Usit-Daily

Innhold:

• Hva er usit-daily (før og nå)
  
• Usit-daily i tre deler:
  
  1. Installering av usit-daily
     
  2. Kjøring av usit-daily på lokal maskin
     
  3. Rapporter fra usit-daily
     
• Daily-light
  
• Kjente feilkilder
  
• Problempatcher
  

Hva er usit-daily? (før og nå)

Usit-daily er et script som kjøres på alle maskiner i domenet om natten. Maskinene leverer via usit-daily rapport om seg selv som legges på en sentral server. Usit-daily skal kjøre på alle maskiner i domenet. Siden det er et krav at alle windowsmaskiner på UiO-nettet skal være i domenet, skal i teorien alle maskiner også kjøre usit-daily.

Før:
I utgangspunktet ble usit-daily utviklet for å patche maskiner med Windows 2000 og Windows NT4. Dette var før Windows Update kom. Etterhvert utvidet vi daily til å ta ut diverse logger fra maskinene til bruk i jakten på maskiner som kunne være kompromittert på noen måte eller viste ureglementert oppførsel.

Nå:
Nå brukes normalt ikke patchedelen av usit-daily lenger. Windowsmaskiner på UiO-nettet patches istedet v.h.a. Windows Update. En group policy som gjelder for alle maskiner i domenet sier at maskinene skal laste ned patcher fra Windows Update og få disse installert på et tidspunkt om natten. Et unntak fra dette er W2K-maskiner som settes opp uten SP3. Disse har nemlig ikke mulighet til å bruke windows update og får derfor lagt inn denne og noen viktige patcher.

Hensikt med usit-daily:
Ved at alle maskiner i domenet avleverer rapport om seg selv får vi en bra oversikt over hva som finnes der ute, og det blir dermed lettere å holde kontroll med maskinene både for USIT og de lokale IT-ansvarlige. Opprydning av f.eks. maskiner utenfor domenet og maskiner som ikke har riktig maskinnavn, osv blir enklere. Og med så stor fokus på sikkerhet som vi har for tiden er dette blitt et bra verktøy til å fange opp patchestatus, hackede maskiner, mm.

Usit-daily i tre deler:

1) Installering av usit-daily

Installering av usit-daily skal gå automatisk for maskiner som er med i domenet. Det er lagt inn i en group policy for uio-domenet at når en maskin booter opp kjøres et installscript fra startup-policyen som installer usit-daily. I installasjonsscriptet skjer følgende:

• Scheduler-tjenesten blir forsøkt startet opp på maskinen i tilfelle denne ikke går fra før.
• Det sjekkes om det finnes en start-daily.bat fil på maskinen fra før. Om det ikke gjør det legges det inn en fil på %systemdrive%\etc\daily\start-daily.bat. (Dette er scriptet som kaller hovedscriptet på en sentralserver (serimne/silo).)
• Det sjekkes etter om det finnes en at-job som heter start-daily.bat fra før. Dersom det ikke gjør det legges det inn en jobb på et tilfeldig tidspunkt mellom kl.0000 og kl.0600. Denne at-jobben kjører filen som ble lagt inn: %systemdrive%\etc\daily\start-daily.bat
• Tilslutt sjekkes det om maskinen har en %computername%.log liggende som er nyere enn ett døgn. Hvis ikke kjøres et utdrag av usit-daily idet maskinen starter opp, såkalt "daily-light" (Mer om daily-light lenger ned).

Dette vil si:
boot av maskin = installasjon av usit-daily

Dersom dette av en eller annen grunn ikke skulle skje på oppstart er det mulig å prøve å kjøre installasjonsscriptet manuelt fra:
\\silo\ts\daily\pc-daily\install-daily.bat (blir snart lagt på serimne)

2) Kjøring av usit-daily på lokal maskin

Den lokale filen %systemdrive%\etc\daily\start-daily.bat kjøres og kaller et hovedscript på %dailyroot%\daily\pc-daily\daily.bat (%dailyroot% settes for tiden til \\silo\ts i begynnelsen av scriptet, men skal siden flyttes til \\serimne\ts). Daily.bat kaller igjen diverse småscript:

• system_info.bat
  perl-script som plukker ut informasjon fra registry på maskinen. Informasjon om hvilket OS som kjøres, versjonsnummer, språk og hvilke patcher og servicepacker som eventuelt finnes fra før.
  
• f-sec.bat
  perl-script som finner ut hvilken versjon av f-secure som går på maskinen, og når den sist fikk virusoppdateringer.
  
• hfnetchk.bat
  perl-script som bruker verktøyet hfnetchk4Pro fra shavlik til å plukke ut informasjon om hvilke patcher som mangler på maskinen. Denne kan finne manglende os-patcher og office-patcher.
  
• sp.bat
  perl-script sjekker service pack status. Ut fra systeminformasjonen finner ut hvor en eventuell service pack for maskinen ligger. Hvis ikke service pack 3 for w2k er lagt inn, vil den legges inn i en temp-fil og installeres til slutt i dailykjøringen.
  
• patch.bat
  perl-script som basert på systeminformasjonen finner scriptet ut hvor evt. aktuelle patcher for maskinen ligger. (Dette gjelder kun dersom maskinen også får lagt inn SP3 for w2k). Scriptet sammenligner hvilke patcher som finnes på maskinen med de som ligger tilgjengelig. Hvis noen av disse patchene mangler, vil disse legges inn i en temp-fil og installeres til slutt i dailykjøringen. Etter at patchene legges inn vil qchain.exe bli kjørt. Dette er et verktøy som gjør at man slipper å reboote mellom hver patch som legges inn.
  
• sist_kjort.bat
  finner ut når daily kjørte sist.
  
• logg_diverse.bat
  perlscript som henter ut mye viktig maskininformasjon. Dette scriptet kaller igjen en del småscript som utfører diverse oppgaver og legger resultatene i en lokal fil. %systemdrive%\etc\daily\logs\%computername%.log.

  Det som plukkes ut i denne delen (og havner i hver sin <tag> i loggen) er følgende:
  

  • ipconf (ipconfig /all)
    Resultat fra kjøring av ipconfig.
  • srvinfo (%dailyroot%\\bin\\srvinfo.exe -sv)
    Resultat fra kjøring av verktøyet srvinfo.
  • diskusage (%dailyroot%\\daily\\pc-daily\\logg\\logg_diskusage.bat)
    Lite perlscript som pukker ut informasjon om diskbruk.
  • oeminfo (type %systemroot%\\system32\\oeminfo.ini)
    Plukker ut infomasjon fra filen oeminfo.ini dersom denne finnes. Inneholder informasjon om leverandøren av maskinen dersom man ikke har reinstallert etter levering.
  • netshare (net share)
    Resultat fra kjøring av net share. Dette er hvilke shares som er delt ut på maskinen.
  • netstat (netstat -a)
    Resultat fra kjøring av netstat som viser nettverksoppkoblinger på maskinen.
  • fport (%dailyroot%\\bin\\Fport.exe)
    Resultat fra kjøring av fport som også viser nettverksoppkoblinger på maskinen.
  • netstart (net start)
    Resultat fra kjøring av net start som viser hvilke servicer som er startet på maskinen.
  • tlist (%dailyroot%\\daily\\pc-daily\\logg\\logg_tlist.bat)
    Resultat fra kjøring av tlist som viser hvilke prosesser som går på maskinen og hvilken path disse kjører fra.
  • admingruppe (net localgroup administrators)
    Plukker ut medlemmer av den lokale administratorgruppen.
  • guestinfo (net user guest)
    Plukker ut informasjon om gjestekontoen
  • guestgruppe (net localgroup guests)
    Plukker ut medlemmer av den lokale gjestegruppen.
  • profiler (dir %systemdrive%\"Documents and Settings")
    Informasjon om hvem som har vært logget inn på maskinen.
  • antsp (type %systemdrive%\\etc\\daily\\logs\\count.log)
    Plukker ut informasjon satt tidligere i daily-scriptet dersom maskinen har hatt problemer med å få installert SP3 (egentlig utdatert, fjernes helt etterhvert)
  • w2kversjon (if defined mkdisk echo %mkdisk%)
    Undersøker om maskinen er installert med mkdisk-løsningen hvis det er en w2k-maskin.
  • xpversjon (if defined gversion echo %gversion%)
    Undersøker om maskinen er installert med XP/PXE-løsningen hvis det er en xp-maskin.
  • loklogon (%dailyroot%\\daily\\pc-daily\\logg\\logg_on_off.bat)
    Perlscript som dumper securitydelen av eventloggen. Det sjekkes etter pålogging av lokale brukere og forsøk på administratorpålogging som feiler 5 eller flere ganger på rad. Dersom av- og pålogging ikke logges skrus dette på i eventloggen.
  • win.ini (type %systemroot%\\win.ini)
    Plukker ut innholdet i win.ini
  • boot.ini (type %systemdrive%\\boot.ini)
    Plukker ut innholdet i boot.ini
  • winlogon (%dailyroot%\\daily\\pc-daily\\logg\\logg_reg_winlogon.bat)
    Perlscript som plukker ut informasjon fra registeret. Nøkler og subnøkler fra winlogon.
  • run (%dailyroot%\\daily\\pc-daily\\logg\\logg_reg_run.bat)
    Perlscript som plukker ut informasjon fra registeret. Nøkler og subnøkler fra run.
  • runonce (%dailyroot%\\daily\\pc-daily\\logg\\logg_reg_runonce.bat)
    Perlscript som plukker ut informasjon fra registeret. Nøkler og subnøkler fra runonce.
  • startup (%dailyroot%\\daily\\pc-daily\\logg\\logg_reg_startup.bat)
    Perlscript som plukker ut informasjon fra registeret. Nøkler og subnøkler fra startup.
  • psservice (%dailyroot%\\bin\\psservice.exe)
    Resultat fra kjøring av psservice. Viser alle servicer som er installert på maskinen (ikke bare de som er startet).
  • ekle_filer (%dailyroot%\\daily\\pc-daily\\logg\\logg_filer_rest.pl)
    Perlscript som leter etter mistenkelige filer på maskinen. Vi vedlikeholder en liste over filer som har vist seg å være ekle ved tidligere angrep av maskiner. Disse filene kan enten være mistenkelige hvis de ligger på et bestemt sted på maskinen, er av en bestemt størrelse eller ganske enkelt bare finnes på maskinen.

All informasjon som hentes ut lagres i den lokale filen %systemdrive%\etc\daily\logs\%computername%.log. Den kopieres over til et loggområde på en sentral server (\\silo\logg). Ut fra disse genereres daglige rapporter om mistenkelige ting til pcadm og nå også til lokale IT-ansvarlige.
Begge filene skrives over for hver gang usit-daily kjører.

3) Rapporter fra usit-daily

Tidligere genererte vi kun en generell rapport fra daily-loggene som pcadm fikk sendt i mail hver morgen. Etter at Active Directory er blitt tatt mer og mer i bruk og mange fakulteter og institutter er i gang med å bruke dette, har vi laget nye rapportrutiner som gjør det mulig for lokale it-ansvarlige å få rapport fra sin maskinpark.
Dette fungerer slik at vi vedlikeholder en liste over OUene med tilhørende e-postadresser og hva som skal sendes med i hver rapport. Rapportscriptet henter ut en liste over maskiner i hvert OU i AD, leser alle dailyloggene fra \\silo\logg (skal bli serimne), genererer en rapport basert på et sett med regler og sender rapporten til riktig e-postadresse. Rapporten lagres dessuten også i både kortversjon og fullstendig versjon på sentral server.
Eksempel på en mailrapport

Daily-light

Daily-light er en "kortversjon" av usit-daily. Den plukker ut et subsett av det fullversjonen gjør.
Daily-light plukker ut følgende:

• OS-informasjon
• patchestatus med hfnetchk
• f-secure-versjon
• f-secure sist oppdatert
• sist kjørt daily

På startup av maskinen sjekkes alderen til %computername%.log filen. Dersom denne er eldre enn et døgn, kjøres daily med opsjonen -light. Resultat av dette skrives også til sentral server silo (blir serimne) med filnavnet %computername%-light.log.
Hensikten med daily-light er at denne kan kjøres ved behov på dagtid uten at brukeren vil legge merke til det. På denne måten blir maskiner som skrus av om natten fanget opp slik at disse kan følges opp. I rapportdelen av daily brukes dataene fra lightloggen dersom denne er nyest.

Kjente feilkilder (spørsmål vi ofte får)

1)
Spørsmål: Hvorfor blir ikke maskinen patchet?
Svar: Daily patcher ikke lenger, med unntak av maskiner som settes opp med Windows 2000 uten service pack 3.

2)
Spørsmål: Maskinen er patchet, men daily hevder den mangler patcher. Hvorfor?
Svar: Dette kan være flere ting.
Windows Update patcher ikke office-patcher. (Vi jobber med en løsning for dette).
Hfnetchk gir av og til merkelig resultater på noen maskiner for noen patcher. Vi jobber med å finne en løsning på problemene for å få rapportene så korrekte som mulig.
Se også siden om problempatcher og hva disse kan skyldes

3)
Spørsmål: Maskinen har start-daily.bat og at-jobb installert, men dukker ikke opp i rapportene. Hvorfor?
Svar: Klonede maskiner får problemer med at rettighetene for kjøring av daily-jobben ikke følger med kloningen. Dette kan rettes opp manuelt ved å slette c:\etc\daily og at-jobben, slik at daily reinstalleres ved boot med riktige rettigheter.
Dersom dette gjelder mange maskiner er det mulig å sende en liste med disse til pcadm, så kan vi kjøre et "refreshatjob"-script på de aktuelle maskinene for dere.

4)
Spørsmål: Daily er ikke installert, maskinen har ikke at-jobb og ingenting blir installert ved oppstart.
Svar: Daily trenger skrivetilgang til systemdriven for å virke. Sjekk at SYSTEM har skrivetilgang i c:\etc-mappen for at installscriptet skal få lov til å legge inn det som er nødvendig.

5)
Spørsmål: Jeg har satt maskinen til ikke å boote med noboot.txt. Men den booter av og til om natten likevel. Hvorfor?
Svar: Noboot.txt gjelder ikke lenger. Den er fra den tiden da daily patchet. Nå patches det via windows update og noen av patchene krever en reboot av maskinen.

6)
Spørsmål: Maskinen kjører daily og har loggfil lokalt, men dukker ikke opp i rapportene. Hvorfor?
Svar: Sjekk at daily har fått kjøre ferdig. På slutten av loggfilen skal det stå når daily ble avsluttet. Hvis andre at-jobber kjører om natten og f.eks. shutter ned maskinen kan dette komme til å avbryte dailykjøringen og dermed avleveres ikke loggfilen til serimne.

---

Redaksjon: pcadm, pcadm@usit.uio.no
Dokument opprettet: 13.11.2003, endret: 18.11.2003