Il est essentiel, tant pour la sécurité que pour l'exploitation, de savoir ce qui se trouve sur votre réseau, mais la plupart des organisations ne se rendent compte à quel point cette vision est incomplète qu'une fois qu'un incident s'est produit. Tanium Discover est conçu pour combler cette lacune grâce à une découverte des interfaces via le réseau dans l'ensemble de votre environnement, offrant ainsi aux équipes informatiques et de sécurité une visibilité sur les appareils sur lesquels un client Tanium n'a peut-être jamais été installé.
Cette distinction est importante : Discover détecte les interfaces réseau, et pas seulement les points d'extrémité ; ainsi, un même ordinateur portable équipé à la fois d'une carte réseau filaire et d'une carte réseau sans fil apparaîtra comme deux interfaces distinctes. C'est en comprenant cette distinction et en sachant comment exploiter les résultats fournis par Discover que l'on fait la différence entre des données brutes et des informations exploitables.
Fort d’une expérience d’ingénieur réseau, Nash occupe aujourd’hui le poste d’ingénieur-conseil senior spécialisé au sein de l’équipe « Secteur public américain » d’ Tanium, et cette expertise pratique en matière de réseaux influence sa manière d’aborder la configuration de Discover, la stratégie d’analyse et l’interprétation des données.
Dans cet épisode, ils passent en revue les quatre niveaux d'analyse disponibles dans Discover : depuis une consultation passive du cache ARP, conçue pour ne générer aucun trafic réseau supplémentaire, jusqu'à une analyse complète des ports basée sur Nmap, et expliquent les compromis entre la richesse des données et l'impact sur le réseau à chaque niveau. Ils abordent également la nouvelle page dédiée aux interfaces réseau, qui permet une gestion centralisée des sous-réseaux, la fonctionnalité « satellite » qui prend désormais en charge l'analyse d'une plage de réseau complète allant jusqu'à /16 , ainsi que le système d'étiquetage qui transforme les données brutes des interfaces en catégories structurées et exploitables.
Que votre organisation mette en place Discover pour la première fois, qu'elle réexamine un déploiement qui n'a pas été mis à jour depuis un an ou deux, ou qu'elle cherche à comprendre pourquoi son environnement cloud renvoie des interfaces en double, cet épisode aborde précisément les scénarios et la marche à suivre dont vous avez besoin.
M. Nash cite également des exemples concrets (notamment des webcams non sécurisées dont les identifiants par défaut n'ont pas été modifiés et une console de jeux non autorisée dans un centre de données) qui illustrent pourquoi il est essentiel de disposer d'un processus de détection cohérent et bien configuré. Regardez l'épisode dans son intégralité ci-dessous.
Points clés
- Des interfaces, pas des terminaux : Tanium Discover effectue une découverte des interfaces de votre environnement via le réseau ; or, une interface et un terminal ne sont pas la même chose, car un terminal donné peut disposer de plusieurs interfaces réseau, comme c'est le cas d'un ordinateur portable équipé à la fois d'une carte réseau filaire et d'une carte réseau sans fil.
- Les environnements cloud nécessitent plutôt Asset : Discover utilise l'adresse MAC comme clé primaire, ce qui pose des problèmes dans les environnements cloud tels qu'Azure, où les réseaux définis par logiciel font que toutes les interfaces partagent la même adresse MAC ; vous risquez donc de ne voir qu'une seule interface au lieu d'un inventaire complet. Utilisez plutôt Asset pour l'inventaire des ressources cloud.
«Tanium Discover est conçu pour effectuer la découverte des interfaces de votre environnement via le réseau. »Nash King, ingénieur-conseil senior chez Tanium
- Quatre niveaux de lecture, d'une richesse croissante : Discover propose quatre niveaux de lecture pour le cours IPv4. Le niveau 1 s'appuie sur le cache ARP et est conçu pour ne générer aucun trafic de scan supplémentaire ; le niveau 2 utilise le ping et l'identification par empreinte basée sur les paquets ICMP ; le niveau 3 correspond à un scan ARP actif ; et le niveau 4 utilise Nmap pour effectuer un scan des ports et la détection du système d'exploitation, bien que Nmap ait besoin à la fois d'un port ouvert et d'un port fermé pour identifier un système d'exploitation.
- Analyses distribuées et satellites : Les analyses distribuées sont effectuées par les terminaux gérés par Tanium qui analysent les lacunes au sein de leur propre sous-réseau, ce qui permet de réaliser rapidement des analyses dans l'ensemble de l'environnement. Pour les sous-réseaux ne comportant aucun terminal géré, il est possible de désigner un satellite afin de détecter ces réseaux ; les satellites peuvent désormais analyser une plage complète de /16 , contre une limite précédente de 4 096 adresses IP.
- Page centralisée des interfaces réseau : Une nouvelle page dédiée aux interfaces réseau vous permet de définir des sous-réseaux une seule fois, puis de les référencer dans plusieurs profils d'analyse afin de les inclure ou de les exclure, remplaçant ainsi l'ancien processus dans lequel le même réseau devait être saisi séparément dans chaque profil individuel. Les exclusions ont la priorité : si un sous-réseau figure à la fois dans la liste des inclusions et dans celle des exclusions, il ne sera pas analysé.
- Les étiquettes transforment les données en décisions : Les étiquettes sont des marqueurs pouvant être appliqués manuellement ou automatiquement à l’aide de règles ; elles constituent le mécanisme permettant de classer les interfaces en trois états : géré (client Tanium présent et transmettant des informations), non géré (aucun client Tanium détecté) et non gérable (décision que vous prenez à l’aide d’une étiquette). Une galerie d'étiquettes, accessible depuis la page d'aperçu « Découvrir », propose un ensemble de fichiers JSON téléchargeables contenant des étiquettes prédéfinies pour les nouveaux déploiements, notamment des étiquettes qui identifient automatiquement les types d'appareils traditionnellement difficiles à gérer, tels que les imprimantes et les scanners Zebra.
- Modèles de sécurité et d'exploitation : Discover permet de détecter des points d'accès non autorisés, des appareils grand public non autorisés dans des sous-réseaux sensibles, des webcams dont les identifiants sont ceux par défaut, ainsi que des ports ouverts, tels que le port 23 , pouvant indiquer une vulnérabilité Telnet. Le fait d'effectuer simultanément un scan ARP de niveau 1 et un scan ping de niveau 2 améliore la couverture de détection, car les personnes mal intentionnées peuvent désactiver le protocole ICMP sur les appareils qu'elles connectent au réseau.
«Une fois que vous commencez à examiner les résultats fournis par Discover, vous pouvez identifier des tendances intéressantes dans votre environnement qui pourraient vous aider à rationaliser vos opérations. »Nash King, ingénieur-conseil senior chez Tanium
- Séquence d'installation recommandée : Lors du premier déploiement de Discover, une analyse de niveau 2 est configurée par défaut et commencera à renvoyer des données d'interface à mesure que les terminaux seront intégrés. À partir de là, la procédure recommandée consiste à créer des profils d'analyse supplémentaires selon vos besoins, à définir des exclusions réseau pour les sous-réseaux sensibles, à importer la collection d'étiquettes prédéfinies depuis la galerie d'étiquettes, puis à configurer les emplacements à l'aide d'un fichier CSV afin de définir les autorisations de visibilité des groupes d'utilisateurs en fonction des affectations de sous-réseaux.
Ressources complémentaires
- Présentation du produit Tanium Discover — Détection des appareils non gérés via le réseau : Découvrez comment Tanium Discover offre une visibilité en temps réel sur les interfaces de l'ensemble de votre réseau, y compris les appareils non gérés et ceux qui ne peuvent pas l'être.
- L'inventaire des actifs : fondement de la visibilité informatique et de la gestion des appareils : un article expliquant pourquoi un inventaire complet des actifs est essentiel pour les équipes de sécurité et d'exploitation, et comment les approches d'inventaire basées sur le réseau permettent une meilleure gestion des appareils.
- Documentation Tanium Discover — Présentation du module et conseils de configuration initiale : la documentation officielle de Tanium consacrée à Discover, qui traite des profils d'analyse, des états de l'interface et des étapes de configuration.
- Documentation Tanium Discover — Configuration des profils d'analyse et des méthodes de découverte : Conseils détaillés sur la création et la gestion des profils d'analyse distribués, la configuration des satellites et le choix des niveaux d'analyse pour les découvertes de type IPv4 et IPv6 .
