Quelltext der Seite FleetDM: Policies, Queries und Labels (Debian 12)


=== Zielsetzung ===
Diese Anleitung beschreibt, wie man FleetDM verwendet, um grundlegende Sicherheitsrichtlinien, automatische Host-Gruppierung und geplante Sicherheitsabfragen einzurichten – vollständig über die Weboberfläche.

=== Voraussetzungen ===
* Ein oder mehrere Hosts erscheinen unter „Hosts“
* Zugriff auf die FleetDM-Weboberfläche ist möglich (z. B. https://fleet.it113.int:8080)

=== Policies anlegen (Sicherheitsprüfungen) ===
* Öffne die Weboberfläche
* Klicke auf „Settings“ → Reiter „Policies“
* Klicke auf „+ Add a policy“
* Gib einen Namen an (z. B. SSH-Server aktiv)
* Trage die SQL-Abfrage ein:

<pre>
SELECT 1 FROM processes WHERE name = 'sshd' OR path = '/usr/sbin/sshd';
</pre>

* Wähle „All Hosts“ oder ein bestimmtes Label
* Speichere die Policy

Weitere Beispiele:

;Auditd läuft
<pre>
SELECT * FROM processes WHERE name = 'auditd';
</pre>

;Root-Konto wurde genutzt
<pre>
SELECT * FROM logged_in_users WHERE uid = 0;
</pre>

;Hostname entspricht nicht dem Muster „debian-*“
<pre>
SELECT hostname FROM system_info WHERE hostname NOT LIKE 'debian-%';
</pre>

=== Labels erstellen (automatische Gruppierung) ===
* Klicke auf „Hosts“ → Reiter „Labels“
* Klicke auf „+ Create new label“
* Gib einen Namen ein (z. B. Ist VM)
* Trage die SQL-Abfrage ein:

<pre>
SELECT * FROM system_info WHERE hardware_model LIKE '%VirtualBox%' OR hardware_model LIKE '%KVM%';
</pre>

Weitere Beispiele:

;Ist ein Laptop (hat Akku)
<pre>
SELECT * FROM battery;
</pre>

;Ist ein Server (Debian, kein Akku, kein GUI)
<pre>
SELECT * FROM os_version WHERE name = 'debian' AND platform = 'ubuntu' AND build != '';
</pre>

Nach dem Speichern wird das Label automatisch auf passende Hosts angewendet.

=== Scheduled Queries einrichten (regelmäßige Prüfungen) ===
* Klicke in der Weboberfläche auf „Schedule“
* Klicke auf „+ Schedule a query“
* Wähle eine bestehende oder neue gespeicherte Query
* Gib das Intervall ein (z. B. „Every 24 hours“)
* Wähle Zielhosts oder ein Label
* Speichere den Zeitplan

Beispiele:

;Tägliche SUID-Binary-Erkennung
<pre>
SELECT path, permissions FROM suid_bin;
</pre>

;Welt-schreibbare Dateien unter /etc (alle 24h)
<pre>
SELECT * FROM file WHERE directory = '/etc' AND mode LIKE '%w%';
</pre>

;Offene Ports (alle 4 Stunden)
<pre>
SELECT pid, address, port, protocol, family FROM listening_ports;
</pre>

;Prozesse (alle 60 Minuten)
<pre>
SELECT name, pid, path, cmdline FROM processes;
</pre>

=== Ergebnis ===
* Policies werden regelmäßig ausgewertet und zeigen „pass“ oder „fail“ pro Host
* Labels ordnen Hosts automatisch Gruppen zu
* Scheduled Queries liefern regelmäßig verwertbare Ergebnisse
* Alles funktioniert zentral über die Weboberfläche ohne zusätzliche Agenten- oder CLI-Konfiguration

[[Kategorie:FleetDM]]
[[Kategorie:osquery]]
[[Kategorie:xinux.net Anleitung]]
[[Kategorie:Sicherheitsrichtlinien]]