Obsolens kennisbank Naar het portaal
Kennisbank › Privacy en veiligheid

Hoe de collector beveiligd is

Hoe de collector zelf, zijn config en zijn verbinding met het platform beveiligd zijn. Plus de grenzen die voorkomen dat hij misbruikt wordt om te scannen of aan te vallen.

De collector staat in het netwerk van je klant en draait met hoge rechten. Daarom is hij zo gebouwd dat hij weinig kan, weinig bewaart en niets verbergt. Dit artikel zet de maatregelen op een rij, zodat je ze aan een klant of auditor kunt uitleggen.

Alleen uitgaande verbindingen

  • De collector luistert op geen enkele poort. Alle verbindingen gaan van de collector naar het platform, via HTTPS met minimaal TLS 1.2.
  • Hij vertrouwt alleen publieke certificaatautoriteiten, of een CA-certificaat dat je zelf opgeeft met ca_file (zie Uitgaande verbinding, proxy en SSL-inspectie).
  • Bij de klant hoeft geen poort open naar binnen.

Koppelen en geheimen

  1. Je koppelt een collector met een eenmalige koppelcode (eole_...) uit het portaal. Die code verloopt en werkt maar één keer.
  2. Na het koppelen krijgt de collector een eigen geheim. Dat werkt alleen voor die ene locatie: de locatie komt uit de database, nooit uit wat de collector zelf zegt.
  3. Het platform bewaart van dat geheim alleen een hash.
  4. Het downloadbare programma bevat zelf geen geheimen.

De config op de collector

De config (/etc/obsolens/collector.json of C:\ProgramData\Obsolens\collector.json) bevat het geheim van de collector en eventuele SNMP-gegevens.

  • Op Linux is het bestand alleen leesbaar voor root, op Windows alleen voor SYSTEM en Administrators.
  • De collector weigert een config te laden die door andere gebruikers te lezen is.
  • SNMP-gegevens blijven op de collector en gaan niet naar het platform.

Hoe het programma draait

  • Linux: als systemd-dienst obsolens-collector onder root, omdat ARP en sommige metingen raw sockets nodig hebben. De dienst is afgeschermd: hij mag alleen in zijn eigen configmap schrijven, heeft geen toegang tot homemappen, kan geen extra rechten krijgen en heeft alleen de netwerkrechten CAP_NET_RAW en CAP_NET_ADMIN.
  • Windows: als geplande taak Obsolens Collector onder SYSTEM. Het programma wordt bij installatie naar C:\Program Files\Obsolens gekopieerd, zodat de taak nooit een bestand start dat een gewone gebruiker kan vervangen.

Grenzen aan wat de collector doet

  • Alleen lezen: hij maakt verbindingen op een vaste lijst poorten en leest SNMP. Hij voert geen opdrachten uit op apparaten. Het platform kan alleen een scan starten, de netwerken en het scanprofiel doorgeven en (als je dat aanzet) een update aanbieden.
  • Alleen interne netwerken vanuit het portaal: netwerken die je in het portaal instelt, moeten in een intern adresbereik liggen. Het platform controleert dat en de collector controleert het nog eens. Een vergissing of een gekaapt portaalaccount kan een collector dus niet op internet laten scannen. Per scan geldt een maximum van 16.384 adressen.
  • Vast tempo: het platform kan alleen kiezen tussen de vaste profielen Normaal en Voorzichtig, nooit sneller. De config kan het tempo alleen verlagen.
  • SNMP-gegevens per bereik: met scope stuur je SNMP-gegevens alleen naar de adressen waar ze horen. MD5 en DES voor SNMPv3 worden geweigerd. Zie SNMP instellen.

Niets verbergen

De collector gebruikt een vaste User-Agent met een verwijzing naar een openbare uitlegpagina op /collector van het portaal. Hij gebruikt geen technieken om detectie te ontlopen. Uitzonderingen in firewalls en EDR maak je op het IP-adres en het programma van precies deze collector, met de waarden onder Toegang regelen.

Invoer van apparaten wordt niet vertrouwd

Wat een apparaat over zichzelf zegt, kan kwaadwillend zijn. Daarom:

  • worden alle teksten op de collector en opnieuw op het platform opgeschoond en ingekort;
  • haalt de collector een UPnP-beschrijving alleen op bij exact het adres dat antwoordde, zonder omleidingen en met een maximale grootte;
  • worden antwoorden van adressen buiten het scanbereik genegeerd.

Bewaarde scans op de collector

Lukt het versturen na een scan niet, dan bewaart de collector de scan in de configmap, met dezelfde rechten als de config. Hij bewaart er maximaal 5 en hoogstens 7 dagen. Hij wist ze zodra een nieuwere scan is aangekomen.

Updates

Automatisch bijwerken staat per collector uit tot een eigenaar het in het portaal aanzet. De collector haalt een update alleen bij het eigen platform op en controleert de SHA-256 voordat hij het programma vervangt. Het programma is op dit moment niet digitaal ondertekend. Zie Collector bijwerken.

Zie ook