Tach Zusammen,

 

Neulich habe ich einmal meine thwack Punkte investiert. Guckt hier:

Ich habe eine gute Idee, was man damit machen kann!
Aber vor dem Vergnügen erst ein bisschen Arbeit.

 

Bisher habe ich über einige Orion Module referiert sowie den „teil-integrierten“ Patch Manager. Um Langeweile vorzubeugen heute einmal etwas Anderes – unsere SIEM Lösung Log & Event Manager, kurz LEM.
LEM sitzt hinter euren AV-Lösungen, Firewalls, DLP Software etc und zeigt die Daten zentral und übergreifend an. Ich kann also mit LEM nachvollziehen, wer wo durch mein Netzwerk wandert und was angefasst oder auch nur angesehen hat.

 

LEM wird nicht irgendwo hin installiert, sondern kommt als virtuelle Appliance basierend auf Linux. Je nach Geschmacksrichtung Hyper-V oder Vmware wird das Ding direkt auf den Host importiert.

Nachdem Importieren nehme ich zuerst ein paar der Ressourcen von der Kiste runter und gebe hier nur 4 Gigs und 2 vCPUs. Das reicht für ein kleines System im Test oder bei mir im Labor. Ich bin geizig.

Wenn ihr die VM startet und dann auf die Konsole geht, kommt nach wenigen Sekunden ein Screen wie dieser hier:

Das ist keine Hommage an den BSOD!
Wir sehen direkt die IP Adresse und könnten per Browser loslegen, aber zuerst geht mal unten auf die Timezone und stellt es bei korrekt ein also bei euch vermutlich Europe/Berlin.

 

Dann aber mal direkt in den Browser eures Vertrauens und ab dafür!
Das erste was man vermutlich sieht ist, dass es mit dem Vertrauen dann doch nicht so weit geht:

Ignorieren! Der Login ist admin/password als Standard:

Nach dem Ändern das Passworts sieht man ein paar Buttons ganz oben:

Und vermutlich das Ops Center unten was aber bei euch noch leer sein wird.

Bevor wir irgendwas machen empfehle ich zuerst, die Appliance auf den aktuellen Stand zu bringen.
Zum Zeitpunkt an dem ich diesen Artikel schreibe ist Hotfix 7 das neueste Release:
https://downloads.solarwinds.com/solarwinds/Release/HotFix/SolarWinds-LEM-v6.3.1-Hotfix7.zip

Im Archiv sind die Schritte zum Updaten – in a nutshell: Auf ein Netzwerkshare entpacken, dann in die LEM VM-Konsole und über Appliance den HF einspielen. Dann von dort aus Neustarten.

 

Dann die Connectors. Wenn die Appliance Internetzugriff hat klickt einfach Manage/Appliance


Dann rechts oben auf Update Now.

Wenn die Appliance kein Internet hat:
http://downloads.solarwinds.com/solarwinds/Release/LEM/SolarWinds-LEM-Connectors.zip

Der Updateprozess ist ähnlich wie beim HF – Details sind im Archiv.

 

Was ist ein Connector überhaupt?
Ich vergleiche das immer gerne mit einem Babelfisch! Kennt ihr das noch? Wenn nicht, attestiere ich euch eine böse Kulturlücke!

 

LEM kommt mit einer sehr langen Liste an Connectoren für die verschiedenste Hard- und Software die es gibt.
Eine aktuelle Übersicht findet sich immer hier:
https://thwack.solarwinds.com/community/log-and-event_tht/log-and-event-manager/lem-connector-list

 

Wenn für eine Logquelle ein Connector vorhanden ist heisst das, dass die gelieferten Daten verstanden werden können.
Diese werden dann normalisiert und stehen für weitere Korrelation zur Verfügung.

 

Die Liste wird etwa einmal pro Monat aktualisiert. Den Prozess habt ihr ja jetzt schon kennen gelernt.
Als Daumenregel; alles was bekannt, populär und überall in Benutzung ist sollte sich schon in der Liste finden. Vielleicht nicht zwingend in den aktuellsten Versionen, aber ein Hersteller X stellt beim Sprung von Version 12 auf 13 eher selten etwas am Logging um.

 

Was aber, wenn dem jetzt doch so ist? Oder – bei euch läuft irgendwas, was noch nicht in der Liste ist?
In dem Fall ist es Teil des Wartungsvertrages, dass wir versuchen einen Connector für euch herzustellen.
Auch dafür haben wir einen Prozess:
https://support.solarwinds.com/Success_Center/Log_Event_Manager_(LEM)/Submit_a_request_to_SolarWinds_for_a_new_LEM_connector

Mir fällt gerade auf das die Anzahl an Prozessen hier bei Solarwinds exponentiell gestiegen ist seitdem ich hier bin. Aber glaubt mir ich bin unschuldig! Zumindest hierbei!

 

Lassen wir die Connectoren erst einmal Connectoren sein und machen weiter. Wir kommen später noch einmal zu diesem Thema.

 

Wir brauchen jetzt Daten. Und Details.

Grundsätzlich gibt es zwei Methoden:
a) Netzwerkhardware kommuniziert über Syslogs
b) Betriebssysteme (und Anwendungen) kommunizieren über einen Agent

 

Im Falle von Networkgear ist das für uns hier gerade einfach: Wir brauchen innerhalb von LEM nichts einstellen weil das alles in der Hardware erledigt wird.
In meinem Labor zu Hause habe ich zwei Syslog-Quellen, mein NAS (QNAP) :

 

… sowie meinen Network-Controller (UBNT), der Daten von Firewall, Switch und AP liefert:

Bei anderen Devices erledige ich das natürlich über die CLI.
Wenn ich Syslogs aktiviert habe tauchen die Nodes üblicherweise von alleine auf:

Falls dort auch nach einem längeren Zeitraum nichts steht ist die beste Idee oben hier zu klicken:

Die interne Datenbank wird dann noch einmal durchforstet und etwaige neuen Geräte aufgelistet.
Wenn auch dann nichts auftaucht…wird es kompliziert. Aber nicht in diesem Posting.

 

Bei Servern/Workstations wird ein Agent benötigt, um an Daten zu kommen.
Der Agent sorgt zum einen dafür, das auch andere Events ausserhalb des Windows Eventlogs gesammelt werden können, aber er komprimiert und verschlüsselt die Daten auch vor dem Senden.
Bei Manage/Nodes habe ich diesen Knopf hier:

Dort dann Agent anklicken und ich finde die Downloads:

Für einen Test nimmt man einfach den lokalen Installer. Ich lasse Ihn einmal auf meiner Workstation laufen und es gibt eine wichtige Info zum Ausfüllen:

Und eine weniger wichtige

Das war es auch schon:

Der Agent verbindet ziemlich schnell – CTRL ist neu hinzugefügt:

Wenn ihr meinen Schritten gefolgt seid, habt ihr jetzt einen LEM up2date sowie mindestens zwei Logquellen im System.
Geben wir der Appliance nun etwas Zeit zum Sammeln von Daten und gehen ein paar Kekse essen.

 

Oder vielleicht…Deutscher Käsekuchen! Der einzige seiner Art hier in Irland, weil von mir erschaffen:

Lecker! Aber okay nun noch ein paar Basics.
Klickt bitte oben ins Ops Center und geht zu dem orangenen Ding hier:

Beim ersten Punkt stelle ich meinen Mailserver ein:

Sowie einen AD Connector:

Man könnte jetzt im Ops Center etwas aufräumen und die „getting started“ Box ebenso wie „what’s new“, „thwack“ usw entfernen – wie ihr mögt.

 

Mittlerweile sollten Daten da sein!
Schaut mal oben wieder in die Leiste und klickt auf MONITOR.

 

Monitor zeigt Echtzeit-Informationen. Schaut mal nach links unter Filters – dort sind verschiedene Gruppen mit einzelnen Kategorien aufgelistet.
Unter IT Operations finde ich bei Service Events schon etwas von meiner CTRL Maschine:

 

Ich verschiebe einmal eine Datei auf meinem NAS:

Wenn der AD Connector da ist, sieht man direkt auch die wirklich wichtigen Dinge wie fehlgeschlagene Logins, verschobene Benutzer usw ohne weitere manuelle Anpassung.

 

Bei ausgewähltem Filter kann ich oben auf das Zahnrad und Edit klicken:

Wir sehen dann wie sich dieser Filter tatsächlich zusammensetzt und könnten in manchen Situationen ein finetuning betreiben mittels drag&drop von links nach rechts:

Aber so weit will ich jetzt nicht gehen.

 

Stattdessen zeige ich euch noch schnell wo man historische Informationen finden kann.
Klickt oben auf Explore/ndepth

 

Hier schauen wir zuerst auf diese Spalte hier:

Wir sehen rechts den Zeitraum der beliebig umgestellt werden kann, ansonsten wird hier gerade nichts gefiltert.
Darunter sehen wir, dass in den letzten 10 Minuten 587 Events herein gekommen sind:

 

Ich wähle links aus, was mich gerade interessiert, sagen wir mal UserLogons, und doppelklicke:

 

Jetzt guckt noch einmal nach oben in die Leiste:

 

Der Logon wurde hinzugefügt aber ich muss noch auf den blauen Pfeil drücken um die Auswahl zu aktivieren:

 

Logons sind so ein klassisches Szenario. Üblicherweise sind fehlgeschlagene Logons interessanter aber ich habe gerade keine bei mir.
Der nächste Schritt zum Filtern ist entweder in Richtung der Benutzerkonten oder der Maschinen auf denen der Logon stattgefunden hat. Beides können wir, ich nehme zuerst einen Benutzer:

 

Den blauen Pfeil nicht vergessen:

Mein Admin hat auf drei Maschinen einen Logon-Event generiert:

 

Ich frage mich gerade, welche meiner Schatten-Existenzen hier in meinem Netzwerk herumgeistert. Ich sollte vielleicht weniger Trinken.

 

Ich kann jetzt weiter heruntergehen auf eine Maschine, kann aber auch mit den Events weiter arbeiten die mir angezeigt werden.
Guckt mal ganz nach unten:

Das sind verschiedene Visualisierungen. Klickt mal ein wenig herum, die zweite von links ist ganz nett. Wir machen aber in der zweiten Position von rechts weiter.

Alle Events mit Details werden angezeigt:


Ich kann das auch exportieren bei Bedarf:

Ganz oben kann ich die Suche auch speichern für spätere Benutzung:

Okay ein Thema zeige ich euch noch. Der LEM ist nicht nur ein Werkzeug zur Anzeigen von Daten sondern erlaubt auch Aktionen zu automatisieren.
Klickt auf Build/Rules

Und schaut einmal in die untere Hälfte. Dort finden wir einige Hundert Beispiele an vordefinierten Regeln. Guckt sie euch an. JEDE EINZELNE!

Oder nutzt links oben die Suchbox und hackt „logon failure“ ein, dann schaut unten nach dem hier

Klickt auf das Zahnrad und Clone

Zwei Dinge passieren gleichzeitig – nicht erschrecken! Zum einen wird eine Kopie der Regel nach oben befördert, zum anderen öffnet sich ein neuer Spielplatz

Ganz oben sehen wir ein Element das wir schon bei den Filtern kennen gelernt haben.
Darunter in violett die Zeit in der wir Schwellwerte einstellen können.

In Gelb (oder ist das orange? Schmutzig-weiss?) sehen wir Aktionen.

Wir sehen auch Actions ganz unten links, klickt da mal drauf!

 

Die verschiedensten Aktionen stehen uns zur Verfügung von einer simplen Email, über das Verschieben von Benutzern in AD Gruppen bis zum Herunterfahren einer Maschine.

 

Hier in thwack haben wir in der Content Exchange auch viele weitere Beispiele für Regeln, Filter und sogar Reporte:

https://thwack.solarwinds.com/community/log-and-event_tht/log-and-event-manager/content?filterID=contentstatus%5Bpublished%5D~objecttype~objecttype%5Bdocument%5D

Schaut mal rein!

 

Ich aber habe jetzt etwas Anderes vor:

Aperol, Prosecco und Orange – auch Spritz genannt.

Prost & bis dann!

It governance is a framework that ensures your organisation's IT infrastructure supports and enables the achievement of the organizations strategies and objectives.

 

As I get ready to dig deep into Governance for my organization, I wanted to share with you all some of the information that I am taking into consideration.   I am not re-creating the wheel, although it does feel like ground zero!  I am starting with a checklist so that I don't bite off more than I can chew!  I have gathered some baseline information to take into consideration.  I am also interested in what other items you all might consider adding to the list, perhaps even another category!

 

Governance should mitigate risk and improve organization performance, allowing for growth!

 

The following 6 items are the focus for my project, and I am certainly open to additional considerations on how to best create and deploy governance!

 

Data Volume

     How much data do we have?

     Where does our data come from?

     How much new data do we generate each year?

     What kind of data do we have?

 

Current Records Management Systems

     How do we currently handle our data?

     What is our current records management policy?

     Where do we store our data?

     Where do we store our current backups of data?

     How long are we storing our data?

     How are we handling our physical records?

     What groups are currently involved in the data management process?

     Have we identified all parties who need to be involved in the decision making process to make changes to current data management process?

     Do we have policies in place regarding use of personal devices and data storage

     Do we have policies in place regarding backing up devices regularly either to company owned devices or network locations.

     Do we segregate out legal hold data?

     How do we identify legal hold data?

     How can we recall the data we need to respond in a litigation or inquiry?

     Do we have a process in place for departing custodians under legal hold?

 

Managing Data

     Who controls our data?

     Who needs our data?

     What organizational data management policies are already in place?

     How much data storage do we have?  How much will we need going forward?

     What types of data sources do we have?

     What data can we delete?

     Do we have a Mobile Device Management Software in place?

     How quickly can we aggregate and organize our data?

     Do we need to classify our data?

     Can you access remote data without the device?

 

Mitigating Risk and Creating Cost Savings

     Can we navigate through our data easily?

     What are our current personally identifiable information or other sensitive data policies?

     Will our new data management policies address regulatory requirements?

     How much money are we spending on managing out data?

     How much time are we speeding on managing our data?

     How often do we need to revisit our data management tools?

     What protections do we have to prevent data loss?

     Have we established an archiving system for transient data?

 

Change Management

     How quickly can we implement change to our data management process?

     Who will we leverage internally and externally to help in changing our data management process?

     Gave we involved all necessary stakeholders that could be affected by changes in data management policies?

     How will this affect our current compliance policies?

     Will we be able to maintain an independent process and if so who will oversee it?

 

Best Practices

     Do we have the governance structure to implement effective data classification?

     How flexible will our data management have to be?

     How will we handle new types of data,  separating employees?

     How well do our technology solutions support enforcement of leading practices an policies?

SolarWinds uses cookies on its websites to make your online experience easier and better. By using our website, you consent to our use of cookies. For more information on cookies, see our cookie policy.