User für Inventarisierung

[Slim2033 0]

Hallo zusammen,

 

wir möchten endlich von Excel und weiteren selbst geführten PC-Listen zu einer Inventarisierungssoftware.

 

Ich denke viele von euch haben sowas sicher im Einsatz. Wie habt ihr das gelöst? Die meisten Softwares benötigen ja einen entsprechenden Account um die Anfragen auf den Windows Clients zu machen (wenn kein zusätzlicher Client, der  Infos verschickt, dabei ist). Hat dieser Account lokale Admin Rechte? Hat der dann auch noch weitere Rechte im AD?

 

Oder gibt es von Windows vielleicht sowas wie eine standardmäßige "Monitoring" Gruppe?

[NilsK 2.934]

Moin,

 

eine standardmäßige Gruppe gibt es für sowas nicht. Welche Rechte so ein Account braucht, hängt von der jeweiligen Software ab. Für reine Inventarisierung braucht es keine Admin-Rechte. Eine Software, die mit einem zentralen Account arbeitet, der überall Adminrechte braucht, würde ich auch nicht einsetzen wollen. Nach sowas schaut jeder Angreifer als erstes.

 

Ich würde das Thema aber auch von vorn angehen, nicht von hinten: Definiert, welche Anforderungen ihr habt. Erzeugt anhand dessen eine Marktübersicht und geht dann bei den interessantesten Kandidaten ins Detail. Sicherheitsfragen wie diese sind relevant, können aber nicht vor der funktionalen Auswahl stehen.

 

Gruß, Nils

 

[Slim2033 0]

vor 2 Minuten schrieb NilsK:

Moin,

 

eine standardmäßige Gruppe gibt es für sowas nicht. Welche Rechte so ein Account braucht, hängt von der jeweiligen Software ab. Für reine Inventarisierung braucht es keine Admin-Rechte. Eine Software, die mit einem zentralen Account arbeitet, der überall Adminrechte braucht, würde ich auch nicht einsetzen wollen. Nach sowas schaut jeder Angreifer als erstes.

 

Ich würde das Thema aber auch von vorn angehen, nicht von hinten: Definiert, welche Anforderungen ihr habt. Erzeugt anhand dessen eine Marktübersicht und geht dann bei den interessantesten Kandidaten ins Detail. Sicherheitsfragen wie diese sind relevant, können aber nicht vor der funktionalen Auswahl stehen.

 

Gruß, Nils

 

Hey Nils,

 

danke für deine Antwort!

 

"der überall Adminrechte braucht" meinst du damit die lokalen oder die Domäne-Adminrechte?

Mir wird schon etwas Bange solch einen Scan-Account selbst mit lokalen Adminrechten auszustatten, aber scheinbar benötigen das die meisten Anbieter für ihre Software.

 

Ich schaue mal weiter. Vielleicht habt ihr noch spannende Empfehlungen. :)

[NilsK 2.934]

Moin,

 

für eine "Inventarisierung" braucht man keine lokalen Adminrechte. Mag sein, dass der eine oder andere Anbieter auch Software installieren kann (dann ist es aber keine Inventarisierung) oder dass er Magie einsetzen will (die dann zu teuer erkauft ist) oder dass er seinen Agenten auf die Weise aktuell halten will (dann Finger weg, er hat das Prinzip nicht verstanden). Aber zum Auslesen relevanter Hard- und Softwaredaten braucht es nicht mehr als User-Rechte.

 

Domänen-Admin erst recht nicht. Ein Domänen-Admin verwaltet die Domäne, nicht die Clients.

 

Gruß, Nils

 

[Slim2033 0]

vor 38 Minuten schrieb NilsK:

Moin,

 

für eine "Inventarisierung" braucht man keine lokalen Adminrechte. Mag sein, dass der eine oder andere Anbieter auch Software installieren kann (dann ist es aber keine Inventarisierung) oder dass er Magie einsetzen will (die dann zu teuer erkauft ist) oder dass er seinen Agenten auf die Weise aktuell halten will (dann Finger weg, er hat das Prinzip nicht verstanden). Aber zum Auslesen relevanter Hard- und Softwaredaten braucht es nicht mehr als User-Rechte.

 

Domänen-Admin erst recht nicht. Ein Domänen-Admin verwaltet die Domäne, nicht die Clients.

 

Gruß, Nils

 

Das ist eben auch das, was mich so wundert... Hast du eventuell schon Praxiserfahrung mit einer Inventarisierungssoftware gemacht und kannst mir entsprechend eine Empfehlung aussprechen. :)?

[Nobbyaushb 1.471]

Dokusnap - auch wenn ich nicht Nils bin

[Slim2033 0]

vor 3 Minuten schrieb Nobbyaushb:

Dokusnap - auch wenn ich nicht Nils bin

Dir sei es erlaubt. :P

 

Vielen Dank, ich schaue mal. Ich glaube allerdings das war relativ kostenintensiv.

Wie ich gerade gelesen habe ist Docusnap einer dieser "Domänen-Admin-Scanner"...

@Nobbyaushb habt ihr Docusnap im Einsatz? Habt ihr dort auch wirklich euren Domäneadmin hinterlegt bzw. einen Account mit Domänen-Admin-Rechten?

[Sunny61 806]

Welche Anforderungen hast Du denn an die Software? Was soll sie alles in welcher Taktung auslesen?

[magheinz 110]

Glpi in Verbindung mit fusioninventory. 

Beides open source. 

Ein Ticket-System ist ich gleich dabei. 

Das System nutzt einen agent auf den Rechnern. 

[v-rtc 88]

3 hours ago, magheinz said:

Glpi in Verbindung mit fusioninventory. 

Beides open source. 

Ein Ticket-System ist ich gleich dabei. 

Das System nutzt einen agent auf den Rechnern. 

Mit welchen Rechten?

 

Müssen sowas ähnliches fürs Monitoring bauen, da wir keine Adminrechte verteilen möchten.

[magheinz 110]

Gerade eben schrieb v-rtc:

Mit welchen Rechten?

 

Müssen sowas ähnliches fürs Monitoring bauen, da wir keine Adminrechte verteilen möchten.

Ich schau morgen mal mir welchen Rechten der agent läuft. Da er aber auch Software installieren kann tippe ich auch admin-rechte. 

[daabm 1.354]

Die meisten Agents laufen unter SYSTEM...

[v-rtc 88]

Wäre dann ja auch nicht besser.

[NorbertFe 2.034]

vor 9 Minuten schrieb v-rtc:

Wäre dann ja auch nicht besser.

Doch. Denn system is ja nur das lokale System.

[v-rtc 88]

22 minutes ago, NorbertFe said:

Doch. Denn system is ja nur das lokale System.

Ja, aber lokal dann hohe Rechte. (Debug zum Beispiel)