Inhaltsverzeichnis
- OpenAudit Classic und Endpoint Manager 2 - 4
- OpenAudit Classic MariaDB ODBC Zugriff 5 - 6
- OpenAudit Classic SSL-Oberfläche 7 - 8
- Windows 10 Build 19045 erforderlich 9
- OpenAudit Classic RDG-Export 10
- OpenAudit Classic Netzwerke 11 - 12
- OpenAudit Classic Software-Vergleich 13
- Sicherheitslücken in PHP 7 - 8.1 14
- OpenAudit Classic Hard-/Software-Inventar App 15 - 21
- OpenAudit Classic - Neue Funktionen 22 - 23
- OpenAudit Classic und die Cloud 24 - 25
- OpenAudit Classic GPL - Plattform-Aktualisierung 26
OpenAudit Classic und Endpoint Manager
Überblick: Was sind die Tools grundsätzlich?
| Aspekt | Microsoft Endpoint Manager / Intune | OpenAudit Classic |
|---|---|---|
| Anbieter / Lizenzmodell | Kommerziell (Microsoft), Cloud-basiert oder hybrid | Open Source / GPL, installiert auf eigenem Server |
| Ziel / Fokus | Unified Endpoint Management (UEM): Verwaltung, Sicherheit, Richtlinien, App-Verteilung, Compliance etc. | Inventarisierung / Audit von Hardware, Software und Netzwerkelementen |
| Architektur | Cloud-nativ, mit Integration zu Azure AD, Co-Management mit On-Prem Komponenten (Configuration Manager) | Self-hosted: z. B. auf Windows Server mit Apache, PHP, MySQL/MariaDB, plus Tools wie NMap für Netzwerkgeräte |
Funktionsvergleich
Hier ein detaillierter Vergleich wichtiger Funktionsbereiche:
| Funktion | #Intune Endpoint Manager | #OpenAudit Classic |
|---|---|---|
| Inventarisierung / Asset Management | Ja – Geräte, Betriebssystem, installierte Apps, Konfigurationsdaten etc. | Hauptfunktion – Erfassung von Hardware, Software, installierten Paketen, Konfigurationen via WMI (für Windows) |
| Netzwerkgeräte & IP-Geräte erfassen | Eingeschränkt, je nach Integration und Netzwerkmanagement-Tools | Ja – per NMap / SNMP können auch Switches, Drucker, Kameras, Router etc. erkannt werden |
| Softwareverteilung / Deployment | Ja – Verteilung von Apps, Updates, Policies, Betriebssystemdeployments (z. B. via Autopilot oder Co-Management mit SCCM) | Sehr eingeschränkt – OpenAudit bietet in der Basisversion keine ausgefeilte, zentrale Softwareverteilung; gelegentlich wird WPKG als ergänzendes Tool erwähnt |
| Richtlinien, Compliance, Sicherheit | Umfangreich – Richtlinien für Verschlüsselung, Firewall, Zugriffsschutz, Conditional Access, Compliance-Überwachung usw. integriert mit Azure-Ökosystem | Kaum / gar nicht – OpenAudit ist primär ein Inventarisierungs- und Audit-Tool, nicht für Richtlinienverwaltung oder Sicherheit ausgelegt |
| Remote-Aktionen / Fernsteuerung | Ja – Sperren, Löschen, Neustarten, Remote-Wipe etc. | Nein, nicht in nennenswertem Umfang; nicht konzipiert für Fernsteuerung von Geräten |
| Skalierung & Multi-Plattform | Unterstützt Windows, macOS, iOS, Android, (teilweise Linux) | Hauptsächlich Windows / Netzwerkgeräte. Andere OS-Plattformen werden nicht umfassend verwaltet |
| Berichte, Dashboards, Reports | Ja – zentrale Dashboards, Echtzeitstatus, Analysen etc. | Ja – Reporting auf Inventardaten, Export (Excel, CSV), Visualisierungen der Datenbankinhalte |
| Offline / Clientside Scans | Bei mobilen Geräten & Offline-Fällen möglich (Synchronisierung bei Verbindung) | Ja – es gibt einen Offline-Scan-Modus bzw. clientsidigen Scan, wenn die direkte Erfassung nicht möglich ist |
| Lizenz-/Kostenmodell & Betriebskosten | Lizenzkosten, Abo-Modelle, oft Microsoft 365 / EMS Integration | Open-Source, keine Lizenzkosten, aber eigener Betrieb, Hardware, Wartung etc. |
| Integration mit Identitäts- und Sicherheitsdiensten | Stark – Azure AD, Defender, Conditional Access etc. | Minimal bis keine Integration mit externen Identitäts- oder Sicherheitsdiensten |
| Flexibilität / Erweiterbarkeit | Gut – via APIs, PowerShell, Graph API etc. | Offen durch Quellcode, Anpassungen möglich, da Open Source |
| Anwendungsfälle / Zielnutzer | Für Unternehmen, die Kontrolle, Sicherheit und Policies über Geräte hinweg benötigen | Für IT-Abteilungen, die ein Inventarisierungs- / Auditwerkzeug brauchen, ohne komplexes Management |
Stärken und Schwächen im Vergleich
Endpoint Manager – Stärken:
- Sehr umfassende Funktionen für modernes Endgeräte-Management und Sicherheit („All-in-One-Plattform“)
- Enge Integration mit Microsoft-Ökosystem (Azure AD, Defender, etc.)
- Skalierbarkeit für große Umgebungen
- Richtlinienverwaltung, Compliance, Fernaktionen etc.
Endpoint Manager – Schwächen / Limitationen:
- Lizenz- und Abo-Kosten
- Komplexität, insbesondere in heterogenen Umgebungen
- Abhängigkeit von Cloud-Diensten (insbesondere bei reiner Cloud-Nutzung)
OpenAudit Classic – Stärken:
- Kostenfrei und Open Source
- Fokus auf Inventarisierung und Audit – das macht es schlank und weniger komplex
- Unterstützung für Netzwerkgeräte dank NMap/SNMP
- Offline-Scans / Möglichkeit zur Erfassung, auch wenn Systeme zeitweise offline sind
OpenAudit Classic – Schwächen:
- Kein vollwertiges Device-Management (z. B. keine Fernverwaltung, keine Richtlinien)
- Eingeschränkte bis keine Sicherheits- oder Compliance-Funktionen
- Kein native Unterstützung für App-Verteilung oder OS-Deployment
- Selbstbetrieb und Wartung notwendig
Für wen / in welchen Szenarien eignet sich welches Tool?
- Wenn du eine Umgebung hast, in der du mehr als nur Inventarisierung brauchst — also Verteilung von Software, Durchsetzung von Sicherheitsrichtlinien, Fernsteuerung etc. — dann ist Endpoint Manager (oder ein vergleichbares UEM-Tool) die passende Wahl.
- Wenn du hauptsächlich ein Audit- / Inventarisierungs-Tool suchst, um Hardware- und Softwarebestände zu erkennen, zu dokumentieren und Analysen zu machen, dann kann OpenAudit Classic ausreichend sein — besonders, wenn Budget ein Thema ist oder du Open-Source bevorzugst.
- In manchen Fällen könnte eine Kombination sinnvoll sein: z. B. OpenAudit zur Inventarisierung plus ein UEM/Endpoint-Management-Tool für aktive Steuerung und Sicherheit.
OpenAudit Classic MariaDB ODBC Zugriff
Wer die quelloffene Inventarisierungs-Lösung OpenAudit Classic einsetzt, möchte manchmal gern mit Microsoft Excel oder Microsoft Access per #ODBC auf Tabellen des Inventars zugreifen und eigene Auswertungen erstellen. Alternativ die MariaDB Datenbank für eine eigene Intranet-Lösung, basierend auf Active Server Pages nutzen. Für beide Anforderungen habe ich eine zusammenfassende Anleitung/Checkliste erstellt, da es „Herausforderungen“ bei der Wahl des passenden Treibers aus der MariaDB Community (Office Clients 64-Bit) und (ASP-Webserver 32-Bit) gibt. Im /VCRUNTIMES Ordner vom #OpenAudit Classic Setup sind die aktuellen ODBC Treiber für Windows enthalten:
Für Open-Audit ODBC Zugriff mit Excel oder Access:
-----------------------------------------------------------
MariaDB ODBC Treiber 64-Bit .msi installieren
/vc-runtimes/mariadb-connector-odbc-3.2.3-win64.msi
ODBC einrichten (DSN, 64-Bit, passend zur 64-Bit Office Version):
---------------------------------
Am Server den DB-User auch auf andere IPs zulassen (Grant acces @ %)
Den MariaDB Treiber auswählen MariaDB 3.2.3 ODBC Driver
Assistent vorblättern, bis verify certificate sichtbar. Haken da rausnehmen!
Zuück zum Startregister!
Daten eintragen vom Server, Servername, User, Passwort
Verbindung testen und zum Register wo Codepage ausgewählt werden kann: Latin1 auswählen
-----------ASP Connections (32-Bit)------------------------
Für Classic ASP ODBC Webserver in Verbindung mit MariaDB: Auf dem Server auch Treiber 32-Bit installieren
MariaDB ODBC Treiber 64-Bit .msi installieren
/vc-runtimes/mariadb-connector-odbc-3.2.3-win64.msi
------------------------
Optional: 2. Instanz von MYSQL einrichten oder vorhandene benutzen:
/mysql Verzeichnis kopieren und die *install-w10.cmd anpassen: anderer Dienstname: Mariadbasp
"C:\Program Files (x86)\mariadbasp\bin\mysqld" --install Mariadbasp --defaults-file="C:\Program Files (x86)\mariadbasp\bin\my.ini"
Andere Pfade
mysql.ini ändern
Andere [mysqld] section ersetzen durch [mariadbasp]
port 33306 eintragen
------------------------
Driver-String in ASP Classic Code (DSN nicht notwendig):
--------------------------------------------------------
' ##### für MySQL diese Zeilen stattdessen
strConn = "Driver={MariaDB ODBC 3.2 Driver};Server=127.0.0.1;UID=root;PWD=kennworthier;DB=feedform;Port=3306;SSLVERIFY=0;CHARSET=Latin1"
OpenAudit Classic SSL-Oberfläche
#Erfreulich - ab Release 2024.01.16 ist die #OpenAudit Classic Weboberfläche auch SSL-verschlüsselt zu erreichen. Dabei wird zum Ende des Setups dem Apache Webserver ein über das beiliegende OpenSSL Commandline Werkzeug ein Zertifikat ausgestellt, das ab Ausstellung jeweils 2 Jahre gültig ist. Es reagiert auf den Servernamen oder auf einen dns alias namens "openaudit".
Der Aufruf der Weboberfläche (und damit auch der verbundenen Seiten wie PHPmyAdmin und optional Wordpress Intranet) lautet damit: https://servername:4443/openaudit. Dazu ist im OpenAudit Classic Ordner im Startmenü eine Verknüpfung hinterlegt. Testweise bleibt die Desktopverknüpfung allerdings zunächst klassisch (http://servername:888/openaudit)
Wenn das Wordpress-Intranet noch nicht aufgesetzt, aber installiert ist, kann man es aus dem SSL-verschlüsselten Aufruf von OpenAudit im Menü initiieren. Das Intranet hat damit dann auch SSL. Eine nachträglich Änderung von http:// auf https:// ist bei vorhandenen Intranets nicht ohne Aufwand möglich.
In einem kommenden Release wird auf die SSL-Verknüpfung umgestellt. Alternativen sind https://openaudit:4443. Tragen Sie dazu die IP Ihres OpenAudit Servers im DNS ein mit cname: openaudit.
Selbst ausgestelltes Zertifikat - Warnung abstellen
Weil das Zertifikat ein selbst ausgestelltes ist, meinen die aktuellen Browser, die Seite sei unsicher, da das Zertifikat nicht im Internet überprüft werden kann. Betreten Sie die Seite trotzdem. Wenn Sie das Server-Zertifikat exportieren und in den Benutzer-Speicher: "vertrauenswürdige Stammzertifizierungsstellen" importieren, versteht auch der Browser, dass die Daten SSL-verschlüsselt übertragen werden. (Klicken Sie auf das rote "nicht sicher" in der Adresszeile, dann auf Verbindung ist nicht sicher, die Zeile "Zertifikat ist ungültig". Im Register Details exportieren Sie nun das Zertifikat und speichern damit eine .CRT Datei. Diese kann durch Doppelklick in Ihr Windows System (und damit in den Browser) importiert werden.
Diese Methodik können Sie auch dann verwenden, wenn Sie die lästigen Warnungen beim Aufrufen der Geräteseite von Druckern, Netzwerk-Switches, IP-Cameras und Access-Points, sowie anderer Peripheriegeräte vermeiden möchten.
In den Enterprise-Browsern Chrome und Edge kann man die Zertifikate auch über eine Richtlinie (GPO) verteilen.
Zertifikat erneuern oder auf den Server ausstellen
Alle zwei Jahre muss das Zertifikat erneuert und erneut importiert/verteilt werden. Wechseln Sie dazu auf dem Openaudit-Server in das Verzeichnis "c:/programme (x86)/xampplite/apache/" und rufen Sie die Datei "makecert2.cmd" auf. Ein neues Zertifikat wird ausgestellt und ist wieder 2 Jahre gültig. Für die Verteilung finden Sie die Zertifikat-Datei im Ordner unter apache: ./conf/ssl.crt/
Windows 10 Build 19045 erforderlich
Microsoft erinnert derzeit daran, dass Windows 10-Versionen, die nicht das Funktionsupdate 22H2 haben, im Juni 2023 das letzte Funktionsupdate und im Oktober 2023 das letzte Sicherheitsupdate bekommen. [Update Mai 2024]: Auch die Enterprise-Version von Windows 10 bekommt nur noch automatische Updates bis Oktober 2025, wenn Version 22H2 installiert ist.
[time_until label="Windows 10 21H2 oder älter ohne Updates" date="10.10.2023"]
#Endoflife - Da das Funktionsupdate von Version 21H2 (19044) auf 22H2 (19045) nur wenige Minuten dauert, sollte es unbedingt zeitnah ausgeführt werden. Sollten Sie noch Windows 10 Systeme mit einem Build kleiner als 19041 haben, dauert die Installation des Funktionsupdates mindestens eine Stunde, ist aber umso wichtiger.
Neue Features gab es zum Juni 23 Update allerdings wenige. Es wurde aber „unter der Motorhaube“ gearbeitet. Betroffen sind auch die Windows 10 Pro und Workstation Versionen (da Microsoft sie zu den Consumer-Versionen zählen).
Prüfen Sie, welche Windows – Version auf Ihren Systemen ist. Wenn Sie #OpenAudit Classic im Einsatz haben und alle Systeme inventarisiert, reicht dazu ein Blick in die Hardwareliste. Der jeweilige "Build" wird dort in einer der rechten Spalten angezeigt. Dort muss eine 19045 enthalten sein.
Microsoft Supportseiten
In Azure Virtual Desktop (Windows 10) werden bis mindestens Januar 2027 Sicherheitsupdates angeboten. Vermutlich wird Microsoft aber die Mieter nicht zwingen, die AVD Maschinen im Pool auf Windows 11 umzustellen. Bis 2025 wird ohnehin Windows 12 oder eine akzeptable Windows 11 25H2 Version erschienen sein. Bereits in Windows 11 24H2 wurden zahlreiche Mängel der Vorversionen beseitigt.
OpenAudit Classic RDG-Export
Mit dem nächsten Release von #OpenAudit Classic können aus den Hardwarelisten auch RDG-Dateien erstellt werden. Remote Desktop Groups (.rdg) werden vom Microsoft Remote Desktop Connection Manager gelesen. Das Sysinternals Werkzeug bietet Zugriff auf alle Server (und per RDP erreichbare Sitzungen) unter einer Oberfläche.
Einstellungen können dort zentral oder pro Untergruppe getätigt werden, die Hashwert-Ablage zum Kennwort wird mit dem Benutzerprofil verknüpft, so dass Dritte die Kennwörter nicht benutzen können.
Wenn Sie nicht auf das kommende Release warten möchten – oder Ihre vorhandene Installation ohne Neuinstallation auf den aktuellen Stand bringen möchten, laden Sie sich den Quellcode über „Code/Download ZIP“ bei Github.com herunter und tauschen die Inhalte des /htdocs/openaudit Ordners und des Unterordners ./lang und ./javascript aus.
Quellcode zum Projekt. Das SETP-Paket mit den aktuellen Releases finden Sie später im Download-Bereich.
To come: Mit einem der nächsten Releases wird auch ein direkter Export nach Excel (im XLSX-Format) möglich sein. Das spart den Umweg über die CSV-Datei, die in Excel dann wieder als XLSX gespeichert werden musste.
OpenAudit Classic Netzwerke
Das quelloffene Werkzeug für Hard- und Software-Inventur hat einige neue Funktionen bekommen.
- Über das Menü: Administrator / IP-Liste erzeugen kann eine Kommagetrennte Liste von Netzwerken in das Eingabefeld kopiert werden. Daraus wird beim Abschicken automatisch die pc_list_file.txt im scripts Ordner erneuert. Nach dieser Liste geht OpenAudit Classic vor und ermittelt das Inventar
- Herausfinden der Zweigstellen-IP-Kreise: Nachdem der erste OpenAudit Scan gelaufen ist, unter Sonstige Geräte / Printers IPv4 schauen. In der Spalte Port tauchen die IP-Adressen der Standortdrucker auf. Hat man im Active Directory beim Drucker auch den Standort dokumentiert, lassen sich so auch die Standortbezeichnungen ablesen. Diese (IP und Standort) können beispielsweise in die "00-kunde-Netzwerk-ips-leitungen.xlsx" Datei für Dokumentationen kopiert werden.
- Nach dem ersten Scan wird auch der Windows-Domänenname (meist vollständig als FQDN) in der Systeme Liste angezeigt
- Unter "Sonstige Geräte / Gateways" kann man herausfinden, auf welchen Wegen das Unternehmen vernetzt ist.
- Der Softwarevergleich hat nun weitere Produkte in der Liste und nimmt eine Bewertung vor: (S) bedeutet, dass die Software auf einem Server gefunden wurde, (c) auf einem Windows 10 Client (oder AVD), bzw. in einer RDS-Sitzung, (x) steht für die Empfehlung, die Software zu deinstallieren oder die Erfordernis, wenn benötigt, Lizenzen dafür vorzuweisen. S,c und x können kombiniert auftreten (sc, sx, cx beispielsweise)
Disclaimer: Es lassen sich keine Aussagen darüber treffen, ob der Betrieb der Software vom Hersteller als kompatibel eingestuft wird und auch nicht, ob die Software auf einem neueren Betriebssystem lauffähig ist. Meist muss sie dafür kostenpflichtig aktualisiert werden. - Das aktuelle Release von #OpenAudit Classic geht heute im Laufe des Tages online und ist unter den Downloads zu finden. Dabei wurden auch die Systemkomponenten wie PHP, MariaDB(MySQL) und die Runtimes auf den aktuellen Stand gebracht. Details in der Software-DB.
OpenAudit Classic Software-Vergleich
Der aktuelle Build 2022-07-10 von #OpenAudit Classic kann nun die PB Softwareliste über das Admin-Menü importieren und vergleicht installierte Software-Versionen mit der importierten Dateiversion. So lässt sich prüfen, ob die installierte Basis einen mit der importierten Datei aktuellen Stand hat. In der Softwareliste werden alte Versionen rot gekennzeichnet, ist die Version auf dem importierten Stand: grün.
Eine Spalte mit Beschreibungen zu in der importierten Liste gefundenen Produkte, sowie eine Lizenzart-Spalte wurden in der Softwareliste ergänzt. Die Spalten der Hardwareübersicht wurden umsortiert, so dass zuerst die logischen Cores (z.B. einer VM oder eines Azure virtuellen Servers) angezeigt werden, dann Prozessortyp und cpu Sockets und physikalische Cores (vcpu).
Sicherheitslücken in PHP 7 - 8.1
Update: Nach meinen Recherchen haben die führenden Hosting-Provider (all-inkl.com, Strato, ionos...) das PHP-Punktrelease 8.0.20 installiert, so dass diese Plattformen derzeit vor Angriffen gegen diese Lücken abgesichert sind .
In den aktuell von der Community unterstützten Versionen von PHP wurden einige kritische #Sicherheitslücken geschlossen (CVE-2022-31625, CVE-2022-31626). Wer Webserver im Internet betreibt oder wie üblich bei einem Provider hosten lässt, sollte prüfen, ob er die derzeit empfohlene Version 8.0.20 im Einsatz hat, ansonsten auf die Version aktualisieren.
Viele Webseiten basieren auf #Wordpress, dem quelloffenen Content-Management System. Aber auch Joomla oder Typo3 setzen PHP und eine MySQL/MariaDB als Datenbank ein. Durch die Lücken werden diese Webserver angreifbar und könnten unter fremde Kontrolle gebracht werden.
Das quelloffene #OpenAudit Classic setzt ebenfalls PHP und die MariaDB ein. Das Risiko ist hier zwar deutlich geringer, da die Webserver nicht im Internet erreichbar sind, eine Aktualisierung ist aber empfohlen. Auf unseren Downloadquellen ist ab Version 2022-06-xx die aktuelle PHP Version 8.0.20 enthalten. Apache und MariaDB sind ebenfalls auf dem jeweils aktuellen Stand.
Wer noch alte PHP Versionen wie Version 5.x einsetzt, sollte das nicht im Internet tun. In einem Intranet oder Extranet ist das Risiko aufgrund der eingeschränkten Teilnehmerzahl zwar geringer, aber grundsätzlich vorhanden. Angreifer müssten sich dazu zunächst im Intranet/Extranet anmelden.
OpenAudit Classic Hard-/Software-Inventar App
Mit der quelloffenen Software "OpenAudit Classic" lassen sich Hard- und Software inventarisieren. Täglich um 11:00 Uhr laufen dabei Aufgaben, die Windows Server und -Endgeräte mit Ihrer kompletten Hardware, sowie installierter Softwarekomponenten automatisiert erfassen. In einem zweiten Scan werden mit NMAP Informationen (Hardware) über nicht Windows Geräte (Drucker, Kameras, TV-Geräte, Managed Switches) und andere IP-Geräte erfasst.
Die Oberfläche ist dabei eine lokale Webseite auf dem OpenAudit-Server, die über Port 4443 mit self-signed SSL-Zertifikat erreicht wird. Bei Bedarf kann sie zusätzlich mit einem Kennwort abgesichert werden.
#OpenAudit Classic inventarisiert nun auch „Windows apps“, die aus dem Microsoft Store installiert wurden (von allen lokalen Benutzern). Zusätzlich werden die im Benutzer-Kontext installierten Programme gelistet, wenn der Scan-User identisch ist (z.B. beim Clientseitigen Scan). Hintergrund: Wenn ein Nutzer sich über den Microsoft Store Windows Apps im Startbereich installiert, können diese nun inventarisiert werden und erscheinen in einer neuen Tabelle von #OpenAudit unter Software/Modern Apps.
Man kann die Version sehen und auf welchen Maschinen die Apps installiert sind. Zusätzlich lässt sich erkennen, ob die Endgeräte Legacy/BIOS oder UEFI gesteuert sind. Ein Bitlockerstatus lässt sich ebenfalls abfragen. Es existieren zahlreiche Auswertungen, die sich mit leichten PHP Kenntnissen erweitern lassen.
Ein weiteres Feature ist der Ordner „softwarelogos“. Legt man hier PNG-Dateien in 16×16 Pixel ab, die den Namen der Software tragen (Die ersten Zeichen bis zum Leerzeichen im Namen, z.B. microsoft.png), werden alle Softwareprodukte, die namentlich so beginnen, im Software-Register und den Softwareauflistungen mit dem Logo versehen.
Mi der aktuellen Distribution kommen die aktuellsten "stable" Versionen von Apache, MariaDB, PHP, PHPMyadmin zum Einsatz. Eine integrierte Wordpress Instanz lässt sich bei Bedarf aktivieren und als Intranet nutzen.
Die aktuelle Version erfordert das Entfernen der vorhandenen Installation und eine Neuinstallation, da die Datenbank von Oracle MySQL Community auf MariaDB Community 10.4 umgestellt wurde. Sichern Sie sich zuvor die Datei „pc-list-file.txt“ aus dem scripts Unterordner. Danach muss wieder neu inventarisiert werden. Ist dafür bereits eine Aufgabe im Windows Taskplaner vorhanden, die Aufgabe bearbeiten und die Zugangsdaten des Admin-Benutzers neu eingeben.
Download und Quellcodes
Wir haben Open-Audit als installierbare Version im Downloadbereich. Die Quellcodes sind auf Github abgelegt:
[ddownload id="6779"]Quellcodes, Changelog und Projekt Repository sind auf Github abgelegt:
[linkbutton link="https://github.com/svenbolte/Open-Audit-Classic" label="OpenAudit Classic Quellcode und Repository auf Github"]
Installation
Systemvoraussetzungen: Windows Server 2016/2019/2022 oder neuer bzw. Windows 10/11 Pro oder Enterprise (auf Server 2012 R2 oder älter lässt sich NMAP zwar teilweise verwenden, da diese Betriebssysteme aber keine Sicherheitsupdates mehr erhalten, ist davon abzuraten).
Die Installation erfolgt über das Entpacken und Installieren des heruntergeladenen Setup-Pakets. Sollte nach der Aktualisierung der Visual-C++ Runtimes ein Neustart des Servers vorgeschlagen werden, ist dieser nicht nötig. Mit "Nein" antworten und das Setup erneut starten.
Nach der Installation die Oberfläche aufrufen und unter Administrator/IP-Liste erzeugen - Netzwerkliste aller Standortnetze im Format 192.688.1.0/24,172.26.12.0/24 eintragen. (oder erst nur das Hauptstellen-Netz). Die Subnetze zum Nachtragen bekommt man dann unter Sonstige Geräte/Printers IPv4 unter Port. Danach dann alle Netze beim IP-Listen Erzeuger eintragen. (Die durch das Programm erzeugte pc-list-file.txt enthält alle IP-Adressen aller Netzwerke, die OpenAudit Classic erfassen soll. Sie kann auch mit Excel befüllt werden, indem Sie in Zelle A1 z. B. 192.168.1.1 schreiben und dann nach unten bis Zeile 254 ausfüllen. Ab Spalte A255 beginnt dann das zweite Netz (einer Zweigstelle): 192.168.2.1. Wieder bis 254 ausfüllen. Am Ende markieren Sie den kompletten ausgefüllten Inhalt der Spalte A und kopieren ihn in die auf dem OpenAudit Classic Server Desktop liegende pc-list-file.txt Textdatei)
Rufen Sie nun die Windows Aufgabenplanung auf und öffnen unter Aufgabenplanungsbibliothek den Task: "openaudit scan täglich" und ggf. den NMAP-Scan-Task (für non-Windows Geräte). In beiden Task die Domäne auf Ihre Domäne einstellen und einen Domain-Admin verwenden (z. B. IHREDOMAIN.LOCAL\Administrator).
Für den #NMAP Task müssen Sie im Verzeichnis: "c:/programme (x86)/xampplite/htdocs/openaudit/scripts" die Datei audit.config in der unteren Hälfte im NMAP-Bereich anpassen und das IP-Netz Ihrer Hauptstelle eintragen (also erste Zeile: 192.168.1. - in der Zeile darunter: 192.168.001.
Der manuelle Start der Tasks lautet in der Open-Audit Konsole:
- cscript audit.vbs oder optional cscript audit.vbs 192.168.1.23 [username] [passwort]
- cscript nmap.vbs oder optional csctipt audit.vbs 154 (=IP-Endnummer des Geräts)
Offline- und Clientside Scans
Manchmal sind PCs so konfiguriert, dass sie nicht vom OpenAudit Classic Server erreicht und somit inventarisiert werden können (PULL-Verfahren). Außerdem sind möglicherweise Geräte außerhalb der Domäne vorhanden, die in das Inventar sollen. In diesen Fällen gibt es zwei Möglichkeiten, diese dennoch in die Datenbank zu übernehmen. Das PUSH-Verfahren sendet die Daten direkt vom Desktop des Clients an den Server (OA Clientside Scan) oder erstellt eine Textdatei auf dem Rechner, die dann über die OpenAudit Classic Oberfläche importiert werden kann. Anleitungen (howto) sind im jeweiligen Unterordner abgelegt. Laden Sie dazu die ZIP-Datei herunter und entpacken Sie.
Bevor Sie eine der enthaltenen Methoden verwenden, können Sie noch das Öffnen der Windows-Firewall versuchen:
- Wechseln Sie am OpenAudit Classic Server in der Verzeichnis "C:/Program Files (x86)/xampplite/htdocs/openaudit/scripts"
- Kopieren Sie die Datei 00-kunde-firewall-win10-open-oa.cmd auf jeden PC (z.B. auf den Desktop) und führen sie „als Administrator ausführen“ aus
- Öffnen Sie am Server die "Openaudit Classic Konsole" und führen einen Testscan aus: CSCRIPT AUDIT.VBS {IP-Adresse des Client-Rechners}
Möglicherweise funktioniert der serverseitige Scan nun und der PC ist nun in der Liste. Wenn nicht, wechseln Sie am OpenAudit Classic Server in das Verzeichnis in den Unterordner offline-scan oder oa-clientside-scan und verfahren Sie wie in der jeweiligen howto beschrieben:
Methode 1: mit Setup (Unterordner OA-Clientside-Scan)
- "openaudit-clientscan-setup.exe" ausführen und auf dem zu erfassenden PC installieren (erfordert Adminrechte)
- Die Datei "audit.config" mit dem Editor öffnen und in der Zeile audit_host="http://openaudit:888" statt "openaudit" den Servernamen oder die IP-Adresse des OpenAudit Classic Servers eintragen
(alternativ: Für den Openaudit-Server im DNS-Server einen (A) Alias Eintrag erzeugen namens "openaudit") - In die Windows Aufgabenplanzung, die Aufgabe "Openaudit-Clientside-Scan" bearbeiten und
und einen administrativen Benutzer auswählen zur Ausführung
oder Methode 2 (von Hand):
- Den Inhalt des Openaudit Server-Ordners:
"C:/Program Files (x86)/xampplite/htdocs/openaudit/all-tools-scripts/oa-clientside-scan"
auf den Rechner kopieren (z.B. auf den Desktop) - Die Datei "audit.config" mit dem Editor öffnen und in der Zeile audit_host="http://openaudit:888" statt "openaudit" den Servernamen oder die IP-Adresse des OpenAudit Classic Servers eintragen
(alternativ: Für den Openaudit-Server im DNS-Server einen (A) Alias Eintrag erzeugen namens "openaudit") - Die Aufgabe "openaudit-clientscan.xml" in die Windows Aufgabenplanung importieren
und einen administrativen Benutzer auswählen zur Ausführung
(sie startet täglich um 11:00 Uhr liefert an den OpenAudit Classic Server ab)
oder OFFLINE-SCAN (nur falls Clientdside-Scans nicht funktionieren)
- Den Inhalt des Ordners:
C:/Program Files (x86)/xampplite/htdocs/openaudit/all-tools-scripts/offline-scan
vom Openauditserver auf einen Speicherstick kopieren. - "offline.cmd" vom Speicherstick ausführen --> //pcname//.txt entsteht auf dem Stick
- //pcname//.txt von C:/ mit dem Editor vopm Stick öffnen und Inhalt in die Zwischenablage kopieren.
- Die Openaudit Oberfläche im Browser aufrufen http://openauditserver:888/openaudit
- Menü "Admin" / "Add system" aufrufen
- Inhalt der Zwischenablage in das Eingabefeld dort einfügen und "Save" drücken"
- Bitte entpacken Sie den unten stehenden Download auf dem jeweiligen Desktop der nicht erfassbaren PCs (im Kontext des dort angemeldeten Benutzers, keine Adminrechte erforderlich)
- Führen Sie im Ordner offline-scan die Datei 00-kunde-firewall-win10-open-oa.cmd auf jeden PC „als Administrator ausführen“ aus und dann aus dem Ordner „offline-scan“ die offline.cmd. Es entsteht eine <pcname>.txt in dem Ordner. Diese Datei (1 pro PC) bitte an mich übermitteln
- Alternativ ändern Sie im Ordner oa-clientside.scan in der audit.config die Zeile audit_host=http://localhost:888 und ersetzen localhost durch die IP oder den obenstehenden Namen des Servers mit Open-Audit.
Kopieren Sie ab dann nur den Ordner oa-clientside-scan auf den Desktop der Zielrechner und führen die oa-clientside-scan.cmd
Tipps & Tricks
Kleine #FAQ dazu: Wenn die UAC an der Server-Konsole aktiv ist, wird dort die OA-Konsole im non-elevated-rights Modus gestartet. Soll der Bitlockerstatus der Notebooks dokumentiert werden, muss die Konsole "als Administrator" ausgeführt werden, bevor der cscript audit.vbs Lauf gestartet wird. Wenn Sie die OpenAudit Classic Console mit elevated rights als Verknüpfung anlegen möchten, erstellen Sie die folgende Verknüpfung:
C:\Windows\system32\cmd.exe /k pushd "C:\Program Files (x86)\xampplite\htdocs\openaudit\scripts"
OpenAudit Classic Konsole (ADMIN)
WMI-Fehler beim Verbinden lösen
Manchmal sind die Windows Rechner so konfiguriert (insbesondere, wenn sie nicht in der Domäne sind, manchmal aber auch in der Domäne), dass sie keinen WMI Remote-Zugriff zulassen. Die Lösung muss auf den Zielrechnern ausgeführt werden:
Rechte Maustaste auf Arbeitsplatz, Verwalten
Unter Benutzer den lokalen Administrator aktivieren und ihm das Kennwort des Domänen-Admins geben, der am OA Clasic Server das Inventar erstellt.
Dienste&Anwendungen / WMI-Steuerung (rechte Maustaste, Eigenschaften)
Reiter Sicherheit / Root anklicken
Button Sicherheit drücken
Lokalen (oder einen Domain Admin) hinzufügen
Erweitert anklicken, Doppelklick auf den gewählten Administrator
anwenden auf: "Dieser und untergordnete Namespaces" wählen
Alles ankreuzen (Berechtigungen nur für... Haken aber nicht setzen)
Viermal auf OK klicken, bis alle Dialoge zu sind
Computerverwaltung schließen
OpenAudit Classic - Neue Funktionen
#OpenAudit Classic ist ein quelloffenes Werkzeug zum Erfassen von Hard- und Software-Inventar im eigenen Netzwerk. Es basiert auf einem Apache Webserver, PHP und einer MariaDB (MySQL) Datenbank. Auf einem Windows Server installiert, lassen sich über einen WMI-Scan die Windows Geräte (PCs und Server) und über einen Scan mit der ebenfalls quelloffenen Software NMAP auch Netzwerk-Switches und Router, Kameras, Thin-Clients und andere "Nicht-Windows" Geräte. Die Auswertung erfolgt über das Browser-Interface. Listen können beispielsweise nach Microsoft Excel exportiert werden. Zahlreiche Auswertungen stehen zur Verfügung. Lizenzpflichtige Produkte können in einer Lizenzbilanz dokumentiert werden.
Erfasst werden auch „Windows apps", die aus dem Microsoft Store installiert wurden (von allen lokalen Benutzern). Zusätzlich werden die im Benutzer-Kontext installierten Programme gelistet, wenn der Scan-User identisch ist (z.B. beim Clientseitigen Scan). Hintergrund: Wenn ein Nutzer sich über den Microsoft Store Windows Apps im Startbereich installiert, können diese nun inventarisiert werden und erscheinen in einer neuen Tabelle von Openaudit unter Software/Modern Apps. Man kann die Version sehen und auf welchen Maschinen die Apps installiert sind.
Ein weiteres Feature ist der Ordner „softwarelogos“. Legt man hier PNG-Dateien in 16×16 Pixel ab, die den Namen der Software tragen (Die ersten Zeichen bis zum Leerzeichen im Namen, z.B. microsoft.png), werden alle Softwareprodukte, die namentlich so beginnen, im Software-Register und den Softwareauflistungen mit dem Logo versehen.
Die aktuelle Version erfordert allerdings das Entfernen der vorhandenen Installation und eine Neuinstallation, da die Datenbank von Oracle MySQL Community auf MariaDB Community 10.4 umgestellt wurde. Sichern Sie sich zuvor die Datei "pc-list-file.txt" aus dem scripts Unterordner. Danach muss wieder neu inventarisiert werden. Ist dafür bereits eine Aufgabe im Windows Taskplaner vorhanden, die Aufgabe bearbeiten und die Zugangsdaten des Admin-Benutzers neu eingeben.
Wir haben Open-Audit als installierbare Version im Downloadbereich. Die Quellcodes sind auf Github abgelegt:
[ddownload id="6779"]OpenAudit Classic und die Cloud
#OpenAudit Classic st ein GPL3 lizensiertes Open-Source Instrument zur Inventarisierung von Hardware, Software, Peripherie und Netzwerk-Komponenten. Es wird auf einem #Windows Server betrieben und zieht sich einmal pro Tag den aktuellen Stand der angeschlossenen und eingeschalteten Geräte. Dazu muss kein Client auf den Endgeräten installiert werden. Die Abfrage erfolgt per WMI oder/und SNMP vom Open-Audit Classic Server aus.
Anforderung von Amts wegen
Verbandsprüfer verlangen nach BSI Grundschutzkatalogen und IDW Prüfungsstandard 330 eine Dokumentation der oben genannten Komponenten einer IT-Umgebung. Diese Aufgabe erfüllt OAClassic weitgehend autark.
Mit dem Umzug oder der Neuinstallation von Servern in der Microsoft #Azure #Cloud, auch Iaas - Infrastructure as a Service genannt, bleibt die Verpflichtung und Pflege der Server bestehen. Viele Syskos haben die Frage gestellt, ob Open-Audit Classic auch unter Azure auf einem virtuellen Azure Server funktioniert und Inhalte bekommt.
auf Microsoft Azure VMs?
Mit Version 2020.12.30 verwendet Das Inventar-Tool aktuelle .net Framework Runtimes, Apache, MariaDB und PHP8, die von der jeweiligen Community allesamt für die Verwendung unter Azure Windows Servern 2019 und 20H2 angepasst wurden. Die Programmierung (in PHP) wurde ebenfalls an die neuen PHP8 Funktionen angepasst.
Von mir durchgeführte Praxistests belegen, dass Open-Audit Classic auch auf Azure Servern genutzt werden kann.
Wichtige Voraussetzungen
- Azure AD Connect bzw. das VPN zu Azure ist so eingerichtet, dass innerhalb der VPN-Tunnel keine Ports gesperrt sind
- Sowohl die Maschinen im lokalen Netz, als auch die Server in Azure können sich "untereinander und gegenseitig anPINGen und auch die Namensauflösung (DNS) funktioniert
- Die Leitungsbandbreite ist ausreichend (wobei für Open-Audit pro inventarisiertem Gerät im Durchschnitt nur 50 KiloByte als XMLHTTP-Posting übertragen werden - jede Webseite hat heutzutage rund 500 KB und mehr)
- Es sind noch mindestens 2 GB oberhalb der 15% Mindestplatz auf Laufwerk C: des Azure Inventarservers frei