Obsolens kennisbank Naar het portaal
Kennisbank › Problemen oplossen

Scan gehinderd of geblokkeerd door een IPS

Wat de melding Scan gehinderd betekent, hoe de collector een blokkade herkent en hoe je het oplost met een uitzondering of het profiel Voorzichtig.

Een IPS, firewall of EDR kan een netwerkscan zien als een aanval en het adres van de collector blokkeren. De collector herkent dat en meldt het. Hier lees je wat je dan ziet en hoe je het blijvend oplost.

Hoe de collector een blokkade herkent

Tijdens de scan houdt de collector een paar apparaten in de gaten die aan het begin antwoordden.

  • Stoppen die allemaal tegelijk, dan gaat de collector langzamer, wacht hij even en kijkt hij opnieuw.
  • Antwoorden ze weer, dan scant hij langzamer verder. Bij de collector staat dan "Laatste scan: het netwerk reageerde even niet, de collector ging langzamer verder."
  • Blijven ze stil, dan is de scan halverwege afgesneden. Bij de collector staat "Laatste scan: halverwege afgesneden" en je krijgt de melding Scan gehinderd.

Kan de collector direct na een scan het platform niet meer bereiken, dan bewaart hij de scan en verstuurt hij hem later. Bij de eerstvolgende check-in meldt hij dat het platform na de scan een tijd onbereikbaar was. Waarschijnlijk heeft een IPS of firewall het adres van de collector dan tijdelijk geblokkeerd. Die blokkade kan ook de melding "Collector offline" geven.

De melding Scan gehinderd

De melding heet "Scan gehinderd: hostnaam" en zegt: "Apparaten die aan het begin van de scan antwoordden, reageerden halverwege niet meer. Waarschijnlijk blokkeert een IPS, firewall of EDR het adres van de collector."

Na een scan zonder blokkade wordt de melding automatisch afgehandeld.

Oplossen

1. Maak een uitzondering (de echte oplossing)

  1. Open de klant en kies bij de collector Toegang regelen.
  2. Je ziet alles wat je nodig hebt: het IP-adres van de collector, het uitgaande verkeer, het programma, de gegevensmap, hoe hij draait en de SHA-256 van het programma.
  3. Kies het product van de klant. De stappen staan er, met de waarden van deze collector al ingevuld.
  4. Maak de uitzondering zo smal mogelijk: alleen het IP-adres van de collector als bron en alleen het pad van het programma. Gebruik geen hele subnetten of wildcards.
  5. Kies Nu scannen en controleer of de scan zonder blokkade klaar is.

De stappen per product staan ook in deze kennisbank, bijvoorbeeld FortiGate, Sophos Firewall en Microsoft Defender.

2. Kies tijdelijk het profiel Voorzichtig

Kan de uitzondering niet direct worden gemaakt, zet de locatie dan op het scanprofiel Voorzichtig:

  1. Kies bij de locatie Planning.
  2. Kies bij Scanprofiel "Voorzichtig (maximaal 8 per seconde, voor netwerken met een IPS)".
  3. Kies Opslaan.

Een /24 duurt dan ongeveer 7 minuten in plaats van 2 tot 5. Het profiel blijft onder de gangbare drempels voor portscan-detectie, maar elke IPS is anders. Zie Scanprofielen.

Herkenbaar verkeer

De collector verbergt niets. Elke webaanvraag heeft de User-Agent Obsolens-Collector/<versie> (network inventory; +https://<platform>/collector). Op die pagina staat een openbare uitleg. Een beheerder die het verkeer in een log ziet, kan zo nagaan wat het is.

Een IDS kan ook "SNMP public access" melden: de collector probeert op apparaten zonder ingestelde SNMP-gegevens de standaard-community public (alleen lezen). Je zet dat uit met "snmp_public": false in de config van de collector.

Zie ook