# Benutzerhandbuch — barox SecPen

Zielgruppe: Security Operator und Approver.

---

## 1 Bevor der erste Scan läuft

Vier Dinge müssen vorhanden sein, sonst lehnt die Anwendung ab:

1. **Kunde und Projekt** — im Projekt muss die *Scanberechtigung* hinterlegt
   sein (Referenz, Gültigkeit, vereinbarter Umfang).
2. **Freigegebenes Netz** — die Management-IP muss in der Allowlist liegen
   (Administrator).
3. **Gerät** — angelegt mit Management-IP, idealerweise mit Geräteprofil
   (SNMP-OIDs) und Zugangsdaten.
4. **Wartungsfenster** — ab Intensitätsstufe 3 verpflichtend und bestätigt.

---

## 2 Gerät anlegen

*Stammdaten → Switches → Switch anlegen.*

Pflichtfelder sind Kunde, Hostname und Management-IP. Loopback-, Multicast-,
Broadcast- und Link-Local-Adressen weist das Formular ab.

Wichtige Felder für aussagekräftige Messungen:

| Feld | Wirkung |
|---|---|
| Geräteprofil | ohne Profil keine CPU-, Speicher- und Temperaturmessung |
| Zugangsdaten + SNMP-Version | Voraussetzung für SNMP-Abfragen |
| HTTPS-Port und Prüfpfad | steuert die Webinterface-Prüfung |
| Produktiv / Labor | Produktivgeräte verlangen bei aggressiven Profilen ein Wartungsfenster |
| STP/MSTP, Redundanz, Uplinks | erscheinen im Bericht und helfen bei der Bewertung von Topologieereignissen |

**CSV-Import.** *Switches → CSV-Import*: Trennzeichen Semikolon, UTF-8, erste
Zeile mit Spaltennamen. Mehrfachwerte (`management_protocols`, `uplink_ports`)
mit `|` trennen. Fehlerhafte Zeilen werden übersprungen und einzeln gemeldet.
Zugangsdaten werden bewusst **nicht** importiert.

---

## 3 Scan erstellen (Wizard)

*Scan erstellen* führt durch zehn Schritte:

1. **Projekt** — fehlt die Autorisierung, endet der Wizard hier.
2. **Geräte** — Mehrfachauswahl, höchstens 64 Ziele je Auftrag.
3. **Autorisierung bestätigen** — Pflichthäkchen, wird protokolliert.
4. **Scanprofil** — Beschreibung und Risikohinweis beachten.
5. **Wartungsfenster** — ab Stufe 3 Pflicht.
6. **Konfiguration dokumentiert** — Pflichthäkchen: Gerätekonfiguration ist
   gesichert, damit der Zustand danach vergleichbar ist.
7. **Health-Monitoring** — angezeigte Grenzwerte prüfen.
8. **Risikoübersicht** — Schaltfläche *Ziele prüfen* zeigt je Adresse, ob sie
   freigegeben ist und über welchen Allowlist-Eintrag.
9. **Freigabe** — bei aggressiven Profilen automatisch angefordert.
10. **Start** — nach Anlage bzw. Freigabe.

Es gibt bewusst **kein Feld für eigene Scanparameter**. Auch Freitextfelder
weisen Kommandozeilenfragmente ab.

---

## 4 Freigabe erteilen (Approver)

*Freigaben → Prüfen* zeigt: Ziele mit Modell und Firmware, Umgebung
(Produktiv/Labor), Scanintensität, erwartete Dauer, Grenzwerte, Wartungsfenster
und den anfordernden Benutzer.

Vor der Freigabe prüfen:

- Ist das Wartungsfenster mit dem Kunden abgestimmt?
- Ist bei Produktivgeräten ein Ausfall vertretbar?
- Passt die Intensität zur Fragestellung?

Eine Freigabe ist sieben Tage gültig. Eine Ablehnung verlangt eine Begründung.
Beides landet im Audit-Log.

---

## 5 Laufenden Scan beobachten

Die Detailseite aktualisiert sich alle fünf Sekunden:

- Status, Fortschritt, Laufzeit, bearbeitete Ziele
- **Zeitachse** mit allen Ereignissen
- **Diagramm** mit CPU (blau), Latenz (bernstein) und Paketverlust (rot)

Beispiel für eine typische Zeitachse:

```
10:00:00  Baseline-Messung gestartet
10:05:00  Nmap-Lauf gegen 192.168.10.11 gestartet
10:07:12  CPU-Auslastung ueber Grenzwert (88 % von 90 %)
10:08:03  Paketverlust ueber Grenzwert (24 % von 20 %)
10:09:41  Webinterface nicht erreichbar
10:09:41  Scan automatisch abgebrochen: Paketverlust ueber Grenzwert
10:10:55  CPU normalisiert sich
10:11:20  HTTPS wieder erreichbar
10:14:41  Nachbeobachtung abgeschlossen
```

**Abbrechen** ist jederzeit über *Sofort abbrechen* möglich. Der Nmap-Prozess
wird kontrolliert beendet (SIGTERM, danach SIGKILL), ein laufender Nessus-Scan
gestoppt — die Nachbeobachtung läuft danach mindestens fünf Minuten weiter.

Am Zielgerät führt SecPen in keinem Fall Massnahmen aus: kein Neustart, keine
Konfigurationsänderung.

---

## 6 Belastungstest (Profil 6)

Der Test läuft in Stufen: Baseline → niedrig → mittel → hoch → optional Nessus
→ Nachbeobachtung. Jede Stufe mit aktiver Scanlast wird **einzeln freigegeben**.
Erreicht eine Stufe einen Grenzwert, endet der Test dort — die Stufe, bei der
das Gerät die Grenze erreicht, ist genau das gesuchte Ergebnis.

Empfehlung: erst am Laborgerät, dann am Produktivgerät im Wartungsfenster.

---

## 7 Findings bewerten

*Findings* listet Ergebnisse aus Nessus (Schwachstellen) und Nmap (unsichere
Managementdienste).

**Status:** Neu → In Prüfung → Bestätigt / Nicht reproduzierbar / False Positive
/ Akzeptiertes Risiko / Behoben / Erneut testen.

**Klassifizierung** — im Bericht getrennt ausgewiesen:

| Klasse | Bedeutung |
|---|---|
| Sicherheitslücke | bekannte Schwachstelle mit Referenz |
| Konfigurationsproblem | Abweichung von der Empfehlung, kein Softwarefehler |
| Belastungsgrenze | Verarbeitungsgrenze des Geräts |
| Möglicher Firmwarefehler | Fehlverhalten der Gerätesoftware, Herstellerklärung nötig |
| Nicht reproduzierbar | einmalig beobachtet |
| Noch nicht bewertet | in Prüfung |

Interne Bewertung, Herstellerfeedback und empfohlene Massnahme fliessen direkt
in den Bericht ein. Ein als *Behoben* markiertes Finding, das erneut auftaucht,
wechselt automatisch auf *Erneut testen* — die Bewertung bleibt erhalten.

---

## 8 Scans vergleichen

*Scanvergleich* stellt zwei bis sechs Scans gegenüber — nach Firmware, Modell,
Scanrate, Engine (Nmap gegen Nessus), Policy oder Umgebung.

Verglichen werden Findings, offene Ports **und** Gesundheitswerte (CPU-Maximum,
Latenz, Paketverlust, Ausfälle, Neustarts). Abweichungen sind hervorgehoben.

Typischer Einsatz: „Firmware 1.2.3 bricht bei mittlerer Rate ab, 1.3.0 nicht.“

---

## 9 Bericht erstellen

*Reports → Bericht erstellen*: Kunde, Titel, Typ, Format (PDF, HTML, CSV, JSON)
und die berücksichtigten Scans wählen. Die Erstellung läuft im Hintergrund.

Der technische Bericht enthält Deckblatt mit Autorisierungsnachweis, geprüfte
Geräte, Scanprofile und -parameter, Freigaben, Ergebnisübersicht, offene Ports,
Findings im Detail, CPU-/Latenz-/Verlustdiagramme, erkannte Neustarts,
STP-Ereignisse, automatische Abbrüche, technische Bewertung, empfohlene
Massnahmen sowie Rohdaten mit Prüfsummen.

Berichte liegen ausserhalb des Webverzeichnisses; der Download ist an eine
Berechtigung gebunden und wird protokolliert.

---

## 10 Häufige Meldungen

| Meldung | Ursache | Abhilfe |
|---|---|---|
| „Die Adresse ist in keiner gültigen Allowlist enthalten.“ | Netz nicht freigegeben oder abgelaufen | Administrator kontaktieren |
| „Für dieses Projekt ist keine Scanberechtigung hinterlegt.“ | Schritt im Projekt fehlt | Projekt → Scanberechtigung hinterlegen |
| „Der Scan darf nur innerhalb des bestätigten Wartungsfensters gestartet werden.“ | Fenster fehlt, unbestätigt oder abgelaufen | Fenster anlegen und bestätigen lassen |
| „Es laufen bereits N Scans.“ | Limit erreicht | warten oder Limit anheben (Administrator) |
| „Der Not-Aus ist aktiv.“ | Not-Aus gesetzt | Administrator |
| „Die Nessus-Policy ist nicht freigegeben …“ | Policy fehlt oder beanstandet | Administrator: abgleichen und freigeben |