OpenAudit Classic SSL-Oberfläche

#erfreulich - ab Release 2024.01.16 ist die #OpenAudit Classic Weboberfläche auch SSL-verschlüsselt zu erreichen. Dabei wird zum Ende des Setups dem Apache Webserver ein über das beiliegende OpenSSL Commandline Werkzeug ein Zertifikat ausgestellt, das ab Ausstellung jeweils 2 Jahre gültig ist. Es reagiert auf den Servernamen oder auf einen dns alias namens "openaudit".

Der Aufruf der Weboberfläche (und damit auch der verbundenen Seiten wie PHPmyAdmin und optional Wordpress Intranet) lautet damit: https://servername:4443/openaudit. Dazu ist im OpenAudit Classic Ordner im Startmenü eine Verknüpfung hinterlegt. Testweise bleibt die Desktopverknüpfung allerdings zunächst klassisch (http://servername:888/openaudit)

Wenn das Wordpress-Intranet noch nicht aufgesetzt, aber installiert ist, kann man es aus dem SSL-verschlüsselten Aufruf von OpenAudit im Menü initiieren. Das Intranet hat damit dann auch SSL. Eine nachträglich Änderung von http:// auf https:// ist bei vorhandenen Intranets nicht ohne Aufwand möglich.

In einem kommenden Release wird auf die SSL-Verknüpfung umgestellt. Alternativen sind https://openaudit:4443. Tragen Sie dazu die IP Ihres OpenAudit Servers im DNS ein mit cname: openaudit.

Selbst ausgestelltes Zertifikat - Warnung abstellen

Weil das Zertifikat ein selbst ausgestelltes ist, meinen die aktuellen Browser, die Seite sei unsicher, da das Zertifikat nicht im Internet überprüft werden kann. Betreten Sie die Seite trotzdem. Wenn Sie das Server-Zertifikat exportieren und in den Benutzer-Speicher: "vertrauenswürdige Stammzertifizierungsstellen" importieren, versteht auch der Browser, dass die Daten SSL-verschlüsselt übertragen werden. (Klicken Sie auf das rote "nicht sicher" in der Adresszeile, dann auf Verbindung ist nicht sicher, die Zeile "Zertifikat ist ungültig". Im Register Details exportieren Sie nun das Zertifikat und speichern damit eine .CRT Datei. Diese kann durch Doppelklick in Ihr Windows System (und damit in den Browser) importiert werden.

Diese Methodik können Sie auch dann verwenden, wenn Sie die lästigen Warnungen beim Aufrufen der Geräteseite von Druckern, Netzwerk-Switches, IP-Cameras und Access-Points, sowie anderer Peripheriegeräte vermeiden möchten.

In den Enterprise-Browsern Chrome und Edge kann man die Zertifikate auch über eine Richtlinie (GPO) verteilen.

Zertifikat erneuern oder auf den Server ausstellen

Alle zwei Jahre muss das Zertifikat erneuert und erneut importiert/verteilt werden. Wechseln Sie dazu auf dem Openaudit-Server in das Verzeichnis "c:/programme (x86)/xampplite/apache/" und rufen Sie die Datei "makecert2.cmd" auf. Ein neues Zertifikat wird ausgestellt und ist wieder 2 Jahre gültig. Für die Verteilung finden Sie die Zertifikat-Datei im Ordner unter apache: ./conf/ssl.crt/

ImageGlass Viewer 9 verschlimmbessert

Bis Version 8.x (Kobe) ist ImageGlass Viewer immer noch mein Favorit. V8 lässt sich auch ECHT portabel ohne Zusatzkomponenten einsetzen.

Mit dem heute veröffentlichten #ImageGlass Viewer 9 gibt es zwar einen „portable“ Download, den man auf einen USB-Stick kopieren und ausführen kann, es müssen auf dem Zielsystem aber zunächst sowohl die .net Desktop Runtime mit 200 MB und drei Diensten, die im Hintergrund laufen, auch wenn keine andere Software sie nutzt installiert werden. Außerdem zusätzlich (rund 700 MB) die Edge Webview2 Runtime, die auch gleich den unerwünschten Browser „Microsoft Edge“ bei Windows 10 mit installiert und ca. 6 geplante Tasks mehrfach täglich im Hintergrund laufen lässt.

Zudem wurden nützliche Features und Einstellungen aus der Software entfernt – wie der integrierte EXIF-Viewer oder der Scrollbar in der Dialeiste. Dieses Feature muss nun als zusätzliche App installiert werden. Müllt das System alles nur zu!

Mit dem Update im Dezember 2024 wird Microsoft eine EU-Gesetzgebung umsetzen, nach deren Vorgabe sich der Edge bei Windows 10 und Windows 11 deinstallieren lassen muss. Derzeit kann man die Einstellungen als Insider in einer .json Datei setzen und die unerwünschte Bloatware wird entfernt.

Bei paint.net gibt es eine ECHTE „Portable“ Version, die .net und alle Bibliotheken enthält und auch nur 60 MB groß ist die ZIP. Sie funktioniert auf jedem sauberen (vanilla) Windows 10 System!

Mal sehen, ob der Entwickler auf den „Feature Request“ in Github reagiert und auch so eine Version packt, die im User-Kontext läuft und keine Zusatzkomponenten installiert braucht!

Fazit: Bis zur Version 8.10.27.9 bleibt der ImageGlass Viewer die Empfehlung der Redaktion – als schlankes, speichersparendes Programm, dass sich auch ressourcenschonend auf AVD und Terminalservern einsetzen lässt.

Downloadlink der letzten empfohlenen Version vom ImageGlass

s.dok Archiv aktualisieren bis März 2024

Innerhalb definierter Support-Zeiten bringt auch d.velop, unser Partner für unsere s.dok Dokumenten-Management Lösung, Sicherheitsupdates für das Produkt heraus. Derzeit ist Version 8.1.0.x aktuell. Das "x" steht dabei für den Patchlevel (beispielsweise: .41 oder .50).

Am 31. März 2024 werden keine Sicherheitsupdates mehr veröffentlicht - #endoflife. Für ältere Versionen als 8.1 von s.dok gilt das bereits jetzt.

[time_until date="31.03.2024"]

Bitte finden Sie über "Systemsteuerung/Programme und Funktionen" die Version Ihres s.dok Servers heraus und kontaktieren unsere Archiv-Fachspezialisten für ein mögliches Update oder Upgrade.

Gleichermaßen gilt: Wenn Sie noch die IBM DB2-Datenbank auf Ihrem s.dok Server im Einsatz haben (erkennbar am grünen Datenbanksymbol "DB2COPY" in der Taskleiste links neben der Uhr), benötigen die neuen Versionen eine Microsoft SQL-Server 2016 oder 19 Standard Lizenz. Im Regelfall werden alte Server dazu neu installiert und die Dokumente/Daten vom alten s.dok Server auf den Neuen migriert.

Veröffentlichung zum Supportende von d.velop

CISCO Anyconnect und Secure Clients

Wir möchten Ihnen gerne eine optimale Lösung für die Sicherheit Ihrer IT-Infrastruktur anbieten. Dazu empfehlen wir Ihnen, sich mit unserem Partner NetGo Firewalls von Barracuda Networks zu schützen. Diese Firewalls sind speziell für die Azure IaaS und Azur Virtual Desktop (AVD) Umgebungen sowie für die On-Premises Hauptstandorte konzipiert. Sie ermöglichen eine sichere und flexible Anbindung Ihrer verschiedenen Standorte. Außerdem können Ihre Mitarbeitenden im Außendienst und im mobilen Arbeiten den Software-VPN-Client von Barracuda auf ihren Windows PCs und Notebooks nutzen.

Wir möchten Sie auch darauf hinweisen, dass es bei der Verwendung von CISCO Routern, die im Rahmenvertrag mit der Telekom enthalten sind, zu Sicherheitsproblemen kommen kann. Es gibt eine aktuelle Sicherheitslücke, die den Update-Mechanismus von CISCO betrifft. Wenn Sie einen CISCO Router in der Hauptstelle haben, an dem auch mobile Windows Clients angebunden sind (z.B. für Homeoffice, mobiles Arbeiten oder Außendienst), sollten Sie unbedingt prüfen, ob Ihr CISCO Secure Client oder CISCO Anyconnect vpn Client auf dem neuesten Stand ist. Die aktuellen Updates erhalten Sie nur, wenn Sie bei CISCO oder über die Telekom im Rahmenvertrag eine Wartung für den CISCO Router abgeschlossen haben.

Bitte prüfen Sie Ihr Software-Inventar, ob Sie in Ihrem Unternehmen CISCO vpn Software einsetzen. Hierbei kann OpenAudit Classic hilfreich sein.

Wenn ja: Beschaffen Sie über Ihren Dienstleister den aktuellen Cisco AnyConnect Secure Mobility Client   5.0.03072 und rollen ihn an alle VPN-Endgeräte aus.

Falls Sie keine Wartung auf die CISCO Geräte haben, aber eine Barracuda Firewall (Cloudgen oder On-Prem), stellen Sie gemeinsam mit der NetGo Ihr CISCO vpn auf Barracuda um. Hier ist der Updatemechanismus der VPN-Clients mit Bordmitteln besser automatisierbar.

Falls Sie keine Barracuda Firewalls einsetzen, sondern Drittanbieter-Geräte von sophos oder Fortinet o.ä., stellen Sie mit Ihrem Dienstleister das vpn auf diese Lösung um und lassen prüfen, ob diese Geräte und Software auf dem aktuellen Stand ist. Allein bei Fortinet gibt es einmal im Monat einen Patchday, der kritische Sicherheitslücken schließt

CISCO Artikel zur aktuellen Sicherheitslücke

End of Life vieler Produkte – Zeitleiste

Wer wissen möchte, wann die eingesetzten Produkt-Versionen keinen Support oder - #wichtig - keine Sicherheitsupdates mehr bekommen, dem sei die folgende Seite empfohlen, die alle End-Daten in einer farblich gestalteten Oberfläche übersichtlich darstellt. Tipp: Windows und Office sind unter 'M' wie Microsoft zu finden:

https://endoflife.date/

Website mit EOL-Daten

Für die wichtigsten Produkte haben wir für Sie diese Zeitleiste zusammengestellt:

[timeline]
2027-01-12|=|Windows Server 2016 - Ende der Sicherheitsupdates - EOL||
2026-10-13|=|Office 2021 - keine Sicherheits-Updates mehr - EOL||
2026-07-06|=|MariaDB 10.6 (MySQL) Ende der Sicherheitsupdates - EOL||
2025-12-02|=|PHP Version 8.2 Supportende EOL (Community)||
2025-10-14|=|Office 2016 und Office 2019 - keine Sicherheits-Updates - EOL||
2025-10-10|=|Windows 10 - keine Sicherheitsupdates (Consumerversionen) - EOL||
2024-07-09|=|Microsoft SQL-Server 2014 Supportende - EOL||
2024-12-10|=|PHP Version 8.1 Supportende EOL (Community)||
2023-12-02|=|PHP Version 8.0 Supportende EOL (Community)||
2023-10-10|=|Windows Server 2012 R2 - Ende der Sicherheitsupdates - EOL
[/timeline]

CI-Cloud jetzt auch mit Roaming Signatures

Viele von Ihnen setzen das Produkt CI-Cloud von CI Solution ein, um in Outlook servergesteuerte Informationen als E-Mail-Signaturen corporateweit auszurollen. Bisher wurden die Signaturen dabei in ihrem Outlook Profilordner gespeichert. Die Outlook-Web-App ließ sich nicht bedienen.

Der Hersteller informiert uns nun über Neuerungen in Microsoft Exchange online, für die er die akteulle Version seines Produkts angepasst hat:

„Roaming Signaturen“ (Geräteübergreifende E-Mail Signaturen für Postfächer in M365 / Exchange Online) ist bei Microsoft verfügbar und bereits auf vielen Mandanden aktiviert. Die Art und Weise wie zentrale E-Mail Signaturen künftig bereitgestellt werden ändert sich damit grundlegend.

Dieses Feature wurde in den letzten Wochen auch von uns umgesetzt: Roaming Signatures wird ab sofort innnerhalb der CI-Cloud unterstützt. Damit können E-Mail Signaturen weiterhin zentral und zuverlässig verteilt werden – so wie Sie es von unseren Produkte kennen. Gleichzeitig können Sie alle Vorteile von Roaming Signatures nutzen.

Voraussetzungen 

• Anmeldung am CI-Cloud-Portal (kostenfreier Testzeitraum)
• Exchange Online - Microsoft 365 (für den Zugriff werden Tokens benötigt, die im CI-Cloud-Portal verwaltet werden.)
• API Berechtigungen (MS Graph) Basis Zugriff gewährt
• Aktiviertes CI-Sign innerhalb des CI-Cloud-Portals
• Aktive Option “Signaturen in CI-Signature Add-In anzeigen”
• Service-Benutzer mit Mailbox, ohne MFA, sowie Vollzugriff unter Exchange im Kunden-Tenant
• Mindestens eine Anmeldung bei OWA durch den Benutzer

Kontaktieren unseren Kollegen Sylwester Dupik aus unserem Team AVS-Support und lassen sich die Einrichtung gern vom Vetriebsteam anbieten.

OpenAudit Classic RDG-Export

Mit dem nächsten Release von #OpenAudit Classic können aus den Hardwarelisten auch RDG-Dateien erstellt werden. Remote Desktop Groups (.rdg) werden vom Microsoft Remote Desktop Connection Manager gelesen. Das Sysinternals Werkzeug bietet Zugriff auf alle Server (und per RDP erreichbare Sitzungen) unter einer Oberfläche.

Einstellungen können dort zentral oder pro Untergruppe getätigt werden, die Hashwert-Ablage zum Kennwort wird mit dem Benutzerprofil verknüpft, so dass Dritte die Kennwörter nicht benutzen können.

Wenn Sie nicht auf das kommende Release warten möchten – oder Ihre vorhandene Installation ohne Neuinstallation auf den aktuellen Stand bringen möchten, laden Sie sich den Quellcode über „Code/Download ZIP“ bei Github.com herunter und tauschen die Inhalte des /htdocs/openaudit Ordners und des Unterordners ./lang und ./javascript aus.

OpenAudit Classic auf Github

Quellcode zum Projekt. Das SETP-Paket mit den aktuellen Releases finden Sie später im Download-Bereich.

To come: Mit einem der nächsten Releases wird auch ein direkter Export nach Excel (im XLSX-Format) möglich sein. Das spart den Umweg über die CSV-Datei, die in Excel dann wieder als XLSX gespeichert werden musste.

PDF24 Creator sinkt in Bewertung

[Update 08.06.2024] - es gibt wieder eine aktuelle 9.x Version in 64-Bit und ohne Java/Webview). Seit Version 11.2 stellt der Hersteller der beliebten PDF-Drucker-Software (die mit dem Schaf) einige der in der GUI integrierten Funktionen auf JAVA um. Bis Version 11.1.0 konnte man das JRE- Unterverzeichnis (rund 200 MB), den WebView2-Ordner (rund 400 MB) löschen und viele Funktionen wie die Datei-Tools (im Prinzip alles außer der Toolbox, die für die meisten Nutzer im Umfeld unserer Redaktion keine nennenswerten Zusatzfunktionen enthielt) trotzdem nutzen.

Update mit Version 11.10.0: Nun kann man Webview2 bei der Installation abwählen. Ist diese Komponente bereits in Windows aktiv, wird diese verwendet. Das hat den Vorteil, dass die Installation von Microsoft automatisch aktualisiert wird und die Installationsdateien des Edge Browsers verwendet. Es gibt somit keine doppelten Bibliotheken mehr im System. Liebe Entwickler von #PDF24 Creator: Jetzt braucht Ihr nur noch JAVA ebenfalls optional zu machen. Wenn man JAVA abwählt, muss die Verbinden-Funktion wieder QPDF verwenden und am Besten das Toolbox Symbol ausgeblendet werden. Dann habt Ihr auch wieder die Gunst aller Anwender, die so ticken die Redaktion - und unsere 10 Punkte Bewertung wieder.

Seit Version 11.2 wird auch für Funktionen wie die Datei-Tools JAVA genutzt. Löscht man den enthaltenen JRE-Ordner, muss nun Adoptium Temurin JAVA Runtime 19/64-Bit installiert sein und alle drei Monate von Hand aktualisiert werden. Immerhin funktioniert OpenJDK (Adoptium Temurin) und es muss kein lizenzpflichtiges JAVA von Oracle sein. Gleiches gilt für die WebView2 Engine – und das obwohl Microsoft diese, wenn Edge installiert ist, aus demselben Ordner wie den Browser nimmt. Mit PDF24 Creator kommt also nochmal eine Webview Runtime auf das System, die nicht im Rahmen des Browsers automatisch aktualisiert wird.

PDF24Creator auf TerminalServern bzw. in AVD-Umgebungen automatisiert auf dem aktuellen Stand zu halten ist eine besondere Herausforderung und funktioniert ohne Profiwerkzeuge eher mäßig.

Stattdessen die Version 9.x (die noch nicht diesen mächtige Overhead der beiden Runtimes enthielt), ist keine Alternative, da erst mit Version 10 die echte 64-Bit-Umgebung und Bereinigung der 32-Bit-Registry-Einträge erfolgte.

Wer den PDF24-Creator als schlankes Werkzeug zum Zero-Click PDF-Erstellen beim Drucken verwenden möchte und aus der GUI alle Funktionen inklusive verbinden von Dateien, Extrahieren einzelner Seiten, Web-Optimierung, Bilder extrahieren und nicht die Toolbox benötigt, bleibe bitte bei Version 11.1.0.0 und behalte das Changelog im Auge, ob künftige Versionen Sicherheitslücken schließen. Ist das der Fall, wird man ein Riesen-Trümmer zum PDF erstellen auf Rechnern (oder Terminalservern) haben oder sich nach was Anderem umsehen müssen.

Version 11.1.0 kann hier beim Hersteller heruntergeladen werden.

Dieser Artikel ist ein Kommentar mit der Meinung der Redaktion

OpenAudit Classic Netzwerke

Das quelloffene Werkzeug für Hard- und Software-Inventur hat einige neue Funktionen bekommen.

• Über das Menü: Administrator / IP-Liste erzeugen kann eine Kommagetrennte Liste von Netzwerken in das Eingabefeld kopiert werden. Daraus wird beim Abschicken automatisch die pc_list_file.txt im scripts Ordner erneuert. Nach dieser Liste geht OpenAudit Classic vor und ermittelt das Inventar
• Herausfinden der Zweigstellen-IP-Kreise: Nachdem der erste OpenAudit Scan gelaufen ist, unter Sonstige Geräte / Printers IPv4 schauen. In der Spalte Port tauchen die IP-Adressen der Standortdrucker auf. Hat man im Active Directory beim Drucker auch den Standort dokumentiert, lassen sich so auch die Standortbezeichnungen ablesen. Diese (IP und Standort) können beispielsweise in die „00-kunde-Netzwerk-ips-leitungen.xlsx“ Datei für Dokumentationen kopiert werden.
• Nach dem ersten Scan wird auch der Windows-Domänenname (meist vollständig als FQDN) in der Systeme Liste angezeigt
• Unter „Sonstige Geräte / Gateways“ kann man herausfinden, auf welchen Wegen das Unternehmen vernetzt ist.
• Der Softwarevergleich hat nun weitere Produkte in der Liste und nimmt eine Bewertung vor: (S) bedeutet, dass die Software auf einem Server gefunden wurde, (c) auf einem Windows 10 Client (oder AVD), bzw. in einer RDS-Sitzung, (x) steht für die Empfehlung, die Software zu deinstallieren oder die Erfordernis, wenn benötigt, Lizenzen dafür vorzuweisen. S,c und x können kombiniert auftreten (sc, sx, cx beispielsweise)
  Disclaimer: Es lassen sich keine Aussagen darüber treffen, ob der Betrieb der Software vom Hersteller als kompatibel eingestuft wird und auch nicht, ob die Software auf einem neueren Betriebssystem lauffähig ist. Meist muss sie dafür kostenpflichtig aktualisiert werden.
• Das aktuelle Release von #OpenAudit Classic geht heute im Laufe des Tages online und ist unter den Downloads zu finden. Dabei wurden auch die Systemkomponenten wie PHP, MariaDB(MySQL) und die Runtimes auf den aktuellen Stand gebracht. Details in der Software-DB.

Sicherheitslücke in Bibliothek ZLIB

Eine weitere, in vielen weit verbreiteten Programmen und Werkzeugen eingesetzte Bibliothek hat eine jahrzehntelang unbekannte #Sicherheitslücke. Mit der aktuellen Version 1.2.12 von #ZLIB wurde sie am 27.3.2022 geschlossen. Da im Projekt aber nur der Quellcode bereit gestellt wurde, sind die Hersteller und Open-Source-Projekte gefordert, neue Versionen zu liefern. Sobald diese Updates zur Verfügung stehen, sollten Sie Ihre Programme und "Tools" auf den aktuellen Stand bringen oder nicht mehr genutzte, alte Produkte entfernen.

Betroffene Produkte sind (die Liste erhebt keinen Anspruch auf Vollständigkeit):

• 7-Zip, Versionen älter 21.07 (Version 21.07 hat keine zlib.dll mehr)
• Internet Explorer (wird ab 15. Juni entfernt aus Windows 10, kann aber bereits jetzt deinstalliert werden, sollte ab Server 2019 auch an Servern deinstalliert werden)
• Microsoft (Office) 365 (zlibwapi.dll 1.2.11) (auch im M365 Apps Update 2103 enthalten - Microsoft prüft)
• Apache Webserver 2.x (1.2.11)
• NMap Netzwerkscanner (zlibwapi.dll wie beim Office 1.2.11)
• Microsoft .net Framework 4.5 (1.2.11) > Neuere Versionen verfügbar
• Filezilla FTP Client (1.2.11)
• OBS Studio (1.2.11) - Videobearbeitung > Update 27.2.4 schließt die Lücke
• CISCO Anyconnect VPN Client (1.2.2.0) > Lücke laut CVS Artikel erst ab Version 1.2.2.2)
• PDF24 PDF (keine Version erkennbar) > Version 10.0.7.1 oder neuer einsetzen, alte Versionen deinstallieren
• Audacity (1.2.11)

Fazit

Ungenutzte, alte Softwareprodukte von Ihren Systemen entfernen. Warten, bis Hersteller neue Versionen (mit Stand ab 27.03.2022) herausbringen. Betroffene Softwarepakete aktualisieren.

CVS-Sicherheitseinstufung

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-25032

Digitale Signatur - Mailserver entfernen

Mit der zweiten Novelle des Signaturgesetzes (SigG) wurde die Verpflichtung, die Herkunftskette einer Rechnung nachzuweisen, umformuliert. Demnach muss der Nachweis vom Rechnungsaussteller nachwievor erbracht werden, das Werkzeug dafür muss aber keine "qualifizierte Signatur" sein.

Einige von Ihnen haben bisher weiter Ausgangsrechnungen per E-Mail signiert, um auf der Kundenseite diese Rechnungen klar von Fake-E-Mails und Phishing-E-Mails abzugrenzen. Die Anderen müssen bei einer Steuerprüfung ihrer Kunden von Hand zahlreiche Ausgangsrechnungen dem Prüfer bereitstellen.

Aufgrund gestiegener Energiepreise haben wir Sie bereits informiert, dass wir den Online-Dienst "Digitale Signatur" #Digisig zum 30. Juni 2022 einstellen. Damit keine Fehlermeldungen auftreten, müssen Sie rechtzeitig die E-Mail-Einstellungen für alle Belege vom Typ: Rechnung, Gutschrift, Sam-Rg, Sam-GS, sowie individuelle Berichte in Ihrer Umgebung prüfen, dass die Einstellung zum digital Signieren entfernt wird. Die beiden folgenden Bildschirmfotos zeigen, wo die Einstellungen vorzunehmen sind:

Bitte achten Sie darauf, Ihre Mail-Betreffs und Mail-Text Textbausteine anzupassen, dass im Text nicht mehr der Satz steht "Die Rechnung wurde digital signiert" und auch kein Verweis mehr auf den Download zum Secsigner erfolgt.

OpenAudit Classic Hard-/Software-Inventar App

Mit der quelloffenen Software "OpenAudit Classic" lassen sich Hard- und Software inventarisieren. Täglich um 11:00 Uhr laufen dabei Aufgaben, die Windows Server und -Endgeräte mit Ihrer kompletten Hardware, sowie installierter Softwarekomponenten automatisiert erfassen. In einem zweiten Scan werden mit NMAP Informationen (Hardware) über nicht Windows Geräte (Drucker, Kameras, TV-Geräte, Managed Switches) und andere IP-Geräte erfasst.

Die Oberfläche ist dabei eine lokale Webseite auf dem OpenAudit-Server, die über Port 4443 mit self-signed SSL-Zertifikat erreicht wird. Bei Bedarf kann sie zusätzlich mit einem Kennwort abgesichert werden.

#OpenAudit Classic inventarisiert nun auch „Windows apps“, die aus dem Microsoft Store installiert wurden (von allen lokalen Benutzern). Zusätzlich werden die im Benutzer-Kontext installierten Programme gelistet, wenn der Scan-User identisch ist (z.B. beim Clientseitigen Scan). Hintergrund: Wenn ein Nutzer sich über den Microsoft Store Windows Apps im Startbereich installiert, können diese nun inventarisiert werden und erscheinen in einer neuen Tabelle von #OpenAudit unter Software/Modern Apps.

Man kann die Version sehen und auf welchen Maschinen die Apps installiert sind. Zusätzlich lässt sich erkennen, ob die Endgeräte Legacy/BIOS oder UEFI gesteuert sind. Ein Bitlockerstatus lässt sich ebenfalls abfragen. Es existieren zahlreiche Auswertungen, die sich mit leichten PHP Kenntnissen erweitern lassen.

Ein weiteres Feature ist der Ordner „softwarelogos“. Legt man hier PNG-Dateien in 16×16 Pixel ab, die den Namen der Software tragen (Die ersten Zeichen bis zum Leerzeichen im Namen, z.B. microsoft.png), werden alle Softwareprodukte, die namentlich so beginnen, im Software-Register und den Softwareauflistungen mit dem Logo versehen.

#Erfreulich - Mi der aktuellen Distribution kommen die aktuellsten "stable" Versionen von Apache, MariaDB, PHP, PHPMyadmin zum Einsatz. Eine integrierte Wordpress Instanz lässt sich bei Bedarf aktivieren und als Intranet nutzen.

Die aktuelle Version erfordert das Entfernen der vorhandenen Installation und eine Neuinstallation, da die Datenbank von Oracle MySQL Community auf MariaDB Community 10.4 umgestellt wurde. Sichern Sie sich zuvor die Datei „pc-list-file.txt“ aus dem scripts Unterordner. Danach muss wieder neu inventarisiert werden. Ist dafür bereits eine Aufgabe im Windows Taskplaner vorhanden, die Aufgabe bearbeiten und die Zugangsdaten des Admin-Benutzers neu eingeben.

Download und Quellcodes

Wir haben Open-Audit als installierbare Version im Downloadbereich. Die Quellcodes sind auf Github abgelegt:

[ddownload id="3071"]

Quellcodes, Changelog und Projekt Repository sind auf Github abgelegt:

[linkbutton link="https://github.com/svenbolte/Open-Audit-Classic" label="OpenAudit Classic Quellcode und Repository auf Github"]

Installation

Systemvoraussetzungen: Windows Server 2016/2019/2022 oder neuer bzw. Windows 10/11 Pro oder Enterprise (auf Server 2012 R2 oder älter lässt sich NMAP zwar teilweise verwenden, da diese Betriebssysteme aber keine Sicherheitsupdates mehr erhalten, ist davon abzuraten).
Die Installation erfolgt über das Entpacken und Installieren des heruntergeladenen Setup-Pakets. Sollte nach der Aktualisierung der Visual-C++ Runtimes ein Neustart des Servers vorgeschlagen werden, ist dieser nicht nötig. Mit "Nein" antworten und das Setup erneut starten.

Nach der Installation die Oberfläche aufrufen und unter Administrator/IP-Liste erzeugen - Netzwerkliste aller Standortnetze im Format 192.688.1.0/24,172.26.12.0/24 eintragen. (oder erst nur das Hauptstellen-Netz). Die Subnetze zum Nachtragen bekommt man dann unter Sonstige Geräte/Printers IPv4 unter Port. Danach dann alle Netze beim IP-Listen Erzeuger eintragen. (Die durch das Programm erzeugte pc-list-file.txt enthält alle IP-Adressen aller Netzwerke, die OpenAudit Classic erfassen soll. Sie kann auch mit Excel befüllt werden, indem Sie in Zelle A1 z. B. 192.168.1.1 schreiben und dann nach unten bis Zeile 254 ausfüllen. Ab Spalte A255 beginnt dann das zweite Netz (einer Zweigstelle): 192.168.2.1. Wieder bis 254 ausfüllen. Am Ende markieren Sie den kompletten ausgefüllten Inhalt der Spalte A und kopieren ihn in die auf dem OpenAudit Classic Server Desktop liegende pc-list-file.txt Textdatei)

Rufen Sie nun die Windows Aufgabenplanung auf und öffnen unter Aufgabenplanungsbibliothek den Task: "openaudit scan täglich" und ggf. den NMAP-Scan-Task (für non-Windows Geräte). In beiden Task die Domäne auf Ihre Domäne einstellen und einen Domain-Admin verwenden (z. B. IHREDOMAIN.LOCAL\Administrator).

Für den #NMAP Task müssen Sie im Verzeichnis: "c:/programme (x86)/xampplite/htdocs/openaudit/scripts" die Datei audit.config in der unteren Hälfte im NMAP-Bereich anpassen und das IP-Netz Ihrer Hauptstelle eintragen (also erste Zeile: 192.168.1. - in der Zeile darunter: 192.168.001.

Der manuelle Start der Tasks lautet in der Open-Audit Konsole:

• cscript audit.vbs oder optional cscript audit.vbs 192.168.1.23 [username] [passwort]
• cscript nmap.vbs oder optional csctipt audit.vbs 154 (=IP-Endnummer des Geräts)

Offline- und Clientside Scans

Manchmal sind PCs so konfiguriert, dass sie nicht vom OpenAudit Classic Server erreicht und somit inventarisiert werden können (PULL-Verfahren). Außerdem sind möglicherweise Geräte außerhalb der Domäne vorhanden, die in das Inventar sollen. In diesen Fällen gibt es zwei Möglichkeiten, diese dennoch in die Datenbank zu übernehmen. Das PUSH-Verfahren sendet die Daten direkt vom Desktop des Clients an den Server (OA Clientside Scan) oder erstellt eine Textdatei auf dem Rechner, die dann über die OpenAudit Classic Oberfläche importiert werden kann. Anleitungen (howto) sind im jeweiligen Unterordner abgelegt. Laden Sie dazu die ZIP-Datei herunter und entpacken Sie.

Bevor Sie eine der enthaltenen Methoden verwenden, können Sie noch das Öffnen der Windows-Firewall versuchen:

• Wechseln Sie am OpenAudit Classic Server in der Verzeichnis "C:/Program Files (x86)/xampplite/htdocs/openaudit/scripts"
• Kopieren Sie die Datei 00-kunde-firewall-win10-open-oa.cmd auf jeden PC (z.B. auf den Desktop) und führen sie „als Administrator ausführen“ aus
• Öffnen Sie am Server die "Openaudit Classic Konsole" und führen einen Testscan aus: CSCRIPT AUDIT.VBS {IP-Adresse des Client-Rechners}

Möglicherweise funktioniert der serverseitige Scan nun und der PC ist nun in der Liste. Wenn nicht, wechseln Sie am OpenAudit Classic Server in das Verzeichnis in den Unterordner offline-scan oder oa-clientside-scan und verfahren Sie wie in der jeweiligen howto beschrieben:

[ddownload id="29236"]

Alternativ finden Sie die Ordnerstruktur aus dem Download auf Ihrem OpenAudit Classic Server unter:
C:/Program Files (x86)/xampplite/htdocs/openaudit/all-tools-scripts/

Methode 1: mit Setup (Unterordner OA-Clientside-Scan)

• aus dem Unterordner OA-CLIENTSIDE-SCAN die "openaudit-clientscan-setup.exe" ausführen und auf dem zu erfassenden PC installieren (erfordert Adminrechte)
• Die Datei "audit.config" mit dem Editor öffnen und in der Zeile audit_host="http://openaudit:888" statt "openaudit" den Servernamen oder die IP-Adresse des OpenAudit Classic Servers eintragen
  (alternativ: Für den Openaudit-Server im DNS-Server einen (A) Alias Eintrag erzeugen namens "openaudit")
• In die Windows Aufgabenplanung, die Aufgabe "Openaudit-Clientside-Scan" bearbeiten und
  und einen administrativen Benutzer auswählen zur Ausführung

oder Methode 2 (von Hand):

• Den Inhalt des Unterordners OA-CLIENTSIDE-SCAN auf den Rechner kopieren (z.B. auf den Desktop)
• Die Datei "audit.config" mit dem Editor öffnen und in der Zeile audit_host="http://openaudit:888" statt "openaudit" den Servernamen oder die IP-Adresse des OpenAudit Classic Servers eintragen
  (alternativ: Für den Openaudit-Server im DNS-Server einen (A) Alias Eintrag erzeugen namens "openaudit")
• Die Aufgabe "openaudit-clientscan.xml" in die Windows Aufgabenplanung importieren
  und einen administrativen Benutzer auswählen zur Ausführung
  (sie startet täglich um 11:00 Uhr liefert an den OpenAudit Classic Server ab)

oder OFFLINE-SCAN (nur falls Clientdside-Scans nicht funktionieren)

• Den Inhalt des Ordners: offline-scan vom Openauditserver auf einen Speicherstick kopieren.
• "offline.cmd" vom Speicherstick ausführen --> //pcname//.txt entsteht auf dem Stick.
• //pcname//.txt von C:/ mit dem Editor vom Stick öffnen und Inhalt in die Zwischenablage kopieren.
• Die OpenAudit Classic Oberfläche im Browser aufrufen https://openauditserver:4443/openaudit.
• Menü "Admin" / "Add system" aufrufen.
• Den Inhalt der Zwischenablage in das Eingabefeld dort einfügen und "Save/Speichern" drücken.

Tipps & Tricks

Kleine #FAQ dazu: Wenn die UAC an der Server-Konsole aktiv ist, wird dort die OA-Konsole im non-elevated-rights Modus gestartet. Soll der Bitlockerstatus der Notebooks dokumentiert werden, muss die Konsole "als Administrator" ausgeführt werden, bevor der cscript audit.vbs Lauf gestartet wird. Wenn Sie die OpenAudit Classic Console mit elevated rights als Verknüpfung anlegen möchten, erstellen Sie die folgende Verknüpfung:

C:\Windows\system32\cmd.exe /k pushd "C:\Program Files (x86)\xampplite\htdocs\openaudit\scripts"

OpenAudit Classic Konsole (ADMIN)

WMI-Fehler beim Verbinden lösen

Manchmal sind die Windows Rechner so konfiguriert (insbesondere, wenn sie nicht in der Domäne sind, manchmal aber auch in der Domäne), dass sie keinen WMI Remote-Zugriff zulassen. Die Lösung muss auf den Zielrechnern ausgeführt werden:

Rechte Maustaste auf Arbeitsplatz, Verwalten
Unter Benutzer den lokalen Administrator aktivieren und ihm das Kennwort des Domänen-Admins geben, der am OA Clasic Server das Inventar erstellt.
Dienste&Anwendungen / WMI-Steuerung (rechte Maustaste, Eigenschaften)
Reiter Sicherheit / Root anklicken
Button Sicherheit drücken
Lokalen (oder einen Domain Admin) hinzufügen
Erweitert anklicken, Doppelklick auf den gewählten Administrator
anwenden auf: "Dieser und untergordnete Namespaces" wählen
Alles ankreuzen (Berechtigungen nur für... Haken aber nicht setzen)
Viermal auf OK klicken, bis alle Dialoge zu sind
Computerverwaltung schließen

OpenAudit Classic neue Funktionen

Die neuste Version von #OpenAudit Classic fragt nun ab, nach welchem Standard die Platten partitioniert sind. Steht dort etwas mit GPT, ist der Rechner auf UEFI-Boot eingestellt und nicht Legacy (BIOS).

Zusätzlich – wenn man das Audit-Script mit höchsten Privilegien (als Administrator) im Task oder der admin-Befehlszeile laufen lässt, wird der Bitlocker Status der Laufwerke angezeigt (Bitlocker ist die Bordeigene Festplattenverschlüsselung von Windows 10 oder neuer). Dazu die Open-Audit-Konsole mit rechter Maustaste, als Administrator ausführen. In der Windows Aufgabe „Open-Audit PC-Scan“ muss die Schaltfläche „Höchste Privilegien“ angekreuzt sein.

Der Aufruf der Liste ist über Hardwareliste/alle Partitionen möglich oder für das einzelne Gerät in der Hardwareauflistung darunter.

Für ein Upgrade müssen vorher die Datenbank (mysql/data Ordnerstruktur) und die pc-list-file.txt aus dem scripts Verzeichnis gesichert und nach dem Upgrade restauriert werden.

Zusätzlich müssen in PHPMyadmin die beiden Spalten in der Datenbank openaudit angelegt werden:

ALTER TABLE `partition` ADD `partition_type` VARCHAR(30) NULL DEFAULT NULL;
ALTER TABLE `partition` ADD `partition_bitlocker` VARCHAR(10) NULL DEFAULT NULL;

Das aktuelle Setup finden Sie in unserem Download-Bereich, den Quellcode auf Github.

[ddownload id="3071"]

Java für alle – Adoptium Temurin

Scrollen Sie in der Liste nach unten, bis Sie die folgende Konstellation finden:

Windows x86

jre

(aktuelles Datum) 11 September 2021

.zip (37 MB)

.msi

Wenn Sie die .msi Datei herunterladen, erhalten Sie JAVA mit Setup-Programm. Hier bitte alles ankreuzen und schon ist die aktuelle Java-Version auf Ihrem System. Möchten Sie die von Programmen mitgeführte JAVA Version aktualisieren (meist in einem Unterverzeichnis JRE im Programmordner), laden Sie die ZIP-Datei herunter und ersetzen den Inhalt des JRE Ordners damit. Das funktioniert natürlich nur, wenn JAVA8 und 32-Bit benötigt werden. Ein Beispiel für solche Software ist XMind Classic 3.7.8, die letzte kostenlose Version dieser Software. Letztgenannte wird nicht mehr aktualisiert, man kann aber die enthaltene Java-Version wie oben beschrieben aktualisieren. Sofern Sie andere JAVA-Konstellationen wie 64-Bit oder die LTS Version 16 benötigen, können Sie das auf der Projektseite am Anfang einstellen und laden dann diese Version herunter. Mittlerweile kommen in meinem Umfeld keine kostenpflichtigen Funktionen mehr vor, für die ich Oracle Java benötige.

Remote Desktop Connection Manager Wiedergeburt

Getreu dem Motto "Der König ist tot - lang lebe der König" hat die #Microsoft #Sysinternals Entwicklergruppe das Werkzeug "RDCMan" wiederbelebt. Die entdeckte Sicherheitslücke wurde geschlossen und ein paar Cloud-Features und Powershell-Funktionen integriert. Wird ein 64-Bit System festgestellt, ist RDCMan.exe nun eine reinrassige 64-Bit-Anwendung. Die erste neue Version ist: 2.83.1411.0.

Offensichtlich nutzen so viele Admins (auch Microsoft-Mitarbeiter) den #RDCMan, dass man sich entschieden hat, ihn als Werkzeug weiter zur Verfügung zu stellen. Der Leistungsumfang ist ohnehin größer als in der Windows "Remote Desktop"-App aus dem Microsoft Store.

Im Vergleich zu vorher kommt der RDCMan nicht mehr mit einem .MSI-Installer, sondern kann direkt ausgeführt werden. Nicht ganz portable, weil er im Benutzerprofil globale Einstellungen abspeichert, aber direkt aufrufbar. Die Lizenzbedingungen (eula.txt) sind dieselben wie für alle Sysinternals Produkte (wie BGInfo, Process Monitor und die Sysinternals Suite).

Das Speicherformat sind wieder .RDG Dateien, allerdings weist Sysinternals darauf hin, dass sich alte Dateien zwar öffnen lassen, danach aber in einem neuen Format gespeichert wird. Globale einstellungen werden

Das Aussehen und die Bedienung ist wie vorher, d. h. Einstellungen lassen sich von oben vererben und die Server werden als live Thumbnail pro Gruppe oder global alle angezeigt.

Tipp: Wer seine globalen Einstellungen sichern möchte, findet diese nun in der Datei RDCMan.settings im Benutzerprofil.

C:\Users\%username%\AppData\Local\Microsoft\Remote Desktop Connection Manager

RDCMan.settings

Download

https://docs.microsoft.com/en-us/sysinternals/downloads/rdcman

Microsoft Docs Sysinternals Seite

Alternative

Als Alternative (mit der Möglichkeit, nicht nur RDP-Verbindungen, sondern auch VNC, TELNET, HTTP(s) Verbindungen in einer zentralen Oberfläche zu verwalten, gilt mRemoteNG. Das Projekt wurde zuletzt im Juli 2021 aktualisiert. Auch hier ist offensichtlich Bewegung drin. Im Gegensatz zum schlanken RDCMan ist mRemote aber umfangreicher und größer und erfordert eine Installation.

Java - kostenlose Alternative

Seit April 2019 (und Java Version 8 Update 211) dürfen Geschäftskunden #JAVA nur noch verwenden, wenn Sie über eine aktive Subscription (Wartungsvertrag) von Oracle verfügen. Pro "named User" kostet die Java Runtime rund 28 € pro Jahr.

Da Java aber ohne die Oracle Komponenten weiterhin Open Source Projekte sind, gibt es zahlreiche Abspaltungen (forks) aus dem kostenlosen OpenJDK. Das flexibelste Projekt, das sich auch noch über eine .msi Installer Datei einfach verteilen lässt, ist dabei #Adoptium Temurin (ehemals AdoptOpenJDK).

Auf der Projektseite kann man sich dann den passenden Installer herunterladen oder aber bestehen Java-basierte Software aktualisieren, indem man die .ZIP-Datei herunterlädt und in der Software den Inhalt des Unterordners /JRE austauscht.

Praxistipps zu Java

Ermitteln Sie zunächst, welche JAVA-Versionen bei Ihnen in Betrieb sind. Hierbei kann Ihnen das Open Source Inventarwerkzeug "Open-Audit Classic" helfen, das wir im Download Bereich für Sie anbieten.

Varianten: "Hotspot" ist derzeit weiter verbreitet als "OpenJ9". Daher bitte zunächst mit der Hotspot-Variante ausprobieren. Wenn es Fehler beim Aufruf der Software gibt, die OpenJ9 Variante installieren.

Die meisten JAVA-Anwendungen basieren auf JAVA Version 8 in 32-Bit (x86). Auf der Projektseite demnach die Windows x86 Variante herunterladen.

Laden Sie immer das Produkt herunter, wo JRE hinter steht, nicht das JDK. Wir wollen ja nicht in JAVA entwickeln, sondern nur die Runtime nutzen. Die Runtime ist zwischen 30 und 40 MB groß, das JDK über 100 MB.

Im Installationsprogramm dann bitte alles ankreuzen. Nur so werden die Umgebungsvariablen und die Registry-Einstellungen gesetzt, die helfen, dass die Software auch ohne Oracle funktioniert. Silent-Installationen lassen sich über die bekannten .MSI Parameter erstellen. Hierbei müssen die anzukreuzenden Komponenten per Befehlszeile mitgegeben werden:

msiexec /i OpenJDK8-jdk_xxx.msi /qn ADDLOCAL=FeatureMain,FeatureEnvironment,FeatureJarFileRunWith,FeatureJavaHome

Führt die von Ihnen verwendete Software JAVA mit, enthält das Software-Verzeichnis meist einen Unterordner /JRE, den es neu zu befüllen gibt. Laden Sie dazu die JRE 8 in 32 Bit der passenden Variante (meist ist das allerdings OpenJ9 und nicht Hotspot) herunter, entpacken die ZIP Datei und ersetzen den Inhalt des JRE Verzeichnisses Ihrer Software. Normalerweise sollte nun auch die Software den aktuellen Sicherheitsstand von Java haben und funktionieren

Was tun, wenn alles nicht funktioniert?

Lässt sich Ihre JAVA-basierte Software nicht mit den oben genannten Mitteln in Betrieb nehmen, nutzt sie vermutlich Komponenten von Oracle, die nicht Open Source, also lizenzpflichtig sind. In dem Fall nehmen Sie bitte Kontakt mit Ihrem Software-Lieferanten auf, ob er Versionen ohne JAVA oder ohne Oracle Komponenten anbietet. Wenn nicht, muss mit Oracle ein Wartungsvertrag abgeschlossen werden (für alle named User, die diese Software nutzen) und dann das Oracle SETUP mit der aktuellen Version ausgeführt werden.

Warnung: Vermeiden Sie bitte, unlizensierte Oracle Versionen geschäftlich zu nutzen. Da der enthaltene Updater "nach Hause telefoniert", ist es für Abmahn-Anwälte mit Oracle Mandat ein Leichtes, Sie in Regress zu nehmen.

Umzug des AdoptOpenJDK Projekts

Das AdoptOpenJDK Projekt hat angekündigt, zur Eclipse-Foundation zu wechseln. Seit Juli 2021 gibt es auch schon die "neue Seite" im Eclipse Projekt. Dort findet man aber nur das JDK, nicht die JRE Runtime. Ferner wird unter dem neuen Namen "Adoptium" nur die OpenJ9-Variante angeboten.

Wegen des Umzugs sind die aktuellen (Update 302) JRE nur unter den Nightly Builds auf der AdoptOpenJDK Seite zu finden. Die Seite aufrufen, dann "Release Archiv und nächtliche Builds" anklicken, dann "nächtliche Builds"...

https://adoptopenjdk.net/nightly.html?variant=openjdk8&jvmVariant=hotspot

Nun nach Windows suchen und die neuste Kombination als .msi Installer herunterladen:

Windows x86

jre

normal

8 Aug 2021

.zip (37 MB)

.msi

Soll es die ZIP-Datei sein, zuvor oben auf OpenJ9 umstellen.