Prerequisiti degli asset da monitorare tramite connessioni agentless
Matrice dei flussi
Questa matrice riassume tutti i flussi che possono essere necessari in base al tipo di dispositivo monitorato tramite connessione agentless.
| Origine | Destinazione | Protocollo | Porta | Descrizione |
|---|---|---|---|---|
| scanner Cyberwatch | asset monitorato | TCP | 22 | SSH (Linux) |
| scanner Cyberwatch | asset monitorato | TCP | 5985 | WinRM (Windows) |
| scanner Cyberwatch | asset monitorato | UDP | 161 | SNMP (dispositivi di rete) |
| scanner Cyberwatch | asset monitorato | TCP | 443 | HTTPS API VMware |
| scanner Cyberwatch | asset monitorato | TCP | 443 | HTTPS API Stormshield SNS (porta dell’interfaccia di amministrazione) |
| asset monitorato | scanner Cyberwatch | TCP | 443 | HTTPS trasferimento del file cab Microsoft |
Tutti i flussi sono avviati dallo scanner, ad eccezione del trasferimento del file cab, avviato dall’asset Windows:
flowchart LR
S["Scanner Cyberwatch"]
S -- "TCP 22 · SSH" --> L["Asset Linux / UNIX"]
S -- "TCP 5985 · WinRM" --> W["Asset Windows"]
S -- "UDP 161 · SNMP" --> N["Dispositivo di rete"]
S -- "TCP 443 · API" --> V["VMware"]
S -- "TCP 443 · API" --> F["Firewall Stormshield SNS"]
W -- "TCP 443 · file cab" --> S
Prerequisiti software
- Sistema operativo compreso nell’elenco dei sistemi operativi supportati
- Servizio SSH attivato per Linux / UNIX
- Servizio WinRM attivato per Windows (comando PowerShell associato:
Enable-PSRemoting -Force) - SNMP v1, v2c o v3 attivato per i dispositivi di rete (v3 consigliato, con autenticazione e crittografia), con una vista che includa i rami MIB letti da Cyberwatch
Prerequisiti specifici per gli asset Linux
- Disponibilità di un account di connessione SSH con autenticazione tramite nome utente/password o chiave pubblica/privata
- Diritti sudoers
- Per distribuire le patch (facoltativo)
- Per eseguire gli script di conformità
- Per analizzare le immagini Docker
Prerequisiti specifici per gli asset Windows
- Disponibilità di un account di connessione WinRM di dominio (consigliato) o locale, con autenticazione tramite nome utente/password in «NEGOTIATE», senza autenticazione Basic né traffico non crittografato
- Diritti di amministrazione OBBLIGATORI sull’account utilizzato
- Il servizio Windows Update (
wuauserv) deve essere attivato - Deve essere installato PowerShell v2 o successivo, scaricabile dal sito ufficiale di Microsoft
- Deve essere installato Windows Update Agent v6.1.0022.4 o successivo
I sistemi Windows Server 2008 devono inoltre disporre degli algoritmi di hash SHA-2, come descritto nella documentazione ufficiale Microsoft. In sintesi, sono necessari tre aggiornamenti:
- Supporto della firma del codice SHA-2 tramite l’installazione della KB4474419
- L’aggiornamento di gennaio 2020 (aggiornamento cumulativo mensile) tramite la KB4534310 per Windows Server 2008 R2 SP1
- Aggiornamenti dello stack di manutenzione associati a SHA-2
Nel caso in cui le KB in questione non siano installate, nel risultato della scansione Cyberwatch potrebbe essere riportata la seguente eccezione:
# Error: Exception lors de l'appel de « AddScanPackageService » avec « 3 » argument(s) : « Une chaîne de certificats a été traitée mais s’est terminée par un certificat racine qui n’est pas approuvé par le fournisseur d’approbation. (Exception de HRESULT : 0x800B0109) »
Configurazione degli asset Windows Server 2012 e Windows Server 2012 R2 per le scansioni WUA
Per garantire che Windows Update Agent sia completamente operativo, Windows Server 2012 e 2012 R2 richiedono un aggiornamento cumulativo mensile uguale o più recente di: