1 2 3 4 Previous Next

THWACK EMEA

48 Posts authored by: Sascha Giese Employee

Jeder ist in der Cloud“, sagten sie, „und wenn Sie nicht da sind, wird Ihr Unternehmen sterben.

 

Das war, wann, 2010?

Wie sich herausstellte, gibt es zu viele bewegliche Teile, zu viele Anwendungen waren damals noch nicht so weit, die Bandbreite zu teuer und nicht zuverlässig, und, oh, sensible Daten außerhalb des Unternehmens zu speichern?

Gehen Sie weiter, hier gibt es nichts zu sehen.

Wir haben zehn Jahre gebraucht, das ist wie ein ganzes Jahrhundert in Technikjahren (2010: iPhone 4, irgendjemand?), um in den aktuellen Zustand zu gelangen.

 

2020 rückt näher, und alle sind in der Cloud.

 

Auf eine andere Art und Weise als erwartet und definitiv nicht tot.

Während es eine Vielzahl von Unternehmen gibt, die ausschließlich in der Cloud operieren, verfolgt die Mehrheit den hybriden Ansatz.

Hybrid ist für uns Leute hier in EMEA einfacher, wo jedes Land immer noch seine Gesetze befolgt und gleichzeitig unter dem Dach der GDPR sitzt.
Aber versuchen wir die Dinge nicht zu überkomplizieren.

Hybrid ist, einfach gesagt, das Beste aus beiden Welten.

 

Es gibt eine Vielzahl von Cloud-Anbietern, und laut einer Umfrage, die wir vor einiger Zeit in unserer THWACK® Community durchgeführt haben, ist Microsoft® Azure® der beliebteste in unserem Kundenkreis. Ungefähr 53% von euch benutzen Azure auf die eine oder andere Weise.

 

Wir haben Ende 2017 mit Server & Application Monitor (SAM) Version 6.5 die Überwachungsunterstützung für Azure in die Orion®-Plattform integriert, und seitdem ist es möglich, Server in der Cloud zu überwachen, sowie andere unterstützende Statistiken abzurufen, z.B. Storage. Übrigens war das iPhone 8 damals die neueste Technologie - nur um die Dinge ins rechte Licht zu rücken.

Etwas früher in dem gleichen Jahr haben wir Azure SQL-Unterstützung in den Database Performance Analyzer (DPA) aufgenommen, ebenso DPA war unser erstes Produkt, das auf dem Azure-Marktplatz verfügbar war - es ist schon seit geraumer Zeit da oben.

 

Die Frage nach dem Einsatz von Orion in Azure stellte sich häufig.

 

Wir haben einige interessante Geschichten gehört - wahre Pioniere, die Orion in der Cloud betreiben, völlig ohne Support und "auf eigene Gefahr", aber hey, es hat funktioniert.

Also, der Bedarf war da, und wir haben euch gehört: Deployments in Azure sind seit 2018 offiziell unterstützt, und Anfang 2019 haben wir weitere Features hinzugefügt und die Dokumentation erstellt.

 

Aber wir dachten uns „Da geht noch was“, haben uns mit Microsoft zusammengesetzt, und, nur wenige Wochen nach der Veröffentlichung des iPhone 11 Pro, Entschuldigung, seit unserer Version 2019.4, ist die Orion-Plattform auf dem Azure-Marktplatz verfügbar, und Azure SQL Managed Instances werden offiziell als Orion-Datenbank unterstützt.

Das war der nächste logische Schritt, da es schon länger keine Rolle mehr spielt, wo sich Workloads befinden, warum sollte man sich also noch mit dem Standort des Monitoring-Systems befassen?

 

Werfen wir einen Blick auf die Gegenwart...

 

Die Geschwindigkeit und Benutzerfreundlichkeit der ersten Orion-Plattform Bereitstellung wird durch den Marktplatz deutlich verbessert.

Die Anwendungen sind mit optimalen Einstellungen vorkonfiguriert und bieten dadurch viel mehr Unterstützung als eine einfache ausführbare Datei oder gar ein ISO-Image.

Es handelt sich um getestete und validierte Instanzen, die mit allen notwendigen Abhängigkeiten ausgestattet sind, aber dennoch Optionen für Anpassung und Flexibilität bieten.

 

Traditionell mussten Host-Ressourcen angefordert, eine VM geklont und angepasst werden, dann wurde sichergestellt, dass das Betriebssystem bereit ist, Abhängigkeiten wurden installiert, und schließlich Orion.

Natürlich ist nichts davon Raketenforschung, aber es kostet Zeit, und es besteht die Gefahr, dass Dinge schief gehen.

Und wir alle wissen: Wenn etwas schiefgehen kann, dann passiert es auch schon mal. Aber nicht mehr!

 

Und in der Zukunft...

 

Wenn es eine beständige Sache gibt, dann sind es Veränderungen. Und die Änderungen könnten sehr wohl bedeuten, dass Orion nach Azure migriert wird. Irgendwann.

Bisher war das eine relativ komplexe Aufgabe und begann wahrscheinlich mit dem Einsatz unseres eigenen Virtualization Managers und der Sprawl-Funktion, um sicherzustellen, dass alle beteiligten Maschinen vor der Migration die richtige Größe haben, um teure Überraschungen zu vermeiden. Der nächste Schritt ist das Vorbereiten der Infrastruktur, des Betriebssystems, und ein erneuter Doppelklick auf die ausführbare Datei... Ich würde es nicht als langweilige Routine bezeichnen, aber es ist langweilige Routine. Ehrlich.

 

Und jetzt?
Ein paar Klicks auf dem Marktplatz und das Ganze wird bereitgestellt, und eigentlich muss man sich nur noch um den Umzug der Datenbank zu kümmern.

Okay, das ist eine etwas vereinfachte Ansicht, aber es ist klar, worauf ich hinauswill: Es ist einfacher. Viel.

 

Stichwort Datenbank.
Das ist nicht gerade mein Lieblings-Thema und ich bin normalerweise froh wenn Tom da ist, um darüber zu diskutieren, aber von den aktuellen Anforderungen her ist SQL 2014 das Minimum.
Jedoch sollte man nicht außer Acht lassen, dass einige Orion-Module 2016SP1 wegen der Volltext-Suche benötigen, so dass es nicht viel Sinn macht, ältere Versionen als diese auszuführen.

Neue SQL Lizenzen zu erhalten und eine neue Version bereitzustellen, während man gleichzeitig auf mögliche Abhängigkeiten achten muss, könnte ein Hindernis für die empfohlene Aktualisierung von Orion Modulen sein, und auch das wird mit Azure verbessert.

 

Außerdem ist es einfacher, eine neue Version eine neue Funktion zu testen, oder vielleicht einmal ein anderes Modul auszuprobieren.

Warum nicht eine permanente Laborumgebung in der Cloud betreiben? Nur eine Idee!

Möchtet ihr mehr wissen? Ganz bestimmt!
Hier ist der nächste Schritt für euch, während ich auf einem Date mit meiner nächsten Tasse Kaffee bin!

Security Event Manager (SEM), das SolarWinds SIEM, ist ab sofort im Kundenportal und auf solarwinds.com in Version 2019.4 verfügbar.  Die Release Notes finden sich hier und die Schritte zum Upgrade einer bestehenden SEM-Appliance hier. Die SEM-Online-Demo wurde ebenfalls aktualisiert und kann von hier aus aufgerufen werden, und das Dashboard kann man in Aktion in diesem Video sehen.

Zuerst fällt wahrscheinlich unser neues Versionsformat ins Auge. Neue Releases für SEM werden nun im Quartal des Jahres verwendet, wobei ein ähnlicher Ansatz wie bei den Produktmodulen der Orion-Plattform verfolgt wird. SEM-Versionen werden das vierstellige Jahr sein, in dem sie veröffentlicht wurden, gefolgt vom Quartal der Veröffentlichung. Wenn zwischen den Hauptreleases eine Servicefreigabe vorliegt, erscheint diese an dritter Stelle nach dem Quartal, z.B. 2019.4.1.

Also, was ist in dieser SEM-Version enthalten? Diese Version konzentriert sich hauptsächlich auf unsere Migration von Flash, wobei unserer HTML5-Oberfläche neue Funktionen hinzugefügt wurden, darunter Dashboards, benutzerdefinierte Gruppen und E-Mail-Vorlagen.

 

DASHBOARD

 

Das Sprichwort sagt, ein Bild sagt mehr als tausend Worte - was besonders bei den Protokolldaten gilt. Die Ereignisseite in SEM ermöglicht es, mit Protokollen über Filter und Schlüsselwortsuche zu interagieren, aber es kann schwierig sein, ungewöhnliche Aktivitäten oder verdächtige Trends zu erkennen. An dieser Stelle kommt das Dashboard ins Spiel - die Möglichkeit, Tausende von Protokollen zu visualisieren und sich ein Bild davon zu machen, was im Netzwerk passiert, kann bei der Erkennung von Bedrohungen sehr hilfreich sein. Wir haben mehrere Out-of-the-Box-Diagramme hinzugefügt, die auf einigen der häufigsten Anwendungsfälle basieren, die wir von unseren Kunden erhalten, darunter Change Management, Authentifizierung und Netzwerkverkehrs-Widgets.

Benutzerdefinierte Widgets können auf jedem Event-Filter basieren, und die Diagrammoptionen umfassen Balken, Kuchen und Donut sowie Liniendiagramme für Zeitreihendaten. Das Einlesen der Protokolldaten hinter jedem Diagramm ist bei der Analyse potenzieller Bedrohungen von entscheidender Bedeutung.

Ein Klick auf das Segment eines Diagramms wird die darunterliegenden Protokolldaten anzeigen. Hier ist ein Einblick, wie unser neues Dashboard aussieht:

 

 

BENUTZERDEFINIERTE GRUPPEN

 

Es ist nun möglich, diese Gruppen über die HTML5-Schnittstelle erstellen und verwalten. Benutzerdefinierte Gruppen enthalten Daten, die spezifisch für Ihre Umgebung sind, wie Benutzer- und Computernamen, sensible Dateien, zugelassene USB-Geräte usw. Diese Gruppen können auch als Whitelists und Blacklists für die Verwendung in Korrelationsregeln und Filtern fungieren, z.B. um über den versuchten Zugriff auf eine URL zu informieren, die auf einer Blacklist sitzen. Die Gruppen können manuell erstellt oder über eine CSV-Datei importiert werden, ebenso wird der Export von Gruppenelemente zu CSV unterstützt.

Um sicherzustellen, dass unsere Out-of-the-Box-Inhalte für eine sich ständig verändernde Bedrohungslandschaft relevant bleiben, haben wir mehrere unserer vordefinierten Gruppen aktualisiert, darunter SQL Injection/XSS-Vektoren, Anonymisierungs-Websites und Remote-Desktop-Websites.

 

 

E-MAIL-VORLAGEN

 

Als Teil des Releases SEM 6.7 haben wir die Möglichkeit eingeführt, Korrelationsregeln über die neue Oberfläche zu verwalten, einschließlich der Möglichkeit, eine E-Mail-Vorlage für die Benachrichtigung auszuwählen. Die Erstellung und Anpassung dieser E-Mail-Vorlagen befand sich jedoch weiterhin in der Flash-Konsole. SEM 2019.4 bietet die Möglichkeit, diese E-Mail-Vorlagen innerhalb der neuen Oberfläche zu erstellen und anzupassen. Diese E-Mails sind wertvoll, wenn es darum geht, Kontext zu E-Mail-Warnungen hinzuzufügen und Informationen aus Protokolldaten in diese Warnungen aufzunehmen.

 

 

FILTER -> REGELN

 

Ein Netzwerk erzeugt Hunderte, wenn nicht sogar Tausende von Ereignissen pro Sekunde, und es ist eine Herausforderung, relevante Protokolle aus dieser Flut von Protokolldaten zu identifizieren. Hier kommen Filter ins Spiel. Es sind bereits viele sinnvolle, vordefinierte Filter vorhanden, die jederzeit um benutzerdefinierte Filter erweitert werden können, um bestimmte Protokolle zu optimieren. Aber was ist, wenn eine Korrelationsregel benötigt wird, die auch Reaktionen zu Ereignissen einleitet? Bisher mussten sowohl Filter als auch eine entsprechende Korrelationsregel manuell angelegt werden. Wir haben diesen Prozess vereinfacht und ermöglichen nun SEM-Filter zur Regelerstellung senden, um schnell neue Korrelationsregeln basierend auf einem Filter zu erstellen.

 

 

Weitere Informationen zu SEM gibt es im Produktforum, wo auch Feedback, gerade zur neuen Benutzeroberfläche, gerne gesehen wird.

 

Viel Spass mit der neuen Version!

Sascha Giese

ITAwards 2019

Posted by Sascha Giese Employee Oct 30, 2019

Hallo Zusammen!

 

Erinnert ihr euch noch, vor ein paar Monaten hatte ich hier gebeten, für SolarWinds bei den ITAwards der Vogel Medien abzustimmen, und ich erwähnte:

 

Ich war noch nie in Augsburg. *zaunpfahl*

 

Und jetzt war ich tatsächlich da zur Zeremonie, toll!

 

Mir war gar nicht klar, dass Augsburg die drittälteste Stadt in Deutschland ist und vor über 2000 Jahren gegründet wurde. Dementsprechend ist alles voller Tradition und man kann die Geschichte quasi spüren.
Das Restaurant, das ich am ersten Abend besucht hatte, wurde vor 550 Jahren gegründet, und Goethe und Mozart haben dort diniert. Das lokale Bier wird seit 600 Jahren gleich um die Ecke gebraut.

Unglücklicherweise hatte ich zu viel zu tun und keine Zeit für Sightseeing, aber ich habe mir einen Spaziergang zur Mittagszeit nicht nehmen lassen, um zumindest ein paar Impressionen aus der Stadt zu sammeln.

Das Weberhaus sieht sehr interessant aus:

 

 

Überall gibt es viele Details zu sehen, wie hier:

 

 

Ich hätte so gerne das Museum der Puppenkiste besucht – ein andermal vielleicht.
Wichtiger war ohnehin das Event am Abend:

 

 

Die Zeremonie selbst war wirklich professionell aufgezogen, und der Gastgeber hat auch beim Nachtisch nicht enttäuscht, das war schon High-End:

 

 

Vogel Medien betreibt acht „Insider“ Portale, und die jeweils drei populärsten Hersteller bzw. Produkte bei der Leserschaft aus insgesamt 43 Kategorien wurden zum Event eingeladen.

Wir waren nominiert in der Kategorie Security als beste SIEM Lösung mit unserem Security Event Manager. Es war schon nach elf Uhr am Abend, als ich hierfür auf die Bühne gebeten wurde:

 

 

Leider ging das alles so schnell und es war keine Zeit, sonst hätte ich gerne die Rede abgehalten, an der ich so lange gearbeitet habe („Danke für alles, Mamma“). Immerhin war ich gleich fünfmal in diesem Foto:

 

 

Fotos, Fotos, Fotos…

 

 

OK. Also, wer hat uns einen Platz auf dem Treppchen besorgt? IHR.
SolarWinds kann derartige Events genießen, weil ihr, die Benutzer, unsere Produkte so schätzt. Und das wiederum ist das Resultat daraus, dass wir zuhören und die Produkte nach eurem Input programmieren. Wir könnten das tatsächlich nicht ohne euch.

 

An alle, die für uns abgestimmt haben: VIELEN DANK!

Lasst und das nochmal machen nächstes Jahr. Schließlich muss ich noch in die Puppenkiste.

 

Bis dahin, macht es gut!

Hallo Zusammen!

 

Seit dem 08.10. haben wir ein neues Werkzeug für euch: SolarWinds Identity Monitor (IM).
IM überwacht Emailkonten und -Domänen auf „Account Takeovers“, auf Deutsch einfach der Identitätsdiebstahl.

 

Wie kommt es zu einem Identitätsdiebstahl?

 

Leider sehr schnell. Jeden Tag geben wir irgendwo unsere Daten ein, und meistens ist es eine Kombination aus Emailadresse und einem gewählten Passwort. Laut meinem Passwort-Manager habe ich Konten in über 60 verschiedenen Systemen wie Hotels, Fluggesellschaften, Rezeptsammlungen, aber auch bei Support oder Community-Pages verschiedener Hard- und Softwareanbieter. Das ist nichts Besonderes, und an sich auch erst einmal kein Problem.

 

Die Probleme fangen an, wenn es bei einer dieser Seiten zu einem Breach gekommen ist und Kundendaten „auf Wanderschaft“ gehen, was leider zu häufig passiert. Meistens denkt man sich nicht viel dabei, und ein Einbruch bei meiner favorisierten Kochrezepte-Sammlung gibt Hackern Einsicht darauf, welches mein bevorzugtes Pasta Rezept ist.

 

Aber, was passiert, wenn ich das gleiche Passwort auch bei einer Shoppingseite mit Instant-Delivery nutze?

Oder die Zugangsdaten sind die gleichen wie beim Emailkonto des CEOs, oder des Github Repository eines Scrum-Masters mit Zugriff auf den Quellcode eines Produktes?

IM zeigt an, ob ein Konto bzw. eine Identität kompromittiert wurde, inklusive der Information wann, wodurch, und welche Daten öffentlich gelegt wurden.

 

Eine kurze Tour durch das Produkt

 

Auf dem Dashboard direkt nach dem Login sehen wir eine Timeline von bekannten Breaches, und das Chart an sich ist schon interessant:

 

Die Frequenz von Data-Leaks nimmt seit Ende 2015 zu. Ein Mouse-Over bei einer der Kugeln zeigt erste Details:

 

In der Navigation links klicke ich auf „Email Addresses“

 

Zuerst füge ich meine Geschäfts-Email hinzu

 

Das System erwartet, dass die Adresse vom Inhaber bestätigt wird:

 

Das wird schnell erledigt:

 

Und sofort ändert sich der Status und die angezeigten Informationen:

 

Ein Klick auf die Adresse zeigt links die Breaches:

 

Und rechts steht, für mich wichtig, dass kein Passwort gestohlen wurde:

 

Ganz rechts ist ein Knopf, der alle gesammelten Daten anzeigt („View Raw Data“):

 

Die dort entwendeten Informationen sind öffentlich zugänglich, auch mein LinkedIn Profil ist kein Geheimnis. Aber wenn man dies zum ersten Mal sieht, beginnt man mit der Reflektion. Wer genau sind diese Typen, die meine Daten gesammelt und derart aufbereitet haben?

Auch diese Fragen werden, soweit rechtlich vertretbar, beantwortet:

 

Um an mehr Daten zu kommen, nutze ich meine private Emailadresse, die ich seit über 20 Jahren verwende. Die Liste an Breaches ist „geringfügig“ länger und erstreckt sich über mehrere Seiten, hier ein Auszug:

 

Leider finden sich hier auch Passwörter:

 

Beim Klicken auf das Auge wird das Password so angezeigt, wie es aufgefunden wurde. Manchmal als nicht entschlüsselter Hash, manchmal im Klartext. Glücklicherweise ist es in meinem Fall ein sehr altes Passwort, das nicht mehr in Benutzung ist – dazu gleich mehr.

 

Im Produktivbetrieb bei einem Unternehmen gibt man selbstverständlich keine Hunderte von Emailadressen manuell ein, sondern direkt die Domain.

Mein Beispiel, das tatsächlich auch Beispiel heisst:

 

Ein Mausklick auf Corporate Records zeigt mir die entsprechenden Details wie erwartet an:

 

Ebenso lassen sich wichtige IP Adressen überwachen, um benachrichtigt zu werden, falls diese in einem Botnet sitzen oder neu auftauchen.

Das Ganze funktioniert nicht nur mit historischen Daten.
Solange eine Emailadresse aufgelistet ist, wird sie gegenüber allen neuen Breaches getestet und im Falle eines Treffers erfolgt eine Meldung an den Inhaber des Kontos, damit weitere Schritte eingeleitet werden können. Was mich dann weiterbringt zu…

 

Was tun bei einem Identitätsdiebstahl?

 

Die Sofortmaßnahme ist selbstverständlich, dass Passwort beim jeweiligen Anbieter zurückzusetzen und zu ändern. Je nach Plattform empfiehlt es sich, zu schauen ob es Logins gab bzw. Dienste genutzt worden sind, die man nicht erkennt oder als seine eigenen identifiziert.
In den meisten Fällen sind Kontodaten zwar veröffentlicht, aber nicht benutzt worden.
Hacker verfügen über Listen mit „high-value targets,“ Namen von Politikern, Prominenten, und Führungspersonen großer Unternehmen. Neue Kontensammlungen werden automatisch nach diesen Datensätzen durchsucht und im erfolgsfalle entweder selbst genutzt oder sofort weiterverkauft. Da die meisten von uns nicht auf diesen Listen zu finden sind, ist das tatsächliche Missbrauchsrisiko eher gering, aber definitiv nicht zu vernachlässigen.

 

Dennoch ist der nächste Schritt ebenfalls notwendig, wenn auch komplizierter:
Wurde das gleiche Passwort an anderer Stelle verwendet? Auch dort muss es geändert werden.
Bei zehnfach verwendetem Passwort ist ein einzelner Breach einem zehnfachen Breach gleichzusetzen. Dieser Schritt kostet leider Zeit und Nerven.

 

Passwort-Management ist keine Raketenforschung

 

Ein Passwort-Manager hilft beim Aufsetzen sicherer, zufallsgenerierter Passwörter.
Es gibt verschiedene Strategien beim Passwort Management, so ist z.B. eine Idee, Webseiten zu klassifizieren und bei wirklich sensiblen Systemen in jedem Fall MFA zu nutzen, so dass jeder Login von einem Authenticator bestätigt werden muss. Kandidaten hierfür sind off-site Logins zum Emailsystem oder Intranet des Unternehmens.
Bei weniger riskanten Seiten sollte ein sicheres und unbedingt einzigartiges Passwort verwendet werden.

 

Was mache ich jetzt mit meiner Rezepte-Sammlung? Wenn ich auf allen derartigen Seiten das Passwort „SaschaK0chtGerneMit***“ verwendet habe, ist das zwar ein fantastisches Passwort, und außer meinem Geschmacksprofil gibt es keinerlei Daten, aber ein SecurityAdmin würde trotzdem das mehrfach verwendete Passwort bemängeln.

Zu Recht!

 

Macht's gut!   

Did you know? In the U.K., nearly three-quarters of NHS trusts and Clinical Commissioning Groups reported experiencing up to 50 attempted cyberattacks in 2018.

It’s a compelling stat, revealed by our own Freedom of Information survey from earlier this year.

 

The finding supports our view that achieving strong cybersecurity in the healthcare industry has become mission-critical. Thankfully, the annual Healthcare Excellence Through Technology (HETT) event, happening at the ExCel in London next month, is the ideal platform to champion our cause. SolarWinds, together with direct reseller Kenson, will be at stand G32, talking to delegates about why it’s important to have strong cybersecurity measures in place, and what products can support this strategy.

 

The portfolio of products being showcased has been developed by SolarWinds and supplied by Kenson. Here’s a quick rundown of what you’ll be able to see (at stand G32):

 

The results of our FOI survey I mentioned at the beginning highlight the importance of finding simple-to-use, affordable, and scalable security solutions capable of working across varied IT environments like those in the NHS. These are vital services and deserve the most comprehensive protection.

Kenson Sales Manager Glen Kershaw couldn’t have put it better: “Being at HETT with SolarWinds means we can reach further into the healthcare sector, working together to help organisations solve their security challenges and put them in a stronger position to defend themselves, and ultimately the people who rely on these critical services.”

 

We’re excited about this security mission! If you’d like to join, the HETT event takes place October 1 – 2 at the ExCel in London. Did I mention we’ll be at stand G32?

Hallo Zusammen!

 

Nach 2018 sind wir direkt zum zweiten Mal auf der IT-SA vertreten und wie auch im letzten Jahr auf mehreren Ständen gleichzeitig.

Unser Hauptstandort ist in Halle 9 auf Stand 127 aber auch einige unserer Partner sind vertreten:

 

Ramge Software Distribution GmbH & Co KG       10-410
TAP.DE Solutions GmbH                                                11-519
UBM GmbH                                                                        9-230
ALSO Deutschland GmbH                                              9-516

 

Was gibt es zu sehen?

 

Selbstverständlich unser komplettes Security Portfolio, aber darüber hinaus alles zu den Themen Überwachung, Verwaltung, und Absicherung der IT.
Nach dem Motto „Ein Problem kommt selten allein“ zeigen wir die neuesten Updates aus dem Bereich Netzwerk- und Server-Management wie z.B. Network Insight für Palo Alto, AppInsight für Active Directory ®,  aus dem Bereich Security allen voran unseren Access Rights Manager sowie Security Event Manager, bis zu unserem Backup-Werkzeug sowie der SolarWinds RMM Plattform für MSPs.


Mit ein bisschen Glück wird es auf der IT-SA auch die eine oder andere Überraschung geben.
Schauen wir mal!
Oh Moment, wir sind ja im weiteren Bayern also „Schaung mar amoi, na seng ma’s scho.“

 

Aber, bei Nürnberg fällt mir ein, letztes Jahr hatte ich das hier zum ersten Mal gegessen und freue mich schon auf eine Wiederholung:

 

 

Fränkischer Sauerbraten. Ein Genuss!

 

Wir sehen uns am 08.10. auf der Messe, bis dahin macht’s gut!

Auf Reddit unter r/sysadmin habe ich diese Tage einen Beitrag entdeckt, in dem jemand frei übersetzt das folgende beklagt:

 

„Als genereller System Administrator muss man über eine Menge Dinge bescheid wissen. Unter anderem Windows, Linux, Mac, AD, Virtualisierung, Routing und Switching, Exchange, Vulnerability Management, Antivirus, Scripts, Datenbanken, und Hardware jeglicher Art. […] Obwohl man Generalist/Universalist ist, wird Expertenwissen erwartet.“

 

Hand aufs Herz, wer erkennt sich da wieder?

Gerade in KMUs ist es leider normal, dass ein zu kleines IT Team zu viele Aufgaben übernehmen muss, und um irgendwie über die Runden zu kommen, ist ein breit gestaffeltes Wissen sinnvoller als bei Randthemen in die Tiefe zu tauchen.

Im Bedarfsfalle kann man sich immer noch externes Wissen dazu holen, wie z.B. Herstellersupport, oder outsourced-DBA.

 

Ich möchte keine Diskussion darüber starten, ob diese Art und Weise die beste ist, aber wenn man dem folgt gibt es zwei Probleme – mindestens.
Zum einen stellt man sich selbst die Frage „Kann ich das noch, oder brauche ich dafür jemand anders?“ und zum anderen bekommt man die Frage gestellt „Warum konntest du das nicht selbst?“

Und selbst wenn man es selbst gelöst hat, sieht man sich vielleicht noch mit „Warum hat das so lange gedauert?“ konfrontiert.

Halt! Stopp! Keine Panik! Hier kommen wir ins Spiel.

 

Werkzeuge für SysAdmins

 

Troubleshooting kann nicht beginnen, bevor das Problem grob lokalisiert wurde. Wenn man auf die eingangs erwähnten Schichten schaut, kann das allein schon einen signifikanten Zeitaufwand darstellen.

Wie wäre es mit so etwas:

 

 

Für mich und manche Leser ist das ein vertrautes Werkzeug, andere sehen das sicher zum ersten Mal. Es gehört zu unserer Orion® Plattform und heißt AppStack.

 

Man sieht automatisch die Abhängigkeit zweier Anwendungen, das Betriebssystem, die Virtualisierungsschicht bis hinunter in den Bereich Storage, immer aktuell.

Ein simples mouse-over zeigt mir den Status der beteiligten Elemente an und in meinem Fall bringt mich die zweite rote Kugel schon ziemlich nahe zum Ziel:

 

 

Natürlich ist es nicht immer so einfach, aber ihr könnt euch vorstellen, wie viel Arbeit einem ein solches Werkzeug abnehmen kann, und wenn man quasi mit der Nase in die Richtung des eigentlichen Problems geschubst wird, hat man in vielen Fällen schon gewonnen.

Bei der Ansicht des Fensters sehe ich aber noch etwas anderes und möchte es mir im Detail ansehen. Die DB berichtet „irgendwas ist rot“:

 

 

Aber was genau bedeutet das? Hier bekommen wir mehr Informationen:

 

 

Ich kann mit meinen Werkzeugen noch tiefer gehen und tatsächlich das Query sehen, dass hier blockiert, auch von wo und von wem es ausgeführt wurde, sowie einige unterstützende Informationen.
Ich weiss aber jetzt schon, dass ich als Generalist entweder den Hersteller der jeweiligen Anwendung oder aber zumindest einen Entwickler brauchen werde.

Definitiv ein Fall der Kategorie Spezialwissen, aber ich kann es dokumentieren, und die mir durch Database Performance Analzyer (DPA)  zur Verfügung stehenden Informationen helfen dem Experten, das Problem schnell zu beseitigen.

 

Ein weiteres Feature der Orion Plattform, in diesem Fall geliefert durch Server & Application Monitor (SAM), ist das automatische Erkennen der Abhängigkeiten von Anwendungen und auch hier hilft ein Blick, um Zusammenhänge zu erkennen.

Auf einem meiner Webserver, dem Namen nach in der Cloud, können meine Benutzer nicht zuverlässig oder nur langsam Einloggen, um mit der Webanwendung zu arbeiten.

Wie man sieht, liegt die Ursache nicht am Webserver, sondern an der Verbindung zum Domain-Controller.

 

 

Ein Mausklick auf die Verbindung zeigt mir Details:

 

 

Ich muss kein Netzwerk-Spezialist sein, um sowohl den Webserver als auch den DC aus der Fehlerkette ausschließen zu können.

Für diejenigen die wissen möchten, wie dieses Feature funktioniert:

Der Orion Agent sitzt auf den Kisten und überprüft, welche internen Prozesse an welchen Ports lauschen, und von wo Daten herkommen bzw. hingehen.

Wenn die andere Maschine ebenfalls überwacht wird, geschieht dort das gleiche und Orion zeigt die Verbindung der Maschinen sowie der Anwendungen an.


Da beide Elemente wahrscheinlich kritisch für das Unternehmen sind, empfiehlt es sich die Verbindung als NetPath anzulegen, leider gibt meine Laborumgebung dieses Beispiel nicht her, also muss ich improvisieren.

Wer mit NetPath noch nicht vertraut ist: NetPath visualisiert die Verbindung von Anwendungen über verschiedene Standorte bis in die Cloud.

Um das Konzept zu verstehen, denkt kurz an Traceroute – aber dann stoppt. Traceroute nutzt entweder ICMP oder UDP was zwar nett, aber irrelevant für die meisten Anwendungen ist, die selbstverständlich über TCP kommunizieren.
Daher bietet NetPath eine TCP basierende „hop-by-hop“ Analyse.

 

Ich öffne einen hybriden Pfad, der meinem obigen Beispiel recht nahekommt:

 

 

Der Pfad selbst sieht so aus:

 

 

Im Produktivbetrieb ist der Pfad lebendig – man kann auf alles Klicken für weitere Informationen, eine Zeitachse benutzen, um Änderungen zu sehen, aber das Problem ist hier schon offensichtlich.
Links ist mein Netz, alles ist Grün, irgendwo in der Mitte lande ich bei meinem ISP und auch dort ist alles okay.
Rechts jedoch, beim Cloud-Anbieter, gibt es Paketverlust zu drei von vier Zielcontainern, die sich dort in der Rotation befinden.

 

Dies ist ein weiterer Fall von „jetzt muss der Hersteller ran“ und wir helfen sogar Kontaktdaten nach einem weiteren Mausklick:

 

 

Ein weitertes Beispiel gebe ich euch noch mit auf den Weg. Wieder muss ich etwas improvisieren.

Nehmen wir an, AppStack zeigt uns Probleme mit einem IIS an.

 

 

Und der darunterliegende Server ist nicht glücklich:

  

 

Schaut nach rechts oben und klickt auf „Perfstack“:

 

 

PerfStack ist ein Werkzeug, um beliebige Daten in Relation zu setzen. Man sieht gerade nur die CPU, die von der vorherigen Seite übernommen wurde.
Auf der rechten Seite ist ein Doppelwinkel:

 

 

Ein Klick öffnet den Knoten:

 

 

Und ein Klick darauf zeigt die Informationen an, die wir von dem Server sammeln:

 

 

Mittels Dragp&Drop kann man nun weitere Informationsschichten in die Grafiken ziehen.

 

 

Das Hinzufügen von Events und Konfigurationsänderungen zeigt mir auf der Zeitachse einen Zusammenhang mit dem Anstieg in der CPU Auslastung an:

 

 

Ich klicke auf die Spalte mit der Konfiguration:

 

 

Interessant. Ich brauche mehr Details:

 

 

Auch als nicht-IIS-Admin sehe ich, dass eine weitere Webseite hinzugefügt worden ist.
Tatsächlich sehe ich rechts oben sogar von wem.

 

Ich glaube, ich rufe Rose an, um den Sinn eines Change-Protokolls zu diskutieren.

 

 

Bis dahin, macht’s gut, und stresst euch nicht zu viel.

Hallo Zusammen,

 

Bei den letzten Updates der Netzwerk-Management Module unserer Orion® Plattform haben wir erweiterten Support für Palo Alto Firewalls implementiert, ein Feature, welches seit 2017 auf euren Wunschlisten stand.


Ich muss kurz ausholen: Das Feature selbst heißt „Network Insight für Palo Alto“, und es gibt bereits einige Network Insight sowie App-Insights innerhalb von Orion.
Wir nennen es „Insight,“ wenn wir bei komplexen Themen mehr Unterstützung bringen, als es mit gewöhnlichen Methoden möglich ist.

 

Mit den Insights haben wir es uns zur Aufgabe gemacht, komplizierte Technologien, die im Detail oft Spezialwissen erfordern, für den Allrounder (IT Generalist) zugänglich zu machen.

 

Im Bereich von Network Insight gibt es bereits Support für F5 Loadbalancer, Cisco Nexus sowie ASA.
Für den Support der ASAs haben wir von euch viel Lob erhalten, also lag der Schritt nahe, sich mit einer weiteren Firewall zu befassen.

Und wieder kamt ihr ins Spiel – kein Anbieter wurde von euch so oft vorgeschlagen wie PA.

 

 

Verwalten von Security Policies

 

Die Effektivität einer Firewall wird durch die Policies bzw. Regeln definiert. Idealerweise sichern die Regeln den Netzwerkverkehr ab ohne negativen Einfluss auf die Geschäftsprozesse.
Wenn es jedoch zu Flüchtigkeitsfehlern oder grober Fehlkonfiguration kommt, entstehen Probleme auf verschiedenen Ebenen. Für den Administrator reicht es an dieser Stelle nicht mehr aus, lediglich die Performance der Firewall zu beobachten.
Unglücklicherweise ist das Einpflegen von Regeln keine einmalige Aktion, sondern eine dynamische Angelegenheit.
Die Infrastruktur ändert sich ebenso wie Geschäftsprozesse und Anwendungen, und Regeln müssen ständig angepasst werden.

 

Network Configuration Manager (NCM) stellt die folgenden Features zur Verfügung:

  • Komplette Übersicht über alle Regeln
  • Details zu einzelnen Regeln sowie deren Änderungen
  • Die Benutzung von Regeln über mehrere PA Knoten
  • Das Vergleichen von Ausschnitten der Konfiguration
  • Interface Konfigurationen
  • Information zu Anwendungen, Adressen und Diensten innerhalb von Regeln

 

Nach dem ersten Einlesen der Konfiguration wird NCM automatisch die Regeln sowie die dazugehörigen Elemente anzeigen.
Die im Bild angezeigte Seite erlaubt das schnelle Auffinden von Regeln durch Such- und Filterfunktionen.

 

 

Ein Klick auf eine Regel zeigt Details der Konfiguration inklusive der Objekte und Objektgruppen, die von der Regel betroffen sind.

 

 

Manche Regeln werden über mehrere Firewalls hinweg eingesetzt. Wir zeigen dies automatisch an, um Situationen vorzubeugen, bei denen ein Administrator eine Änderung versehentlich auf allen Geräten gleichzeitig replizieren lässt.
Ebenso lässt sich sofort feststellen, ob eine neue Regel korrekt angewandt worden ist.

 

 

Was bei der Überwachung von jeglichen Konfigurationen wichtig ist, trifft um so mehr zu bei Firewalls; ein Audit über Veränderungen. Compliance erfordert ein Log, und wir zeigen direkt an wann und was verändert wurde.

 

 

 

VPN Tunnel Überwachung

 

Als wir mit der Planung des Network Insights begonnen hatten, haben wir in UX Diskussionen gefragt, wie ihr zur Zeit VPN Tunnel überwacht.
Die häufigste Antwort war „Ich pinge die Gegenstelle.“
Leider ist das nicht wirklich ausreichend. In vielen Konfigurationen hat das andere Ende des Tunnels keine direkte IP Adresse, oder es gibt verschiedene je nach Datenverkehr, also wird meist irgendwas am anderen Ende angepingt.

Das wiederum kann mit der Herausforderung kommen, dass die Gegenstelle aus Sicherheitsgründen nicht auf Ping antwortet.

Oder, noch schlimmer, wenn Pakete plötzlich nicht mehr zurück geliefert werden – das kann oft ein Problem mit der antwortenden Maschine anstatt dem Tunnel sein.
Das ist eine ganze Menge Arbeit, erfordert manuelles Nachforschen, ist nicht präzise und, vor allem, bringt nicht viel. Es zeigt lediglich den Status (up/down) an, aber keinerlei Grund, warum etwas gerade nicht aktiv ist.
Wenn der Tunnel down ist, wo muss sich ansetzen?
Wann hat es zuletzt funktioniert?
Wenn der Tunnel läuft, wieviel Datenverkehr wird gerade generiert?

 

Wenn man bedenkt, dass VPN Tunnel mit WAN Verbindungen gleichzusetzen sind – es werden Standorte verknüpft, oder aber Clouds – wird klar, dass die Tunnel als kritisch anzusehen sind, und Probleme so schnell wie möglich beseitigt werden müssen.

Nachdem Network Insight für Palo Alto aktiviert worden ist, wird Network Performance Monitor (NPM) automatisch die VPN Tunnel erkennen und anzeigen.

Das Site-to-site Element zeigt Details zu jedem Tunnel an:

 

 

Ein paar Dinge sollte man sich genauer anschauen.
Alle Tunnel zeigen Quell- und Ziel-IP. Wenn die Ziel IP bzw. das Gerät schon überwacht wird, vielleicht eine andere PA oder ASA, wird direkt auf den Knoten verlinkt, wie bei der 192.168.100.10 auf dem Screenshot.

Ebenso wird der Name des Tunnels angezeigt, sofern einer vorhanden ist.

Es werden unterschiedliche Informationen für Tunnel je nach Status angezeigt. Wenn ein Tunnel down ist, sieht man Zeit/Datum der Statusänderung. In den meisten Fällen sieht man auch, in welcher Phase der Tunnel gescheitert ist.

Das ist typischerweise die erste Information, die man für das Troubleshooting benötigt.

 

Bei aktiven Tunneln wird Zeit/Datum des Verbindungsaufbaus angezeigt und welche Verschlüsslung in Benutzung ist, inklusive des Hashs.

Die letzten zwei Spalten sind von besonderem Interesse – sie zeigen die Bandbreite an.
Bandbreite kann, durch die Verschlüsslung, ein Problem darstellen. Mit einem Tool zur Datenverkehrsanalyse kann die Bandbreite anhand der beiden kommunizierenden IP Adressen nach der Verschlüsslung identifiziert werden. Das ist ein bisschen Arbeit und zeigt nur die Gesamtanzahl übertragener Pakete bzw. Bytes an. Man hat keine Einsicht in die Anwendungen oder die tatsächlichen Endpunkte.

 

Wenn man sich Flows vor dem Verschlüsseln anschaut, sieht man zwar die direkten Endpunkte, aber das Filtern nach Anwendungen wird schwierig, und letzten Endes weiss man nicht, was genau es durch den Tunnel geschafft hat. Der Overhead durch die Einkapselung wird ignoriert.
Und das Ganze vor dem Hintergrund, dass VPN Tunnel über die WAN Verbindung laufen, was häufig ein sehr hoher Kostenfaktor ist.

 

Network Insight für Palo Alto zeigt die tatsächliche Bandbreite jedes einzelnen Tunnels an. Die Datensätze sind normalisiert und erlauben somit das Erstellen von Berichten für die Kapazität/Auslastung, sowie die Alarmierung für den Fall, dass sich etwas verabschiedet.
Aber wir wären nicht SolarWinds, wenn wir die Daten nicht auch im PerfStack Dashboard der Plattform bereit stellen würden:

 

 

 

GlobalProtect VPN Überwachung

 

Ich stelle eine Behauptung auf:
Wenn jemand ein Problem mit einer Endpunkt-VPN Verbindung hat, ist es meistens jemand aus der Führungsetage.

Würdet ihr zustimmen?

 

Das beim Troubleshooting von Endpunkt-VPNs ist, dass man meisten nicht wirklich viele Daten hat, bis man den Laptop tatsächlich in den Händen hält, und eine Antwort wie „Keine Ahnung was da los ist“ lässt Zweifel an der Kompetenz aufkommen.
Network Insight für Palo Alto überwacht GlobalProtect und erstellt einen Eintrag für jede einzelne Verbindung:

 

 

Dadurch kann man auf einige Probleme schließen. Wenn z.B. der gleiche User permanent Verbindungsprobleme hat, liegen lokale Probleme vor. Vielleicht einfach nur ein falsches Passwort.
Wenn jedoch keiner mehr Verbinden kann, liegt ein Problem mit der Firewall vor oder der Verbindung zum System für die Authentifizierung.

 

 

Datenverkehr nach Regel

 

Sogar Netflow Traffic Analyzer (NTA) trägt zum Network Insight bei. Wir haben Teile von NTA mit NCM integriert, und wenn beide Module vorhanden sind, kann man den Flow anhand einzelnen Policies einsehen.

Das beantwortet viele Fragen, wie z.B. „Wer oder was mag von einer Regeländerung beeinflusst werden?“ aber vereinfacht natürlich auch retrospektives Troubleshooting.

Es gibt verschiedene Wege, um die Daten anzusehen, hier starten wir auf der Detailseite des Knotens und klicken links auf Policies:

 

 

Dort wählen wir eine Regel von der Übersicht aus:

 

 

Und schließlich öffnen sich die Policy-Details:

 

 

Auf der linken Seite sieht man ein paar Daten zur Regel sowie die exakte Konfiguration.
Die Übersicht auf der rechten Seite ist nicht wie üblich nach Knoten oder Interface gefiltert, sondern tatsächlich nach der Policy, die den Datenfluss regelt.
Die angezeigten Endpunkte befinden sich in einer der konfigurierten Firewall-Zonen und die die Konversationen selbst definieren sich über die Application-IDs die in den Regeln gefunden werden.

Das sind wertvolle Informationen für jeden, der Regeln plant oder ändert, da hier grafisch aufbereitet wird, welchen Einfluss eine Änderung auf den Produktiv-Betrieb haben kann.

Für diese Ansicht werden sowohl NCM als auch NTA benötigt und NTA hat NPM als Voraussetzung.

 

 

Da kommt noch was – User Device Tracker

 

In den meisten Fällen benötigt User Device Tracker (UDT) lediglich SNMP Zugangsdaten, um Informationen über Ports und verbundene Endpunkte zu sammeln.

Bei manchen Geräten jedoch werden diese Informationen nicht oder nur limitiert über SNMP bereitgestellt, z.B. Cisco Nexus 5K, 7K und 9K, und Palo Alto! Hier wird die CLI benutzt.

Der CLI Zugriff kann entweder per Gerät oder im Bulk eingerichtet werden.

 

 

Nachdem die Auswahl der Geräte getroffen wurde, werden die Eigenschaften editiert:

 

 

Etwas weiter unten befinden sich die CLI Einstellungen:

 

Es ist wichtig, L3 Polling zu aktivieren:

 

 

Danach wird UDT die Endpunkte anzeigen, hier ein Bild von einem NX-7K:

 

Viel Spass mit dem neuen Network Insight!

Hallo Zusammen,

 

Um mal ein paar Buzzwords in den Raum zu werfen: AI, ML, Container, Automation und sogar Quantencomputer…ihr habt sicherlich das eine oder andere schon gehört. Des Öfteren.

Vielleicht sogar schon vom oberen Management zusammen mit der Frage „Warum setzen wir das noch nicht ein? Es klingt so großartig.“

 

Neue Technologien erfordern auch neues Wissen, und dabei möchten wir euch helfen.
Ein oder zweimal im Jahr starten wir eine Umfrage nach aktuellen Themen die euch bewegen, damit wir unsere Trainings daran anpassen können, wie z.B. unsere Lab-Episoden oder das THWACKcamp.

 

Jetzt ist euer Input gefragt!

  • Bis zum 09.08. kann die Umfrage hier ausgefüllt werden
  • THWACK® Benutzername mit angeben
  • Bis zum 16.08. werden euch 500 Punkte gutgeschrieben

 

Vielen Dank!

Hi there!

 

Some of you already know we invite our European Channel Partners to an event here in Ireland once a year.
Here are a few pictures from last February:

 

 

The next Partner Summit happens in September, but for the first time, we’ll be outside of Ireland. We’re coming to Berlin instead!

Like in Cork, we’re inviting all partners, and have two tracks – one is technical, the second, commercial.

For the technicians, the event will last five days, as we’re running a full SolarWinds Certified Professional® (SCP) bootcamp focused on Access Rights Manager (ARM) and Security Event Manager (SEM), including an option to sit an exam on Friday.

For the first time, this is an opportunity to earn the latest SCP certification, ARM.

The commercial track runs all day Tuesday and half of Wednesday, and we’ll be discussing our partner strategy and showing what’s new and what we’re planning for the next couple of months.

There will also be entertainment and proper food!

While we’re still working on the details, you can check the up-to-date agenda here.

WHEN                   September 2 – 6, 2019
WHERE                 Berlin, Abion Spreebogen Hotel

 

See you there!

Habt ihr ein paar Minuten Zeit?

 

Vogel IT-Medien führt gerade wieder die jährlichen „Reader’s Choice“ Kampagnen durch und SolarWinds ist gleich zweimal nominiert.

 

Einmal nominiert im Bereich Netzwerk-Überwachung ist unser Network Performance Monitor (NPM), und die Auszeichnung wird über IP-Insider vergeben.
Zur Umfrage geht es hier.

 

Bei der zweiten Auszeichnung ist Security Event Manager (SEM, vorher LEM) in der Kategorie SIEM beim Security-Insider nominiert und die Umfrage findet sich hier.

 

Aber!

Dort findet sich auch die Kategorie Access Management, bei der unser Access Rights Manager (ARM) nicht nominiert worden ist. Hier kommt ihr jetzt ins Spiel.
Bei der entsprechenden Position gibt es die Option ein ungenanntes Produkt vorzuschlagen.
Wenn ihr der Meinung seid, dass ARM dort auch unter die Besten gehört, tragt bitte „SolarWinds“ ein.

 

Die Umfragen laufen bis zum 31.August und ein Repräsentant der Firma kann die Preise in Augsburg im Oktober in Empfang nehmen.

 

Ich war noch nie in Augsburg. *zaunpfahl*

 

Leute, ihr müsst mehr Patchen.

 

Im April hatte ich die Gelegenheit auf vier verschiedenen Events mit IT Profis zu reden.
In Deutschland und UK, mit dem privaten sowie öffentlichen Sektor, mit Militär und Regierungen.
Und überall das gleiche Problem: Patching.

 

Das kann doch nicht so schwer sein! Was habe ich nicht alles gehört. Es fängt an mit:

 

 

„Ehrlich gesagt weiss ich gar nicht, welche Software in meinem Unternehmen im Umlauf ist.“


Die Aussage tut so weh.
Unglücklicherweise ist das tatsächlich ein Problem und nicht immer simpel zu lösen.


Vor ein paar Jahren war ich bei einem Hersteller von Computergames beschäftigt, und die Umgebung war damals noch „locked down.“
Hat Vorteile.
Die Endbenutzer sind keine lokalen Admins, also kein Wildwuchs bei der installierten Software.
Nach dem Erstellen einer Baseline weiss die IT genau, was wo bei wem installiert ist. Man braucht nur wenige Pakete unterstützen, und man braucht nur wenig Glaskugel, um das Verhalten der Geschäftssoftware bei einem neuen Patch vorab einzuschätzen.

 

Um meine eigenen Erfahrungen weiter zu nutzen; ich war auch ein paar Jahre bei einem anderen Unternehmen als Manager im technischen Support tätig.
Dort hatte ich zwar ausreichende Rechte um Software zu installieren, mein Team jedoch nicht. Wie nennen wir das…selektives Misstrauen?

 

Bei meinem aktuellen Arbeitgeber gibt es dagegen das Prinzip „Grundvertrauen“ nach Schulung der Mitarbeiter.

Die Vorteile dieses Systems liegen ebenfalls auf der Hand: Die Produktivität wird nicht gehemmt.

 

Die Diskussion, welche Regelung nun die Beste ist, überlasse ich anderen.

Klar ist jedoch, dass der Bedarf eines aktiven Software-Inventars bei der dritten Option absolut unabdingbar ist. Eine Baseline reicht hier nicht aus auf Grund der Dynamik.

Es gibt verschiedene Lösungen zur Inventarisierung bei der Suchmaschine eures Vertrauens, und wir sehen von handgestrickten PowerShell Scripts die manuell eine CSV befeuern bis zu omnipotenten Asset Management Systemen die sogar Bestellprozesse unterstützen.

 

Okay, der Punkt ist also valide, aber es gibt verschiedene Lösungsansätze für die jeweilige Situation.
Ich muss wissen mit welchen Paketen ich es zu tun habe, bevor ich eine Patch-Strategie entwickeln kann.
Weiter geht’s.


„Es gibt ständig neue Versionen von X und Y. Es ist schwierig, auf dem aktuellen Stand zu bleiben.“

 

Nö, ist es nicht.
Es gibt viele Webseiten die genau dafür existieren. Ich stelle auch die Behauptung auf, dass jeder IT Pro jeden Tag etwas Zeit auf generellen IT News Webseiten verbringt; das sollte zum Job gehören, und dort wird zumindest über die wichtigsten Updates berichtet.
Man kennt ja die üblichen Verdächtigen.

Eine Alternative wären Newsletter und man lässt sich dadurch auf dem Laufenden halten. Ist nur keine Alternative für mich, ich stehe mit Newslettern auf dem Kriegsfuß.

Luxuriöser wird es dann mit entsprechender Software. Auch hier gibt es wieder verschiedene Optionen wie Freeware, ebenso wird in manchen Unternehmen ein Desktop Security Client eingesetzt der solche Funktionen mitbringt, oder aber eine spezifische Lösung zu diesem Thema.


Der Zeitaufwand hierfür ist wirklich gering. Ab geht’s zum nächsten Punkt.

„Ich komme mit dem Testen nicht hinterher.“

 

Mein erster Gedanke war „Wirklich?“ aber ja, manchmal kann das immer noch ein Problem sein. Ein ernsthaftes.


Die gute Nachricht zuerst: Früher war alles Schlimmer!

Als wir noch eine geschätzte Million Desktopanwendungen genutzt haben, von denen die Hälfte auf obskuren Frameworks basierte, war das Testen ein Alptraum.

Wenn ich heute mal auf meinen eigenen Desktop schaue, so schreibe ich diesen Text im vermutlich am weitesten verbreiteten Textverarbeitungsprogram der Welt, aber das ist neben seinen Kollegen aus dem gleiche Paket und einem SSH Client auch so ziemlich die einzige Desktop-Anwendung die ich noch nutze. Alles andere wird über den Browser bedient und das wird bei vielen von euch ziemlich ähnlich sein.
Tatsächlich könnte ich den Text auch im Browser schreiben, aber manchmal bin ich einfach old-school. Moment, habe ich gerade manchmal geschrieben?

 

Aber natürlich gibt es noch verteilte Anwendungen mit „fat clients“, dringend benötigten lokalen Komponenten. Gerade in Behörden wird stellenweise noch mit Software gearbeitet die vermutlich beim geringsten Windhauch zu Staub zerfällt und nur unter sehr kontrollierten Bedingungen überhaupt lauffähig ist.

Da muss man testen. Sorry, kein Workaround verfügbar.
Jeder hat eine Kopie einer Produktivumgebung auf einer VM mit aktuellem Snapshot, aber meiner Erfahrung nach hat nicht jeder ein Testprotokoll dem Folge geleistet wird, was dann trotz dem Testen noch Überraschungen zur Folge haben kann.
Tatsächlich kostet das Erstellen eines Protokolls erst einmal Zeit, aber die wird locker wieder rausgeholt.

 

Das gibt mir das Stichwort zum nächsten Kommentar:

 

„Ich habe keine Zeit.“

 

Das ist wieder so ein Ding!
Klar, unabhängig von der jeweiligen Position hat man etliche Dinge in der IT um die man sich kümmern muss und manche haben eine höhere Priorität als andere. Jeder von uns kennt die Tage an denen uns die Dinge geradezu um die Ohren fliegen.
Aber was ist wichtiger als ein real existierendes Sicherheitsproblem? Und wessen Kopf liegt auf dem Silbertablett, wenn ein erfolgreicher Breach mit 10 Minuten Routineaufgaben am Tag vermeidbar gewesen wäre?
Ich bin mir sicher, dass das Ticket vom Karl-Heinz aus der Buchhaltung noch ein paar Minuten länger warten kann.

 

Nehmt euch die Zeit, plant vorab, nutzt sie sinnvoll, und vor allem: Dokumentiert, wenn ihr aktiv werdet. Das erleichtert das Leben auch abseits eines Ernstfalles.

 

Patching ist so wichtig.
Ich bin immer wieder erstaunt, wenn Probleme bekannt werden, bei denen eine Sicherheitslücke ausgenutzt worden ist, die der Hersteller schon vor sechs Monaten beseitigt hat. Nein, eigentlich bin ich nicht erstaunt, sondern traurig.
Cyber Security ist ein komplexes Thema, und das Antizipieren von Angriffsvektoren kann eine Vollzeitstelle erfordern.

 

Aber Software aktuell zu halten ist jetzt nicht wirklich Raketenforschung.

Selbst wenn im Unternehmen oder in der Behörde gerade die finanziellen Mittel knapp sind und der Erwerb einer spezialisierten Softwarelösung, die alle oben genannten Themen mehr oder weniger automatisiert, nicht realisierbar ist, kann das Erstellen eines Planes und das Benutzen von kostenlosen Tools zumindest helfen, die Risiken zu mindern.
Auch das Paretoprinzip ist keine Raketenforschung.

 

Was habe ich auf den Messen noch gehört? Ah, das war lustig:

 

„Ich weiss gar nicht, ob sich bei uns jemand darum kümmert.“

 

Der Gipfel des Dramas! Das war vermutlich ein Entwickler. Oder Karl-Heinz aus der Buchhaltung.

Sascha Giese

Gisec in Dubai

Posted by Sascha Giese Employee Mar 5, 2019

Hi there!

 

SolarWinds is attending GISEC in Dubai between April 1 – 3 this year.
GISEC is the number-one security-focused tech conference in the Middle East, and we’ll be there with our regional distributor Spire.

 

What can you expect from SolarWinds?
Our resident expert Tony Johnson will be there to show you the latest features we’ve added to the Orion® Platform, and how they can help to increase both security and compliance next to help ensure your IT infrastructure is behaving well.
Rumour has it that there might be loads of new features by early April.

Also, you’ll have a chance to meet Venkatesh Ayyala, who works for Spire and lives in Dubai. Venkatesh and his colleagues are providing professional services to SolarWinds customers in the region, from simple configurations to Orion SDK-based customizations.

 

The event itself takes place in the Dubai WTC, which is the same location as GITEX.
If you’ve never been to Dubai, it’s well worth a visit. Last October I took this lovely shot from level 148, only 555 meters above the ground:

 

Enjoy!

 

Nach vier Monaten wird es mal wieder Zeit über ein Produkt zu schreiben. Wie es der Zufall so will, haben wir auch ein neues Spielzeug im Portfolio:

 

SolarWinds Access Rights Manager

 

Einige von euch kennen das Produkt vielleicht noch unter dem alten Namen 8MAN.

Was genau macht ARM? Und wer kam überhaupt auf diese Abkürzung?

 

Das Werkzeug überprüft Berechtigungen innerhalb von Active Directory, Exchange, Sharepoint sowie Fileservern. Also, wer kann auf was zugreifen, und wo genau kommt die Berechtigung her?

Benutzer, Gruppen und effektive Berechtigungen lassen sich Erstellen, Verändern, oder Löschen.

Berichte und Instant-Analysen runden das Paket ab.

Alles aus einer charmanten Oberfläche und man kann es auch bedienen, wenn man kein Raketenforscher ist.

ARM wird auf einem beliebigen Mitgliedsserver installiert und ist sehr genügsam mit den Systemanforderungen. Das OS sollte mindestens ein 2008SP1 sein, 2 Kerne, 4 Gig Speicher reichen auch produktiv erst einmal aus. Sämtliche Daten werden in einer SQL gespeichert und auch hier passt 2008 oder jünger.

 

Der Installationsvorgang ist schnell erledigt:

 

Zuerst wird die Konfiguration gestartet mit dem rechten Icon.
Die Farbe ist…ja was ist es denn, 04C9D7, also laut Internet „vivid arctic blue“. Nennen wir es einfach Türkis!

 

Ein AD- und ein SQL®-Benutzer muss angelegt, und die Verbindung zur Datenbank eingerichtet werden:

 

ARM ist jetzt verfügbar:

 

Jedoch ist noch keine Quelle definiert, also hängen wir AD ein.
In den Grundeinstellungen nutzt ARM zum Verknüpfen des Verzeichnisses die bereits hinterlegten Anmeldeinformationen.

 

In meinem Beispiel wird das Verzeichnis jeden Abend einmal durchsucht. Bei der ersten Einrichtung bitte manuell auf den Pfeil drücken für einen sofortigen Scan. Nur bitte nicht bei 10 000 Benutzern morgens um Acht Uhr!

Ein Klick auf das Icon in Orange, Entschuldigung, F99D1C, startet dann das richtige Tool.

 

 

Das Login Fenster:

 

Begrüßt werden wir von diesem Dashboard:

 

 

Befassen uns mit der typischen Frage „Wieso kann dieser Schlumpf denn überhaupt auf X  zugreifen?“

Der Hauptgrund dafür ist vermutlich eine verschachtelte Berechtigung, die nicht auf den ersten Blick ersichtlich ist. Aber jetzt kommt ARM ins Spiel.
Klickt einmal auf Accounts und gebt einen Namen in die Suchbox oben ein:

 

Das Resultat ist ein Baumdiagramm mit den Gruppenmitgliedschaften.

Jeder Klick auf ein Element zeigt dann weitere Details an, probiert es einmal aus. Die Grafiken lassen sich übrigens als Bild exportieren.

Auf der rechten Seite finden wir die AD Attribute:

 

Und jetzt wird es richtig komfortabel. Ich kann den kompletten Datensatz von hier aus editieren:

 

Ja, richtig, ich traue keinem Vegetarier!

 

Übrigens, diese Box hier sieht man bei allen Änderungen. Ordentliches Change-Management erfordert das Setzen von Notizen.

Und wo wir gerade dabei sind, klickt einmal rechts auf ein Konto:

 

Wandern wir vom AD zu Datei-Berechtigungen. Ist nur eine kurze Strecke, wenn man oben auf Show access rights to resources klickt.
Ich wähle einen File Server und einen Pfad aus:

 

Rechts sehe ich die Berechtigungen im Detail:

 

 

ARM kommt noch mit einer zweiten Oberfläche zusätzlich zu dem Client – einem Web-GUI.

Hier stehen mir andere Werkzeuge zur Verfügung.

Viele typische Risiken können schon out-of-the-box betrachtet werden.
Dazu auf Risks klicken:

 

 

Wir sehen inaktive Konten:

 

Oder permanente Passwörter:

 

An gleicher Stelle finden wir auch die allseits beliebte „Everyone“ Berechtigung bei Ordnern:

 

Ein simpler Klick auf „Minimize Risks“ zeigt mir:

 

 

Ich könnte direkt von hier aus wieder Änderungen betreiben – auch im Bulk.

Selbstverständlich wird jede Änderung, die über ARM durchgeführt wird, automatisch protokolliert.
Das Logbuch befindet sich oben im lokalen Client und wir können Berichte erzeugen und exportieren:

 

Vermutlich habt ihr das oben schon gesehen, aber weitere vordefinierte Berichte findet man direkt auf dem Start-Dashboard:

Gehen wir ein oder zwei spezifische Themen an.

Seit Server 2016 gibt es das Feature von temporären Gruppenmitgliedschaften, um vielleicht einem Mitarbeiter für die Dauer eines Projektes Zugriff zu notwendigen Elementen zu bieten. Nach Ablauf des voreingestellten Zeitraums werden die Berechtigungen automatisch entfernt.
Praktisch, oder?

Das nicht ganz so schöne Szenario: Jemand hat sich selbst temporär Zugriff auf eine Ressource gegeben mit dem Hintergrund, dass die Änderung der Gruppenmitgliedschaft hinterher kaum nachvollziehbar ist.
Aber jetzt nicht mehr! Hier geht’s ab:

 

Wenn man mit der Maus über diese Box hier geht

Sieht man rechts Objekte, und für mein Beispiel sind Member added/removed interessant:

 

Leider gibt es in meinem Lab nicht wirklich viel zu sehen, also gehen wir weiter.

 

ARM erlaubt Standardaufgaben direkt aus dem UI durchzuführen, wie z.B. das Erstellen von neuen Benutzern oder Gruppen, Vergeben/Entfernen von Berechtigungen etc.
Wirklich interessant ist das Nutzen von Vorlagen bzw. Profilen.

Hierzu klicken wir im Webclient rechts oben auf das Zahnrad und Department Profiles

 

 

Rechts auf „Create new“

 

 

 

Geben dem Profil einen Namen:

 

 

Links sind weitere Optionen sowie der Button zum Speichern:

 

Ein neuer Mitarbeiter wird lediglich dem Profil zugewiesen, welches sich um sämtliche anderen Einstellungen kümmert – automatisch.

 

Selbstverständlich gibt es auch einen vordefinierten Bericht, der eventuelle Abweichungen zu den Profilen direkt anzeigt. Wir bleiben im Webclient, klicken auf Analyse und wählen die folgende Schaltfläche:

 

 

 

Dann suche ich mir ein Profil aus und ab geht’s:

 

 

Die gute Elyne ist konform, was aber auch wenig überraschend ist als einzige Mitarbeiterin im Marketing:

Das waren nur ein paar der Features von ARM. Weitere interessante Themen wären das Einbinden von anderen Quellen, oder Scripts für komplexere Automatismen. Das ist Futter für zukünftige Postings.

 

Aber, wisst ihr, was ich als Computer-Gamer ganz besonders am ARM mag?
Man kann auf so ziemlich alles klicken. Probiert einmal das hier aus, zu finden ganz links am Bildschirmrand auf dem Start Dashboard:

 

 

 

Viel Spass beim Erkunden!

 

Do you guys know that Tom is speaking during a breakout session?
Have a look here to learn how to bypass typical pitfalls in DB virtualization.
We should play a game. Whoever puts the best pic of him talking on Twitter gets…uh…a pair of socks maybe?

 

Speaking of pictures, I found a few from last year in Barcelona. This was our home for a few days:

 

I suggest checking Twitter for updates on how it will look next Monday!

 

Also, we discovered an interesting place for dinner.
Have a look at the nameplate to see whose table we were sitting at:

 

We didn’t meet them yet. Which is one of the reasons we go to Barcelona again, and again!

The other reason, obviously, is you guys! Come and see us!

SolarWinds uses cookies on its websites to make your online experience easier and better. By using our website, you consent to our use of cookies. For more information on cookies, see our cookie policy.