En mi puesto en Tanium, me enfrento con frecuencia a entornos informáticos complejos. La situación de cada cliente es verdaderamente única; sin embargo, una de las cosas más sorprendentes de Tanium es lo bien que se adapta y, de hecho, cómo se desenvuelve con soltura en redes empresariales caóticas. Uno de los aspectos de este tipo de complejidad radica en la diversidad de soluciones de seguridad y gestión existentes que se han implantado.
Aunque, en última instancia, Tanium puede contribuir a reducir el número de soluciones aisladas, muchos productos son parte integral del trabajo de las personas y de los procesos existentes, o simplemente abarcan casos de uso que Tanium no cubre. Incluso al considerar Tanium como una plataforma de seguridad y gestión, los responsables de TI deben seguir preguntándose: «¿Cómo puedo aprovechar al máximo las capacidades de mi sistema actual y, al mismo tiempo, reducir mi plantilla y el coste total de propiedad (TCO)?» Afortunadamente, Tanium no solo es compatible con numerosas soluciones ya existentes, sino que, de hecho, puede complementarlas y potenciarlas.
Una de estas soluciones es el System Center Configuration Manager (SCCM) de Microsoft, que actualmente utilizan varios clientes de Tanium. En Tanium cuento con una perspectiva única tras casi 15 años desempeñando funciones en los ámbitos de operaciones, integración y consultoría utilizando SCCM. Aunque haya quien intente comparar SCCM y Tanium, no se trata de una comparación entre productos equivalentes. Hay aspectos en los que Tanium presenta ventajas que SCCM no ofrece, y viceversa. En el caso de SCCM, las integraciones con Tanium mejoran realmente la experiencia: reducen la superficie de ataque, detectan amenazas en tiempo real y reducen los gastos gracias a un mayor conocimiento de las aplicaciones desconocidas y potencialmente vulnerables.
Cuando los procesos de gestión del cambio no dan la talla
Hoy nos centraremos en los sistemas en los que no existe una comunicación fluida con la dirección. Puede haber muchas razones para ello, pero en este caso me centraré en un problema relacionado con las personas y los procesos. Según mi experiencia, los entornos SCCM suelen presentar entre un 5 % y un 20 % de clientes inexistentes o con fallos; son innumerables las organizaciones cuyos sistemas ya han «desaparecido» tan solo 6 meses o un año después de su implementación inicial. ¿Cuántas veces se ha encontrado resolviendo problemas relacionados con una implementación, un parche o cualquier otra cuestión, solo para descubrir que, debido a un cambio en la red, dispone de una nueva subred que carece de límites en SCCM, pero que cuenta con numerosos clientes? (Esto no pretende en absoluto menospreciar a los ingenieros de redes, pero, dada la naturaleza del sector, la gestión del cambio no siempre se comunica adecuadamente.) Estoy seguro de que le ha pasado a todo administrador de SCCM que lleve el tiempo suficiente al mando. Y para aquellos que aún no lo hayan visto, esperemos que se les haya encendido la bombilla y se pongan manos a la obra para solucionar ese molesto problema de comunicación con los clientes en un lugar concreto. Seguiré aquí cuando vuelva.
Este problema es inevitable, sobre todo a gran escala. Incluso cuando los procesos de gestión del cambio se siguen adecuadamente, el nivel de transparencia empieza a generar confusión debido al ruido, y se pasarán por alto algunos aspectos (especialmente un cambio habitual, como la puesta en marcha de una nueva subred). Independientemente de la causa, esto provoca que se pierdan gran parte de sus clientes de SCCM en un instante. Lamentablemente, SCCM no cuenta con ninguna notificación integrada, por lo que gestionar este riesgo de forma proactiva resulta complicado —prácticamente imposible— y el riesgo inherente de detectarlo durante una implementación a gran escala aumenta exponencialmente.
Aquí es donde entra en juego Tanium. En cuestión de segundos, puede escribir la siguiente pregunta y saber de inmediato qué subredes no están siendo gestionadas correctamente por SCCM:**
Obtenga la subred del cliente Tanium de todos los equipos en los que el número de días transcurridos desde la última comunicación del cliente SCCM sea superior a 1
De este modo, obtendrá de inmediato un recuento de todos los sistemas de cada subred que no se hayan comunicado con SCCM desde hace más de un día. En ese caso, solo se tarda unos minutos en solucionarlo añadiendo los límites y/o grupos de límites adecuados en SCCM y definiendo los sitios y los puntos de distribución. Aunque crea que no tiene este problema, pruébelo y formule la pregunta que figura a continuación en su consola de Tanium. Se sorprenderá de lo que descubra y de lo que pueda solucionar fácilmente.
Si hay un número elevado en una subred determinada, es muy probable que dicha subred no esté definida en SCCM. Por defecto, los clientes de SCCM deben realizar una comprobación de políticas cada 60 minutos, por lo que, si llevan más de un día sin comunicarse, significa que hay algún problema. Dado que Tanium analiza los clientes que están conectados en este momento, los resultados no se ven distorsionados por registros obsoletos procedentes de sistemas que no están conectados. Un sencillo script de PowerShell (que utilice los cmdlets de PowerShell de SCCM 2012 ) podría tomar las subredes detectadas en Tanium y compararlas con las subredes de los grupos de límites de SCCM, con lo que obtendrá los rangos que faltan.
Otro enfoque posible para resolver el mismo problema consistiría en plantear la siguiente pregunta en Tanium para obtener el recuento de todos los clientes de cada subred:
Obtener la subred del cliente de Tanium de todos los equipos
Si el número de puntos finales de una subred indicado en la primera pregunta coincide con el de la segunda pregunta, habrá detectado un límite no gestionado en SCCM, ya que ello significa que no todos los clientes conectados a Internet de dicha subred se están comunicando con SCCM. Una vez más, basta con unos minutos para solucionarlo en la consola de SCCM una vez identificado mediante Tanium.
Añada estas dos preguntas a un panel de control o, incluso, añada una pregunta guardada con una alerta asociada a través de Tanium Connect para que se le notifique en caso de que se detecte un límite de este tipo; de este modo, habrá resuelto rápidamente un importante motivo de preocupación en lo que respecta a la cobertura de los clientes de SCCM.
¿Por qué es esto importante? Dado que SCCM es una herramienta habitual que utilizan las organizaciones para la distribución de software y actualizaciones. Si pierde unos cientos o unos miles de terminales, dichos activos no se incluirán en el inventario ni se gestionarán. El resultado es que los activos quedan sin parches y se reciben llamadas al servicio técnico por la falta de instalaciones de software solicitadas, lo que genera horas de trabajo a pesar de que la causa principal sea tan sencilla. Los delincuentes no van a esperar a que usted se dé cuenta de las brechas de seguridad en su entorno, así que, ¿por qué debería hacerlo usted? Al poner en práctica este sencillo caso de uso, reducirá el riesgo y las horas de trabajo, y contribuirá a mantener una mejor experiencia de usuario, todo ello sin tener que sacar el casco de bombero del cajón hasta dentro de un tiempo.
Acerca del autor: Greg Thomas aporta una amplia experiencia a su cargo como director de Gestión Técnica de Cuentas en Tanium, que incluye la creación de scripts, la automatización de procesos y el diseño, la administración y el mantenimiento de Active Directory y SCCM. Antes de incorporarse a Tanium, Greg se encargaba del diseño, la implementación y el soporte de soluciones técnicas en los sectores público y privado en calidad de ingeniero consultor.
