Zum Hauptinhalt springen
Für Windows-Systeme gibt es zwei Scan-Module. Sie erfassen dasselbe – der Unterschied ist, woher die Ziele kommen: Beide Wege können nebeneinander laufen: die Domäne über Windows (AD), die Ausnahmen über Windows (IP). Die Komponentenauswahl ist bei beiden dieselbe. Voraussetzung ist in beiden Fällen ein verbundenes Gateway und ein Konto, das sich an den Zielsystemen anmelden darf.

​
Voraussetzungen

Der Scan spricht die Systeme über WMI an und fragt zusätzlich per PowerShell ab.

​
Ports und Protokolle

​
Rechte

  • Auf Windows-Clients und -Servern braucht das Konto die Rechte eines lokalen Administrators, auf Domänencontrollern die eines Domänen-Administrators.
  • Geben Sie Domänenkonten mit Domänenzusatz an: DOMÄNE\Benutzer (NetBIOS) oder benutzer@domäne.intern (UPN).
  • Ein lokales Konto für Windows (IP) geben Sie als .\Benutzer an. Konto und Passwort müssen auf allen Zielsystemen gleich sein.
  • Bei lokalen Administratorkonten greift die Benutzerkontensteuerung (UAC) – siehe Häufige Probleme.
  • Auf dem Zielsystem laufen die Dienste Windows-Verwaltungsinstrumentation und Remoteprozeduraufruf (RPC).
  • Läuft Windows (AD) ohne eigene Anmeldedaten unter dem Dienstkonto des Gateways, braucht dieses Konto die Rechte oben.

​
Voraussetzungen im Netz

  • Die Firewall lässt die Ports oben durch. In einer Domäne setzen Sie dafür per Gruppenrichtlinie die vordefinierten Regeln:
    • Datei- und Druckerfreigabe (Echoanforderung – ICMPv4 eingehend)
    • Datei- und Druckerfreigabe (Echoanforderung – ICMPv6 eingehend)
    • Windows-Verwaltungsinstrumentation (WMI eingehend)
    • Windows-Verwaltungsinstrumentation (DCOM eingehend)
    Systeme in Arbeitsgruppen bekommen dieselben Regeln in ihrer lokalen Firewall.
  • Die Namensauflösung ist eindeutig: Forward- und Reverse-Lookup liefern dasselbe.
  • Bei Windows (AD) sind die Systeme Mitglied im Active Directory.
  • Bei Windows (IP) mit Adressbereich antworten die Systeme auf Ping.
  • Für einen vollständigen Scan ist PowerShell auf dem Zielsystem ausführbar. Ist PowerShell gesperrt, fehlen nur die Angaben, die per PowerShell kommen, etwa Zertifikate; der Scan selbst gelingt.
Der Scan eines Windows-Systems darf höchstens 10 Minuten dauern. Für Systeme hinter langsamen Leitungen stellen Sie ein Gateway näher an die Systeme oder scannen per Skript.
Systeme, die das Gateway nicht erreicht, etwa mobile Geräte oder Systeme außerhalb des Active Directory, scannen Sie mit dem Scan-Skript Discovery-Windows.exe – siehe Per Skript scannen.

​
Weg A – Windows (AD)

Der Assistent zeigt fünf Schritte: Grundlagen › Authentifizierung › Scanumfang › Zeitplanung › Zusammenfassung Grundlagen, Zeitplanung und Zusammenfassung sind bei allen Modulen gleich – siehe Auftrag anlegen. Kennzeichnend sind die beiden Schritte in der Mitte.

​
Authentifizierung

Der Schritt erfasst zuerst die Domäne und darunter die Windows-Anmeldedaten: zuerst steht fest, welche Domäne erfasst wird, dann, womit die Anmeldung erfolgt. Ist das Domänenfeld sichtbar, muss es gefüllt sein. Nach einem Scan mit Active Directory steht die Domäne zur Auswahl; ohne diesen Scan tragen Sie sie von Hand ein. Die Anmeldedaten wählen Sie in einem durchsuchbaren Auswahlfeld. An erster Stelle steht dort die Integrierte Anmeldung – der Scan läuft dann unter dem Konto des Gateway-Dienstes. Darüber legen zwei Zeilen einen neuen Eintrag an: Neue Anmeldedaten… einen wiederverwendbaren, Einmalige Anmeldedaten… einen, der nur für diesen Auftrag gilt.
Windows (AD) und Active Directory sind die beiden Module, bei denen die Anmeldedaten nicht erzwungen werden: Der Schritt lässt sich auch ohne Eingabe passieren. Ob der Scan dann gelingt, hängt davon ab, mit welchem Konto der Gateway-Dienst in Ihrem Netz läuft. Für den ersten Auftrag empfiehlt sich ein ausdrücklich hinterlegtes Konto.
Einmalig eingegebene Anmeldedaten machen den Auftrag später nicht erneut startbar – um ihn erneut auszuführen, müssen sie über Bearbeiten frisch eingegeben werden. Für einen wiederkehrenden Scan hinterlegen Sie sie besser als wiederverwendbaren Eintrag im Tresor.

​
Scanumfang

Der Schritt trägt zwei Abschnitte: Systemauswahl und Windows-Komponenten. Der Ausgangszustand von Systemauswahl ist die volle Menge: Ohne Eingabe werden alle Windows-Systeme aus dem Active Directory gescannt, einschränken lässt sich das optional. Für einen ersten Auftrag genügt das; der Schritt lässt sich ohne Eingabe passieren. Auswahl einschränken… öffnet den Dialog Systeme auswählen, der das Active Directory durchsucht. Eingrenzen können Sie über das Suchfeld Filtern…, den Umschalter Nur Server und die Zustandsfilter Aktiv und Deaktiviert; Alle auswählen nimmt die gefundene Menge auf einmal.
Der Dialog braucht drei Angaben aus den vorigen Schritten: Gateway, Domäne und Anmeldedaten. Fehlt eine, gehen Sie zurück nach Grundlagen beziehungsweise Authentifizierung.
Nur Server zusammen mit dem Zustandsfilter Aktiv begrenzt die Auswahl auf aktive Server; Clients und deaktivierte Konten bleiben außen vor. Die Clients nehmen Sie später mit einem zweiten Auftrag dazu.

​
Weg B – Windows (IP)

Hier folgt der Assistent dem Standardweg über den Schritt Ziele: eine Zeile je Ziel, mit den Spalten IP/Hostname und Anmeldedaten. In die Zielspalte darf eine einzelne Adresse, ein Bereich, ein Netz in CIDR-Schreibweise (z. B. /24) oder ein Hostname – ein ganzes Netz passt also in eine Zeile. Das Auswahlfeld Anmeldedaten für alle Ziele über der Tabelle gilt für alle Zeilen ohne eigene Zuweisung; je Zeile lässt sich davon abweichen. Die Einzelheiten stehen in Auftrag anlegen.

​
Windows-Komponenten

Bei beiden Wegen sitzt die umfangreichste Option im Abschnitt Windows-Komponenten hinter der Schaltfläche Anpassen: 22 Optionen, davon 20 vorgewählt. Nicht vorgewählt sind Zertifikate: Stammzertifikate und Browser-Erweiterungen.
Lassen Sie die Vorauswahl beim ersten Auftrag unangetastet. Sie sehen danach in der Zusammenfassung des Auftrags unter Komponenten, wie viele ausgewählt waren, und können die Auswahl gezielt anpassen – etwa Zertifikate: Stammzertifikate für einen Compliance-Nachweis dazunehmen.

​
Zusammenfassung

​
Häufige Probleme

Der Registry-Eintrag für lokale Administratorkonten, auf dem Zielsystem gesetzt:

​
Verwandte Module

  • Active Directory – erfasst das Verzeichnis selbst statt der Systeme darin. Ein eigener Auftrag, ergänzend zu diesen beiden.

​
Weiterführend

Der Auftrag erscheint in Scan › Aktiv; wie Sie ihn beobachten und nachjustieren, steht in Aufträge verwalten. Die erfassten Systeme ergänzen Sie danach um ITAM-Daten.