GSM: Upgrade

Beim Greenbone Security Manager ist ein Upgrade auf neue Versionen von Scan-Engine, Web-Schnittstelle etc. Bestandteil der Subscription und kann auf einfache Weise ausgeführt werden.

Greenbone stellt regelmäßig Upgrades bereit und die Anwender können selber entscheiden ob und wann sie eine Aktualisierung durchführen.

Details zu den Neuerungen finden sich auf dieser Seite, ebenso die Anleitung um ein Upgrade auszuführen.

Aktuell (2010-06-15): GSM 1.2.0 mit GSA 1.0.0-7

Die mit (*) gekennzeichneten Einräge ändern voreingestelltes Verhalten.

• Neues Feature: Scans pausieren

  Laufende Scans können angehalten werden. Im Gegensatz zum Stoppen wird der Scan nicht abgebrochen sondern nur die Netzwerkanfragen so lange zurückgehalten bis die Wiederaufnahme erfolgt.

• Task-Status: Anzeige des Fortschritts bei gestoppten und pausierten Scans

  Der Status eines Tasks wird anstatt nur mit "Stopped" oder "Paused" nun beispielsweise mit "Stopped at 8%" oder "Paused at 20%" angegeben.

• Result Filter: CVSS Support

  Es ist möglich Ergebnisse mit einem CVSS Mindestwert herauszufiltern.

• Result Filter: Ausblenden von hosts ohne Ergebnis möglich.

• (*) Task Details: Direkter Download blendet hosts ohne Ergebnis gemäß Default-Filter aus.

• Scan Config Family Details und Scan Config NVT Details: Risiko-Klasse (immer) und CVSS-Wert (falls vorhanden) der NVTs wird angegeben.

• (*) Optimierung der mitgelieferten Scan Configurations (Full and Fast etc.)

  Für alle Zielsysteme wird nun zunächst ein Ping ausgeführt und jeder host der nicht reagiert wird im Folgendem nicht mehr gescannt. Dies beschleunigt insbesondere Scans mit großen IP-Bereichen und wenig aktiven Systemen. In Fällen bei denen für aktive Systeme bewusst Ping blockiert ist, ist eine Scan Configuration ohne den Ping-Vorabtest zu verwenden, z.B. Full-and-fast-all-IPs.xml.

• Escalators: Neue Bedingungen bzgl. Änderungen des Threat-Levels zwischen zwei aufeinanderfolgenden Scans möglich.

• NVT Preferences: Upload von Dateien verbessert. Download ist nun ebenfalls möglich.

• Unterstützung von NTLMSSP.

• Reports: Start- und Endezeiten der Scans werden nun auch für alle hosts einzeln angegeben.

• CLI-Admin: Feed-Management nun auch über die Konsole möglich (aktuelle Version, Sync-Start und Sync-Fortschritt).

• CLI-Admin: Software-Management nun auch über die Konsole möglich (aktuelle Version, Download und Upgrade).

• CLI-Admin: Software-Upgrade, Backup/Restore-Manangement: Maximale Dauer wurden von 2 Stunden auf 1 Stunde verkürzt.

Ausblick auf nächstes Upgrade

Beachten Sie, dass weder Versionsnummer noch Datum des nächsten Upgrades vorab festgelegt werden. Auch die Feature-Liste unterliegt noch Änderungen.

Die mit (*) gekennzeichneten Einräge ändern voreingestelltes Verhalten.

• Neues Feature: Zentralisiertes Benutzermanagement via Univention Corporate Server

  Für den Univention Corporate Server (UCS) 2.3 wird eine Erweiterung zur Verfügung gestellt die eine vollständige Administration der Benutzerkonten des GSM erlaubt. UCS-verwaltete Konten können dann leicht durch eine Flagge zur Verwendung des GSM authorisiert werden.

• Neues Feature: Zentralisiertes Benutzermanagement via Microsoft Active Directory Server

  Für den Microsoft Active Directory Server (ADS) wird eine Erweiterung zur Verfügung gestellt die eine vollständige Administration der Benutzerkonten des GSM erlaubt. ADS-verwaltete Konten können dann leicht durch eine Flagge zur Verwendung des GSM authorisiert werden.

• Neues Feature: Zielsystem-Listen können via LDAP aus externem System-Management übernommen werden.

  Unterstützt werden der Univention Corporate Server (UCS) 2.3 und Microsoft Active Directory Service (ADS).

• Neues Feature: False-Positive Management

  Der neue Schweregrad-Filter erlaubt nicht nur das komfortable markieren von False-Postive Meldungen sondern das Management einer vollständig individuellen Bedrohungseinstufung.

• Neues Feature: Unterstützung von VHosts

  Es ist nun möglich für eine IP-Adresse eine Reihe von virtuellen Web-Hostnamen mitzugeben. Diese werden dann während des Scan-Vorgangs durchprobiert um die unterschiedlichen Dienste die durch einen einzelnen Webserver verwaltet werden aufzuspüren.

Versions-Stand Ihres GSM prüfen

Der Versions-Stand Ihres GSM wird direkt auf der Konsole angezeigt, ohne dass ein einloggen notwendig ist:

Welcome to the Greenbone Security Manager 1.1.0-1greenbone1 2.6.26-2-686 ttyS0


gsm login:

Alternativ wird via SSH nach Einwahl mit dem Zugangskonto "admin" die Version angezeigt:

$ ssh admin@192.168.99.123
admin@192.168.99.123's password:

Welcome to the Greenbone Security Manager 1.1.0-1greenbone1

Den Versions-Stand der Web-Oberfläche GSA (Greenbone Security Assistant) kann jeder eingerichtete Scan-Anwender über das Navigations-Menü Help->About einsehen.

GSM System-Upgrade ausführen

Backup Management

Der GSM verfügt über ein integriertes Backup-Management im Rahmen des Wartungs-Betriebssystems.

Sollten auf dem GSM bereits Scan-Daten, Konfigurationen etc. von Relevanz vorliegen, so empfiehlt sich ein internes Backup bevor ein Upgrade ausgeführt wird. Natürlich empfiehlt sich je nach Lage ein Backup auch unabhängig von einem Upgrade.

Gehen Sie für ein internes Backup wie folgt vor:

Laufende Scans werden durch ein Reboot abgebrochen. Warten Sie also bis kein Scan-Task mehr aktiv ist falls Sie keinen Abbruch wünschen.

Loggen Sie sich als Administrator auf der CLI-Admin-Oberfläche ein (siehe auch Handbuch "GSM Command Line Interface: Administrator Guide") und geben Sie das Kommando "systembackup" ein.

Das System wir nun automatisch innerhalb der nächsten 2 Stunden heruntergefahren, es wird ein vollständiges internes Backup angelegt und anschliessend wird das System wieder hochgefahren.

System Upgrade

Das Upgrade kann im laufenden Betrieb ausgeführt werden. Grundsätzlich ist es aber ratsam einen Zeitpunkt zu wählen zu dem keine Scans laufen. Für kurze Zeit (in der Regel wenige Sekunden, maximal eine Minute) ist die Web-Anwendung blockiert bzw. eine Neu-Anmeldung notwendig.

Es wird empfohlen ein lokales Backup des aktuellen Status in Betracht zu ziehen. Dieses kann mit den GSM-eigenen Mittel erfolgen und dauert etwa 2 Stunden.

Upgrade eines GSM 1.2

Das Upgrade-Verfahren wurde ab Version 1.2 vereinfacht und beschleunigt.

Loggen Sie sich als Administrator auf der CLI-Admin-Oberfläche ein (siehe auch Handbuch "GSM Command Line Interface: Administrator Guide").

Unabhängig von der Aktualisierung alle 24 Stunden können Sie jederzeit bei Netzverbindung den aktuellsten Softwarestand herunterladen. Das folgende Kommando ist also nicht notwendig wenn der GSM bereits seit mindestens 24 Stunden mit Netwerkverbindung in Betrieb ist.

gsm> softwarestartsync
Software synchronization scheduled (executed within next 10 minutes)
gsm> softwaresyncstatus
Software synchronization is scheduled.
(... ca. 5-15 Minuten ...)
gsm> softwaresyncstatus
Software synchronization neither in progress nor scheduled.

Nun kann das Upgrade erfolgen. Während des Upgrades baut der GSM keine Internet-Verbindung auf. Alle Daten die für die Aktualisierung benötigt werden sind nun bereits auf dem GSM abgelegt.

gsm> systemupgrade
System upgrade scheduled (executed within next 10 minutes)
gsm> systemupgradestatus
System upgrade is scheduled.
(... ca. 5-15 Minuten ...)
gsm> systemupgradestatus
System upgrade neither in progress nor scheduled.

Ein erfolgreiches Upgrade erkennt man an der GSM Versionsnummer nach Einloggen bei der Willkommensmeldung auf der CLI-Admin-Oberfläche (nach einem Reboot) oder an der GSA Versionsnummer im "About"-Dialog des Greenbone Security Assistant (unmittelbar).

Upgrade eines GSM 1.0 oder 1.1

Wichtig für GSM 1.0 bis 1.1: Das Upgrade wird zusammen mit dem Feed automatisch vom Greenbone Server abgeholt. D.h., das Upgrade steht ihnen nur dann zur Verfügung wenn der GSM seit mindestens 24 Stunden mit Netzverbindung in Betrieb ist. Diese Einschränkung entfällt ab Version 1.2.

Loggen Sie sich als Administrator auf der CLI-Admin-Oberfläche ein (siehe auch Handbuch "GSM Command Line Interface: Administrator Guide") und geben Sie das Kommando "systemupgrade" ein.

Von diesem Zeitpunkt an dauert es maximal 2 Stunden bis das Upgrade beendet ist. Je nach Umfang und Uhrzeit kann es auch deutlich schneller abgeschlossen sein.

Während des Upgrades baut der GSM keine Internet-Verbindung auf. Alle Daten die für die Aktualisierung benötigt werden wurden zusammen mit der letzten Feed-Synchronisation bereits auf dem GSM abgelegt.

Ein erfolgreiches Upgrade erkennt man an der GSM Versionsnummer nach Einloggen bei der Willkommensmeldung auf der CLI-Admin-Oberfläche (nach einem Reboot) oder an der GSA Versionsnummer im "About"-Dialog des Greenbone Security Assistant (unmittelbar).

Ältere Upgrades

2010-04-27: GSM 1.1.0 mit GSA 1.0.0-6

• Neues Feature: Schedules

  Ein Schedule beschreibt einen Startzeitpunkt sowie optional ein Wiederholungs-Intervall und maximale Laufzeit. Über die Verknüpfung von Scan-Tasks mit Schedules und einer E-Mail-Eskalation lässt sich ein automatisch ablaufendes Schwachstellen-Alarmsystem aufbauen.

• Neues Feature: Wiederaufnahme gestoppter Scans

  Laufende Scans die durch den Stop-Knopf oder auf andere Weise den Status "Stopped" angenommen haben können nun über den Resume-Knopf fortgeführt werden.

• Neues Feature: Task-Editor

  Über einen neuen Dialog sind nun Titel, Kommentar, Schedule und Eskalation eines Scan-Task bearbeitbar.

• Das Feed-Management im GSA zeigt nun die aktuelle Version des Greenbone Security Feeds auf dem GSM an.

• NVT Details: Ergänzung der Anzeige von Tags wie zum Beispiel die allgemeine Risiko-Einstufung und die CVSS Risiko-Einstufung.

• Verbesserte Dienste-Erkennung.

• Anzeige Server-Zeit (UTC) in Kopfzeile des GSA.

• Der Feed-Synchronisations-Prozess wurde erheblich beschleunigt.

• Das Hilfe-System ist nun dynamisch integriert. Daher wird nun auch hier der angemeldete Benutzer und die Server-Zeit angezeigt.

• Aktualisierung des integrierten Web-Anwendungs-Scanners w3af.

2010-03-11: GSM 1.0.1 mit GSA 1.0.0-5

• Signifikante Beschleunigung der Web-Oberfläche.

• Neues Feature: Notizen-Management.

  Zu jedem einzelnen Resultat im Bericht kann eine Notiz angelegt werden. Man kann sie bzgl. IP, Schweregrad oder Port verallgmeinern, so dass die Notiz entsprechend immer an der passenden Stelle in älteren und zukünftigen Berichten eingeblendet wird. Auch in die PDF-Berichte werden die Notizen, falls gewünscht, integriert.

• Neues Feature: ITG Report Format für tabellarische Zusammenfassung von IT-Grundschutz Prüfungen.

  Wurde ein IT-Grundschutz Scan ausgeführt so enthält der Bericht tabellarische Übersichten zu den Ergebnissen. Der Download eines ITG-Reports liefert eine CSV-Datei welche in eine Tabellenkalkulation, Datenbank oder Spezial-Applikation importiert werden kann.

• Neues Feature: CPE Report Format für tabellarische Zusammenfassung von CPE Inventarlisten.

  Sind in einem Scan CPE-basierte Inventarlisten angefallen, so enthält der Bericht tabellarische Übersichten zu den Ergebnissen. Der Download eines CPE-Reports liefert eine CSV-Datei welche in eine Tabellenkalkulation, Datenbank oder Spezial-Applikation importiert werden kann.

• Verbesserter WMI-Support: Dadurch liefern die IT-Grundschutz Prüfungen mehr Resultate.

• Diverse optische Verbesserungen an der Web-Oberfläche sowie den Report-Typen PDF und HTML.

• Verbesserter Import von Scan Configurations.

• Verbesserte Unterstützung für weitere Browser wie z.B. Konqueror.

• Verbesserte Mehr-Benutzer Handhabung.

• Verbesserte Berichte: Nicht-druckbare Zeichen werden nun durch Leerzeichen ersetzt.