Neue Software erkennen und melden: Inventarliste importieren, Benachrichtigung öffnen, E-Mail wählen

Gefährlich ist vor allem die Software, die morgen dazukommt. Jemand installiert ein Fernwartungsprogramm, und niemand bemerkt es. knooing sieht neue Software, sobald eine Inventarliste ankommt: aus einem Import oder aus dem Abgleich mit Ihrer Softwareverteilung. Dann prüft knooing sie sofort gegen Ihre Autorisierungsliste. Ist eine Installation nicht erlaubt, meldet knooing sie: im Reiter Autorisierung, in der Glocke und per E-Mail. Das gilt für verbotene und eingeschränkte Software und, mit der Einstellung Als nicht autorisiert melden (Standard), für jede Software ohne erlaubende Regel.

Dies ist Teil 2 von 4. Wie die Regeln entstehen, steht in Teil 1, Autorisierungsliste pflegen. Diese Anleitung zeigt, wie neue Software in knooing kommt, wie Sie die Benachrichtigung öffnen und wie Sie die E-Mail dazu einstellen. Am Ende sehen alle Zuständigen jeden neuen Fund in der Glocke. Ob und wann eine E-Mail kommt, stellt jede Person selbst ein.

Schritt 1: Die aktuelle Inventarliste importieren

Stellen Sie die E-Mail am besten vor dem ersten Import ein, siehe Schritt 3. Öffnen Sie in der Seitenleiste Konfigurationsverwaltung und darin Bestand. Wählen Sie oben den Reiter Software. Wählen Sie unter Datei hochladen den Modus:

• Delta (nichts entfernen): Die Datei ergänzt und aktualisiert Installationen. Was in der Datei fehlt, bleibt stehen. Das passt, wenn die Datei nur einen Teil Ihrer Geräte oder Programme enthält.
• Snapshot (Vollbestand je Gerät): Die Datei gilt für jedes darin genannte Gerät als vollständige Softwareliste. Was dort fehlt, markiert knooing als nicht mehr gefunden. Nur so erkennt knooing entfernte Software, siehe Teil 3, Funde zu nicht autorisierter Software bearbeiten, Schritt 4.

Im Beispiel bleibt der Modus auf Delta (nichts entfernen). Ist Ihre Softwareverteilung angebunden, kommt die Liste von selbst, siehe Softwareverteilung anbinden; dann entfällt dieser Schritt. Klicken Sie auf das Dateifeld, je nach Browser „Datei auswählen“ oder „Choose File“ (1), und wählen Sie Ihre Inventarliste. Klicken Sie dann auf Importieren (2).

Während des Imports steht auf der Schaltfläche „Wird übernommen …“. Danach steht darunter eine grüne Meldung (3). Sie nennt zuerst, wie viele Zeilen neu oder aktualisiert sind. Hat der Import Zeilen angelegt oder geändert, gleicht knooing gleich danach alle Installationen mit Ihren Regeln ab. Ergibt das neue Funde, folgt ein zweiter Satz, etwa:

„Abgleich mit der Autorisierungsliste: 1 Fund(e) gemeldet, siehe Reiter „Autorisierung“.“

Die Zahl umfasst alle neuen Funde, auch Programme ohne erfasste Lizenz, siehe Nicht lizenzierte Software erkennen. Fehlt der zweite Satz, hat der Import keinen neuen Fund ergeben. Um die neue Installation in der Liste darunter zu finden, tippen Sie ihren Namen in das Feld Suchbegriff (Produkt oder Hersteller). In der Spalte Autorisierung steht dann etwa Verboten oder Ohne Freigabe.

123

Warum sofort? Ohne den Abgleich nach dem Import stünde eine verbotene Installation zwar in der Liste, aber niemand würde benachrichtigt. Mit dem Abgleich entsteht der Fund in dem Moment, in dem die Software in knooing ankommt.

Beispiel: Julia Beispiel importiert jeden Montag die Liste ihrer Softwareverteilung. Seit letzter Woche laufen auf srv-dispo02 drei neue Programme: „Fernwartung Lite“ ohne Hersteller, „Notizblock Plus“ und „Kalender Sync“ von Muster Werkzeuge:

Gerät;Produktname;Hersteller;Version
srv-dispo01;Fernwartung 7;Muster Service;7.2
srv-dispo01;Tourenplaner 3.0;Muster Logistik GmbH;3.0
srv-dispo01;PDF-Betrachter 11;Muster Office;11.0
srv-dispo01;Bildbearbeitung Pro;Muster Grafik;2.1
srv-dispo02;Fernwartung Lite;;1.0
srv-dispo02;Notizblock Plus;Muster Werkzeuge;5.0
srv-dispo02;Kalender Sync;Muster Werkzeuge;2.4
srv-lager02;Fernwartung Free;;2.0
srv-lager02;Dateiablage Sync;Muster Cloud;4.1
srv-lager02;Tourenplaner 3.0;Muster Logistik GmbH;3.0

In der Spalte Gerät steht der Name des Geräts im Bestand. Die Meldung lautet „3 neu, 7 aktualisiert von 10 Zeilen. Abgleich mit der Autorisierungsliste: 5 Fund(e) gemeldet, siehe Reiter „Autorisierung“.“ Das Verbot Fernwartung* trifft „Fernwartung Lite“. „Notizblock Plus“ und „Kalender Sync“ haben keine Regel und sind deshalb Funde ohne Freigabe. Die übrigen zwei Funde sind Lizenzfunde: Für die beiden neuen Programme ist keine Lizenz erfasst.

Schritt 2: Die Benachrichtigung in der Glocke öffnen

Klicken Sie oben rechts auf die Glocke (1). Eine Zahl an der Glocke nennt die ungelesenen Benachrichtigungen. Unter Benachrichtigungen stehen die neuen Funde dieses Imports in zwei Formen:

• Mehrere neue Funde ohne Freigabe aus einem Abgleich kommen in einer Benachrichtigung: „Nicht autorisierte Software erkannt: 2 Installationen ohne Freigabe“ (2). Darunter steht „Ohne Freigabe in der Autorisierungsliste:“ und die Programme, die ersten zehn beim Namen.
• Ein verbotenes oder eingeschränktes Programm kommt einzeln: „Nicht autorisierte Software erkannt: Fernwartung Lite“ (3), darunter „Autorisierungsstatus „verboten" nach Allowlist-Abgleich.“ Allowlist ist das englische Wort für die Autorisierungsliste. Auch ein einzelner neuer Fund ohne Freigabe kommt einzeln, mit dem Satz „Keine Freigabe in der Autorisierungsliste: …“.

Hat die Installation einen Hersteller, steht er in Klammern hinter dem Programm. Klicken Sie auf eine Benachrichtigung.

Danach wechselt knooing in den Bestand, Reiter Autorisierung. Unter Nicht autorisierte Software stehen die neuen Funde oben, mit dem Status Gemeldet. Die Spalte Anlass nennt den Grund: Verboten bei „Fernwartung Lite“, Ohne Freigabe bei „Notizblock Plus“ und „Kalender Sync“.

123

Die übrigen Einträge stammen aus Teil 1 und aus früheren Importen. Alle gelesen setzt alle Einträge auf gelesen. Die geöffnete Glocke zeigt nur die neuesten Benachrichtigungen. Alle Funde stehen im Reiter Autorisierung.

Die Benachrichtigung bekommt jede Person mit dem Recht, die Konfigurationsverwaltung zu bearbeiten, auch die Person, die importiert hat. Zu jedem Fund kommt sie einmal. Öffnet knooing einen geschlossenen Fund wieder, kommt sie noch einmal.

In der Glocke stehen auch Lizenzfunde, im Bild „Lizenz-Überhang erkannt: 2 Programme ohne erfasste Lizenz“. Mehrere Programme ohne erfasste Lizenz aus einem Abgleich kommen ebenfalls in einer Benachrichtigung, siehe Teil 4.

Warum gesammelt? Beim ersten Abgleich eines neuen Bestands haben oft Hunderte Programme noch keine Regel. Einzeln gemeldet, bekäme jede zuständige Person ebenso viele Glocken und E-Mails. Gesammelt sieht sie auf einen Blick, wie viele es sind. Verbotene Software kommt dagegen einzeln, weil jeder solche Fund sofort geklärt werden soll.

Beispiel: Julia Beispiel öffnet die Glocke und klickt auf „Nicht autorisierte Software erkannt: 2 Installationen ohne Freigabe“. Tobias Beispiel darf die Konfigurationsverwaltung ebenfalls bearbeiten und hat dieselben Benachrichtigungen bekommen.

Schritt 3: Festlegen, wie die E-Mail kommt

Öffnen Sie in der Seitenleiste unten Einstellungen. Unter Mein Konto klicken Sie auf Benachrichtigungen. Schneller geht es über Einstellungen unten in der geöffneten Glocke. Im Abschnitt CMDB (so heißt die Konfigurationsverwaltung in den Einstellungen) steht das Ereignis Nicht autorisierte Software und Lizenzfunde, im Bild mit i markiert. Wählen Sie rechts daneben eine der drei Möglichkeiten (1):

• Sofort: zu jedem neuen Fund eine E-Mail.
• Zusammenfassung: Die Funde kommen gesammelt in einer E-Mail. Das ist die Voreinstellung, zu erkennen am Zusatz Standard neben dem Namen des Ereignisses. Wählen Sie etwas anderes, verschwindet der Zusatz. Wie oft die Zusammenfassung kommt, legen Sie weiter unten auf derselben Seite im Kasten Zusammenfassung fest: Häufigkeit Täglich oder Wöchentlich, dazu Wochentag, Uhrzeit und Zeitzone.
• Keine E-Mail: Sie sehen die Funde nur in der Glocke.

Danach meldet knooing „Einstellung gespeichert.“, und Ihre Wahl ist hervorgehoben. Die Glocke bekommen Sie in jedem Fall. Die Einstellung gilt nur für Sie, nicht für Ihre Kolleginnen und Kollegen. Die Auswahl Teams daneben gilt für Benachrichtigungen in Microsoft Teams, siehe Microsoft Teams verbinden.

i1

Warum je Person? Wer für die IT-Sicherheit zuständig ist, möchte jeden Fund sofort sehen. Wer nur gelegentlich mitarbeitet, liest lieber einmal am Tag eine Zusammenfassung.

Beispiel: Julia Beispiel wählt Sofort, weil sie Funde zu Fernwartung noch am selben Tag klären will. Tobias Beispiel lässt Zusammenfassung stehen.

Wann knooing abgleicht

knooing gleicht alle Installationen mit Ihren Regeln ab:

• nach jedem Anlegen und Entfernen einer Regel und nach jeder Änderung unter Software ohne Freigabe,
• direkt nach jedem Import im Reiter Software, der Zeilen neu anlegt, aktualisiert oder als nicht mehr gefunden markiert,
• nach jedem Abgleich mit Microsoft Intune, der Software oder Freigaben geändert hat,
• einmal am Tag von selbst,
• wenn Sie im Reiter Autorisierung rechts neben Autorisierungsliste auf Jetzt neu abgleichen klicken.

Nach dem Klick auf Jetzt neu abgleichen dreht sich auf der Schaltfläche ein Kreis. Danach erscheint kurz die Meldung „Abgleich abgeschlossen.“, und die Tabellen zeigen den neuen Stand. Von Hand abgleichen müssen Sie selten. Es lohnt sich, wenn Sie vor einer Prüfung sicher sein wollen, dass die Liste den Stand dieses Moments zeigt. Die Lizenzfunde prüft knooing zusätzlich, wenn jemand den Reiter Lizenzbilanz öffnet oder dort ein Los anlegt, also einen Lizenzkauf erfasst, siehe Teil 4.

Ein Import im Modus Delta (nichts entfernen) schließt keine Funde. Fehlt ein Programm in der Datei, bleibt seine Installation trotzdem stehen. Wie Sie entfernte Software abgleichen, steht in Funde zu nicht autorisierter Software bearbeiten, Schritt 4.

Wenn etwas nicht klappt

• Nach dem Import fehlt der Satz „Abgleich mit der Autorisierungsliste: …“. Der Satz nennt nur neue oder wieder geöffnete Funde. Fehlt er, hat der Import keinen neuen Fund ergeben. Sind Sie unsicher, klicken Sie im Reiter Autorisierung auf Jetzt neu abgleichen.
• Die neue Installation steht auf Ohne Freigabe, aber es gibt keinen Fund. Unter Software ohne Freigabe ist Nur kennzeichnen, nicht melden eingestellt. Legen Sie eine Regel an oder stellen Sie den Standard ein, siehe Autorisierungsliste pflegen.
• Ein erlaubtes Programm wird als Fund ohne Freigabe gemeldet. Keine Regel Erlaubt passt auf den Namen, etwa weil Intune die App unter einem anderen Namen verteilt. Legen Sie eine eigene Regel an, siehe Autorisierungsliste pflegen, Schritt 3.
• An der Glocke steht keine Zahl. Alle Benachrichtigungen sind gelesen, oder die Seite zeigt noch den alten Stand. Laden Sie die Seite neu.
• Es kam keine Benachrichtigung. Ihnen fehlt das Recht, die Konfigurationsverwaltung zu bearbeiten. Oder der Fund ist nicht neu: Zu jedem Fund kommt die Benachrichtigung nur einmal.
• Es kam keine E-Mail. Prüfen Sie Ihre Einstellung in Schritt 3. Bei Zusammenfassung kommt die E-Mail erst mit der nächsten Zusammenfassung, bei Keine E-Mail gar nicht. Sehen Sie auch in Ihrem Spam-Ordner nach.
• „Zum Schreiben fehlt die Berechtigung.“ beim Import. Ihnen fehlt das Recht, die Konfigurationsverwaltung zu bearbeiten. Ansehen dürfen Sie die Liste trotzdem.
• „Zum Auslösen fehlt die Berechtigung.“ nach dem Klick auf Jetzt neu abgleichen. Auch hier fehlt das Recht, die Konfigurationsverwaltung zu bearbeiten. Der Abgleich läuft trotzdem nach jedem Import und einmal am Tag.
• Zeilen werden abgewiesen, etwa mit „Kein Configuration Item mit Kennung oder Name „…" gefunden. …“. Das Gerät steht nicht im Bestand oder heißt dort anders. Configuration Item ist das Wort der App für ein Objekt im Bestand. Legen Sie das Gerät im Bestand an, oder schreiben Sie seinen Namen in der Datei genau wie im Bestand. Alle Meldungen beim Import und ihre Abhilfe stehen in Softwareinventar importieren unter „Wenn etwas nicht klappt“.
• Alle Zeilen werden abgewiesen, oder die Meldung zählt 0 neu und 0 aktualisiert. Meist fehlt die Kopfzeile, oder die Spalten sind anders getrennt als durch Semikolon oder Komma. Die Ursachen stehen in Softwareinventar importieren unter „Wenn etwas nicht klappt“.
• „Dieser Dateityp ist hier nicht erlaubt. Erlaubte Formate: .csv, .xls, .xlsx.“ Laden Sie die Inventarliste als CSV- oder Excel-Datei hoch.
• „Es ist ein unerwarteter Fehler aufgetreten. Bitte versuchen Sie es erneut oder wenden Sie sich mit der folgenden Referenznummer an den Support.“ mit einer Nummer wie (ERR-…) am Ende. knooing konnte die Datei nicht verarbeiten, etwa weil sie keine Kopfzeile hat oder beschädigt ist. Prüfen Sie die Datei und versuchen Sie es nach einem Moment erneut. Bleibt die Meldung, nennen Sie dem Support die Nummer.
• Ein entferntes Programm wird weiter gemeldet. Sie haben im Modus Delta (nichts entfernen) importiert. Gleichen Sie mit einer vollständigen Liste im Modus Snapshot (Vollbestand je Gerät) ab, siehe Funde zu nicht autorisierter Software bearbeiten, Schritt 4.