Mittwoch, 23. November 2016

Softwareverteilung ist Sicherheitsmanagement

UPDATENOW

EmpirumAgentInstaller

Autor: Frank Dethlefsen

Datum: 23.11.2016

Version: 1.6.11.17

 

Matrix42 und Empirum sind registrierte Markennamen der Matrix42 AG.

 

Funktionsbeschreibung

Mit der Verteilung von Software-/Patchmanagement-Paketen über den Empirum Agenten sollte der Sicherheitsstatus auf dem Computer möglichst aktuell gehalten werden. Deshalb ist es unerlässlich auf sämtlichen Computern einen funktionsfähigen Empirum Agenten zu betreiben. Erfahrungen zeigen, dass der Empirum Agent aus diversen Ursachen (Windows Updates, Administratorrechte, Virenscanner, Fehlkonfigurationen, usw.) immer wieder mal gestört wird und deshalb nicht einsatzbereit ist, um den Sicherheitsstatus des Computers zu gewährleisten. Dem soll der EmpirumAgentInstaller entgegenwirken. Er wird bei jedem Computerstart über eine ADS Start-Skripts-Gruppenrichtlinie gestartet, überprüft die Empirum Agent Funktion und protokolliert das Ergebnis in einer zentralen Log-Freigabe. Falls der EmpirumAgentInstaller eine Störung erkennt, wird der Empirum Agent automatisch vollständig entfernt, neu installiert und konfiguriert.

 

Setup

Melden Sie sich auf dem Haupt-EmpirumServer per Remotedesktop administrativ an und führen die „upDateNow EmpirumAgentInstaller 2016.11.exe“ aus. (*1 siehe Anmerkungen ganz unten). Es erscheint ein Bestätigungsdialog, ob die Installation durchgeführt werden soll. Wählen Sie „continue“ für fortsetzen aus. Nun wird der aktuelle Empirum Agent in eine selbstextrahierende EmpirumAgent.exe gepackt. Es wurde ein Verzeichnis \Empirum\upDateNow\EmpirumAgentInstaller erstellt, in dem sich nun folgende Dateien und Ordner befinden:

Datei: EmpirumAgentInstaller.htm

Anleitung, die über den Link aus dem Startmenü\Programme\upDateNow\ EmpirumAgentInstaller\upDateNow EmpirumAgentInstaller - Tutorial aufgerufen werden kann.

 

Ordner: Correct

In diesem Ordner werden sämtliche Logs von funktionsbereiten Empirum Agenten gesammelt.

 

Ordner: Error

In diesem Ordner werden sämtliche Logs von gestörten Empirum Agenten gesammelt.

 

Ordner: Install

In diesem Ordner werden sämtliche Installationslogs von Empirum Agenten gesammelt.

 

Ordner: Source

Dieser Ordner beinhaltet sämtliche Dateien, die Sie später in den entsprechenden Ordner von der ADS Start-Skripts-Gruppenrichtlinie manuell kopieren müssen.

Datei: EmpirumAgentInstaller.exe

Programm, das die Empirum Agent Funktion prüft und ggf. neu installiert.

 

Datei: EmpirumAgentInstaller.ini

Konfigurationsdatei für die EmpirumAgentInstaller.exe

 

Datei: EmpirumAgent.exe

Erzeugter Selbstextrakter vom Empirum Agenten für die Installation

 

Datei: DefaultAgentConfig.xml

Empirum Agent Standard-Konfiguration-Template

 

Datei: bandwidth512KB.check

Optionale Downloaddatei, um die Bandbreite zu messen.

 

Konfigurationseinstellungen EmpirumAgentInstaller.ini

Das Setup hat die EmpirumAgentInstaller.ini standardmäßig vorkonfiguriert. Folgende Optionen können Sie anpassen:

 

LOGSHARE

UNC-Pfad von der zentralen Log-Freigabe, in die die Logdateien zurückgeschrieben werden.

 

USERNAME

Verbindungsbenutzer zu der zentralen Log-Freigabe.

 

PASSWORD

Verbindungsbenutzerpasswort. Starten Sie die “EmpirumAgentInstaller.exe /enpass”, um ein verschlüsseltes Passwort zu erzeugen oder geben Sie eines in Klarschrift an.

 

CHECK_ONLY

Setzen Sie den Wert auf 1, wenn der EmpirumAgentInstaller nur nach der Funktion des Empirum Agent prüfen soll. Es wird im Störungsfall keine Neuinstallation durchgeführt.

 

OS PERMISSION

Setzen Sie den Wert auf 1 für Betriebssysteme, auf denen Sie die Funktionsprüfung des Empirum Agenten grundsätzlich erlauben wollen.

 

CHECK_ONLY_IF_EMPIRUM_AGENT_WAS_INSTALLED

Setzen Sie den Wert auf 1, wenn der EmpirumAgentInstaller nur nach der Funktion des Empirum Agent prüfen soll, wenn der Empirum Agent zuvor schon mal installiert war.

 

DELAYED_AUTO_START

Setzen Sie den Wert auf 1, damit der Dienst ERIS mit dem Starttyp „Automatisch (Verzögert)“ konfiguriert wird. Andernfalls wird der Starttyp „Automatisch“ verwendet. Wenn Sie den Wert auf 1 setzen, können Sie auch die Verzögerungszeit mit der unteren Option AUTO_START_DELAY einstellen.

 

CHECK_MIN_BANDWIDTH_IN_KB_PER_SECOND

Setzen Sie den Wert in Kilobyte pro Sekunde, der mindestens für die Empirum Agent Installation vorhanden sein muss. Die EmpirumAgent.exe hat ca. 100MB. Sie können so Installationen über kostenpflichtige WAN-Verbindungen vermeiden. Wenn der Wert nicht gesetzt ist, wird keine Messung vorgenommen.

 

Besondere Konfigurationseinstellungen

Wenn es lokal auf dem Computer eine Datei C:\Windows\noEmpirumAgent.ini gibt, wird der Computer grundsätzlich von der Funktionsprüfung ausgeschlossen.

 

Einrichtung der ADS Start-Skripts-Gruppenrichtlinie

Starten Sie die ADS Gruppenrichtlinienverwaltung und erstellen Sie ein Gruppenrichtlinienobjekt mit dem Namen "upDateNow EmpirumAgentInstaller". Richten Sie auf das Gruppenrichtlinienobjekt folgende Richtlinie ein: Computerkonfiguration > Windows-Einstellungen > Skripts (Start/Herunterfahren) > Starten > Skripts. Klicken Sie den Button „Dateien anzeigen“ an. Es öffnet sich ein Explorer-Fenster mit Pfad zum Startup-Ordner auf dem Domain-Controller. \\<AD-FQDN>\SysVol\<AD-FQDN>\Policies\{xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}\Machine\Scripts\Startup

Kopieren Sie den gesamten Inhalt des Ordners \\<Haupt-EmpirumServer>\\EmpirumAgentInstaller$\Source\*.* in den obigen Startup-Ordner.

Fügen Sie anschließend die EmpirumAgentInstaller.exe als Skript hinzu und bestätigen Sie die Auswahl mit „übernehmen“.

Weisen Sie nun das Gruppenrichtlinienobjekt „upDateNow EmpirumAgentInstaller“ den ADS-Organisationseinheiten (OU) zu, in denen sich die zu überprüfenden Computerobjekte befinden.

 

Zentrale Log-Freigabe und Unterordner Correct, Error und Install

Log-Freigabe: \\<Haupt-EmpirumServer>\EmpirumAgentInstaller$

\Correct: Der EmpirumAgentInstaller schreibt bzw. überschreibt für jeden funktionierenden Empirum Agenten eine Datei <Computername>.log in den Log-Freigabeunterordner Correct. Es wird immer nur der letzte Status vorgehalten.

\Error: Der EmpirumAgentInstaller schreibt für jeden nicht funktionierenden Empirum Agenten eine Datei <Computername>_<Datum>_<Uhrzeit>.log in den Log-Unterordner Error. Es wird eine Log-Historie erstellt, anhand derer erkennbar ist, dass ein Computer sehr häufig oder permanent neu installiert wird. Hier sollte man manuell eingreifen bzw. den Computer ggf. neu installieren.

\Install: Der EmpirumAgentInstaller schreibt für jede Empirum Agent Installation eine Datei <Computername>_<Datum>_<Uhrzeit>.log in den Log-Unterordner Install. Es wird eine Log-Historie erstellt, anhand derer erkennbar ist, dass ein Computer sehr häufig oder ständig neu installiert wird. Hier sollte man manuell eingreifen bzw. den Computer ggf. neu installieren.

 

SWDepot-Log in der Matrix42 Management Console

Falls die Empirum Agent-Funktionsprüfung nicht erfolgreich ist, wird der Empirum Agent neu installiert. Das Installationsergebnis wird zusätzlich in der Matrix42 Management Console im SWDepot-Log geloggt.

15.02.2016 23:22:12    Domain    Computername    User    EmpirumAgentInstallerLog    1.0    0    Install    Success    INFO: Empirum Agent was installed and started successfully.

 

Lokales Log-Verzeichnis auf dem Computer

Die Empirum Agent-Funktionsprüfung und ggf. die Empirum Agent Installation wird auf dem lokalen Computer im folgendem Verzeichnis protokolliert:

C:\ProgrammData\upDateNow\EmpirumAgentInstaller\<Computername>.log

 

Neukonfiguration

Falls Sie ein Empirum Update bzw. eine neue Empirum Agent Version einsetzen oder eine Konfigurationsänderung vornehmen möchten, wiederholen Sie den Setup-Vorgang mit der „upDateNow EmpirumAgentInstaller 2016.11.exe“ wie oben beschrieben.

 

Sonstige Hinweise

Das Programm EmpirumAgentInstaller.exe ist ein 32-Bit Programm und erfordert Administratorrechte für die Ausführung.

 

Sollten Sie Fragen, Probleme oder Anregungen haben, stehe ich Ihnen gerne per Email zu Verfügung: Frank.Dethlefsen@upDateNow.de

 

*1: Uns ist bewusst, dass die Ausführung der „upDateNow EmpirumAgentInstaller 2016.11.exe“ auf einem Server aus Sicherheitsgründen nicht üblich ist. Wir haben uns dennoch dafür entschieden, weil es die Installation und Konfiguration sehr vereinfacht. Um sich davon zu überzeugen, was das Setup macht, können Sie die „upDateNow EmpirumAgentInstaller 2016.11.exe“ mit 7-Zip entpacken und das Installationsskript unter Install\Setup.inf analysieren.

 

 

Copyright © 2016 upDateNow GmbH

Diese Dokumentation ist urheberrechtlich geschützt. Alle Rechte liegen bei der upDateNow GmbH. Jede andere Nutzung, insbesondere die Weitergabe an Dritte, Speicherung innerhalb eines Datensystems, Verbreitung, Bearbeitung, Vortrag, Aufführung und Vorführung sind untersagt. Dies gilt sowohl für das gesamte Dokument als auch für Teile davon. Änderungen sind vorbehalten. Nachdruck, auch auszugsweise, ist nur mit schriftlicher Genehmigung der upDateNow GmbH gestattet.

 

Matrix42 und Empirum sind registrierte Markennamen der Matrix42 AG.

 

upDateNow GmbH

Wacholderweg 7

44869 Bochum

Deutschland

Tel.:     +49 (0)2327 - 689 - 9977

Fax:     +49 (0)2327 - 689 - 9881

E-Mail: Info@upDateNow.email

Web:   www.upDateNow.de