für den IT-Administrator

Redaktion IT-Administrator

In jeder Ausgabe präsentiert Ihnen IT-Administrator Tipps, Tricks und Tools zu den aktuellen Betriebssystemen und Produkten, die in vielen Unternehmen im Einsatz sind. Wenn Sie einen tollen Tipp auf Lager haben, zögern Sie nicht und schicken Sie ihn per E-Mail an tipps@it-administrator.de.

Wir tauschen im Moment unsere verbliebenen physischen Server im Serverraum nach und nach aus. Die neuen Geräte kommen vom Hersteller Dell. Wir wollen die Rechner nun auch in unser Netzwerkmonitoring einbinden. Hierzu nutzen wir Paessler PRTG Network Monitor. Welche Möglichkeiten haben wir hier und worauf sollten wir bei der Einrichtung achten?

Für Dell-Geräte stehen in PRTG Network Monitor verschiedene Sensortypen zur Verfügung. Für das Monitoring eines Servers bieten sich beispielsweise die SNMPDell- PowerEdge-Sensoren an. Damit lassen sich unter anderem die Festplatten und der Systemzustand des Servers inklusive vieler Details überwachen. Mithilfe des integrierten Remote Access Controllers (iDRAC) ist zudem eine umfassende Überwachung via SNMP möglich. Auch dafür stehen in der PRTGSoftware Sensortypen zur Verfügung. Eine weitere Möglichkeit ist das Monitoring über Redfish – den Nachfolger von IPMI. Die Managementcontroller neuer Dell-Server haben diesen Standard bereits integriert. Um die Sensoren nutzen zu können, stellen Sie sicher, dass SNMP beziehungsweise Redfish auf dem Managementcontroller Ihres Servers aktiviert ist.

Die in diesem Schritt festgelegten Zugangsdaten hinterlegen Sie dann auf dem gewünschten Gerät im Gerätebaum Ihrer PRTG-Installation. Wie Sie die nötigen Einstellungen an Ihrem Dell-Server tätigen, können Sie am Beispiel von SNMP im Paessler-Blog nachlesen. Dort finden Sie außerdem eine ausführliche Schrittfür- Schritt-Anleitung [Link-Code: https://blog.paessler.com/monitor-dell-poweredge-servers-with-prtg] zum Einrichten der Sensoren.

Für viele weitere Tipps und Tricks rund um das Thema Monitoring mit PRTG bietet Paessler unter [Link-Code: https://www.youtube.com/c/PRTGNetworkMonitorByPAESSLER?utm_source=itadministrator&utm_medium=referral&utm_campaign=tipps] auch einen Youtube-Kanal mit Tutorials an.

Zu Wartungszwecken legen Techniker in unserem Unternehmen auf Endgeräten zum Teil eigene Konten mit lokalen Administratorrechten an, ohne diese später zu entfernen. Was ist der beste Weg, die Mitglieder der lokalen Admin-Gruppe zentral zu verwalten?

Der Missbrauch von privilegierten Rechten ist eines der gängigsten und gefährlichsten Werkzeuge in der Trickkiste von Cyberkriminellen. Daher ist es entscheidend, die Anzahl und Nutzung solcher Konten so weit wie möglich einzuschränken. Zur Verwaltung der lokalen Admin- Gruppe können Sie auf ein passendes Gruppenrichtlinienobjekt (GPO) zurückgreifen. Legen Sie dazu eine neue Richtlinie an und navigieren in den Einstellungen zu "Computerkonfiguration / Einstellungen / Systemsteuerungseinstellungen / Lokale Benutzer und Gruppen". Die Optionen "Alle Mitgliederbenutzer löschen" und "Alle Mitgliedergruppen löschen" ermöglichen es, sämtliche bisherigen Mitglieder aus der Gruppe zu entfernen. Anschließend definieren Sie selbst, wer über lokale Admin-Rechte verfügen soll. Der Haken an diesem Vorgehen ist, dass die festgelegten Benutzer und Gruppen nun auf allen mit dem Gruppenrichtlinienobjekt verknüpften Geräten als lokale Admins agieren können. Zur Einschränkung müssen Sie entweder weitere, sehr spezifische Richtlinien einrichten oder Sie gestalten die Mitgliedschaft von vornherein so restriktiv wie möglich. Sollte ein Nutzer dennoch lokale Admin- Rechte benötigen, lassen sich diese mithilfe der PowerShell zuweisen. Remote ist die Vergabe zum Beispiel mit dem Invoke- Command-Befehl möglich:

Um sicherzustellen, dass diese Admin- Rechte auch wieder entfernt werden, sollte die Zuweisung nicht händisch, sondern über geeignete Workflows mit einem automatisierten Softwarewerkzeug erfolgen. Das garantiert nicht nur die zeitnahe Löschung nicht mehr benötigter Rechte, sondern auch die vollständige Dokumentation des Vergabeprozesses für spätere Audits.

Weitere Tipps zum Thema Active Directory finden Sie im IAM-Blog von tenfold unter https://tenfold-security.com/ratgeber/

Nicht zuletzt durch Teams ist mitarbeitergesteuerte Kollaboration bekannt. Wenn wir unseren Nutzern gestatten wollen, für die Projektentwicklung, die gemeinsame Administration von Infrastruktur oder den Betrieb von Anwendungen in Azure Externe einzuladen, müssen wir das Azure AD B2B erlauben. Können Sie hier die einzelnen Settings erläutern?

In Azure AD schalten Sie über die Punkte "External Identities" und "External collaboration settings" die gewünschte Einstellung in "Guest invite restrictions" ein. Wenn Sie den eigenen Mitarbeitern freie Hand lassen wollen, Gäste aber nicht selbst Einladungen für Ihren Tenant aussprechen können sollen, finden Sie das entsprechende Setting bei "Member users and users assigned to specific admin roles can invite guest users including guests with member permissions". Die Einstellungen sind mit steigender Restriktion aufgeführt. Für direkte Projektkollaboration in Azure können Besitzer von Subscriptions über "Access control (IAM) / + Add" und "Add role assignment" Kollaborateure direkt zu Azure einladen. Nach Auswahl der Zielrolle in "Role" holen Sie im Reiter "Members" die externen Gäste ins Boot. Selbst wenn die Externen noch nicht im AAD existieren, können Sie via "+ Select members" unter Eingabe ihrer E-Mail-Adresse Gäste einladen. Nach dem Speichern und dem Schritt "Review + assign" verschickt Azure eine Einladung an den Gast. Nach Annahme wird das Gastkonto erzeugt und die Rollenzuweisung für Kollaboration angelegt.

Wir nutzen Amazon RDS (Relational Database Service), um unsere Datenbanken in der AWSCloud aufzusetzen und zu verwalten. Zur Einhaltung der gesetzlichen Vorgaben sowie im Rahmen des allgemeinen Managements müssen wir dabei unterschiedliche Instanzen überwachen. Wie lässt sich dies für unser IT-Team vereinfachen?

Für ein effektives Database-Monitoring sollten Unternehmen die wichtigsten Metriken ihrer internen Systeme messen und die Leistung ihrer Datenbanken auswerten. Eine automatische Überwachung und damit verbundene Benachrichtigungen helfen Ihrem Team, die IT-Prozesse zu analysieren und zu optimieren. Auf diese Weise lassen sich auch Ausfallzeiten frühzeitig erkennen und verhindern. Um das Monitoring zu unterstützen und auch hier Best Practices zu verfolgen, bietet AWS mehrere Möglichkeiten. Mithilfe folgender Tools und Metriken behalten Sie den Überblick über die Instanzen:

- Amazon CloudWatch: Mit Amazon CloudWatch lassen sich die wichtigsten Werte von Amazon RDS automatisch und nahezu in Echtzeit messen. Dies geschieht üblicherweise in Form von Protokollen, Metriken und Ereignissen. In der Folge lassen sich diese Ergebnisse mit automatisierten Dashboards visualisieren, um den Überblick zu verbessern.

- Enhanced Monitoring: Für die optimale Überwachung empfehlen wir, beim Anlegen einer Datenbankinstanz das sogenannte Enhanced Monitoring zu aktivieren. Standardmäßig werden nur die vom Hypervisor erfassten Metriken an CloudWatch gesendet. Das Enhanced Monitoring hingegen erfasst die Metriken mithilfe eines Agenten auf der Instanz. Dabei hat sich eine Einstellung von "5 Sekunden" als ideal erwiesen.

- CPU-Auslastung: Eine zentrale Metrik bei der Überwachung von Datenbanken stellt die CPU-Auslastung dar. Daher sollten Sie stets beobachten oder sogar aufzeichnen lassen, wie stark der Betrieb der RDS-Instanz die Verarbeitungsleistung beansprucht. Idealerweise steigt dieser Wert nicht über 80 Prozent, da es sonst zu Einschränkungen Ihrer CPU-Leistung kommen kann.

- Latenzzeiten: Ein weiterer wichtiger Wert misst die Verzögerung beim Lesen und Schreiben in Datenbanken – die sogenannten Latenzzeiten. Als ausgezeichnet gilt alles unter 1 ms, wohingegen alles über 10 ms als schlecht anzusehen ist. Liegt aber Ihre Lese- oder Schreiblatenz konstant sogar über 20 ms, sollten Sie über ein Speicherupgrade nachdenken.

- SQL-Server-Ereignisse: Idealerweise abonnieren Sie die folgenden Services für SQL-Server: Availability, Configuration Change, Deletion, Failover, Failure, Low Storage und Maintenance. Damit lassen sich die verantwortlichen User rechtzeitig benachrichtigen und Sie können bei Bedarf geeignete Gegenmaßnahmen ergreifen.

RAID-Controller der Serie Mega- RAID von Broadcom spielen in der Standardkonfiguration bei kritischen Fehlern einen akkustischen Alarm ab. Wie lässt sich dieser Signalton stoppen, sowohl pro Alarm als auch permanent?

Über das StorCLI-Kommando storcli /cx set alarm lässt sich bei einem kritischen Fehler der Alarm temporär stoppen (Parameter "silence") oder permanent deaktivieren (Parameter "off "). Um also den Alarm lediglich bis zum nächsten Neustart zu beenden, führen Sie folgendes Kommando aus – das "x" steht für die Nummer des Controllers:

Haben Sie den Alarm mit dem Parameter "off " permanent deaktiviert, können Sie dies mit dem Parameter "on" wieder rückgängig machen. Beachten Sie, dass diese Optionen nur von MegaRAIDControllern unterstützt werden, die über einen physischen Summer verfügen.

Viele weitere Tipps und Tricks zum Servermanagement, Virtualisierung und Linux finden Sie im Thomas-Krenn-Wiki unter https://www.thomas-krenn.com/de/wiki/Hauptseite

Viele Unternehmen stehen vor dem Problem, während eines laufenden Cyberangriffs die bösartigen Aktivitäten und deren Auswirkungen verstehen zu müssen. Dies verschlingt wertvolle Zeit und Ressourcen, die für die Eindämmung des Angriffs und die Schadensminimierung besser eingesetzt wären. Das kostenlose Tool "Detectree" macht verdächtige Aktivitäten sichtbarer und stellt sie in Relation zueinander.

Detectree, entwickelt von WithSecure (ehemals F-Secure Business), ist ein Visualisierungstool für IT-Sicherheitsverantwortliche, die im Fall der Fälle Zusammenhänge zwischen den verdächtigen Ereignissen auf einem bestimmten Endpoint schnell erkennen müssen. Die Software strukturiert Logdaten visuell und zeigt so die Korrelation zwischen der erkannten verdächtigen Aktivität und den mit dieser Erkennung verbundenen Prozessen, Zielen im Netzwerk, Dateien oder Registrierungsschlüsseln auf. Anstatt die als Text dargestellten Logdaten manuell zu sortieren, um eine Ereigniskette zu rekonstruieren, können Sicherheitsverantwortliche anhand der Visualisierung nicht nur die Zusammenhänge erkennen, sondern auch die Art der Verbindungen, einschließlich Interaktionen, Parent-Child- Beziehungen und Codeausführung durch dritte Prozesse.

Jedoch ist das Sicherheitswerkzeug nach Angaben der Entwickler vergleichsweise komplex in der Bedienung und der IT-Verantwortliche sollte sich ausführlich damit vertraut machen, damit im Ernstfall auch die gewünschten Ergebnisse zutage treten. Ein erster wichtiger Punkt ist das Hinterlegen der zur Abfrage der Logs notwendigen Parameter. Dazu zählen etwa die ID des zu untersuchenden Endpunkts, Prozessname und -ID und einige mehr. Hier steht aber eine Beispieldatei auf XML-Basis zur Verfügung, in der der Admin den gewünschten Scan definiert. Die Datei zeigt dabei gleichzeitig an, wie Detectree die verschiedenen Parameter zueinander in Beziehung setzt. Auf dieser Basis kommt das Tool dann im Netz zum Einsatz und erzeugt eine Visualisierung, wie sie beispielhaft im Bild zu sehen ist.

Link-Code: https://github.com/WithSecureLabs/detectree

Nicht zuletzt das SolarWinds-Orion-Desaster hat aufgezeigt, dass die Bedrohungen für die Software- Supply-Chain weiter zunehmen, gleichzeitig ist die Sicherheit in Entwicklungsumgebungen nach wie vor verbesserungswürdig. Die neuen Richtlinien des CIS (Center for Internet Security) legen allgemeine Best Practices fest und geben Empfehlungen für die Festlegung und Prüfung von Konfigurationen auf den von den Benchmarks unterstützten Plattformen. Innerhalb des Leitfadens umfassen die Empfehlungen fünf Kategorien der Software-Supply-Chain: Quellcode, Build Pipelines, Abhängigkeiten, Artefakte und Bereitstellung. Beteiligt an der Formulierung dieser Richtlinien war der IT-Security-Anbieter Aqua Security, der nun mit "Chain-Bench" ein Open-Source-Tool zur Prüfung der Software-Supply-Chain hinsichtlich der Einhaltung der neuen Best Practices bereitstellt.

Chain-Bench scannt die Entwicklung vom Quellcode bis zur Bereitstellung und vereinfacht die Einhaltung von Sicherheitsvorschriften, Standards und internen Richtlinien. Es will so sicherzustellen, dass Teams Software-Sicherheitskontrollen und Best Practices konsequent umsetzen können. So lässt sich ein dauerhaftes Audit für die Entwicklung etablieren – derzeit allerdings nur mit GitHub.

Das Tool arbeitet als Standalone-CLI und erfordert die Credentials des Prüfers sowie die URL des zu untersuchenden Software-Repositories. Die Installation von Chain-Bench ist klassisch wie auch als Docker-Image und GitHub Action möglich. Ist dies erledigt, genügt ein einziger Befehl und die Software untersucht die Software-Supply-Chain. In besagtem Befehl ist auch ein Ziel für den Chain- Bench-Output zu hinterlegen, dort findet der IT-Verantwortliche dann die Ergebnisse der Untersuchung.

Link-Code: https://github.com/aquasecurity/chain-bench

Administratoren betreuen oft Datenbankserver, auf denen sonst nichts weiter installiert werden darf oder soll, und müssen somit von einem anderem administrativen System aus auf die DB zugreifen. Dafür bietet der Markt zahlreiche kostenlose Clients. Einer der mächtigsten ist HeidiSQL, der zudem alle führenden Datenbanken unterstützt.

HeidiSQL stellt ein einfach zu bedienendes und zugleich umfangreiches Werkzeug für die Verwaltung der gängigen Datenbanksysteme MariaDB, MySQL, Microsoft SQL Server, PostgreSQL und SQLite zur Verfügung. Das Tool steht zum Installieren und portabel für Windows zur Verfügung. Darüber hinaus läuft es unter Wine für Linux und macOS, wenn das "Microsoft Visual C++ Redistributable Package" vorhanden ist. Die Oberfläche ist aktuell in rund 20 Sprachen – inklusive Deutsch – verfügbar.

Im ersten Schritt legt der Admin eine neue Verbindung zum Datenbankserver an. Für MariaDB und MySQL unterstützt HeidiSQL dabei Verbindungen durch SSH-Tunnel, was die Öffnung des Ports 3306/TCP in der Firewall vermeidet. Dies ist ein echter Mehrwert in Sachen Sicherheit und Handhabung, vor allem bei der Administration eines entfernten Servers über das Internet. Das Werkzeug erlaubt unter anderem das Anlegen und Bearbeiten von Datenbanken, Tabellen, Tabellendaten, Views, Triggers, Stored Procedures und den in MySQL 5.1 eingeführten zeitgesteuerten Ereignissen.