Presentació dels diferents modes d’escaneig de Cyberwatch

Cyberwatch ofereix un conjunt de mètodes per afegir actius al perímetre de Cyberwatch perquè l’aplicació els analitzi.

El menú Gestió d’actius de l’aplicació inclou els elements següents:

  1. Agents
  2. Connexions sense agent
  3. Actius air gap
  4. Imatges Docker
  5. Objectius de xarxa i llocs web
  6. Núvol

Els tres primers mètodes d’escaneig es qualifiquen tots tres de mètodes d’«escaneig autenticat d’actius», que es descriuen amb més detall a continuació. Aquests mètodes d’escaneig autenticat donen exactament els mateixos resultats d’anàlisi.

Escanejos autenticats d’actius

Aquesta secció descriu els mètodes d’escaneig següents:

  1. Escanejos en mode «amb agent»
  2. Escanejos amb «connexió sense agent»
  3. Escanejos en mode «air gap»

Aquests tres mètodes d’escaneig:

  • permeten escanejar actius de manera autenticada, com ara servidors, estacions de treball, dispositius de xarxa, hipervisors o dispositius industrials
  • aporten exactament els mateixos resultats funcionals
  • es poden triar lliurement quan diversos d’aquests mètodes permeten escanejar un mateix tipus d’actiu

Les diferències entre aquests mètodes d’escaneig són les següents:

  • el sentit o el tipus de flux necessari entre el servidor de Cyberwatch i els actius que cal supervisar
  • el tipus d’actius que es poden escanejar amb aquests mètodes

Trobareu informació complementària sobre els sistemes que es poden escanejar amb cadascun d’aquests mètodes a la llista de sistemes operatius compatibles.

Evidentment, el nostre equip està a la vostra disposició per aconsellar-vos sobre els mètodes d’escaneig que convé implementar en la vostra arquitectura.

A continuació també es presenta una breu descripció d’aquests tres mètodes.

flowchart TB
  subgraph agent["Amb agent"]
    direction LR
    A1["Actiu<br/>(agent instal·lat)"] -- "envia els resultats<br/>periòdicament" --> N1["Node de Cyberwatch"]
  end
  subgraph agentless["Connexió sense agent"]
    direction LR
    N2["Node de Cyberwatch"] -- "SSH / WinRM / SNMP<br/>iniciada periòdicament" --> A2["Actiu"]
  end
  subgraph airgap["Air gap: cap flux de xarxa"]
    direction LR
    N3["Node de Cyberwatch"] -. "1. scripts d'escaneig" .-> U["Usuari"]
    U -. "2. transferència dels scripts" .-> A3["Actiu desconnectat"]
    A3 -. "3. resultats en text" .-> U
    U -. "4. importació" .-> N3
  end
  agent ~~~ agentless ~~~ airgap

Escanejos en mode «amb agent»

El mode «amb agent» es basa en la instal·lació d’un agent a cada actiu que cal supervisar.

Aquest agent, desenvolupat en Python, es proporciona en un paquet:

  • APT / YUM / ZYPPER / PACMAN per als sistemes Linux
  • MSI per als sistemes Windows
  • PKG per als sistemes macOS

S’executa periòdicament mitjançant un servei, fa un diagnòstic de l’actiu supervisat i envia els resultats al node de Cyberwatch al qual està vinculat.

Consulteu la secció de documentació de l’agent de Cyberwatch per obtenir més informació.

Escanejos amb «connexió sense agent»

La connexió sense agent es basa en una connexió mitjançant les interfícies d’administració habituals SSH (Linux) / WinRM (Windows) / SNMP (dispositius de xarxa), des d’un node de Cyberwatch, cap a cada actiu que cal supervisar.

Cyberwatch inicia la connexió periòdicament: es connecta a l’actiu que cal supervisar, fa un diagnòstic i n’analitza els resultats.

Consulteu la documentació de les connexions sense agent per obtenir més informació.

Escanejos en mode «air gap»

Aquest mode d’escaneig permet analitzar actius sense que calgui cap flux entre el node de Cyberwatch i els actius que cal supervisar.

Té l’avantatge de permetre escanejar actius completament desconnectats de la xarxa o en què no és possible instal·lar un agent ni iniciar una connexió remota.

Tot es basa en el procediment següent:

  1. Obtenció dels scripts d’escaneig des de la interfície de Cyberwatch (scripts idèntics als que s’executen en els escanejos amb agent o sense agent)
  2. Transferència dels scripts a l’actiu que cal escanejar, amb el mètode que triï l’usuari
  3. Execució d’aquests scripts a l’actiu, que produeixen una sortida en format de fitxers de text
  4. Recuperació d’aquests resultats i importació a l’aplicació Cyberwatch per analitzar-los

Per obtenir més informació sobre l’ús d’aquest mètode d’escaneig, consulteu l’addició d’un actiu air gap mitjançant formulari o l’addició d’un actiu air gap mitjançant l’API.

Escanejos d’imatges Docker

Aquest mode d’escaneig permet a Cyberwatch escanejar imatges Docker procedents d’un registre d’imatges.

L’escaneig d’imatges Docker segueix el procés següent:

  1. baixada de la imatge Docker des del registre,
  2. inici d’un contenidor a partir de la imatge,
  3. execució de les anàlisis de Cyberwatch al contenidor,
  4. neteja del contenidor i de la imatge baixada.

Consulteu la documentació que descriu com afegir una imatge Docker per obtenir més informació.

Escanejos d’objectius de xarxa i llocs web

Aquest mode d’escaneig permet utilitzar el mòdul d’escaneig extern de Cyberwatch per escanejar:

  • objectius de xarxa, en el sentit d’«actiu escanejat per un escaneig de xarxa»
  • llocs web, en el sentit d’aplicacions web que ofereixen pàgines HTML i funcionalitats que es poden provar

En tots dos casos, l’escaneig intentarà identificar elements com els ports oberts o les tecnologies presents i visibles des de l’exterior.

Per als llocs web, també es fa un escaneig OWASP mitjançant mòduls que permeten identificar possibles injeccions, problemes de configuració, etc.

Aquests escanejos de llocs web es poden fer sense autenticació, en mode «de caixa negra», o amb una autenticació que depèn del lloc web, en mode «de caixa grisa».

Consulteu la documentació que explica com afegir un objectiu de xarxa o un lloc web per obtenir més informació.

Escanejos d’actius al núvol

Aquesta funcionalitat permet afegir infraestructures al núvol a Cyberwatch per fer-hi controls de conformitat.

Les entitats al núvol que es poden afegir a Cyberwatch actualment són:

  • Google Cloud Platform
  • Amazon Web Services
  • Microsoft Azure
  • Active Directory

Active Directory s’inclou en aquestes entitats, tot i que és més aviat un element d’infraestructura local, perquè l’addició i el funcionament dels escanejos de conformitat en aquesta entitat es comporten de la mateixa manera que en els altres actius al núvol.

Consulteu la pàgina de documentació sobre els escanejos al núvol per obtenir més informació.