Sapere cosa è presente nella propria rete è fondamentale sia per la sicurezza che per le operazioni, ma la maggior parte delle organizzazioni si rende conto di quanto tale quadro sia incompleto solo dopo che si è verificato un problema. Tanium discover è progettato per colmare tale lacuna attraverso l’individuazione, basata sulla rete, delle interfacce presenti nel vostro ambiente, fornendo ai team IT e di sicurezza la visibilità sui dispositivi sui quali potrebbe non essere mai stato installato un client Tanium .
La distinzione è importante: Discover rende visibili le interfacce, non solo gli endpoint; ciò significa che un singolo portatile dotato sia di una scheda di rete cablata che di una wireless apparirà come due interfacce distinte. Comprendere tale distinzione e sapere come agire sulla base dei risultati emersi dall’analisi “ Discover ” è ciò che distingue i dati grezzi dalle informazioni utili ai fini operativi.
Nash vanta un’esperienza come ingegnere di rete nel proprio ruolo di ingegnere consulente senior avanzato presso la divisione “U.S. Public Sector” di Tanium', e tale competenza pratica in materia di reti influenza il suo approccio alla configurazione di Discover , alla strategia di scansione e all’interpretazione dei dati.
In questa puntata, vengono illustrati i quattro livelli di scansione disponibili in Discover: da una ricerca passiva nella cache ARP, progettata per non generare traffico di rete aggiuntivo, fino a una scansione completa delle porte basata su Nmap; vengono inoltre spiegati i compromessi tra la ricchezza dei dati e l’impatto sulla rete a ciascun livello. Tratta inoltre la nuova pagina dedicata alle interfacce di rete per la gestione centralizzata delle sottoreti, la funzionalità “satellite” che ora supporta la scansione di un intervallo di rete completo /16 e il sistema di etichette che trasforma i dati grezzi delle interfacce in categorie organizzate e utilizzabili.
Se la vostra organizzazione sta implementando per la prima volta l’ Discover , sta riesaminando un’implementazione che non viene aggiornata da uno o due anni, oppure sta cercando di capire perché il vostro ambiente cloud restituisca interfacce duplicate, questo episodio tratta proprio gli scenari e la sequenza di operazioni di cui avete bisogno.
Nash illustra inoltre alcuni esempi concreti (tra cui webcam non protette con credenziali predefinite e una console di gioco non autorizzata in un data center) che dimostrano l’importanza di un processo di individuazione coerente e ben configurato. Guardi qui sotto l'episodio completo.
Punti chiave
- Interfacce, non endpoint: Tanium discover esegue il rilevamento basato sulla rete delle interfacce presenti nel Suo ambiente; un’interfaccia e un “ endpoint ” non sono la stessa cosa, poiché un dato endpoint può disporre di più interfacce di rete, come ad esempio un laptop dotato sia di una scheda di rete cablata che di una scheda di rete wireless.
- Gli ambienti cloud richiedono invece l’uso di “ Asset ”: Il comando “ Discover ” utilizza l’indirizzo MAC come chiave primaria, il che crea problemi in ambienti cloud come Azure , dove il networking definito dal software fa sì che ogni interfaccia condivida lo stesso indirizzo MAC; ciò significa che potreste visualizzare una sola interfaccia anziché un inventario completo. Utilizzi invece Asset per la gestione dell'inventario nel cloud.
“Tanium discover è progettato per eseguire il rilevamento delle interfacce presenti nel vostro ambiente tramite la rete.”Tanium Ingegnere consulente senior avanzato Nash King
- Quattro livelli di scansione, con crescente ricchezza di contenuti: Discover offre quattro livelli di scansione per il corso IPv4. Il Livello 1 si basa sulla cache ARP ed è progettato per non generare traffico di scansione aggiuntivo; il Livello 2 utilizza il fingerprinting basato su ping e ICMP; il Livello 3 consiste in una scansione ARP attiva; infine, il Livello 4 utilizza l’ Nmap per eseguire la scansione delle porte e il rilevamento del sistema operativo, sebbene l’ Nmap richieda sia una porta aperta che una chiusa per identificare il sistema operativo.
- Scansioni distribuite e satelliti: Le scansioni distribuite vengono eseguite dagli endpoint gestiti d Tanium, che analizzano le vulnerabilità all’interno della propria sottorete, consentendo lo svolgimento rapido delle scansioni in tutto l’ambiente. Per le sottoreti prive di endpoint gestiti, è possibile designare un satellite per individuare tali reti; i satelliti sono ora in grado di eseguire la scansione di un intervallo di rete completo /16 , rispetto al precedente limite di 4.096 indirizzi IP.
- Pagina centralizzata delle interfacce di rete: Una nuova pagina dedicata alle interfacce di rete consente di definire le sottoreti una sola volta e di farvi poi riferimento in più profili di scansione per includerle o escluderle, sostituendo il precedente flusso di lavoro in cui era necessario inserire la stessa rete separatamente in ogni singolo profilo. Le esclusioni hanno la precedenza: se una sottorete è sia inclusa che esclusa, non verrà sottoposta a scansione.
- Le etichette trasformano i dati in decisioni: Le etichette sono contrassegni che possono essere applicati manualmente o automaticamente tramite regole e costituiscono il meccanismo per classificare le interfacce in tre stati: gestita (cliente Tanium presente e operativo), non gestita (nessun cliente Tanium rilevato) e non gestibile (una decisione che si prende utilizzando un’etichetta). Una galleria di etichette nella panoramica dell’ Discover offre una raccolta scaricabile JSON di etichette predefinite per le nuove implementazioni, comprese quelle che contrassegnano automaticamente tipi di dispositivi tradizionalmente difficili da gestire, quali stampanti e scanner Zebra.
- Modelli di sicurezza e operativi: Discover consente di individuare punti di accesso non autorizzati, dispositivi di consumo non autorizzati in sottoreti sensibili, webcam con credenziali predefinite e porte aperte, come la porta 23 , che potrebbero indicare un’esposizione a Telnet. L'esecuzione contemporanea di una scansione ARP di livello 1 e di una scansione ping di livello 2 migliora la copertura del rilevamento, poiché chi compie azioni illecite potrebbe disabilitare il protocollo ICMP sui dispositivi che collega alla rete.
“Una volta che si inizia a esaminare i risultati forniti da Discover, è possibile individuare modelli interessanti nel proprio ambiente che potrebbero aiutare a mettere ordine dal punto di vista operativo.”Tanium Ingegnere consulente senior avanzato Nash King
- Sequenza di configurazione consigliata: Al momento della prima implementazione di Discover , viene configurata per impostazione predefinita una scansione di livello 2 , che inizierà a fornire i dati relativi alle interfacce man mano che gli endpoint vengono integrati nel sistema. A questo punto, la procedura consigliata prevede di creare ulteriori profili di scansione secondo necessità, definire le esclusioni di rete per le sottoreti sensibili, importare la raccolta di etichette predefinita dalla galleria delle etichette e, infine, configurare le sedi utilizzando un file CSV per stabilire le autorizzazioni di visibilità dei gruppi di utenti in base alle assegnazioni delle sottoreti.
Risorse aggiuntive
- Tanium discover Panoramica del prodotto — Rilevamento dei dispositivi non gestiti in rete: Scoprite come Tanium discover garantisca una visibilità in tempo reale sulle interfacce presenti nella vostra rete, compresi i dispositivi non gestiti e quelli non gestibili.
- Asset L’individuazione delle risorse come base per la visibilità IT e la gestione dei dispositivi: un articolo che illustra perché un’individuazione completa delle risorse sia fondamentale per i team di sicurezza e operativi e in che modo gli approcci di individuazione basati sulla rete consentano una migliore gestione dei dispositivi.
- Tanium discover Documentazione — Panoramica del modulo e guida alla configurazione iniziale: La documentazione ufficiale di Tanium relativa a Discover, che tratta i profili di scansione, gli stati dell’interfaccia e le fasi di configurazione.
- Tanium discover Documentazione — Configurazione dei profili di scansione e dei metodi di rilevamento: Istruzioni dettagliate sulla creazione e la gestione dei profili di scansione distribuiti, sulla configurazione dei satelliti e sulla selezione dei livelli di scansione per il rilevamento IPv4 e IPv6 .
