Security Management mit verinice - Admin-Handbuch

Transkript

1 Security Management mit verinice - Admin-Handbuch

2 Inhaltsverzeichnis 1. Security Management mit verinice Installation Konfiguration Benutzung Seite 2 von 17

3 1. Security Management mit verinice Mit dem Modul "Security Management" ist es möglich, die CMDB von KIX (als führendes System) so weit wie möglich in verinice abzubilden. Der Sicherheitsbeauftragte, der verinice nutzt, kann dann den IT- Grundschutz auf die übertragenen ConfigItems anwenden. Mit Hilfe der REST-Schnittstelle von verinice und KIX werden die umzusetzenden Maßnahmen anschließend als einzelne Tickets erfasst. Der Artikelinhalt dieser Tickets enthält den Maßnahmen-Beschreibungstext aus verinice. Diese Tickets können dann durch die entsprechende Abteilung in KIX bearbeitet werden. Die Umsetzung der Maßnahmen kann am Ticket protokolliert werden. Dadurch wird der Prozess der Zusammenarbeit beider Abteilungen im Unternehmen unterstützt und eine saubere Übergabe und Dokumentation der Aufgaben gewährleistet. Seite 3 von 17

4 1.1. Installation Voraussetzungen: KIX Professional - aktuelle Version verinice.pro 1.16 oder höher mit entsprechender REST-API Installation: Installieren Sie das Modul Paketname ist "kixpro-security-management". "Security Management" mit der Paket-Verwaltung Ihres Betriebssystems. Der Neue Access Control lists (ACL) Während der Installation wird eine neue ACL als Konfiguration im Admin-Bereich eingetragen. Die ACL blendet den neuen Ticket-Tab Ticket ist. Neuer Tickettyp "verinicetask" "verinice Aufgabeninformationen" aus, falls ein Ticket kein verinice Aufgaben- Dieser neue Tickettyp wurde bei der Installation des Moduls neu angelegt. Dieser Tickettyp wird standardmäßig verwendet, um die Maßnahmen aus verinice in KIX darzustellen. Neue Ticketstatus Bei der Installation des Moduls wurden neue Ticketstatus angelegt: Bezeichnung Funktion Aufgabe neu (Task new) Aufgabe zugewiesen (Task assigned) Aufgabe-Umsetzung (Task implementation) Aufgabe zurückgewiesen (Task rejected) Aufgabe erledigt (Task done) Aufgabenumsetzung akzeptiert (Task Dieser Status wird standardmäßig bei neuen Tickets vom Typ "verinicetask" gesetzt. Dieser Status kann verwendet werden, um anzuzeigen, dass ein Ticket vom Typ "verinicetask" einem Bearbeiter zugewiesen wurde. Dieser Status kann verwendet werden, um anzuzeigen, dass ein Ticket vom Typ "verinicetask" bearbeitet wird. Dieser Status kann verwendet werden, um anzuzeigen, dass ein Ticket vom Type "verinicetask" nicht bearbeitet wird, nicht mehr relevant ist oder auch, dass der falsche Bearbeiter gewählt wurde. Dieser Status kann verwendet werden, um anzuzeigen, dass ein Ticket vom Typ umgesetzt.) "verinicetask" bearbeitet wurde. (Die Maßnahme wurde Dieser Status kann verwendet werden, um anzuzeigen, dass eine Maßnahme aus einem Ticket vom Typ "verinicetask" zufriedenstellend Seite 4 von 17

5 Bezeichnung Funktion implementation accepted) umgesetzt ist, und somit akzeptiert ist. Dieser Status wird standardmäßig für die Aktualisierung einer Maßnahme in verinice verwendet. Neue dynamische Felder Während der Installation werden neue dynamische Felder angelegt: Name Funktion TaskConfigItemID TaskVeriniceCIName TaskMeasureVeriniceID TaskMeasure... TaskMeasureImplentation... Beinhaltet die ID des beteiligten ConfigItems aus KIX. Beinhaltet den ConfigItem-Namen aus verinice. Beinhaltet die ID ("dbid") der Maßnahme aus verinice. Beinhalten Werte zur Maßnahme (bswp. Titel) aus verinice. Beinhalten Werte zur Maßnahmenumsetzung (bspw. Umsetzungsdatum) aus verinice. "TaskConfigItemID", "TaskVeriniceCIName" und "TaskMeasureVeriniceID" werden so weit wie möglich automatisch gesetzt. Alle weiteren Felder werden durch eine Zuordnung befüllt. Neue ConfigItem-Klassen Während der Installation werden neue ConfigItem-Klassen angelegt: Bezeichnung Funktion Server ClientGroup Repräsentiert die Server-Kategorie von verinice. Repräsentiert die Client-Kategorie von verinice. Ein "Client" in verinice ist eine Gruppe von ConfigItems mit gleichen Eigenschaften. Seite 5 von 17

6 1.2. Konfiguration SysConfig-Einstellungen Nach der Installation können Sie einige Einstellungen in der SysConfig vornehmen. Öffnen Sie dafür die SysConfig im Admin-Bereich von KIX. Wählen Sie die Hauptgruppe folgenden Untergruppen aus: Core::Interface Core::Sync Core::Ticket Deamon::SchedulerCronTaskManager::Task Frontend::Agent::KIXSidebarBackend Frontend::Agent::Ticket::ViewTicketZoomTabVeriniceTaskData verinicetask::bsi "verinice4kix" und dann eine der Eine Standard-Konfiguration ist durch die Installation des Moduls bereits gegeben. Sie müssen die Einstellungen in der SysConfig entsprechend Ihrer Anforderungen anpassen. In den folgenden Absätzen finden Sie Erläuterungen zu den Einstellungen in der SysConfig. Bitte beachten: Die SysConfig-Einstellung die Installation aktiviert. "Ticket::EventModulePost###ITSMConfigItemLinkAdd" wird durch SOAP-Schnittstelle - URL SysConfig-Einstellung: Core::Interface###SOAPServiceURL Diese Einstellung definiert die Service-URL für SOAP-Anfragen für die ConfigItem-Synchronisation mit verinice. Bitte beachten: Diese Einstellung ist erforderlich und muss angepasst werden. Seite 6 von 17

7 SOAP-Schnittstelle - Benutzername SysConfig-Einstellung: Core::Interface###SOAPAuthenticationName Diese Einstellung definiert den Benutzername für den Zugriff auf die SOAP-Schnittstelle von verinice. Bitte beachten: Diese Einstellung ist erforderlich und muss entsprechend nach Ihren Gegebenheiten angepasst werden. Der Standard-Benutzername ist "admin". SOAP-Schnittstelle - Passwort SysConfig-Einstellung: Core::Interface###SOAPAuthenticationPassword Diese Einstellung definiert das Passwort für den Zugriff auf die SOAP-Schnittstelle von verinice. Bitte beachten: Diese Einstellung ist erforderlich und muss entsprechend nach Ihren Gegenheiten angepasst werden. Das Standard-Passwort ist "geheim". SOAP-Schnittstelle - SSL SysConfig-Einstellung: Core::Interface###SOAPNoSSLVerify Diese Einstellung deaktiviert die SSL-Zertifikatsvalidierung für die SOAP-Schnittstelle, z. B. falls ein transparenter HTTPS-Proxy verwendet wird. Bitte beachten: Die Aktivierung dieser Einstellung geschieht auf eigene Gefahr! Seite 7 von 17

8 REST-Schnittstelle - URL SysConfig-Einstellung: Core::Interface###RESTServiceURL Diese Einstellung die Service-URL des Hosts für die REST-API von verinice (standardmäßig mit Port "8081"). REST-Schnittstelle - Benutzername SysConfig-Einstellung: Core::Interface###RESTAuthenticationName Diese Einstellung definiert den Nutzername für den Zugriff auf die REST-API von verinice. Bitte beachten: Diese Option ist erforderlich und der Standardwert ist "verinice". REST-Schnittstelle - Passwort SysConfig-Einstellung: Core::Interface###RESTAuthenticationPassword Diese Einstellung definiert das Passwort für den Zugriff auf die REST-API von verinice. Bitte beachten: Diese Einstellung ist erforderlich und der Standardwert ist "verinice". REST-Schnittstelle - SSL SysConfig-Einstellung: Core::Interface###RestNoSSLVerify Diese Einstellung deaktiviert die SSL-Zertifikatsvalidierung für die REST-API, z. B. falls ein transparenter HTTPS-Proxy verwendet wird. Quellenbezeichnung SySconfig-Einstellung: Core::Interface###SourceName Seite 8 von 17

9 Diese Einstellung definiert den Namen der Quellenbezeichnung. Der Name wird für die Synchronisation der KIX CMDB mit verinice verwendet. Damit können CIs ermittelt und aktualisiert werden, die durch eine vorherige Synchronisation mit gleicher Quellenbezeichnung angelegt wurden. Zusätzlich wird die Bezeichnung für die Verknüpfung von verinice Aufgaben-Tickets mit synchronisierten ConfigItems genutzt. Bitte beachten: Die Einstellung ist erforderlich und der Standardwert ist "KIX". Synchronisation - relevante ConfigItem-Klassen SysConfig-Einstellung: Core::VeriniceSync###RelevantCIClasses Diese Einstellung definiert, welche ConfigItem-Klassen in der Synchronisationsansicht verwendet werden können. Der Wert im Feld "Schlüssel" ist die ConfigItem-Klasse. Der Wert im Feld "Inhalt" ist die ID des entsprechenden Objekts in verinice (z.b. "server"). Bitte beachten: Diese Einstellung ist erforderlich. Die möglichen Werte für verinice können Sie aus der Datei "SNCA.xml" von vernice entnehmen. Synchronisation - Attribut - Zuordnungen SysConfig-Einstellung: Core::VeriniceSync###AttributeMapping Diese Einstellung definiert die Zuordnungen (Mapping) für die Synchronisation der ConfigItem-Attribute mit den entsprechenden Attributen des Objekts in verinice. Der Wert im Feld "Schlüssel" muss die ConfigItem- Klasse, gefolgt von einem dreifachen Doppelpunkt (:::) und dem ConfigItem-Attribut sein. Der Wert im Feld "Inhalt" ist die ID des entsprechenden Attributs in verinice. Bitte beachten: Diese Einstellung ist erforderlich. Die möglichen Werte für verinice können Sie aus der Datei "SNCA.xml" von vernice entnehmen. Synchronisation - Attributswert - Zuordnungen SysConfig-Einstellung: Core::VeriniceSync###AttributeOptionMapping Seite 9 von 17

10 Diese Einstellung definiert die Zuordnung (Mapping) für die Synchronisation der verfügbaren Optionen eines ConfigItem-Attributs (Dropdown) mit den Optionen eines Objekt-Attributs in verinice. Der Wert im Feld "Schlüssel" muss die ConfigItem-Klasse, gefolgt von einem dreifachen Doppelpunkt (:::) und der Option selbst sein. Der Wert im Feld "Inhalt" muss die ID der entsprechenden Option eines Objekt-Attributs sein. Event-Modul für Ticket-Abschluss SysConfig-Einstellung: Ticket::EventModulePost###444-VeriniceTaskResponse Dieses Event-Modul steuert die Übertragung der Ergebnisse eines erledigten Aufgaben-Tickets nach verinice. "State" ist der Ticket-Status, in den das Tickets gesetzt werden muss, damit die Übertragung gestartet werden kann. Bitte beachten: Das Event-Modul soll nicht bei jeder Statusänderung am Ticket den Bearbeitungsstand an verinice übertragen. Es soll damit nur der finale Stand (abhängig vom konfigurierten Ticket-Status) an verinice übermittelt werden, damit auch der Workflow-Status in verinice auf "beendet" gesetzt wird. Ticket-Status Workflow SysConfig-Einstellung: TicketStateWorkflowExtension###veriniceTask Diese Einstellung definiert den Ticket-Status Workflow für verinice Aufgaben-Tickets. Seite 10 von 17

11 Ticket-Typ SysConfig-Einstellung: VeriniceTicketType Diese Einstellung definiert den Ticket-Typ für verinice Aufgaben-Tickets. Bitte beachten: Diese Einstellung ist erforderlich und der Standardwert ist "verinicetask". Aufgaben-Ticket: Kerndaten SysConfig-Einstellung: VeriniceTask::BSI###TicketData Diese Einstellung definiert die Kerndaten eines neuen verinice Aufgaben-Tickets. Für wie bspw. "<VERINICE_mnums_id>" oder "<VERINICE_server_name>" "Titel" sind Platzhalter als verinice Attribute möglich. Die möglichen Attribut-Platzhalter für Maßnamen ("mnums"), Bausteine ( "bstumsetzung") und ConfigItems ("server" bzw. "client") können der Datei "SCNA.xml" von verinice entnommen werden. Bitte beachten: Diese Einstellung ist erforderlich. Aufgaben-Ticket: Artikel Sys-Config-Einstellung: VeriniceTask::BSI###ArticleData / VeriniceTask::BSI###ArticleDataBody Diese Einstellung definiert die Artikel-Daten eines neu erstellten verinice-aufgaben-tickets. Für "Subject" bzw. für den Body-Text sind Platzhalter, wie bspw. "<VERINICE_mnums_id>" oder "<VERINICE_server_maßnahme>", für verinice Attribute möglich. Die möglichen Attribut-Platzhalter für Maßnamen ("mnums"), Bausteine ("bstumsetzung") und ConfigItems ("server" bzw. "client") können der Datei "SCNA.xml" von verinice entnommen werden. Seite 11 von 17

12 Bitte beachten: Diese Einstellung ist erforderlich. Für den Body-Text ist zusätzlich der spezielle Platzhalter "<VERINICE_mnums_bsi_description>" möglich (standardmäßig bereits eingetragen). Damit wird der Maßnahmen-Beschreibungstext aus dem BSI-Grundschutzkatalog (siehe Kapitel 3) an die entsprechenden Stelle eingefügt. Seite 12 von 17

13 Aufgaben-Ticket: Zuordnungen dynamischer Felder SysConfig-Einstellung: VeriniceTask::BSI###TicketDataDynamicFieldMapping Diese Einstellung definiert das Mapping für dynamische Felder von neuen verinice Aufgaben-Tickets. Der Wert im Feld "Schlüssel" ist das dynamische Feld. Der Wert im Feld "Inhalt" ist das verinice-attribut. Mögliche verinice-attribute können der Datei Bitte beachten: Diese Einstellung ist erforderlich. "SCNA.xml" von verinice entnommen werden. Aufgaben-Ticket: Dynamische Felder - Ticketabschluss SysConfig-Einstellung: VeriniceTask::BSI###DynamicFieldsResponse Diese Einstellung definiert, welche dynamischen Felder bei Abschluss eines Aufgaben-Tickets durch das Event-Modul (siehe Einstellung: Ticket::EventModulePost###444-VeriniceTaskResponse) an verinice übermittelt werden. (1 = aktiv, 0 = inaktiv). Eine Zuordnung muss für die dynamischen Felder konfiguriert sein (siehe Einstellung: VeriniceTask::BSI###TicketDataDynamicFieldMapping). Bitte beachten: Diese Einstellung ist erforderlich. Aufgaben-Ticket: Erstellung durch Zeitplaner-Modul SysConfig-Einstellung: Deamon::SchedulerCronTaskManager::Task###CheckForVeriniceTask Diese Einstellung ist die Registrierung des Zeitplaner-Moduls (Scheduler). Das Modul prüft ob es neue verinice Aufgaben gibt und erstellt entsprechend neue Tickets. Der Wert im Feld "Schedule" ist eine Cron-Notation. Standardmäßig wird alle 5 Minuten geprüft. "Inhalt" beim Schlüssel Seite 13 von 17

14 Sidebar: Dynamische Felder SysConfig-Einstellung: Ticket::Frontend::KIXSidebarVeriniceTaskMainData###DynamicField Diese Einstellung definiert, welche dynamischen Felder i m Widget "verinice Aufgabenhauptinformationen" angezeigt werden. Mögliche Einstellung sind "0" für "nicht anzeigen" und "1" für "anzeigen". Ticket-Tab: Dynamische Felder SysConfig-Einstellung: Ticket::Frontend::AgentTicketZoomTabVeriniceTaskData###DynamicField Diese Einstellung definiert, welche dynamischen Felder im Widget "verinice Aufgabeninformationen" angezeigt werden. Mögliche Einstellung sind "0" für "nicht anzeigen" und "1" für "anzeigen". Ticket-Tab: Weitere Einstellungen SysConfig-Einstellung: Ticket::Frontend::AgentTicketZoomTabVeriniceTaskData###Permission SysConfig-Einstellung: Ticket::Frontend::AgentTicketZoomTabVeriniceTaskData###RequiredLock SysConfig-Einstellung: Ticket::Frontend::AgentTicketZoomTabVeriniceTaskData###State SysConfig-Einstellung: Ticket::Frontend::AgentTicketZoomTabVeriniceTaskData###Type Seite 14 von 17

15 1.3. Benutzung Vorbereitung Für die Synchronisation von ConfigItems und die Ermittlung von verinice Aufgaben müssen die jeweiligen Schnittstellen-URLs und ggf. die Benutzer und Passwörter in der SysConfig an Ihre Gegebenheiten angepasst werden. (siehe Kapitel "Konfiguration" ) Objekte der Kategorie Client stehen in verinice für Gruppen von ConfigItems, mit gleicher Konfiguration. Um dies in KIX darstellen zu können, wurde die neue ConfigItem-Klasse ClientGroup angelegt. Damit diese ihre zugehörigen Clients ermitteln kann, muss in den entsprechenden ConfigItem-Klassen (bspw. Computer ) ein neues Attribut in die Klassendefinition eingefügt werden: { }, Key => 'ClientGroup', Name => 'ClientGroup', Searchable => 1, Input => { }, Type => 'CIClassReference', ReferencedCIClassName => 'ClientGroup', ReferencedCIClassLinkType => 'Includes', ReferencedCIClassLinkDirection => 'Reverse', ReferencedCIClassReferenceAttributeKey => 'Name', Required =>, In den betreffenden Client -ConfigItems in KIX muss dann noch das relevante ClientGroup -ConfigItem in dem neuen Attribut ausgewählt werden. Dadurch werden die ConfigItems auch miteinander verknüpft. In verinice ist nach Synchronisation des ClientGroup -ConfigItems die Anzahl der Clients (die verknüpften ConfigItems des ClientGroup -ConfigItems) als Attribut ersichtlich. Seite 15 von 17

16 Synchronisation Damit ConfigItems synchronisiert werden können, müssen zwei Voraussetzungen erfüllt sein. Sie müssen zu einer in der SysConfig konfigurierten ConfigItem-Klasse gehören und das Attribut Synchronisation mit verinice muss auf ja gesetzt sein. Im Menü CMDB steht der neue Unterpunkt Verinice Sync zur Verfügung: Abbildung: Modul CMDB, Auswahlmenü Nach Auswahl des Menüpunktes erscheint ein Widget "Synchronisation mit verinice" : Abbildung: Übersicht über zu synchronisierende CIs Das Widget zeigt alle konfigurierten ConfigItem-Klassen und die Anzahl der zu synchronisierenden ConfigItems. Klicken Sie zur Synchronisation auf die Schaltfläche. Nach erfolgter Synchronisation erscheint ein kleines Fenster mit dem Ergebnis, wie viele ConfigItem in verinice angelegt bzw. verändert wurden: Abbildung: Synchronisationsbericht Eventuelle Fehler werden mit Verweis auf das KIX-Fehler-Log ebenfalls angezeigt. In verinice müssen die ConfigItems im Grundschutz Modell dann nur noch aus den importierten Objekten in die jeweilige relevante Objekt-Kategorie per Ausschneiden und Einfügen verschoben werden. Seite 16 von 17

17 verinice Aufgabentickets erstellen Damit Tickets erstellt werden, müssen in verinice den synchronisierten ConfigItems Bausteine aus dem IT- Grundschutz zugewiesen werden. Für die in den Bausteinen beinhalteten Maßnahmen muss anschließend das Attribut KIX Workflow Status auf Starte Workflow gesetzt werden. In KIX wird standardmäßig alle 5 Minuten durch den Zeitplaner per REST angefragt, ob in verinice Maßnahmen mit gestartetem KIX Workflow existieren. Gibt es entsprechende Maßnahmen, wird für jede Maßnahme jeweils ein neues verinice Aufgaben-Ticket erstellt. Alternativ kann das im Zeitplaner verwendetet CLI-Modul Maint::Ticket::CheckForVeriniceTask über ein Terminal manuell ausgeführt werden. Bei Ticketerstellung wird der Workflow-Status der jeweiligen Maßnahme in verinice auf und das nächste freies Läuft aktualisiert KIXTicket X -Attribut mit dem Link zum Ticket und der Ticketnummer gefüllt. Damit ist auch in verinice der Bezug zum jeweiligen Ticket gegeben. Ist der Workflow-Status an solch einer Maßnahme wieder auf StarteWorkflow zurück gesetzt worden, wird bei der nächsten Anfrage ein weiteres verinice Aufgaben-Ticket für diese Maßnahme erzeugt. Der Workflow- Status wird wieder auf Läuft geändert und das nächste freie KIX Ticket X -Attribut wird gefüllt. Nachdem eine Maßnahme umgesetzt worden ist, können der Umsetzungsstatus und weitere Informationen, durch Setzen des relevanten Ticket-Status (default Ticket an verinice übermittelt werden. "Aufgabenumsetzung akzeptiert" ) des verinice Aufgaben- Abbildung: Beispiel für ein aus verinice erzeugtes Aufgaben-Ticket Seite 17 von 17