So erstellen Sie benutzerdefinierte RMM-Korrekturskripte zur automatischen Behebung von DNS-, Patching- und BitLocker-Problemen

DNS-Ausfälle, fehlgeschlagene Windows-Patches und BitLocker-Fehlkonfigurationen können die Sicherheitslage einer Umgebung schwächen. Die automatisierte Lösung dieser Probleme mithilfe von Skripten verbessert die mittlere Reparaturzeit (MTTR) und verringert die Häufigkeit von Support-Tickets und die Dauer der Ausfallzeiten. Unser Leitfaden beschreibt Skripte zur Problembehebung, die Administrator:innen über eine Software zum Remote Monitoring und Management (RMM) bereitstellen können.

Skripte zur Fehlerbehebung für DNS, Patching und BitLocker

Die Verwendung einer RMM-Plattform zur Bereitstellung von Skripten minimiert manuelle, sich wiederholende Korrekturen und ermöglicht es Administrator:innen, Endpunkte automatisch zentral zu verwalten. Auf diese Weise können sie eine schnellere Servicebereitstellung und sofortige Problembehebung gewährleisten und gleichzeitig die Konformität der Endpunkte sicherstellen.

📌 Voraussetzungen:

• Zugang zu einer RMM-Plattform.
• PowerShell 5.1 oder höher auf den Zielendpunkten.
• Zugang zu einem Administratorkonto.
• Installierte BitLocker- und Windows Update-Funktionen.
• Zugriff auf Gruppenrichtlinien für die zentralisierte Bereitstellung.

📌 Empfohlene Einsatzstrategien:

💡 Hinweis: Die Skripte in diesem Leitfaden funktionieren für RMM-Plattformen, die eine Remote-PowerShell- und Batch-Skriptbereitstellung bieten. Der Einfachheit halber werden wir NinjeOne RMM als Bereitstellungstool für unsere Abhilfeskripte verwenden.

⚠️ Wichtig: Führen Sie die folgenden Schritte für die Methoden 1-6 aus, bevor Sie fortfahren:

Die RMM-Plattform von NinjaOne unterstützt die Sprachen JavaScript, PowerShell, Batch, ShellScript und VBS Script. So können Sie eigene Skripte in die Skriptbibliothek von NinjaOne hochladen:

1. Öffnen Sie NinjaOne RMM und gehen Sie dann zu:

Verwaltung > Bibliothek > Automatisierung.

2. Drücken Sie im Menü Automatisierung auf Hinzufügen und wählen Sie Neues Skript.
3. Füllen Sie die erforderlichen Felder und Parameter für Ihr benutzerdefiniertes Skript aus.
4. Geben Sie die in dieser Anleitung bereitgestellten Skripte ein, um sie als Automatisierungsskripte zu speichern.
   • Stellen Sie sicher, dass die gewählte Sprache mit der Sprache des Skripts übereinstimmt.
5. Nach dem Speichern können Sie die in NinjaOne integrierten Tools verwenden, um die Zielgeräte für die Automatisierung auszuwählen, indem Sie das Kontrollkästchen daneben aktivieren.

Methode 1: Verwendung von PowerShell-Skripts zur automatischen Behebung von DNS-Problemen

📌 Anwendungsfälle: Verwenden Sie PowerShell-Skripte, um das DNS zu bereinigen, indem Sie die Datensätze von Domain-Namen und IP-Adressen durch neue Datensätze ersetzen. Administrator:innen können den DNS-Clientdienst auch mithilfe von PowerShell neu starten, um die Verbindung mit DNS-Servern wiederherzustellen.

⚠️ Wichtig: DNS-Neustarts gelten nur vorübergehend in einer domainverbundenen Umgebung mit DNS-Konfigurationen über GPO. (Sehen Sie ⚠️ Dinge, auf die man achten sollte.)

Fehlerbehebungs-Skript für das Leeren des DNS-Cache:

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("8.8.8.8","8.8.4.4")
Clear-DnsClientCache

💡 Hinweis: Nicht alle Geräte verwenden „Ethernet“ als Standard-Netzwerkadapter-Name, was zu Fehlern führen kann, wenn sie in großen Mengen eingesetzt werden. Sie können Platzhalter für die Skriptbereitstellung auf Zielgeräten mit unterschiedlichen Netzwerkadapter-Namen verwenden.

Get-NetAdapter | Where-Object { $_.Status -eq "Up" } | ForEach-Object {
Set-DnsClientServerAddress -InterfaceAlias $_.Name -ServerAddresses ("8.8.8.8", "8.8.4.4")
}
Clear-DnsClientCache

PowerShell-Skript zum Neustart des DNS-Clientdienstes:

Administrator:innen können den DNS-Client in Services.msc zurücksetzen, wobei der speicherinterne DNS-Cache gelöscht und der DNS-Resolver zurückgesetzt wird.

Restart-Service -Name dnscache

Skript zur Protokollierung von Auflösungs-Testergebnissen

Das folgende Skript testet, ob die DNS-Auflösung funktioniert, und protokolliert Fehler im Windows-Ereignisprotokoll, wenn sie fehlschlägt.

$test = Test-Connection google.com -Count 2 -Quiet
if (-not $test) {
Write-EventLog -LogName Application -Source "DNSFix" -EventID 3001 -EntryType Warning -Message "DNS resolution failed after fix."
}

💡 Tipp: Administrator:innen können diese Skripte innerhalb von RMM-Plattformen für die regelmäßige DNS-Wartung planen. Falls Ihr RMM Echtzeitwarnmeldungen bietet, können Sie diese DNS-Abhilfeskripte automatisch auf der Grundlage von Warnmeldungen und Protokollen auslösen.

Methode 2: Verwendung von Batch-Befehlen für die DNS-Korrektur über die Eingabeaufforderung (CMD)

📌 Anwendungsfall: Verwenden Sie das folgende Batch-Skript, um den DNS-Cache zu leeren, den Client neu zu starten, einen Server festzulegen und die Abhilfemaßnahmen in einem Schritt zu testen.

Grundlegende Beseitigung von DNS-Problemen mithilfe eines Batch-Skripts:

@echo off
ipconfig /flushdns
net stop dnscache
net start dnscache
netsh interface ip set dns "Ethernet" static 8.8.8.8
if not exist C:\Logs mkdir C:\Logs
echo [%DATE% %TIME%] DNS test >> C:\Logs\dns_fix_result.txt
nslookup google.com >> C:\Logs\dns_fix_result.txt

⚠️ Wichtig: Ein hartkodierter Name wie „Ethernet“ kann zum Scheitern des Skripts führen, wenn kein passender Adapter existiert, da netsh exakte Namen verlangt. (Sehen Sie ⚠️ Dinge, auf die man achten sollte.)

Methode 3: Einsatz von PowerShell-Skripten zur Behebung von Patching-Fehlern

📌 Anwendungsfälle: Verwenden Sie die PowerShell-Skripte, um verpasste Updates zu installieren, Update-Komponenten zurückzusetzen und Update-Ergebnisse zur Fehlerdiagnose zu protokollieren.

Erzwingen Sie eine erneute Überprüfung und Installation fehlender Updates:

Dieses Skript installiert und importiert zunächst das erforderliche PSWindowsUpdate-Modul, um Administrator:innen eine bessere Kontrolle der Update-Verwaltung zu ermöglichen. Anschließend werden alle ausstehenden Updates gescannt und installiert, um sicherzustellen, dass die Zielcomputer auf dem neuesten Stand sind.

Install-Module PSWindowsUpdate -Force -AllowClobber
Import-Module PSWindowsUpdate
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

PowerShell-Skript zum Zurücksetzen von Windows Update-Komponenten:

Das folgende Skript stoppt den Windows Update-Service (wuauserv). Das Skript löscht dann den SoftwareDistribution-Ordner, der zwischengespeicherte Updates und temporäre Dateien enthält, die möglicherweise zu Beschädigungen oder angehaltenen Updates führen können. Verwenden Sie dieses Skript, um Update-Fehler nach einem beschädigten Download zu beheben oder um angehaltene oder langsame Update-Scans zu korrigieren.

Stop-Service wuauserv
Remove-Item -Path "C:\Windows\SoftwareDistribution" -Recurse -Force
Start-Service wuauserv

Generierung einer Zusammenfassung der Protokollaktualisierung mithilfe von Skripten:

Verwenden Sie das nachstehende Skript, um nach dem Update Diagnosedaten zu sammeln und die Protokollierung zur einfacheren Fehlerüberwachung zu zentralisieren.

Get-WindowsUpdateLog -LogPath "C:\Logs\WindowsUpdateSummary.txt"

⚠️ Wichtig: Stellen Sie sicher, dass C:\Logs vorhanden ist, bevor Sie es als Protokollpfad festlegen. (Sehen Sie ⚠️ Dinge, auf die man achten sollte.)

Methode 4: Ausführen von Batch-Befehlen auf CMD zur Fehlerbehebung bei Updates

📌 Anwendungsfall: Die Eingabeaufforderung kann Batch-Befehle ausführen, die Update-Komponenten zurücksetzen und einen Scan auslösen.

Grundlegendes Batch-Skript zur Korrektur von Updates:

Der folgende Batch-Befehl ermöglicht ein schnelles Zurücksetzen von Update-Komponenten und das Scannen nach ausstehenden oder verpassten Updates. Im Gegensatz zu Methode 3 kann die CMD Updates jedoch nicht automatisch installieren, sondern erfordert eine manuelle Installation über Windows Update.

@echo off
net stop wuauserv
rd /s /q C:\Windows\SoftwareDistribution
net start wuauserv
wuauclt /detectnow

💡 Tipp: Legen Sie eine Richtlinienbedingung in Ihrem RMM fest, um dieses Skript auszulösen, wenn das letzte installierte Update eine bestimmte Anzahl von Tagen überschreitet. Auf diese Weise können Ihre verwalteten Endpunkte regelmäßig und konsequent automatisch nach Updates suchen.

Methode 5: BitLocker-Wiederherstellung durch PowerShell-Wiederherstellungsskripte

Wenn BitLocker auf Endpunkten deaktiviert ist, ist ein Gerät nicht konform und seine Daten sind anfällig für Bedrohungen. Wenn jedoch sichergestellt wird, dass der BitLocker-Schutz auf allen verwalteten Endpunkten durchgängig aktiviert ist, erhöht dies die Sicherheitslage eines Unternehmens.

📌 Anwendungsfälle: Administrator:innen können Skripts auf ihrem RMM verwenden, um den BitLocker-Status zu überprüfen, Wiederherstellungsschlüssel zu sichern, den Verschlüsselungsstatus zu prüfen und zu protokollieren.

📌 Voraussetzung: Geräte mit Trusted Platform Module (TPM)

Skripte zur Überprüfung und Aktivierung von BitLocker (falls nicht vorhanden):

Mit diesem PowerShell-Skript können Administrator:innen das BitLocker-Festplatten-Objekt von einem bestimmten Laufwerk, zum Beispiel C:, abrufen. Darüber hinaus aktiviert das Skript automatisch BitLocker, wenn es deaktiviert ist, ohne dass der Endbenutzer eingreifen muss.

$bitlocker = Get-BitLockerVolume -MountPoint "C:"
if ($bitlocker.ProtectionStatus -eq "Off") {
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector
}

💡 HINWEIS: -TpmProtector erfordert ein verfügbares und einsatzbereites TPM auf dem Zielgerät. Die Anwendung auf Nicht-TPM-Geräte führt zu einem Fehler.

Exportieren Sie den Backup-Wiederherstellungsschlüssel auf den Domain-Controller oder lokal:

Das folgende Skript sucht auf einem angegebenen BitLocker-Datenträger nach dem Recovery Password-Protector. Anschließend erstellt das Skript ein Backup des Wiederherstellungsschlüssels auf dem Domain-Controller oder dem Standardspeicher. Dadurch wird sichergestellt, dass eine BitLocker-Wiederherstellung im Falle eines TPM-Resets oder einer Beschädigung des Betriebssystems möglich ist.

Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId (
$bitlocker.KeyProtector | Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' }
).KeyProtectorId

Prüfen und protokollieren Sie den BitLocker-Verschlüsselungsstatus:

Administrator:innen können das folgende Skript verwenden, um einen einfachen Protokolleintrag als lokalen Nachweis für den Verschlüsselungsstatus eines Geräts zu erstellen.

$bitlocker | Select-Object MountPoint, VolumeType, ProtectionStatus, EncryptionPercentage | Out-File "C:\Logs\bitlocker_status.txt"

💡 Tipp: Administrator:innen können dieses Skript so einstellen, dass es automatisch nach einem Zeitplan ausgeführt wird oder wenn der BitLocker-Schutzstatus als Aus erkannt wird.

Methode 6: Registrierungsmethode für DNS-, Patch- oder BitLocker-bezogene Richtlinien

Die Registry enthält Werte, die Administrator:innen konfigurieren können, um falsche DNS-Server zu ersetzen, Windows Update-Aufschübe zu deaktivieren und die Aktivierung von BitLocker auf Geräten ohne TPM zu erzwingen.

⚠️ Warnung: Fehlkonfigurationen in der Registry können die Systemstabilität beeinträchtigen und zu Problemen wie Startschwierigkeiten und erheblichen Leistungseinbußen führen. (Sehen Sie ⚠️ Dinge, auf die man achten sollte.)

📌 Anwendungsfälle: Setzen Sie PowerShell-Skripte ein, um Registry-Konfigurationen zu automatisieren und sie mithilfe einer RMM-Plattform konsistent auf allen Endpunkten bereitzustellen.

Weisen Sie einen neuen DNS-Server mithilfe von PowerShell-Skripten zu:

Dieses Skript weist systemweit einen statischen DNS-Server zu, der alle automatischen DNS-Konfigurationen außer Kraft setzt. Dadurch wird das System gezwungen, den in der Registry angegebenen DNS zu verwenden. Die DNS-Erzwingungen der Gruppenrichtlinien überschreiben jedoch diese Änderung.

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" -Name "NameServer" -Value "8.8.8.8"

Deaktivieren Sie Windows Update-Aufschübe (wenn Patches blockiert sind):

Sie können automatische Updates in der Registry aktivieren, indem Sie den DWORD-Wert NoAutoUpdate auf 0 setzen. Verwenden Sie dieses Skript in Umgebungen, in denen das Patching aufgrund einer Fehlkonfiguration blockiert oder standardmäßig deaktiviert ist.

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" -Name "NoAutoUpdate" -Value 0 -Type DWord

Aktivieren Sie BitLocker mithilfe von Registry-Skripten:

Dieses Skript aktiviert BitLocker auf Geräten, auch auf älteren Geräten ohne TPM, und sorgt so für eine konsistente Verschlüsselung in einer Umgebung.

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EnableBDEWithNoTPM" -Value 1 -Type DWord

💡 Hinweis: Obwohl Sie BitLocker auf Geräten ohne TPM aktivieren können, benötigen Sie alternative Schutzmaßnahmen wie Startpasswörter und USB-Schlüssel.

Methode 7: Verwendung von Gruppenrichtlinien (GPO) für die zentralisierte Bereitstellung von Korrektur-Skripten

📌 Anwendungsfälle: Administrator:innen können eine GPO bereitstellen, um DNS-Serverzuweisungen, die Installation von Windows Update und BitLocker-Konfigurationen zentral mithilfe von Skripts zu konfigurieren.

📌 Voraussetzungen:

• Zugriff auf die Gruppenrichtlinien-Verwaltungskonsole (gpmc.msc)
• Domain-Administratorrechte

⚠️ Wichtig: Testen Sie Konfigurationen lokal, bevor Sie diese in einer Umgebung einsetzen. (Sehen Sie ⚠️ Dinge, auf die man achten sollte.)

1. Drücken Sie Win + R, geben Sie Notepad ein, und drücken Sie die Eingabetaste.
2. Wählen Sie das entsprechende Skript in diesem Leitfaden, um Ihre DNS-, Patching- oder BitLocker-Probleme zu beheben.
3. Fügen Sie das Skript in Notepad ein, drücken Sie Strg + Umschalt + S, benennen Sie es und fügen Sie eine Erweiterung hinzu.
   • Fügen Sie .ps1 hinzu, wenn es sich um ein PowerShell-Skript handelt (zum Beispiel DNS-powershell.ps1).
   • Fügen Sie .bat hinzu, wenn es sich um ein Batch-Skript handelt (zum Beispiel patching-batch.BAT).
4. Klicken Sie auf die Dropdown-Liste neben Speichern unter und wählen Sie Alle Dateien.
5. Öffnen Sie die Verwaltungskonsole für Gruppenrichtlinien.
6. Suchen Sie Ihre Ziel-Organisationseinheit und klicken Sie mit der rechten Maustaste darauf, wählen Sie dann GPO in dieser Domain erstellen und hier verknüpfen….
7. Klicken Sie mit der rechten Maustaste auf das neu erstellte GPO und wählen Sie Bearbeiten.
8. Gehen Sie zu:

Computerkonfiguration > Richtlinien > Windows-Einstellungen > Skripte (Starten/Herunterfahren)

9. Doppelklicken Sie auf Start, klicken Sie auf Hinzufügen und wählen Sie dann Ihr Skript aus der Netzwerkfreigabe aus.
10. Wenn Sie jedoch .ps1-Skripte verwenden, navigieren Sie zum folgenden Pfad:

Computerkonfiguration > Richtlinien > Verwaltungsvorlagen > System > Skripte

11. Setzen Sie die Richtlinie für die Ausführung von Startskripten auf Alle Skripte zulassen.

💡 Tipp: Sie können das folgende PowerShell-Skript auf Ihren Zielendpunkten bereitstellen, um Konfigurationen sofort anzuwenden:

gpupdate /force

⚠️ Wichtige Hinweise

Wichtige Überlegungen bei der Verwendung von Abhilfeskripten über RMM

In diesem Abschnitt werden die wichtigsten Überlegungen erörtert, die Sie bei der Verwendung von Skripts zur Lösung von DNS-, Patching- und BitLocker-Problemen beachten sollten.

Überlegungen zur Sicherheit

Wenn Sie BitLocker verwenden, speichern Sie die Wiederherstellungsschlüssel in einem Active Directory und halten Sie sich an ein Minimum an lokalen Speicherpraktiken. Außerdem ist das Durchsetzen von öffentlichen DNS-Servern wie 8.8.8.8 nur für den allgemeinen Gebrauch ideal, sollte aber nicht in Umgebungen mit hohen Compliance-Anforderungen verwendet werden.

Protokollierung für Auditing und einfaches Rollback

Protokolle zeichnen die von Skripten vorgenommenen Konfigurationen auf, wobei Änderungen zur einfachen Dokumentation und Validierung in einer Protokolldatei festgehalten werden. Die regelmäßige Protokollierung von Änderungen hilft bei der Fehlersuche in fehlerhaften Konfigurationen und bietet eine leicht einsehbare Referenz für Rücksetzungsstrategien.

Aufteilung kontinuierlicher Skripte in kurze, modulare Skripte

Obwohl es einfach ist, Skripte zu kombinieren, die mehrere Probleme lösen, ist es empfehlenswert, Skripte in kleinere Skripte zu unterteilen. Dies ermöglicht eine gezielte Abhilfe und minimiert gleichzeitig das Risiko einer versehentlichen Fehlkonfiguration von funktionierenden Systemfunktionen.

Behebung häufiger Probleme bei der Skriptbereitstellung

Problem Nr. 1: Skripte werden nicht ordnungsgemäß ausgeführt, wenn sie über RMM bereitgestellt werden

Skripte können aufgrund unzureichender RMM-Agent-Berechtigungen fehlschlagen. Stellen Sie jedoch sicher, dass das Skript als SYSTEM oder mit Administratorrechten ausgeführt wird, insbesondere bei der Änderung von Registrierungsschlüsseln und -werten.

Andererseits blockieren einige Systeme nicht signierte Skripte, zum Beispiel diejenigen, die aus nicht vertrauenswürdigen Quellen heruntergeladen wurden. Sie können die Ausführung von Skripten in der aktuellen Sitzung vorübergehend zulassen, indem Sie den folgenden Befehl zu Ihren PowerShell-Skripts hinzufügen:

Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

Problem Nr. 2: BitLocker wird nach der Skriptausführung nicht aktiviert

Überprüfen Sie vor dem Ausführen eines Skripts den TPM-Status des Zielgeräts, indem Sie eine erweiterte PowerShell-Eingabeaufforderung öffnen und Get-Tpm eingeben. Wenn ein TPM vorhanden ist, prüfen Sie, ob BitLocker-GPOs durchgesetzt wurden, die möglicherweise mit der Konfiguration in Konflikt stehen. Darüber hinaus können Sie bei der Konfiguration von Nicht-TPM-Geräten Skripte verwenden, um BitLocker über die Registrierung zu aktivieren.

Problem Nr. 3: Skripte zur Patch-Abhilfe schlagen nach der Ausführung ohne Warnmeldung fehl

Um dieses Problem zu beheben, stellen Sie sicher, dass das Gerät Internetzugang hat und den WSUS-Server erreichen kann. Überprüfen Sie außerdem, ob es GPOs gibt, die Windows Update blockieren, starten Sie den Windows Update-Agenten neu und starten Sie einen Update-Scan.

NinjaOne-Dienste für die Bereitstellung von Abhilfeskripten auf Endpunkten

Mit NinjaOne können MSPs die automatische Wiederherstellung mit voller Transparenz und Kontrolle operationalisieren und skalieren. Im Folgenden finden Sie die Dienste, mit denen Sie die Bereitstellung von Abhilfeskripten für DNS-, Patching- und BitLocker-Probleme optimieren können.

Behebung von Problemen in großem Umfang durch die Bereitstellung von Skripten über ein RMM

Die Automatisierung benutzerdefinierter Skripte mithilfe einer RMM-Plattform ermöglicht die konsistente Behebung von DNS-Fehlern, Patching-Problemen und BitLocker-Fehlkonfigurationen in großem Umfang. Sie können die bereitgestellten modularen Skripte zur gezielten Behebung bestimmter Probleme verwenden oder sie für eine umfassende Implementierung kombinieren. Stellen Sie Skripte über RMMs wie NinjaOne bereit, um alarmabhängige Auslöser sowie die Planung von Skripten zu ermöglichen und so die Behebung von Problemen, die Bereitstellung von Skripten und Audits zu automatisieren.

Verwandte Themen:

• Verwalten der BitLocker-Festplattenverschlüsselung per Fernzugriff mit PowerShell
• Leitfaden für MSPs: Wie man eine RMM-Plattform verwendet
• Beherrschung der DNS-Cache-Verwaltung: DNS mit PowerShell leeren
• Wie man das Schwachstellenmanagement automatisieren kann
• Beherrschung von NinjaOnes automatisierten Skripten für einen optimierten IT-Betrieb