檢視次數:
Server & Workload Security保護 和代理使用最新的互相支援的 TLS 版本進行通訊。
本文中的主題：

配置心跳 上層主題

注意
注意
所有代理程式不再支援設定心跳間隔和在發送警報之前可以錯過的心跳次數。
心跳是Server & Workload Security保護與代理之間的定期通信。在心跳期間，Server & Workload Security保護會收集以下資訊：
  • 驅動程式的狀態（在線或離線）
  • 代理程式的狀態（包括時鐘時間）
  • 自上次心跳以來的代理日誌
  • 用於更新計數器的資料
  • 代理程式安全配置的指紋（用於確定其是否為最新）
心跳可以在基礎或父策略、子策略或單個電腦防護上進行配置。
心跳間隔時間為 10 分鐘，並且在發出警報之前可以錯過的心跳次數為兩次。這兩個屬性是不可配置的。
您可以配置心跳的以下屬性：
  • Raise Offline Errors For Inactive Virtual Machines: 設定虛擬機器停止時是否引發離線錯誤。

步驟

  1. 打開政策編輯器或電腦防護編輯器以配置政策或電腦防護。（從電腦防護或政策選單中，選擇一個表格列，然後點選詳細資訊按鈕。）
  2. 前往Settings → General → Heartbeat。
  3. 根據需要更改屬性。
  4. 點選 儲存。

接下來需執行的動作

配置通信方向性 上層主題

注意
注意
對於 Server & Workload Security保護，代理啟動的通訊預設為已啟動，我們強烈建議您不要更改此設定。
注意
注意
對於 macOS 代理程式，只支援 Agent Initiated 通訊。
配置代理或Server & Workload Security保護是否啟動通信。通信包括心跳和所有其他通信。可用的選項如下：
  • Bidirectional: 代理通常會啟動心跳並在代理的監聽通訊埠號碼上監聽來自 Server & Workload Security保護 的連接。（請參閱 Server & Workload Security保護 通訊埠號碼。）Server & Workload Security保護 可以聯繫代理以執行所需的操作。Server & Workload Security保護 可以對代理的安全配置進行更改。
  • Manager Initiated:Server & Workload Security保護（管理者）啟動與代理的所有通信。這些通信包括安全配置更新、心跳操作和事件日誌請求。
  • Agent Initiated: 代理程式不會從 Server & Workload Security保護 接收連線。相反地，它們會在 Server & Workload Security保護 監聽代理程式心跳的通訊埠號碼上聯繫 Server & Workload Security保護。（請參閱 Server & Workload Security保護 通訊埠號碼。）一旦代理程式與 Server & Workload Security保護 建立了 TCP 連線，所有正常的通訊就會開始：Server & Workload Security保護 首先會詢問代理程式的狀態和任何事件。（這是心跳操作。）如果有需要在電腦防護上執行的未完成操作（例如，需要更新政策），這些操作會在連線關閉前執行。Server & Workload Security保護 和代理程式之間的通訊僅在每次心跳時發生。如果代理程式的安全配置已更改，則不會在下一次心跳之前更新。關於如何配置代理程式啟動的激活並使用部署腳本來激活代理程式的說明，請參閱 使用代理程式啟動的激活和通訊來激活和保護代理程式。

步驟

  1. 打開政策編輯器或電腦防護編輯器以配置政策或電腦防護。
  2. 前往 Settings → General → Communication Direction.
  3. 在 Direction of Workload Security Manager to Agent/Appliance communication 菜單中，選擇三個選項之一（「管理員啟動」、「代理/設備啟動」或「雙向」），或選擇「繼承」。如果您選擇「繼承」，則策略或電腦防護將繼承其父策略的設定。選擇其他選項之一將覆蓋繼承的設定。
  4. 點選儲存以套用變更。

接下來需執行的動作

為了啟用 Server & Workload Security保護 與代理之間的通訊，Server & Workload Security保護 會自動實施一個（隱藏的）防火牆規則（優先級四，繞過），該規則會為代理上的心跳訊號開啟監聽通訊埠號碼以接收傳入的 TCP/IP 流量。預設情況下，它會接受來自任何 IP 位址和任何 MAC 位址的連接嘗試。您可以通過創建一個新的優先級 4、強制允許或繞過的防火牆規則來限制此通訊埠的傳入流量，該規則僅允許來自特定 IP 或 MAC 位址，或兩者的傳入 TCP/IP 流量。如果設置匹配，這個新的防火牆規則將取代隱藏的防火牆規則
action: 強制允許或繞過 priority: 4 - 最高 packet's direction: 進入 frame type: IP protocol: TCP packet's destination port: 代理程式的心跳連線監聽通訊埠號碼來自 Server & Workload Security保護，或包含通訊埠號碼的列表。（請參閱 代理程式監聽通訊埠號碼。）
當這些設定生效時，新規則將取代隱藏規則。然後，您可以輸入 IP 或 MAC 位址，或兩者的封包來源資訊，以限制到電腦防護的流量。
注意
注意
代理會根據Server & Workload Security保護主機名稱在網路上尋找Server & Workload Security保護。因此，Server & Workload Security保護主機名稱must必須在您本地的DNS中，才能使代理發起或雙向通信正常運作。

支援的通訊加密套件 上層主題

Server & Workload Security保護 和代理使用最新的互相支援的 TLS 版本進行通訊。
代理程式支援以下加密套件與Server & Workload Security保護進行通訊。如果您需要了解Server & Workload Security保護支援的加密套件，請聯絡趨勢科技。
密碼套件包括密鑰交換非對稱算法、對稱資料加密算法和雜湊函數。

代理程式版本 9.5 密碼套件 上層主題

Deep Security Agent 9.5（無 SP、修補程式或更新）支援以下 TLS 1.0 密碼套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA
Deep Security Agent 9.5 SP1 - 9.5 SP1 Patch 3 Update 2 支援以下加密套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_3DES_EDE_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA
Deep Security Agent 9.5 SP1 Patch 3 Update 3 - 8 支援以下加密套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

代理程式版本 9.6 密碼套件 上層主題

Deep Security Agent 9.6（無 SP、修補程式或更新）- 9.6 Patch 1 支援以下這些 TLS 1.0 密碼套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA
Deep Security Agent 9.6 Patch 2 - 9.6 SP1 Patch 1 Update 4 支援以下加密套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_3DES_EDE_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA
Deep Security Agent 9.6 SP1 Patch 1 更新 5 - 21 支援以下加密套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

代理版本 10.0 密碼套件 上層主題

Deep Security Agent 10.0 直到更新 15 支援以下 TLS 1.2 密碼套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
Deep Security Agent 10.0 更新 16 及後續更新版本開箱即用地支援以下 TLS 1.2 密碼套件：
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256

代理程式版本 11.0 密碼套件 上層主題

Deep Security Agent 11.0 直到更新 4 支援以下密碼套件：
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
Deep Security Agent 11.0 更新 6 及後續更新支援以下 TLS 1.2 密碼套件：
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

代理程式版本 12.0 和代理程式版本 20 密碼套件 上層主題

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256