"Wat de scan doet: poorten, SNMP en tempo"

Welke poorten en protocollen de collector gebruikt, wat hij van apparaten leest, hoe snel hij scant en hoe hij merkt dat een IPS hem blokkeert.

Hier lees je precies wat de collector op het netwerk doet. Dat heb je nodig om een uitzondering in een firewall, IPS of EDR te maken. Ook helpt het om aan een klant uit te leggen wat er gebeurt.

#In het kort

De collector maakt alleen gewone verbindingen op een vaste lijst beheerpoorten, leest wat apparaten zonder inloggen over zichzelf laten zien en stuurt het resultaat via HTTPS naar het platform. Hij probeert nergens in te loggen (behalve SNMP-lezen met de gegevens die je zelf instelt), verandert niets aan apparaten en verbergt zich niet.

#Poorten en protocollen

Op de TCP-poorten maakt de collector alleen de verbinding en sluit hij die weer. Op poorten die open zijn leest hij daarna wat het apparaat zelf toont:

• de titel en de servernaam van de beheerpagina (HTTP en HTTPS);
• het certificaat van de beheerpagina, waar vaak merk en model in staan;
• de melding die een SSH-server bij het verbinden geeft.

Hij stuurt daarbij nooit inloggegevens mee. Het certificaat van een apparaat wordt niet gecontroleerd, omdat beheerpagina's bijna altijd een zelfondertekend certificaat hebben.

#SNMP

De collector vraagt SNMP alleen aan apparaten die bij het scannen van de poorten antwoordden of in de ARP-tabel staan. Daarbij:

• gebruikt hij de SNMP-gegevens die je in de config hebt ingesteld;
• probeert hij bij levende apparaten waarvoor geen ingestelde gegevens gelden ook de standaard-community public (alleen lezen);
• leest hij bij switches en routers die antwoorden ook de ARP-tabel en de buren via LLDP en CDP. Zo leert hij de MAC-adressen van apparaten in andere VLAN's en wat er aan de andere kant van een poort zit.

Een IDS kan het gebruik van public melden als "SNMP public access". Wil je dat niet, zet dan "snmp_public": false in de config. Hoe je SNMP-gegevens instelt, lees je in SNMP instellen voor betere herkenning.

#Tempo en scanprofielen

De collector verspreidt nieuwe verbindingen gelijkmatig over de tijd en vuurt nooit zo snel als de machine kan. Je kiest per locatie een scanprofiel onder Planning:

Voorzichtig blijft onder de gangbare drempels voor portscan-detectie, zoals de standaard van 10 per seconde bij WatchGuard. Het duurt wel langer: een /24 kost ongeveer 7 minuten. Gebruik het zolang een uitzondering in de IPS er nog niet is. De echte oplossing is een uitzondering voor het IP-adres van de collector.

De config op de collector kan het tempo alleen verder verlagen, niet verhogen. Ook het platform kan niet sneller kiezen dan het profiel toestaat.

#Merken dat de scan geblokkeerd wordt

Aan het begin van een scan kiest de collector een paar apparaten die antwoordden en houdt die in de gaten. Stoppen die allemaal tegelijk met antwoorden, dan gaat hij langzamer, wacht hij 30 seconden en kijkt hij opnieuw. Blijven ze stil, dan meldt het portaal Scan gehinderd. Dat betekent bijna altijd dat een IPS het IP-adres van de collector blokkeert. Zie Scan gehinderd of geblokkeerd door een IPS.

Na elke scan zie je bij de collector ook hoeveel adressen er antwoordden en hoeveel alleen via ARP zichtbaar waren. Dat laatste zijn meestal pc's met een eigen firewall (zie Windows Firewall op gescande computers).

#Herkenbaar in logs

Elke webaanvraag van de collector heeft de User-Agent:

Obsolens-Collector/<versie> (network inventory; +https://portal.obsolens.com/collector)

Op /collector van het portaal staat een openbare uitlegpagina voor wie het verkeer in een log tegenkomt. Zo kan een beheerder bij de klant zien wat het is. Verkeer met deze User-Agent van een machine die geen collector van jou is, is verdacht.

#Wat de collector niet doet

• Geen inlogpogingen op apparaten, behalve SNMP-lezen.
• Geen wijzigingen aan apparaten, alleen lezen.
• Geen opnames van netwerkverkeer en geen inhoud van bestanden.
• Standaard geen DNS-opzoekingen van apparaatnamen. Die staan alleen aan met "reverse_dns": true in de config.

#Zie ook

• SNMP instellen voor betere herkenning
• Scanplanning en scanprofielen
• Scan gehinderd of geblokkeerd door een IPS
• Wat de collector verzamelt en verstuurt