Konfigurieren von isolierten Administrationsservern, Schwachstellen in einem isolierten Netzwerk zu schließen

Bereiten Sie nach der Konfiguration des Administrationsservers mit Internetzugang jeden isolierten Administrationsserver in Ihrem Netzwerk vor, damit Sie auf verwalteten Geräten, die mit isolierten Administrationsservern verbunden sind, Schwachstellen schließen und Updates installieren.

Um isolierte Administrationsserver zu konfigurieren, führen Sie die folgenden Schritte für jeden der Administrationsserver aus:

1. Aktivieren Sie einen Lizenzschlüssel für die Funktion "Schwachstellen- und Patch-Management" (VAPM).
2. Erstellen Sie zwei Ordner auf der Festplatte, auf welcher der Administrationsserver installiert ist:
   • Einen Ordner für die Liste mit erforderlichen Updates
   • Ordner für Patches

   Sie können diesen Ordnern einen beliebigen Namen geben.

3. Gewähren Sie in den erstellten Ordnern unter Verwendung der Standardverwaltungstools des Betriebssystems der Gruppe "KLAdmins" die Berechtigung zum Ändern.
4. Verwenden Sie das Dienstprogramm "klscflag", um die Pfade zu diesen Ordnern in den Eigenschaften des Administrationsservers anzugeben.

   Öffnen Sie die Befehlszeile und wechseln Sie anschließend in das Verzeichnis mit dem Tool "klscflag". Das Tool "klscflag" befindet sich in dem Verzeichnis, in dem der Administrationsserver installiert ist. Der Standardinstallationspfad lautet "/opt/kaspersky/ksc64/sbin".

5. Führen Sie die folgenden Befehle in der Befehlszeile aus:
   • So legen Sie den Pfad zum Patch-Ordner fest:

     klscflag -fset -pv klserver -n VAPM_DATA_IMPORT_PATH -t s -v "<Pfad zum Ordner>"

   • So legen Sie den Pfad zum Ordner für die Liste mit erforderlichen Updates fest:

     klscflag -fset -pv klserver -n VAPM_REQ_EXPORT_PATH -t s -v "<Pfad zum Ordner>"

   Beispiel: klscflag -fset -pv klserver -n VAPM_DATA_IMPORT_PATH -t s -v "/OrdnerFuerPatches"

6. Verwenden Sie bei bedarf das Tool "klscflag", um anzugeben, wie oft der isolierte Administrationsserver nach neuen Patches suchen soll:

   klscflag -fset -pv klserver -n VAPM_DATA_IMPORT_PERIOD_SEC -t d -v <Wert in Sekunden>

   Standardmäßig ist der Wert auf 120 Sekunden eingestellt.

   Beispiel: klscflag -fset -pv klserver -n VAPM_DATA_IMPORT_PERIOD_SEC -t d -v 120

7. Verwenden Sie bei Bedarf das Tool "klscflag", um die SHA256-Hashes der Patches zu berechnen:

   klscflag -fset -pv klserver -n VAPM_DATA_IMPORT_VERIFY_HASH -t d -v 1

   Durch Ausführen dieses Befehls können Sie sicherstellen, dass die Patches während der Übertragung auf den isolierten Administrationsserver nicht verändert wurden und dass Sie die richtigen Patches mit den erforderlichen Updates erhalten haben.

   Standardmäßig berechnet Kaspersky Security Center Linux keine SHA256-Hashes für Patches. Nachdem der isolierte Administrationsserver die Patches erhalten hat, berechnet Kaspersky Security Center Linux bei aktivierter Option deren Hashes und vergleicht die erfassten Werte mit den Hashes, die in der Datenbank des Administrationsservers gespeichert sind. Wenn der berechnete Hash nicht mit dem Hash in der Datenbank übereinstimmt, tritt ein Fehler auf und Sie müssen den inkorrekten Patch ersetzen.

8. Erstellen Sie die Aufgabe Suche nach Schwachstellen und erforderlichen Updates, um Informationen über Patches für Drittanbieter-Software abzurufen, die auf den verwalteten Geräten installiert ist, und legen Sie anschließend den Aufgabenzeitplan fest.
9. Erstellen Sie die Aufgabe Schwachstellen schließen, um Patches anzugeben, die zum Schließen für Schwachstellen in Drittanbieter-Software verwendet werden, und legen Sie anschließend den Aufgabenzeitplan fest.

   Starten Sie die Aufgaben manuell, wenn Sie diese früher ausführen möchten, als im Zeitplan angegeben. Die Ausführungsreihenfolge der Aufgaben ist wichtig. Die Aufgabe Schwachstellen schließen muss ausgeführt werden, nachdem die Aufgabe Suche nach Schwachstellen und erforderlichen Updates ausgeführt wurde.

10. Starten Sie den Dienst des Administrationsservers neu.

Nachdem Sie alle Administrationsserver konfiguriert haben, können Sie die Patches und die Liste mit erforderlichen Updates übertragen und Schwachstellen in Programmen von Drittanbietern auf den verwalteten Geräten innerhalb eines isolierten Netzwerks beheben.