Bereits 2019 stellte Ivanti erstmals eine Cloudlösung zur Erfassung und Verwaltung von Daten aller Server und Endpunkte eines Unternehmens vor. Was zunächst in einer Testphase schlicht unter dem Namen "Ivanti Cloud" firmierte, ist seit Mitte 2020 unter dem neuen Label "Ivanti Neurons Platform" produktiv verfügbar. Es handelt sich dabei um ein reines SaaS-Angebot, das der Hersteller in Microsoft Azure hostet.

Nicht zuletzt durch die Corona-Pandemie exponentiell beschleunigt, sind mobile Endgeräte im Home Office oder andernorts von überall und zu jeder Zeit aktiv. Ivanti adressiert mit seiner Automatisierungsplattform diesen anhaltenden Trend zu verteiltem Arbeiten und möchte Prozesse zur Verwaltung der Endpunkte, ihrer ordnungsgemäßen Funktion und Sicherheit an die neue Situation anpassen.

Dabei hilft insbesondere der Ansatz, Statusdaten der Endgeräte auch über unzuverlässige, ständig wechselnde Netzwerkanbindungen nahezu in Echtzeit zu erfassen und Fehlerzustände in Hard- oder Software, sicherheitsrelevante Ereignisse sowie Nutzung von Lizenzen proaktiv zu überwachen. Die Neurons Platform setzt zur Kommunikation mit den verteilten Agenten neben HTTPS auch auf Message Queuing Telemetry Transport (MQTT). Das offene Netzwerkprotokoll MQTT hat sich vor allem für Anwendungen im Bereich des Internet of Things etabliert, ermöglicht es doch die Übermittlung von Telemetriedaten sowie die Interaktion mit Sensoren und Aktoren trotz hoher Latenzen oder schmaler Bandbreite. MQTT eignet sich damit bestens nicht nur für die Automatisierung im IoT, sondern auch für Aufgaben des klassischen IT-Systemmanagements.

Die Ivanti Neurons Platform bildet einen modularen Baukasten von Elementen, die nach Bedarf kombiniert werden dürfen und mithilfe diverser Konnektoren auch Anschluss an weitere Produkte und Systemwelten von Ivanti selbst sowie auch von Drittanbietern finden. So bietet der Hersteller auf Wunsch einen ganzheitlichen Ansatz für umfassendes IT-Systemma-

nagement aus einer Hand, spielt aber auch mit bereits vorhandenen Produkten zusammen. Der Kern ist die grundlegende Ivanti Neurons Platform, die als Basis für alle übrigen Module immer erforderlich ist. Lizenzen für die Basis und alle weiteren Module bietet der Hersteller jeweils als Subskription pro Endpunkt und Jahr an.

Die Neurons Platform bietet eine umfassende Inventarisierung von Endpunkten, Anwendern sowie Software und aggregiert dazu Daten aus verschiedenen Quellen. Der Konnektor zur Anbindung eines Microsoft Active Directory (AD) ist inkludiert, ebenso ein weiterer Konnektor wahlweise zur Anbindung von generischen Quellen mittels CSV-Dateien, Ivanti Endpoint Manager (EPM), Ivanti Security Controls (ISeC), Ivanti Data Center Discovery (DCD) oder Microsoft SCCM. Alle übrigen Konnektoren für weitere Systeme von Ivanti und Dritten erfordern separate Lizenzen.

Zu beachten ist weiterhin die Anzahl an Transaktionen pro Endgerät und Monat. Dies betrifft etwa die Läufe von Konnektoren. Hier hat Ivanti einen Schwellenwert von 70 Transaktionen pro Monat eingeführt, um einer Überlastung der eigenen Cloudsysteme vorzubeugen. Wer Bedarf für häufigeren Datenaustausch hat, kann zusätzliche Transaktionen erwerben. Da ein Konnektor typischerweise nur einmal täglich läuft, ist die Grenze nach Angaben des Herstellers aber in der Praxis kaum relevant. Sechs Module erweitern den Funktionsumfang der Neurons Platform:

- Ivanti Neurons for Edge Intelligence sammelt in Echtzeit Inventar- und Statusdaten der Endpunkte ein und gibt Admins die Möglichkeit, Abfragen über die gesamte Datenbasis in natürlicher Sprache zu formulieren.

- Ivanti Neurons for Discovery umfasst alle verfügbaren Konnektoren zu anderen Systemen von Ivanti und Drittanbietern. Zusätzlich bedient sich dieses Modul aktiver und passiver Scans mit dem Ziel, sämtliche Systeme – auch bisher noch nicht bekannte und nicht verwaltete Endpunkte – vollständig zu inventarisieren.

- Ivanti Neurons Workspace wendet sich primär an den First-Level-Support als Zielgruppe. Das Modul beinhaltet die Funktionalität der Neurons for Edge Intelligence ergänzt um Fernwartung und die Möglichkeit, vorgefertigte Aktionen auszuführen oder selbst Aktionen zu definieren. Diese auch als Neurons bezeichneten Aktionen helfen, Fehlerzustände zu erkennen und im besten Fall direkt mit passenden Gegenmaßnahmen zu reagieren.

- Ivanti Neurons for Healing führen einzelne Neurons, also Aktionen zur Behebung von Fehlern, nicht mehr manuell aus, sondern nach Zeitplänen autark und automatisiert. Sie helfen so, bekannte Probleme proaktiv zu lösen.

- Ivanti Neurons for Spend Intelligence helfen dabei, Unter- sowie Überlizenzierung zu adressieren.

- Ivanti Neurons for Patch Intelligence schafft an zentraler Stelle eine Übersicht über den aktuellen Patchstatus aller Endpunkte.

In unserem Test, für den Ivanti uns einen eigenen Tenant auf der Neurons Platform zur Verfügung gestellt hatte, standen die Neurons for Healing im Mittelpunkt unseres Interesses.

Nachdem wir uns im Webportal der Neurons Platform angemeldet hatten, navigierten wir im vertikalen Hauptmenü zur Linken zum Bereich "Admin / Agentenverwaltung". Dort fanden wir die Down-loads zur Installation der Agenten für die Betriebssysteme Windows, macOS und Linux. Bei Letzterem handelte es sich allerdings nur um einen Platzhalter und der Download war noch nicht möglich, da sich der Linux-Agent bis zum Redaktionsschluss noch im geschlossenen Beta-Test befand. Die grundlegende Installation der Agenten ist für Server und Clients identisch. Der jeweilige Endpunkt bezieht seine Konfiguration anschließend aus der Cloud und lädt, je nach gewünschter Funktion und lizenzierten Modulen, weitere Komponenten nach.

Die Clients für Windows und macOS durften wir wahlweise mit oder ohne Funktion zur Remotesteuerung, weiterhin zur interaktiven Installation oder zur Installation im Hintergrund herunterladen. Doch worin unterscheiden sich die beiden Verfahren? Um sich innerhalb der Neurons Platform am richtigen Tenant zu registrieren, benötigt der Agent die Tenant-ID, einen Aktivierungsschlüssel sowie die URL zum entsprechenden Cloud-Endpunkt. Im Fall der Installation im Hintergrund gibt das Portal einen Befehl aus, der der Installationsdatei die nötigen Informationen als Parameter auf der Kommandozeile mitgibt. So lässt sich der Agent per Skript oder mit einem beliebigen Werkzeug zur automatischen Softwareverteilung ausbringen. Zur interaktiven Installation unter Windows liefert das Portal zusätzlich zur EXE-Datei des Agenten eine Optionsdatei. Liegt diese im selben Verzeichnis wie die Setuproutine, sind im Rahmen einer manuellen Installation die Felder für Tenant-ID, Aktivierungsschlüssel und URL bereits befüllt. Das Setup war so mit wenigen Klicks erledigt.

Für die Registrierung an der Neurons Platform sind ausschließlich Tenant-ID und Aktivierungsschlüssel relevant. Dies bedeutet, dass die Neurons auch ansonsten komplett eigenständige Clients unter einer Haube verwalten, ohne dass diese zwingend einer Windows-Domäne oder einem sonstigen System für das zentrale Management angehören müssten.

Sofern vorhanden, empfiehlt sich dennoch die optionale Anbindung eines ADs mittels des Konnektors, da die Neurons Platform auf diesem Weg automatisch Kenntnis von allen Benutzern und Geräten im Verzeichnisdienst erlangt. Entsprechend installierten wir im ersten Schritt den Agenten auf unserem Domaincontroller. Nach einer Wartezeit von nur wenigen Minuten erschien das System im Webportal unter "Geräte" und weiterhin auch unter "Admin / Connectors" mit dem Status "Connector-Server aktiv". Dort gelangten wir über die Schaltfläche "+ Connector hinzufügen" zur Übersicht aller verfügbaren Konnektoren. Hier wählten wir das "Microsoft Active Directory".

Auf der folgenden Seite durften wir dem Konnektor einen Namen geben und die Details zum Datenimport konfigurieren. Hierzu gehören Verbindungsdetails wie Domänenname und der Basis-DN, unterhalb dessen der Konnektor im Verzeichnis nach Benutzern und Computern suchen soll, sowie weiterhin Anmeldedaten mit mindestens Leserechten, die Ivanti verschlüsselt speichert.

Der optionale Datenfilter legt getrennt nach Benutzern und Geräten Schwellenwerte in Tagen fest, für die Daten gesammelt werden sollen. Der Konnektor behält nur Datensätze zu Objekten, die innerhalb dieser Zeitspanne aktiv waren. Der Zeitplan gibt wahlweise täglich, für einen oder mehrere Wochentage eine in Halbstunden-Schritten einstellbare Uhrzeit vor, zu der sich der Konnektor mit dem Datenbestand im AD synchronisieren soll. Ebenfalls optional sind zusätzliche Anmeldeinformationen für Aktionen im Active Directory, sodass der Konnektor Konten erstellen, aktualisieren, entsperren sowie löschen kann.

Wir finalisierten die Konfiguration des Konnektors über die Schaltfläche "Speichern und ausführen". Nach wiederum einigen Minuten Wartezeit konnten wir uns vom Ergebnis überzeugen. Im Bereich "Personen" fanden sich sämtliche Benutzerkonten aus unserem AD ein und unter "Geräte" entsprechend auch alle Computerkonten.

Die Geräte durften wir zu benutzerdefinierten Gruppen zusammenführen, die später beim Ausführen von Aktionen noch eine Rolle spielen. Solche Gruppen sind entweder statisch oder dynamisch. Ersteren mussten wir unsere Clients manuell hinzufügen, während die dynamischen Gruppen auf Filterabfragen über alle Eigenschaften eines Geräts basieren. Eine oder mehrere Eigenschaften konnten wir hier logisch mittels UND/ODER verknüpfen und so etwa alle Endgeräte eines bestimmten Herstellers oder mit einem bestimmten Betriebssystem selektieren.

Dazu mussten wir unsere Clients aber natürlich zunächst einmal erfassen und installierten den Agenten auf mehreren Notebooks unter Windows 10. Die Geräte lieferten daraufhin schon nach kurzer Zeit umfangreiche Inventardaten und erschienen auch mit ihrem Status, ungefähren geografischen Standort und weiteren Daten auf der Kartenansicht unter "Einblicke / Edge Intelligence" (Bild 1). Von dort und auch aus der Listenansicht unter dem Punkt "Geräte" konnten wir uns die Eigenschaften der Geräte ansehen.

In der Detailansicht lieferte die Neurons Platform umfassende Informationen vom Betriebssystem bis hinunter auf die Ebene von BIOS und Hardware. Die Inventardaten zeigten uns nicht nur Details zu Version und Patchlevel des Betriebssystems, sondern auch zum Status von Diensten, geplanten Aufgaben, installierter Software und Druckern. Weiterhin informierte uns Ivanti sehr detailliert über BIOS-Einstellungen, Zustand des Akkus, Prozessoren und Coprozessoren, Grafik-, Sound- sowie weitere Chipsätze und Ausstattungsmerkmale der Clients. Bereits die Inventarisierung erwies sich somit als äußerst praktisch für den Servicedesk.

Daraufhin navigierten wir im Menü zu "Neurons" und dann auf der rechten Seite im Hauptfenster zum Punkt "Neurons for Healing / Neurons verwalten". Zur Erläuterung sei erwähnt, dass der Hersteller jede einzelne Aktion, die sich hier findet, als Neuron oder auch Automatisierungs-Bot bezeichnet. Es handelt sich jeweils um Folgen von Abfragen und Reaktionen auf deren Ergebnisse, die wir in einem grafischen Editor in Form von logisch verzweigten Entscheidungsbäumen erstellen und modifizieren konnten.

Ab Werk bringt das System bereits 18 vorgefertigte Neurons mit, die sämtlich zunächst deaktiviert sind. Wir konnten die vorhandenen Aktionen direkt modifizieren oder aber als Grundlage für eigene Aktionen klonen und uns so mit der Funktionsweise vertraut machen.

Sobald wir auf den Titel einer Aktion klickten, gelangten wir zum Durchlaufprotokoll, das zu diesem Zeitpunkt natürlich noch leer war. Aus der Kopfzeile starteten wir über die Schaltfläche "Neuron bearbeiten" den grafischen Editor. In einer weiteren vertikalen Leiste zur Linken fanden wir sämtliche für die Aktionen verfügbaren Phasen – Abfragen, Aktionen sowie allgemeine und benutzerdefinierte Elemente.

Die Abfragen ermitteln Statusdaten der Endgeräte, etwa Gerätebetriebszeit, freien Festplattenplatz, S.M.A.R.T.-Status der Festplatten, ob Antivirus-Software vorhanden und aktuell ist, ob der Client über einen Akku verfügt und in welchem Zustand sich dieser befindet, ob Laufwerksverschlüsselung und Windows-Benutzerkontensteuerung aktiv sind.

Der Baustein "Ergebnisse filtern" aus der Sektion "Allgemein" wendet auf eine solche Abfrage einen oder mehrere per logischem UND/ODER verknüpfte Filter an. Für alle Geräte, die dem Filter entsprechen, konnten wir dann Aktionen ausführen, wie den Endpunkt neu starten, Benutzer abmelden oder sperren, Firewall-Regeln oder Umgebungsvariablen modifizieren, Software installieren, das Gerät komplett vom Netzwerk isolieren oder auch einfach nur eine Meldung anzeigen.

Alternativ erstellt das Neuron automatisch ein Ticket im Ivanti Service Manager oder verschickt eine E-Mail an eine Person, einen Verteiler oder das Ticketsystem eines Drittanbieters. Der Baustein "Neuron-Alarm" erzeugt einen Eintrag innerhalb der Neurons Platform. Zusätzlich zu den Standardabfragen und -aktionen bietet der Hersteller im Bereich "Bibliothek & Marketplace / Marketplace" zahlreiche weitere Bausteine, einige davon noch im Beta-Stadium und entsprechend gekennzeichnet, die Mehrheit aber bereits für den produktiven Einsatz freigegeben. Exemplarisch seien etwa Aktionen genannt, mit denen wir Dienste, Ereignisprotokolle, Zertifikate, den BitLocker-Status, installierte Chrome-Erweiterungen oder auch GPO-Änderungen abfragen konnten. Über die Schaltfläche "Phase installieren" konnten wir einzelne Elemente einfach in unsere Umgebung übernehmen. Wer bei den vorgefertigten Bausteinen Funktionen vermisst, findet in der Sektion "Benutzerdefiniert" je nach Zielplattform Bash- oder PowerShell-Phasen, um beliebige Abfragen und Aktionen zu formulieren.

Die einzelnen Elemente konnten wir per Drag-and-Drop auf die Arbeitsfläche des Editors ziehen, dort frei positionieren und schließlich verbinden. Anschließend speicherten wir unsere Arbeit und mussten dann das Neuron über das Zahnrad-Icon oben rechts nur noch aktivieren. Die Zielgruppe bestimmt dabei, auf welche Endgeräte das Neuron wirkt. Mittels der Option "Benutzerdefiniert" konnten wir das Neuron auf eine Gruppe von Endgeräten eingrenzen. Das setzte allerdings voraus, dass wir zuvor im Bereich "Geräte" eine Gruppe angelegt hatten.

Alternativ bezieht das Neuron alle Geräte mit ein, die über einen Agenten verfügen und online sind. Im Bereich der Statuskonfiguration änderten wir den Status auf "Aktiv". Daraufhin durften wir wählen, ob das Neuron in einem zeitlichen Abstand von einem bis sieben Tagen oder täglich mit einer Frequenz von Stunden oder Minuten starten soll. Das kleinstmögliche Intervall ist 30 Minuten.

Exemplarisch wählten wir das Neuron "Fehlerhafte Akkus erkennen", um dieses für unseren Bedarf anzupassen. Das Neuron beginnt mit einer Abfrage des Batteriezustands und nimmt nur die Geräte in die Ergebnismenge auf, die überhaupt über einen Akku verfügen. Es filtert die Ergebnisse dann auf Geräte, die über weniger als 50 Prozent ihrer ursprünglichen Leistung verfügen, und solche, bei denen die Akkuleistung weniger als 80 Prozent beträgt. In beiden Fällen generiert das Neuron zunächst nur einen Alarm innerhalb des Webportals. Bei weniger als 50 Prozent wollten wir zusätzlich per E-Mail unseren Servicedesk informieren. In der passenden Phase "E-Mail senden" durften wir Betreff und Body der Nachricht frei formulieren und konnten dabei auf Variablen zurückgreifen, die auch für die Phasen "Neuron-Alarm" und "Ticket erstellen (ISM)" zur Verfügung stehen. Der Editor zeigte uns eine Liste der möglichen Variablen an. So konnten wir etwa die absolute Zahl und eine Liste der Namen betroffener Geräte in die Nachricht einfügen (Bild 2).

Sobald wir das Neuron aktiviert hatten, blieb uns, auf den nächsten planmäßigen Lauf zu warten oder die Aktion über die Schaltfläche "Jetzt ausführen" sofort zu starten. Anschließend konnten wir anhand des Entscheidungsbaums den Ablauf der Aktion live im Portal verfolgen. Alle Filter, die ein Ergebnis lieferten, und alle weiteren Phasen, die getriggert wurden, erkannten wir an einem Icon mit Haken auf grünem Grund. Die gefilterten Ergebnisse konnten wir einsehen und so im Detail ermitteln, welche unserer Endgeräte einen Alarm ausgelöst hatten.

Im vorherigen Beispiel informierte ein Neuron den Servicedesk über ein Problem, das dann aber noch manuell bearbeitet werden musste. Noch praktischer ist es, wenn Neurons Probleme vollautomatisch und ohne Eingreifen eines Admins beheben. Um dies nachzuvollziehen, bedienten wir uns eines bewusst einfach gehaltenen Beispiels, mit dem wir den clientseitigen Ausfall eines Dienstes, in diesem Fall der Druckwarteschlange, erkennen und diesen bei Bedarf neu starten wollten.

Im ersten Schritt installierten wir die Abfrage "Servicestatus" aus dem Marketplace und starteten dann über die Schaltfläche "+ Neuron erstellen" den Editor. Wir begannen mit der neuen Abfrage, gefolgt von einem Filter. Dieser ermittelte per UND-Verknüpfung aus der Rückgabe der Abfrage alle Clients, die über einen Dienst mit dem Namen "Spooler" verfügen, dessen Status gleich "1" ist (Bild 3). Dazu mussten wir wissen, dass Ivanti mit den internen Namen der Windows-Dienste arbeitet und der Wert 1 einen gestoppten Dienst anzeigt, der Wert 4 einen laufenden Dienst.

Für alle Clients, die diese Bedingungen erfüllen, wollten wir einen Neuron-Alarm erfassen, eine Meldung anzeigen und zu guter Letzt auch den Dienst neu starten. Sobald wir das Neuron mit einem Zeitplan versehen, aktiviert und gespeichert hatten, hielten wir auf unseren Clients die Druckerwarteschlange an und konnten uns davon überzeugen, dass die Neurons for Healing mit dem nächsten planmäßigen Lauf proaktiv und ohne unser Eingreifen die Störung behoben.

Die Ivanti Neurons Platform adressiert mit der Kommunikation per MQTT konsequent die zunehmende Flexibilisierung der Arbeitswelt. Das Produkt erfasst trotz ständig wechselnder Standorte und Netzanbindungen unterschiedlicher Qualität zuverlässig umfassende Inventardaten aller angeschlossenen Clients. Als besonders praktisch erwiesen sich die Neurons for Healing mit ihrem grafischen Editor. Sie helfen Admins dabei, aus der Masse an Informationen über die Endpunkte die relevanten Aspekte herauszufiltern und proaktiv auf Fehlerzustände zu reagieren – im optimalen Fall schon, bevor Anwender überhaupt bemerken, dass ein Problem vorlag.