Kurzanleitung. Norman Patch & Remediation

Transkript

1 Kurzanleitung Norman Patch & Remediation Schnelles Identifizieren und Schließen von Software-Sicherheitslücken mit Norman Patch and Remediation Die zunehmende Verbreitung von Web 2.0 und sozialen Netzwerken eröffnet der Malware am Arbeitsplatz neue Wege. In der Tat hat Google über 3 Millionen von Malwareinfizierten Websites im öffentlichen Internet gefunden. Der Produktlebenszyklus von Software und Betriebssystemen wird immer weiter verkürzt und Software vorzeitig auf den Markt gebracht. Das lässt die Zahl von Bugs und Entwicklungsfehlern exponentiell ansteigen: Pro Tag werden im Durchschnitt 19 neue Sicherheitslücken bekanntgegeben 1. 1 Quelle: US National Vulnerability Database, 20. März 2009

2 1 Norman Patch & Remediation Inhalt: Voraussetzungen... 2 Installation... 4 Agent installieren... 7 How to: Gruppen erstellen Grundpakete automatisch verteilen SW/Patches verteilen Achtung: Diese Kurzanleitung dient lediglich als Übersicht und ersetzt auf keinen Fall die Original-Handbücher! 1

3 2 Voraussetzungen Minimum Hardware Voraussetzung Die Hardware-Voraussetzungen für Norman Patch & Remediation 6.4 SP2 unterscheidet sich von der Anzahl der Geräte welche verwaltet werden sollen. Wenn die Anzahl der Geräte steigt, erhöhen sich auch die Voraussetzungen. Die folgende Mindestanforderung unterstützt eine Anzahl von 250 Geräten: Ein einzelner 1.4 GHz Pentium oder gleichwertiger Prozessor 1024 MB RAM 36 GB verfügbarer Arbeitsspeicher Eine einzelne 100 Mbps Netzwerk-Verbindung (mit Zugang zum Internet) Empfohlene Konfiguration Norman empfiehlt folgende Hardware- und Software Konfigurationen für Norman Patch & Remediation 6.4 SP2: Norman Patch & Remediation 6.4 SP2 empfohlene Konfiguration Number of Nodes < 1,000 < 2,500 < 5,000 < 10,000 > 10,000 Operating System Windows Server 2003, Web Edition mit SP2 Windows Server 2003, Web Edition mit SP2 Windows Server 2003, Web Edition mit SP2 Windows Server 2003, Standard Edition mit SP2 Kontaktieren sie uns diesbezüglich Database Server SQL 2005 Express SQL 2005 Express SQL 2005 Express SQL 2005 Standard Processor GHz 1 - Pentium Dual Core, Non- Xeon 2 - Dual Core Xeon RAM 1 GB 2 GB 2 GB 4 GB Storage 1-36 GB Festplatte 1-72 GB Festplatte GB Festplatte GB Festplatte 2

4 3 Unterstützte Betriebssysteme für den Agenten Operating System OS Versions OS Edition OS Data Width Proc. Family Proc. Data Width Min. JRE Apple Mac OS X x All 32/64 bit x86(intel)/ PowerPC 32/64 bit HP-UX All 64 bit PA-RISC 64 bit IBM AIX All 32/64 bit PowerPC 32/64 bit Microsoft Windows XP All Pro (1) 32/64 bit x86 32/64 bit N/A Microsoft Windows Vista (3) All Business Enterprise Ultimate 32/64 bit x86 32/64 bit N/A Microsoft Windows Server 2008 (3) All Web (2) Standard Enterprise 32/64 bit x86 32/64 bit N/A Novell SUSE Linux 9-10 Enterprise 32/64 bit x86 32/64 bit Red Hat Linux 3-5 Enterprise AS, ES, WS 32/64 bit x86 32/64 bit Sun Solaris 8-10 All 32/64 bit SPARC/ x86 32/64 bit (1) Home, Media Center, und Tablet PC Versionen sind nicht unterstützt. (2) Datacenter und Core Editions dieser OS Familie nicht unterstützt. (3) Windows Vista und Windows Server 2008 benötigen.net 3.0. Um die Installation zu beginnen sollten folgende Voraussetzungen gegeben sein: Kein Domaincontroller Server IIS installiert ASP.net installiert MS-Patch KB installiert 3

5 4 Installation Starten sie nun die Installation und bestätigen sie die Lizenzvereinbarung. Nachfolgend wird automatisch Geprüft ob alle Bedingungen für die Installation erfüllt sind: Sollten die Bedingung nicht erfüllt sein, werden sie benachrichtigt. Die Meldung hier zeigt beispielsweise, dass zu wenig RAM auf dem System vorhanden ist. 5 4

6 Jetzt beginnt die Installation des Norman Patch & Remediation Servers. Bestätigen sie die Lizenzvereinbarung und nachfolgend haben sie die Möglichkeit das Installations- Verzeichnis zu ändern. Sie erhalten folgende Meldung betreffend dem Speicherbedarf: Danach können sie die Seriennummer und die fehlenden Angaben eintragen. Nach die adresse für Benachrichtigungen und des SMTP Servers eingetragen wurde, können sie die Angaben mit send Test prüfen. 5

7 6 Nun wird ein Passwort für den Benutzer (PatchLink) benötigt. Der Benutzername kann nicht geändert werden und wird nach erfolgreicher Installation mit dem von Ihnen eingetragenen Passwort verwendet. Falls nötig tragen sie dann hier einen Proxy ein: Falls sie über entsprechende Zertifikate verfügen, haben sie hier die Möglichkeit, die Kommunikation zu verschlüsseln. Es erfolgt eine Zusammenfassung: Parallel zur Installation des NPR-Servers erfolgt die SQL-Installation: Abschliessend wird die gesamte Installation abgeschlossen. Klicken sie dann auf Finish. Wichtig: Benötigte Sprachen auswählen: Nach dem ersten Start sollten zuerst die benötigten Sprachen ausgewählt werden. Gehen sie dazu im oberen Register auf Options dann im unteren Register auf Configure. Nun können sie die gewünschten Sprachen markieren und mit Apply/Save bestätigen. Klicken sie dann erneut im oberen Register auf Options und danach im unteren Register auf Update Now. Nun werden die Sprachen heruntergeladen und bereit gestellt. 6

8 7 Installation des Agenten Die schnellste und einfachste Art den Agenten auf einen Client zu installieren, erfolgt mit einem MSI-Paket. Die Vorgehensweise ist wie folgt beschrieben: Öffnen sie den Internet Explorer und geben in die Adressleiste den Hostname des NPR- Servers ein: z.b. nun erscheint ein Anmeldefenster, hier wird nun erstmals der Benutzer PatchLink mit dem von Ihnen angegebenen Passwort verwendet: Die Konsole wird nun geöffnet, klicken sie hier auf Devices, anschliessend auf Install : 8 7

9 Klicken sie hier auf Download und ein Fenster öffnet sich um den Installer zu speichern. Speichern sie den Installer (MSi) an einem beliebigen Ort ab. Dieses MSi-Paket muss nur noch geringfügig angepasst werden. Dazu verwendet sie am besten das Programm Orca. Starten sie Orca und wählen sie die Datei updateagent.msi (welches sie zuvor gespeichert haben) aus. 8

10 9 Tragen sie unter Property bei Host den Hostname des NPR-Servers und unter Serial die Seriennummer ein: Danach speichern sie die Datei ab. Nun ist das MSi-Paket bereit um entweder über Gruppenrichtlinien verteilt zu werden oder direkt von einem Client ausgeführt zu werden. Hiermit wird der Agent dann installiert. 9

11 10 Gruppen erstellen Nach dem Starten des NPR-Servers, werden automatisch alle gefundenen Systeme nach Betriebssysteme in Gruppen eingeteilt. Diese sind dann unter Groups System Groups Windows aufgeführt. Um die zugeordneten PC s in der jeweiligen Gruppe anzuzeigen wählen sie unter View die Auswahl Device Membership und klicken auf Update View. Die der Gruppe zugeordneten PC s erscheinen dann in der Übersicht. In unserm Fall wurde ein Vista PC erfasst: Es besteht auch die Möglichkeit eigene Gruppen zu erstellen. Diese können unter Custom Groups erstellen werden, danach haben sie die Möglichkeit die PC s den entsprechenden Gruppen zu zuordnen: Als Beispiel erstellen wir nachfolgend eine neue Gruppe Verkauf : 10

12 11 Markieren sie zuerst linker Hand Custom Groups, danach klicken sie unten auf Create. Geben sie nun den gewünschten Namen und eventuell eine Beschreibung ein, danach klicken sie auf das Speichern-Icon. Die neue Gruppe wird nun erstellt: Im nächsten Schritt weisen wir der neuen Gruppe einen PC zu. Markieren sie dazu die neue Gruppe und klicken rechts im Register View: auf Device Membership. 11

13 12 Danach klicken sie unten auf Manage, wählen den gewünschten PC aus und mit Asign wird der markierte PC der neu erstellten Gruppe zugewiesen: Mit Update View lässt sich die Ansicht stets aktualisieren. 12

14 13 Grundpakete (SW und/oder Patches) autom. verteilen Um SW und/oder Patches automatisch. zu verteilen, wird die Mandatory Baseline verwendet. Diese entspricht im Grossen und Ganzen einer Richtlinie/Konfiguration, in welcher festgelegt wird welche SW/Patches auf die entsprechenden PC s oder Gruppen verteilt werden soll. Als Beispiel werden wir nun den Internet Browser Firefox auf die Gruppe WinXP verteilen lassen, welche sich unter System Groups Windows WinXP befindet. Die Vorgehensweise ist wie folgt: Zuerst wird rechts die Gruppe in welcher sich der PC befindet markiert. Danach wird links unter View: Mandatory Baseline ausgewählt. Dann klicken sie unten auf Manage. 13

15 14 Sie erhalten jetzt eine Liste mit allen verfügbaren Paketen. Damit die Liste nicht von Hand durchsucht werden muss, können sie einen Filter dazu verwenden. Klicken dazu sie auf Show Filters. Geben sie den gesuchten Namen ein und klicken sie dann auf Apply Filters. Nun erscheinen nur noch die gesuchten Dateien. Markieren sie jetzt das Paket welches verteilt werden soll. 14

16 15 Das ausgewählte Paket erscheint im oberen Teil des Fensters. Bestätigen sie hier mit OK. Nachdem klicken sie links auf Update View und sie erhalten eine Übersicht mit dem zugeteilten Paket und dem Inhalt der zugewiesenen Gruppe: Mandatory Baseline: Nun wurde die Mandatory Baseline für die Verteilung erfolgreich erstellt. Ab jetzt wird jede Gruppe respektiv jeder einer Gruppe zugeordneter PC, welcher eine Mandatory Baseline zugewiesen bekommen hat, die in der Mandatory Baseline definierten Pakete automatisch erhalten. In unserem Fall heisst dies, sobald ein neuer PC in die Gruppe Win XP aufgenommen wird, greift automatisch die dafür vorgesehene Mandatory Baseline. Somit wird der neue PC umgehend den Firefox installiert bekommen. Hiermit lässt sich also ein Software/Patch-Grundpaket erstellen, welches für jeden neuen PC automatisch angewendet wird. 15

17 16 Verteilen von SW/Patches Um beispielsweise einen einzelnen MS-Patch direkt zu verteilen gehen sie wie folgt vor: Markieren sie den PC auf welchem die Installation des Patch erfolgen soll. Links unter View: wählen sie Vulnerabilities um die Sicherheits-Patches anzuzeigen. Unter Status wählen sie not Patched um die fehlendes Sicherheits-Patches des markierten PC s anzuzeigen und unter Impact wählen sie Critical but not superseded. Klicken sie anschliessend auf Update View um die Anzeige zu aktualisieren. Markieren sie dann den gewünschten Patch und anschliessend klicken im unteren Bereich sie auf Deploy. Der Deployment Wizard wird gestartet und zeigt eine kurze Anleitung über das Vorgehen an. 16

18 17 Jetzt sehen sie die gewählten PC s/gruppen 17

19 18 Nun erscheint die Lizenzvereinbarung welche akzeptiert werden muss. Anschliessend haben sie die Möglichkeit, dem Deployment und dem Task einen Namen zu geben und die Startzeit anzugeben. Weiter unten haben sie die Möglichkeit die Zeitzone zu wählen. Weiter könnten sie auch noch eine Notiz zu dem Deployment angeben. 18

20 19 Hier könnten sie den verschiedenen Paketen verschiedene Prioritäten zuweisen. Also welches Paket zuerst installiert werden soll. Abschliessend können sie festlegen, ob der Benutzer des betroffenen PC s eine Benachrichtigung erhalten soll. Weiter können mehrere Optionen gewählt werden welche die Interaktion des Benutzers betreffen. 19

21 20 Sie haben auch die Möglichkeit nur einen einzelnen PC mit der gleichen Vorgehensweise, wie zuvor beschrieben, zu Patchen. Dazu wählen sie anstelle einer Gruppe nur den gewünschten einzelnen PC aus. 20