Alle Geräte in einem Unternehmen automatisch zu inventarisieren hört sich spannend an, nicht?
In der Praxis gibt es hier einige Vorüberlegungen und Einschränkungen, die man als IT-Administrator auf dem Schirm haben sollte.
Agentenlos oder nicht?
Die am Markt verfügbaren Lösungen teilen sich prinzipiell in zwei Lager. Agentenlose Lösungen und Systeme bei denen auf den Endgeräten ein Agent installiert werden muss.
Mit Agent
Auf den Systemen wird ein Agent installiert, der alle notwendigen Daten zur Inventarisierung direkt im System ausliest und an einen zentralen Management Server übermittelt.
Die Verteilung eines solchen Agents kann gerade bei heterogenen Umgebungen, bei denen die Konfiguration oder das Betriebssystem für jedes Gerät unterschiedlich sind, zu Kopfschmerzen führen.
Weiterhin ist hierfür ein zentrales Management oder eine bereits etablierte Softwareverteilung notwendig um entsprechende Agents auszurollen.
Der Vorteil einer agentenbasierten Inventarisierung ist die hohe Zuverlässigkeit der Daten. Diese werden direkt auf dem System mit hoher Detailtreue ausgelesen und unterliegen keinen Beschränkungen von Managementschnittstellen.
Agentenlos
Eine agentenlose Inventarisierung nutzt bereits bestehende Standardschnittstellen wie z.B. WMI (Windows), SSH (Linux), SNMP (Netzwerkgeräte / Drucker) um Inventardaten auszulesen.
Dies bietet den Vorteil, dass auch Geräte inventarisiert werden können, auf denen aus technischen und Sicherheitsgründen keine Installation eines Agents möglich ist (z.B. Switches, Drucker).
Der Detailgrad einer agentenlosen Inventarisierung ist immer abhängig von der eingesetzten Lösung und dem geschickten Umgang des Anbieters mit den gegebenen Möglichkeiten. So sollte der Anbieter beispielsweise einen Abgleich mit einer Hardwaredatenbank und eine intelligente Erkennung von unbekannten Geräten bieten.
Einschränkungen / Probleme
Eine automatische Inventarisierung spart viel Arbeit, bietet aber auch viele Stolpersteine und Informationslücken.
Ein Beispiel hierfür sind nicht auslesbare Werte wie eine Kostenstellenzuordnung, Anschaffungswert und viele weitere organisatorische Merkmale eines Assets. Hierfür gibt es einfach keine Möglichkeit diese Werte automatisch zu erkennen.
Weiterer Punkt sind veraltete oder doppelte Daten. Viele am Markt verfügbare Systeme, darunter auch viele Open Source Lösungen, bieten keine Bereinigungsoptionen für z.B. verschrottete Geräte und haben oft Probleme mit beispielsweise doppelt und dreifach erkannten Lizenzzuordnungen.
Beides kombinieren – das geht doch nicht?
Geräte inkl. Kostenstellen und Zuordnungen weiterhin manuell anlegen und die Daten wie z.B. Lizenzzuordnungen, Hardwareausstattung stets aktuell zu halten hört sich ja erstmal nach einem optimalen Ansatz an.
Leider bieten viele Systeme nur ein Entweder/Oder an. Sie können sich entweder zu 100% auf den Automatismus verlassen oder machen weiterhin alles manuell.
Leider bieten viele Systeme nur ein Entweder/Oder an. Sie können sich entweder zu 100% auf den Automatismus verlassen oder machen weiterhin alles manuell.
Wir haben aus diesem Grund mit unserer Lösung Inventory360 in mehrjähriger Planungs- und Entwicklungsarbeit einen 100% einstellbaren Ansatz verfolgt, der die Vorteile aus beiden Welten kombiniert.
Sie können selbst im Detail festlegen:
- Welche Hardwaretypen werden überhaupt inventarisiert?
- Welche Werte möchte ich automatisch und welche manuell pflegen?
- Wie soll mit neu erkannter oder geänderter Hardware verfahren werden?
- Sollen Update / Hotfix Software Pakete erfasst werden?
- Werden Lizenz- / Softwarezuweisungen automatisch oder manuell durchgeführt?
- Welche Softwarepakete möchte ich überhaupt tracken?
Damit können Sie selbst den Automatisierungsgrad festlegen.
💡 Inventarisierung leicht gemacht
Kombiniert Hardware, Lizenzen, Verträge, Bestellungen und vieles mehr in einem System.
Fehlende Daten
Wir hatten ja bereits das Thema nicht auslesbare Daten wie z.B. Kostenstellen oder Standorte angesprochen. Hier gibt es einen weiteren Ansatz um auch diese Daten von einem Automatismus zu füllen.
Denken wir einmal an Subnetzbereiche. Meistens lassen sich daran zumindest Standort und vielleicht auch die Abteilung eines Gerätes ableiten.
Dies geht sogar soweit, dass man z.B. anhand der PING Laufzeit den Standort bestimmen kann. Ein umfangreiches und konfigurierbares Regelwerk ist hier von Vorteil.
Netzwerk
Bei der automatischen Inventarisierung ist das Netzwerk zentrales Medium zur Erkennung. Wie in der IT üblich gibt es aber auch hier einige Stolperfallen.
So muss beispielsweise sichergestellt sein, dass der Agent oder die Inventarisierungslösung über die notwendigen Firewallfreischaltungen verfügen.
Besonders knifflig wird es, sobald Standortübergreifende Scans oder Scans in einem abgetrennten Bereich (z.B. beim Kunden) notwendig werden. Hier bestehen teilweise nur eingeschränkte Verbindungen, die Sie manchmal auch nicht beeinflussen können.
Ein Lösungsansatz
Ein Lösungsansatz hierfür ist der Einsatz verteilter Scan Satelliten. D.h. in jedem Standort oder jeder Niederlassung wird ein kleines System (z.B. VM auf einem bestehenden Server) betrieben, der die Daten einsammelt und an die zentrale Inventarisierungslösung verschlüsselt übermittelt.
Hierdurch können Firewallfreischaltungen eingeschränkt und zugleich die Last auf Netzwerk- oder Standortverbindungen reduziert werden.
Sicherheit
Bei der Inventarisierung mittels Agenten sollte die Software im Detail geprüft werden.
- Welche Berechtigungen hat der Agent?
- Welche Dienste laufen im Hintergrund?
- Hat der Agent Zugriff auf sensible Speicherbereiche?
- Wie hoch ist der Ressourcenverbrauch?
Im Rahmen einer agentenlosen Inventarisierung stellen sich nochmals ganz andere Fragen. Hier müssen in der zentralen Management Instanz bzw. der Inventarverwaltung sensible Kennwörter wie z.B. lokaler Admin / Domainadmin hinterlegt werden um die Abfragen zu ermöglichen.
Gerade beim Einsatz einer Cloud / SaaS Lösung ist hier Vorsicht geboten.
- Wer hat Zugriff auf diese sensiblen Kennwörter?
- Welche Sicherheitsvorkehrungen hat der Anbieter getroffen?
- Werden die Daten verschlüsselt übertragen?
Wir setzen daher - auch um uns selbst als Anbieter abzusichern - auf eine 1-Wege Verschlüsselung nach dem Zero Knowledge Prinzip. Die in Inventory360 eingegebenen Passwörter / Keys werden mittels eines Private / Public Keys Verfahrens verschlüsselt und können erst auf dem Scan-Satelliten, der unter der Kontrolle und Infrastruktur des Kunden liegt, entschlüsselt werden.
Damit haben wir oder ein Angreifer zu keiner Zeit die Möglichkeit sensible Daten auszulesen.
Fazit
Die Entscheidung zwischen automatischer und manueller Inventarisierung ist häufig eine Glaubensfrage. Mit dem Einsatz der richtigen Lösungen lassen sich allerdings auch die Vorzüge aus beiden Welten sehr leicht kombinieren.
