Zu wissen, was sich in Ihrem Netzwerk befindet, ist sowohl für die Sicherheit als auch für den Betrieb von grundlegender Bedeutung; doch die meisten Unternehmen stellen erst dann fest, wie lückenhaft dieses Bild ist, wenn bereits ein Problem aufgetreten ist. Tanium Discover wurde entwickelt, um diese Lücke zu schließen, indem es Schnittstellen in Ihrer gesamten Umgebung netzwerkbasiert ermittelt und IT- sowie Sicherheitsteams einen Überblick über Geräte verschafft, auf denen möglicherweise noch nie ein Tanium-Client installiert wurde.
Diese Unterscheidung ist wichtig: „Discover“ erkennt Schnittstellen und nicht nur Endpunkte; das bedeutet, dass ein einzelner Laptop, der sowohl über eine kabelgebundene als auch über eine drahtlose Netzwerkkarte verfügt, als zwei separate Schnittstellen angezeigt wird. Das Verständnis dieses Unterschieds und das Wissen, wie man auf die Ergebnisse von Discover reagieren muss, ist es, was Rohdaten von verwertbaren Erkenntnissen unterscheidet.
Nash bringt seinen Hintergrund als Netzwerkingenieur in seine Tätigkeit als Senior Advanced Consulting Engineer bei im Bereich „U.S. Public Sector“ von Tanium ein, und diese praxisorientierte Netzwerkkompetenz prägt seine Herangehensweise an die Discover-Konfiguration, die Scan-Strategie und die Datenauswertung.
In dieser Folge werden die vier in Discover verfügbaren Scan-Stufen vorgestellt: von einer passiven ARP-Cache-Abfrage, die keinen zusätzlichen Netzwerkverkehr erzeugt, bis hin zu einem vollständigen, auf Nmap basierenden Port-Scan. Dabei werden die Kompromisse zwischen Datentiefe und Netzwerkbelastung auf den einzelnen Stufen erläutert. Darüber hinaus behandeln sie die neuere Seite zur Netzwerkschnittstellenverwaltung für die zentralisierte Subnetzverwaltung, die Satellitenfunktion, die nun das Scannen eines gesamten /16 -Netzwerkbereichs unterstützt, sowie das Beschriftungssystem, das Rohdaten der Schnittstellen in übersichtliche, verwertbare Kategorien umwandelt.
Falls Ihr Unternehmen Discover zum ersten Mal einführt, eine Bereitstellung überarbeitet, die seit ein oder zwei Jahren nicht mehr aktualisiert wurde, oder versucht herauszufinden, warum Ihre Cloud-Umgebung doppelte Schnittstellen zurückgibt, behandelt diese Folge genau die Szenarien und Abläufe, die Sie benötigen.
Nash führt zudem Beispiele aus der Praxis an (darunter ungesicherte Webcams mit Standardzugangsdaten und eine unbefugt angeschlossene Spielekonsole in einem Rechenzentrum), die verdeutlichen, warum eine konsequente und gut konfigurierte Erfassung von entscheidender Bedeutung ist. Sehen Sie sich die gesamte Folge unten an.
Wichtige Erkenntnisse
- Schnittstellen, keine Endpunkte: Tanium Discover führt eine netzwerkbasierte Erkennung von Schnittstellen in Ihrer Umgebung durch, wobei eine Schnittstelle und ein Endpunkt nicht dasselbe sind, da ein Endpunkt über mehrere Netzwerkschnittstellen verfügen kann, wie beispielsweise ein Laptop mit einer kabelgebundenen und einer drahtlosen Netzwerkkarte.
- Cloud-Umgebungen benötigen stattdessen „Asset“: Discover verwendet die MAC-Adresse als Primärschlüssel, was in Cloud-Umgebungen wie Azure zu Problemen führt, da dort aufgrund softwaredefinierter Netzwerke alle Schnittstellen dieselbe MAC-Adresse nutzen. Dies bedeutet, dass Sie möglicherweise nur eine Schnittstelle statt eines vollständigen Bestandsverzeichnisses sehen. Verwenden Sie stattdessen „Asset“ für die Bestandsaufnahme in der Cloud.
„. Tanium Discover dient der netzwerkbasierten Erkennung von Schnittstellen in Ihrer Umgebung.“Nash King, Senior Advanced Consulting Engineer bei Tanium
- Vier Scan-Stufen mit zunehmender Detailgenauigkeit: Discover bietet vier Scan-Stufen für IPv4. Stufe 1 stützt sich auf den ARP-Cache und ist so konzipiert, dass kein zusätzlicher Scan-Verkehr erzeugt wird; Stufe 2 nutzt Ping und ICMP-basiertes Fingerprinting; Stufe 3 ist ein aktiver ARP-Scan; und Stufe 4 verwendet Nmap zur Durchführung von Port-Scans und zur Betriebssystemerkennung, wobei Nmap sowohl einen offenen als auch einen geschlossenen Port benötigt, um ein Betriebssystem zu identifizieren.
- Verteilte Scans und Satelliten: Verteilte Scans werden von Tanium-verwalteten Endgeräten durchgeführt, die die Lücken innerhalb ihres eigenen Subnetzes scannen, wodurch Scans schnell in der gesamten Umgebung durchgeführt werden können. Für Subnetze ohne verwaltete Endpunkte kann ein Satellit damit beauftragt werden, diese Netzwerke zu ermitteln; Satelliten können nun einen gesamten /16 -Netzwerkbereich scannen, während die bisherige Obergrenze bei 4 096 IP-Adressen lag.
- Zentrale Seite für Netzwerkschnittstellen: Auf einer neuen Seite für Netzwerkschnittstellen können Sie Subnetze einmalig definieren und anschließend in mehreren Scan-Profilen zum Ein- oder Ausschluss heranziehen. Damit wird der bisherige Arbeitsablauf ersetzt, bei dem dasselbe Netzwerk in jedes einzelne Profil separat eingegeben werden musste. Ausschlüsse haben Vorrang: Wenn ein Subnetz sowohl einbezogen als auch ausgeschlossen ist, wird es nicht gescannt.
- Labels wandeln Daten in Entscheidungen um: Labels sind Kennzeichnungen, die manuell oder automatisch anhand von Regeln zugewiesen werden können. Sie dienen dazu, Schnittstellen in drei Zustände einzuteilen: verwaltet (Tanium-Client vorhanden und meldet sich), nicht verwaltet (kein Tanium-Client erkannt) und nicht verwaltbar (eine Entscheidung, die Sie mithilfe eines Labels treffen). Eine Label-Galerie in der „Discover“-Übersicht bietet eine als JSON-Datei herunterladbare Sammlung vorgefertigter Labels für neue Bereitstellungen, darunter auch Labels, die traditionell schwer zu verwaltende Gerätetypen wie Zebra-Drucker und -Scanner automatisch kennzeichnen.
- Sicherheits- und Betriebsmuster: Discover kann unberechtigte Zugangspunkte, nicht autorisierte Endgeräte in sensiblen Subnetzen, Webcams mit Standard-Anmeldedaten sowie offene Ports wie Port 23 aufdecken, die auf eine Telnet-Sicherheitslücke hindeuten könnten. Die gleichzeitige Durchführung eines ARP-Scans der Stufe 1 und eines Ping-Scans der Stufe 2 verbessert die Erfassungsreichweite, da Personen mit böswilligen Absichten ICMP auf Geräten deaktivieren könnten, die sie mit dem Netzwerk verbinden.
„Sobald Sie sich die Ergebnisse von Discover genauer ansehen, können Sie interessante Muster in Ihrer Umgebung erkennen, die Ihnen dabei helfen können, betriebliche Abläufe zu optimieren.“Nash King, Senior Advanced Consulting Engineer bei Tanium
- Empfohlene Einrichtungsreihenfolge: Bei der erstmaligen Bereitstellung von Discover wird standardmäßig ein „Level 2 “-Scan konfiguriert, der mit der Rückgabe von Schnittstellendaten beginnt, sobald Endpunkte integriert werden. Anschließend empfiehlt es sich, nach Bedarf weitere Scan-Profile zu erstellen, Netzwerkausnahmen für sensible Subnetze zu definieren, die vorgefertigte Label-Sammlung aus der Label-Galerie zu importieren und anschließend die Standorte mithilfe einer CSV-Datei zu konfigurieren, um die Sichtbarkeitsberechtigungen für Benutzergruppen auf der Grundlage der Subnetzzuweisungen festzulegen.
Weitere Ressourcen
- Tanium Discover – Produktübersicht: Erkennung nicht verwalteter Geräte im Netzwerk: Erfahren Sie, wie Tanium Discover Ihnen in Echtzeit Einblick in die Schnittstellen Ihres gesamten Netzwerks verschafft, einschließlich nicht verwalteter und nicht verwaltbarer Geräte.
- Asset-Erfassung als Grundlage für IT-Transparenz und Gerätemanagement: Ein Artikel, der erläutert, warum eine umfassende Asset-Erfassung für Sicherheits- und Betriebsteams von Bedeutung ist und wie netzwerkbasierte Erfassungsansätze ein besseres Gerätemanagement ermöglichen.
- Tanium Discover-Dokumentation – Modulübersicht und Anleitung zur Erstkonfiguration: Die offizielle Tanium-Dokumentation zu Discover, die Scan-Profile, Schnittstellenzustände und Einrichtungsschritte behandelt.
- Tanium Discover-Dokumentation – Konfiguration von Scan-Profilen und Erkennungsmethoden: Ausführliche Anleitung zur Erstellung und Verwaltung verteilter Scan-Profile, zur Konfiguration von Satelliten sowie zur Auswahl von Scan-Stufen für die Erkennung der Stufen IPv4 und IPv6 .
