Thomas.will am 20. April 2025 um 08:34 Uhr

2025-04-20T08:34:34Z

Thomas.will: Die Seite wurde neu angelegt: „== FleetDM: Policies, Queries und Labels für Debian 12 == === Übersicht === Diese Sammlung enthält grundlegende Policies, Live-Queries und Label-Abfragen f…“

2025-04-20T08:30:21Z

Die Seite wurde neu angelegt: „== FleetDM: Policies, Queries und Labels für Debian 12 == === Übersicht === Diese Sammlung enthält grundlegende Policies, Live-Queries und Label-Abfragen f…“

Neue Seite

== FleetDM: Policies, Queries und Labels für Debian 12 ==

=== Übersicht ===
Diese Sammlung enthält grundlegende Policies, Live-Queries und Label-Abfragen für den Einsatz von osquery unter FleetDM auf Debian 12-Systemen. Ziel ist ein schneller Einstieg in Sicherheitsprüfung und Systeminventarisierung.

=== Voraussetzungen ===
* Eine funktionierende FleetDM-Installation mit mindestens einem angebundenen Debian 12-Client
* osquery und orbit laufen korrekt auf dem Zielsystem
* Der Zugriff auf die Fleet-Weboberfläche ist möglich

=== Policies (WebUI: Policies → Add a Policy) ===
*SSH-Server aktiv
SELECT 1 FROM processes WHERE name = 'sshd' OR path = '/usr/sbin/sshd';

*UFW Firewall aktiv
SELECT * FROM processes WHERE name = 'ufw' OR path = '/usr/sbin/ufw';

*Root-Konto aktiv verwendet
SELECT * FROM logged_in_users WHERE uid = 0;

*Auditd läuft
SELECT * FROM processes WHERE name = 'auditd';

*Hostname entspricht nicht Standard
SELECT hostname FROM system_info WHERE hostname NOT LIKE 'debian-%';

=== Queries (WebUI: Queries → New Query) ===
*Alle laufenden Prozesse
SELECT name, pid, path, cmdline FROM processes;

*Aktive Benutzerkonten
SELECT username, uid, gid, directory, shell FROM users WHERE shell NOT IN ('/usr/sbin/nologin', '/bin/false');

*Listening Netzwerk-Ports
SELECT pid, address, port, protocol, family FROM listening_ports;

*Welt-schreibbare Dateien unter /etc
SELECT * FROM file WHERE directory = '/etc' AND mode LIKE '%w%';

*SUID-Binaries im System
SELECT path, permissions FROM suid_bin;

=== Labels (WebUI: Hosts → Labels → Add Label) ===
*Ist virtualisiert (VirtualBox oder KVM)
SELECT * FROM system_info WHERE hardware_model LIKE '%VirtualBox%' OR hardware_model LIKE '%KVM%';

*Ist ein Laptop (Batterie vorhanden)
SELECT * FROM battery;

*Ist ein Server (Debian ohne Akku, GUI optional)
SELECT * FROM os_version WHERE name = 'debian' AND platform = 'ubuntu' AND build != '';

=== Hinweise ===
* Policies zeigen sofort „pass“ oder „fail“ in der UI und sind webhookfähig
* Queries sind manuell oder geplant ausführbar
* Labels gruppieren Hosts automatisch nach Eigenschaften
* Alle Abfragen sind auf Debian 12 getestet, funktionieren aber auch auf ähnlichen Systemen

[[Kategorie:FleetDM]]
[[Kategorie:osquery]]
[[Kategorie:Security Monitoring]]
[[Kategorie:Debian]]

@@ Zeile 1: / Zeile 1: @@
-=== Übersicht ===
+=== Zielsetzung ===
-Diese Sammlung enthält grundlegende Policies, Live-Queries und Label-Abfragen für den Einsatz von osquery unter FleetDM auf Debian 12-Systemen. Ziel ist ein schneller Einstieg in Sicherheitsprüfung und Systeminventarisierung.
+Diese Anleitung beschreibt, wie man FleetDM verwendet, um grundlegende Sicherheitsrichtlinien, automatische Host-Gruppierung und geplante Sicherheitsabfragen einzurichten – vollständig über die Weboberfläche.
 === Voraussetzungen ===
-* Eine funktionierende FleetDM-Installation mit mindestens einem angebundenen Debian 12-Client
+* Ein oder mehrere Hosts erscheinen unter „Hosts“
-* osquery und orbit laufen korrekt auf dem Zielsystem
+* Zugriff auf die FleetDM-Weboberfläche ist möglich (z. B. https://fleet.it113.int:8080)
-=== Policies (WebUI: Policies → Add a Policy) ===
+=== Policies anlegen (Sicherheitsprüfungen) ===
-*SSH-Server aktiv
+* Öffne die Weboberfläche
 SELECT 1 FROM processes WHERE name = 'sshd' OR path = '/usr/sbin/sshd';
-*UFW Firewall aktiv
+* Wähle „All Hosts“ oder ein bestimmtes Label
-SELECT * FROM processes WHERE name = 'ufw' OR path = '/usr/sbin/ufw';
+* Speichere die Policy
-*Root-Konto aktiv verwendet
+Weitere Beispiele:
-*Auditd läuft
+;Auditd läuft
 SELECT * FROM processes WHERE name = 'auditd';
-*Hostname entspricht nicht Standard
+;Root-Konto wurde genutzt
 SELECT hostname FROM system_info WHERE hostname NOT LIKE 'debian-%';
-=== Queries (WebUI: Queries → New Query) ===
+;Ist ein Server (Debian, kein Akku, kein GUI)
-*Alle laufenden Prozesse
+<pre>
-SELECT name, pid, path, cmdline FROM processes;
+SELECT * FROM os_version WHERE name = 'debian' AND platform = 'ubuntu' AND build != '';
-*Aktive Benutzerkonten
+Nach dem Speichern wird das Label automatisch auf passende Hosts angewendet.
-*Listening Netzwerk-Ports
+=== Scheduled Queries einrichten (regelmäßige Prüfungen) ===
-SELECT pid, address, port, protocol, family FROM listening_ports;
+* Klicke in der Weboberfläche auf „Schedule“
-*Welt-schreibbare Dateien unter /etc
+Beispiele:
-*SUID-Binaries im System
+;Tägliche SUID-Binary-Erkennung
 SELECT path, permissions FROM suid_bin;
-=== Labels (WebUI: Hosts → Labels → Add Label) ===
+;Welt-schreibbare Dateien unter /etc (alle 24h)
-*Ist virtualisiert (VirtualBox oder KVM)
+<pre>
-SELECT * FROM system_info WHERE hardware_model LIKE '%VirtualBox%' OR hardware_model LIKE '%KVM%';
+SELECT * FROM file WHERE directory = '/etc' AND mode LIKE '%w%';
-*Ist ein Laptop (Batterie vorhanden)
+;Offene Ports (alle 4 Stunden)
-SELECT * FROM battery;
+<pre>
-*Ist ein Server (Debian ohne Akku, GUI optional)
+;Prozesse (alle 60 Minuten)
-SELECT * FROM os_version WHERE name = 'debian' AND platform = 'ubuntu' AND build != '';
+<pre>
-=== Hinweise ===
+=== Ergebnis ===
-* Policies zeigen sofort „pass“ oder „fail“ in der UI und sind webhookfähig
+* Policies werden regelmäßig ausgewertet und zeigen „pass“ oder „fail“ pro Host
-* Queries sind manuell oder geplant ausführbar
+* Labels ordnen Hosts automatisch Gruppen zu
-* Labels gruppieren Hosts automatisch nach Eigenschaften
+* Scheduled Queries liefern regelmäßig verwertbare Ergebnisse
-* Alle Abfragen sind auf Debian 12 getestet, funktionieren aber auch auf ähnlichen Systemen
+* Alles funktioniert zentral über die Weboberfläche ohne zusätzliche Agenten- oder CLI-Konfiguration
 [[Kategorie:FleetDM]]
 [[Kategorie:osquery]]
-[[Kategorie:Security Monitoring]]
+[[Kategorie:xinux.net Anleitung]]
-[[Kategorie:Debian]]
+[[Kategorie:Sicherheitsrichtlinien]]

FleetDM: Policies, Queries und Labels (Debian 12) - Versionsgeschichte

Thomas.will am 20. April 2025 um 08:34 Uhr

Thomas.will: Die Seite wurde neu angelegt: „== FleetDM: Policies, Queries und Labels für Debian 12 == === Übersicht === Diese Sammlung enthält grundlegende Policies, Live-Queries und Label-Abfragen f…“