Сетевые устройства

Введение

Современная корпоративная сеть включает не только серверы, рабочие станции и виртуальную инфраструктуру, но и большое количество сетевых устройств: маршрутизаторов, коммутаторов, межсетевых экранов, VPN-шлюзов, контроллеров беспроводных сетей и гипервизоров. Именно они обеспечивают связность инфраструктуры, сегментацию сети, управление трафиком и реализацию политик безопасности. Компрометация или эксплуатация уязвимостей в таких устройствах может привести к нарушению работы критически важных сервисов, получению несанкционированного доступа к сети или обходу механизмов защиты.

Поэтому аудит сетевого оборудования является неотъемлемой частью процесса управления уязвимостями. Помимо своевременного выявления известных уязвимостей, организациям необходимо поддерживать актуальную информацию о составе оборудования, версиях операционных систем и прошивок, конфигурации интерфейсов и других параметрах инфраструктуры.

Vulns.io Enterprise VM предназначен для централизованного управления уязвимостями и инвентаризации ИТ-активов. Система поддерживает как агентный, так и безагентный подход к сбору информации, а также сетевое сканирование в режиме Discovery и аудит устройств по различным протоколам доступа.

Начиная с версии 1.33.0, возможности платформы были расширены за счет появления нового типа актива «Сетевой узел», а также поддержки сканирования в режиме «черного ящика» через модуль Сенсор, что позволяет выявлять потенциально уязвимые устройства даже без наличия учетных данных.

Поддержка сетевых устройств

В Vulns.io Enterprise VM сетевые устройства рассматриваются как отдельная категория активов, для которой доступны процедуры инвентаризации и анализа безопасности.

Система поддерживает несколько сценариев работы:

• обнаружение устройств в сети (Discovery);
• инвентаризацию оборудования;
• аудит уязвимостей;
• выявление установленного программного обеспечения и версий прошивок;
• централизованное хранение результатов аудита.

В отличие от серверов и рабочих станций, сетевые устройства обычно не допускают установки программных агентов. По этой причине их аудит выполняется преимущественно безагентным способом, используя штатные механизмы управления оборудованием.

Получение информации выполняется посредством:

• SSH;
• SNMP;
• специализированных команд операционной системы устройства;
• чтения системных параметров и OID (при использовании SNMP).

Полученные сведения используются системой для сопоставления с собственной БДУ и формирования результатов анализа.

Поддерживаемые типы оборудования

Vulns.io Enterprise VM поддерживает аудит различных категорий сетевого оборудования.

Поддерживаются устройства различных производителей:

У Huawei аудит уязвимостей ограничен сериями AR и NE для маршрутизаторов и CE для коммутаторов — на остальном оборудовании этого вендора доступна только инвентаризация.

Список вендоров расширяется от релиза к релизу, так что в актуальной версии продукта он, скорее всего, уже длиннее, чем в этой таблице — сверяйтесь с документацией.

Конкретные возможности зависят от производителя устройства и используемого способа подключения.

Для части оборудования доступны:

• только инвентаризация;
• инвентаризация и аудит;
• сбор информации через SSH;
• сбор информации через SNMP;

Именно поэтому перед началом внедрения рекомендуется свериться с актуальной таблицей совместимости из документации.

Методы подключения

Подключение по SSH

Основным способом взаимодействия Vulns.io Enterprise VM с сетевыми устройствами является подключение по SSH.

После успешной аутентификации система выполняет набор диагностических команд, предусмотренных для конкретной платформы.

В процессе работы могут извлекаться:

• сведения о модели устройства;
• версия операционной системы;
• версия прошивки;
• серийный номер;
• конфигурация сетевых интерфейсов;
• таблицы маршрутизации;
• информация о VLAN;
• сведения об установленном программном обеспечении;
• параметры безопасности.

Для подключения требуется:

• доступность TCP-порта 22;
• учетная запись с достаточными правами;
• возможность выполнения диагностических команд.

Уровень необходимых привилегий определяется особенностями конкретной операционной системы сетевого устройства.

Подключение по SNMP

Для ряда устройств поддерживается взаимодействие по протоколу SNMP.

В зависимости от модели оборудования могут использоваться:

• SNMP v1;
• SNMP v2c;
• SNMP v3.

При использовании SNMP система получает сведения посредством обращения к соответствующим OID, что позволяет проводить инвентаризацию без выполнения команд на устройстве.

Для работы необходимы:

• UDP-порт 161;
• включенная служба SNMP;
• корректные учетные данные.

Для SNMP v1/v2c используется community string (например, public), а для SNMP v3 — имя пользователя и параметры аутентификации, определенные на устройстве.

Следует учитывать, что возможности аудита через SNMP ограничиваются набором данных, который предоставляет конкретное оборудование.

Практические рекомендации

При выборе способа подключения рекомендуется учитывать следующие особенности.

В большинстве случаев для полноценного аудита рекомендуется использовать SSH, а SNMP применять как дополнительный источник данных либо в случаях, когда использование SSH невозможно.

Процесс инвентаризации сетевых устройств

Инвентаризация является первым этапом управления сетевой инфраструктурой. Ее задача — автоматически собрать сведения об устройстве, необходимые для дальнейшего анализа безопасности, контроля изменений и формирования актуальной базы активов.

Vulns.io Enterprise VM выполняет сбор информации непосредственно с устройства, используя поддерживаемый протокол подключения (SSH или SNMP). Полученные данные сохраняются в карточке актива и используются последующими механизмами анализа.

В процессе инвентаризации система может получать следующие сведения:

• модель устройства;
• производитель;
• версия операционной системы или прошивки;
• серийный номер;
• аппаратная платформа;
• сведения о сетевых интерфейсах;
• IP-адреса;
• таблицы маршрутизации;
• сведения о VLAN;
• информацию об аппаратных компонентах.

Способ получения данных зависит от выбранного метода подключения:

• при использовании SSH информация извлекается посредством выполнения диагностических команд операционной системы устройства;
• при использовании SNMP система обращается к соответствующим OID, опубликованным устройством.

Такой подход позволяет использовать штатные механизмы администрирования оборудования без установки дополнительного программного обеспечения.

Что дает инвентаризация

Полученные сведения используются не только для формирования перечня активов, но и для решения других задач:

• контроля изменений оборудования;
• идентификации неизвестных устройств;
• подготовки данных для аудита уязвимостей;
• формирования отчетности.

При повторных сканированиях система обновляет сведения об устройстве, что позволяет отслеживать изменения прошивок, конфигурации и других характеристик инфраструктуры.

Аудит уязвимостей сетевых устройств

После завершения инвентаризации Vulns.io Enterprise VM выполняет анализ собранной информации.

Аудит основан на сопоставлении характеристик устройства с БДУ об известных уязвимостях.азой знан

При анализе учитываются различные параметры оборудования, включая:

• версии операционной системы;
• версии прошивки;
• версии отдельных программных компонентов;
• активные сервисы;
• параметры конфигурации, влияющие на безопасность.

На основании полученных данных система определяет, присутствуют ли известные уязвимости, относящиеся к конкретной версии программного обеспечения.

Результатом проверки являются:

• перечень обнаруженных уязвимостей;
• список уязвимого программного обеспечения;
• идентификаторы уязвимостей;
• сведения о времени проведения проверки;
• дополнительная техническая информация, необходимая для анализа результатов.

Полученные данные используются для формирования отчетов, оценки уровня защищенности инфраструктуры и планирования работ по устранению выявленных рисков.

Следует учитывать, что полнота результатов напрямую зависит от объема информации, которую удалось получить во время инвентаризации. Поэтому наиболее полный аудит обычно достигается при использовании подключения по SSH.

Новый тип актива «Сетевой узел»

В версии 1.33.0 Vulns.io Enterprise VM появился новый тип актива — «Сетевой узел».

Ранее работа системы была ориентирована преимущественно на управляемые активы, для которых возможно получение сведений по учетным данным или через установленный агент.

Новый тип актива предназначен для работы с устройствами, о которых известно только их сетевое расположение.

Сетевой узел - это устройство в инфраструктуре, о котором известен только IP-адрес. Данный тип может быть просканирован только в режиме «черного ящика».

Использование данного типа актива позволяет начать анализ инфраструктуры еще до получения административного доступа к оборудованию.

При необходимости обнаруженный сетевой узел впоследствии может быть преобразован в полноценный управляемый актив после добавления необходимых учетных данных.

Сканирование в режиме «черного ящика»

Еще одной важной возможностью, появившейся в версии 1.33.0, стала поддержка сканирования в режиме «черного ящика» через модуль Сенсор.

Данный режим не требует административного доступа к устройству. Во время проверки анализируется исключительно информация, доступная извне.

Система определяет:

• доступные сетевые сервисы;
• открытые порты;
• признаки используемого программного обеспечения;
• сведения, позволяющие идентифицировать устройство;
• потенциальные уязвимости, определяемые по сетевым признакам.

Такой подход особенно полезен:

• при первоначальном обследовании инфраструктуры;
• при анализе неизвестных сегментов сети;
• при проверке внешнего периметра;
• при проведении регулярного сетевого мониторинга.

Следует учитывать, что режим «черного ящика» не заменяет полноценный аудит с использованием учетных данных. Он предоставляет значительно меньший объем информации, однако позволяет оценить состояние безопасности даже тех устройств, к которым отсутствует административный доступ.

Практические рекомендации по выбору метода проверки

Возможности различных режимов анализа существенно отличаются.

Практика показывает, что наиболее эффективный процесс управления уязвимостями строится как последовательность нескольких этапов:

1. Discovery — обнаружение новых устройств.
2. Сканирование в режиме «черного ящика» — предварительная оценка состояния безопасности.
3. Добавление учетных данных для управляемых устройств.
4. Полная инвентаризация и аудит по SSH или SNMP.
5. Регулярный повторный аудит для контроля изменений инфраструктуры.

Такой сценарий позволяет постепенно повышать полноту информации об инфраструктуре без необходимости первоначального предоставления административного доступа ко всем устройствам.

Заключение

Преимущества поддержки сетевых устройств в Vulns.io Enterprise VM:

• единый инструмент управления большим количеством сетевого оборудования;
• автоматизация инвентаризации;
• своевременное выявление уязвимостей;
• повышение прозрачности и управляемости сети.

Благодаря централизованному сбору данных система позволяет оперативно выявлять риски, поддерживать актуальную конфигурационную базу и упрощать работу специалистов по безопасности.

Использование безагентного взаимодействия по SSH и SNMP обеспечивает сбор технической информации без установки дополнительного программного обеспечения на устройства, а механизмы анализа сопоставляют полученные сведения с актуальной БДУ об известных уязвимостях.

Развитие функциональности в версии 1.33.0, включая появление типа актива «Сетевой узел» и поддержку сканирования в режиме «черного ящика» через модуль Сенсор, расширяет возможности обследования инфраструктуры. Теперь система позволяет выявлять потенциально уязвимые устройства еще до получения административного доступа, что делает процесс инвентаризации и оценки защищенности более последовательным и удобным для крупных корпоративных сетей.