Systemanforderungen

Die folgenden Anforderungen müssen erfüllt sein, damit Sie die Security Controls Konsole installieren und Aktionen auf den Clientcomputern ausführen können.

Einschränkungen

  • Computer, die als Konsole eingesetzt werden sollen, müssen ein NTFS-Dateisystem aufweisen.
  • Wenn Sie die Konsole auf einem Domänencontroller installieren, der LDAP-Zertifikatauthentifizierung verwendet, müssen Sie unter Umständen den Server so konfigurieren, dass keine Konflikte zwischen dem SSL-Zertifikat und dem Security Controls-Programmzertifikat auftreten können.
  • Wenn Sie die Konsole auf ein oder zwei Computern installieren, die eine Datenbank gemeinsam nutzen, müssen alle Konsolencomputer eindeutige Sicherheitskennungen (SIDs) aufweisen, damit keine Probleme bei den Benutzeranmeldeinformationen auftreten. Wenn Sie eine Kopie einer virtuellen Maschine erstellen oder einen Computer ghosten, ist es sehr wahrscheinlich, dass diese Computer identische SIDs aufweisen.
  • Der Konsolencomputer sollte vor dem Installieren von Security Controls möglichst umfassend gepatcht worden sein.

Prozessor

  • Minimum: 2-Core-Prozessor, 2 GHz oder schneller
  • Empfohlen: 4-Core-Prozessor, 2 GHz oder schneller (für 500-2.500 Lizenzplätzen)
  • Hohe Leistung: 8-Core-Prozessor, 2 GHz oder schneller (für mehr als 10.000 Lizenzplätze)
  • Agentenlose Patchbewertung: 8-Core-Prozessor oder mehr, 2 GHz oder schneller

Speicher

  • Minimum: Arbeitsspeicher mit 2 GB
  • Empfohlen: Arbeitsspeicher mit 4 GB (für 500-2.500 Lizenzplätze)
  • Hohe Leistung: Arbeitsspeicher mit 16 GB (für mehr als 10.000 Lizenzplätze)

Video

  • Minimale Bildschirmauflösung: 1024 x 768
  • Empfohlen: 1280 x 1024 oder höher

Speicherplatz

  • 500 MB für die Anwendung
  • 10 GB Minimum, mindestens 100 GB empfohlen für Patchrepository

Betriebssystem (eines der nachstehend genannten)

  • Windows Server 2022-Reihe
  • Windows Server 2019-Reihe, ausgenommen Server Core und Nano Server (64-Bit)
  • Windows Server 2016-Reihe, ausgenommen Server Core und Nano Server (64-Bit)
  • Windows 11-Reihe
  • Windows 10 v1607 Pro, Enterprise oder Education Edition (64-Bit)

    • Sie können Versionen von Windows 10 verwenden, die älter sind als v1607, allerdings ist WMF 5.1 erforderlich (und muss möglicherweise separat installiert werden). Sie können WMF 5.1 vom Microsoft Download Center herunterladen.

Es wird empfohlen, nach Möglichkeit die neueste verfügbare Version zu verwenden.

Datenbank

  • Verwendung einer Microsoft SQL Server-Datenbank [SQL Server 2014 oder höher]

    • Falls Sie nicht über eine SQL Server-Datenbank verfügen, haben Sie die Möglichkeit, während der Installation der erforderlichen Softwarekomponenten SQL Server Express Edition zu installieren.

  • Empfohlen: Microsoft SQL Server 2016 SP1 oder höher
  • Mindestgröße: 30 GB
  • Mittlere Größe: (500-2.500 Lizenzplätze) 30-60 GB
  • Unternehmensgröße: (über 10.000 Lizenzplätze) 60-100 GB

SQL-Hochverfügbarkeit

Sofern unter Berücksichtigung der Best Practices von Microsoft eingerichtet, wird die SQL-Spiegelung von Security Controls unterstützt.

Für automatisches Failover wird ein Zeugenserver benötigt. Ohne Zeugenserver ist ein manueller Transfer erforderlich.

Die SQL-Spiegelung wird auf Systemen mit SQL Server 2014 unterstützt, nicht jedoch auf Systemen mit SQL Express Edition.

Softwarevoraussetzungen

  • Verwendung von Microsoft SQL Server
  • Microsoft .NET Framework 4.8 oder höher
  • Microsoft Visual C++ Redistributable für Visual Studio 2015-2022

Anforderungen an das Windows-Konto

  • Damit Sie Zugriff auf sämtliche Funktionen und Merkmale von Security Controls erhalten, muss die Ausführung über ein Konto mit Administratorrechten erfolgen.

Anforderungen an die Konfiguration

  • Sie müssen eine Reihe von URLs zu den Ausnahmelisten Ihrer Firewall, Proxys und Webfilter hinzufügen. Die URLs werden von Security Controls zum Herunterladen von Patchinhalten von Drittanbietern verwendet.

    • Die vollständige Liste der hinzuzufügenden URLs finden Sie in der Ivanti Community (wird in einem neuen Fenster geöffnet).

  • Bei der Durchführung eines Assetscans auf dem Konsolencomputer muss der Windows-Verwaltungsinstrumentationsdienst (WMI-Dienst) aktiviert und das Protokoll für den Computer zulässig sein. In Windows Firewall heißt der Dienst Windows Management Instrumentation (WMI)/Remoteverwaltung.

Unterstützte Sprachen

Siehe Liste Sprachen im Dialogfeld Anzeigeoptionen.

Betriebssysteme (32-Bit und 64-Bit-Versionen eines der im Folgenden genannten.)

  • Windows Server 2012, Foundation Edition (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU - bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2012, Essentials Edition (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU - bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2012, Standard Edition (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU – bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2012, Datacenter Edition (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU - bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2012 R2, Essentials Edition (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU - bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2012 R2, Standard Edition (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU – bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2012 R2, Datacenter Edition (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU - bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows 10 Pro
  • Windows 10 Enterprise
  • Windows 10 Education
  • Windows Server 2016, Essentials Edition
  • Windows Server 2016, Standard Edition (ausgenommen Nano Server; Server Core unterstützt mit 32-Bit-Subsystem)
  • Windows Server 2016, Datacenter Edition (ausgenommen Nano Server; Server Core unterstützt mit 32-Bit-Subsystem)
  • Windows Server 2019-Reihe (ausgenommen Nano Server; Server Core unterstützt mit 32-Bit-Subsystem)
  • Windows 11-Reihe
  • Windows Server 2022-Reihe

Virtuelle Maschinen (virtuelle Offline-Images die durch eines der folgenden Produkte erstellt wurden)

Gilt nur für Patchmanagement

  • VMware ESXi 6.5 oder höher (VMware Tools muss auf den virtuellen Maschinen installiert sein)
  • VMware vCenter (ehemals VMware VirtualCenter) 6.0 oder höher (VMware Tools muss auf den virtuellen Maschinen installiert sein)
  • VMware Workstation 9.0 oder höher

Anforderungen an die Konfiguration

  • Der Remoteregistrierungsdienst muss ausgeführt werden.
  • Der Serverdienst muss ausgeführt werden.
  • Der Zugriff auf den NetBIOS (TCP 139)-Port oder den Direct Host (TCP 445)-Port muss möglich sein.
  • Windows Update-Dienst darf nicht deaktiviert sein. Er muss entweder auf Manuell oder auf Automatisch gesetzt sein, damit Patches erfolgreich bereitgestellt werden können. Außerdem müssen die Einstellungen für Windows Update auf jedem Zielcomputer (Systemsteuerung > System und Sicherheit > Windows Update > Einstellungen ändern) auf Nie auf Updates überprüfen gesetzt sein.

    • Bei Verwendung von Windows 10 oder Windows Server 2016 können Sie automatische Updates deaktivieren, indem Sie bei Automatische Updates konfigurieren im Gruppenrichtlinieneditor die Option "Deaktivieren" auswählen. In der Microsoft-Hilfe finden Sie Informationen zu weiteren Methoden, mit denen sich der Dienst deaktivieren lässt.

  • Remotedesktopverbindungen müssen zulässig sein, damit die Konsole eine RDP-Verbindung zum Zielcomputer herstellen kann.
  • Weitere Voraussetzungen für die Durchführung von Patchscans auf Remotecomputern finden Sie unter Voraussetzungen für die Durchführung von Patchscans.
  • Bei der Durchführung eines Assetscans muss der Windows-Verwaltungsinstrumentationsdienst (WMI-Dienst) aktiviert und das Protokoll für den Computer zulässig sein (TCP-Port 135). In Windows Firewall heißt der Dienst Windows Management Instrumentation (WMI)/Remoteverwaltung. Einzelheiten finden Sie unter Anforderungen für Assetscans.

Unterstützte Produkte (für das Patchprogramm)

Speicherplatz (für das Patchprogramm)

  • Freier Speicherplatz im Umfang des Fünffachen der Größe der Patches, die bereitgestellt werden

Unterstützte Sprachen (für das Patchprogramm)

Siehe Liste Sprache für Downloadstatusanzeige der Patchansicht im Dialogfeld Anzeigeoptionen.

Auf Agentcomputern ist ein NTFS-Dateisystem erforderlich.

Prozessor

  • 500 MHz oder schnellerere CPU

Speicher

  • Minimum: Arbeitsspeicher mit 256 MB
  • Empfohlen: Arbeitsspeicher mit 512 MB oder mehr

Speicherplatz

  • 50 MB für Security Controls Agent-Client
  • Minimum: 2 GB für Patch-Repository
  • Empfohlen: 10 GB

Betriebssysteme (eines der nachstehend genannten, Home Editionen ausgeschlossen)

  • Windows 10-Reihe
  • Windows 11-Reihe
  • Windows Server 2012-Produktreihe (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU – bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2012-Produktreihe R2 (erfordert Microsoft Extended Security Updates (ESU) und ein Ivanti ESU – bitte wenden Sie sich an Ihren Ivanti Anbieter)
  • Windows Server 2016-Reihe
  • Windows Server 2019-Reihe
  • Windows Server 2022-Reihe

Anforderungen an die Konfiguration

Betriebssysteme

Es können alle vom Anbieter unterstützten Server-, Workstation-, Client- und Computerknotenvarianten der folgenden Systeme (nur 64-Bit) verwendet werden:

Das libicu-Paket und OpenSSL 1.0.2 oder höher sind für alle Distributionen und Versionen erforderlich.

Inhaltlos

  • CentOS 7
  • Oracle Linux 7, 8 und 9 (sowohl Red Hat Compatible Kernel als auch Unbreakable Enterprise Kernel)

    • Falls ein Computer beide Kernel besitzt, werden beide gescannt und gepatcht. Da jedoch der gerade nicht ausgeführte Kernel nicht anfällig ist, werden seine Advisories immer als installiert gemeldet.

  • Red Hat Enterprise Linux 7, 8 und 9

Inhaltbasiert

  • CentOS 7
  • Red Hat Enterprise Linux 7 und 8

Portanforderungen

Secure Shell (SSH) und Port 22 werden für die Push-Installation eines Agents auf einem Linux-Computer verwendet.

Authentifizierungsanforderungen

Der SSH-Authentifizierungstyp "Kennwortauthentifizierung" ist für SSH-Verbindungen erforderlich, damit Push-Installationen durchgeführt werden können. Stellen Sie auf allen Linux-Endpunkten sicher, dass die Einstellung PasswordAuthentication in /etc/ssh/sshd_config auf yes gesetzt ist.

Führen Sie nach dem Bearbeiten der Konfigurationsdatei einen Neustart des sshd-Dienstes aus, damit die Änderung wirksam wird.

Anforderungen an die Konfiguration

Zum Durchführen einer Push-Installation eines Agents von der Security Controls-Konsole auf einen Linux-Computer können Sie die Verbindung zum Computer entweder über ein root-Konto oder über kennwortlosen sudo-Zugriff herstellen. Aus Sicherheitsgründen wird der sudo-Zugriff als Best Practice empfohlen. Zum Implementieren des sudo-Zugriffs müssen Sie sich manuell bei jedem Linux-Computer als root anmelden, visudo aufrufen und anschließend folgendermaßen vorgehen:

  • Fügen Sie den folgenden Befehl zur Datei hinzu:

    • <installUser> ALL=(ALL) NOPASSWD: /bin/sh /tmp/ivanti-[A-Za-z0-9][A-Za-z0-9][A-Za-z0-9][A-Za-z0-9]/install.sh *

    Dieser Befehl verwendet sudo (super user do), um der Konsole root-Berechtigungen zu gewähren, damit sie eine Push-Installation eines Agents auf einem Linux-Computer durchführen kann.

  • Machen Sie in der Datei die Zeile Defaults requiretty ausfindig. Falls sie existiert, ändern Sie sie in Defaults !requiretty.

    • Dadurch wird ein bekannter Betriebssystemfehler umgangen. Da das Kennzeichen requiretty für jeden Benutzer des Computers deaktiviert wird, kann sudo auch auf über andere Methoden als eine Anmeldesitzung ausgeführt werden. Wenn Sie möchten, können Sie das Kennzeichen nur für den installierenden Benutzer deaktivieren. Ändern Sie es dazu in Defaults:><installuser> !requiretty.

    Dieses Kennzeichen ist in den aktuellen Versionen von Red Hat und CentOS nicht gesetzt.

    Wenn Sie nicht via root oder sudo über die Konsole auf Ihre Linux-Computer zugreifen möchten, können Sie eine manuelle Agentinstallation auf jedem der Computer durchführen.

Wenn sich Ihre Linux-Computer in einer getrennten Umgebung befinden, können Sie die Schritte für die Konfiguration in einer getrennten Umgebung im Rahmen der Konfiguration der Computer für sudo-Zugriff durchführen.

Dies sind die Standard-Portanforderungen. Mehrere der Portnummern sind konfigurierbar.

In bestimmten gesperrten Umgebungen müssen Sie möglicherweise Datenverkehr über den standardmäßigen dynamischen Portbereich 49152 bis 65535 explizit zulassen.

Protokoll Port Quelle Ziel Verschlüsselt Beschreibung
UDP 9 9 Security Controls Konsole System(e) ohne Agent Nein Für Wake-on-LAN (WoL) und Fehlerberichte
TCP 22 Security Controls Konsole Linux-Agent-System(e) Ja Ermöglicht der Konsole die Push-Installation eines Agents auf einem Linux-Computer.
TCP 80

Security Controls Konsole

Verteilungsserver

Nein

Wird nur bei Verwendung von HTTP für Verteilungsserver zum Synchronisieren von Patches mit der Konsole benötigt.
Security Controls Konsole Verteilungsserver Nein Wird nur bei Verwendung von HTTP für Verteilungsserver zum Synchronisieren von Patches mit der Konsole benötigt.
Agentsystem(e) Verteilungsserver Nein Wird nur bei Verwendung von HTTP für Verteilungsserver zum Synchronisieren von Patches mit der Konsole benötigt.
Security Controls Konsole Patch Repositories/Patchkonfiguration Nein Patchdownloads, wenn keine HTTPS-URLs verfügbar sind
TCP 135 Security Controls Konsole System(e) ohne Agent Nein Unterstützt das WMI-Protokoll, das für Assetscans erforderlich ist

UDP und

TCP

(oder TCP 445 für alle drei Ports ersetzen)

137-138

139

Security Controls Konsole

System(e) ohne Agent

Nein

(Windows-Dateifreigabe/-Verzeichnisdienste) erforderlich für agentenlose Scans und Bereitstellung
Security Controls Konsole Verteilungsserver Nein (Windows-Dateifreigabe/-Verzeichnisdienste) erforderlich für agentenlose Scans und Bereitstellung
Agentsystem(e) Verteilungsserver Nein (Windows-Dateifreigabe/-Verzeichnisdienste) erforderlich für agentenlose Scans und Bereitstellung
System(e) ohne Agent Verteilungsserver Nein (Windows-Dateifreigabe/-Verzeichnisdienste) erforderlich für agentenlose Scans und Bereitstellung
TCP 443

Security Controls Konsole

Verteilungsserver

Ja

Wird für Verteilungsserver zum Synchronisieren von Patches mit der Konsole benötigt; nur bei Verwendung von HTTP (Cloud Synch).
Agentsystem(e) Verteilungsserver Ja Wird für Verteilungsserver zum Synchronisieren von Patches mit der Konsole benötigt; nur bei Verwendung von HTTP (Cloudagents).
Security Controls Konsole Patch Repositories/Patchkonfiguration Ja Patch- und Inhaltsdownloads
Security Controls Konsole VMware vCenter Ja Wird beim Herstellen einer Verbindung zum vCenter Server verwendet.
Security Controls Konsole VMware ESXi Hypervisor Ja Wird beim Herstellen einer Verbindung zum ESXi Hypervisor verwendet.

TCP

(oder durch UDP 137-138 und TCP 139 ersetzen)

 445

Security Controls Konsole

System(e) ohne Agent

Ja (SMBv3)

(Windows-Dateifreigabe/-Verzeichnisdienste) erforderlich für agentenlose Scans und Bereitstellung
Security Controls Konsole Verteilungsserver Ja (SMBv3) (Windows-Dateifreigabe/-Verzeichnisdienste) erforderlich für agentenlose Scans und Bereitstellung
System(e) ohne Agent Verteilungsserver Ja (SMBv3)

(Windows-Dateifreigabe/-Verzeichnisdienste) erforderlich für agentenlose Scans und Bereitstellung
TCP 902 Security Controls Konsole VMware vCenter/ESXi Hypervisor Ja (TLS) Wird zum Laden der virtuellen Festplatte in virtuelle Offlinecomputer und in Vorlagen virtueller Offlinecomputer verwendet.
TCP 3000 Chrome Browsererweiterung Agentsystem(e)   Ermöglicht die Kommunikation zwischen Browsererweiterungen und Application Control Agent; konfigurierbar über die Einstellung BrowserCommsPort.
TCP 3001 Chrome Browser Agentsystem(e)   Ermöglicht die Installation der Chrome Browser-Kontrolle-Erweiterung; konfigurierbar über die Einstellung BrowserAppStorePort.
TCP 3121

Agentsystem(e)

Security Controls Konsole

Ja

 

Erforderlich für Statusaktualisierungen der Bereitstellungsverfolgung für die Patchbereitstellung und die Agentkommunikation zurück zur Konsole.

System(e) ohne Agent

Security Controls Konsole

Ja

 

Erforderlich für Statusaktualisierungen der Bereitstellungsverfolgung für die Patchbereitstellung und die Agentkommunikation zurück zur Konsole.
TCP 4155 Security Controls Konsole Agentsystem(e) Ja Ermöglicht empfangsbereiten Agents den Empfang von Befehlen von der Konsole.
TCP 5985 Security Controls Konsole System(e) ohne Agent Ja Ermöglicht Ihnen die Verwendung der Funktion ITScripts.

Konfigurierbare Ports

Fügen Sie für Security Controls Cloud die folgenden URLs zur Ausnahmeliste der erlaubten URLs hinzu:

  • isec.ivanticloud.com
  • isecagent.blob.core.windows.net

Je nach Nutzung müssen Sie möglicherweise weitere URLs einschließen, siehe dazu URL-Ausnahmeliste für Ivanti Security Controls (wird in einem neuen Fenster geöffnet).