Модуль Сенсор

Введение

В крупных IT-инфраструктурах сеть, как правило, разделена на изолированные сегменты и зоны безопасности. Это создаёт типичную проблему для систем управления уязвимостями: центральный сервер продукта не всегда имеет прямой сетевой доступ ко всем активам, которые необходимо контролировать.

Модуль Сенсор решает эту задачу. Это вспомогательный компонент Vulns.io Enterprise VM, позволяющий выполнять работу системы в сетях, где отсутствует прямой доступ с сервера продукта к активам. Сенсор создаёт промежуточный канал связи и передаёт результаты сканирования и аудита в центральную систему.

Что такое Сенсор и зачем он нужен

Сенсор — это промежуточное звено между активами в недоступном напрямую сегменте сети и центральным сервером Системы. Он устанавливается внутри целевого сегмента, самостоятельно взаимодействует с активами в пределах своей зоны доступа и передаёт собранные данные на центральный сервер для анализа.

Основные цели использования Сенсора:

• Работа в закрытых или сегментированных сетях — контроль активов там, где сервер не имеет прямого доступа.

• Проксирование взаимодействия между активами и сервером.

• Возможность сканирования активов, недоступных напрямую с центрального сервера.

Важная архитектурная особенность: связь с основной системой устанавливается исходящим соединением от Сенсора. Это упрощает настройку межсетевых экранов — не требуется открывать входящие подключения к изолированному сегменту извне.

Как работает Сенсор: процесс

Работа модуля построена по принципу распределённого сбора данных и централизованного анализа:

1. Установка и подключение. Сенсор устанавливается в нужном сегменте сети и связывается исходящим соединением с основной системой или же реализуется каскадное подключение сенсоров.

2. Назначение задач. Система назначает Сенсору активы, которые необходимо обработать.

3. Взаимодействие с активами. Сенсор выполняет взаимодействие с активами (получение данных) в пределах своей зоны доступа.

4. Передача данных. Собранные данные передаются на центральный сервер.

5. Анализ на сервере. На центральном сервере выполняется:

   • оценка уязвимостей,

   • формирование инвентаризации,

   • контроль изменений и др.

Ключевой принцип: Сенсор занимается только сбором и передачей данных, а сам анализ выполняется Системой. Благодаря этому Сенсор не использует значительные ресурсы активов.

Поддерживаемые режимы и методы сканирования

Сенсор поддерживает те же подходы к сканированию, что и Система в целом:

Для справки, применительно к терминологии Vulns.io Enterprise VM:

• Агент — программа, устанавливаемая на Актив, для обеспечения его сканирования в агентном режиме.
• Актив — компьютер, сервер, виртуальная машина, гипервизор, docker-образ или сетевое устройство, мониторинг которого ведётся с помощью Системы.

Таким образом, при работе в режиме белого ящика через Сенсор можно применять как агентный, так и безагентный подход, а при необходимости — использовать режим чёрного ящика.

Функции, поддерживаемые Сенсором

Сенсор обеспечивает:

• передачу данных для аудита уязвимостей;
• передачу данных для инвентаризации;
• поддержку обновлений данных без присутствия сервера в сегменте;
• обеспечение стабильного канала связи в изолированных сетях.

Интерфейс модуля: карточка Сенсора

Управление Сенсором осуществляется через его карточку в интерфейсе Системы. Структура карточки («деталки») включает:

• Информацию о сенсоре — доменное имя, IP-адрес, ID сенсора и другие атрибуты;
• Список подключённых активов — активы, назначенные данному Сенсору;
• Список подключённых сенсоров — обзор всех Сенсоров;
• Историю задач — журнал выполненных операций;
• Логи — сведения для диагностики и контроля работы.

Эти сведения дают администратору полное представление о том, какие активы обслуживает каждый Сенсор и в каком состоянии находится его работа.

Практические сценарии и рекомендации

Когда стоит использовать Сенсор

Сенсор целесообразно применять, если ваша инфраструктура обладает хотя бы одним из следующих признаков:

• сеть разделена на несколько зон безопасности с ограниченным взаимодействием;
• существуют изолированные сегменты, к которым центральный сервер не имеет прямого сетевого доступа;
• политики безопасности запрещают входящие подключения в защищённые сегменты, но допускают исходящие.

Так, например, в крупной инфраструктуре с несколькими зонами безопасности Сенсор позволяет безопасно и автономно собирать данные из сегментов, где сервер не имеет прямого доступа, обеспечивая полный охват инфраструктуры.

Ключевые преимущества

• Позволяет использовать Систему в закрытых и изолированных сегментах сети;
• Обеспечивает безопасный и контролируемый канал передачи данных;
• Снижает необходимость вручную организовывать сетевые подключения между сегментами;
• Минимальная нагрузка на активы, так как анализ выполняется на стороне Системы.
• Модуль Сенсор не лицензируется (можно установить необходимое количество), а также уже входит в стоимость продукта и не требует дополнительных затрат.

Что важно учитывать (ограничения)

• Сенсор не выполняет анализ самостоятельно — оценка уязвимостей, инвентаризация и контроль изменений происходят на центральном сервере. Следовательно, необходим стабильный канал передачи данных от Сенсора к серверу.
• Сенсор работает в пределах своей зоны доступа — для полного охвата инфраструктуры может потребоваться развернуть несколько Сенсоров в разных сегментах.
• Требуется возможность установить исходящее соединение от Сенсора к основной системе.

Заключение

Модуль Сенсор расширяет применимость Vulns.io Enterprise VM на инфраструктуры со сложной сетевой сегментацией. Он выступает в роли распределённого сборщика данных: устанавливается внутри изолированного сегмента, взаимодействует с активами в своей зоне доступа и передаёт результаты на центральный сервер для анализа, при этом связь инициируется исходящим соединением.

Такой подход позволяет добиться полного охвата инфраструктуры без ослабления политик сетевой безопасности и без ручной организации сложных сетевых маршрутов между зонами. Для служб ИБ и сетевых администраторов это означает возможность контролировать уязвимости во всех сегментах сети, включая закрытые и изолированные, при минимальной нагрузке на сами активы.