1 2 3 Previous Next

THWACK EMEA

90 posts

Security Event Manager (SEM), das SolarWinds SIEM, ist ab sofort im Kundenportal und auf solarwinds.com in Version 2019.4 verfügbar.  Die Release Notes finden sich hier und die Schritte zum Upgrade einer bestehenden SEM-Appliance hier. Die SEM-Online-Demo wurde ebenfalls aktualisiert und kann von hier aus aufgerufen werden, und das Dashboard kann man in Aktion in diesem Video sehen.

Zuerst fällt wahrscheinlich unser neues Versionsformat ins Auge. Neue Releases für SEM werden nun im Quartal des Jahres verwendet, wobei ein ähnlicher Ansatz wie bei den Produktmodulen der Orion-Plattform verfolgt wird. SEM-Versionen werden das vierstellige Jahr sein, in dem sie veröffentlicht wurden, gefolgt vom Quartal der Veröffentlichung. Wenn zwischen den Hauptreleases eine Servicefreigabe vorliegt, erscheint diese an dritter Stelle nach dem Quartal, z.B. 2019.4.1.

Also, was ist in dieser SEM-Version enthalten? Diese Version konzentriert sich hauptsächlich auf unsere Migration von Flash, wobei unserer HTML5-Oberfläche neue Funktionen hinzugefügt wurden, darunter Dashboards, benutzerdefinierte Gruppen und E-Mail-Vorlagen.

 

DASHBOARD

 

Das Sprichwort sagt, ein Bild sagt mehr als tausend Worte - was besonders bei den Protokolldaten gilt. Die Ereignisseite in SEM ermöglicht es, mit Protokollen über Filter und Schlüsselwortsuche zu interagieren, aber es kann schwierig sein, ungewöhnliche Aktivitäten oder verdächtige Trends zu erkennen. An dieser Stelle kommt das Dashboard ins Spiel - die Möglichkeit, Tausende von Protokollen zu visualisieren und sich ein Bild davon zu machen, was im Netzwerk passiert, kann bei der Erkennung von Bedrohungen sehr hilfreich sein. Wir haben mehrere Out-of-the-Box-Diagramme hinzugefügt, die auf einigen der häufigsten Anwendungsfälle basieren, die wir von unseren Kunden erhalten, darunter Change Management, Authentifizierung und Netzwerkverkehrs-Widgets.

Benutzerdefinierte Widgets können auf jedem Event-Filter basieren, und die Diagrammoptionen umfassen Balken, Kuchen und Donut sowie Liniendiagramme für Zeitreihendaten. Das Einlesen der Protokolldaten hinter jedem Diagramm ist bei der Analyse potenzieller Bedrohungen von entscheidender Bedeutung.

Ein Klick auf das Segment eines Diagramms wird die darunterliegenden Protokolldaten anzeigen. Hier ist ein Einblick, wie unser neues Dashboard aussieht:

 

 

BENUTZERDEFINIERTE GRUPPEN

 

Es ist nun möglich, diese Gruppen über die HTML5-Schnittstelle erstellen und verwalten. Benutzerdefinierte Gruppen enthalten Daten, die spezifisch für Ihre Umgebung sind, wie Benutzer- und Computernamen, sensible Dateien, zugelassene USB-Geräte usw. Diese Gruppen können auch als Whitelists und Blacklists für die Verwendung in Korrelationsregeln und Filtern fungieren, z.B. um über den versuchten Zugriff auf eine URL zu informieren, die auf einer Blacklist sitzen. Die Gruppen können manuell erstellt oder über eine CSV-Datei importiert werden, ebenso wird der Export von Gruppenelemente zu CSV unterstützt.

Um sicherzustellen, dass unsere Out-of-the-Box-Inhalte für eine sich ständig verändernde Bedrohungslandschaft relevant bleiben, haben wir mehrere unserer vordefinierten Gruppen aktualisiert, darunter SQL Injection/XSS-Vektoren, Anonymisierungs-Websites und Remote-Desktop-Websites.

 

 

E-MAIL-VORLAGEN

 

Als Teil des Releases SEM 6.7 haben wir die Möglichkeit eingeführt, Korrelationsregeln über die neue Oberfläche zu verwalten, einschließlich der Möglichkeit, eine E-Mail-Vorlage für die Benachrichtigung auszuwählen. Die Erstellung und Anpassung dieser E-Mail-Vorlagen befand sich jedoch weiterhin in der Flash-Konsole. SEM 2019.4 bietet die Möglichkeit, diese E-Mail-Vorlagen innerhalb der neuen Oberfläche zu erstellen und anzupassen. Diese E-Mails sind wertvoll, wenn es darum geht, Kontext zu E-Mail-Warnungen hinzuzufügen und Informationen aus Protokolldaten in diese Warnungen aufzunehmen.

 

 

FILTER -> REGELN

 

Ein Netzwerk erzeugt Hunderte, wenn nicht sogar Tausende von Ereignissen pro Sekunde, und es ist eine Herausforderung, relevante Protokolle aus dieser Flut von Protokolldaten zu identifizieren. Hier kommen Filter ins Spiel. Es sind bereits viele sinnvolle, vordefinierte Filter vorhanden, die jederzeit um benutzerdefinierte Filter erweitert werden können, um bestimmte Protokolle zu optimieren. Aber was ist, wenn eine Korrelationsregel benötigt wird, die auch Reaktionen zu Ereignissen einleitet? Bisher mussten sowohl Filter als auch eine entsprechende Korrelationsregel manuell angelegt werden. Wir haben diesen Prozess vereinfacht und ermöglichen nun SEM-Filter zur Regelerstellung senden, um schnell neue Korrelationsregeln basierend auf einem Filter zu erstellen.

 

 

Weitere Informationen zu SEM gibt es im Produktforum, wo auch Feedback, gerade zur neuen Benutzeroberfläche, gerne gesehen wird.

 

Viel Spass mit der neuen Version!

Sascha Giese

ITAwards 2019

Posted by Sascha Giese Employee Oct 30, 2019

Hallo Zusammen!

 

Erinnert ihr euch noch, vor ein paar Monaten hatte ich hier gebeten, für SolarWinds bei den ITAwards der Vogel Medien abzustimmen, und ich erwähnte:

 

Ich war noch nie in Augsburg. *zaunpfahl*

 

Und jetzt war ich tatsächlich da zur Zeremonie, toll!

 

Mir war gar nicht klar, dass Augsburg die drittälteste Stadt in Deutschland ist und vor über 2000 Jahren gegründet wurde. Dementsprechend ist alles voller Tradition und man kann die Geschichte quasi spüren.
Das Restaurant, das ich am ersten Abend besucht hatte, wurde vor 550 Jahren gegründet, und Goethe und Mozart haben dort diniert. Das lokale Bier wird seit 600 Jahren gleich um die Ecke gebraut.

Unglücklicherweise hatte ich zu viel zu tun und keine Zeit für Sightseeing, aber ich habe mir einen Spaziergang zur Mittagszeit nicht nehmen lassen, um zumindest ein paar Impressionen aus der Stadt zu sammeln.

Das Weberhaus sieht sehr interessant aus:

 

 

Überall gibt es viele Details zu sehen, wie hier:

 

 

Ich hätte so gerne das Museum der Puppenkiste besucht – ein andermal vielleicht.
Wichtiger war ohnehin das Event am Abend:

 

 

Die Zeremonie selbst war wirklich professionell aufgezogen, und der Gastgeber hat auch beim Nachtisch nicht enttäuscht, das war schon High-End:

 

 

Vogel Medien betreibt acht „Insider“ Portale, und die jeweils drei populärsten Hersteller bzw. Produkte bei der Leserschaft aus insgesamt 43 Kategorien wurden zum Event eingeladen.

Wir waren nominiert in der Kategorie Security als beste SIEM Lösung mit unserem Security Event Manager. Es war schon nach elf Uhr am Abend, als ich hierfür auf die Bühne gebeten wurde:

 

 

Leider ging das alles so schnell und es war keine Zeit, sonst hätte ich gerne die Rede abgehalten, an der ich so lange gearbeitet habe („Danke für alles, Mamma“). Immerhin war ich gleich fünfmal in diesem Foto:

 

 

Fotos, Fotos, Fotos…

 

 

OK. Also, wer hat uns einen Platz auf dem Treppchen besorgt? IHR.
SolarWinds kann derartige Events genießen, weil ihr, die Benutzer, unsere Produkte so schätzt. Und das wiederum ist das Resultat daraus, dass wir zuhören und die Produkte nach eurem Input programmieren. Wir könnten das tatsächlich nicht ohne euch.

 

An alle, die für uns abgestimmt haben: VIELEN DANK!

Lasst und das nochmal machen nächstes Jahr. Schließlich muss ich noch in die Puppenkiste.

 

Bis dahin, macht es gut!

Hallo Zusammen!

 

Seit dem 08.10. haben wir ein neues Werkzeug für euch: SolarWinds Identity Monitor (IM).
IM überwacht Emailkonten und -Domänen auf „Account Takeovers“, auf Deutsch einfach der Identitätsdiebstahl.

 

Wie kommt es zu einem Identitätsdiebstahl?

 

Leider sehr schnell. Jeden Tag geben wir irgendwo unsere Daten ein, und meistens ist es eine Kombination aus Emailadresse und einem gewählten Passwort. Laut meinem Passwort-Manager habe ich Konten in über 60 verschiedenen Systemen wie Hotels, Fluggesellschaften, Rezeptsammlungen, aber auch bei Support oder Community-Pages verschiedener Hard- und Softwareanbieter. Das ist nichts Besonderes, und an sich auch erst einmal kein Problem.

 

Die Probleme fangen an, wenn es bei einer dieser Seiten zu einem Breach gekommen ist und Kundendaten „auf Wanderschaft“ gehen, was leider zu häufig passiert. Meistens denkt man sich nicht viel dabei, und ein Einbruch bei meiner favorisierten Kochrezepte-Sammlung gibt Hackern Einsicht darauf, welches mein bevorzugtes Pasta Rezept ist.

 

Aber, was passiert, wenn ich das gleiche Passwort auch bei einer Shoppingseite mit Instant-Delivery nutze?

Oder die Zugangsdaten sind die gleichen wie beim Emailkonto des CEOs, oder des Github Repository eines Scrum-Masters mit Zugriff auf den Quellcode eines Produktes?

IM zeigt an, ob ein Konto bzw. eine Identität kompromittiert wurde, inklusive der Information wann, wodurch, und welche Daten öffentlich gelegt wurden.

 

Eine kurze Tour durch das Produkt

 

Auf dem Dashboard direkt nach dem Login sehen wir eine Timeline von bekannten Breaches, und das Chart an sich ist schon interessant:

 

Die Frequenz von Data-Leaks nimmt seit Ende 2015 zu. Ein Mouse-Over bei einer der Kugeln zeigt erste Details:

 

In der Navigation links klicke ich auf „Email Addresses“

 

Zuerst füge ich meine Geschäfts-Email hinzu

 

Das System erwartet, dass die Adresse vom Inhaber bestätigt wird:

 

Das wird schnell erledigt:

 

Und sofort ändert sich der Status und die angezeigten Informationen:

 

Ein Klick auf die Adresse zeigt links die Breaches:

 

Und rechts steht, für mich wichtig, dass kein Passwort gestohlen wurde:

 

Ganz rechts ist ein Knopf, der alle gesammelten Daten anzeigt („View Raw Data“):

 

Die dort entwendeten Informationen sind öffentlich zugänglich, auch mein LinkedIn Profil ist kein Geheimnis. Aber wenn man dies zum ersten Mal sieht, beginnt man mit der Reflektion. Wer genau sind diese Typen, die meine Daten gesammelt und derart aufbereitet haben?

Auch diese Fragen werden, soweit rechtlich vertretbar, beantwortet:

 

Um an mehr Daten zu kommen, nutze ich meine private Emailadresse, die ich seit über 20 Jahren verwende. Die Liste an Breaches ist „geringfügig“ länger und erstreckt sich über mehrere Seiten, hier ein Auszug:

 

Leider finden sich hier auch Passwörter:

 

Beim Klicken auf das Auge wird das Password so angezeigt, wie es aufgefunden wurde. Manchmal als nicht entschlüsselter Hash, manchmal im Klartext. Glücklicherweise ist es in meinem Fall ein sehr altes Passwort, das nicht mehr in Benutzung ist – dazu gleich mehr.

 

Im Produktivbetrieb bei einem Unternehmen gibt man selbstverständlich keine Hunderte von Emailadressen manuell ein, sondern direkt die Domain.

Mein Beispiel, das tatsächlich auch Beispiel heisst:

 

Ein Mausklick auf Corporate Records zeigt mir die entsprechenden Details wie erwartet an:

 

Ebenso lassen sich wichtige IP Adressen überwachen, um benachrichtigt zu werden, falls diese in einem Botnet sitzen oder neu auftauchen.

Das Ganze funktioniert nicht nur mit historischen Daten.
Solange eine Emailadresse aufgelistet ist, wird sie gegenüber allen neuen Breaches getestet und im Falle eines Treffers erfolgt eine Meldung an den Inhaber des Kontos, damit weitere Schritte eingeleitet werden können. Was mich dann weiterbringt zu…

 

Was tun bei einem Identitätsdiebstahl?

 

Die Sofortmaßnahme ist selbstverständlich, dass Passwort beim jeweiligen Anbieter zurückzusetzen und zu ändern. Je nach Plattform empfiehlt es sich, zu schauen ob es Logins gab bzw. Dienste genutzt worden sind, die man nicht erkennt oder als seine eigenen identifiziert.
In den meisten Fällen sind Kontodaten zwar veröffentlicht, aber nicht benutzt worden.
Hacker verfügen über Listen mit „high-value targets,“ Namen von Politikern, Prominenten, und Führungspersonen großer Unternehmen. Neue Kontensammlungen werden automatisch nach diesen Datensätzen durchsucht und im erfolgsfalle entweder selbst genutzt oder sofort weiterverkauft. Da die meisten von uns nicht auf diesen Listen zu finden sind, ist das tatsächliche Missbrauchsrisiko eher gering, aber definitiv nicht zu vernachlässigen.

 

Dennoch ist der nächste Schritt ebenfalls notwendig, wenn auch komplizierter:
Wurde das gleiche Passwort an anderer Stelle verwendet? Auch dort muss es geändert werden.
Bei zehnfach verwendetem Passwort ist ein einzelner Breach einem zehnfachen Breach gleichzusetzen. Dieser Schritt kostet leider Zeit und Nerven.

 

Passwort-Management ist keine Raketenforschung

 

Ein Passwort-Manager hilft beim Aufsetzen sicherer, zufallsgenerierter Passwörter.
Es gibt verschiedene Strategien beim Passwort Management, so ist z.B. eine Idee, Webseiten zu klassifizieren und bei wirklich sensiblen Systemen in jedem Fall MFA zu nutzen, so dass jeder Login von einem Authenticator bestätigt werden muss. Kandidaten hierfür sind off-site Logins zum Emailsystem oder Intranet des Unternehmens.
Bei weniger riskanten Seiten sollte ein sicheres und unbedingt einzigartiges Passwort verwendet werden.

 

Was mache ich jetzt mit meiner Rezepte-Sammlung? Wenn ich auf allen derartigen Seiten das Passwort „SaschaK0chtGerneMit***“ verwendet habe, ist das zwar ein fantastisches Passwort, und außer meinem Geschmacksprofil gibt es keinerlei Daten, aber ein SecurityAdmin würde trotzdem das mehrfach verwendete Passwort bemängeln.

Zu Recht!

 

Macht's gut!   

Did you know? In the U.K., nearly three-quarters of NHS trusts and Clinical Commissioning Groups reported experiencing up to 50 attempted cyberattacks in 2018.

It’s a compelling stat, revealed by our own Freedom of Information survey from earlier this year.

 

The finding supports our view that achieving strong cybersecurity in the healthcare industry has become mission-critical. Thankfully, the annual Healthcare Excellence Through Technology (HETT) event, happening at the ExCel in London next month, is the ideal platform to champion our cause. SolarWinds, together with direct reseller Kenson, will be at stand G32, talking to delegates about why it’s important to have strong cybersecurity measures in place, and what products can support this strategy.

 

The portfolio of products being showcased has been developed by SolarWinds and supplied by Kenson. Here’s a quick rundown of what you’ll be able to see (at stand G32):

 

The results of our FOI survey I mentioned at the beginning highlight the importance of finding simple-to-use, affordable, and scalable security solutions capable of working across varied IT environments like those in the NHS. These are vital services and deserve the most comprehensive protection.

Kenson Sales Manager Glen Kershaw couldn’t have put it better: “Being at HETT with SolarWinds means we can reach further into the healthcare sector, working together to help organisations solve their security challenges and put them in a stronger position to defend themselves, and ultimately the people who rely on these critical services.”

 

We’re excited about this security mission! If you’d like to join, the HETT event takes place October 1 – 2 at the ExCel in London. Did I mention we’ll be at stand G32?

Hallo Zusammen!

 

Nach 2018 sind wir direkt zum zweiten Mal auf der IT-SA vertreten und wie auch im letzten Jahr auf mehreren Ständen gleichzeitig.

Unser Hauptstandort ist in Halle 9 auf Stand 127 aber auch einige unserer Partner sind vertreten:

 

Ramge Software Distribution GmbH & Co KG       10-410
TAP.DE Solutions GmbH                                                11-519
UBM GmbH                                                                        9-230
ALSO Deutschland GmbH                                              9-516

 

Was gibt es zu sehen?

 

Selbstverständlich unser komplettes Security Portfolio, aber darüber hinaus alles zu den Themen Überwachung, Verwaltung, und Absicherung der IT.
Nach dem Motto „Ein Problem kommt selten allein“ zeigen wir die neuesten Updates aus dem Bereich Netzwerk- und Server-Management wie z.B. Network Insight für Palo Alto, AppInsight für Active Directory ®,  aus dem Bereich Security allen voran unseren Access Rights Manager sowie Security Event Manager, bis zu unserem Backup-Werkzeug sowie der SolarWinds RMM Plattform für MSPs.


Mit ein bisschen Glück wird es auf der IT-SA auch die eine oder andere Überraschung geben.
Schauen wir mal!
Oh Moment, wir sind ja im weiteren Bayern also „Schaung mar amoi, na seng ma’s scho.“

 

Aber, bei Nürnberg fällt mir ein, letztes Jahr hatte ich das hier zum ersten Mal gegessen und freue mich schon auf eine Wiederholung:

 

 

Fränkischer Sauerbraten. Ein Genuss!

 

Wir sehen uns am 08.10. auf der Messe, bis dahin macht’s gut!

natefabbri53

I love Thwack!

Posted by natefabbri53 Sep 11, 2019

I love Thwack!

Auf Reddit unter r/sysadmin habe ich diese Tage einen Beitrag entdeckt, in dem jemand frei übersetzt das folgende beklagt:

 

„Als genereller System Administrator muss man über eine Menge Dinge bescheid wissen. Unter anderem Windows, Linux, Mac, AD, Virtualisierung, Routing und Switching, Exchange, Vulnerability Management, Antivirus, Scripts, Datenbanken, und Hardware jeglicher Art. […] Obwohl man Generalist/Universalist ist, wird Expertenwissen erwartet.“

 

Hand aufs Herz, wer erkennt sich da wieder?

Gerade in KMUs ist es leider normal, dass ein zu kleines IT Team zu viele Aufgaben übernehmen muss, und um irgendwie über die Runden zu kommen, ist ein breit gestaffeltes Wissen sinnvoller als bei Randthemen in die Tiefe zu tauchen.

Im Bedarfsfalle kann man sich immer noch externes Wissen dazu holen, wie z.B. Herstellersupport, oder outsourced-DBA.

 

Ich möchte keine Diskussion darüber starten, ob diese Art und Weise die beste ist, aber wenn man dem folgt gibt es zwei Probleme – mindestens.
Zum einen stellt man sich selbst die Frage „Kann ich das noch, oder brauche ich dafür jemand anders?“ und zum anderen bekommt man die Frage gestellt „Warum konntest du das nicht selbst?“

Und selbst wenn man es selbst gelöst hat, sieht man sich vielleicht noch mit „Warum hat das so lange gedauert?“ konfrontiert.

Halt! Stopp! Keine Panik! Hier kommen wir ins Spiel.

 

Werkzeuge für SysAdmins

 

Troubleshooting kann nicht beginnen, bevor das Problem grob lokalisiert wurde. Wenn man auf die eingangs erwähnten Schichten schaut, kann das allein schon einen signifikanten Zeitaufwand darstellen.

Wie wäre es mit so etwas:

 

 

Für mich und manche Leser ist das ein vertrautes Werkzeug, andere sehen das sicher zum ersten Mal. Es gehört zu unserer Orion® Plattform und heißt AppStack.

 

Man sieht automatisch die Abhängigkeit zweier Anwendungen, das Betriebssystem, die Virtualisierungsschicht bis hinunter in den Bereich Storage, immer aktuell.

Ein simples mouse-over zeigt mir den Status der beteiligten Elemente an und in meinem Fall bringt mich die zweite rote Kugel schon ziemlich nahe zum Ziel:

 

 

Natürlich ist es nicht immer so einfach, aber ihr könnt euch vorstellen, wie viel Arbeit einem ein solches Werkzeug abnehmen kann, und wenn man quasi mit der Nase in die Richtung des eigentlichen Problems geschubst wird, hat man in vielen Fällen schon gewonnen.

Bei der Ansicht des Fensters sehe ich aber noch etwas anderes und möchte es mir im Detail ansehen. Die DB berichtet „irgendwas ist rot“:

 

 

Aber was genau bedeutet das? Hier bekommen wir mehr Informationen:

 

 

Ich kann mit meinen Werkzeugen noch tiefer gehen und tatsächlich das Query sehen, dass hier blockiert, auch von wo und von wem es ausgeführt wurde, sowie einige unterstützende Informationen.
Ich weiss aber jetzt schon, dass ich als Generalist entweder den Hersteller der jeweiligen Anwendung oder aber zumindest einen Entwickler brauchen werde.

Definitiv ein Fall der Kategorie Spezialwissen, aber ich kann es dokumentieren, und die mir durch Database Performance Analzyer (DPA)  zur Verfügung stehenden Informationen helfen dem Experten, das Problem schnell zu beseitigen.

 

Ein weiteres Feature der Orion Plattform, in diesem Fall geliefert durch Server & Application Monitor (SAM), ist das automatische Erkennen der Abhängigkeiten von Anwendungen und auch hier hilft ein Blick, um Zusammenhänge zu erkennen.

Auf einem meiner Webserver, dem Namen nach in der Cloud, können meine Benutzer nicht zuverlässig oder nur langsam Einloggen, um mit der Webanwendung zu arbeiten.

Wie man sieht, liegt die Ursache nicht am Webserver, sondern an der Verbindung zum Domain-Controller.

 

 

Ein Mausklick auf die Verbindung zeigt mir Details:

 

 

Ich muss kein Netzwerk-Spezialist sein, um sowohl den Webserver als auch den DC aus der Fehlerkette ausschließen zu können.

Für diejenigen die wissen möchten, wie dieses Feature funktioniert:

Der Orion Agent sitzt auf den Kisten und überprüft, welche internen Prozesse an welchen Ports lauschen, und von wo Daten herkommen bzw. hingehen.

Wenn die andere Maschine ebenfalls überwacht wird, geschieht dort das gleiche und Orion zeigt die Verbindung der Maschinen sowie der Anwendungen an.


Da beide Elemente wahrscheinlich kritisch für das Unternehmen sind, empfiehlt es sich die Verbindung als NetPath anzulegen, leider gibt meine Laborumgebung dieses Beispiel nicht her, also muss ich improvisieren.

Wer mit NetPath noch nicht vertraut ist: NetPath visualisiert die Verbindung von Anwendungen über verschiedene Standorte bis in die Cloud.

Um das Konzept zu verstehen, denkt kurz an Traceroute – aber dann stoppt. Traceroute nutzt entweder ICMP oder UDP was zwar nett, aber irrelevant für die meisten Anwendungen ist, die selbstverständlich über TCP kommunizieren.
Daher bietet NetPath eine TCP basierende „hop-by-hop“ Analyse.

 

Ich öffne einen hybriden Pfad, der meinem obigen Beispiel recht nahekommt:

 

 

Der Pfad selbst sieht so aus:

 

 

Im Produktivbetrieb ist der Pfad lebendig – man kann auf alles Klicken für weitere Informationen, eine Zeitachse benutzen, um Änderungen zu sehen, aber das Problem ist hier schon offensichtlich.
Links ist mein Netz, alles ist Grün, irgendwo in der Mitte lande ich bei meinem ISP und auch dort ist alles okay.
Rechts jedoch, beim Cloud-Anbieter, gibt es Paketverlust zu drei von vier Zielcontainern, die sich dort in der Rotation befinden.

 

Dies ist ein weiterer Fall von „jetzt muss der Hersteller ran“ und wir helfen sogar Kontaktdaten nach einem weiteren Mausklick:

 

 

Ein weitertes Beispiel gebe ich euch noch mit auf den Weg. Wieder muss ich etwas improvisieren.

Nehmen wir an, AppStack zeigt uns Probleme mit einem IIS an.

 

 

Und der darunterliegende Server ist nicht glücklich:

  

 

Schaut nach rechts oben und klickt auf „Perfstack“:

 

 

PerfStack ist ein Werkzeug, um beliebige Daten in Relation zu setzen. Man sieht gerade nur die CPU, die von der vorherigen Seite übernommen wurde.
Auf der rechten Seite ist ein Doppelwinkel:

 

 

Ein Klick öffnet den Knoten:

 

 

Und ein Klick darauf zeigt die Informationen an, die wir von dem Server sammeln:

 

 

Mittels Dragp&Drop kann man nun weitere Informationsschichten in die Grafiken ziehen.

 

 

Das Hinzufügen von Events und Konfigurationsänderungen zeigt mir auf der Zeitachse einen Zusammenhang mit dem Anstieg in der CPU Auslastung an:

 

 

Ich klicke auf die Spalte mit der Konfiguration:

 

 

Interessant. Ich brauche mehr Details:

 

 

Auch als nicht-IIS-Admin sehe ich, dass eine weitere Webseite hinzugefügt worden ist.
Tatsächlich sehe ich rechts oben sogar von wem.

 

Ich glaube, ich rufe Rose an, um den Sinn eines Change-Protokolls zu diskutieren.

 

 

Bis dahin, macht’s gut, und stresst euch nicht zu viel.

Hallo Zusammen,

 

Bei den letzten Updates der Netzwerk-Management Module unserer Orion® Plattform haben wir erweiterten Support für Palo Alto Firewalls implementiert, ein Feature, welches seit 2017 auf euren Wunschlisten stand.


Ich muss kurz ausholen: Das Feature selbst heißt „Network Insight für Palo Alto“, und es gibt bereits einige Network Insight sowie App-Insights innerhalb von Orion.
Wir nennen es „Insight,“ wenn wir bei komplexen Themen mehr Unterstützung bringen, als es mit gewöhnlichen Methoden möglich ist.

 

Mit den Insights haben wir es uns zur Aufgabe gemacht, komplizierte Technologien, die im Detail oft Spezialwissen erfordern, für den Allrounder (IT Generalist) zugänglich zu machen.

 

Im Bereich von Network Insight gibt es bereits Support für F5 Loadbalancer, Cisco Nexus sowie ASA.
Für den Support der ASAs haben wir von euch viel Lob erhalten, also lag der Schritt nahe, sich mit einer weiteren Firewall zu befassen.

Und wieder kamt ihr ins Spiel – kein Anbieter wurde von euch so oft vorgeschlagen wie PA.

 

 

Verwalten von Security Policies

 

Die Effektivität einer Firewall wird durch die Policies bzw. Regeln definiert. Idealerweise sichern die Regeln den Netzwerkverkehr ab ohne negativen Einfluss auf die Geschäftsprozesse.
Wenn es jedoch zu Flüchtigkeitsfehlern oder grober Fehlkonfiguration kommt, entstehen Probleme auf verschiedenen Ebenen. Für den Administrator reicht es an dieser Stelle nicht mehr aus, lediglich die Performance der Firewall zu beobachten.
Unglücklicherweise ist das Einpflegen von Regeln keine einmalige Aktion, sondern eine dynamische Angelegenheit.
Die Infrastruktur ändert sich ebenso wie Geschäftsprozesse und Anwendungen, und Regeln müssen ständig angepasst werden.

 

Network Configuration Manager (NCM) stellt die folgenden Features zur Verfügung:

  • Komplette Übersicht über alle Regeln
  • Details zu einzelnen Regeln sowie deren Änderungen
  • Die Benutzung von Regeln über mehrere PA Knoten
  • Das Vergleichen von Ausschnitten der Konfiguration
  • Interface Konfigurationen
  • Information zu Anwendungen, Adressen und Diensten innerhalb von Regeln

 

Nach dem ersten Einlesen der Konfiguration wird NCM automatisch die Regeln sowie die dazugehörigen Elemente anzeigen.
Die im Bild angezeigte Seite erlaubt das schnelle Auffinden von Regeln durch Such- und Filterfunktionen.

 

 

Ein Klick auf eine Regel zeigt Details der Konfiguration inklusive der Objekte und Objektgruppen, die von der Regel betroffen sind.

 

 

Manche Regeln werden über mehrere Firewalls hinweg eingesetzt. Wir zeigen dies automatisch an, um Situationen vorzubeugen, bei denen ein Administrator eine Änderung versehentlich auf allen Geräten gleichzeitig replizieren lässt.
Ebenso lässt sich sofort feststellen, ob eine neue Regel korrekt angewandt worden ist.

 

 

Was bei der Überwachung von jeglichen Konfigurationen wichtig ist, trifft um so mehr zu bei Firewalls; ein Audit über Veränderungen. Compliance erfordert ein Log, und wir zeigen direkt an wann und was verändert wurde.

 

 

 

VPN Tunnel Überwachung

 

Als wir mit der Planung des Network Insights begonnen hatten, haben wir in UX Diskussionen gefragt, wie ihr zur Zeit VPN Tunnel überwacht.
Die häufigste Antwort war „Ich pinge die Gegenstelle.“
Leider ist das nicht wirklich ausreichend. In vielen Konfigurationen hat das andere Ende des Tunnels keine direkte IP Adresse, oder es gibt verschiedene je nach Datenverkehr, also wird meist irgendwas am anderen Ende angepingt.

Das wiederum kann mit der Herausforderung kommen, dass die Gegenstelle aus Sicherheitsgründen nicht auf Ping antwortet.

Oder, noch schlimmer, wenn Pakete plötzlich nicht mehr zurück geliefert werden – das kann oft ein Problem mit der antwortenden Maschine anstatt dem Tunnel sein.
Das ist eine ganze Menge Arbeit, erfordert manuelles Nachforschen, ist nicht präzise und, vor allem, bringt nicht viel. Es zeigt lediglich den Status (up/down) an, aber keinerlei Grund, warum etwas gerade nicht aktiv ist.
Wenn der Tunnel down ist, wo muss sich ansetzen?
Wann hat es zuletzt funktioniert?
Wenn der Tunnel läuft, wieviel Datenverkehr wird gerade generiert?

 

Wenn man bedenkt, dass VPN Tunnel mit WAN Verbindungen gleichzusetzen sind – es werden Standorte verknüpft, oder aber Clouds – wird klar, dass die Tunnel als kritisch anzusehen sind, und Probleme so schnell wie möglich beseitigt werden müssen.

Nachdem Network Insight für Palo Alto aktiviert worden ist, wird Network Performance Monitor (NPM) automatisch die VPN Tunnel erkennen und anzeigen.

Das Site-to-site Element zeigt Details zu jedem Tunnel an:

 

 

Ein paar Dinge sollte man sich genauer anschauen.
Alle Tunnel zeigen Quell- und Ziel-IP. Wenn die Ziel IP bzw. das Gerät schon überwacht wird, vielleicht eine andere PA oder ASA, wird direkt auf den Knoten verlinkt, wie bei der 192.168.100.10 auf dem Screenshot.

Ebenso wird der Name des Tunnels angezeigt, sofern einer vorhanden ist.

Es werden unterschiedliche Informationen für Tunnel je nach Status angezeigt. Wenn ein Tunnel down ist, sieht man Zeit/Datum der Statusänderung. In den meisten Fällen sieht man auch, in welcher Phase der Tunnel gescheitert ist.

Das ist typischerweise die erste Information, die man für das Troubleshooting benötigt.

 

Bei aktiven Tunneln wird Zeit/Datum des Verbindungsaufbaus angezeigt und welche Verschlüsslung in Benutzung ist, inklusive des Hashs.

Die letzten zwei Spalten sind von besonderem Interesse – sie zeigen die Bandbreite an.
Bandbreite kann, durch die Verschlüsslung, ein Problem darstellen. Mit einem Tool zur Datenverkehrsanalyse kann die Bandbreite anhand der beiden kommunizierenden IP Adressen nach der Verschlüsslung identifiziert werden. Das ist ein bisschen Arbeit und zeigt nur die Gesamtanzahl übertragener Pakete bzw. Bytes an. Man hat keine Einsicht in die Anwendungen oder die tatsächlichen Endpunkte.

 

Wenn man sich Flows vor dem Verschlüsseln anschaut, sieht man zwar die direkten Endpunkte, aber das Filtern nach Anwendungen wird schwierig, und letzten Endes weiss man nicht, was genau es durch den Tunnel geschafft hat. Der Overhead durch die Einkapselung wird ignoriert.
Und das Ganze vor dem Hintergrund, dass VPN Tunnel über die WAN Verbindung laufen, was häufig ein sehr hoher Kostenfaktor ist.

 

Network Insight für Palo Alto zeigt die tatsächliche Bandbreite jedes einzelnen Tunnels an. Die Datensätze sind normalisiert und erlauben somit das Erstellen von Berichten für die Kapazität/Auslastung, sowie die Alarmierung für den Fall, dass sich etwas verabschiedet.
Aber wir wären nicht SolarWinds, wenn wir die Daten nicht auch im PerfStack Dashboard der Plattform bereit stellen würden:

 

 

 

GlobalProtect VPN Überwachung

 

Ich stelle eine Behauptung auf:
Wenn jemand ein Problem mit einer Endpunkt-VPN Verbindung hat, ist es meistens jemand aus der Führungsetage.

Würdet ihr zustimmen?

 

Das beim Troubleshooting von Endpunkt-VPNs ist, dass man meisten nicht wirklich viele Daten hat, bis man den Laptop tatsächlich in den Händen hält, und eine Antwort wie „Keine Ahnung was da los ist“ lässt Zweifel an der Kompetenz aufkommen.
Network Insight für Palo Alto überwacht GlobalProtect und erstellt einen Eintrag für jede einzelne Verbindung:

 

 

Dadurch kann man auf einige Probleme schließen. Wenn z.B. der gleiche User permanent Verbindungsprobleme hat, liegen lokale Probleme vor. Vielleicht einfach nur ein falsches Passwort.
Wenn jedoch keiner mehr Verbinden kann, liegt ein Problem mit der Firewall vor oder der Verbindung zum System für die Authentifizierung.

 

 

Datenverkehr nach Regel

 

Sogar Netflow Traffic Analyzer (NTA) trägt zum Network Insight bei. Wir haben Teile von NTA mit NCM integriert, und wenn beide Module vorhanden sind, kann man den Flow anhand einzelnen Policies einsehen.

Das beantwortet viele Fragen, wie z.B. „Wer oder was mag von einer Regeländerung beeinflusst werden?“ aber vereinfacht natürlich auch retrospektives Troubleshooting.

Es gibt verschiedene Wege, um die Daten anzusehen, hier starten wir auf der Detailseite des Knotens und klicken links auf Policies:

 

 

Dort wählen wir eine Regel von der Übersicht aus:

 

 

Und schließlich öffnen sich die Policy-Details:

 

 

Auf der linken Seite sieht man ein paar Daten zur Regel sowie die exakte Konfiguration.
Die Übersicht auf der rechten Seite ist nicht wie üblich nach Knoten oder Interface gefiltert, sondern tatsächlich nach der Policy, die den Datenfluss regelt.
Die angezeigten Endpunkte befinden sich in einer der konfigurierten Firewall-Zonen und die die Konversationen selbst definieren sich über die Application-IDs die in den Regeln gefunden werden.

Das sind wertvolle Informationen für jeden, der Regeln plant oder ändert, da hier grafisch aufbereitet wird, welchen Einfluss eine Änderung auf den Produktiv-Betrieb haben kann.

Für diese Ansicht werden sowohl NCM als auch NTA benötigt und NTA hat NPM als Voraussetzung.

 

 

Da kommt noch was – User Device Tracker

 

In den meisten Fällen benötigt User Device Tracker (UDT) lediglich SNMP Zugangsdaten, um Informationen über Ports und verbundene Endpunkte zu sammeln.

Bei manchen Geräten jedoch werden diese Informationen nicht oder nur limitiert über SNMP bereitgestellt, z.B. Cisco Nexus 5K, 7K und 9K, und Palo Alto! Hier wird die CLI benutzt.

Der CLI Zugriff kann entweder per Gerät oder im Bulk eingerichtet werden.

 

 

Nachdem die Auswahl der Geräte getroffen wurde, werden die Eigenschaften editiert:

 

 

Etwas weiter unten befinden sich die CLI Einstellungen:

 

Es ist wichtig, L3 Polling zu aktivieren:

 

 

Danach wird UDT die Endpunkte anzeigen, hier ein Bild von einem NX-7K:

 

Viel Spass mit dem neuen Network Insight!

Hallo Zusammen,

 

Um mal ein paar Buzzwords in den Raum zu werfen: AI, ML, Container, Automation und sogar Quantencomputer…ihr habt sicherlich das eine oder andere schon gehört. Des Öfteren.

Vielleicht sogar schon vom oberen Management zusammen mit der Frage „Warum setzen wir das noch nicht ein? Es klingt so großartig.“

 

Neue Technologien erfordern auch neues Wissen, und dabei möchten wir euch helfen.
Ein oder zweimal im Jahr starten wir eine Umfrage nach aktuellen Themen die euch bewegen, damit wir unsere Trainings daran anpassen können, wie z.B. unsere Lab-Episoden oder das THWACKcamp.

 

Jetzt ist euer Input gefragt!

  • Bis zum 09.08. kann die Umfrage hier ausgefüllt werden
  • THWACK® Benutzername mit angeben
  • Bis zum 16.08. werden euch 500 Punkte gutgeschrieben

 

Vielen Dank!

Hi there!

 

Some of you already know we invite our European Channel Partners to an event here in Ireland once a year.
Here are a few pictures from last February:

 

 

The next Partner Summit happens in September, but for the first time, we’ll be outside of Ireland. We’re coming to Berlin instead!

Like in Cork, we’re inviting all partners, and have two tracks – one is technical, the second, commercial.

For the technicians, the event will last five days, as we’re running a full SolarWinds Certified Professional® (SCP) bootcamp focused on Access Rights Manager (ARM) and Security Event Manager (SEM), including an option to sit an exam on Friday.

For the first time, this is an opportunity to earn the latest SCP certification, ARM.

The commercial track runs all day Tuesday and half of Wednesday, and we’ll be discussing our partner strategy and showing what’s new and what we’re planning for the next couple of months.

There will also be entertainment and proper food!

While we’re still working on the details, you can check the up-to-date agenda here.

WHEN                   September 2 – 6, 2019
WHERE                 Berlin, Abion Spreebogen Hotel

 

See you there!

kdoha

Thank you!

Posted by kdoha Expert May 28, 2019

          Just completed a one-week Partner Boot Camp and found it very informative and engaging. A big thanks to Ed, Amy and Sarah!

Habt ihr ein paar Minuten Zeit?

 

Vogel IT-Medien führt gerade wieder die jährlichen „Reader’s Choice“ Kampagnen durch und SolarWinds ist gleich zweimal nominiert.

 

Einmal nominiert im Bereich Netzwerk-Überwachung ist unser Network Performance Monitor (NPM), und die Auszeichnung wird über IP-Insider vergeben.
Zur Umfrage geht es hier.

 

Bei der zweiten Auszeichnung ist Security Event Manager (SEM, vorher LEM) in der Kategorie SIEM beim Security-Insider nominiert und die Umfrage findet sich hier.

 

Aber!

Dort findet sich auch die Kategorie Access Management, bei der unser Access Rights Manager (ARM) nicht nominiert worden ist. Hier kommt ihr jetzt ins Spiel.
Bei der entsprechenden Position gibt es die Option ein ungenanntes Produkt vorzuschlagen.
Wenn ihr der Meinung seid, dass ARM dort auch unter die Besten gehört, tragt bitte „SolarWinds“ ein.

 

Die Umfragen laufen bis zum 31.August und ein Repräsentant der Firma kann die Preise in Augsburg im Oktober in Empfang nehmen.

 

Ich war noch nie in Augsburg. *zaunpfahl*

 

Leute, ihr müsst mehr Patchen.

 

Im April hatte ich die Gelegenheit auf vier verschiedenen Events mit IT Profis zu reden.
In Deutschland und UK, mit dem privaten sowie öffentlichen Sektor, mit Militär und Regierungen.
Und überall das gleiche Problem: Patching.

 

Das kann doch nicht so schwer sein! Was habe ich nicht alles gehört. Es fängt an mit:

 

 

„Ehrlich gesagt weiss ich gar nicht, welche Software in meinem Unternehmen im Umlauf ist.“


Die Aussage tut so weh.
Unglücklicherweise ist das tatsächlich ein Problem und nicht immer simpel zu lösen.


Vor ein paar Jahren war ich bei einem Hersteller von Computergames beschäftigt, und die Umgebung war damals noch „locked down.“
Hat Vorteile.
Die Endbenutzer sind keine lokalen Admins, also kein Wildwuchs bei der installierten Software.
Nach dem Erstellen einer Baseline weiss die IT genau, was wo bei wem installiert ist. Man braucht nur wenige Pakete unterstützen, und man braucht nur wenig Glaskugel, um das Verhalten der Geschäftssoftware bei einem neuen Patch vorab einzuschätzen.

 

Um meine eigenen Erfahrungen weiter zu nutzen; ich war auch ein paar Jahre bei einem anderen Unternehmen als Manager im technischen Support tätig.
Dort hatte ich zwar ausreichende Rechte um Software zu installieren, mein Team jedoch nicht. Wie nennen wir das…selektives Misstrauen?

 

Bei meinem aktuellen Arbeitgeber gibt es dagegen das Prinzip „Grundvertrauen“ nach Schulung der Mitarbeiter.

Die Vorteile dieses Systems liegen ebenfalls auf der Hand: Die Produktivität wird nicht gehemmt.

 

Die Diskussion, welche Regelung nun die Beste ist, überlasse ich anderen.

Klar ist jedoch, dass der Bedarf eines aktiven Software-Inventars bei der dritten Option absolut unabdingbar ist. Eine Baseline reicht hier nicht aus auf Grund der Dynamik.

Es gibt verschiedene Lösungen zur Inventarisierung bei der Suchmaschine eures Vertrauens, und wir sehen von handgestrickten PowerShell Scripts die manuell eine CSV befeuern bis zu omnipotenten Asset Management Systemen die sogar Bestellprozesse unterstützen.

 

Okay, der Punkt ist also valide, aber es gibt verschiedene Lösungsansätze für die jeweilige Situation.
Ich muss wissen mit welchen Paketen ich es zu tun habe, bevor ich eine Patch-Strategie entwickeln kann.
Weiter geht’s.


„Es gibt ständig neue Versionen von X und Y. Es ist schwierig, auf dem aktuellen Stand zu bleiben.“

 

Nö, ist es nicht.
Es gibt viele Webseiten die genau dafür existieren. Ich stelle auch die Behauptung auf, dass jeder IT Pro jeden Tag etwas Zeit auf generellen IT News Webseiten verbringt; das sollte zum Job gehören, und dort wird zumindest über die wichtigsten Updates berichtet.
Man kennt ja die üblichen Verdächtigen.

Eine Alternative wären Newsletter und man lässt sich dadurch auf dem Laufenden halten. Ist nur keine Alternative für mich, ich stehe mit Newslettern auf dem Kriegsfuß.

Luxuriöser wird es dann mit entsprechender Software. Auch hier gibt es wieder verschiedene Optionen wie Freeware, ebenso wird in manchen Unternehmen ein Desktop Security Client eingesetzt der solche Funktionen mitbringt, oder aber eine spezifische Lösung zu diesem Thema.


Der Zeitaufwand hierfür ist wirklich gering. Ab geht’s zum nächsten Punkt.

„Ich komme mit dem Testen nicht hinterher.“

 

Mein erster Gedanke war „Wirklich?“ aber ja, manchmal kann das immer noch ein Problem sein. Ein ernsthaftes.


Die gute Nachricht zuerst: Früher war alles Schlimmer!

Als wir noch eine geschätzte Million Desktopanwendungen genutzt haben, von denen die Hälfte auf obskuren Frameworks basierte, war das Testen ein Alptraum.

Wenn ich heute mal auf meinen eigenen Desktop schaue, so schreibe ich diesen Text im vermutlich am weitesten verbreiteten Textverarbeitungsprogram der Welt, aber das ist neben seinen Kollegen aus dem gleiche Paket und einem SSH Client auch so ziemlich die einzige Desktop-Anwendung die ich noch nutze. Alles andere wird über den Browser bedient und das wird bei vielen von euch ziemlich ähnlich sein.
Tatsächlich könnte ich den Text auch im Browser schreiben, aber manchmal bin ich einfach old-school. Moment, habe ich gerade manchmal geschrieben?

 

Aber natürlich gibt es noch verteilte Anwendungen mit „fat clients“, dringend benötigten lokalen Komponenten. Gerade in Behörden wird stellenweise noch mit Software gearbeitet die vermutlich beim geringsten Windhauch zu Staub zerfällt und nur unter sehr kontrollierten Bedingungen überhaupt lauffähig ist.

Da muss man testen. Sorry, kein Workaround verfügbar.
Jeder hat eine Kopie einer Produktivumgebung auf einer VM mit aktuellem Snapshot, aber meiner Erfahrung nach hat nicht jeder ein Testprotokoll dem Folge geleistet wird, was dann trotz dem Testen noch Überraschungen zur Folge haben kann.
Tatsächlich kostet das Erstellen eines Protokolls erst einmal Zeit, aber die wird locker wieder rausgeholt.

 

Das gibt mir das Stichwort zum nächsten Kommentar:

 

„Ich habe keine Zeit.“

 

Das ist wieder so ein Ding!
Klar, unabhängig von der jeweiligen Position hat man etliche Dinge in der IT um die man sich kümmern muss und manche haben eine höhere Priorität als andere. Jeder von uns kennt die Tage an denen uns die Dinge geradezu um die Ohren fliegen.
Aber was ist wichtiger als ein real existierendes Sicherheitsproblem? Und wessen Kopf liegt auf dem Silbertablett, wenn ein erfolgreicher Breach mit 10 Minuten Routineaufgaben am Tag vermeidbar gewesen wäre?
Ich bin mir sicher, dass das Ticket vom Karl-Heinz aus der Buchhaltung noch ein paar Minuten länger warten kann.

 

Nehmt euch die Zeit, plant vorab, nutzt sie sinnvoll, und vor allem: Dokumentiert, wenn ihr aktiv werdet. Das erleichtert das Leben auch abseits eines Ernstfalles.

 

Patching ist so wichtig.
Ich bin immer wieder erstaunt, wenn Probleme bekannt werden, bei denen eine Sicherheitslücke ausgenutzt worden ist, die der Hersteller schon vor sechs Monaten beseitigt hat. Nein, eigentlich bin ich nicht erstaunt, sondern traurig.
Cyber Security ist ein komplexes Thema, und das Antizipieren von Angriffsvektoren kann eine Vollzeitstelle erfordern.

 

Aber Software aktuell zu halten ist jetzt nicht wirklich Raketenforschung.

Selbst wenn im Unternehmen oder in der Behörde gerade die finanziellen Mittel knapp sind und der Erwerb einer spezialisierten Softwarelösung, die alle oben genannten Themen mehr oder weniger automatisiert, nicht realisierbar ist, kann das Erstellen eines Planes und das Benutzen von kostenlosen Tools zumindest helfen, die Risiken zu mindern.
Auch das Paretoprinzip ist keine Raketenforschung.

 

Was habe ich auf den Messen noch gehört? Ah, das war lustig:

 

„Ich weiss gar nicht, ob sich bei uns jemand darum kümmert.“

 

Der Gipfel des Dramas! Das war vermutlich ein Entwickler. Oder Karl-Heinz aus der Buchhaltung.

I have added a new node in NPM and currently there are hundreds of interfaces that I am trying to plot, however, I just want to plot INTERFACE TRAFFIC STATISTICS of all the interfaces. Is there any way I can do that for all the interfaces in bulk?

Hi,

 

As seen in below screenshot Percent Loss indicates nodes Packet Loss status and percent loss is confusing word for it.

 

Is it correctable to Packet Loss ?

 

RaviK csameer abdhijasharma

SolarWinds uses cookies on its websites to make your online experience easier and better. By using our website, you consent to our use of cookies. For more information on cookies, see our cookie policy.