Безагентное сканирование

Что такое безагентное сканирование

Безагентное сканирование — это способ выполнения сканирования активов без установки постоянного программного агента на целевую систему. В Vulns.io Enterprise VM данный подход применяется для проведения сканирования как в режиме «белого ящика», так и в режиме «черного ящика», в зависимости от типа актива и поставленной задачи.

В отличие от агентного подхода, на целевой системе отсутствует постоянно работающий компонент. Подключение выполняется только на время проведения задачи, после чего соединение завершается, а временные данные удаляются. Такой подход позволяет получать сведения об активе без постоянного присутствия программного обеспечения Vulns.io на контролируемом узле.

Безагентное сканирование является одним из двух поддерживаемых системой способов работы с активами. Для хостов оба подхода реализуют аудит в режиме «белого ящика», то есть с авторизованным доступом к операционной системе. Если для актива одновременно установлен Агент и настроены учетные данные для безагентного подключения, система автоматически выбирает способ выполнения задачи: при доступном Агенте используется агентный режим, при отсутствии связи — безагентный.

Когда применяется безагентное сканирование

Безагентный подход рекомендуется использовать в ситуациях, когда установка дополнительного программного обеспечения невозможна или нежелательна.

Наиболее распространенные сценарии:

• выполнение аудита активов, на которых запрещена установка стороннего ПО;
• подключение к системам, где требуется проводить периодические проверки без развертывания постоянного агента;
• сканирование сетевых устройств различных типов (коммутаторов, маршрутизаторов, межсетевых экранов и другого оборудования);
• проведение сканирования в режиме «черного ящика».

Как выполняется безагентное сканирование

Несмотря на различия между поддерживаемыми платформами, общий процесс работы остается одинаковым.

1. Проверяется сетевая доступность целевого актива.
2. Выполняется подключение с использованием соответствующего протокола.
3. Производится сбор информации:
   1. для хостов — посредством временно загружаемой утилиты сканирования;
   2. для сетевых устройств — посредством выполнения команд или опроса устройства.
4. Полученные данные передаются в Vulns.io Enterprise VM.
5. Утилита и временные файлы, созданные на активе, удаляются.
6. Сеанс подключения завершается.

Такой механизм позволяет не оставлять на проверяемом устройстве постоянно работающих компонентов после окончания проверки.

Особенности работы на различных платформах

Linux

Для подключения к Linux-хосту необходимы:

• доступность TCP-порта 22;
• работающий SSH-сервер;
• пользователь root либо учетная запись, входящая в группу sudo или wheel.

Одной из особенностей реализации является возможность использования нескольких учетных записей:

• непривилегированной — для авторизации;
• привилегированной — для выполнения операций, требующих прав root через sudo.

Подобная схема позволяет соответствовать внутренним политикам безопасности организаций, где запрещено непосредственное использование учетной записи root.

Windows

Для Windows-систем используется подключение по WinRM или SMB с административной учетной записью. После успешной аутентификации выполняется временный запуск необходимых компонентов для получения информации о системе, после чего результаты передаются в Vulns.io Enterprise VM, а временные данные удаляются.

Сетевые устройства

Безагентное сканирование применяется не только для серверов и рабочих станций, но и для сетевой инфраструктуры.

В зависимости от типа оборудования используется:

• SSH;
• SNMP.

В отличие от серверных операционных систем, для сетевых устройств временная утилита не загружается. Вместо этого система получает необходимые сведения путем выполнения команд либо опроса устройства по поддерживаемому протоколу.

Какие данные собираются

Хосты

Для серверов и рабочих станций безагентный режим собирает тот же набор информации, что и агентный подход.

При аудите собираются:

• сведения об операционной системе;
• список установленного программного обеспечения с версиями;
• список установленных обновлений (для поддерживаемых операционных систем).

На основании полученных данных система анализирует собственную базу данных уязвимостей и формирует результаты проверки, включая:

• список уязвимого программного обеспечения;
• доступные обновления;
• найденные уязвимости;
• отсутствующие обновления безопасности (для поддерживаемых ОС);
• перечень проанализированного программного обеспечения.

Сетевые устройства

Для сетевого оборудования собираются:

• сведения о модели устройства;
• версия операционной системы;
• версия прошивки;
• серийный номер;
• конфигурация сетевых интерфейсов;
• таблицы маршрутизации;
• информация о VLAN;
• сведения об установленном программном обеспечении;
• параметры безопасности

Безагентное сканирование в режиме «черного ящика»

Начиная с версии 1.33.0, Vulns.io Enterprise VM поддерживает отдельную задачу «Сканирование черным ящиком». Она предназначена для проверки активов без авторизации. Сканирование выполняется только по IP-адресу без информации о внутренней структуре актива.

Процесс состоит из двух этапов:

1. Выполняется обнаружение открытых портов и работающих сервисов;
2. Обнаруженное программное обеспечение сопоставляется с базой данных уязвимостей системы, после чего формируется результат сканирования.

В результате пользователь получает:

• список открытых портов;
• обнаруженное программное обеспечение;
• перечень потенциально уязвимого ПО;
• найденные уязвимости;
• сопутствующую информацию (CVSS-метрики, дату сканирования, сведения о просканированных портах и другую служебную информацию).

Такой подход позволяет обнаруживать уязвимости на внешнем периметре инфраструктуры, однако обладает меньшей точностью по сравнению с авторизованным аудитом. Поэтому для получения наиболее полной картины рекомендуется использовать совместно режимы «белого» и «черного» ящика.

Преимущества безагентного подхода

Безагентное сканирование целесообразно использовать в инфраструктурах, где требуется получить результаты аудита без установки постоянного программного обеспечения на активы.

К основным преимуществам относятся:

• отсутствие необходимости устанавливать Агент на проверяемые устройства;
• возможность работы в средах с ограничениями на установку стороннего ПО;
• поддержка серверов, рабочих станций и различных типов сетевых устройств;
• использование нескольких учетных записей для различных сценариев авторизации;
• автоматическое удаление временных файлов после завершения сканирования;
• возможность проведения как авторизованного аудита («белый ящик»), так и неавторизованного анализа («черный ящик») в зависимости от поставленной задачи.