Je kunt alleen beveiligen wat je kent. In de praktijk staan er in bijna elk bedrijfsnetwerk apparaten die in geen enkele inventarisatie voorkomen: een switch uit een oude verbouwing, een netwerkprinter op de tweede verdieping, een testserver die iemand ooit voor een project heeft neergezet. Met network discovery laat je NetCaptain zelf kijken wat er hangt.
Een range opgeven
Ga naar “Systems” en klik links op “Discover systems”. In het bovenste veld vul je het bereik in dat je wilt afzoeken. Wil je je 10.0.0.x-range doorlopen, dan schrijf je 10.0.0.0/24 of 10.0.0.1-255. Beide notaties leveren dezelfde 255 hosts op.
Begin klein als je NetCaptain net in gebruik neemt. Een enkel VLAN geeft je een resultaat waar je nog doorheen kunt kijken, en je merkt meteen of de scanner overal bij kan.
Het discovery profiel
Onder het IP-veld kies je een discovery profiel. Dat profiel bepaalt hoe NetCaptain zoekt: over TCP, over UDP of allebei, synchroon of asynchroon, en of er eerst een ping wordt gestuurd. Er staan er zeven klaar, met een slotje beveiligd zodat je ze niet per ongeluk aanpast. Je vindt ze ook terug onder “Settings”, tegel “Discovery Profiles”.
Achter elke naam staan gekleurde labels. Die vertellen je in een oogopslag wat het profiel doet.
- TCP en UDP geven aan welke poorten worden aangesproken. TCP dekt het meeste af, UDP vindt diensten die alleen over UDP praten, zoals DNS en SNMP.
- PING betekent dat het profiel eerst controleert of een host antwoordt voordat de poorten worden nagelopen.
- SYNC werkt de adressen na elkaar af, ASYNC doet er meerdere tegelijk.
Alle standaardprofielen kijken naar de 250 meest gebruikte poorten. Dat is de verhouding waar het in de praktijk om draait: je vindt vrijwel alles wat er draait, zonder dat een scan van een heel netwerk een halve dag kost.
Welk profiel kies je
Voor een eerste verkenning van een netwerk dat je nog niet kent, is “Top-250 TCP/UDP” een veilige keuze. Er wordt niet eerst gepingd, dus systemen die ICMP blokkeren komen gewoon in beeld. Een ping scan is een stuk sneller, want alles wat niet op de ping reageert wordt overgeslagen. Dat is ook meteen het risico: blokkeert je firewall of je endpointbescherming ICMP-verkeer, dan bestaan die systemen voor de discovery niet.
Het asynchrone profiel is de snelste van het stel en de zwaarste voor je netwerk. Op een groot, rustig netwerk kun je daar prima mee werken. Draaien er gevoelige apparaten, denk aan oudere machines in een productieomgeving, houd het dan bij een synchroon profiel. Past geen van de zeven bij je situatie, dan maak je er zelf een met “Add discovery profile”.
Starten en resultaten bekijken
Klik op “START NETWORK DISCOVERY” en de scan komt in de wachtrij. Je hoeft niet te wachten tot hij klaar is; het resultaat vind je terug bij Security scans, in hetzelfde overzicht als je gewone scans.
Wat er gevonden wordt, komt als systeem in je overzicht te staan. Loop die lijst daarna even na: geef de systemen een herkenbare naam, zet de significance goed en hang ze in het juiste netwerk. Dan levert de volgende scan meteen een CyberRisk op die ergens over gaat.
Discovery herhalen
Een netwerk verandert. Er komen werkplekken bij, er wordt een access point vervangen, een leverancier hangt iets in het rack. Plan discovery daarom periodiek in als automation job, zodat nieuwe apparatuur vanzelf in beeld komt. Hoe je dat instelt, staat in Taken automatiseren.
Lees verder
Systemen die je handmatig wilt invoeren, voeg je toe volgens Systemen toevoegen en beheren. Termen als discovery en credentialed scan staan uitgelegd in de begrippenlijst.
