#slack integration

#slack er en kommunikations platform, i stil med Facebook Messenger, Google Chat, Apple Messages m.m.
Man kommunikere i kanaler #channels, hvor man deler sine budskaber. For at kunne kommunikere med hinnanden, skal
man inviteres til den enkelte #cahnnel.

Integration i Neosec Security Server

Vi har integreret #slack i Neosec Security Server som en ekstra besked service for alarmering. Man skal oprette en #channel som benyttes til de afsendte alarmer.
Alle medlemmer af denne #channel modtager de alarmer der er sat op i Neosec.

For at benytte #slack i Neosec, skal gøre følgende.

  • Oprette en konto hos #slack, dette er gratis.
  • Oprette en channel hvor man vil have vist alle sine alarmer.
  • Oprette et webhook for den nyoprettede channel. For hver channel bliver der oprettet en unik URL, som vores #slack klient skal benytte for at kunne sende beskeder til den oprettede #slack channel.

 

Oprettelse af notification i Neosec

  • Indsæt webhook
  • Indsæt #channel navn

#slack hjemmeside

Dell PowerConnect Loop-Protect

For at beskytte mod Loop i et netværk skal man have slået en funktion på som Loop-Protection.

På Dell switche gøres dette ved en Keepalive kommando.

Keepalive kommandoen gør at switchen sender en CTP pakke ud på alle portene i et interval mellem 1-10 sekunder. Når en pakke sendes afsted, tjekker switchen om den kan se denne pakke via en af de andre porte. Hvis det er tilfældet, udløses en Keepalive action. Man kan vælge mellem to actions, Log og Err-Disable. Log giver en event i eventloggen hvor man informeres om at der er et loop. Err-Disable lukker porten ned og sørger for at loop’et ikke ødelægger netværkstrafikken.

For at kunne benytte Keepalive, så skal dette slås til Globalt på switchen.

Dette gøres på følgende måde.

Switch#(config) Keepalive 3 3 (cr)
Switch#(Config) Keepalive (cr)

Efterfølgende skal Keepalive slås til på de interfaces, man ønsker at beskytte mod Loops. Husk at dette må ikke gøres på LAG, MLAG og PortChannel porte.

Switch#(Config-If)Keepalive action error-dissable (cr)
Switch#(Config-If)Keepalive (cr)

Når en port lukkes ned i forbindelse med et loop, bliver porten sat i Shutdown. Porten kan først benyttes igen, når der er udført en Shutdown og efterfølgende no Shutdown.

Man kan tjekke status på hvilke porte der er ramt af Keepalive beskyttelsen ved hjælp af følgende kommando.

Switch#show keepalive statistics all
Keep Loop Loop Time Since Rx Port
 Port Alive Detected Count Last Loop Action Status
 -------- --------- ----------- -------- ------------- ------------- --------
 Gi1/0/3 Yes No Error disable Enable

Når en port er blevet lukket i forbindelse med et loop, så skal porten manuelt lukkes og åbnes igen før man kan benytte den igen.

Dette kan man automatisere via errdisable recovery.

Dette konfigureres i Global Config mode.

Switch#(config) Errdisable recovery cause loop-protect
Switch#(Config) Errdisable recovery interval 300

Intervallet er sat til 300 som svarer til 5 min. Det vil sige at hvis en port er blevet lukket pga. et loop, så vil denne Recovery funktion forsøge hvert 5. minut at genåbne porten så den kan benyttes igen.


Keepalive funktionen kræver at man som minimum kører med version 6.3.0.1 af Dell N2000/N3000 firmwaren.

Link til dokumentation hos Dell.

VMware Host Hardware Health Monitorering

Hver VMware Host overvåger hardwaren der håndterer den enkelte host. Via VMware Host Health Status, får man den aktuelle status på følgende komponenter.

  • CPU Processors
  • Memory
  • Fans
  • Temperature
  • Voltage
  • Power
  • Network
  • Battery
  • Storage
  • Cable/Interconnect
  • Software components
  • Watchdog
  • Other

Alle informationerne bliver opsamlet via System Management Architecture for Server Hardware (SMASH). SMASH er en industri standard som omhandler protokoller for administration af systemer i datacenter. For mere information omkring SMASH kan man følge dette link http://www.dmtf.org/standards/smash

For hver komponent gives en status

  • green : Sensoren er ok
  • red : Sensoren er i kritisk tilstand, Der er en hardware fejl på serveren.
  • unknown : Der kan ikke indhentes information omkring sensoren. dette kan forekomme hvis SMASH driveren ikke fungerer.
  • yellow : Sensoren er ok, dog kan der være et problem med hardwaren

Via Neosec Security Server kan man overvåge denne sensor status.

VMware Host Hardware Status Monitor, overvåges ved at hente listen over alle Hardware sensorene og gennemgår status. Hvis status ikke er “Green”oprettes en alert.

VMware Powercli– VMware powercli benyttes til overvågning af VMware Hosts. via dette API kan man få fat i alle managemente elememterr i VMware. Der benyttes HTTPS for kommunikation mod ESXi Host eller via VMware vCenter.

HTTPS/SSL Certifikat Monitor

Undgå at dine websider bliver usikre og ikke tilgængelige for dine brugere. Udløbede SSL certifikater giver brugerne af dine websider falsk sikkerhed. Hvis et SSL certifikat udløber vil nogle webbrowsere blokere for adgangen til websiden og derved ikke give brugerne adgang.

Lad derfor Neosec Security Server holde øje med alle dine certifikater centralt. HTTPS/SSL certifikat monitoren kan monitorere interne såvel som eksterne websider der benytter SSL certifikater. Ved installation af Neosec Network Agent i f.eks. Microsoft Azure, kan man monitorere websiderne fra Internettet. Man har dermed mulighed for at få styr på de installerede certifikater på de websider der håndtere Internettet, samt websider der håndteres internt.

Med denne monitor, sikrer Neosec Security Server proaktivt, at dine SSL certifikater på webservere ikke udløber.

Funktioner

  • Monitorere SSL Certifikat udløbs dato
  • Notifikation hvis Certifikat udløbsdato er mindre end det valgte antal dage sat på monitoren.
  • Rapportering af alle monitorerede SSL Certifikater

Certificate Expiry Days

  • Antal dage før SSL Certifikatet udløber

Konfiguration af HTTPS/SSL Certificate Monitor

Angiv webadressen for det website hvor certifikatet er installeret. SSL Certifikat monitoren tjekker udløbs datoen for certifikater. Angiv herefter hvor mange dage før certifikatet udløber at der skal udløses en alarm.

Rapportering

HTTPS/SSL Monitor Certificate Expiry rapport.


  • Device Type : Windows, Network Agent
  • Agent Type : Port
  • Neosec Agent : Ja

Der kan trækkes en rapport som giver giver et godt overblik over alle de monitorerede SSL certifikater. Rapporten kan også benyttes på dashboardet.

Data der gemmes

  • HTTPS/SSL Certificate Expiry Days
  • HTTPS/SSL Certificate Expiry Monitor Response time
  • HTTPS/SSL Certificate Expiry Availability

Installer VMware tools i Windows Server 2016 Core

Ved installation af Windows Server 2016 Core i VMware vil man gerne have det mest optimale ud af serveren. For at kunne køre med den optimerede VMware VMXNET3 netværks driver, så skal der installeres VMware tools. Ved installation af Windows 2016 Core skal man huske at vælge VMXNET3 istedet for default netværks adapteren, ellers skal man til at slette netværks adapteren og tilføje den rigtige efter oprettelsen serveren i VMware.

Følgende vejledning viser hvordan man installerer VMware Tools i Windows 2016 Core.

Start med at logge på med en konto der har Administrator rettigheder. Og start Powershell.

Start VMware Tools installation via VMware vSphere klienten.

Tjek derefter om d:\ er mounted. Dette kan gøres ved at køre Get-PSDrive som viser alle de drev der er mounted på serveren.

Vælg D: drevet og start setup.exe.

Herefter starter installationen som ved den almindelige Desktop udgave af Windows 2016. Det er også muligt at køre installation i silent mode, hvor der ikke er nogen grafisk brugerflade for installationen.

Vælg Typical og tryk Next.

Gå igennem wizarden og installer VMware tools.

Tryk Finish.

Til sidst bliver man bedt om at genstarte, vælg “Yes” og serveren genstartes.

Herefter er VMware tools installeret, man kan nu få adgang til netværket med NetFX3 driveren. Man kan nu starte server konfigurationen ved at køre sconfig.

Cisco-5506-series-ASA-firewalls

Cisco ASA SNMP Konfiguration

For at kunne overvåge og monitorere Cisco ASA firewalls, så skal SNMP konfigureres. Cisco ASA firewalls understøtter SNMP version 1, 2c og 3. Cisco ASA firewalls understøtter kun læsning via SNMP, det vil sige man kan ikke ændre på konfiguration som man kan med Cisco switche.

Konfiguration af SNMP foretages via Seriel konsollen, SSH eller via den grafiske brugerflade ASDM.

SNMP Ver 1 og 2c konfigureres på følgende måde.

snmp-server enable

For at kunne kommunikere via SNMP, så skal der angives et community navn. Community navnet er et slags password eller delt nøgle der benyttes som validering og sikrer at det kun er de enheder der kender nøglen, der kan kommunikere sammen. Udover det skal man angive det logiske interface som man vil overvåge firewallen fra samt den IP adresse man kommer fra. Man kan ikke angive et range af adresser, som kan overvåge firewallen via SNMP.

snmp-server server host <logical-interface-name> poll community <string> version 2c

Konfigurationen vil se således ud, når man angiver en server der skal kunne overvåge firewallen interfacet inside.

Vi har i konfigurationen valgt at benytte SNMP version 2c i det at man her kan benytte 64bit countere. Dette er nødvendigt for overvågning af netværks interfaces der kan køre med mere end 10 Mbit. Vi har benyttet neosec som community navn.

snmp-server host inside 10.1.101.215 poll community neosec version 2c

For at identificere firewallen kan man konfigurere kontakt information og lokalitet. Disse informationer vises i Neosec Security Server når firewallen er tilføjet.

snmp-server contact IT Afdelingen
snmp-server location Hovedkrydsfelt

Husk at gemme konfigurationen bagefter.

write memory

Man kan lave yderligere ændringer til SNMP konfiguration udover standard. Som standard lytter Cisco ASA firewallen på port 161 for SNMP forespørgelser. Dette kan ændres med følgende kommando.

snmp-server listen-port 161

Yderligere så kan man konfigurere firewallen til at sende Traps via SNMP. Som standard benytter jeg Syslog som log kilde, men man kan også benytte SNMP som log kilde.

snap-server host inside 10.1.101.215 trap community neosec version 2c

Følgende Trap categorier kan tilvælges:

  • All
  • Connection-limit-reached
  • CPU
  • Entity
  • ikev2
  • Interface-threshold
  • iPsec
  • Memory-threshold
  • Nat
  • Remote-access
  • SNMP
  • Syslog
snmp-server enable traps <categori>

For yderligere information omkring SNMP følge da dette link.

PowerShell

Overvågning med PowerShell

Overvågning med PowerShell

PowerShell er Microsofts integrerede scripting værktøj som giver mulighed for automatisering af processer og administration af windows servere og windows klienter. Det giver adgang til en kommando shell hvor man kan udføre enkelt kommandoer eller scripts. PowerShell er en erstatning af VB Script.

PowerShell 2.0 indgik i ServicePacks til Windows XP, Vista og server 2003/2008. PowerShell version 3.0 er integreret i Windows Server 2012 samt 2012R2. PowerShell kan opgraderes på Windows 8.0 og 8.1. samt Windows 7 via en ServicePack. Det samme er gældende for Windows Server 2008 og 2008R2.

Microsoft udvikler løbende tools bestående af en række cmdlets, kommandoer til at konfigurere og administrere Windows funktioner med PowerShell.

I Neosec Security Server, giver vi mulighed for at kunne køre PowerShell cmdlets og scripts på de overvågede servere. Neosec Security Server benytter også PowerShell for Windows server monitorering. Neosec Security server understøtter ver. 3.0 og nyere.

Følgende monitore benytter PowerShell

  • windows DHCP Server 2012, 2012R2

Klargøring af Neosec Security Server og PowerShell

Før man kan benytte PowerShell via Neosec Security server, skal de rigtige versioner installeres.

På windows Server 2008 er version 2.0 installeret. Denne skal opgraderes til version 3.0 for at udnytte de nye features.

Følgende skal installeres før version 3.0 kan installeres.

  • WinRm 2.0  : Windows Management Framework Core for Windows server 2008
  • BITS 4.0 : Windows Management Framework BITS for Windows server 2008

Download Windows Management Framework 3.0

Server 2008 SP2

  • Windows6.0-KB2506146-x86.msu
  • Windows6.0-KB2506146-x64.msu

Windows 7 Service Pack 1

  • Windows6.0-KB2506143-x86.msu
  • Windows6.0-KB2506143-x64.msu

Windows 2008R2 SP1

  • Windows6.0-KB2506143-x64.msu

Windows 2012 og 2012R2

  • Her er version 3.0 allerede installeret

Powershell kommunikation

Lokalt

Kørsel af PowerShell scripts lokalt benyttes den konto man er logget ind med. Man kan også angive brugernavn og password for lokal kørsel af script via -Credential parameter.

Kørsel af PowerShell scripts lokalt er normalt tilladt og kan kører uden ekstra konfiguration.

Remote

Når man vil udføre et Powershell script på en remote maskine, kan man benytte parameteren -ComputerName. Her kan man angive den server man vil udføre scriptet på som NETBIOS navn eller FQDN. Den cmdlet eller script der skal udføres er placeret på den maskine hvor man kører Powershell scriptet fra. Det vil sige hvis man vil udføre opgaver på en server fra en Windows 8.x maskine, så skal cmdlets og script være installeret på Windows 8.x maskinen.

PowerShell benytter HTTP og SOAP for remote kommunikation. Portene tcp/5985 og tcp/5986 benyttes ved kommunikationen.

Hvis man ikke har cmdlets samt Scrips lokalt, så kan man udføre scriptet remote ved at oprette en Powershell session til den server man vil udføre scriptet på.

En af udfordringerne med remote management med Powershell er at WinRM kræver at man benytter server navnet på serveren når man forbinder sig med den. Man kan ikke benytte IP adresse eller DNS Alias. Hvis man vil benytte sig af IP adresse og DNS alias, så skal man tilføje den server man vil kommunikere med i TrustedHosts.

Følgende kommando skal køres i en PowerShell kommando prompt med Administrator rettigheder.

Set-Item WSMan:\localhost\Client\TrustedHosts -value *

For at slette informationen i TrustedHosts skal følgende kommando udføres.

Clear-Item WSMan:\localhost\Client\TrustedHosts

For at verificere at man har konfigureret TrustedHosts skal følgende kommando udføres.

Get-Item WSMan:\localhost\Client\TrustedHosts

Hvis man skal forbinde sig til en Windows Server 2008 eller 2008R2, så skal man først aktivere WinRM, dette er ikke automatisk startet. På Windows Server 2012 og 2012R2 er WINrm automatisk startet.

Via Windows PowerShell skrives følgende kommando

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -force

Via Windows PowerShell skrives herefter følgende kommando som aktivere alle de firewall regler der skal være for at kommunikere med serveren via WINrm. Udover dette konfigureres der også en HTTP service som acceptere WS-Man forbindelser, som er det vi benytterin ved remote kommunikation.

Configure-SMRemoting.ps1 -force -enable

PowerShell Query og login

Krypteret forbindelse, her udføres kommando og validering via Kerberous. Man skal kalde serveren med FQDN i det at certifikatet der kryptere forbindelse bliver valideret.

Ukrypteret forbindelse, her udføres kommando og validering ved Basic authentication uden kryptering. Her kan man benytte IP addresse eller FQDN for servernavnet.

Nyttige links

Wikipedia for PowerShell

Nyttige kommandoer

Get-Module -ListAvailable -all

Viser hvilke cmdlets og moduler der er installeret.

Import-Module -name <modulename>

installere moduler der endnu ikke er installeret.

HP Switche

HP Switch SNMP konfiguration

For at kunne overvåge og monitorere HP Procurve switche, så skal SNMP konfigureres. De fleste HP switche understøtter SNMP version 1, 2c. I de nyere versioner af deres switche er der nu også understøttelse for SNMP version 3.

HP Switche understøtter både Read og Write via SNMP, det vil sige at vi udover at kunne læse informationer fra switchene også kan gemme informationer, samt lave om i konfigurationen via SNMP.

Konfiguration af SNMP foretages via Seriel konsollen, Telnet eller SSH.

SNMP Ver 1 og 2c konfigureres på følgende måde. Følgende kommando aktivere SNMP på switchen.

snmp-server enable

For at kunne kommunikere via SNMP, så skal der angives et community navn. Community navnet er et slags password eller delt nøgle der benyttes som validering og sikrer at det kun er de enheder der kender nøglen, der kan kommunikere sammen. .

snmp-server community <Community Navn>

Hvis man ikke angiver andet end ovenstående, konfigureres snmp-server til at kunne læse som en ‘Operator’. Man kan angive en snmp-server konfiguration som ‘Operator’ eller som ‘Manager’. ‘Operator’ kan tilgå et begrænset antal MIB objekter til overvågning og et begrænset antal MIB objekter for konfigurations information på switchen. Hvis man vælger ‘Manager’ Kan man læse alle MIB objekter der findes på switchen.

Man kan yderligere vælge hvilken type adgang man skal have. Her kan man vælge ‘restricted’ som kun giver læse adgang eller ‘unrestricted’ som giver lov til at kunne læse og skrive SNMP MIB variabler.

Konfigurationen vil se således ud. Her konfigureres SNMP adgangen til switchen med community navnet neosec, som manager hvor man har adgang til alle MIB objekter og som unrestricted, der giver mulighed for både at læse og skrive.

snmp-server community neosec manager unrestricted

Konfigurationen giver adgang for SNMP version 1 og 2c. Det anbefales at vælge SNMP version 2c i Neosec, sådan at man kan overvåge Interface countere med 64 bit.

For at identificere switchen kan man konfigurere kontakt information og lokalitet. Disse informationer vises i Neosec Security Server når switchen er tilføjet.

snmp-server contact IT Afdelingen
snmp-server location Hovedkrydsfelt

Husk at gemme konfigurationen bagefter.

Neosec Security Reporter Dashboard

Auto Login i Neosec Security Reporter

Når man har en centralt placeret overvågning skærm med Neosec Security Reporter kørende, er det ikke altid at man har mus og keyboard i nærheden. Det er derfor nu muligt at konfigurere klienten med brugernavn og password sådan at den automatisk logger på Neosec Security serveren.

Auto Login, giver også den fleksibilitet at når man starter Neosec Security Reporter bliver man automatisk logget ind samt at Neosec Security Reporter starter i Dashboard tilstand.

Dashboard tilstand er en funktion hvor Neosec Security Reporter startes i Fullscreen og hvor den sættes til at skifte imellem de forskellige faner.

Kik videre via dette link, for hvordan man konfigurere Auto Login.

Hvis man har konfigureret Neosec Security Reporter til auto login, samt Fullscreen, så skal man trykke på F11 for at gå ud af Fullscreen. Herefter får man adgang til menuen hvor man kan ændre auto login.

 

Systemkrav

For at kunne få det bedste ud af  Neosec Security Server, bør man følge systemkravene.

Kravene er baseret på best practice og er anbefalinger som er testet.

Neosec Security server kan fint køre i et virtuelt miljø.

Neosec Security Server

Operativ system
  • Windows Server 2008
  • Windows Server 2008R2
  • Windows Server 2012
  • Windows Server 2012R2
  • Windows Server 2016
  • Windows Server 2019
Hukommelse
  • 8 GB eller mere
Plads krav
  • 5 GB til system installation
  • 300 GB eller mere til Log Data samt Database

Det anbefales at oprette et drev til data udover drev til database log og selve databasen.

De indsamlede logdata arkiveres hver nat, her kan man benytte en ekstern lagerkilde til håndtering af de arkiverede data. Dette kunne f.eks. være en NAS eller anden form for ekstern fil server.

.Net Framework
  • Minimum Microsoft .Net 4.5.1
Database
  • Microsoft SQL Server 2005
  • Microsoft SQL Server 2008
  • Microsoft SQL Server 2008R2
  • Microsoft SQL 2012
  • Microsoft SQL 2014
  • Microsoft SQL 2016

Neosec Klienter

Operativ System
  • Windows 7
  • Windows 8
  • Windows 8.1
  • Windows 10
  • Windows Server 2008
  • Windows Server 2008R2
  • Windows Server 2012
  • Windows Server 2012R
  • Windows Server 2016
  • Windows Server 2019
Hukommelse
  • 4 GB
Plads krav
  • Minimum 50 MB
.Net Framework
  • Minimum Microsoft .NET 4.5.1
Integration
  • Putty, Telnet/SSH client.