Referenz zur sicheren Konfiguration

Alle sicherheitsrelevanten Steuerungen an einem Ort – welche Standardwerte gelten, wo sie geändert werden und was sie schützen. Für Sicherheitsüberprüfungen, Audits und Checklisten zur Härtung.

NetCrunch Security Features erläutert, was die einzelnen Schutzmechanismen tun und warum es sie gibt. Absicherung des NetCrunch-Servers beschreibt, wie der Server bereitgestellt wird, damit weniger Angriffsfläche erreichbar ist. Diese Seite ist die Referenz, die keine der beiden anderen Seiten darstellt: eine einzelne Liste der Steuerungen, Standardwerte und Speicherorte, angeordnet in der Reihenfolge, in der ein Sicherheitsprüfer danach fragen wird.

surface

Was Sie nicht konfigurieren müssen

Die meisten Anleitungen zur Härtung von Monitoring-Plattformen widmen sich ausführlich Komponenten, die NetCrunch nicht mitliefert. Es lohnt sich, mit diesen zu beginnen, denn der einfachste Weg, eine Komponente abzusichern, besteht darin, sie nicht zu haben.

NetCrunch verwendet einen eigenen Webserver auf Basis von node.js und speichert Daten in einer eingebetteten PostgreSQL-Instanz. Es gibt kein IIS, keinen separaten Anwendungsserver und keinen externen SQL Server.

Dadurch entfällt eine ganze Kategorie von Aufgaben bei der Bereitstellung, anstatt sie nur einfacher zu machen:

• Keine Bannerheader des Webservers, Handlerzuordnungen oder Standardwebsites, die entfernt werden müssen
• Keine Richtlinie zur Wiederverwendung von Anwendungspools, die angepasst werden muss
• Kein separater Datenbankserver, der isoliert, gepatcht, lizenziert oder in einem eigenen Subnetz platziert werden muss
• Kein Dienstkonto für die Datenbank, das bereitgestellt und regelmäßig geändert werden muss
• Keine Konfigurationsdatei für einen Message Broker, die von einem Konfigurationsassistenten überschrieben wird

Die verbleibenden Steuerungen sind unten aufgeführt.

authentication

Authentifizierung und Zugriff

Multi-Factor Authentication

Zusätzlich zum Kontokennwort kann sowohl in der Web Console als auch in der Desktop Console ein zweiter Faktor verlangt werden. Dies gilt für jeden Verbindungstyp – die verschlüsselte TCP-Verbindung, HTTPS und Verbindungen, die über die NetCrunch Connection Cloud weitergeleitet werden. Es gibt keinen Weg in eine Konsole, der diesen Faktor umgeht.

Bei dem Faktor handelt es sich um einen zeitbasierten Code aus einer Authenticator-App. Eine Option per SMS oder E-Mail gibt es nicht.

User profileRequires Multi Factor Authentication

Es handelt sich um eine Eigenschaft des Benutzerprofils und nicht um einen globalen Schalter. Daher kann die Anforderung auf Konten beschränkt werden, die die Monitoring-Konfiguration ändern oder gespeicherte Anmeldeinformationen lesen können, ohne sie allen Benutzern aufzuerlegen. Die Registrierung wird bei der nächsten Anmeldung erzwungen und kann nicht übersprungen werden.

Unter NetCrunch Security Features finden Sie Informationen zur Registrierung und zum Zurücksetzen eines verlorenen zweiten Faktors.

Kontenquellen

Lokale Konten

Authentifizierung mit in NetCrunch definierten Anmeldeinformationen.

Active Directory-Konten

NetCrunch überprüft die Gruppenmitgliedschaft bei der Anmeldung. Zugriffsprofile werden AD-Gruppen zugewiesen, und der Zugriff wird entzogen, wenn ein Benutzer seine Mitgliedschaft verliert. Siehe Verwalten von NetCrunch-Zugriffsprofilen.

Zugriffsprofile

Zugriffsprofile sind wiederverwendbare, rollenbasierte Berechtigungssätze, die Programmfunktionen, Atlas-Ansichten und einzelne Knoten abdecken. Jeder Benutzer verfügt über ein Profil, das direkt oder über eine AD-Gruppe geerbt zugewiesen wird.

Berechtigungen sind Deny, Access oder Manage. Sie werden vom längsten zum kürzesten Pfad ausgewertet, sodass spezifische Regeln breitere Standardwerte überschreiben.

Deny by default ist das empfohlene Modell: Beginnen Sie ohne Zugriff und fügen Sie nur hinzu, was eine Rolle benötigt. Die Alternative – alles zu gewähren und anschließend die vertraulichen Bereiche zu verweigern – ist schneller eingerichtet, aber im Nachhinein schlechter zu rechtfertigen.

Zwei Berechtigungen erfordern besondere Zurückhaltung, da beide faktisch administrative Rechte darstellen:

• Das Recht, Benutzerprofile zu bearbeiten, einschließlich der Entfernung der Anforderung für Multi-Factor Authentication aus jedem Konto, auch dem eigenen
• Das Recht, gespeicherte Anmeldeinformationen zu lesen

Das vollständige Modell finden Sie unter Verwalten von NetCrunch-Zugriffsprofilen.

Freigegebene Ansichten

Eine freigegebene Ansicht ist ein Link zu einer schreibgeschützten grafischen Ansicht, die von einem dedizierten Freigabebenutzer bereitgestellt wird. Dieser kann sich bei keiner der beiden Konsolen anmelden und nur die ihm zugewiesenen Ansichten sehen. Es gibt keine Navigation über diese Ansichten hinaus und keine Konfigurationsoberfläche. Daher ist dies die geeignete Möglichkeit, jemandem ein Dashboard bereitzustellen, ohne ihm ein Konto zu geben.

Ein Freigabebenutzer wird pro Empfänger erstellt und anhand seiner E-Mail-Adresse identifiziert. Dadurch kann jede Freigabe einzeln widerrufen und geprüft werden – es gibt kein gemeinsames Betrachterkonto. Seine Berechtigungen werden nicht konfiguriert, sondern aus den ihm zugewiesenen Ansichten abgeleitet. Der Umfang entspricht genau den Knoten, die auf diesen Ansichten platziert sind, sowie auf verknüpften Ansichten, sofern diese eingeschlossen sind. Die Ableitung ist in beide Richtungen dynamisch: Wenn ein Knoten zur Ansicht hinzugefügt oder daraus entfernt wird, wird der Zugriff darauf sofort gewährt oder entzogen. Wenn verknüpfte Ansichten eingeschlossen sind, werden Links zum Zeitpunkt der Ansichtsanzeige aufgelöst, sodass das Hinzufügen eines Links die Freigabe erweitert. Eine Freigabe kann weder durch Bearbeiten eines Zugriffsprofils erweitert noch durch ein Zugriffsprofil eingeschränkt werden – die Ansicht bildet die Grenze. Siehe @sharing-embedding.

Beim Erstellen der Freigabe werden drei Steuerungen festgelegt:

Password protection

Optional. Für alles, was über eine öffentliche Statusseite hinausgeht, empfehlenswert. Senden Sie das Kennwort über einen anderen Kanal als den Link.

Expiration date

Optional. Legen Sie ein Ablaufdatum für alles Vorübergehende fest.

Embedding restriction

Standardmäßig *, d. h., jeder Ursprung darf die Ansicht in einem iframe einbetten. Geben Sie einen bestimmten Hostnamen ein, um dies einzuschränken.

Administratoren können unter Users & Access Rights ManagerSharing jeden Freigabebenutzer, den Ersteller, den Kennwortschutzstatus und die Anzahl der freigegebenen Ansichten anzeigen. Dieses Fenster dient der Übersicht und dem Audit – Änderungen werden weiterhin in den einzelnen Ansichten vorgenommen.

transit

Verschlüsselung bei der Übertragung

Verbindung	Transport	Eigenschaften
Desktop Console und Probe zum Server	Direkte TCP-Verbindung, Port 12009	X25519-Schlüsselaustausch, AES-256-GCM-Verschlüsselung, gegenseitige PSK-Authentifizierung. Keine Zertifikate erforderlich.
Web Console zum Server	HTTPS	Der integrierte Webserver unterstützt TLS 1.3 nativ.
Konsole oder Probe über die Connection Cloud	Ausgehendes HTTPS, Port 443	TLS mit Zertifikatsvalidierung und Isolation einzelner Mandanten. Keine eingehende Verbindung erforderlich.
Benachrichtigungs-E-Mail	SMTP mit TLS	Aktiviert mit der Option Encrypted connection (TLS).

Webserverzertifikat

SettingsNetCrunch SystemConnections

Installieren Sie auch bei einer ausschließlich internen Verwendung ein Zertifikat. Bei HTTPS geht es hier nicht nur um Vertraulichkeit: Mehrere Konsolenfunktionen sind nur auf einer sicheren Seite verfügbar, darunter das SSH Terminal sowie eingebettete oder freigegebene Ansichten, da Browser diese auf einfachem HTTP einschränken.

Ein selbstsigniertes Zertifikat ist für die interne Verwendung akzeptabel und führt zu Browserwarnungen. Ein Zertifikat einer vertrauenswürdigen Zertifizierungsstelle entfernt die Warnungen und ist für sichere WebSocket-Verbindungen erforderlich.

Ein Zertifikat kann auch über die Befehlszeile generiert werden:

nccli generate-web-certificate

Zusätzlichen Zertifizierungsstellen vertrauen

NetCrunch verwendet node.js für ausgehende SSL/TLS- und HTTPS-Verbindungen, und einige Zertifizierungsstellen sind nicht in seinem Standardspeicher für vertrauenswürdige Zertifikate enthalten. Zusätzliche Stammzertifikate werden im Ordner external\Root Certificates des NetCrunch Server-Datenverzeichnisses im PEM-Format abgelegt.

at-rest

Gespeicherte Anmeldeinformationen und Daten im Ruhezustand

NetCrunch verwaltet Anmeldeinformationen in Ihrem Auftrag – Monitoring-Anmeldeinformationen, SNMP-Profile, Integrationsprofile und Benutzerprofile. Alle werden verschlüsselt gespeichert, wobei ein Hauptverschlüsselungsschlüssel als Grundlage dient. Jede Installation verfügt über einen solchen Schlüssel; der Unterschied besteht darin, wodurch er geschützt wird.

Default

Der Hauptschlüssel wird durch ein integriertes Systemkennwort geschützt. Die Daten werden verschlüsselt, und die Installation ist portabel – eine Sicherung kann auf einem anderen Computer wiederhergestellt werden, wobei die Anmeldeinformationen mit übernommen werden. Diese Portabilität stellt zugleich das Risiko dar: Wer die Sicherung erhält, erhält auch die darin enthaltenen Anmeldeinformationen.

Advanced Data Security

Der Hauptschlüssel wird durch ein eigenes Masterkennwort geschützt, und alle Sicherungen werden mit AES-256 unter Verwendung dieses Kennworts verschlüsselt.

SettingsNetCrunch SystemServerAdvanced Data Security

Das Masterkennwort muss mindestens 12 Zeichen lang sein und einen Kleinbuchstaben, einen Großbuchstaben, eine Zahl sowie ein Sonderzeichen enthalten. Es kann später geändert werden.

Berechtigungen des Datenordners

Der Datenordner enthält den Hauptverschlüsselungsschlüssel und die Datenbank der Anmeldeinformationen. Daher verfügt der gesamte Verzeichnisbaum über eine explizite Zugriffskontrollliste, anstatt die Berechtigungen von ProgramData zu erben.

Vollzugriff wird SYSTEM, BUILTIN\Administrators und dem Dienstkonto gewährt, wenn der Dienst nicht als LocalSystem ausgeführt wird. BUILTIN\Users werden keine Berechtigungen gewährt.

Das Installationsprogramm wendet dies während der Einrichtung an, und der Server normalisiert den restlichen Verzeichnisbaum nach dem Start im Hintergrund – dadurch wird auch eine aktualisierte Installation an diesen Zustand angepasst. Absichtlich angepasste Berechtigungen am Datenstamm bleiben unverändert.

api

Programmatischer Zugriff

REST API und MCP Server verwenden denselben Mechanismus für API-Schlüssel, dieselbe Benutzerbindung, denselben Satz von Zugriffsrechten und denselben Ratenbegrenzer. Ein für REST erstellter Schlüssel funktioniert auch für MCP.

User ProfilesAPI Keys

Ein API-Schlüssel erbt die Zugriffsrechte des NetCrunch-Benutzers, an den er gebunden ist. Der Umfang des Schlüssels wird daher durch dieselben Zugriffsprofile wie der Konsolenzugriff gesteuert.

Verfügbare Einschränkungen:

Read-only mode

Der Schlüssel kann die Konfiguration lesen, aber nicht ändern.

Source address restriction

Der Schlüssel wird nur von den angegebenen Adressen akzeptiert.

Expiration date

Der Schlüssel funktioniert ab einem festgelegten Datum nicht mehr.

Rate limiting

Anforderungen werden pro Schlüssel durch einen Token-Bucket begrenzt, der von REST und MCP gemeinsam verwendet wird.

Empfohlene Vorgehensweise:

• Verwenden Sie für die Automatisierung ein dediziertes NetCrunch-Benutzerkonto anstelle eines persönlichen Administratorkontos – dadurch wird die Nutzung prüfbar, und eine Integration funktioniert weiterhin, wenn eine Person das Unternehmen verlässt
• Verwenden Sie einen separaten Schlüssel pro Skript oder Integration
• Beginnen Sie mit Read-only und gewähren Sie Schreibzugriff nur dort, wo ein Skript die Konfiguration ändern muss
• Schränken Sie den Zugriff überall dort nach Source address ein, wo der Aufrufer über eine stabile Adresse verfügt
• Übergeben Sie den Schlüssel im x-api-key-Header und nicht in der URL, da URLs in Protokollen und im Browserverlauf erscheinen

Unter Einleitung finden Sie Informationen zur Erstellung von Schlüsseln und unter MCP- und KI-kompatible Automatisierung Informationen zum MCP-spezifischen Modell.

monitoring-credentials

Für das Monitoring verwendete Anmeldeinformationen

Die Anmeldeinformationen, mit denen NetCrunch auf überwachte Systeme zugreift, verdienen dieselbe Aufmerksamkeit wie die für den Zugriff auf NetCrunch verwendeten.

SNMP

Bevorzugen Sie SNMPv3. Community-Strings von v1 und v2c werden ungeschützt über das Netzwerk übertragen. NetCrunch unterstützt SNMPv3 mit DES-, 3DES-, AES 128-, AES 192- und AES 256-Privatsphäre. Das Empfangen von v3-Traps erfordert ein separates SNMPv3-Benachrichtigungsprofil – ohne dieses können verschlüsselte Traps nicht dekodiert werden. Siehe @snmpv3-notifications.

Windows

Verwenden Sie ein dediziertes Monitoring-Konto anstelle eines Domänenadministrators, und beschränken Sie die Firewallregeln für die Remoteverwaltung auf die Adresse des NetCrunch Server. Siehe Windows-Überwachung einrichten.

Cloud- und API-Ziele

Wenn die Plattform eine schreibgeschützte Rolle oder ein Token mit eingeschränktem Umfang anbietet, verwenden Sie diese. Für das Proxmox-Monitoring ist nur PVEAuditor erforderlich; für Azure nur Monitoring Reader.

auditing

Audit

NetCrunch Audit monitoring pack

Verfolgt den Benutzerzugriff auf die Konsole, einschließlich Anmeldungen, Abmeldungen und fehlgeschlagener Anmeldeversuche, sowohl für die Desktop Console als auch für die Web Console. Aktivieren Sie es, damit Anmeldeaktivitäten wie jede andere überwachte Bedingung Ereignisse auslösen.

Activity Log

ApplicationsServer zeichnet Freigabevorgänge auf – wann eine Ansicht freigegeben wurde und von wem, An- und Abmeldeereignisse für Benutzer freigegebener Ansichten sowie die IP-Adressen, von denen aus auf freigegebene Links zugegriffen wird.

API usage events

Wenn ein API-Schlüssel eine Anforderung ausführt, wird dies im Ereignisprotokoll aufgezeichnet. Dadurch kann festgestellt werden, welche Integration, welches Skript oder welcher MCP-Client eine Aktion ausgeführt hat.

Security Audit monitoring pack

Überwacht Kontenereignisse, Anmeldungen und Kennwortprobleme auf überwachten Windows-Computern – in der Umgebung und nicht in NetCrunch selbst. Es lohnt sich jedoch, es auch auf dem NetCrunch Server zu aktivieren.

deployment

Bereitstellung

Die oben genannten Steuerungen schützen die Installation. Wie der Server bereitgestellt wird, bestimmt, wie viel überhaupt geschützt werden muss:

• Führen Sie auf dem Server ausschließlich NetCrunch und keine anderen Anwendungen aus
• Überwachen Sie von einer Probe auf einem separaten Computer aus; die Serverprobe sollte NetCrunch selbst und nichts anderes überwachen
• Führen Sie keine Skriptsensoren oder warnungsauslösenden Aktionen aus, die Programme über die Serverprobe ausführen – sie laufen mit den Berechtigungen des Servers neben der Datenbank der Anmeldeinformationen
• Das Startskript ist eine feste Datei im Installationsverzeichnis. Daher erfordert die Definition der beim Serverstart ausgeführten Aktionen lokale Administratorrechte auf diesem Computer und kann nicht remote festgelegt werden

Absicherung des NetCrunch-Servers behandelt alle diese Punkte, einschließlich der Maßnahmen, die gelten, wenn nur ein Computer verfügbar ist.

summary

Zusammenfassung der Einstellungen

Steuerung	Standardwert	Speicherort
Multi-Factor Authentication	Deaktiviert; pro Profil festgelegt	User profile -> Requires Multi Factor Authentication
Zugriffsmodell	Deny by default	Access profile -> Atlas Defaults
Advanced Data Security (Masterkennwort, AES-256-Sicherungen)	Deaktiviert; integriertes Systemkennwort	Settings -> NetCrunch System -> Server -> Advanced Data Security
Webserverzertifikat	Selbstsigniert	Settings -> NetCrunch System -> Connections
ACL des Datenordners	Vom Installationsprogramm angewendet	Dateisystem; vom Server beim Start normalisiert
Read-only mode für API-Schlüssel	Deaktiviert	User Profiles -> API Keys
Source address restriction für API-Schlüssel	Keine	User Profiles -> API Keys
Ablaufdatum für API-Schlüssel	Keines	User Profiles -> API Keys
Rate limiting der API	Aktiviert	Pro Schlüssel, nicht konfigurierbar
Audit der Konsolenanmeldung	Deaktiviert	NetCrunch Audit monitoring pack
SNMP-Version	Pro Anmeldeprofil	Settings -> Monitoring -> SNMP Communities and Passwords
FIPS-Modus	Deaktiviert	Windows Local Security Policy, nicht NetCrunch

angriffsflächeapi-schlüsselauditchecklistecompliancedaten im ruhezustandfipsfips-modushärtungmasterkennwortmfaratenbegrenzungsichere konfigurationsicherheitsnmpv3standardwertesteuerungentlsverschlüsselungzertifikatzugriffsprofile