GFI LANguard SmartGuide

GFI LANguard SmartGuide
EINLEITUNG
Willkommen zu GFI LANguard: Ihre Rundumlösung für Patch-Management, Schwachstellen-Scans und NetzwerkAuditierung. GFI LANguard („LANguard“) scannt Ihr Netzwerk und zugehörige Ports und erkennt, bewertet und
korrigiert Sicherheitsschwachstellen mit minimalem Verwaltungsaufwand.
Dieses Handbuch bietet Ihnen eine allgemeine Übersicht über das Produkt LANguard und seine Funktionsweise.
Zudem werden schnelle und wirkungsvolle Nutzungsmöglichkeiten des Produkts erläutert und die erfolgreiche
Planung der Bereitstellung beschrieben.
In diesem Handbuch finden Sie:
1.
2.
3.
Eine Übersicht der Vorteile von LANguard für Ihren Betrieb
Sechs wichtige Punkte vor der Bereitstellung von LANguard
Pflegemaßnahmen für die Sicherheit und Aktualität Ihrer Computer zur bestmöglichen Nutzung von
LANguard
Weiterführende Dokumentation finden Sie an folgenden Stellen:
1.
2.
3.
GFI LANguard Häufige Fragen (FAQ) – http://kbase.gfi.com/showarticle.asp?id=KBID001966
GFI Knowledge Base – http://kbase.gfi.com
GFI LANguard Dokumentation – http://www.gfisoftware.de/lannetscan
Sollten Sie nach der Lektüre des SmartGuide noch Fragen haben, helfen wie Ihnen hier gerne weiter.
GFI LANguard Übersicht
Beginnen wir mit einer Funktionsübersicht von GFI LANguard. Vereinfacht ausgedrückt führt LANguard durch die drei
Eckpfeiler des Schwachstellen-Managements – Patch-Verwaltung, Schwachstellenprüfung und Netzwerkauditierung –
das Scannen, Analysieren und Korrigieren Ihres Netzwerk durch.
LANguard scannt manuell oder nach Zeitplan Ihr Netzwerk auf Sicherheitsrisiken und sammelt sicherheitsrelevante
Informationen. Hierzu gehören Sicherheitsschwachstellen, fehlende Patches, offene Ports, offene Freigaben, Benutzer
und Gruppen, installierte Anwendungen, Hardware-Ausstattung usw.
Anhand der Scan-Ergebnisse können Sie anschließend den Zustand Ihres Netzwerks analysieren. GFI LANguard stellt
Werkzeuge zur Verfügung, mit denen sich die Scan-Ergebnisse durchforsten und untersuchen lassen; jedem gescannten
Computer wird anhand der bei der Auditierung festgestellen Punkte eine Schwachstellenpriorität zugewiesen, die in
Berichte und Vergleichsergebnisse einfließt. Einige dieser Berichte und Scans befinden sich im Exhibit A here.
GFI LANguard unterstützt Sie anhand des Scans und der Analysen weitestgehend automatisch bei der Behebung von
Sicherheitsrisiken.
Nach der Ausführung eines Basis-Scans können Sie eventuelle Differenzen oder Veränderungen der
Sicherheitskonfigurationen aller Computer im Netzwerk herausfinden. Anschließend entscheiden Sie geeignete
Maßnahmen, beispielsweise das Einspielen fehlender Microsoft-Sicherheits-Patches und -Service Packs, das Rollback eines
Microsoft-Updates, die benutzerdefinierte Bereitstellung von Software und Skripten, das Deinstallieren nicht genehmigter
Anwendungen, das Öffnen von Remote-Desktop-Verbindungen zu gescannten Computern usw. All diese Maßnahmen
gewährleisten, dass Ihre Systeme aktualisiert werden und die neuesten Sicherheits-Patches eingespielt sind.
Die Erfahrung bestätigt, dass unsere Kunden GFI LANguard im Allgemeinen mit folgenden Absichten lizenzieren:
GFI Software | www.gfisoftware.de
PATCH-VERWALTUNG
•
Erkennen und Bereitstellung fehlender Patches
SCHWACHSTELLEN-SCANS
•
•
Scannen des Windows-Betriebssystems oder von Anwendungen
Erkennen und Schließen offener Freigaben, Ports usw.
NETZWERK-AUDITIERUNG
•
•
•
•
•
Netzwerk-Überwachung
Netzwerk-Auditierung
Erkennen, auf welchen PCs welche Software installiert ist
Change-Management – bei Veränderungen
Identifizieren von Geräten im Netzwerk
SECHS WICHTIGE PUNKTE VOR DER BEREITSTELLUNG VON GFI LANGUARD
Vor der Bereitstellung vom GFI-LANguard sind sechs Punkte zu klären. Ein Verständnis dieser Punkte ist wichtig, bitte
kontaktieren Sie uns, falls Sie nach der Lektüre des folgenden Abschnitts noch Fragen haben.
1.
2.
3.
4.
5.
6.
Lizenzierung
Systemanforderungen für die Installation
Scan-Profile – Das müssen Sie wissen
Auswählen der richtigen Datenbank
Leistungstipps für das Scannen
GFI LANguard-Filterung und/oder -Berichterstellung
1. LIZENZIERUNG
Die Lizenzierung von GFI LANguard erfolgt anhand der Anzahl zu scannender („aktiver“)* IP-Adressen. Beispiel:
1.
2.
3.
Der von Ihnen verwendete IP-Bereich sei 192.160.1.1 bis 192.160.1.254.
In diesem Bereich befinden sich 20 aktive IP-Adressen, die gescannt werden sollen – das entspricht 20
lizenzierten, aktiven IP-Adressen.
Wenn sich jedoch in diesem Bereich mehr als 20 aktive IP-Adressen befinden, jedoch in GFI LANguard
nur 20 IP-Adressen lizenziert wurden, dann werden NUR die ersten 20 aktiven IP-Adressen gescannt
(darüber hinausgehende aktive IP-Adressen werden ignoriert).
*Eine „aktive“ IP-Adresse ist eine erreichbare IP-Adresse, die über eine Verbindungsanfrage in Form von NETBIOSAnfragen, SNMP-Abfragen und/oder ICMP-Pings verfügbar ist.
2. SYSTEMANFORDERUNGEN FÜR DIE INSTALLATION
Systemanforderungen: Hardware
Die Hardwareanforderungen sind von der Netzwerkgröße abhängig. Folgende Tabelle zeigt die empfohlene
Mindestspezifikation für verschiedene Netzwerkgrößen.
2 | www.gfisoftware.de/languard
1 bis 10 Scan-Ziele
10 bis 500 Scan-Ziele
500 bis 1500 Scan-Ziele
Prozessor
1 GB
2 GHz
2 x 3 GHz Quad Core
Arbeitsspeicher
1 GB
2 GB
10 GB
Speicher
1 GB
2 GB
4 GB
Bandbreitennutzung
256 KBps
256 KBps bis 550 KBps
256 KBps bis 550 KBps
Systemanforderungen: Software
Unterstützte Betriebssysteme (x86 oder x64)
•
Microsoft Windows Server 2008 Standard/Enterprise
•
Microsoft Windows Server 2003 Standard/Enterprise
•
Microsoft Windows 2000 Professional/Server/Advanced Server (ab SP4)
•
Microsoft Windows 7 Ultimate
•
Microsoft Windows Vista Business/Enterprise/Ultimate
•
Microsoft Windows XP Professional (ab SP2)
•
Microsoft Small Business Server 2008 Standard
•
Microsoft Small Business Server 2003 (SP1)
•
Microsoft Small Business Server 2000 (SP2)
Unterstützte Datenbanken
•
Microsoft Access
•
Microsoft SQL Server 2000 oder spätere Version
•
MSDE/SQL Server Express Edition
Sonstige Serverkomponenten
Folgende Komponenten müssen auf dem Server installiert sein, auf dem GFI LANguard installiert ist:
•
Microsoft .NET Framework 2.0
Komponenten der Zielcomputer
Folgende Komponenten müssen auf den Zielcomputern für GFI LANguard installiert sein, damit diese gescannt
werden können:
•
Windows Management Instrumentation (WMI) – Erforderlich für das Scannen Windows-basierter ScanZiele. Ist Bestandteil aller Windows-Betriebssysteme ab Windows 2000 (typische Windows-Umgebung).
•
Secure Shell (SSH) – Erforderlich für UNIX-basierte Scan-Ziele. Im Allgemeinen Teil bekannter
UNIX/Linux-Distributionen.
•
SAMBA (SMB) server – Erforderlich für UNIX-basierte Scan-Ziele. Im Allgemeinen Teil bekannter
UNIX/Linux-Distributionen.
3.
SCAN-PROFILE – DAS MÜSSEN SIE WISSEN
Im Lieferzustand enthält LANguard bereits eine umfangreiche Liste mit Scan-Profilen*. Eine Liste aller verfügbaren ScanProfile ist unter folgendem Link abrufbar: http://support.gfi.com/manuals/de/lanscan9/lanscan9manual_de.1.43.html
Die drei allgemeinsten vordefinierten Profile sind:
1. Vollständige/Kombinierte Scans
2. Scans zur Schwachstellen prüfung
3. Netzwerk- und Software-Auditierungs-Scans
*Scan-Profile: Ein Scan-Profil ist eine Gruppe von Kriterien, die einen Scan definieren. LANguard verfügt über mehrere
anpassbare, vordefinierte Profile und es lassen sich eigene, benutzerdefinierte Profile erstellen.
3 | www.gfisoftware.de/languard
4. AUSWÄHLEN DER RICHTIGEN DATENBANK
Jedesmal, wenn ein Scan ausgeführt wird, wird das Ergebnis in einer Datenbank abgelegt. Hierzu lassen sich drei
Microsoft-Datenbanksysteme nutzen. Die Auswahl der Datenbank richtet sich nach der Größe des gescannten
Netzwerks, der Häufigkeit der Scans und den durchgeführten Scantypen (z. B. vollständig, teilweise usw.)
•
•
•
Microsoft Access (LANguard enthält eine Microsoft Access-Datenbank, Access muss jedoch nicht
installiert sein.)
Microsoft SQL Express
Microsoft SQL Server
Im Folgenden finden Sie einige Links zu Lizenzierungsinformationen von Microsoft bezüglich Microsoft SQL-Server,
falls Sie dieses Produkt als bevorzugte Datenbank einsetzen möchten und Fragen zur Lizenzierung haben.
SQL 2008, SQL 2005, SQL Express 2008
Wie immer hilft Ihnen auch Ihr Microsoft-Vertriebspartner gerne weiter.
Die mit GFI LANguard gelieferte Microsoft Access-Standarddatenbank für Scan-Ergebnisse ist für große
Netzwerke nicht ausreichend. Der Wechsel zu einer Microsoft SQL Server-Datenbank muss bei
Netzwerkgrößen ab 250 aktiver IP-Adressen/ Computern unbedingt in Erwägung gezogen werden.
(Ein Computer-Scan produziert mehr Informationen als etwa ein Drucker).
* HINWEIS: GFI repräsentiert in keiner Weise Microsoft und bietet auch keine Microsoft-Produkt-Lizenzen an.
Aufgrund der Vielfalt möglicher interner Systeme, Anwendungen und Daten kann dieses SmartGuide-Handbuch.
hinsichtlich der Auswahl des Datenbanksystems und der Hardware-Anforderungen lediglich Empfehlungen zu
bestimmten Punkten bei der Implementierung von GFI LANguard-Lösungen geben. Es handelt sich ausschließlich um
einen Ratgeber.
5. LEISTUNGSTIPPS FÜR DAS SCANNEN
Im Folgenden finden Sie Vorschläge für effektivere Scans:
•
Falls Sie die Bandbreitennutzung reduzieren möchten (z. B. bei langsamen Netzwerken) sollten Sie das
Profil „Vollständige/Kombinierte Scans (Komplett-Scans – Langsame Netzwerke) in Abschnitt 7 „ScanProfile“ des LANguard-Handbuchs in Betracht ziehen, das hier abrufbar ist.
•
Falls Sie einen vollständigen Scan des Netzwerks durchführen möchten: Je größer und komplexer Ihr
Netzwerk ist, desto länger dauert der Scan. Mit der Standardeinstellung von LANguard können drei
gleichzeitige IP-Adressen gescannt werden. Um die Zeitspanne für das Scannen Ihres Netzwerks zu
verringern, können Sie die Standardeinstellung auf bis 10 IP-Adressen erhöhen. WICHTIG ist jedoch,
dass der Zeitgewinn mit einer höheren Netzwerkauslastung einhergeht.
Weitere Informationen finden Sie unter Empfehlungen für das Scannen großer Netzwerke
mit GFI LANguard.
•
Ein vollständiger Scan kann lange dauern. Daher empfehlen wir, zuvor einen Test-Scan auf einem
representativen Teilbereich Ihres Netzwerks durchzuführen, um die richtige Konfiguration der
Umgebung sicherzustellen. Ein kleiner Test-Scan zeigt beispielsweise schnell Fehler, die vor der
Durchführung eines Scans aller aktiven IP-Adressen im Netzwerk behoben werden können, z. B. „Keine
Verbindung zu WMI oder Remote-Registry möglich“.
•
Beim Scannen des Netzwerks kann es zu Problemen mit Sicherheits-Software (z. B. Virenschutz)
kommen. Diese Probleme können durch kurzgefasste Konfigurationsempfehlungen vermieden werden.
Einzelheiten hierzu erfahren Sie unter http://kbase.gfi.com/showarticle.asp?id=KBID002344
4 | www.gfisoftware.de/languard
•
Standardmäßig sperren einige Firewall-Anwendungen (beispielsweise die eingebaute Firewall von
Windows XP Service Pack 2) bestimmte Ports und Dienste. Dadurch können die Ziel-Computer im
Netzwerk nicht zu entdecken sein, oder die Scan-Genauigkeit kann negativ beeinflusst werden.
Nehmen Sie an den Firewalls der Ziel-Computer folgende Änderungen vor. Dabei muss nur die
IP-Adresse des Computers festgelegt werden, auf dem LANguard installiert ist



Datei- und Druckerfreigabe aktivieren
Port 135 für den Nachrichtenversand aktivieren
Windows Management Instrumentation-Traffic (WMI) aktivieren
Es wird empfohlen, pro Scan nicht mehr als 2000 IP-Adressen zu scannen. Dies stellt keine
Einschränkung von GFI LANguard dar, wird jedoch zur Begrenzung der Scan-Dauer empfohlen.
Achten Sie darauf, ein Scan-Profil einzusetzen, das nur die benötigten Operationen durchführt (z. B.
nicht das Profil „Vollständiger Scan“ verwenden, nur um nach offenen Freigaben zu suchen – PortScanning ist ein sehr zeitintensiver Vorgang, der in einen separaten Scan-Vorgang ausgegliedert
werden sollte.)
Beim Scannen von IP-Bereichen ist es sinnvoll, bestimmte Geräte wie Drucker, IP-Telefone usw zu prüfen
und ggf. vom Scan auszuschließen.
Bei weitergehenden Fragen bezüglich des Scannens oder zur Performanzsteigerung helfen wir Ihnen gerne
hier weiter; zusätzliche technische Artikel finden Sie hier.
6. GFI LANGUARD-FILTERUNG UND/ODER BERICHTERSTELLUNG
GFI LANguard ist ein leistungsstarkes Werkzeug zum Scannen, Analysieren und Korrigieren Ihres Netzwerk. LANguard
stellt Informationen bereit, mit dessen Hilfe Sie Patch-Verwaltung, Schwachstellen-Scans und Netzwerk-Auditierungen
effektiv durchführen können. Der Datenbestand ist jedoch nur die Hälfte der Ergebnisse, die Sie von LANguard
erhalten. Zur Zusammenfassung der Scan-Resultate stehen Ihnen zwei verschiedene Methoden zur Verfügung:
Ergebnisfilterung und das GFI LANguard ReportPack.
•
Ergebnisfilterung: Über die LANguard-Schnittstelle können Sie eigene Filter erstellen (z. B. „On-the-fly“,
„Schnell“, „Einfacher Bericht“). Die Scan-Ergebnisse ensprechen im Allgemeinen einem hohen
Datenaufkommen. Die Ergebnisfilterung dient dazu, nur bestimmte Informationen für einen konkreten
Zweck (z. B. Ermitteln fehlender Patches im System) zu ermitteln. Die Ergebnisfilterung kann auf einen
aktuellen Scan angewendet werden, oder auf einen Scan aus der Datenbank.
Die für das Erstellen eines Ergebnisfilters notwendigen Schritte werden hier beschrieben.
•
GFI LANguard ReportPack: Fester Bestandteil des Produkts (als separater Download hier erhältlich) ist
das einfach zu nutzende Berichtsmodul GFI LANguard ReportPack
Die in ReportPack zur Verfügung stehenden Berichte sind dem Bedarf typischer Organisationen
angepasst: Die Berichte umfassen allgemeine grafische Übersichten für das Management (z. B. TrendBerichte) und auch detaillierte Berichte und Scans (z. B. tägliche Drill-down-Berichte) für Techniker. Im
Management ist bekannt, dass eine Grafik mehr als tausend Worte sagen kann.
Folgende Berichtstypen sind beispielsweise in LANguard ReportPack enthalten:



Executive-Berichte: Informationen zur Übersicht und Trend-Analyse durch grafische
Berichte. Beispiele für Executive-Berichte: Übersicht über Netzwerkschwachstellen und
Netzwerkschwachstellen-Trend.
Statistikberichte: Informationen über Schwachstellen und Betriebssystemverteilung im
Netzwerk.
Beispiele für Statistikberichte: Betriebssystem-Service Pack-Verteilung,
Schwachstellenverteilung nach Host und Schwachstellenverteilung nach Betriebssystem.
Technische Berichte: Informationen über Schwachstellen, fehlende Patches und
Trojaner.
Beispiele für technische Berichte: Installierte Patches nach Host, Fehlende Patches nach
Betriebssystem, Offene Trojaner-Ports nach Host und Schwachstellenlisting nach Host.
5 | www.gfisoftware.de/languard

Top 20-Berichte: Die 20 anfälligsten Hosts nach Anzahl offener Ports, fehlender Patches
oder Trojaner. Beispiele für Top 20-Berichte: Offene Trojaner-Ports, Hosts mit
Schwachstellen aufgrund fehlender Patches und Hosts mit Schwachstellen aufgrund
offener Ports.
WICHTIG: So Installieren Sie GFI ReportPack
1.
2.
Installieren Sie GFI LANguard
Die Standarddatenbank ist Microsoft Access (vorkonfiguriert). Falls Sie das Datenbanksystem Microsoft
SQL Server verwenden möchten, muss SQL Server installiert sein und die Datenbankeinstellungen
müssen für die Verwendung dieses Produkts geändert werden
3. Installieren Sie danach das ReportPack. (BITTE BEACHTEN: Beim Installieren von ReportPack wir zunächst
die Komponente „GFI ReportCenter“ installiert und anschließend GFI LANguard ReportPack.
Das GFI ReportCenter ist eine in allen GFI ReportPacks gemeinsam genutzte Komponente.)
Die vollständige Dokumentation zu GFI LANguard ReportPack finden Sie hier.
So bleiben Ihre Computer sicher und aktualisiert
Nach der Installation von LANguard konfigurieren Sie die Datenbank und installieren das ReportPack. Anschließend
führen Sie einige Scans durch und entdecken dabei Sicherheitsprobleme. Der Sinn dieses Abschnitts ist es,
Lösungsratschläge für häufige Sicherheitsprobleme zu geben. Die drei besprochenen Hauptthemen sind: LANguard
aktuell halten, Erkennen und Beheben fehlender Microsoft-Patches/Service Packs und Erkennen und Beheben anderer
Netzwerk-Schwachstellen.
1.
LANguard aktuell halten
•
•
Achten Sie darauf, dass der Computer, auf dem LANguard installiert ist, einen Internetzugang
besitzt.* LANguard prüft täglich auf mögliche Schwachstellen und fehlende Patches. Jeden
Tag werden neue Sicherheitsschwachstellen entdeckt – wir empfehlen, Ihr Netzwerk
regelmäßig zu scannen.
Wenn ein Proxy-Server verwendet wird, lässt dieser sich über die Option GFI LANguardBenutzerschnittstelle > Hauptmenü > Konfigurieren > Proxy-Einstellungen einstellen.
*Falls auf dem Computer, auf dem GFI LANguard installiert ist, kein Internetzugang möglich ist,
lässt sich das Produkt so konfigurieren, dass die Updates von einer anderen Quelle abgerufen
werden. Weitere Informationen zu diesem Thema finden Sie hier.
2.
Löschen und Korrigieren von Microsoft Patches/Service Packs
Viele Sicherheitsschwachstellen lassen sich durch das Einspielen aktueller Sicherheits-Patches und
Service Packs beheben. Zunächst ist es daher sinnvoll, das Netzwerk auf fehlende Patches zu scannen
(Hinweise hierzu in Abschnitt 7 über das Scan-Profil „Fehlende Patches“ im GFI LANguard-Handbuch,
das hier abrufbar ist). Nachdem Ihr Netzwerk mit GFI LANguard auf fehlende Patches/Service Packs
gescannt wurde, können Sie die fehlenden Patches/Service Packs einfach auf den Ziel-Computern
installieren.
Es wird empfohlen, zunächst die Service Packs zu installieren
Nach dem Bereitstellen der Service Packs wir ein erneutes Scannes des Netzwerks
empfohlen (Sie erhalten dadurch eine aktualisierte Anzeige des Patch-Zustands Ihres
Netzwerks)
Nach dem erneuten Scan sollten eventuell fehlende Patches erst dann installiert werden,
wenn keine weiteren Service Packs verfügbar sind
Probleme mit der Internetbandbreite oder dem Festplattenspeicher

GFI LANguard kann das Repository eines im Netzwerk befindlichen WSUS-Servers
nutzen. Dadurch können zeit- und bandbreitensparend die Patches und Service
Packs verwendet werden, die WSUS bereits heruntergeladen hat. Weitere
Einzelheiten zu diesem Thema finden Sie hier.

Wenn kein WSUS-Server zur Verfügung steht, können Sie die Downloads der
Patches/Service Packs durch LANguard auch per Zeitplanung nach Geschäftsschluss
durchführen lassen.
LANguard kann die Patches/Service Packs-Situation durch Vorabgenehmigung vom
Administrator auch selbstständig korrigieren.
6 | www.gfisoftware.de/languard
3.
Erkennen und Korrigieren sonstiger Netzwerkschwachstellen
Sobald Ihre Computer aktualisiert (gepatched) wurden, empfehlen wir, einen erneuten Scan
durchzuführen, um weitere Schwachstellen oder potenzielle Sicherheitslücken aufzudecken.
•
Anhand der Scan-Ergebnisse können detaillierte Informationen über bestimmte
Schwachstellen abgeleitet werden.
•
LANguard enthält Werkzeuge zur Reparatur von Schwachstellen durch Remote-Deinstallation
(nicht genehmigter) Software oder durch das Installieren von Software oder Skripten, bzw. das
Öffnen von Remote-Desktop-Verbindungen zu Computern usw.
7 | www.gfisoftware.de/languard