Dopiero wtedy okazuje się, że w środowisku funkcjonują systemy, o których zespoły IT i bezpieczeństwa nie miały wcześniej pełnej wiedzy. Mogą to być urządzenia dostawców, sprzęt używany tymczasowo w projektach, elementy infrastruktury IoT albo systemy uruchomione poza standardowym procesem zarządzania infrastrukturą.
Problem polega na tym, że tradycyjne podejście do identyfikacji hostów w sieci – oparte na aktywnych skanach lub agentach instalowanych na systemach – nie zapewnia pełnej widoczności środowiska. W efekcie część urządzeń pozostaje poza procesami zarządzania IT, monitorowania bezpieczeństwa i kontroli dostępu do sieci.
Dlatego coraz więcej organizacji buduje device detection w sieci w oparciu o pasywną analizę ruchu, która pozwala wykrywać urządzenia w momencie, gdy zaczynają komunikować się w sieci – bez ingerencji w ich działanie oraz bez generowania dodatkowego ruchu w infrastrukturze.
Takie podejście łączy trzy kluczowe obszary funkcjonowania nowoczesnych środowisk IT:
- network visibility, czyli zdolność do obserwowania rzeczywistego ruchu sieciowego
- security operations, czyli wykrywanie i analiza zdarzeń przez zespoły SOC
- governance infrastruktury, czyli proces decyzyjny dotyczący tego, które urządzenia mogą funkcjonować w środowisku organizacji.
Table of Contents
Nieznane urządzenia jako źródło ryzyka w sieci organizacji
Każde urządzenie podłączone do sieci organizacji staje się częścią jej powierzchni ataku. W idealnym scenariuszu zespoły IT posiadają pełną wiedzę o wszystkich hostach działających w środowisku – od serwerów produkcyjnych po stacje robocze użytkowników. W praktyce jednak infrastruktura organizacji często rozwija się szybciej niż procesy zarządzania nią.
Nieznane urządzenia w sieci pojawiają się najczęściej w kilku powtarzalnych scenariuszach:
- sprzęt dostawców podłączony tymczasowo do infrastruktury
- urządzenia wykorzystywane w projektach pilotażowych
- prywatne urządzenia pracowników (BYOD)
- systemy IoT instalowane poza centralnym zarządzaniem
- hosty uruchamiane w ramach shadow IT
Shadow IT oznacza technologie wykorzystywane w organizacji poza formalnym nadzorem działu IT. W kontekście infrastruktury sieciowej często oznacza to właśnie urządzenia podłączone do sieci bez formalnego procesu autoryzacji.
Z punktu widzenia bezpieczeństwa takie hosty mogą stanowić poważne zagrożenie. Najczęściej oznacza to bowiem:
- brak zarządzania aktualizacjami i podatnościami
- brak kontroli nad komunikacją sieciową
- brak monitorowania aktywności urządzenia
- brak przypisanego właściciela w organizacji
Dlatego wykrywanie nieznanych urządzeń w sieci staje się jednym z podstawowych elementów strategii bezpieczeństwa infrastruktury.
Ograniczenia skanów aktywnych i agentów w device detection
Tradycyjne metody identyfikacji urządzeń w sieci opierają się głównie na dwóch podejściach: aktywnym skanowaniu infrastruktury oraz instalacji agentów na hostach.
Aktywne skanowanie sieci polega na wysyłaniu zapytań do adresów IP w celu identyfikacji hostów oraz usług działających w środowisku. Choć metoda ta jest powszechnie stosowana, posiada kilka istotnych ograniczeń. Przede wszystkim skany wykonywane są zazwyczaj okresowo – na przykład raz dziennie lub raz w tygodniu. Oznacza to, że urządzenia pojawiające się w sieci na krótki czas mogą pozostać niewykryte. Dodatkowo skanowanie generuje ruch w sieci, który w niektórych środowiskach – szczególnie produkcyjnych lub przemysłowych – może być ograniczany ze względów operacyjnych.
Drugim podejściem jest device detection z wykorzystaniem agentów instalowanych na systemach operacyjnych. Takie rozwiązania pozwalają dokładnie identyfikować hosty, jednak działają tylko w przypadku systemów zarządzanych centralnie przez organizację.
W praktyce oznacza to, że agentów nie można zainstalować na wielu typach urządzeń, takich jak:
- drukarki sieciowe
- kamery IP
- urządzenia IoT
- sprzęt dostawców
- systemy przemysłowe
W efekcie organizacja posiada pełną widoczność tylko części infrastruktury.
Pasywna detekcja urządzeń i identyfikacja vendorów
Alternatywą dla aktywnego skanowania jest pasywna detekcja urządzeń, oparta na analizie rzeczywistego ruchu sieciowego.
Podejście to polega na monitorowaniu kopii ruchu sieciowego – na przykład z portów SPAN przełączników lub urządzeń typu network TAP – bez ingerowania w komunikację między hostami.
W momencie gdy nowe urządzenie pojawia się w sieci, niemal natychmiast zaczyna generować charakterystyczne zdarzenia komunikacyjne.
Najczęściej wygląda to w praktyce tak:
- urządzenie uzyskuje adres IP z serwera DHCP
- w sieci pojawia się nowy adres MAC
- host zaczyna wykonywać zapytania DNS
- inicjuje pierwsze połączenia do usług sieciowych
Dla systemu analizującego ruch sieciowy oznacza to pojawienie się nowej tożsamości komunikacyjnej w infrastrukturze.
Na tej podstawie możliwe jest zidentyfikowanie:
- adresu MAC urządzenia
- przypisanego adresu IP
- momentu pierwszej aktywności w sieci
- charakteru komunikacji
Istotnym elementem tego procesu jest również vendor detection, czyli identyfikacja producenta sprzętu na podstawie adresu MAC. Pierwsza część adresu MAC – tzw. OUI (Organizationally Unique Identifier) – wskazuje producenta urządzenia. Dzięki temu możliwe jest wstępne określenie typu hosta, np.:
- laptop
- smartfon
- kamera IP
- drukarka sieciowa
- urządzenie IoT
W połączeniu z analizą ruchu sieciowego pozwala to budować realny obraz urządzeń funkcjonujących w sieci organizacji.
Allow list i watch list jako elementy kontroli i zarządzania ryzykiem
Wykrycie nowego urządzenia w sieci nie oznacza automatycznie incydentu bezpieczeństwa. Kluczowym elementem procesu jest klasyfikacja hosta i określenie jego statusu w środowisku IT. W wielu organizacjach stosuje się w tym celu dwa podstawowe mechanizmy: allow list oraz watch list.
Allow list obejmuje urządzenia uznane za autoryzowane elementy infrastruktury. Mogą to być między innymi:
- serwery produkcyjne
- urządzenia sieciowe
- stacje robocze pracowników
- systemy zarządzane centralnie przez IT
Jeżeli host znajduje się na allow list, jego obecność w sieci nie wymaga dodatkowej analizy.
Watch list pełni inną funkcję. Jest to lista urządzeń, które zostały wykryte w sieci, ale wymagają dodatkowej weryfikacji. Mogą się na niej znaleźć na przykład:
- nowe hosty pojawiające się w infrastrukturze
- sprzęt dostawców
- urządzenia testowe
- systemy o nieznanym właścicielu
Takie podejście pozwala zespołom bezpieczeństwa zarządzać ryzykiem w sposób uporządkowany, zamiast reagować dopiero w momencie incydentu.
Automatyczne zakładanie incydentów w Jira dla nieznanych urządzeń
W dużych organizacjach infrastruktura może obejmować tysiące hostów. Manualna analiza każdego nowego urządzenia byłaby w takim środowisku bardzo czasochłonna. Dlatego systemy device detection coraz częściej integrują się z narzędziami zarządzania incydentami, takimi jak Jira.
Gdy system monitorujący ruch wykryje nowe urządzenie, może automatycznie:
- utworzyć ticket incydentu w systemie
- zapisać adres IP i MAC hosta
- wskazać producenta urządzenia
- dołączyć informacje o jego pierwszej aktywności w sieci
Dzięki temu analitycy SOC otrzymują pełny kontekst zdarzenia już na etapie zgłoszenia.
Takie podejście umożliwia również budowanie historii pojawiania się urządzeń w sieci, co jest szczególnie istotne podczas audytów bezpieczeństwa.
Workflow decyzyjny, eskalacje i audytowalność działań
Detekcja urządzeń w sieci powinna być powiązana z jasnym procesem decyzyjnym dotyczącym ich statusu w infrastrukturze.
W praktyce workflow obsługi nieznanego urządzenia może wyglądać następująco:
- system monitorujący ruch wykrywa nowy adres MAC
- host zostaje oznaczony jako nowe urządzenie w sieci
- automatycznie tworzony jest ticket incydentu
- zespół SOC analizuje komunikację hosta
- administratorzy identyfikują właściciela urządzenia
- podejmowana jest decyzja dotycząca jego dalszego statusu
Takie podejście zapewnia pełną audytowalność działań, ponieważ każda decyzja dotycząca urządzenia jest udokumentowana w systemie obsługi incydentów.
Integracje z systemami bezpieczeństwa i infrastrukturą sieciową
Nowoczesne systemy device detection rzadko działają w izolacji. W praktyce stanowią element większego ekosystemu narzędzi bezpieczeństwa.
Najczęściej integrują się z:
- systemami SIEM
- platformami SOAR
- systemami NAC (Network Access Control)
- firewallami i systemami segmentacji sieci
Dzięki takim integracjom możliwe jest nie tylko wykrywanie nowych urządzeń, ale również automatyczna reakcja na ich obecność w sieci.
Blokada nieautoryzowanych urządzeń – automatyczna i zatwierdzana
W niektórych przypadkach wykrycie nieznanego urządzenia może wymagać podjęcia natychmiastowych działań.
Egzekwowanie polityki dostępu do sieci może być realizowane na kilka sposobów:
- poprzez systemy NAC
- poprzez reguły firewalli
- poprzez segmentację sieci
- poprzez dynamiczne listy blokad
W zależności od polityki bezpieczeństwa organizacji blokada może być wykonywana automatycznie lub wymagać zatwierdzenia przez administratora.
Takie podejście pozwala zachować równowagę między bezpieczeństwem infrastruktury a ciągłością działania środowiska IT.
Przejście od reakcji incydentalnej do świadomej kontroli sieci
W wielu organizacjach wykrywanie urządzeń odbywa się dopiero w momencie incydentu lub audytu. Nowoczesne podejście do bezpieczeństwa infrastruktury zakłada jednak ciągłą widoczność środowiska sieciowego.
Dzięki pasywnej analizie ruchu możliwe jest:
- bieżące monitorowanie urządzeń w sieci
- szybkie wykrywanie nowych hostów
- identyfikacja nieautoryzowanego sprzętu
- utrzymanie kontroli nad środowiskiem IT
W rezultacie organizacje przechodzą od reaktywnego modelu bezpieczeństwa do świadomego zarządzania infrastrukturą sieciową, w którym każdy element środowiska jest widoczny i podlega odpowiednim politykom bezpieczeństwa.
