GSM 25V: Setup Guide

Transkript

1 GSM 25V +++ Setup Guide +++ Über dieses Dokument: Diese Anleitung beschreibt die Inbetriebnahme eines Greenbone Security Manager 25V (GSM 25V), einem Produkt der Greenbone Networks GmbH ( Diese Anleitung bezieht sich auf Greenbone OS 3.0 ab Patch Level 18 (3.0.18). Bitte kontaktieren Sie den Greenbone Support falls Sie einen GSM mit anderer Versionsnummer haben. Version: Copyright 2015 Greenbone Networks GmbH 1/14

2 Inhaltsverzeichnis 1 Vor Inbetriebnahme zu beachten Leistungsanforderungen für GSM 25V Unterstützter Hypervisor Bereitgestellter GSM 25V Technische Einschränkungen Importieren des GSM 25V VM-Abbildes Inbetriebnahme des GSM 25V Inbetriebnahme des GSM 25V als Sensor Konfiguration am GSM 25 V Konfiguration am GSM Master GSM 25V verwenden...14 Version: Copyright 2015 Greenbone Networks GmbH 2/14

3 1 Vor Inbetriebnahme zu beachten 1.1 Leistungsanforderungen für GSM 25V Im Hypervisor sollten dem GSM 25V folgende Leistungen zugeordnet werden: Hauptspeicher: mindestens 4 GB Prozessorleistung: Mindestens 2 CPU-Kerne 1.2 Unterstützter Hypervisor Der GSM 25V wird nur für die aufgeführten Hypervisor Produkte unterstützt: VMware ESXi Bereitgestellter GSM 25V Sie sollten das GSM 25V VM-Abbild im OVA-Format vorliegen haben, z.b. als Datei GSM-25V ova. Dieses VM-Abbild sollte nicht schon anderweitig in Betrieb genommen worden sein. Wichtig: Die Feed- und GOS Version auf dem GSM 25V VM-Abbild ist naturgemäß nicht aktuell. Der beigelegte GSF-Access-Key ist nicht vorinstalliert und muss vor der Nutzung installiert werden. 1.4 Technische Einschränkungen Die folgende technische Einschränkung ist unbedingt zu beachten um den einwandfreien Betrieb zu gewährleisten. Verwenden Sie niemals zwei GSM 25V mit dem selben Zugangsschlüsssel. Falls mehr als ein VM-Abbild mit dem gleichen Schlüssel aktiviert wird, so kann es zu Wechselwirkungen mit Inkonsistenzen kommen! Version: Copyright 2015 Greenbone Networks GmbH 3/14

4 2 Importieren des GSM 25V VM-Abbildes 1. VMware ESXi 5.1 Client starten 2. GSM 25V VM-Abbild importieren: Die Datei "GSM-25V ova" über "Datei" -> "OVF-Vorlage bereitstellen" öffnen. Der Dateiname variiert natürlich entsprechend der Version. 3. Wählen Sie die Datei GSM-25V ova für den Import aus und klicken Sie auf Weiter : 4. Bei den Einzelheiten sollte als Produktname "GSM25V" angezeigt werden: Version: Copyright 2015 Greenbone Networks GmbH 4/14

5 5. Bestimmen Sie den Namen und den Speicherort für das VM-Abbild. Klicken Sie anschließend auf Weiter : 6. Als Festplatten-Format wählen Sie Thick-Provision Lazy-Zeroed aus. 7. Prüfen Sie Ihre Einstellungen und klicken Sie auf Beenden um den Importvorgang zu starten. Version: Copyright 2015 Greenbone Networks GmbH 5/14

6 8. Wählen Sie das angelegte VM-Abbild aus und klicken Sie auf Einschalten. Version: Copyright 2015 Greenbone Networks GmbH 6/14

7 3 Inbetriebnahme des GSM 25V 1. Einloggen: Nachdem Sie die GSM 25V gestartet haben, loggen Sie sich als Benutzer admin mit dem Passwort admin ein. 2. Gehen Sie in das Administrations-Menü indem Sie auf der Konsole gos-adminmenu eintippen und mit Enter bestätigen: gsm> gos-admin-menu 3. Keyboard einstellen: GOS ist mit einem US-Keyboard vorkonfiguriert. Ändern Sie ggf. das Keyboard über das Menü, Keyboard Management : 4. Netzwerkkonfiguration einstellen: Gehen Sie in das Menü Network und dort nach ETH. Der GSM25V ist für das Netzwerkinterface eth0 mit DHCP vorkonfiguriert: eth0 ist im Auslieferungszustand mit dhcp vorkonfiguriert. Sie können diese Einstellung unverändert übernehmen oder den GSM25V für Ihr Netzwerk spezifisch konfigurieren. Das könnte beispielsweise so aussehen: Default Route: eth0: /24 Übernahme der Änderungen erfolgt mit Commit. Version: Copyright 2015 Greenbone Networks GmbH 7/14

8 Es findet keine automatische Verwendung der DNS Dienste statt die vom DHCP Server vorgeschlagen werden. Es sind allgemein verfügbare DNS-Server vorkonfiguriert: Falls diese geändert werden sollen, so gehen Sie dafür in das Menü,,DNS" (ein Untermenü von,,network"). Beispiel: DNS 1: Übernahme der Änderungen erfolgt mit Commit. 5. GSF-Access-Key installieren: Markieren Sie zunächst den mitgelieferten GSF- Access-Keys als Zeichenkette und kopieren Sie diese in die Zwischenablage. Wechseln Sie zur GSM 25V und führen Sie auf der Konsole subscriptiondownload aus: gsm> subscriptiondownload AAAAB3NzaC1kc3MAAACBANd6Hj7Vxta57Qf5np4+vhsxa8aiiLd8asAHCL0vD Fügen Sie nun die kopierte Zeichenkette des GSF-Access-Keys ein und bestätigen Sie anschließend mit 2x Strg+d. Wichtig: Vergewissern Sie sich, dass Sie den GSF-Access-Key ohne Leerstellen und Absätze kopiert und eingefügt haben: gsm> show customer gsf (Beispiel) Tipp: Sie können mit show customer prüfen ob der Schlüssel korrekt importiert und gültig ist. Hat alles funktioniert, wird Ihre Schlüssel-ID angezeigt. Version: Copyright 2015 Greenbone Networks GmbH 8/14

9 6. Passwort-Änderung: GSM-Administrator-Konto admin : Gehen Sie in das Menü User und wählen Sie dort GSM Admin : Folgen Sie den Anweisungen. Die Vergabe von Trivial-Passworten ist nicht möglich, dazu zählt auch das voreingestellte Passwort welches dann nicht mehr verwendbar ist. 7. SSL-Zertifikat einstellen: Die schnellste Methode ist ein selbst-signiertes Zertifikat über das Menü SSL und dort Self-Signed : Version: Copyright 2015 Greenbone Networks GmbH 9/14

10 Das konfigurierte Zertifikat wird bei der Anmeldung angezeigt. Das Administrator- Handbuch des GSM beschreibt die Verwendung regulärer Trust-Center Zertifikate. 8. Scan-Konto einrichten: Erstellen Sie ein Scan-Konto für den Slave-Betrieb über das Menü User und dann Add scan user account : 9. Aktivierung: Geben Sie reboot ein um alle Änderungen zu aktivieren und den GSM damit im Netzwerk einsatzbereit und zugänglich zu machen. Version: Copyright 2015 Greenbone Networks GmbH 10/14

11 4 Inbetriebnahme des GSM 25V als Sensor In vielen Fällen, in denen aus Sicherheitsgründen das Scannen eines Netzwerksegments nicht direkt möglich ist, ist auch der Zugriff aus diesem Segment auf das Internet unerwünscht. Um auch in diesen Fällen den Scan Sensor (GSM 25V) aktuell zu halten, ist es optional möglich, die aktuelle Feed- und GOS Version vom Master-GSM auf den Scan Sensor zu synchronisieren. Dies geschieht automatisch, nachdem der Master-GSM sich mit dem Feed Server synchronisiert hat. Wichtig: Dieses Feature kann erst ab GOS-Version genutzt werden und die erforderliche GOS-Version muss auf dem Master-GSM installiert sein. Folgenden Schritte sind zur Nutzung dieses Features erforderlich: 4.1 Konfiguration am GSM 25 V 1. Abrufen des Master Keys auf der Konsole des Master-GSMs: gsm> show masterkey ssh-dss AAAAB3NzaC1kc3MAAACBANd6Hj7Vxta57Qf5np4+vhsxa8aiiLd8asAHCL0vD 2. Übertragen des Master Keys auf den Scan Sensor: gsm> masterkeydownload Please paste the master key into the CLI, END with CTRL-D ssh-dss AAAAB3NzaC1kc3MAAACBANd6Hj7Vxta57Qf5np4+vhsxa8aiiLd8asAHCL0vD Prüfen Sie ob der Master Key korrekt übertragen wurde: gsm> show masterkey ssh-dss AAAAB3NzaC1kc3MAAACBANd6Hj7Vxta57Qf5np4+vhsxa8aiiLd8asAHCL0vD Die Prüfung des Master Keys nach dem Download wird dringend empfohlen. 3. Aktivieren des SSH Zugangs auf dem Scan Sensor: set ssh enabled 4. Deaktivieren der Feed Synchronisation über das Internet: set feedsync disabled 5. Aktivieren des Updates durch den Master: set feedfrommaster enabled Beachten Sie: Führen Sie reboot auf der GSM 25V aus um alle Änderungen zu aktivieren und die GSM 25V als Sensor einsatzbereit zu machen. Version: Copyright 2015 Greenbone Networks GmbH 11/14

12 4.2 Konfiguration am GSM Master Rufen Sie auf dem Master das gos-admin-menu auf und fügen Sie den Scan Sensor unter dem Menüpunkt Sensors zu der Liste hinzu. Aktivieren Sie die automatische Aktualisierung des Sensors über den Master, in dem Sie die Option Automatic Sensor Sync auf den Wert enabled setzen: Version: Copyright 2015 Greenbone Networks GmbH 12/14

13 Sie können die Verbindung zum Scan Sensor über den Eintrag Check sensors prüfen: Bei einem erfolgreichen Sensor-Check wird das Feed Update automatisch über den Master auf dem Sensor ausgeführt. Die aktuelle GOS Version wird hingegen nur auf den Sensor gepusht. Somit muss das GOS Update vom Benutzer manuell angestoßen werden. Dies können Sie direkt vom Master aus über die Option Upgrade sensors durchführen: Version: Copyright 2015 Greenbone Networks GmbH 13/14

14 5 GSM 25V verwenden Der GSM 25V kann nun als Slave-System durch ein Master-System verwendet werden. Verwenden Sie dazu in der Web-Oberfläche die Konfiguration für Slaves. Dort tragen Sie die Adresse des GSM 25V ein wie er vom Master aus zu finden ist, sowie das bei der Einrichtung des GSM 25V konfigurierten Scan-Konto. Anmeldung für Administration aus der Ferne über SSH ist ebenfalls möglich und erfolgt über: ssh Falls Sie DHCP verwenden, so können Sie die IP-Adresse auch nach dem Neustart des GSM via gos-admin-menu abfragen. Wählen Sie dafür im Menü Network, Untermenü ETH das Kommando Show IPs. Hinweis: Kommt keine Kommunikation zwischen Master und Sensor zustande, so müssen ggf. die Regeln Ihrer internen Firewall angepasst werden um die Kommunikation zwischen Master und Sensor zu erlauben. Version: Copyright 2015 Greenbone Networks GmbH 14/14