System Center Operations Manager 2007 R2 Cumulative Update 2 Release Notes

Zkušenosti a postup instalace:

https://blogs.technet.com/kevinholman/archive/2010/04/30/opsmgr-2007-r2-cu2-rollup-hotfix-ships-and-my-experience-installing-it.aspx

Výpocet – lépe receno odhad velikosti jednotlivých databází závisí na poctu sledovaných serveru, skladbe pravidel a monitoru,nastavení auditní politiky a samozrejme na dobe uchování historických dat v konkrétní databázi. Dobré a bezpecné výsledky dává Operations Manager 2007 R2 - Sizing Helper, který vypracovala produkcní skupina SCOM. Pro ACS je dobrým nástrojem ACS Database planning calculator od Secure Vantage Technologies.

Obecná doporucení pro databázi OperationsManager

Provozní databáze OperationsManager vyžaduje, aby byla zaplnena maximálne z 50 %. Duvodem je potreba prostoru pro docasný rust objemu uložených dat a prostoru pro operace pravidelné indexace a údržby. Systém monitoruje volný prostor v databázi a pri poklesu pod 40 % generuje varovnou výstrahu a pod 20 % hlásí chybu. Doporucení k velikosti transakcní logu této databáze je mezi 20 až 50 % databáze. Pri nedostatku prostoru mužeme jít tedy až na 20 %.

Ve výchozím stavu je velikost databáze i souboru transakcních logu pevná (none autogrowth).

Obecná doporucení pro databázi OperationsManagerDW

Pro data warehouse – pro databázi OperationsManagerDW nepožadujeme 50 % volného prostoru v souboru databáze. V prípade stovek GB by to byl drahý požadavek. Standardní výchozí nastavení povoluje neomezený rust databáze v krocích 10 %, u transakcního loguje omezení cca 2TB (tj. ve vetšine prípadu také bez omezení :-) ).

Pri posuzování velikosti data warehouse si musíme zvedomit, ve které fázi se nacházíme – prvotní “rust” trvá 400 dnu, po této dobe jsou starší data odstranována a velikost databáze se stabilizuje. “Normální” stav vyžaduje také stabilizaci poctu agentu, sady pravidel a monitoru – nemení se skladba MP. V dobe rustu je nutné velikost sledovat a mít dostatecný diskový prostor pro rust databáze.

Pro velikost transakcního logu lze najít kompromis mezi 10 až 20 % velikosti databáze DW, pokud si nemužeme dovolit 50 %. Mejme na pameti, že v prípade velkých zmen u stabilizované velké databáze DW (jako je zmena parametru grooming napr. z 400 dní na 300) proces vyžaduje spoustu prostoru v transakcním logu, který bude docasne narustat!

Obecná doporucení pro databázi OperationsManagerAC

Výchozí instalace definuje pomerne malou databázi a transakcní log (128 MB / 16 MB) a je povoleno automatické zvetšování v krocích 128 MB / 4 MB. Velikost roste po dobu 14 dní, poté jsou starší data odstranována v dobe pravidelné nocní údržby. V dobe rustu databázových souboru musíme pocítat s potrebným diskovým prostorem. Také zmena (rozšírení) auditní politiky na sledovaných systémech muže podstatne zvetšit denní objem zapsaných dat.

Key Features & Benefits

• Centralized Management and Baseline Portfolio: The centralized management console of the Microsoft Security Compliance Manager provides you with a unified, end-to-end user experience to plan, customize, and export security baselines. The tool gives you full access to a complete portfolio of recommended baselines for Windows® client and server operating systems, and Microsoft applications. Additionally, the Security Compliance Manager enables you to quickly update the latest Microsoft baseline releases and take advantage of baseline version control.
• Security Baseline Customization: Customizing, comparing, merging, and reviewing your baselines just got easier. Now you can use the new customization capabilities of the Security Compliance Manager to duplicate any of the recommended baselines from Microsoft—for Windows client and server operating systems, and Microsoft applications—and quickly modify security settings to meet the standards of your organization’s environment.
• Multiple Export Capabilities: Export baselines in formats like XLS, Group Policy objects (GPOs), Desired Configuration Management (DCM) packs, or Security Content Automation Protocol (SCAP) to enable automation of deployment and monitoring baseline compliance

Instalace samotného nástroje po stažení instalacního balíku o velikosti cca 11 MB

Vyžaduje databázový server:

Po instalaci a spuštení nástroje lze importovat aktualizace:

Následuje import základních bezpecnostních nastavení podle typických rolí. (V popisu vidím drobnou chybu 2003 místo 2008?).

A nakonec, první docasný (nikoliv predcasný) záver – seznámení s možnostmi bude vyžadovat jedno volné odpoledne:

• Windows Mobile 5.0 and Windows Mobile 6 Technical Guides
• Windows Mobile Common Criteria Documentation

Obcas musím vysvetlovat nekteré dotazy, které vás mohou také napadnout, pokud ješte nepracujete se systémem SCOM. Pro zjednodušení zde vetšinu techto otázek z poslední doby  zodpovím nebo se o to alespon pokusím.

1. Logy – záznamy událostí

SCOM umí pracovat s událostmi zaznamenanými  službou Windows Event Log Service – což nikoho neprekvapí. K dispozici jsou všechny logy v systému Windows, SCOM dokáže události sbírat, reagovat na varovné a chybové stavy výstrahou nebo lze vytváret dvou ci trí-stavové monitory. Monitor se dvema stavy (v porádku / problém, chyba) nebo se tremi stavy (v porádku / varování / problém) lze plne automatizovat. To znamená, že jedna událost preklopí monitor do stavu hlášení chyby s vysláním výstrahy – událost nebo sled událostí zapsaných zdravým systémem muže monitor opet preklopit do stavu hlášení bezproblémového behu sledované služby nebo aplikace.  (Príkladem jsou události Directory service – Active Directory, události služeb SQL Serveru, služeb DNS, DHCP, apod..)  

Služby nebo programy tretích stran nemusejí zapisovat jenom do aplikacního logu prostrednictvím výše uvedené služby. Mnoho aplikací zapisuje do textových souboru a SCOM dokáže na každý takový zápis reagovat a patricne jej vyhodnotit. K dispozici jsou všechny nástroje: pravidla, monitory, notifikacní pravidla.

Agent SCOMu muže být konfigurován také jako príjemce zpráv z jiných operacních systému - serveru nebo sítových zarízení – syslog messages na portu 514 protokolu UDP. Opet jsou k dispozici všechny možnosti systému SCOM .

Sítové prvky lze pomocí SCOMu dohlížet s využitím protokolu SNMP

Prehled pravidel a monitoru ve vazbe na zdroj informace.

2. Nástroje pro vytvárení výstupních zpráv – reportu

Implementované reporty jsou integrované do konzoly System Center Operations Manager. Výchozí stav po instalaci systému SCOM s komponentou SCOM Reporting poskytuje základní reporty, které lze parametrizovat a takto upravené ukládat pro opakované použití. Jde o prehledy dostupnosti serveru a služeb, analýzu nejcastejších alertu, sledování latence alertu, konfigurací, výkonových parametru a po implementaci rozšírení pro systémy UNIX/Linux také reporty pro tyto systémy. Všechny tyto reporty používají jako zdroj dat databázi OperationsManagerDW (data warehouse).

Druhá skupina dodaných reportu predstavuje ponekud odlišné reporty, které jsou postavené na dotazech do databáze OperationsManagerAC (databáze auditních záznamu systému ACS), viz také muj clánek zde. Zdrojová databáze obsahuje záznamy z bezpecnostních logu sledovaných systému a lze tak reportovat neúspešné pokusy o prihlášení, zablokování úctu, použití privilegovaných úctu s vysokým oprávnením nebo zmeny clenství ve skupinách administrátoru. K reportum je dodán datový model databáze a lze tudíž pri tvorbe nových reportu použít komponentu ReportBuilder.

Pri návrhu vlastních reportu mužeme v nekterých prípadech výhodne použít i standardní pracovní databázi OperationsManager a vytvorit bežným postupem dotaz SQL do této databáze (samozrejme lze se dotazovat i v obou dríve zmínených databázích) – pomocí dodávané verze SQL Server Business Inteligence Development Studio, která je soucástí instalace SQL Server reporting Services.

Konkrétní postupy pro nekteré kategorie reportu podle zdroje dat (jedna ze trí databází) a podle použitého nástroje (Report Builder nebo Development Studio). Jaké nástroje použít v které situaci:

• ReportBuilder je nástrojem první volby pro zprávy generované z dat shromáždených v databázi systému ACS (databáze OperationsManagerAC na serveru ASPSCOMA). Výhodou je rychlý postup a zkrácená doba návrhu reportu. Nevýhodou je omezená paleta možností formátování výstupu a nástroju.
• SQL Server Business Inteligence Development Studio umožnuje využít všech možností formátování výstupu, vkládat vlastní kód a procedury použité pri zpracování reportu.
• Parametrizace existujících reportu (Linked Reports) a jejich publikování – jednoduchá metoda úpravy generických reportu z Generic Report Library, dodaných se standardní instalací systému.

Databáze:

• OperationsManager obsahuje standardne data za 7 dní, k dispozici jsou všechna data v rozsahu importovaných definic Management Packs, tj. výstrahy (alerts), záznamy událostí (events), výkonové parametry (performance data).
• OperationsManagerDW obsahuje standardne data záznamu událostí za 100 dnu, data výstrah za 400 dnu, neagregovaná data stavu za 180 dnu a neagregovaná výkonová data za 10 dnu. Výkonová data a stavová data agregovaná po hodinách a po dnech se uchovávají 400 dnu.
• OperationsManagerAC obsahuje data za 14 dnu, jsou to záznamy ze Security Logs všech monitorovaných systému.

3. Informace odesílané prostrednictvím komunikacních kanálu

K dispozici je rozhraní pro odesílání zpráv pomocí protokolu SMTP na servery elektronické pošty, dále na server IM (instant messaging) nebo krátké textové zprávy SMS. Poslední možností posílání upozornení je velice užitecné a univerzální rešení voláním externí dávky, skriptu VBS nebo skriptu napsaného v PowerShellu. Nejprve definujeme komunikacní kanály a príjemce zpráv upozornení. Poté muže pristoupit k definici pravidel (notification subscription), ve kterých je stanoveno, jaké úrovne musí výstraha být, která dohledová pravidla ji generují a lze stanovit mnoho dalších kritérií, která musejí být splnena, aby bylo upozornení odesláno, vcetne casového okna, kdy je prípustné zprávy posílat.

4. Vyhledání konkrétní aktivity – prihlášení uživatele

Pro dohledání prihlášení uživatele rozlišujeme použití lokálního úctu na konkrétním serveru a použití doménového úctu. V prvním prípade vyhodnocujeme a vyhledáváme záznamy událostí z konkrétního serveru, v druhém prípade musíme zajistit sber záznamu událostí ze všech doménových radicu. Díky jejich vzájemné zastupitelnosti muže doménového uživatele overit kterýkoliv z nich. Systém ACS sbírá tyto záznamy v reálném case a v jeho databázi pak mužeme pomocí vhodne definovaných a parametrizovaných reportu vytváret výstupy a prehledy o ruzných aktivitách uživatelu ve zvoleném období. Zde je nutné pripomenout, k cemu tato databáze slouží – je to zdroj informací o aktivitách na sledovaných serverech ve zvoleném období. Vzhledem k velikosti databáze (standardne obsahuje záznamy za 14 dnu) je vždy treba najít kompromis mezi maximálním stárím dat v databázi a její únosnou velikostí. Vždy to závisí na technických prostredcích, které máme k dispozici na serveru s databází ACS. Osobne bych byl opatrný s historií delší než 30 dnu a s velikostí databáze ACS nad 100 GB.

Dodané standardní reporty pro audit jsou v soucasné dobe:

Access Violation - Account Locked
Access Violation - Unsuccessful Logon Attempts
Account Management - Domain and Built-in Administrators Changes
Account Management - Passwords Change Attempts by Non-owner
Account Management - User Accounts Created
Account Management - User Accounts Deleted
Audit5 Report Template
Audit Report Template
Forensic - All Events For Specified Computer
Forensic - All Events For Specified User
Forensic - All Events With Specified Event ID
Planning - Event Counts
Planning - Event Counts by Computer
Planning - Hourly Event Distribution
Planning - Logon Counts of Privileged Users
Policy - Account Policy Changed
Policy - Audit Policy Changed
Policy - Object Permissions Changed
Policy - Privilege Added Or Removed
System Integrity - Audit Failure
System Integrity - Audit Log Cleared
Usage - Object Access
Usage - Privileged logon
Usage - Sensitive Security Groups Changes
Usage - User Logon

Použití ReportBuilderu pri vytvorení ctyr reportu z databáze ACS je napr. na blogu DSE (Audit Report Scenarios: How to create custom reports with System Center Operations Manager 2007 R2 and Audit Collection Services (ACS))

• Scenario 1: Computers joined to the domain (names and description)
• Scenario 2: User passwords expired
• Scenario 3: User accounts locked out
• Scenario 4: Group policy changes

Reakce na prihlášení  privilegovaného úctu ADMIN / zmenu clenství Admins – rešíme pravidlem v SCOM, nikoliv dotazem v databázi ACS. Pravidlo lze definovat tak, že napr. po zvoleném poctu neplatných pokusu generuje výstrahu a notifikacní pravidlo pak odešle zprávu (e-mail, SMS, InstantMessage)

Podrobné postupy pro ctyri scénáre jsou na stejném blogu DSE (Audit Alert Scenarios System Center Operations Manager (OpsMgr) 2007 R2):

• Scenario 1: Alert for changes to the ‘Domain Admin’ group membership
• Scenario 2: Alert when the Audit Policy is changed (Default Domain or Domain Controller)
• Scenario 3: Alert when xx number of unsuccessful logons occur within nn hours
• Scenario 4: Account locked out x number of times in a 24 hour period

5. Statistika událostí a výstrah (alert)

Pokud nás zajímá napr. pocet událostí ve zvoleném období pro vybrané servery, které generovaly výstrahu úrovne Critical / High, je to úkol pro reporty pracující s daty v data warehouse

Základní knihovny výstupu pomocí reportu jsou Generic Report + ODR Report Library: (ODR = operational data reports)

6. Historická data

Databáze SCOMu a ACS uchovávají data pouze stanovenou dobu. Mužeme ji prodloužit nebo zkrátit podle potreb našeho konkrétního provozu, ale po urcité dobe jsou data z databáze odstranena. Charakter použití pracovní databáze a data warehouse je rozdílný, na jedné strane jsou provozní data a informace o práve rešených problémech, takže doba jejich uchování jeden týden je ve vetšine prípadu dostatecná. Na druhé strane jsou data urcená k zobrazení v grafech a prehledových tabulkách, takže se v databázi udržují celý rok. Slouží k vykreslení trendu záteže, zaplnování disku, dostupnosti služeb v case. Rocní doba uchování dat je pro tento zpusob využití uložených informací rozumný kompromis a vyhovuje i použití výstupu v prehledech použitých v plánování rozvoje sledovaných systému.

Odlišný je charakter dat uložených v databázi ACS a charakter jejich využití. Informace zde uložené mají sloužit pro vysledování stop, které zanechá v systémech uživatel s nekalými úmysly nebo vysledování obecného bezpecnostního problému. Potom nemusí být standardní doba uchování dat (dva týdny) dostatecná. Prodloužením dosáhneme i nekolikanásobne delšího casového “okna”, ale jsou prípady, kdy je predpisy požadováno uchovat auditní informace i nekolik let. V takovém prípade nastupují rešení tretích firem, zde uvedu jen nejznámejší Secure Vantage a jejich Archiver. Zaznamenal jsem i rešení “uživatelské” – založené na pravidelném archivování databáze ACS, napríklad ve standardním dvoutýdenním cyklu. Požadovaná historická data se potom zprístupní v oddeleném databázovém systému a modifikací standardních reportu je možné v nich vyhledat žádanou informaci.

7. Demonstrace a vlastní zkušenosti se systémem SCOM

Pred casem jsem zde uvádel výber odkazu ze stránky MSevents, to jsem napocítal pouhé tri položky týkající se SCOM verze R2. Dnes je zde k dispozici nekolik virtuálních testovacích labu a dlouhá rada záznamu prednášek s vizuální demonstrací. Zvukové záznamy nepocítám. Vlastní zkušenosti získáte nejen v testovacím labu, který je vám k dispozici jeden a pul hodiny, ale také zkušební verzi Microsoft System Center Operations Manager 2007 R2 Evaluation Download – ta vám vydrží 180 dní.

Kevin Holman's OpsMgr Blog : Useful MOM 2005 SQL queries

Soubor jsem úspešne stáhnul, ale ouha, detailní informace nelze zobrazit:

Rešení je celkem jednoduché. Zafungovala ochrana pocítace a použití souboru je zablokováno. Zobrazíme vlastnosti souboru a zablokování zrušíme – Zabezpecení: tlacítko Odblokovat | Použít | OK

A je to!

Clánek KB 2012828 z 11. ledna 2010 popisuje, jak limit posunout do roku 2019 a data do tabulky SC_DateDimension_table doplnit:

USE SystemCenterReporting
GO

DECLARE @MaxDate DATETIME
DECLARE @NewStartDate DATETIME

SELECT @MaxDate = MAX([Date]) FROM dbo.SC_DateDimension_View

SET @NewStartDate = DATEADD(day, 1, @MaxDate)

EXECUTE p_PopulateDateDimension @startDate = @NewStartDate, @endDate = '1/1/2020 12:00 AM'
GO

Clánek KB viz: MOM 2005 Reports have incorrect date values on the X-axis

Není už cas na inovaci - SCOM 2007 R2 ? Už jen pro plnou podporu agentu na systémech x64, když nepocítáme jiné operacní systémy.

Bing
Is
Not
Google  

.

.

.

.

.

.