necesarios para este servidor.
• Desde la web de Microsoft nos hemos descargado los ejecutables SQLEXPRESS2014_x64 para instalar el servidor SQL EXPRESS y SQLManagementStudio_x64 para configurar, administrar y desarrollar todos los componentes de SQL Server, este último componente no es necesario para la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, pero a título personal, siempre me gusta instalarlo para poder administrar el servidor SQL, como por ejemplo, realizar backups de las bases de datos:

• Procedemos a la instalación del primer paquete SQLEXPRESS2014_x64:

• Una vez extraídos se nos abre el siguiente asistente, dónde vamos a seguir estos pasos:

• Procedemos a la instalación del segundo paquete SQLManagementStudio_x64, para ello seguimos los pasos indicados en un post de este mismo blog, post instalación SQLManagementStudio_x64

• Una vez instalado el servidor MS SQL EXPRESS, procedemos a la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, para ello damos doble clic sobre el ejecutable descargado y se nos abre el siguiente asistente, clic sobre “Siguiente”:

• Aceptamos los términos de licencia:

• Elegimos la instalación personalizada:

• Dejamos que instale todos los componentes que vienen por defecto, ya que el software de Kaspersky al iniciar la instalación realiza un chequeo y según los roles que tenga nuestro Exchange nos aparecerán más o menos componentes:

• Kaspersky Security 9.0 for Microsoft Exchange Servers se apoya en bases de datos creadas en servidores SQL para su correcto funcionamiento, por lo tanto, tenemos que configurar una conexión a un servidor SQL que anteriormente hemos instalado en este mismo servidor:

• Para que corra el servicio de KSE vamos a elegir una cuenta local:

• Para iniciar la instalación damos clic sobre “Install”, el mensaje de advertencia nos indica que los servicios MSExchangeTransport y MSExchange IS serán reiniciados:

• Comienza la instalación:

• Si nos da este error debemos aplicar el fix correspondiente descargado de la web de Microsoft:

• Como podemos ver el fix descargado es un script que tenemos que ejecutar con PowerShell:

• Como podemos ver el fix se ha aplicado correctamente:

• Ahora volvemos a iniciar la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, siguiendo los mismos pasos que anteriormente, comienza así la instalación:

• La instalación se ha completado correctamente, clic sobre “Siguiente”:

• Se nos abre el siguiente asistente de configuración, donde vamos implementado los parámetros de configuración inicial:

• Añadimos el código de activación:

• Habilitamos las configuraciones de protección:

• Aceptamos los servicios KSN de Kaspersky:

• No tenemos configurado ningún proxy en nuestra red, o mejor dicho, si tengo uno configurado en el router Mikrotik que hace de Firewall, pero está configurado de manera transparente, en algún que otro post dedicado al networking de Mikrotik os enseñaré a configurar y administrar un proxy transparente, dándole así seguridad extra a nuestro entorno, por cierto, los dispositivos Mikrotik me gustan muchísimo por su relación calidad\precio\funcionalidades y sobre todo por su gran versatilidad ya que los podemos usar en multitud de entornos:

• Nos registramos para recibir notificaciones acerca de Kaspersky Security 9.0 for Microsoft Exchange Servers:

• Finalizamos la configuración inicial e iniciamos la consola de KSE:

• El aspecto de la consola de KSE 9.0 es el siguiente:

INSTALACIÓN SOBRE EL SEGUNDO SERVIDOR DE EXCHANGE MX01 – ROLES DE EDGE TRANSPORT TRANSPORTE PERIMETRAL

• Uno de los requisitos indispensables para poder instalar Kaspersky Security 9.0 for Microsoft Exchange Servers es tener instalado un servidor Microsoft SQL Server 2014, por lo tanto, nos vamos a instalar los paquetes necesarios para este servidor.
• Desde la web de Microsoft nos hemos descargado los ejecutables SQLEXPRESS2014_x64 para instalar el servidor SQL EXPRESS y SQLManagementStudio_x64 para configurar, administrar y desarrollar todos los componentes de SQL Server, este último componente no es necesario para la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, pero a título personal, siempre me gusta instalarlo para poder administrar el servidor SQL, como por ejemplo, realizar backups de las bases de datos:

• Procedemos a la instalación del primer paquete SQLEXPRESS2014_x64:

• Una vez extraídos se nos abre el siguiente asistente, dónde vamos a seguir los mismos pasos que con el servidor anterior MAIL01, muestro sólo la primera pantalla y la última ya que la instalación es exactamente la misma:

• Procedemos a la instalación del segundo paquete SQLManagementStudio_x64, para ello seguimos los pasos indicados en un post de este mismo blog, post instalación SQLManagementStudio_x64

• Una vez instalado el servidor MS SQL EXPRESS, procedemos a la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, para ello damos doble clic sobre el ejecutable descargado y se nos abre el siguiente asistente, clic sobre “Siguiente”:

• Aceptamos los términos de licencia:

• Elegimos la instalación personalizada:

• Dejamos que instale todos los componentes que vienen por defecto, ya que el software de Kaspersky al iniciar la instalación realiza un chequeo y según los roles que tenga nuestro Exchange nos aparecerán más o menos componentes:

• Kaspersky Security 9.0 for Microsoft Exchange Servers se apoya en bases de datos creadas en servidores SQL para su correcto funcionamiento, por lo tanto, tenemos que configurar una conexión a un servidor SQL que anteriormente hemos instalado en este mismo servidor:

• Para que corra el servicio de KSE vamos a elegir una cuenta local:

• Para iniciar la instalación damos clic sobre “Install”, el mensaje de advertencia nos indica que los servicios MSExchangeTransport y MSExchange IS serán reiniciados:

• Comienza la instalación:

• Si nos da este error debemos aplicar el fix correspondiente descargado de la web de Microsoft:

• Como podemos ver el fix descargado es un script que tenemos que ejecutar con PowerShell:

• Como podemos ver el fix se ha aplicado correctamente:

• Ahora volvemos a iniciar la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, siguiendo los mismos pasos que anteriormente, comienza así la instalación:

• La instalación se ha completado correctamente, clic sobre “Siguiente”:

• Se nos abre el siguiente asistente de configuración, donde vamos implementado los parámetros de configuración inicial:

• Añadimos el código de activación:

• Habilitamos las configuraciones de protección:

• Aceptamos los servicios KSN de Kaspersky:

• No tenemos configurado ningún proxy en nuestra red, clic sobre “Siguiente”:

• No configuramos recibir notificaciones acerca de Kaspersky Security 9.0 for Microsoft Exchange Servers, ya que las configuramos en el servidor anterior:

• Finalizamos la configuración inicial e iniciamos la consola de KSE:

• El aspecto de la consola de KSE 9.0 es el siguiente:

Saludos y espero que os resulte de ayuda

En los siguientes post vamos a ver cómo implementar una suite de seguridad para servidores de correos empresariales que utilicen la plataforma Exchange de Microsoft con el producto de Kaspersky – Kaspersky Security 9.0 for Microsoft Exchange Servers.

Kaspersky Security 9.0 para Microsoft Exchange Servers es una aplicación diseñada para la protección de servidores de correo basados en Microsoft Exchange Server frente a virus, software troyano y otros tipos de amenazas que se pueden transmitir por correo electrónico.

El software malicioso puede provocar daños graves; estos programas están diseñados específicamente para robar, bloquear, modificar o destruir datos, y afectan al funcionamiento de los equipos y las redes de equipos. El envío masivo de virus por correo electrónico puede propagar rápidamente la infección en redes corporativas y paralizar tanto equipos como servidores que estén en funcionamiento, lo que provoca pérdidas y tiempos de inactividad no deseados. Además, los ataques de virus también pueden provocar la pérdida de datos, que puede afectar de forma negativa al negocio.

Kaspersky Security 9.0 para Microsoft Exchange Servers proporciona protección anti-spam en el nivel del servidor de correo corporativo, llegando todo el correo filtrado a los clientes.

Vamos a recordar que nuestra infraestructura de servidores Exchange es la siguiente, por un lado, tenemos un  Microsoft Exchange 2013 con los roles de Mailbox, Client Access y Management Tools ubicado en la zona INSIDE del firewall (red interna) llamado MAIL01, y por otro lado tenemos un Microsoft Exchange 2013 con los roles de Edge Transport – Transporte Perimetral ubicado en la zona DMZ del firewall llamado MX01:

Las siguientes entradas las vamos a dividir en los siguientes puntos que iremos desarrollando:

• Kaspersky Security 9.0 for Microsoft Exchange Servers – Instalación y configuración inicial
• Kaspersky Security 9.0 for Microsoft Exchange Servers – Funcionalidades y características

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo crear tareas programadas de análisis de antivirus según el grupo al que pertenezcan los equipos clientes.

• Como podemos ver tenemos tres tareas por defecto en el grupo principal “Equipos administrados”:

• Nosotros vamos a crear una tarea personalizada de “Análisis de antivirus” para cada grupo, las otras dos tareas (Instalar actualización y Buscar vulnerabilidades y actualizaciones requeridas) las vamos a copiar del grupo principal “Equipos administrados” y la añadiremos a los grupos correspondientes.

• Empezaremos creando la tarea sobre el grupo ADMINISTRACIÓN, en este post sólo vamos a mostrar la configuración sobre este grupo, ya que sobre los demás grupos la forma de configurar esta tarea sería igual, sólo cambiaríamos los parámetros que nos interesen:

• Le asignamos un nombre a la tarea:

• Elegimos el tipo de tarea, en este caso, análisis antivirus para Kaspersky Endpoint Security 10 SP1 para Windows, ya que este es el paquete que tenemos instalado en todos los equipos del grupo Administración:

• Ahora vamos a seleccionar las diferentes coberturas del análisis, es decir, que es lo que queremos que nos analice el antivirus, nosotros dejaremos los check que vienen marcados por defecto, sólo vamos a añadir que analice el correo electrónico:

• Nos quedaría de la siguiente manera:

• La acción al detectar una amenaza la dejaremos en seleccionar automáticamente:

• La cuenta para generar la tarea, escogemos la generada de forma automática, si nos interesa, podemos ejecutar la tarea con un usuario administrador del dominio:

• Aquí configuramos los parámetros de programación de la tarea, y le indicamos que la realice todos los lunes a las 14:00 horas:

• Finalizamos la creación de la tarea de análisis de antivirus para el grupo Administración:

• Como podemos ver ya tenemos la tarea creada:

• Las tareas de Instalar actualización y Buscar vulnerabilidades y actualizaciones requeridas, las vamos a copiar del grupo principal “Equipos administrados” a los demás grupos que nos interese:

• Una vez que hemos copiado y pegado las dos tareas restantes nos quedaría de la siguiente manera, para el grupo Administración:

• El grupo Contabilidad nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los martes a las 14:00 horas:

• El grupo Ingeniería nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los miércoles a las 14:00 horas:

• El grupo Publicidad nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los jueves a las 14:00 horas:

• El grupo Ventas nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los viernes a las 14:00 horas:

• El grupo Controladores de dominio nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los viernes a las 18:00 horas:

• El grupo Dirección nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los lunes a las 14:00 horas:

• El grupo DMZ no quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los viernes a las 18:00 horas:

• El grupo IT no quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los martes a las 14:00 horas:

• El grupo Servidores no quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los domingos a las 22:00 horas:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo crear nuevas directivas para el Endpoint Security 10 for Windows y aplicar estas directivas a los grupos sin que se herede la configuración de la directiva primaria.

Con esta directiva vamos a poder configurar todas las opciones del antivirus en los equipos clientes.

• Empezaremos creando esta directiva sobre el grupo CALA, para que los grupos que se anidan dentro de éste hereden esta directiva, estos grupos serían, ADMINISTRACIÓN, CONTABILIDAD, INGENIERÍA, PUBLICIDAD Y VENTAS, ya que lo que queremos es que todos estos departamentos tengan la misma directiva de Endpoint Security 10 para Windows:

• Se nos abrirá este asistente, donde vamos a configurar lo siguiente:

• En este punto vamos a empezar a especificar cuáles son las opciones para el Endpoint Security 10 para Windows, en nuestro caso habilitaremos todos los checks para el Endpoint:

• En exclusiones dejamos marcadas las que vienen por defecto, más tarde podremos configurar las exclusiones que nos interesen para cada grupo:

• Aceptamos la declaración de participación en KSN:

• Para la interfaz del Endpoint, lo dejamos todo por defecto, si no queremos que nos muestre la pantalla de la consola en el equipo cliente, tenemos que deshabilitar el check “Mostrar interfaz de Kaspersky Endpoint Security 10 para Windows”, en la configuración de las notificaciones, las podemos configurar como nos interese y en la configuración de la información de soporte podemos introducir los datos que nos interese para que los equipos clientes lo puedan ver:

• Podemos activar la protección por contraseña para la consola de Endpoint Security 10, nosotros en este caso lo dejaremos deshabilitado:

• Si habilitamos la contraseña para la consola de Endpoint Security 10 para Windows, estas son las opciones que el usuario cliente puede configurar, una vez que habilitemos el check correspondiente, le podremos dar permiso al cliente de las opciones que nos interese:

• Le indicamos que active la directiva, una vez finalizado el asistente de configuración:

• Como podemos ver ya tenemos la directiva creada sobre el grupo CALA:

• Algo importante que tenemos que deshabilitar en esta directiva es el check “Heredar configuración de la directiva primaria”, para que no herede la directiva del grupo principal “Equipos administrados”, así esta directiva será aplicada a este grupo CALA y a todos los que están anidados dentro de él:

• Como podemos ver los grupos que se anidan dentro del principal CALA, si heredan la configuración de esta nueva directiva:

• Para los demás grupos o para los grupos que nos interese tendremos que hacer lo mismo y crear la directiva para el Kaspersky Endpoint Security 10 SP1 para Windows personalizada.
• Como podemos ver ya la tenemos configurada en los demás grupos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo crear nuevas directivas para el agente de red de Kaspersky y aplicar estas directivas a los grupos sin que se herede la configuración de la directiva primaria.

Esta directiva nos va a ayudar a comunicar nuestros equipos clientes con el servidor de administración de Kaspersky.

• Empezaremos creando esta directiva sobre el grupo CALA, para que los grupos que se anidan dentro de éste hereden esta directiva, estos grupos serían, ADMINISTRACIÓN, CONTABILIDAD, INGENIERÍA, PUBLICIDAD Y VENTAS, ya que lo que queremos es que todos estos departamentos tengan la misma directiva de Agente de red de Kaspersky:

• Se nos abrirá este asistente, donde vamos a configurar lo siguiente:

• En este punto marcaremos el check “Descargar actualizaciones solo mediante Agentes de actualización”, para que los equipos clientes solo puedan descargar las actualizaciones desde el servidor de administración de Kaspersky (en nuestra red local), y no se conecten a internet para la descarga de actualizaciones a través de los servidores de Kaspersky, el tamaño de la cola de eventos lo dejaremos por defecto en 2 MB:

• Estos cuatro puntos los habilitamos y el agente de red informará a nuestro servidor de administración del estado del equipo basándose en lo que aquí habilitemos:

• En las opciones de red dejaremos habilitados todos los checks y el puerto por defecto 15000, lo único que vamos a configurar será el intervalo de sincronización, que será de 1 hora, esto quiere decir, que el equipo cliente sincronizará con el servidor de administración cada hora, por ejemplo, si esta directiva, la estuviéramos configurando sobre el grupo SERVIDORES, el intervalo de sincronización sería menor, ya que los servidores son equipos más críticos, lo podemos configurar a los 20 minutos:

• En vulnerabilidades y actualizaciones de software, el check de WSUS lo deshabilitamos, ya que este servidor de administración KSC no hace las funciones de WSUS, lo hemos configurado como rol de Windows Server 2012 R2, le indicamos que los archivos ejecutables los analice para encontrar vulnerabilidades:

• Ahora le indicamos que la directiva la aplique inmediatamente:

• Como podemos ver ya tenemos la directiva creada sobre el grupo CALA:

• Algo importante que tenemos que deshabilitar en esta directiva es el check “Heredar configuración de la directiva primaria”, para que no herede la directiva del grupo principal “Equipos administrados”, así esta directiva será aplicada a este grupo CALA y a todos los que están anidados dentro de él:

• Como podemos ver los grupos que se anidan dentro del principal CALA, si heredan la configuración de esta nueva directiva:

• Para los demás grupos o para los grupos que nos interese tendremos que hacer lo mismo y crear la directiva para el Agente de Red de Kaspersky security Center personalizada.
• Como podemos ver ya la tenemos configurada en los demás grupos:

Saludos y espero que os sea de ayuda

En este post vamos a ver una introducción a las directivas configuradas en el servidor de administración y que serán transferidas a los clientes a través del Endpoint Security 10 para Windows.

• Cuando nosotros instalamos Kaspersky Security Center, por defecto, nos crea dos directivas en el grupo principal “Equipos administrados”, una de ellas es la directiva para el Agente de red y otra para el Endpoint Security antivirus:

• Nosotros podemos agregar nuevas directivas, pero esto lo veremos en el próximo post:

• La directiva de Agente de red nos proporciona comunicación constante entre los equipos clientes y el servidor de administración, proporcionando así que los clientes puedan reportar al servidor todas las incidencias ocurridas a nivel de seguridad.
• La directiva de Kaspersky Endpoint Security 10 nos proporciona la administración del antivirus en los equipos clientes, antivirus de archivos, Firewall, prevención de intrusiones, manejo de aplicaciones, controlar los dispositivos USB en los clientes. Entre otras muchas funciones.
• Cuando creamos grupos no se crean nuevas directivas, estos grupos heredan las directivas del grupo principal, o en su defecto, del grupo al que esté anidado, si previamente hemos creado alguna directiva:

• En los grupos que hemos creado, esta opción de heredar del nivel superior la podemos deshabilitar si nos interesa, desmarcando el check “Heredar configuración de la directiva primaria” en la nueva directiva que hemos creado para este grupo:

• Volviendo a las dos directivas que nos crea por defecto, estás las podemos editar dando clic en propiedades:

• Se nos abre el siguiente cuadro de configuración:

• Para habilitar el control de dispositivos y el control web, entre otras opciones, en la directiva de Kaspersky Endpoint Security 10 tenemos que marcar los checks de “Mostrar configuración de control de Endpoint” y “Mostrar secciones de configuración de seguridad” en la pestaña «Ver>Configuración de la interfaz» del Servidor de Administración:

• Entonces cuando accedemos a las propiedades de las directivas de Kaspersky Endpoint Security 10, nos encontraremos con muchas más opciones, como pueden ser el control de dispositivos (por ejemplo para deshabilitar los USB en un equipo, para no permitir el acceso a un pen drive determinado, etc…) o el control web (por ejemplo para no permitir acceso a webs según contenido, según tipos de datos, etc…):

• Tenemos el control de dispositivos:

• Tenemos el control Web:

• Para que todas estas nuevas funcionalidades queden operativas necesitamos un licenciamiento que no sea el trial que estamos utilizando para realizar estos post, ya que si no, estas opciones SI nos la va a mostrar en la consola de Kaspersky Security Center, pero NO nos la va a mostrar y por lo tanto no estarán operativas en la consola de Endpoint Security 10 de los clientes, como podemos ver en esta imagen:

Saludos y espero que os resulte de ayuda

En este post vamos a ver la consola que se instala en los clientes, una vez hecho el despliegue remoto de Endpoint Security 10 para Windows.

• Como podemos ver ya hemos instalado de forma remota el Endpoint Security 10 para Windows en nuestro servidor de correos Exchange 2013, llamado Mail01 y todo está correcto:

• En el servidor Mail01, nos va a aparecer este icono de Kaspersky en la barra de tareas:

• Si le damos doble clic sobre el icono, esta sería la consola que van a ver los clientes, esta consola se administrará por medio de directivas que vamos a configurar más adelante a través de nuestro servidor de administración Kaspersky Security Center, por lo tanto, el cliente no va a poder configurar ni modificar opciones:

• Esta consola tiene tres componentes principales de protección: Antivirus de archivos, Firewall y Prevención de intrusiones:

• También podemos ver las tareas programadas que hemos configurado y gestionado desde el servidor de administración, estas son las tareas que se han creado por defecto, nosotros podemos crear más tareas por medio de las directivas:

• En configuración tenemos las opciones que también hemos configurado por medio de directivas, en este caso la directiva se llama Kaspersky Endpoint Security 10 Service Pack 1 para Windows, las configuraciones en el Endpoint como podemos ver nos aparecen sombreadas, ya que están configuradas en el servidor de administración, por lo tanto, el cliente no puede modificar nada:

• En la pestaña de licencia podemos ver que tenemos activa la licencia trial que nos ha proporcionado Kaspersky por 30 días:

• En informes podemos ver el registro de toda la información de lo que está sucediendo en nuestro equipo a nivel de seguridad:

• También tenemos el servicio de reputación KSN, a través del cual podemos acceder a la información más actual de la reputación de archivos y recursos web recibida de usuarios de todo el mundo:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo se realiza el despliegue del antivirus Kaspersky Endpoint Security 10.

• Primero veremos que en el equipo dónde hemos instalado el Servidor de Administración, por defecto, ya se instala el agente de red, pero no el antivirus:

• El servidor de administración será el primer equipo dónde vamos a desplegar de forma remota el antivirus Endpoint Security 10, para ello seguimos estos pasos:

• Comienza a desplegar el antivirus:

• En ver resultados nos muestra los detalles del despliegue:

• Como podemos ver el proceso ha finalizado correctamente:

• Como podemos ver el servidor de administración ya tiene el antivirus Endpoint Security 10 para Windows instalado:

• Aquí tenemos la consola de Endpoint Security 10 para Windows, esto es lo que verán los clientes una vez realizado el despliegue:

• Ahora vamos a realizar el despliegue en un equipo que no tiene instalado el Agente de red, en este caso en el servidor de Exchange 2013 llamado mail01, en los demás equipos de nuestra infraestructura de red vamos a seguir el mismo método:

• Instalamos primero el agente de red:

• Como podemos ver la instalación del agente de red se ha completado correctamente:

• Una vez que hemos desplegado el Agente de red, tendremos que desplegar el Kaspersky Endpoint Security 10 para Windows, el proceso será el mismo que con el equipo anterior.

• Como podemos ver ya tenemos completado el despliegue sobre el servidor de Exchange 2013 mail01:

• Para los demás equipos de nuestra infraestructura realizamos la misma acción, primero desplegamos el Agente de red y luego el Endpoint Security 10 para Windows.

Saludos y espero que os sea de ayuda