Ús del fitxer cab de Windows
En el marc de les anàlisis que executen els seus escanejos de vulnerabilitats, Cyberwatch pot haver de transferir un fitxer de dependències d’actualitzacions proporcionat per Microsoft i conegut amb el nom de wsusscn2.cab.
Aquest fitxer permet executar l’equivalent d’una anàlisi de Windows Update en mode desconnectat.
El fitxer cab conté informació sobre la majoria dels pedaços per a Windows i per a les aplicacions de Microsoft distribuïts per Windows Update.
El principal problema que comporta l’ús d’aquest fitxer per a les anàlisis és la seva mida. Actualment representa una transferència de més de 900 MB, de manera que distribuir aquest fitxer a cada actiu pot ser complex.
Actius per als quals es recomana una anàlisi amb WUA
Les anàlisis que utilitzen WUA (Windows Update Agent) permeten obtenir informació sobre les KB disponibles de determinats actius.
L’anàlisi d’algunes configuracions d’actius Windows requereix utilitzar WUA per ser completa. Això afecta els actius Windows que compleixen almenys una d’aquestes condicions:
- sistemes antics Windows Server 2012 o anteriors
- sistemes antics Windows 7 o anteriors
- qualsevol sistema Windows amb una aplicació de Microsoft instal·lada mitjançant MSI les actualitzacions de la qual es gestionen per KB
Condicions de transferència del fitxer cab per als escanejos de Cyberwatch
Les anàlisis de Cyberwatch només requereixen el fitxer cab per escanejar determinades configuracions específiques d’actius Windows. Aquesta transferència, quan cal, és independent del mode d’escaneig (amb agent, connexió sense agent, air gap…) que s’utilitzi.
La transferència del fitxer cab només es fa als actius Windows que no tenen accés a Internet o per als quals no és possible una anàlisi mitjançant Windows Update.
Si l’anàlisi amb WUA no és possible i la transferència del fitxer cab no es vol fer o resulta impossible, les conseqüències són les següents:
- per als sistemes antics, l’anàlisi de les KB que falten relacionades amb el sistema operatiu i amb les aplicacions de Microsoft serà incompleta
- per als sistemes recents que disposen d’aplicacions de Microsoft, l’anàlisi de les KB relacionades amb aquestes aplicacions serà incompleta
Ubicació del fitxer cab
Escanejos en mode amb agent o sense agent
En un escaneig en mode amb agent o sense agent, el fitxer cab es desa al directori C:\Windows\System32\config\systemprofile\AppData\Roaming\Cyberwatch.
Escanejos en mode air gap
Per a les anàlisis en mode air gap, la interfície de Cyberwatch ofereix l’opció «Baixa el fitxer d’anàlisi de Windows fora de línia». Aquesta opció permet baixar el fitxer cab de Microsoft per poder utilitzar-lo en les anàlisis air gap.
L’execució de l’script WUA amb el fitxer cab queda a criteri de l’usuari, però, en els casos esmentats anteriorment, permet obtenir una anàlisi més completa del sistema.
Desactivació de la transferència del fitxer cab a Cyberwatch
La transferència del fitxer cab a un actiu o a un conjunt d’actius es pot desactivar mitjançant l’ús de les polítiques d’anàlisi, desactivant l’execució de l’escaneig de vulnerabilitats de Windows amb WUA.
Per desactivar aquesta transferència cal activar la funcionalitat de les anàlisis personalitzades.
A continuació teniu un exemple de procediment pas a pas per desactivar l’execució de l’escaneig de vulnerabilitats de Windows amb WUA en un conjunt d’actius:
- Creeu una política d’anàlisi des del menú Paràmetres > Polítiques d’anàlisi fent clic al botó Afegeix
- Definiu el nom i la planificació de les anàlisis
- A la secció «Scripts d’anàlisi», feu clic al botó «Afegeix una anàlisi personalitzada»
- Seleccioneu com a anàlisi «Escaneig de vulnerabilitats de Windows amb WUA»
- Definiu el període de l’escaneig a «Mai»
- Feu clic al botó «Desa»
Un cop assignada als actius que vulgueu, aquesta política desactivarà l’execució de l’script d’anàlisi responsable de la transferència del fitxer cab.
No dubteu a consultar la documentació de les polítiques d’anàlisi per obtenir més informació sobre l’ús de les polítiques d’anàlisi.