Po uruchomieniu mechanizmów pasywnego discovery organizacje nierzadko odnajdują dodatkowe zasoby — w niektórych przypadkach jest ich o kilka lub kilkanaście procent więcej, niż wynika z oficjalnej ewidencji. Są to między innymi nieuwzględnione drukarki, laptopy podłączone „na chwilę”, urządzenia testowe, prywatne komputery czy sprzęt wykorzystywany przez zewnętrznych wdrożeniowców.
Cała ta grupa wpisuje się w zjawisko shadow IT — zasobów działających w firmowej sieci poza oficjalną wiedzą, kontrolą lub dokumentacją organizacji.
W kontekście NIS2 znajomość zasobów i widoczność aktywności w sieci stanowią podstawę skutecznego zarządzania ryzykiem. Pytanie nie brzmi więc wyłącznie „czy inwentaryzować”, ale również „w jaki sposób robić to możliwie ciągle i bezpiecznie”.
Do dyspozycji są dwa podstawowe modele: aktywny i pasywny.
Table of Contents
Dwa modele: inwentaryzacja aktywna i pasywna
Inwentaryzacja aktywna to klasyczne podejście polegające na cyklicznym skanowaniu sieci. Narzędzie wysyła zapytania do określonych adresów lub urządzeń, sprawdza, które z nich odpowiadają, a następnie buduje na tej podstawie listę zasobów.
Takie podejście jest intuicyjne i może szybko dostarczyć snapshot konkretnej podsieci. Pozwala również aktywnie sprawdzać między innymi dostępność hostów, otwarte porty czy działające usługi.
Inwentaryzacja pasywna działa inaczej. Nie wysyła zapytań do urządzeń, lecz obserwuje bieżący i historyczny ruch sieciowy. Na podstawie danych o rzeczywistej komunikacji buduje listę zasobów widocznych w monitorowanym środowisku.
Jeżeli urządzenie komunikowało się w części sieci objętej monitoringiem, jego aktywność może zostać zapisana w danych historycznych i pozostać widoczna również po jego odłączeniu.
Oba modele dostarczają wartościowych informacji, ale odpowiadają na nieco inne potrzeby. Aktywne skanowanie sprawdza, co jest dostępne w momencie wykonywania testu. Pasywne discovery pozwala natomiast obserwować, co faktycznie komunikowało się w sieci w dłuższym okresie.
W dynamicznych i rozbudowanych środowiskach ta różnica ma duże znaczenie.
Ograniczenie aktywnego skanowania: dodatkowy ruch w sieci
Skanowanie sieci nie jest operacją całkowicie obojętną dla środowiska. Z definicji wymaga wysłania określonej liczby zapytań, na które urządzenia muszą odpowiedzieć.
Wpływ skanu zależy od jego konfiguracji, zakresu, intensywności i liczby jednocześnie sprawdzanych zasobów. Prawidłowo skonfigurowane skanowanie nie musi powodować problemów. Jednak w dużych lub szczególnie wrażliwych środowiskach zbyt agresywny skan może wygenerować znaczną liczbę dodatkowych połączeń w krótkim czasie.
Podczas jednego z ostatnich webinarów o NIS2 ekspert Sycope, Piotr Kałuża, przywołał przykłady z rzeczywistych wdrożeń, w których zespoły przygotowujące dokumentację compliance wykonywały intensywne skany sieci i nieświadomie dodatkowo obciążały urządzenia sieciowe.
W efekcie zespół odpowiedzialny za utrzymanie sieci otrzymywał alerty dotyczące spadków wydajności lub dostępności usług. Z operacyjnego punktu widzenia taki ruch mógł przypominać nietypową, masową aktywność pochodzącą z wnętrza organizacji.
Nie oznacza to, że każdy aktywny skan prowadzi do przeciążenia. Pokazuje jednak, że skanowanie musi być starannie zaplanowane, ograniczone i dostosowane do możliwości środowiska.
Pasywna inwentaryzacja nie generuje aktywnego ruchu kierowanego do hostów. Obserwuje komunikację, która i tak odbywa się w sieci, dzięki czemu nie wymaga odpytywania każdego urządzenia.
Ograniczenie okresowego skanowania: obraz z wybranych momentów
Drugie ograniczenie dotyczy czasu.
Okresowe skanowanie pokazuje, jakie urządzenia były widoczne w chwili przeprowadzania skanu. Jeżeli zasób pojawił się i zniknął pomiędzy kolejnymi skanami, może nie zostać odnotowany.
Piotr przywołuje dwa konkretne przykłady.
Pierwszy to prywatny komputer podłączony podczas nocnej zmiany, na przykład w celu skorzystania z internetu. Rano urządzenia nie ma już w sieci, dlatego zaplanowany na późniejszą godzinę skan go nie wykryje.
Drugi przykład to zewnętrzny wdrożeniowiec, który pojawia się w organizacji, otwiera tunel supportowy, pobiera poprawki i kończy pracę jeszcze przed kolejnym skanowaniem.
W obu sytuacjach urządzenia mogą pozostać niewidoczne dla klasycznej, okresowej inwentaryzacji. Z perspektywy bezpieczeństwa są to jednak właśnie te zasoby, które warto znać. Mogą być nieskonfigurowane zgodnie z polityką organizacji, pozbawione aktualnych zabezpieczeń lub działać poza kontrolą zespołu IT.
Pasywne discovery może takie urządzenia zarejestrować, o ile ich komunikacja przechodzi przez część sieci objętą monitoringiem i trafia do analizowanych danych.
Dzięki wykorzystaniu historii ruchu zasób może pozostać widoczny w inwentaryzacji także wtedy, gdy w momencie analizy nie jest już podłączony.
Zaleta pasywnego discovery: ciągły obraz bez aktywnego odpytywania
Największą zaletą pasywnej inwentaryzacji jest możliwość tworzenia bardziej ciągłego obrazu środowiska bez aktywnego odpytywania urządzeń.
Pozwala ona wykrywać zasoby, które rzeczywiście komunikowały się w monitorowanej części sieci — również wtedy, gdy były podłączone tylko przez krótki czas lub działały pomiędzy kolejnymi skanami.
To dwie różne korzyści.
Pierwsza dotyczy kompletności obrazu w czasie. Analiza danych historycznych zwiększa szansę wykrycia krótkotrwałych, tymczasowych i nieudokumentowanych zasobów.
Druga ma charakter operacyjny. Pasywne discovery nie generuje ruchu skanującego ani nie wymaga wysyłania serii zapytań do każdego hosta.
Nie oznacza to jednak, że pasywna inwentaryzacja jest całkowicie niezależna od architektury środowiska. Jej skuteczność zależy między innymi od zakresu monitoringu, konfiguracji eksportu danych, widoczności poszczególnych segmentów sieci, retencji oraz ewentualnego samplingu ruchu.
Nie wykryje również urządzenia, które pozostaje całkowicie nieaktywne lub którego komunikacja nie przechodzi przez monitorowany punkt.
Dlatego pasywne i aktywne metody mogą się uzupełniać. Pasywna inwentaryzacja dobrze sprawdza się jako mechanizm ciągłej obserwacji, natomiast aktywne skanowanie może dostarczać dodatkowych informacji o dostępności hostów, portach i usługach.
Asset Discovery w Sycope — pasywnie i automatycznie
W Sycope model pasywnej inwentaryzacji jest dostępny w module Asset Discovery, nazywanym również bardziej potocznie Inventory.
System buduje listę zasobów na podstawie obserwowanego ruchu sieciowego. Nie trzeba inicjować każdego kolejnego skanu — obraz środowiska jest aktualizowany wraz z pojawianiem się nowych urządzeń i komunikacji widocznej w danych.
W praktyce jednym z pierwszych kroków po uruchomieniu modułu może być porównanie uzyskanej listy zasobów z dokumentacją organizacji.
Właśnie wtedy pojawiają się „odkrycia”: urządzenia, które realnie działają lub działały w sieci, ale nie znalazły się w oficjalnej ewidencji.
Mogą to być zarówno urządzenia funkcjonujące na stałe, jak i zasoby podłączane jedynie okresowo.
Co to oznacza dla inwentaryzacji środowiska
Skuteczny monitoring i analiza ryzyka mają sens tylko wtedy, gdy obejmują możliwie pełny obraz środowiska, a nie wyłącznie zasoby zapisane w dokumentacji.
Pasywna inwentaryzacja może być więc jednym z podstawowych elementów budowania rzeczywistej widoczności sieci. Pozwala oprzeć analizę nie tylko na deklarowanej liście urządzeń, ale także na danych pokazujących, co faktycznie się komunikowało.
Aktywne skanowanie nadal pozostaje użytecznym narzędziem. Pozwala szybko sprawdzić konkretną podsieć, potwierdzić dostępność urządzeń lub uzyskać informacje o usługach. Jako jedyny mechanizm inwentaryzacji może jednak nie zauważyć zasobów działających pomiędzy kolejnymi skanami i wymaga kontrolowanego generowania dodatkowego ruchu.
Najbardziej praktyczne podejście nie musi więc polegać na całkowitym odrzuceniu aktywnego skanowania. Chodzi raczej o to, by nie opierać całego obrazu środowiska wyłącznie na okresowych snapshotach.
Shadow IT nie jest abstrakcyjnym pojęciem z prezentacji o cyberbezpieczeństwie. To może być laptop podłączony wczoraj w nocy, urządzenie testowe uruchomione na kilka godzin albo komputer zewnętrznego wdrożeniowca.
Okresowy skan może ich nie zauważyć. Historyczny ruch sieciowy może pozostawić po nich ślad.
