DIESE DOKUMENTATION IST NICHT AKTUELL!!!

FAQ

• Wir haben ein Problem. Wie kann ich Hilfe erhalten?
• Bei der Installation des Agents erscheinen Fehlermeldungen
• Nach der Installation des Agents erscheint eine Fehlermeldung "Agent not running"
  
• Meldung "Something was denied on the server. Server not in learn mode?" erscheint, wenn der Agent installiert werden soll.
• Sollten wir die DLL Prüfung einschalten?
• Bei der Verwendung des Schalters "-WSUS" passiert nichts.
  
• Import neuer Software: Welche Packer werden unterstützt?
• Ein Programm wurde verweigert, aber dies wird nicht in den Logs angezeigt.
• Popup "UNC Pfad eingeben" erscheint beim Start des AdminWizards.
• Wir haben einen Patch per Mail erhalten. Wie wird dieser aktiviert?
• Wir haben ein Problem mit dem AdminWizard. Wie erstelle ich Debug-Log Dateien?
• Wir haben ein Problem mit dem SecuLution Agent. Wie erstelle ich Debug-Log Dateien?
• Wo in der Registry finde ich die Einstellungen des AdminWizards?
• Wie lauten die Systemvoraussetzungen?
• Einige Hash Algorithmen gelten inzwischen als "gebrochen". Welchen Einfluss hat das auf die Sicherheit von SecuLution?

Wir haben ein Problem. Wie kann ich Hilfe erhalten?

• Was ist passiert?
• Was hätte stattdessen passieren sollen?
• Geben Sie bitte möglichst detaillierte Informationen an, die uns helfen, den Vorfall in den Logdateien (s.u.) aufzufinden (Datum, Uhrzeit, Benutzername, Hostname, Programmname, Hash)
• Screenshots

Senden Sie folgende Dateien ein:

• Logdatei (Syslog) des Datums, an dem das Problem aufgetreten ist
• aktuelle Datensicherung des Regelsatzes, zusätzlich ggs. auch die Datensicherung des Regelsatzes, die ca. eine Woche alt ist
• automatisch ausgeführte Scripte (nachts.bat)
• ggs. Logdatei des AdminWizards

Bei der Installation des Agents erscheinen Fehlermeldungen

Die Installation des Agents muss zwingend per Rechtsklick -> "Als Administrator ausführen" durchgeführt werden, auch wenn sonst die UAC ausgeschaltet ist oder der angemeldete Benutzer Administrator-Rechte hat. Ein einfacher Doppelklick führt zu einer fehlerhaften Installation, die sich durch Fehlermeldungen zeigt. Vor einer erneuten Installation muss zwingend erst die fehlerhafte Installation entfernt werden, indem das Programm autouninstaller.exe per Rechtsklick -> "Als Administrator ausführen" ausgeführt wird. Erst nach dem darauf folgenden Reboot kann der Agent per Rechtsklick -> "Als Administrator ausführen" auf das autosetup.exe installiert werden.

Nach der Installation des Agents erscheint eine Fehlermeldung "Agent not running"

Bei der Installation des Agents prüft die Installationsroutine den Erfolg und meldet, falls der Agent nicht korrekt installiert werden konnte. Sollte der Rechner die Installation des Agents erfolgreich abgeschlossen haben, der Agent aber nach einem Reboot dennoch nicht ordnungsgemäß funktionieren, wird dem angemeldeten Benutzer ständig die Meldung „SecuLution Agent not running! Please report this error.“ angezeigt. Wir empfehlen in diesem Falle eine manuelle Deinstallation und Neuinstallation des Agents.

Meldung "Something was denied on the server. Server not in learn mode?" erscheint, wenn der Agent installiert werden soll.

Sie erhalten bei der Installation/Update eines SecuLution Agents folgende Meldung:

"Install failed: something was denied (server not in learning mode?)"

Ursache dieser Meldung ist, dass der Agent beim Setup alle derzeit laufenden Programme auf Freigabe auf der Positivliste prüft. Ist eines der Programme nicht erlaubt, so beendet sich die Setup-Routine des Agents absichtlich, da nicht sichergestellt sein kann, dass gerade das Programm, das derzeit auf dem Rechner läuft, aber offenbar nicht in der Positivliste enthalten ist, möglicherweise beim Booten des Rechners benötigt wird! Würde genau dieses Programm zum Booten des Rechners benötigt und der Agent würde das Programm dann blockieren, hätten wir damit den Rechner „abgeschossen“, der Rechner würde möglicherweise einen Bluescreen ausgeben. Um das zu verhindern, beendet sich das Setup, wenn ein laufendes Programm vom Server verboten wurde. Und genau das teilt Ihnen diese Meldung mit.

Die Lösung ist also einfach: Schauen Sie in den Logs nach und stellen Sie fest, welches Programm während des Setups verboten wurde. Achten Sie dabei darauf, dass Sie den Filter für die Log-Einstellungen (Server-Konfiguration/Log-Level) auf maximal 3 gestellt haben.

Sollten Sie dieses Verhalten des Agents ausschalten wollen, sodass der Agent sich auch installiert, wenn Programme vom Server verweigert wurden, können Sie in der Setup.ini des SecuLution Agents die folgende Zeile einfügen:

[SecuSurf]
DontAbortSetupOnDeny=1

Dies kann insbesondere bei der Durchführung von Updates sinnvoll sein, wenn Sie Programme in der Positivliste explizit auf Verweigern gestellt haben, ohne diese auf den betreffenden Rechnern zu entfernen.

Sollten wir die DLL Prüfung einschalten?

SecuLution kann auch DLLs und andere Bibliotheken (z. B. Treiber) prüfen. Dies erlaubt eine extrem genaue Kontrolle über den ausgeführten Code. Es werden 3 Konfigurationsoptionen unterstützt:

1. DLL Prüfung aus (DLLs werden nicht geprüft)
2. RunDLL32 DLLs prüfen (durch rundll32.exe gestartete DLLs werden geprüft)
3. DLL Prüfung ein (alle DLLs werden geprüft)

Wir empfehlen die Konfigurationseinstellung "RunDLL32 DLLs prüfen" zu wählen, da dies einen guten Kompromiss zwischen dem durch die Pflege der DLLs entstehenden zusätzlichen Aufwand und der gewährleisteten Sicherheit darstellt. Das Einschalten der vollständigen DLL Überprüfung wird die Anzahl der Regeln um Faktor 8 bis 15 erhöhen, während der Zugewinn an Sicherheit vergleichsweise eher klein ist. Der Grund ist, dass SecuLution bereits mit ausgeschalteter DLL Überprüfung ein unvergleichlich hohes Sicherheitsniveau bietet. Das Einschalten der DLL Überprüfung erhöht das Sicherheitsniveau von vielleicht 99,995% auf 99,9995% (vorausgesetzt, dass 100% ige Sicherheit nie erreicht werden kann).

Das Einschalten der DLL Überprüfung wird für Hochsicherheitsumgebungen und besonders gefährdete Systeme empfohlen.

Das nachträgliche Einschalten der DLL Prüfung (sowohl "RunDLL32 DLLs prüfen" als auch "DLLs prüfen") muss zwingend mit einem Lernmodus begleitet werden, da diese DLLs bisher noch nicht Teil der Whitelist waren und somit geblockt werden würden!

Beim Start des AdminWizards mit dem Schalter -WSUS passiert nichts.

Import neuer Software: Welche Packer werden unterstützt?

Der AdminWizard kann verschiedene Dateiformate entpacken (zB. zip, rar, msi, cab und viele weitere Formate wie selbstextrahierende Installationsprogramme). Einige Dateiformate werden jedoch vom Hersteller gegen Auspacken geschützt, daher wird diese Funktion möglicherweise nicht in der Lage sein, 100% der Software zu entpacken.

Ein Programm wurde verweigert, aber dies wird nicht in den Logs angezeigt.

Dies passiert, wenn die Filtereinstellungen des Servers im Bezug auf den LogLevel auf "4" (statt "3", siehe Empfehlung) gesetzt wurden und das verweigerte Programm bereits in der Positivliste bekannt ist, aber nicht jedem, sondern nur bestimmten Benutzern erlaubt ist. Wenn nun ein Benutzer, dem das Programm nicht erlaubt ist, versucht, das Programm zu starten, wird das Programm verweigert und dabei ein LogLevel "3" Eintrag in den Logs erzeugt. Wenn der Server so konfiguriert ist, dass er nur LogLevel4 und höher loggen soll, sind derartige Vorkommnisse nicht in den Logs ersichtlich.

Lösung:

• LogLevel auf "3" setzen
• Problem reproduzieren
• Logs erneut laden (reload)
• Rechtsklick auf den Alarm
• Klick auf "zeige das Programm in der Baumansicht"
• Ändern der "Gültig für" Einstellung der Erlauben Regel auf einen Wert, der den Benutzer umfasst
• Klicken auf OK
• Änderungen aktivieren (Menu Datei/Aktivieren)

Popup "UNC Pfad eingeben" erscheint beim Start des AdminWizards.

Der AdminWizard benötigt den UNC Pfad, von dem aus Sie die Agents ausrollen unter anderem, um die Versionsnummer des Agents, den Sie zur Installation verwenden, zu ermitteln. Dieser UNC Pfad ist eine Freigabe auf einem Ihrer Server, wo Sie die Installationsdateien für das Rollout des Agents abgelegt haben. Diese Meldung erscheint, wenn in dem UNC Pfad nicht alle Dateien vorhanden sind, die zur Installation und Deinstallation des Agents benötigt werden. Im UNC Pfad selbst muss folgende Dateistruktur vorhanden sein:

Aktuelle RCM Dateien finden Sie im Installationsordner des AdminWizards im Unterordner "RCM" ("C:\Program Files (x86)\SecuLution\SecuSurf-Admin-Wizard\RCM"). Kopieren Sie die Dateien von da und überschreiben Sie damit die Dateien im RCM Ordner.

Wenn der AdminWizard Updates des Agent Installers oder Uninstallers findet, sollten Sie die heruntergeladenen zip Dateien entpacken und damit
die Dateien autosetup.exe im Unterordner "install" des RCM Pfades (s.o.) überschreiben, ebenso das autouninstall.exe im Ordner "uninstall".

Wir haben einen Patch per Mail erhalten. Wie wird dieser aktiviert?

• Erstellen Sie eine Datensicherung des aktuellen Regelsatzes (für Notfälle).
• Kopieren Sie den gesamten Inhalt des Patches (inkl. der "---- BEGIN" und "END PGP MESSAGE ---" Zeilen) in die Zwischenablage (Strg-a, Strg-c).
• Starten Sie den Admin-Wizard und loggen Sie sich ein.
• Wählen Sie das Menü "Extra/Patch aktivieren".
• Fügen Sie den Inhalt der Zwischenablage in das Textfeld ein (Strg-v) und bestätigen Sie dann mit "OK".
• Der Admin-Wizard wird Ihnen mitteilen, dass der Patch erfolgreich aktiviert wurde und ob es notwendig ist, den Server neu zu starten (z.B. beim Update des Server Codes, aber nicht bei Konfigurationsänderungen wie z.B. zusätzlichen Lizenzen). Sollten Sie mehrere Server haben, so ist der Patch immer für alle Server gleichzeitig bestimmt und wird unter den Servern automatisch repliziert. Es ist daher nicht notwendig den Patch auf jedem Server anzuwenden.
• Sollte ein Neustart des Servers notwendig sein, wählen Sie im Menü Extra den Punkt „Server -> Server neu starten“. Den besten Zeitpunkt für diesen Neustart des Servers können Sie selbst bestimmen. So lange kein dringender Grund vorliegt, dass der Patch sofort angewandt wird, kann der Neustart auch bis zum nächsten Wartungsfenster warten.
• Der Server sollte innerhalb von ca. 4 Minuten nach dem Neustart wieder online sein.

Wir haben ein Problem mit dem AdminWizard. Wie erstelle ich Debug-Log Dateien?

Wie jede Software, so ist auch SecuLution nicht fehlerfrei. Um einen Fehler zu debuggen, benötigen wir Logs. Zur Erstellung gehen Sie wie folgt vor:

• Eingabeaufforderung cmd.exe öffnen
• In cmd.exe eingeben:
  cd "\Program Files (x86)\SecuLution\SecuSurf-Admin-Wizard"
• In cmd.exe eingeben:
  SecuSurfAdminWizard.exe -turndebugmodeon

• Starten Sie nun den AdminWizard. Sie erhalten ein Popup, dessen Inhalt Sie mit CTRL-C in die Zwischenablage kopieren.

• Starten Sie einen Editor (notepad.exe) und fügen Sie die Zwischenablage ein, damit Sie diesen Pfad später leichter wiederfinden.
• Reproduzieren Sie das Problem im AdminWizard.
• Sofort nach Reproduktion des Problems sollten Sie die Log Datei an einen anderen Ort kopieren. Den Pfad finden Sie im Notepad.
• Beenden Sie den AdminWizard.
• Schalten Sie das Logging wieder aus, indem Sie in cmd.exe eintippen:
  SecuSurfAdminWizard.exe -turndebugmodeoff

• Zippen Sie die Logdatei und senden Sie diese mit einer kurzen Fehlerbeschreibung und Screenshots an info [at] seculution.com .

Wir haben ein Problem mit dem SecuLution Agent. Wie erstelle ich Debug-Log Dateien?

Um einen Fehler mit dem Agent zu debuggen, benötigen wir die Logs, die von einer Debug-Version des Agents erzeugt werden. Zur Erstellung gehen Sie auf dem Rechner, auf dem Sie das Problem reproduzieren können, wie folgt vor:

• Deinstallieren Sie den SecuLution Agent
• Schalten Sie die Erzeugung von Minidumps ein
• Installieren Sie die Debug-Version des Agents (diese erhalten Sie vom Support)
• Reproduzieren Sie das Problem
• Rebooten Sie den Rechner in den abgesicherten Modus
• Zippen Sie das Verzeichnis C:\SSLOGS
• Deinstallieren Sie den Debug-Agent mit dem Agent-Uninstaller
• Senden Sie die SSLOGS.zip Datei per Mail an den Support.

Wo in der Registry finde ich die Einstellungen des AdminWizards?

H_KEY_LOCAL_MACHINE\SOFTWARE\SecuLution\SecuSurf\Admin-Wizard

HKEY_USERS\S-1-5-21-1050957569-136395086-4194942220-1106_Classes\VirtualStore\MACHINE\SOFTWARE\Wow6432Node\SecuLution\SecuSurf\Admin-Wizard

HKEY_CURRENT_USER\Software\SecuLution\SecuSurf\Admin-Wizard

Wie lauten die Systemvoraussetzungen?

SecuLution Appliance:

• Alle VMWare Vitualisierungsprodukte (e.g. esx(i), Workstation, Player)
• Andere Virtualisierungslösungen wurden ebenfalls erfolgreich getestet .

SecuLution Agent:

• Alle modernen Versionen von Microsoft Windows werden mit vollem Feature Umfang unterstützt
• Für alte Microsoft Windows Versionen (Windows NT4, Windows 2000 and Windows XP < SP3) kann eine kompatible vom Funktionsumfang eingeschränkte Version des Agents auf Nachfrage bereitgestellt werden.

SecuLution AdminWizard:

• Alle Versionen von Microsoft Windows

SecuLution RCM Module:

• Alle Versionen von Microsoft Windows mit mindestens Windows XP SP3

Einige Hash Algorithmen gelten inzwischen als "gebrochen". Welchen Einfluss hat das auf die Sicherheit von SecuLution?