Connecteur Stormshield SNS (API)

Le connecteur Stormshield SNS (API) ajoute un pare-feu Stormshield Network Security comme actif, en interrogeant l’API de son interface d’administration. Il n’exige ni SNMP, ni exécution de scripts, ni installation d’agent.

Il récupère :

• la version du firmware SNS, qui sert au calcul des vulnérabilités ;
• le nom du pare-feu.

Le pare-feu remonte avec le même système et la même version que par le scan SNMP, donc avec les mêmes vulnérabilités. Le connecteur ne lance que deux commandes de consultation, SYSTEM PROPERTY et SYSTEM IDENT, et ferme sa session d’administration à la fin de chaque scan.

Contrairement au scan SNMP, il ne remonte ni les adresses IP des interfaces, ni les ports en écoute, ni de métadonnées.

Prérequis

La création de connexions sans-agent de type Stormshield SNS nécessite l’activation de ce type de connexions dans le menu Administration > Gestion des connecteurs.

Le scanner Cyberwatch doit joindre l’interface d’administration HTTPS du pare-feu.

Préparer le pare-feu

1. Dans l’interface d’administration du pare-feu, créer un administrateur dédié à Cyberwatch.
2. Lui donner des droits en lecture seule : les deux commandes du connecteur sont accessibles à tout administrateur.
3. Si l’accès à l’interface d’administration est réservé à certains postes, y ajouter l’adresse du scanner Cyberwatch.

Configurer l’identifiant

Vous pouvez configurer les accès à partir du menu Identifiants enregistrés de la barre latérale, puis en cliquant sur le bouton Ajouter. Dans le formulaire, sélectionner le type Stormshield SNS, puis renseigner :

• Nom d’utilisateur et Mot de passe : ceux de l’administrateur créé pour Cyberwatch ;
• URL : facultative, elle ne sert qu’à la découverte Stormshield SNS ;
• Certificat client : à laisser vide, le connecteur s’authentifie par nom d’utilisateur et mot de passe ;
• Désactiver la vérification de certificat : à cocher si le certificat du pare-feu n’est pas signé par une autorité reconnue ;
• Ignorer le proxy : à cocher si le scanner joint le pare-feu sans passer par le proxy configuré dans Cyberwatch.

Un même identifiant peut servir pour plusieurs pare-feu administrés avec le même compte. L’identifiant peut aussi être créé depuis le formulaire de la connexion : il ne demande alors ni URL ni certificat.

L’identifiant est envoyé au pare-feu désigné par l’adresse de la connexion. Un utilisateur qui peut créer une connexion sans-agent avec cet identifiant peut donc l’envoyer à l’adresse de son choix, comme un identifiant SSH ou WinRM. Désactiver la vérification de certificat renonce en outre à authentifier le pare-feu.

Ajouter le pare-feu

Sur Cyberwatch, section Actifs :

1. Aller dans le menu Actifs puis cliquer sur Connexions sans-agent
2. Sélectionner le protocole d’accès Stormshield SNS
3. Dans le champ Adresse, renseigner l’adresse IP ou le nom du pare-feu
4. Dans le champ Port, renseigner le port de l’interface d’administration HTTPS (443 par défaut)
5. Sélectionner l’identifiant Stormshield SNS, ou en créer un
6. Cliquer sur Sauvegarder

Cyberwatch appelle toujours le pare-feu à l’adresse et sur le port de la connexion, quelle que soit l’URL de l’identifiant.

La découverte Stormshield SNS liste les objets hôtes de la configuration du pare-feu, pas le pare-feu lui-même : le pare-feu s’ajoute par une connexion.

Informations remontées

Information	Valeur
Système	Stormshield
Firmware	Version de SNS, par exemple 4.7.1, sous le CPE cpe:2.3:o:stormshield:stormshield_network_security
Nom d’hôte	Nom du pare-feu, à défaut l’adresse de la connexion

Comme le scan SNMP des équipements réseau, le scan s’exécute par défaut tous les deux jours.

Dépannage

Quand un scan échoue, l’actif garde le firmware du scan précédent.

Erreur	Cause probable
Message d’échec d’authentification du pare-feu	Nom d’utilisateur ou mot de passe refusé, ou compte bloqué
Refus de l’ouverture de session	Nombre maximal de sessions d’administration atteint sur le pare-feu
Erreur de certificat	Certificat non signé par une autorité reconnue : cocher Désactiver la vérification de certificat dans l’identifiant
Délai dépassé	Pare-feu injoignable depuis le scanner : vérifier les flux et les postes autorisés à l’administration. Le connecteur abandonne après 10 secondes pour ouvrir la connexion, et 30 secondes par requête.
Unexpected response from the firewall	Le port de la connexion n’est pas celui de l’interface d’administration, ou un autre serveur, comme un proxy, répond à la place du pare-feu
SYSTEM PROPERTY returned no Version	Le pare-feu n’a pas donné sa version