VB + VBS um Email in Txt zu speicher, auszuwerten und Aktion auszulösen. Teil 2

und wieder einmal danke dir
schaue es mir morgen früh gleich an, heute wird's nix mehr. Gleich Feierabend und Stress mit Umzug. Wollt mir schon längst mal die Seite antuen aber komme einfach nicht dazu.

So ich mach das mal etwas ausführlicher, ich komm damit einfach nicht klar

Zum Log:
Der Log wird fortlaufend von einem Virenscanner gefüllt und alle 5 Minuten per VBS überprüft (und anschließend gelöscht) ob es ein bestimmten Befall gibt. Wenn der Befall auftritt wird der Client ausgelesen und per CMD Befehl wird der Client vom Netz gekappt, damit im Netzwerk keine Daten verseucht werden)

Das kleine Problem was ich nun noch habe, an einem Beispiel:
Es kann vorkommen das innerhalb der 5 Minuten mehrere Clients auffallen.
Client 1 hat eine Bedrohung z. Bsp. Verseuchte Seite wird geblockt
Client 2 hat den gesuchten bösartigen Virus
Client 3 hat wieder "nur" ein HTTP Block

Möglichkeit A) Lese LogFile aus > wenn mehr als ein Client -> Ende / Benachrichtigung per Mail
Möglichkeit B) Er kann den richtigen Client korrekt auslesen. (wäre mir lieber, da es ein Eingreifen unnötig macht und die Variable im Feierabend eingreifen zu müssen, verkleinert

Hier mal eine zufällig Log mit 3 Clients, ich müsste meine Abfrage so ändern das er immer nach dem gleichen Muster fragt.
1. Ist "Clientlist: SERVERNAME / CLIENTNAME" vorhanden? -> Client in Variable speichern
2. Ist "Echtzeit-Dateischutz" vorhanden
3. Ist Schädling Beispiel "Kryptik" oder "Test" vorhanden (ich brauche hier eine einfache Erweiterung auf 2 oder mehr Abfragen)
4. Prüfen ob Ende von Log oder ob es nächsten Eintrag "Clientlist: SERVERNAME / CLIENTNAME" gibt, wenn ja -> 2.


Bsp. Log (3 mal HTTP Block, andere Sachen sind gleich aufgebaut):
[2014-09-23 08:37:00.024] V1 [5421150c1875] [00000e7c] <NOTIFICATION_ACTION_INFO> Clientbedrohung, Message:
Clientlist: SERVERNAME / CLIENTNAME
Primäre Clients mit Warnung zum Schutzstatus
Server: SERVERNAME
Logfile: 16895, SERVERNAME / CLIENTNAME, 2014-09-23 08:26:24 , ZENSUR, E-Mail-Schutz - Outlook, Warnung, E-Mail-Nachricht, Von: MMS An: ZENSUR Betreff MMS = MIME = 04122013JBGOAL.zip, Win32/TrojanDownloader.Wauchos.X Trojaner, gelöscht,


[2014-09-23 10:07:00.068] V1 [54212a242a76] [00001370] <NOTIFICATION_ACTION_INFO> Clientbedrohung, Message:
Clientlist: SERVERNAME / CLIENTNAME
Primäre Clients mit Warnung zum Schutzstatus
Server: SERVERNAME
Logfile: 16899, SERVERNAME / CLIENTNAME, 2014-09-23 10:05:20 , ZENSUR, E-Mail-Schutz - Outlook, Warnung, E-Mail-Nachricht, Von: Info An: ZENSUR Betreff Re: Entstellung von Konten = MIME = order_59.zip, VBA/TrojanDownloader.Agent.AV Trojaner, gelöscht,


[2014-09-23 10:37:00.015] V1 [5421312c30ee] [0000023c] <NOTIFICATION_ACTION_INFO> Clientbedrohung, Message:
Clientlist: SERVERNAME / CLIENTNAME
Primäre Clients mit Warnung zum Schutzstatus
Server: SERVERNAME
Logfile: 16905, Dd1vws01 / CLIENTNAME, 2014-09-23 10:31:25 , ZENSUR, E-Mail-Schutz - Outlook, Warnung, E-Mail-Nachricht, Von: huynhs@thp.uni-koeln.de An: ZENSUR Betreff Re: Der Prozess ist abgeschlossen = MIME = order_10.zip, VBA/TrojanDownloader.Agent.AV Trojaner, gelöscht,


Mein derzeitiger Script (Auszug, Befehle wurden zum größten Teil durch msg derzeit ersetzt um besser testen zu können):

'Definition der Variablen (Regex 1-X und matches1-X sind wichtig für die Bedrohungsarten-Namensfilter)
Dim strClientname, fso, regex, regex2, strContent, matches, matches2, FileName
Set fso=CreateObject("Scripting.FileSystemObject")
Set regex = CreateObject("vbscript.regexp")
Set regex2 = CreateObject("vbscript.regexp")
regex.global = True
regex2.global = True
FileName = "C:\Virenschutz\Bedrohung.txt"

'Ping Funktion - überprüfung ob Client anpingbar / Aufruf mit "ping"
Function Ping(strHost)
Dim oPing, oRetStatus, bReturn
Set oPing = GetObject("winmgmts:{impersonationLevel=impersonate}").ExecQuery("select * from Win32_PingStatus where address='" & strHost & "'")

For Each oRetStatus In oPing
If IsNull(oRetStatus.StatusCode) Or oRetStatus.StatusCode <> 0 Then
bReturn = False
Else
bReturn = True
End If
Set oRetStatus = Nothing
Next
Set oPing = Nothing

Ping = bReturn
End Function


'Falls die Logfile exisitiert, überprüfe Sie ob "Kryptik" vorhanden ist, ansonsten beende Script.
If FSO.FileExists(FileName) Then
msgbox "LogFile da"
regex.IgnoreCase = True
regex.Pattern = "Echtzeit-Dateischutz"
strContent = fso.OpenTextFile("C:\Virenschutz\Bedrohung.txt").ReadAll()
Set matches = regex.Execute(strContent)
If matches.Count > 0 Then
strContent = fso.OpenTextFile("C:\Virenschutz\Bedrohung.txt").ReadAll()

'entweder Kryptik
regex.IgnoreCase = True
regex.Pattern = "Kryptik"
Set matches = regex.Execute(strContent)

'oder Test als auslöser
regex2.IgnoreCase = True
regex2.Pattern = "Test"
Set matches2 = regex2.Execute(strContent)

'Falls Kryptik vorhanden ist, lese Clientnamen aus und lösche LogFile. Falls nicht lösche LogFile und beende Script.
If matches.Count > 0 OR matches2.Count > 0 Then
'msgbox "LogFile da, Kryptik vorhanden"
regex.Pattern = "Clientlist: SERVER / ([^,\r\n]+)"
Set matches = regex.Execute(strContent)
If matches.Count > 0 Then
strClientname = Trim(matches(0).submatches(0))
Else
'msgbox "LogFile da, Kryptik vorhanden, Client nicht identifizierbar"
'FSO.DeleteFile("C:\Virenschutz\Bedrohung.txt")
WScript.Quit
End If
Else
'FSO.DeleteFile("C:\Virenschutz\Bedrohung.txt")
WScript.Quit
End If
Else
'FSO.DeleteFile("C:\Virenschutz\Bedrohung.txt")
WScript.Quit
End If
'Falls Kryptik+Clientname auslesbar, deaktiviere und beende den DHCP Dienst des Clients.
set WshShell = WScript.CreateObject("WScript.Shell")
msgbox strClientname
If Ping(strClientname) Then
msgbox "Client anpingbar"
Else
msgbox "KRYPTIK Alarm - " & strClientname & " NICHT MEHR ERREICHBAR, Netzwerkkarte konnte nicht deaktiviert werden!"
WScript.Quit
End if
Else
msgbox "LogFile nicht da"
WScript.Quit
End if

'End-Prüfung ob DHCP Deaktivierung und beenden geklappt hat
WScript.Sleep 30000
If Ping(strClientname) Then
msgbox "KRYPTIK Alarm - " & strClientname & " wurde NICHT erfolgreich vom Netzwerk getrennt"
Else
msgbox "KRYPTIK Alarm - " & strClientname & " wurde erfolgreich vom Netzwerk getrennt"
End If

______________________________________________

Ich hatte Heute leider auch nicht viel Zeit dafür, mal schauen ob es morgen besser wird. Solltest du dich fragen warum der ganze Aufwand: Wir hatten dieses Jahr einen Virenangriff der Netzlaufwerke von einem Client aus verschlüsselt hatte ;)

Danke für deine Anmerkungen, sehe ich ähnlich aber leider ist kein Virenscanner perfekt.
Zu 90% holt ein Virus andere Tierchen mit auf den Client, was das Anschlagen des Virenscanners erhöht.
Wenn der Client selber krachen geht, ist das halb so schlimm, nur wenn unbemerkt Terabyte von Daten verschlüsselt werden, ist das ein Heiden Aufwand über die Backups das zurückzuholen (wir haben ne gute Bandsicherung + Festplattensicherung) . Ich bin immer offen für Ideen allerdings ist es mit einer nicht IT-Geschäftsführung drüber, nicht so leicht etwas durchzusetzen (gerade in einem > 400 Personen Unternehmen ). Ein Wechsel des Virenscanners kommt derzeit nicht in Frage (Kosten der laufenden Lizenzen) man müsste die Verlängerung abpassen. Bisher macht ESET aber einen guten Job was Virenerkennung angeht.(Für die Zukunft was würdest du empfehlen?) Was du meinst ist natürlich richtig, es ist schade das Eset solche Sachen nicht unterstützt (trennen vom Netz etc.) Betreffs Rechte ist es sehr schwer bei uns, wir haben sehr viele Softwareprodukte die ADM Rechte benötigen, meist wegen schlechter Programmierung, veralteter Varianten oder oder oder. Das zu erklären würde sehr lange dauern Ich bin gerade dabei das etwas umzustellen ist aber über GPOs bei so vielen nicht Standard Software sehr schwer und wir haben wenig PCs die gleich ausgestattet sind.

zwecks Script schau ich mir an sobald ich Luft habe, diese Woche kommt irgendwie keine Ruhe rein immer ist wieder was anderes ^^

Trotzdem Danke erst mal, bin guter Dinge das es klappen wird und keine Sorge, das ist nur eine zusätzliche Sicherheitsmaßnahme. Man könnte Sie auch schnell umlegen um viele Clients zu deaktivieren oder was auch immer

mfg Rob

Habs mal getestet und klappt leider noch nicht, habe mich mit msgBoxen vorgetastet:
Er führt die Keyword Abfrage nicht durch oder sucht an einer falschen Stelle.

If InStr(1,match,arrKeywords(i),1) Then
isKeywordMatch = True
Exit For
End If

Setze ich ein Keyword "" dann findet er es, setze ich nur ein Zeichen wie "a" oder ähnliches findet er nix.
Die Clients gibt er korrekt bei jeder Schleife zurück. Habe auch mal den Syntax für regex.Pattern = "Clientlist: SERVER / ([^,\r\n]+)" genommen um auszuschließen das er die Clients nicht korrekt identifiziert. (es ist nur ein SERVER das bleibt quasi gleich)

Zusätzlich hab ich noch die kleine Frage: Es darf nicht nur nach dem Keyword gesucht werden, ein absolutes muss ist der "Echtzeit-Dateischutz"
da ansonsten alle PCs betroffen sind die mal eine Email oder einen gesperrten Link haben

Wird noch bissel rumprobieren, nur so als Zwichenstand, keine Ahnung wie oft du Zeit hast hier reinzuschauen.

Mit freundlichen Grüßen Rob

P.S. bin Froh das du mir hilfst ich würde sonst Jahre meiner Zeit verballern DANKE DANKE DANKE


EDIT: " " findet er auch

Das verstehe ich jetzt nicht, hat doch vorher mit den IF Abfragen auch funktioniert nur das er jetzt quasi zwischen:
"Clientlist: SERVER / " und "Clientlist: SERVER / "
nach den Keywords suchen soll. Gerade das Beispiel Kryptik hat immer andere Varianten, es darf nur nach diesem Keyword gesucht werden und es muss egal sein ob davor etwas anderes steht, zum Beispiel Blablu0815.Kryptik oder ähnliches, die Schreibweise ändert sich ja leider dauernd und auch die Stelle/Position wo Kryptik steht kann sich ändern. Ist das somit überhaupt suchbar?

P.S. nen Originalen Log kann ich dir nicht geben, da stehen zu viele Firmen internen Sachen drin. "Clientlist: SERVER / " ist aber Original.

Hab mal was mit ner Testmaschine provoziert, hoffe das ist besser (habe nur den Firmennamen geändert, die Buchstaben sind die gleiche Anzahl und auch in groß) . Deine Änderung greift noch nicht ganz, einzelne Buchstaben findet er nun.
Mit den RegEx stimmt natürlich, aber ich packs derzeit einfach nicht mich dort reinzulesen, dafür ist mein Kopf zu sehr mit anderen Sachen abgelenkt.
Ich bin leider so ein Praktiker/Pragmatiker der sich mit Theoretischen "belesen" sehr schwer tut.

Hm blödes Notepad hat mir die Leerzeilen auch nie angezeigt, ist mir selber nie aufgefallen, im Notepad++ sieht mans aber auch. Sorry!

schönen Abend ebenfalls
mfg Rob

Bist ein Hero: hab jetzt keine Zeit mehr zum testen aber mach ich morgen Früh gleich.

DANKE!