Symantec versucht integrierten Ansatz für Client-Security

Unter Endpoint Protection 11 hat Symantec nun das Gros seiner Client-bezogenen Sicherheitsbausteine zusammengefasst. Das Toolset umfasst Sicherheitsfunktionen zur Abwehr von Malware, Spyware und Rootkits, ferner eine Desktop-Firewall, ein Intrusion Prevention System (IPS) für den Netzverkehr, ein Host-basierendes Intrusion Prevention System (HIPS) sowie NAC-Support (Network Access Control) für die Zugangskontrolle. Funktional deckt die Suite damit nahezu alles ab, was für einen runden Client-Schutz erforderlich ist. Fast alle Sicherheitsvorkehrungen von Endpoint Protection sind darauf ausgerichtet, den Angriff von Dritten auf das Gerät zu kontrollieren oder zu unterbinden.

Die Sicherheitssuite unterscheidet zwischen "managed" und "unmanaged" Clients. Als managed werden vom zentralen Management-Server verwaltete Clients bezeichnet, während unmanaged Clients keinen Kontakt mehr zu ihrem zentralen Verwaltungs-Server haben. Das mag zwar die Ausnahme sein, ist aber denkbar. Eine Mischform zwischen beiden Varianten ist die "Client-Control"-Methode. Hierbei wird durch den zentralen Server der Client-Agent (meist mit einer Grundkonfiguration) auf das zu sichernde Gerät ausgerollt, die Verwaltung erfolgt jedoch ausschließlich lokal durch den Client selbst. Als Clients sind - im Sinne von Endpoint Protection - auch Server-Systeme zu verstehen, denn für das Toolset macht es keinen Unterschied, ob es Client-Desktops, Client-Notebooks oder Server-Systeme in die Überwachung einbezieht. Auf den zu überwachenden Client-Geräten kommen spezielle Agenten zum Einsatz, die mit dem Management-Server kommunizieren.

Für unseren Test richteten wir den Management-Server samt Datenbank und der Verwaltungskonsole auf einem Rechner mit Windows Server 2003, SP1 ein. Als verwaltete Clients verwendeten wir Testrechner mit Windows XP und Windows Server 2003. Darüber hinaus unterstützt Endpoint Protection auch Clients mit den Betriebssystemen Windows 2000 Professional und Server (jeweils mit SP3) sowie Windows Vista und Windows Server 2003. Ab Windows XP gilt das sowohl für 32-Bit- als auch 64-Bit-Systeme.

Das Setup selbst benötigt lediglich einige zentrale Angaben etwa zum Zielverzeichnis. Im Test installierten wir den Management-Server samt Datenbank und Verwaltungskonsole manuell. Die Clients können zwar auch direkt von der gelieferten CD installiert werden, was der Hersteller allerdings nur empfiehlt, wenn der Client keine Kommunikation zum Management-Server benötigt (Stand-alone-Betrieb). Bei größeren IT-Infrastrukturen mit Tausenden Geräten sollten die Client-Agenten vom Verwaltungs-Server aus im Push-Verfahren installiert werden.

Nach dem Setup des Management-Servers fragt ein Assistent die weiteren Konfigurationseinstellungen ab und richtet dann die Datenbank ein. Ein anderer Assistent hilft bei der Migration bestehender Symantec-Tools wie der Antivirus Corporate Edition. Alles zusammen ist in einer knappen Viertelstunde zu bewerkstelligen. Anschließend startet die Verwaltungskonsole, die modern und aufgeräumt ist und sich an den heute gängigen grafischen Benutzeroberflächen orientiert.