Agenten und Crawler: IT automatisch in die CMDB

Dieser Beitrag wurde mit dem KI-Assistenten Claude erstellt und von Peter Hoenig veröffentlicht.

Eine Konfigurationsdatenbank ist nur so gut wie ihre Pflege. Für die CMDB der MC4Y-Suite kann man vorhandene Listen einlesen – aus Excel, dem Active Directory, dem DHCP-Server oder aus Wireshark. Noch leichter wird es, wenn sich der Bestand von selbst pflegt. Dafür gibt es zwei kleine Helfer: einen Agenten, der auf einem Gerät läuft und dessen Bestand meldet, und einen Crawler, der ein Netz nach erreichbaren Geräten absucht. Beide sind reine Bestandsaufnahme.

Eines vorweg, weil es mir wichtig ist: Sie – oder die IT-Verantwortlichen in Ihrem Unternehmen – richten Agenten und Crawler in Ihrem eigenen Netz und unter Ihrer Verantwortung ein. Die Programme senden ausschließlich an Ihre eigene Suite. Die Daten bleiben in Ihrem Netz. Weder ich noch irgendein fremder Server bekommen etwas davon zu sehen.

Auf einen Blick

• Agent je Gerät: meldet den Bestand eines Rechners an Ihre Suite. Crawler je Netz: findet erreichbare Geräte in den Netzen, die Sie eintragen.
• Viele Systeme: Agenten für Windows 10/11 und Windows Server, Linux, Raspberry Pi 3/4/5 (Raspberry Pi OS und Ubuntu für den Pi), macOS ab Version 12, Android-Handys und -Tablets (über Termux) und Home Assistant auf Raspberry Pi oder Windows. Der Crawler läuft unter Windows, Linux und macOS.
• Was gemeldet wird: System, Hersteller, Modell und Seriennummer, Arbeitsspeicher, Festplatten und Partitionen mit Größe und freiem Platz, Betriebssystem und Version, installierte Software, Dienste, Freigaben, Netzwerkkarten und angeschlossene Geräte. Keine Benutzernamen, Anmeldungen oder Dateiinhalte.
• Wann: auf Anforderung aus der Suite oder in einem Intervall, das Sie festlegen.
• In Ihrem Netz, in Ihrer Verantwortung: je Unternehmen konfigurierbar – Suite-Adresse, Einrichtungsschlüssel, Netze und Zeitplan legen Ihre IT-Verantwortlichen fest. Keine Cloud, keine Telemetrie, keine Rückmeldung an mich, keine Abfrage bei fremden Servern.
• Sichtbar eingerichtet: ein Installer richtet einen Dienst bzw. eine geplante Aufgabe ein, ein Deinstaller entfernt sie wieder, Einstellungen und Protokoll liegen offen lesbar auf dem Gerät.
• Behutsam: der Crawler greift nichts an, versucht keine Anmeldung und fragt SNMP nur lesend ab – und nur, wenn Sie eine Zugangskennung hinterlegen.
• Verschlüsselt und eindeutig: jeder Agent hat eine eigene Kennung und sendet nur über HTTPS an Ihre Suite.

Der Agent – Bestand eines Geräts

Ein Agent läuft auf einem einzelnen Gerät und meldet dessen Bestand: das System selbst (Hersteller, Modell, Seriennummer), den Arbeitsspeicher, die Festplatten und ihre Partitionen mit Größe und freiem Platz, Betriebssystem und Version, die installierte Software, laufende Dienste, Freigaben, Netzwerkkarten und angeschlossene Geräte. Diese Angaben schickt er an die Suite, die daraus eine Komponente in der CMDB macht oder eine vorhandene aktualisiert. Von Hand gepflegte Felder bleiben dabei unangetastet – der Agent ergänzt nur.

Den Agenten gibt es als kleines Programm für Windows (PowerShell), als Python-Programm für Linux, Raspberry Pi und macOS, für Android über die App Termux und als Integration für Home Assistant. Bei Home Assistant meldet er zusätzlich die Namen, Hersteller und Modelle der verwalteten Smart-Home-Geräte – aber keine Zustände oder Messwerte.

Der Crawler – erreichbare Geräte im Netz

Der Crawler läuft auf einem einzigen Rechner und durchsucht die Netze, die Sie in der Suite eintragen – als IPv4- wie als IPv6-Netz mit der jeweiligen Maske. Er stellt fest, welche Geräte erreichbar sind, liest Name und MAC-Adresse aus der Nachbartabelle des Betriebssystems, leitet aus der MAC-Adresse den Hersteller ab (aus einer Liste, die in der Suite liegt – ohne Abfrage im Internet) und rät aus den offenen Diensten grob die Kategorie, etwa einen Drucker. Mehr nicht: Der Crawler meldet eine Bestandsaufnahme, er greift nichts an und versucht keine Anmeldung. SNMP fragt er nur lesend und nur mit der Zugangskennung (Community) ab, die Sie hinterlegen. Auf Wunsch läuft er nach einem Zeitplan, sonst auf Knopfdruck.

In Ihrem Netz, in Ihrer Verantwortung

Agenten und Crawler sind dafür gedacht, dass die IT-Verantwortlichen eines Unternehmens sie in ihrem Netz installieren und betreiben. Alles Unternehmensspezifische stellen diese selbst ein: die Adresse der eigenen Suite, den Einrichtungsschlüssel, die zu durchsuchenden Netze, den Zeitplan und – falls genutzt – die SNMP-Zugangskennung. Lädt jemand das Paket von meiner Website herunter, ist keine Adresse voreingestellt; die Adresse der eigenen Suite trägt man bei der Einrichtung ein.

Dadurch bleiben die Daten dort, wo sie hingehören: Agenten und Crawler senden ausschließlich an die eine Suite, die bei der Einrichtung eingetragen wurde. Es gibt keine Telemetrie, keine „Nach-Updates-schauen“-Abfrage bei meiner Website und keine Verbindung zu irgendeinem anderen fremden Server. Wer die Programme selbst herunterlädt und installiert, betreibt sie in eigener Verantwortung – aus fremden Installationen erhalte ich nichts.

Einrichten – sichtbar und mit Schlüssel

Eingerichtet wird alles sichtbar, nichts versteckt sich. In der Suite erzeugen Sie unter Verwaltung › CMDB › Erkennung einen Einrichtungsschlüssel und eine kleine Einrichtungsdatei, tragen die Netze und den Zeitplan ein, laden das passende Paket herunter und führen den Installer aus. Der Installer richtet einen Dienst (Linux/macOS) bzw. eine geplante Aufgabe (Windows) ein und legt Einstellungen und ein Protokoll offen lesbar ab. Beim ersten Start meldet sich der Agent mit dem Schlüssel an und erhält eine eigene Kennung; den Schlüssel selbst speichert die Suite nur als Prüfwert. In derselben Ansicht sehen Sie, welche Agenten verbunden sind, wann sie sich zuletzt gemeldet haben und was sie gefunden haben – und können eine Meldung sofort anfordern oder einen Agenten wieder entfernen.

Am einfachsten geht ein einzelner Rechner über den grafischen Installer der Suite (das Paket, mit dem Sie die Suite einrichten): unter Windows ganz ohne Terminal per Doppelklick auf Installer-starten.bat. Dort wählen Sie die Kachel „Dieses Gerät an die CMDB melden (Agent/Crawler)“, tragen Adresse und Einrichtungsschlüssel ein – oder legen die Einrichtungsdatei daneben, dann ist beides schon ausgefüllt – und setzen die Häkchen für Agent und/oder Crawler.

Mehrere Geräte auf einmal: „Geräte verbinden“

Statt jeden Rechner einzeln einzurichten, können die IT-Verantwortlichen den Agenten – oder den Crawler – in der Suite unter CMDB › Erkennung › „Geräte verbinden“ gleich auf mehrere Geräte zugleich ausrollen, von einem Windows-Arbeitsplatz aus: Windows-Rechner über WinRM, Linux-, Raspberry-Pi- und macOS-Geräte über SSH. Dazu lädt man einen kleinen Verteiler-Helfer herunter, startet ihn, wählt das Betriebssystem, trägt die Geräte (eines je Zeile) und das Konto ein (bei Windows ein Administrator-Konto mit Kennwort, bei SSH den Benutzer und einen SSH-Schlüssel), prüft die Verbindung und rollt aus – mit Fortschritt je Gerät. Eingegebene Kennwörter bleiben nur im Arbeitsspeicher und werden nicht gespeichert.

Home Assistant wird bewusst nicht aus der Ferne eingerichtet: Wählt man es als Betriebssystem, zeigt die Ansicht statt des Ausroll-Formulars eine Schritt-für-Schritt-Anleitung und den Download. Die Integration richten Sie dann – wie unten beschrieben – einmal am Gerät selbst ein.

Virenscanner und Firewall

Ein Programm, das die installierte Software eines Rechners ausliest und über das Netz meldet, ähnelt im Verhalten einem Schnüffelprogramm – auch wenn es keines ist. Manche Virenscanner stufen einen solchen Agenten deshalb vorsorglich als verdächtig ein oder verschieben ihn in Quarantäne. Was die IT-Verantwortlichen beachten sollten:

• Den Ordner des Agenten bzw. seinen Dienst oder seine Aufgabe im Virenscanner als Ausnahme eintragen. Prüfen Sie die Dateien vorher und laden Sie sie nur aus Ihrer eigenen Suite oder von der offiziellen Quelle.
• Erscheint der Agent nicht in der Erkennungsansicht, lohnt ein Blick in die Quarantäne des Virenscanners. Dass eine Datei dort liegt, erkennen Sie an einer Meldung des Scanners und daran, dass die Datei am erwarteten Ort fehlt.
• Ein bereits gesperrter Rest einer Datei lässt sich mitunter erst nach einem Neustart entfernen. Beim Entwickeln des Windows-Agenten habe ich ihn deshalb in zwei getrennte Teile aufgeteilt – einen fürs Netz und einen fürs Auslesen –, damit kein einzelnes Programm beides zugleich tut.
• Wem das zu heikel ist, der nutzt unter Windows statt des PowerShell-Agenten den Python-Agenten; er leistet dasselbe.

Für die Firewall gilt: Die Agenten brauchen nur ausgehend HTTPS (Port 443) zu Ihrer Suite – auf den Geräten muss kein Port geöffnet werden. Der Crawler braucht ausgehend Ping (ICMP), die wenigen TCP-Ports, die er prüft, und gegebenenfalls SNMP (UDP 161) in die eingetragenen Netze – denken Sie dabei auch an IPv6. Auf dem Server, auf dem die Suite läuft, ist nur HTTPS eingehend nötig. Ist der Ping im Netz gesperrt, bleiben manche Geräte für den Crawler unsichtbar. Und weil ein netzweiter Scan einem Angriff ähneln kann, melden ihn Netzwerk-Schutzsysteme (IDS/IPS) unter Umständen als verdächtig: Stimmen Sie den Crawler vorher mit den Netzverantwortlichen ab, legen Sie den Zeitplan möglichst außerhalb der Arbeitszeit und lassen Sie ihn gedrosselt laufen.

Die einzelnen Systeme

Die Pakete liegen – als Erprobungsfassung – unter Experimentell – zum Ausprobieren; in der eigenen Suite findet man den Download direkt in der Erkennungsansicht. Jeder Installer versteht Deutsch und Englisch (unter Windows -Sprache de bzw. -Sprache en, sonst --lang de bzw. --lang en).

• Windows 10/11 und Windows Server: der Agent als PowerShell-Programm, eingerichtet als geplante Aufgabe. Der Crawler ebenso. Am einfachsten per Doppelklick auf Agent-installieren.bat bzw. Crawler-installieren.bat im Ordner „windows“ des Pakets: Liegt die Einrichtungsdatei mc4y-erkennung.json daneben, müssen Sie nichts abtippen; sonst geben Sie beim Einrichten die Suite-Adresse und den Schlüssel an.
• Linux und Raspberry Pi 3/4/5: der Python-Agent, eingerichtet als systemd-Dienst – zum Beispiel sudo sh installieren.sh --adresse https://suite.firma.example/ --schluessel <Schlüssel>. Die gängigen Pi-Systeme (Raspberry Pi OS 32/64 Bit, Ubuntu für den Pi) sind abgedeckt.
• macOS ab Version 12: der Python-Agent, eingerichtet als launchd-Dienst, mit bash installieren-macos.command --adresse ….
• Android-Handys und -Tablets: über die App Termux (ein Linux-artiges Fenster auf Android) mit bash installieren-termux.sh --adresse …. So braucht es keine eigene Hintergrund-App im Play Store; die Meldung läuft über den Zeitplan von Termux.
• Home Assistant (Raspberry Pi oder Windows): als eigene Integration „MC4Y CMDB“. Sie tragen Suite-Adresse und Schlüssel in der Home-Assistant-Oberfläche ein – oder legen die Einrichtungsdatei mc4y-erkennung.json in den Ordner der Integration, dann ist beides schon ausgefüllt. Ein Dienst melden_jetzt meldet auf Knopfdruck.

Was die Agenten nicht tun

Mir ist die Grenze wichtig: Die Agenten liefern nur Bestandsdaten des Geräts – keine Benutzernamen, keine Anmeldungen, keine Dateiinhalte, keine Tastatureingaben, nichts aus dem Browser. Die Programme sind offen lesbar, verschleiern nichts und laden nichts nach. Sie starten von selbst nur über den Dienst bzw. die Aufgabe, die der sichtbare Installer einrichtet. Was sie sammeln und wohin sie es senden, steht in ihrer Einstellungsdatei, die Sie jederzeit einsehen können.

Wie es weitergeht

Die Erkennung gehört zur CMDB in der MC4Y-Produktivitätssuite. Was dort automatisch landet, lässt sich mit dem ITSM-Werkzeug zu Störungen, Problemen und Änderungen verbinden und mit dem 8EM-Modeller ins 8-Ebenen-Modell des Unternehmens einordnen. Erprobt habe ich Agenten und Crawler mit nachgebildeten Geräten und Netzen; über Rückmeldungen aus echten Netzen freue ich mich.

Sie möchten Ihre IT-Landschaft ordnen und automatisch aktuell halten? Sprechen Sie mich an – mehr dazu auch unter IT-gestützte Organisationsberatung.

Markenhinweis: Windows, Windows Server und Active Directory sind Marken der Microsoft Corporation; macOS ist eine Marke von Apple Inc.; Linux ist eine eingetragene Marke von Linus Torvalds; Raspberry Pi ist eine Marke von Raspberry Pi Ltd; Android und Google Play sind Marken von Google LLC; Ubuntu ist eine Marke von Canonical Ltd; Home Assistant ist ein Projekt der Open Home Foundation; Termux und Wireshark sind Marken der jeweiligen Inhaber. Die Namen werden nur beschreibend genannt; es besteht keine Verbindung zu den Markeninhabern.