Client-Software auf Linux-Plattformen mit Secure Boot installieren

Gilt für: WatchGuard Advanced EPDR Dieses Thema betrifft das WatchGuard Advanced EPDR Endpoint Security-Produkt., WatchGuard EPDR Dieses Thema betrifft das WatchGuard EPDR Endpoint Security-Produkt., WatchGuard EDR Dieses Thema betrifft das WatchGuard EDR Endpoint Security-Produkt.,WatchGuard EDR Core Dieses Thema betrifft das WatchGuard EDR Core Endpoint Security-Produkt., WatchGuard EPP Dieses Thema betrifft das WatchGuard EPP Endpoint Security-Produkt.

Einige Linux-Distributionen erkennen, wenn auf einem Computer Secure Boot aktiviert ist. Wenn Secure Boot aktiviert ist, wird nicht korrekt signierte WatchGuard Endpoint Security-Software automatisch deaktiviert.

Secure Boot wird erkannt, wenn die Software installiert wird, oder später, falls die Version diese Funktion ursprünglich nicht unterstützt hat, aber diese bei einem späteren Update hinzugefügt wurde. In beiden Fällen zeigt die Verwaltungsoberfläche einen Fehler an und die Endpoint-Software wird nicht ausgeführt.

Um die Schutzfehler im Zusammenhang mit Secure Boot auf dem problembehafteten Computer zu beheben, stellen Sie sicher, dass Ihr System die folgenden Anforderungen erfüllt und führen Sie die Schritte zur Fehlerbehebung durch.

Systemanforderungen

• DKMS: mokutil und openssl-Pakete.
• Oracle Linux 7.x/8.x mit kernel UEKR6: Repository ol7_optional_latest aktiviert und openssl, keyutils, mokutil, pesign, kernel-uek-devel-$(uanme -r) Pakete

Beheben von Schutzfehlern

1. Überprüfen Sie den Status von Secure Boot:
   $ mokutil --sb-state
   Secure Boot aktiviert.
2. Prüfen Sie, dass der Treiber nicht geladen wurde:
   $ lsmod | grep prot
3. Importieren Sie die Schutz-Schlüssel:
   $ sudo /usr/src/protection-agent-<version>/scripts/sb_import_key.sh
   Es wird eine Meldung angezeigt, die die Auswirkungen von Secure Boot erläutert.
   Der Schutz und der Agent <version> haben folgendes Format:
   $ sudo /usr/src/protection-agent-03.01.00.0001-1.5.0_741_g8e14e52/scripts/sb_import_key.sh
   Der Name variiert je nach Version und Treiber.
4. Drücken Sie C, um das zum Signieren der Module verwendete Zertifikat zu registrieren.
5. Geben Sie ein Passwort mit 8 Zeichen ein:



6. Starten Sie den Computer neu und schließen Sie den Registrierungsprozess ab.
   Falls es sich um eine virtuelle Maschine handelt, verwenden Sie den Hypervisor.
1. Um den Registrierungsprozess zu beginnen, drücken Sie eine beliebige Taste.
   Dieser Bildschirm wird eine begrenzte Zeit angezeigt. Wenn Sie keine Taste betätigen, müssen Sie den Registrierungsprozess neu starten.



2. Wählen Sie MOK anmelden.



3. Um die zu registrierenden Schlüssel anzuzeigen, wählen Sie Schlüssel anzeigen.





4. Prüfen Sie, dass die Schlüssel zum WatchGuard Endpoint Security-Schutz gehören. Wählen Sie Weiter, um mit dem Registrierungsprozess fortzufahren.



5. Wenn Sie zu Schlüssel anmelden aufgefordert werden, wählen Sie Ja.
6. Geben Sie das zuvor erstellte Passwort ein.
7. Wählen Sie Neu starten.



7. Um zu prüfen, dass der Treiber geladen wurde, geben Sie $ lsmod | grep prot ein.
   

Oracle Linux 7.x/8.x mit UEKR6 Kernel

Wenn es sich bei der installierten Version um Oracle Linux 7.x/8.x mit UEKR6 Kernel handelt, führen Sie nach abgeschlossener Registrierung des Zertifikats folgende Schritte aus:

1. Führen Sie diesen Befehl aus:
   sudo /usr/src/protection-agent-<version>/scripts/sb_import_key.sh
   Dies fügt das zum Signieren der Module verwendete Zertifikat zur Liste der Zertifikate hinzu, die der Kernel als vertrauenswürdig ansieht. Der geänderte Kernel ist signiert und wurde zur Liste der Kernel in GRUB hinzugefügt. Das Modul wurde geladen und gestartet.

2. Starten Sie den Computer neu.
   Das Modul wurde geladen und gestartet.

3. Um zu prüfen, dass das Zertifikat richtig hinzugefügt wurde, führen Sie folgenden Befehl aus:
   sudo /usr/src/protection-agent-<version>/scripts/sb_import_key.sh

   Die Ergebnisse sollten sein:

   • Der übliche Name des Signierers lautet UA-MOK Driver Signing
   • Image /boot/vmlinuz-kernel-version-panda-secure-boot ist bereits signiert
   • Das Kernelmodul wurde erfolgreich geladen