Windows- en Linux-pc's inventariseren vanaf je iPhone

NetBlade Pro kan lezen wat er in de pc’s op je netwerk zit zonder er iets op te installeren: hardware, geïnstalleerde software, services, updates, accounts en de staat van hun verdediging. Windows-machines worden via WinRM uitgelezen, Linux-machines via SSH. Dit artikel laat zien hoe je elk soort machine voorbereidt, de inventaris uitvoert, Windows-programma’s op bekende kwetsbaarheden controleert en veranderingen in de tijd volgt.

Voordat je begint

NetBlade Pro. De Windows-inventaris, de Linux-inventaris en de kwetsbaarhedencheck zijn Pro-functies.
De iPhone of iPad op hetzelfde lokale netwerk als de pc’s.
Voor Windows: een account dat via het netwerk mag aanmelden, meestal een lokale beheerder, met een wachtwoord.
Voor Linux: een SSH-server en een gewoon gebruikersaccount. Geen sudo nodig.

Let op: NetBlade wijzigt niets op je pc’s. Het leest alleen, en elk commando dat een machine voorbereidt, voer je zelf uit.

1. Een Windows-pc voorbereiden

iOS heeft geen SMB-client, dus alles wat NetBlade van Windows leest, komt via WinRM binnen, op poort 5985. Windows wordt geleverd met WinRM uit. Open op de pc PowerShell als beheerder:

Zet WinRM aan: Enable-PSRemoting -Force
Alleen op pc’s in een werkgroep, niet lid van een domein, wanneer je een ander lokaal account gebruikt dan de ingebouwde Administrator: New-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -Name LocalAccountTokenFilterPolicy -Value 1 -PropertyType DWord -Force

Het tweede commando is nodig omdat Windows lokale accounts via het netwerk een gefilterd token geeft, zodat een werkgroep-pc ze weigert, zelfs met het juiste wachtwoord.

Je hoeft ze niet vanaf hier over te typen: in de app toont «Zo krijg je meer gegevens» beide, elk met een kopieerknop.

Tip: Enable-PSRemoting weigert te draaien zolang het netwerk van de pc op Openbaar staat. Zet in de Windows-instellingen het netwerkprofiel eerst op Privé.

2. Een Linux-machine voorbereiden

Meestal is er niets te doen: als je er via SSH met een gewone gebruiker op kunt, kan NetBlade hem uitlezen. De commando’s die het uitvoert zijn alleen-lezen en gebruiken geen sudo, dus alles wat root vereist, blijft leeg.

3. De inloggegevens één keer opslaan (optioneel)

Als veel machines een account delen, bewaar het dan op het netwerk in plaats van op elk apparaat:

Open Opgeslagen › je netwerk › «Inloggegevens».
Vul de accounts voor Windows (WinRM) en Linux (SSH) in.

Een enkele machine kan ze op zijn eigen pagina overschrijven met «Inloggegevens (dit apparaat)». Wachtwoorden worden bewaard in de iOS Keychain, alleen op dit apparaat, en komen nooit in het back-upbestand.

4. De inventaris uitvoeren

Scan het netwerk vanuit het tabblad LAN en tik op de pc.
Tik op «Inventaris op afstand (Windows / Linux)» en kies het systeem.
Voer de gebruiker en het wachtwoord in. Voeg voor Windows het domein toe, of laat «Domein (optioneel)» leeg voor een lokaal account. Controleer voor Linux de poort.
Tik op «Deze pc uitlezen».

Als het mislukt, legt NetBlade uit waarom en toont het, waar er een is, het commando dat het oplost.

Wat je van Windows krijgt

Systeem en uptime, hardware (processor, geheugen, BIOS-serienummer), services, updates, lokale accounts, opstartitems, netwerkadapters, schijven, geïnstalleerde software, en «Verdediging»: antivirus, firewall per profiel, BitLocker per volume en TPM.

Programmaversies komen uit het Windows-register. Ze zijn compleet, maar minder exact dan versies die uit het programmabestand worden gelezen, wat iOS zonder SMB niet kan. Om dezelfde reden zijn er geen gedeelde mappen of gebruikersprofielen.

Wat je van Linux krijgt

Distributie en kernel, CPU en geheugen, schijven, services en luisterende poorten, gebruikers, containers, pakketten en openstaande updates, firewall, SELinux en AppArmor.

5. Windows-programma’s op bekende kwetsbaarheden controleren

De controle vraagt de National Vulnerability Database (NVD) welke gepubliceerde kwetsbaarheden (CVE’s) de exacte versie van elk programma dat NetBlade herkent, treffen.

Ga naar Instellingen › «Controle op kwetsbaarheden».
Zet «Software controleren op bekende kwetsbaarheden» aan.
Plak eventueel een gratis «NVD API-sleutel (optioneel)». Zonder sleutel staat NVD 5 verzoeken per 30 seconden toe; met een sleutel 50. Op een pc met veel programma’s maakt de sleutel de controle veel sneller.
Lees, of herlees, de inventaris van een Windows-pc.

Bevindingen staan met de ergste bovenaan, met CVSS-score en een link. De samenvatting verschijnt ook in de «Beveiligingsstatus» van het apparaat en op het opgeslagen netwerk.

Wat je iPhone verlaat

Alleen de naam en versie van de programma’s die NetBlade met zekerheid kan matchen, verstuurd naar nvd.nist.gov. Nooit de naam van de machine, zijn adres of wie is aangemeld. Er wordt niets verstuurd tot je de instelling aanzet.

Let op: Alleen programma’s die NetBlade exact aan de juiste database-invoer kan koppelen, worden gecontroleerd. Een programma dat het niet herkent, krijgt geen oordeel, wat niet hetzelfde is als “geen kwetsbaarheden”. Antwoorden worden een week bewaard. De controle dekt alleen Windows-inventarissen.

6. Veranderingen in de tijd volgen

Elke inventaris van een pc op een opgeslagen netwerk voedt zijn «Netwerktijdlijn»: antivirus, firewall of versleuteling uitgezet, verminderde bescherming, ingeschakelde accounts, nieuwe opstartprogramma’s, nieuwe beheerders, nieuwe poorten, schijven bijna vol en openstaande updates.

iOS laat NetBlade geen inventarissen op de achtergrond uitvoeren, dus de tijdlijn beweegt wanneer jij de pc’s uitleest. Maak er een gewoonte van: lees je belangrijkste machines telkens als je op locatie bent.

Controleren of het werkt

De pagina van de pc toont de inventaris met de datum waarop hij is uitgelezen.
Voor Windows toont «Verdediging» antivirus, firewall, BitLocker en TPM.
Met de kwetsbaarhedencheck aan toont «Beveiligingsstatus» bevindingen, of zegt dat er niets bekend is tegen de herkende programma’s.
Opgeslagen › je netwerk toont de geïnventariseerde pc’s.

Als er iets misgaat

Windows antwoordt niet. WinRM staat uit of wordt geblokkeerd. Voer Enable-PSRemoting -Force op de pc uit; onthoud dat een machine die alleen bestanden deelt, niet antwoordt, want iOS leest alleen via WinRM.
Het account wordt op een werkgroep-pc geweigerd. Voer het commando LocalAccountTokenFilterPolicy uit, of gebruik de ingebouwde Administrator.
Het wachtwoord klopt maar wordt toch geweigerd. Accounts zonder wachtwoord kunnen niet via het netwerk aanmelden. Controleer ook het domeinveld: leeg voor lokale accounts.
Linux geeft weinig terug. De gegevens die root vereisen, blijven met opzet leeg. Een beperkte shell geeft misschien helemaal niets terug.
De kwetsbaarhedencheck is traag. Voeg een NVD API-sleutel toe in Instellingen.

Verder

← Alle how-to-handleidingen Functiehandleiding → Het product: NetBlade iPhone · iPad →