Jak využít ESET Security Management Center / ESET Cloud Administrator pro patch management?

Udržování operačního systému a nainstalovaných aplikací patří k základním předpokladům při zajištění co nejvyšší míry zabezpečení počítače. Především v ne-doménových sítích se patch management může stát noční můrou. V lepším případě končí obíháním stanic s flashkou, v horším jejich nezáplatováním. Z minula již víme, že ESET Security Management Center / ESET Cloud Administrator není jen dálkový ovladač produktů ESET, ale hravě zvládá audit aplikací a dokážete prostřednictvím něj na stanici spustit libovolný skript. Toho dnes využijeme a ukážeme si několik cest, jak můžete vzdáleně na stanice s OS Windows instalovat nebo z nich aplikace odinstalovat.

Agentem (od)instalujeme .msi

Klientská úloha pro instalaci aplikace je v ESMC/ECA primárně určena k instalaci produktů z ESET repozitáře. Můžete ji však využít k instalaci libovolného .msi balíčku. Postačí definovat cestu k HTTP serveru nebo lokální síťové jednotce, k níž má stanice přístup.

Instalujeme Mozilla Firefox

V ukázce instalace aplikace třetí strany prostřednictvím ESMC/ECA použijeme internetový prohlížeč, kdy jsme si předem zjistili URL k instalačnímu balíčku.
https://download-installer.cdn.mozilla.net/pub/firefox/releases/66.0.3/win64/en-US/Firefox%20Setup%2066.0.3.msi
Dále dle Mozilla dokumentace víme, že použitím parametru lang=cs by se měl Firefox nainstalovat v českém jazyce. Zadané údaje vložíme v průběhu vytváření úlohy a zašleme ji na klientskou stanici.

Zobrazit plnou velikost

Odinstalováváme Mozilla Firefox

Přímo z ESMC/ECA konzole jste schopni odinstalovat aplikaci, která využívá Windows Installer. Stačí si jen v detailech počítače najít požadovanou aplikaci a kliknout na tlačítko Odinstalovat. Rozhodujícím faktorem je informace ano/ne ve sloupci Odinstalace podporována agentem.

Zobrazit plnou velikost

Jak si můžete povšimnout, navzdory tomu, že jsme Firefox nainstalovali z .msi balíčku, není možné jej vzdáleně odinstalovat. Při pokusu o ruční odinstalaci na stanici se opět spustí běžný .exe balíček. Patrně je to trik Mozilly, jak si udržet vysoký počet instalací. Dokážete jej prostřednictvím Active Directory nainstalovat, ale již jej nedokážete stejně pohodlně odinstalovat.

Ve výchozí konfiguraci agent reportuje výhradně produkty ESET. Pro aktivaci zasílání seznamu všech nainstalovaných aplikací přiřaďte předdefinovanou politiku ESET Management Agent | Seznam aplikací – Zjistit všechny nainstalované aplikace nejnadřazenější skupině Všechna zařízení.

Začínáme s Chocolatey

Chocolatey je opensource balíčkovací systém pro platformu Windows, který se ovládá prostřednictvím příkazového řádku a interně využívá PowerShell. Podporuje snad všechny instalační balíčky od InnoSetup až po NSIS, a v jeho repozitáři se k dnešnímu dni nachází více než 6000 komunitních balíčků. Mezi nimi s největší pravděpodobností naleznete aplikaci, kterou ve své síti potřebujete, případně se jí chcete zbavit. V základní verzi je zcela zdarma a bohatě pokryje potřeby SMB prostředí.

K instalaci Chocolatey využijeme cmd skript. V ESMC/ECA jej vložíme do klientské úlohy Spustit příkaz a zašleme ji na požadovanou stanici.

Zobrazit plnou velikost
Abychom nemuseli ke každé instalační úloze Chocolatey přidávat přepínač -y pro odsouhlasení instalace, v další úloze povolíme globálně akceptování dotazů příkazem:
choco feature enable --name="allowGlobalConfirmation"
Nyní si již z rozsáhlého Chocolatey repozitáře vyberte balíček, který chcete na stanici nainstalovat. V našem příkladu opět využijeme Mozilla Firefox, který nainstalujeme příkazem:
choco install firefox

Zobrazit plnou velikost
Pro aktualizaci bychom využili příkaz:
choco upgrade firefox
A pro odinstalaci:
choco uninstall firefox

Tip: Pokud si chcete být jisti spuštěním příkazu předtím, než dojde k restartování počítače a zaregistrování cesty do systémové proměnné PATH, nastavte při vytváření klientské úlohy pracovní složku C:\ProgramData\chocolatey.

Instalační protokol Chocolatey na stanici naleznete ve složce C:\ProgramData\chocolatey\logs. Pokud instalace selže, důvod hledejte v něm. V některém z dalších dílů si ukážeme, jak pomocí ESMC/ECA tento protokol, resp. libovolný soubor, ze stanice získat.

Jak zjistit, že je na stanici chocolatey nainstalován? Mezi instalované balíčky si přidejte Chocolatey GUI a následně vytvořte dynamickou skupinou, která vám bude filtrovat stanice na základě názvu aplikace.

Teď již máte všechny potřebné informace k tomu, abyste mohli hravě sjednotit software ve své síti. Ušetřený čas můžete využít efektivně ke zkoumání nových technologií, plánování upgradů nebo si zajděte na pořádně načepový Plzeňský Prazdroj. Jistě mi dáte za pravdu, že cesta na pivo je lepší a zábavnější pohybová aktivita, než obcházení počítačů v síti s USB diskem 🙂