Start Guide
Du hast Enginsight neu installiert oder einen Enginsight SaaS-Zugang erhalten und möchtest nun loslegen, weißt aber nicht, wo du anfangen sollst.
In unserem Start Guide möchten wir dir deshalb ein paar Hilfestellungen geben, die dir helfen sollen, dich auf der Enginsight Plattform zurechtzufinden:
0 – Bei der Enginsight Plattform anmelden
Erstmalig anmelden
Melde dich, falls du dies noch nicht getan hast, mit den vorläufigen Login-Daten, die dir nach Installation und Setup des Applikationsservers zur Verfügung stehen, an der Enginsight Benutzeroberfläche an.
Wenn du dies bereits getan hast, verwende die Anmeldedaten deines Benutzerkontos für den Login.
Mit dem allgemeinen Layout vertraut machen
Nach der Anmeldung wird dir die Home-Seite der Enginsight Plattform angezeigt. Dies ist die Ansicht Dashboard → Übersicht.
Nimm dir zunächst ein bisschen Zeit, um dich mit dem allgemeinen Layout der Benutzeroberfläche vertraut zu machen.
Zwei-Faktor-Authentifizierung einrichten
Um die Sicherheit deiner Enginsight Instanz zu erhöhen, solltest du eine Zwei-Faktor-Authentifizierung einrichten, falls du dies noch nicht getan hast.
1 – Erste Einstellungen in der Enginsight Plattform vornehmen
Benutzerkonto-Einstellungen ergänzen
Navigiere zu Einstellungen → Benutzerkonto, um die Einstellungen für dein Nutzerprofil einzusehen und benutzerspezifische Konfigurationen anzupassen.
Ergänze deine persönlichen Angaben wie gewünscht. Achte darauf, dass du die korrekte E-Mail-Adresse einträgst, um unter anderem Alarm-Benachrichtigungen erhalten zu können. Hinterlege auf jeden Fall auch die korrekte Zeitzone deines Benutzerkontos, da dies Auswirkungen auf die Anzeige von Daten über die gesamte Enginsight Plattform hinweg sowie auf die Berichterstellung und die Erkennung von Alarmen hat.
Ändere das Passwort für dein Benutzerkonto, falls du dies noch nicht getan hast.
Aktiviere unter Erweiterte Einstellungen die Option Zwei-Faktor-Authentifizierung bei Login, falls du dies noch nicht getan hast.
Organisations-Einstellungen ergänzen
Navigiere zu Einstellungen → Organisation, um die Einstellungen für deine Organisation einzusehen und organisationsspezifische Konfigurationen anzupassen.
Ergänze deine Angaben zur Organisation wie gewünscht. Hinterlege neben der Adresse deiner Organisation auch die Zeitzone, in der sich deine Organisation befindet.
Hinterlege, wenn du die SaaS-Version von Enginsight nutzt, auch deine Rechnungsadresse.
Aktiviere unter Erweiterte Einstellungen die Option Zwei-Faktor-Authentifizierung für alle Teammitglieder, falls du dies noch nicht getan hast.
Mehr Informationen zu Organisationen in Enginsight findest du auch im Kapitel Organisationsmanagement.
Erste Teammitglieder einladen
Navigiere zu Einstellungen → Teammitglieder, um Benutzer deiner Organisation zu verwalten, und füge erste Teammitglieder hinzu.
Wir empfehlen, den neuen Teammitgliedern bereits die passenden Systemrollen zuzuweisen.
Benutzergruppen erstellen
Navigiere zu Einstellungen → Gruppen, um neue Benutzergruppen zu erstellen.
Wir empfehlen, Teammitglieder in Benutzergruppen zu gruppieren, um beispielsweise Benachrichtigungen über Alarme an Gruppen statt an einzelne Teammitglieder versenden zu können. Gruppen sind allerdings unabhängig von den Berechtigungen der einzelnen Teammitglieder. Berechtigungen werden stets über Rollen definiert.
2 – Host-Überwachung einrichten
Erste Hosts hinzufügen
Ein Host ist bei Enginsight ein Server oder Client, auf dem der Enginsight Agent Pulsar installiert wurde, um den Host von innen heraus zu überwachen.
Navigiere zu Hosts → Übersicht, um erste Hosts hinzuzufügen.
Lege erste Hosts an, indem du auf ihnen jeweils den Enginsight Agenten Pulsar installierst. Beachte dabei unbedingt die Systemanforderungen für den Pulsar.
Wenn du Pulsare auf mehr als einem Host auf einmal installieren möchtest, kannst du dies ebenfalls tun.
Mehr Informationen, wie du den Pulsar auf mehreren Windows-Hosts gleichzeitig ausrollen kannst, findest du in unserer Knowledge Base:
Globale Tags anlegen
Globale Tags sind benutzerdefinierte Tags, die du global, also über die gesamte Enginsight Plattform hinweg, für Gruppen von Assets (Hosts und Endpunkten) gleichermaßen verwenden kannst. Sie helfen dir bspw., Einstellungen für mehrere Assets auf einmal vorzunehmen oder Alarme für mehrere Assets auf einmal einzurichten.
Navigiere zu Hosts → Management → Globale Tags, um globale Tags hinzuzufügen.
Wir empfehlen, zunächst Tags für verwendete Host-Betriebssysteme sowie für die Erkennungsgrade des Intrusion Detection Systems (IDS) und das Intrusion Prevention System (IPS) Shield anzulegen.
Erste Policy-Manager anlegen
Mithilfe von Policy-Managern hast du die Möglichkeit, verschiedene Einstellungen für mehrere Hosts auf einmal zentral festzulegen und zu verwalten. Diese Einstellungen können dann durch das Hinzufügen eines entsprechenden Tags auch auf neu hinzugefügten Hosts ausgerollt werden.
Navigiere zu Hosts → Management → Policy Manager, um einen neuen Policy-Manager hinzuzufügen.
Wir empfehlen, zunächst folgende zwei Policy-Manager zu erstellen:
Eine Policy mit dem zugeordneten Tag Server, in der die Option Erweiterte Einstellungen → Sicherheitsrelevante Ereignisse mitschneiden aktiviert ist. Erst durch die Aktivierung dieser Option können dir unter Hosts → Management → Systemevents Ergebnisse angezeigt werden.
Eine Policy mit dem zugeordneten Tag IDS (oder ähnlich), in der die Option Enginsight Intrusion Detection System (IDS) mit dem Erkennungsgrad 2 aktiviert ist. Erst durch die Aktivierung dieser Option können dir unter Hosts → Intrusion Detection System → Netzwerkanomalien Ergebnisse angezeigt werden.
Eine Policy mit dem zugeordneten Tag IPS oder Shield (oder ähnlich), in der die Option Enginsight Shield (IPS) aktiviert ist.
Zudem empfehlen wir generell, für jedes Feature von Enginsight einen eigenen Policy-Manager anzulegen.
Erste Netzwerkattacken automatisch blocken
Shield ist das Intrusion Prevention System (IPS) von Enginsight. Mit dem Shield-Feature kannst du den Netzwerkverkehr sowie Netzwerkattacken, die durch das Enginsight Intrusion Detection System (IDS) erkannt wurden, auf allen Hosts, auf denen ein Pulsar installiert wurde, individuell blockieren.
Die sogenannten Autopiloten sind dabei die automatischen Shield-Regelwerke der Enginsight Plattform.
Navigiere zu Shield → Dynamisches Blocken → Autopilot, um einen neuen Autopilot hinzuzufügen.
Ordne Hosts über die passenden Tags zu und setze den Blockierungsgrad des Intrusion Prevention Systems auf Level 2: Ausgewogene Verfügbarkeit und Sicherheit.
Wir empfehlen dringend, Shield-Regelwerke in mehreren Schritte einzuführen und die Leistungsreserven des Applikationsservers zu überwachen. Abhängig davon, wie viele Netzwerkanomalien erkannt und geblockt werden, kann durch Shield die CPU- und Speicherauslastung des Applikationsservers stark ansteigen.
3 – Endpunkt-Überwachung einrichten
Ein Endpunkt ist bei Enginsight eine interne oder externe Webseite oder Domain, die mit der Enginsight Komponente Observer von unterschiedlichen (geografischen) Standorten aus überwacht wird.
Dazu gehört unter anderem die Überprüfung der Gültigkeit von SSL/TLS-Zertifikaten, die Überprüfung auf Sicherheitslücken, Schadsoftware und Compliance mit spezifischen Sicherheitsrichtlinien, sowie das Monitoring von Verfügbarkeit und Performance.
Erste Observer installieren
Um einen Endpunkt überwachen zu können, musst du mindestens einen Observer installieren. Du kannst auch mehrere Observer für die Überwachung eines Endpunkts von verschiedenen Standorten bzw. Regionen aus installieren. Beachte dabei unbedingt die Systemanforderungen für den Observer.
Navigiere zu Endpunkte → Erforderliche Services → Observer, um einen neuen Observer hinzuzufügen.
Wir empfehlen, die Region des Observers immer so anzugeben, dass sie entweder den Netzwerkstandort (z.B. Intern) oder die tatsächliche Region (z.B. EU-Central) widerspiegelt.
Zudem empfehlen wir, die Optionen Als dedizierten Observer betreiben und Erlaube interne Ziele immer beide zu aktivieren.
Erste Endpunkte hinzufügen
Navigiere zu Endpunkte → Übersicht, um einen neuen Endpunkt hinzuzufügen.
Achte bei der Eingabe der URL, die gescannt werden soll, darauf, ob es sich um eine URL handelt, die mit http:// oder mit https:// beginnt.
Wir empfehlen, die URL immer wie folgt anzugeben: https://mydomain.com.
4 – Netzwerk inventarisieren
Die agentenlose Inventarisierung aller Netzwerkgeräte, die in der IT-Infrastruktur eines Unternehmens vorhanden sind, wird bei Enginsight auch Discovery genannt. Discoveries werden mit der Enginsight Komponente Watchdog durchgeführt.
Erste Watchdogs installieren
Um dein Netzwerk inventarisieren zu können, musst du mindestens einen Watchdog in einem Subnetz installieren. Beachte dabei unbedingt die Systemanforderungen für den Watchdog.
Navigiere zu Discoveries → Erforderliche Services → Watchdogs, um einen neuen Watchdog hinzuzufügen.
Gib deinem Watchdog einen aussagekräftigen Namen, definiere ein Subnetz in CIDR-Notation und aktiviere die Option Permanente Überwachung, um mit der Inventarisierung zu beginnen.
Wir empfehlen dringend, die Scan-Zeit, die standardmäßig im Feld Aktiver Netzwerkscan nach (Minuten) für den initialen Scan vordefiniert ist nicht herunterzusetzen! Ein aktiver Netzwerkscan bedeutet eine hohe Netzwerkbelastung und kann ein System schnell überlasten.
Inventar begutachten
Navigiere zu Discoveries → Inventar, um eine Auflistung aller gefundenen Netzwerkgeräte anzuzeigen und zu validieren.
5 – Penetrationstests einrichten
Ein Penetrationstest ist ein geplanter und kontrolliert durchgeführter automatisierter Angriff auf die eigenen Systeme, um Schwachstellen gezielt aufzudecken. Penetrationstests werden mit der Enginsight Komponente Hacktor durchgeführt.
Du kannst Penetrationstests sowohl auf Hosts mit installiertem Pulsar als auch innerhalb kompletter Netzwerkbereiche durchführen. Darüber hinaus lassen sich auch Systeme als Ziel definieren, die bereits durch einen Watchdog im Netzwerk überwacht werden.
Erste Hacktore installieren
Um einen Penetrationstest durchführen zu können, musst du mindestens einen Hacktor in dem Subnetz installieren, das du auditieren möchtest. Beachte dabei unbedingt die Systemanforderungen für den Hacktor.
Navigiere zu Penetrationstests → Erforderliche Services → Hacktors, um einen neuen Hacktor hinzuzufügen.
Wir empfehlen, die Standard-Einstellungen des Hacktors so zu belassen, wie sie sind, oder die Option Frequenz sogar auf Low zu setzen. Dies erhöht zwar die Gesamtdauer eines Penetrationstests, kann aber die Überlastung des Systems verhindern, falls nicht genug Leistungsreserven zur Verfügung stehen.
Erste Zielsysteme definieren
Die Angabe eines Zielsystems bietet dir die Möglichkeit, Gruppen von Zielen zusammenzufassen, auf denen ein Penetrationstest durchgeführt werden soll. Du kannst Ziele über die Angabe von IP-Adressen, Host-Namen, IP-Adressbereichen, Subnetzen, Watchdogs oder Endpunkten definieren.
Navigiere zu Penetrationstests → Management → Zielsysteme, um ein neues Zielsystem hinzuzufügen.
Wir empfehlen, für einen Audit nicht mehr als 1.000 IP-Adressen anzugeben.
Zudem empfehlen wir, zunächst zu prüfen, ob es für dein Netzwerk nicht sinnvoller ist, das Asset-Inventar eines Watchdogs für die Durchführung eines Penetrationstests heranzuziehen.
Da der Hacktor jede einzelne IP-Adresse anpingt, wird ein Penetrationstest in einem kompletten Subnetz wesentlich länger dauern. Zudem werden die Ergebnisse des Tests viele Offline-Ziele enthalten, da in den meisten Fällen nur kleine Teile eines Subnetzes wirklich verwendet werden.
Beachte zudem, dass du immer einen IP-Adressbereich oder einen Watchdog angeben solltest, um Dopplungen bei einem Netzwerkscan zu vermeiden!
Erste Audit-Vorlagen erstellen
Audit-Definitionen bieten dir die Möglichkeit, wiederverwendbare Vorlagen für deine Penetrationstests zu erstellen und so vergleichbare Ergebnisse über mehrere Audit-Durchläufe hinweg sicherzustellen.
Navigiere zu Penetrationstests → Management → Audit-Definition, um eine neue Audit-Vorlage zu erstellen.
Gib deiner Audit-Vorlage einen aussagekräftigen Namen, wähle das Zielsystem aus, dass gescannt werden soll, und gib den Hacktor an, der den Penetrationstest durchführen soll.
Wir empfehlen dringend, zunächst noch keine wiederkehrende Ausführung zu definieren, sondern den auf der erstellten Audit-Vorlage durchgeführten Penetrationstest eng zu überwachen.
Die Durchführung von Penetrationstests während eines Audits kann die Verfügbarkeit deiner Systeme beeinträchtigen, je nachdem, wieviele IP-Adressen durch den Hacktor gescannt werden.
Beachte zudem, dass bei der Durchführung eines Penetrationstests je nach Stabilität deiner IT-Infrastruktur ein kompletter Systemausfall nie ganz ausgeschlossen werden kann!
Penetrationstest starten
Nun kannst du deinen ersten Penetrationstest-Audit starten.
Alle abgeschlossenen Audits findest du unter Penetrationstest → Audits. Dort kannst du auf einen Audit klicken, um in dessen Detailansicht zu navigieren, wo du alle Ergebnisse und Analysen des durchgeführten Penetrationstests einsehen kannst.
Wir empfehlen generell, einen Penetrationstest zunächst auf nicht mehr als ein bis drei nicht-kritischen Zielen durchzuführen, um die Konfiguration und Funktionalität des eingesetzten Hacktors in deiner IT-Umgebung zu testen.
Bei dieser geringen Anzahl an Zielen erhältst du nach nur 5-10 Minuten detaillierte Ergebnisse und bekommst einen Einblick in die Funktionsweise des Hacktors, ohne die Leistung und Verfügbarkeit deiner Systeme unnötig zu belasten.
6 – Erste Alarme schalten
Nun kannst du auch bereits erste Alarme konfigurieren, um dich benachrichtigen zu lassen, wenn Enginsight z.B. ein sicherheitsrelevantes Problem erkennt.
Navigiere zu Alarme → Übersicht, um einen neuen Alarm zu erstellen.
Alarme für Hosts
Für Hosts empfehlen wir direkt folgende Alarme einzurichten:
Fehlgeschlagener Anmeldeversuch: Alarmiert, sobald sich ein Benutzer nicht erfolgreich an einem System anmelden konnte (Windows-Event 4625).
Neuer Admin angelegt (nur Windows): Alarmiert, sobald ein neuer Benutzer angelegt wurde (Windows-Event 4720).
Neuer Nutzer angelegt (nur Windows): Alarmiert, sobald ein neuer Administrator angelegt wurde (Windows-Events 4720, 4732, 4728).
Verdächtiger Netzwerkverkehr: Alarmiert, sobald das IDS eine mögliche Netzwerkattacke erkennt. Wir empfehlen, den Schweregrad High als Grenzwert zu wählen.
Neue/Entfernte Software: Alarmiert, sobald eine beliebige Software auf einem Host installiert oder von einem Host entfernt wird.
Neuer offener Port: Alarmiert, sobald auf einem Host ein offener Port erkannt wird. Wir empfehlen, Hosts über den Tag Server zuzuordnen.
Neue Sicherheitslücken (CVSS Score): Alarmiert, sobald der CVSS-Wert einer Sicherheitslücke auf einem Host einem festgelegten Wert entspricht. Wir empfehlen, einen Grenzwert von 7 einzustellen.
Alarme für Endpunkte
Für Endpunkte empfehlen wir direkt folgende Alarme einzurichten:
Webseite nicht erreichbar: Alarmiert, sobald ein Endpunkt nicht geladen oder aufgerufen werden kann.
Neue Sicherheitslücke: Alarmiert, sobald auf einem Endpunkt eine neue Sicherheitslücke (CVE) identifiziert wird.
DNS Eintrag geändert: Alarmiert, sobald Einträge im Domain Name System (DNS) geändert wurden.
Datenschutzverstoß: Alarmiert, sobald auf einem Endpunkt die SSL/TLS-Konfiguration nicht den Vorgaben des BSI entspricht.
Tage bis Zertifikatsablauf: Alarmiert, sobald das Ablaufdatum eines SSL/TLS-Zertifikats einen bestimmten Schwellwert überschreitet.
Fortgeschrittene Themen
Sobald du dich mit den grundlegenden Funktionen von Enginsight etwas mehr vertraut gemacht hast, empfehlen wir folgende weitere Themen:
Weitere Policies definieren
Aktiviere automatische Betriebssystem- und Feature-Updates auf zugeordneten Hosts, um keine Sicherheitsupdates zu übersehen.
Aktiviere die Verwendung von Plugins auf zugeordneten Hosts, um bspw. im Zusammenhang mit Alarmen eigene Skripte ausführen zu können.
Nutze das File Integrity Monitoring (FIM)-Feature von Enginsight, um die Integrität deiner Dateien und Verzeichnisse zu überwachen. Aktiviere dazu mit einem Policy-Manager das File Integrity Monitoring auf zugeordneten Hosts und füge erste FIM-Regelwerke hinzu.
Nutze das Advanced Persistent Threats (APT)-Feature von Enginsight, um deine Systeme auf fortgeschrittene Bedrohungen zu untersuchen. Aktiviere dazu mit einem Policy-Manager den Scan nach APTs auf zugeordneten Hosts, füge erste APT-Regelwerke (von uns verwaltet) hinzu und definiere erste Pläne für regelmäßige Scans.
Audit-Definitionen für Penetrationstests erweitern
Gib in Audit-Definitionen eigene Passwortlisten an, die während eines Penetrationstests für die Simulation von Bruteforce-Attacken herangezogen werden können. Dies ist bspw. hilfreich, um das Netzwerk auf veraltete lokale Benutzerkonten zu testen.
Füge Auth-Provider hinzu, um Zugangsdaten von Zielsystemen zu hinterlegen, um mehr Informationen z.B. über das Betriebssystem und installierte Software abzurufen. Dies ermöglicht es dem Hacktor, mehr Sicherheitslücken zu erkennen und validieren, als wenn ihm nur öffentlich erreichbare Informationen zur Verfügung stehen.
Erstelle und hinterlege benutzerdefinierte Skripte, die der Hacktor bei Penetrationstests einsetzen kann.
Mehr Informationen, wie du benutzerdefinierte Skripte mit dem Hacktor nutzen kannst, findest du in unserer Knowledge Base: Wie kann ich bei Penetrationstests mit Enginsight benutzerdefinierte Skripte einsetzen?
Alarm-Benachrichtigungen erweitern
Erstelle weitere Alarme für deine Hosts und Endpunkte.
Erstelle und hinterlege Webhooks, die Alarme mit Drittanbieter-Software verknüpfen, um Benachrichtigungen über Alarme auch außerhalb der Enginsight Plattform erhalten zu können.
Konfiguriere den Versand von SMS-Benachrichtigungen, um Benachrichtigungen über Alarme auch auf deinem Mobiltelefon zu erhalten.
Mehr Informationen, wie du den Versand von SMS-Benachrichtigungen konfigurierst, findest du in unserer Knowledge Base: Wie konfiguriere ich in Enginsight den Versand von SMS-Benachrichtigungen bei Alarmen?
Weitere Ressourcen
Knowledge Base
Zuletzt aktualisiert
War das hilfreich?