Агентное сканирование

Общее определение

Система Vulns.io поддерживает два подхода к сканированию активов: агентный и безагентный. Оба подхода реализуют сканирование в режиме "белого ящика", т.е. получают доступ к данным актива непосредственно внутри операционной системы актива.

Агентный подход подразумевает установку на актив специальной программы (Агента), работающей в режиме постоянно запущенной службы. Служба инициирует и поддерживает постоянное сетевое соединение с Системой, получает от Системы команды на выполнение необходимых действий (сканирование, инвентаризация, обновление и пр.), выполняет их и отправляет результаты обратно в Систему.

Для агентного подхода необходим только сетевой доступ от актива к Системе. Нет необходимости хранить учетную запись актива.

Сравнение и отличие агентного от безагентного подходов

* Кроме функционала патч-менеджмента.
** появляются дополнительные затраты времени на сетевое подключение, загрузку утилиты сканирования и очистку после завершения сканирования.

Принципы работы агентного сканирования

1. Взаимодействие агента с активом:
• агент устанавливается на сам актив (хост, сервер, и т. д.);
• он собирает данные в зависимости от поставленной задачи;
• работает локально на активе, выполняя команды сбора информации и готовя данные для передачи на сервер Vulns.io.
2. Взаимодействие агента с сервером:
• агент аутентифицируется на сервере по agent_id/asset_id/api_key из конфигурационного файла;
• передаёт на сервер собранные данные об активе и уязвимостях;
• получает с сервера новые задачи;
• обновляется и управляется централизованно из интерфейса Vulns.io.

Типы данных

В результате сканирования формируются следующие данные:

• список уязвимого ПО,
• список доступных обновлений,
• список найденных уязвимостей,
• список отсутствующих обновлений безопасности (для некоторых ОС),
• сведения об операционной системе,
• сведения о железе: CPU, память, диски,
• информация о сетевых интерфейсах и маршрутах,
• списки локальных групп и пользователей,
• список установленного ПО с версиями,
• список запущенных сервисов,
• список обнаруженных docker-образов и запущенных контейнеров.
• фиксируется список проанализированного ПО,
• фиксируется сопутствующая метаинформация: дата и время сканирования, CVSS-метрики, критичность уязвимостей по методике ФСТЭК (V) и прочее.

Заключение

Агентный подход — это полноценный инструмент для непрерывного мониторинга, автономного аудита и безопасного обмена данными в сложных корпоративных сетях.

Он оптимален для рабочих станций, серверов и иных систем, где требуется постоянная оценка уязвимостей при строгих ограничениях на удалённый доступ.