Escáneres de vulnerabilidades
Dar a Tenable, a Qualys o a cualquier otro escáner la credencial privilegiada que exige un escaneo autenticado, obtenida de la bóveda en el momento del escaneo en lugar de almacenada dentro del escáne
Un escáner de vulnerabilidades ve muy poco desde fuera de un host. Sin autenticación, sólo puede inferir versiones a partir de lo que la red expone; autenticado, inicia sesión y lee los paquetes instalados, el nivel de parcheo y la configuración real. Esa es la diferencia entre una conjetura plausible y un hallazgo sobre el que se puede actuar, y por eso toda política seria de escaneo pide una credencial privilegiada.
El problema es dónde vive esa credencial. Un escáner configurado de la manera habitual guarda una contraseña de dominio o de root en su propio almacén, copiada de la bóveda, rotada a mano, y legible por quien administre el escáner.
Qué es esto y cuándo usarlo
En lugar de almacenar la contraseña, el escáner la recibe en el momento del escaneo, obtenida de la bóveda por una identidad de aplicación creada aquí.
Lo que eso aporta:
Dónde vive la contraseña
En el escáner y en la bóveda
Sólo en la bóveda
Después de una rotación
El escaneo falla hasta que alguien actualiza el escáner
La siguiente obtención devuelve la contraseña nueva
Quién puede leerla
Cualquiera con derechos administrativos en el escáner
Nadie. El valor nunca se muestra
Evidencia de uso
Los registros del propio escáner
Cada obtención está en el rastro de auditoría, con la aplicación que llamó, la cuenta, la IP de origen y la hora
Cómo llega la credencial al escáner
La solución publica una API y el escáner la llama. No existe un conector de encaje directo para Tenable o Qualys, así que la obtención debe conectarse de una de estas dos formas:
Obtención previa al escaneo
Un script corto se ejecuta antes del escaneo, recupera la credencial y se la entrega al escáner o al proceso que lo lanza
La opción habitual. Funciona con cualquier escáner y cualquier planificador
Extensión de la plataforma
El mecanismo de script o de plugin del propio escáner llama directamente al endpoint
Donde la plataforma lo admita y usted no quiera un paso externo
El script no es trabajo desde cero: la solución sirve un cliente funcional para seis lenguajes en la pestaña SDKs de la aplicación, y la recuperación es una sola llamada. Vea Acceso de aplicación a aplicación para el endpoint y la firma.
Prevea trabajo de integración del lado del escáner. La credencial viene de una API documentada con clientes de referencia, no de una casilla en el escáner. El esfuerzo es pequeño y puntual, pero no es nulo, y pertenece al plan del proyecto.
Antes de empezar
Los activos a escanear ya registrados, cada uno con la cuenta con la que el escaneo se autenticará. Vea Cuentas gestionadas.
La solución alcanzable desde el escáner por HTTPS, con un certificado en el que confíe la máquina que llama.
Las direcciones IP de origen de los motores del escáner. No las de su estación, las de las máquinas que realmente harán las llamadas.
Una decisión de granularidad: una aplicación por escáner, para que cada uno tenga su propio secreto, alcance, grupo de IP y rastro de auditoría. Compartir una aplicación entre varias herramientas destruye la atribución para la que usted montó esto.
Pasos
Cree la aplicación. En Configuración del sistema › A2A, cree una con el nombre del consumidor, por ejemplo
tenable-scanner-prod.Acótela a las cuentas a escanear. Conceda las cuentas de la política de escaneo de ese escáner y nada más. Un escáner que puede obtener toda credencial de la bóveda es un riesgo peor que el que usted eliminó.
Restrinja el grupo de IP a los motores del escáner, como direcciones o rangos CIDR. Permite cualquier dirección de forma predeterminada, lo que anula el sentido de un secreto acotado.
Revele el secreto y colóquelo en el almacén de secretos del propio host del escáner, o en el del planificador que ejecuta la obtención.
Escriba el paso de obtención, partiendo del cliente en su lenguaje, en la pestaña SDKs.
Ejecute la obtención a mano una vez, desde el motor que realizará el escaneo, y confirme que devuelve la credencial.
Sólo entonces programe el escaneo.
Revelar el secreto de nuevo sustituye el anterior. Todo motor que conserve el valor antiguo deja de autenticarse, así que trate la rotación como un cambio, y no como una forma de consultar el valor.
Una aplicación sólo alcanza cuentas de su propia organización. Referirse a un activo de otro inquilino no resuelve nada en el momento del escaneo: la llamada informa que la cuenta no se encontró, y el escaneo cae silenciosamente a resultados no autenticados.
Cómo verificar que funcionó
Un escaneo que termina no es prueba. Un escaneo no autenticado también termina, con muchos menos hallazgos y sin un error que diga por qué.
Compruebe que la API responde. Desde el propio host del escáner:
Una instancia sana devuelve
"status": true. Un fallo aquí es de red, de nombre de host o de certificado, no del secreto.Ejecute el paso de obtención a mano desde el motor que realizará el escaneo, y no desde una estación en otra dirección.
Escanee un activo y lea el rastro de auditoría. Confirme que hay una recuperación de credencial registrada para esa cuenta, desde la IP del escáner, a la hora del escaneo. Un escaneo con resultados y sin registro de recuperación no está usando la bóveda, está usando una credencial todavía almacenada en el escáner.
Compare el recuento de hallazgos con un escaneo no autenticado anterior del mismo host. Los escaneos autenticados reportan bastante más, y la salida de la comprobación declara que la autenticación tuvo éxito. Si las cifras se parecen a las del escaneo antiguo, el inicio de sesión falló y el escáner volvió al modo anterior.
Demuestre que la restricción de IP funciona. Llame desde otra dirección y confirme el rechazo. Una lista de permitidos que nunca probó es una lista en la que no puede confiar.
Demuestre que la rotación es transparente. Rote la contraseña de la cuenta y vuelva a escanear sin tocar el escáner. Debe seguir autenticándose.
Errores comunes
La obtención falla con 401
La firma, el reloj o la dirección de origen
Revise el formato de la fecha y el reloj del host, luego confirme que la dirección del motor está en el grupo de IP
Funciona desde su estación, pero no desde el escáner
Sólo su dirección está en el grupo de IP
Añada las direcciones de los motores del escáner. Para eso está la restricción
404 para un activo que usted ve en la consola
El activo pertenece a otra organización
Una aplicación alcanza únicamente su propia organización
404 para el activo correcto
El nombre no coincide exactamente con el registro
Use el nombre del activo y el de la cuenta exactamente como están registrados
Algunos hosts se autentican y otros no
Esas cuentas están fuera del alcance de la aplicación
Añádalas, o escanéelas con una aplicación aparte
Todo funcionaba y todos los escaneos dejaron de autenticarse
El secreto se reveló de nuevo, lo que lo sustituye
Distribuya el secreto nuevo a todos los motores
El escaneo se autentica pero encuentra casi nada
La cuenta no tiene privilegio suficiente en el objetivo para una comprobación autenticada
Corrija el privilegio de la cuenta en el activo. La bóveda entregó la credencial correctamente
Referencia de campos
Qué decidir para cada escáner, antes de crear nada:
Nombre de la aplicación
Uno por escáner, con el nombre de la herramienta y del entorno, tenable-scanner-prod
Alcance de cuentas
Las cuentas de la política de escaneo de ese escáner, y ninguna otra
Grupo de IP
Todo motor del escáner que vaya a llamar, como direcciones /32 o el rango CIDR de los motores
Cuenta por activo
Una cuenta de escaneo dedicada, con exactamente el privilegio que exigen las comprobaciones, rotada como cualquier credencial gestionada
La revocación es inmediata: desactive la aplicación y el escáner deja de recibir credenciales, sin que nada cambie en el objetivo.
Páginas relacionadas
Acceso de aplicación a aplicación, el endpoint, la firma y los clientes de referencia
API, cómo firmar una solicitud
La bóveda de credenciales, donde vive la credencial de escaneo
Cuentas gestionadas, cómo registrar la cuenta con la que se autentica el escaneo
Rotar credenciales, por qué el escáner nunca necesita actualizarse tras una rotación
Rastro de auditoría, donde queda registrada cada recuperación de credencial
Atualizado
Isto foi útil?