Saber qué hay en su red es fundamental tanto para la seguridad como para las operaciones, pero la mayoría de las organizaciones no se dan cuenta de lo incompleta que es esa visión hasta que surge algún problema. Tanium Discover está diseñado para subsanar esa carencia mediante la detección, basada en la red, de interfaces en todo su entorno, lo que proporciona a los equipos de TI y de seguridad visibilidad sobre los dispositivos en los que quizá nunca se haya instalado un cliente de Tanium.
Esta distinción es importante: Discover detecta interfaces de red, no solo puntos finales, lo que significa que un único ordenador portátil que cuente tanto con una tarjeta de red por cable como con una inalámbrica aparecerá como dos interfaces distintas. Comprender esa distinción y saber cómo actuar en función de lo que descubre Discover es lo que distingue los datos brutos de la información útil.
Nash aporta su experiencia como ingeniero de redes a su cargo como ingeniero consultor sénior especializado en el sector público de EE. UU. de Tanium ( ), dentro de la práctica de Tanium dedicada al sector público de EE. UU. (), y esa experiencia práctica en redes determina su enfoque a la hora de abordar la configuración de Discover, la estrategia de análisis y la interpretación de datos.
En este episodio, se repasan los cuatro niveles de análisis disponibles en Discover: desde una consulta pasiva de la caché ARP, diseñada para no generar tráfico de red adicional, hasta un análisis completo de puertos basado en Nmap, y se explican las ventajas e inconvenientes entre la riqueza de datos y el impacto en la red en cada nivel. Asimismo, abordan la nueva página de interfaces de red para la gestión centralizada de subredes, la funcionalidad de satélite que ahora permite escanear hasta un rango completo de red /16 , y el sistema de etiquetas que transforma los datos brutos de las interfaces en categorías organizadas y útiles.
Si su organización está implementando Discover por primera vez, revisando una implementación que no se ha actualizado desde hace uno o dos años, o tratando de averiguar por qué su entorno en la nube muestra interfaces duplicadas, este episodio aborda precisamente los escenarios y los pasos que necesita seguir.
Nash también comparte ejemplos reales (entre ellos, cámaras web desprotegidas con credenciales predeterminadas y una consola de videojuegos no autorizada en un centro de datos) que ilustran por qué es importante llevar a cabo un proceso de detección coherente y bien configurado. Vea el episodio completo a continuación.
Conclusiones clave
- Interfaces, no puntos finales: Tanium Discover realiza un análisis basado en la red de las interfaces de su entorno, y una interfaz y un punto final no son lo mismo, ya que un punto final determinado puede tener varias interfaces de red, como por ejemplo un ordenador portátil que cuente tanto con una tarjeta de red por cable como con una inalámbrica.
- Los entornos en la nube necesitan, en cambio, Asset: Discover utiliza la dirección MAC como clave principal, lo que plantea problemas en entornos en la nube como Azure, donde las redes definidas por software hacen que todas las interfaces compartan la misma dirección MAC, lo que implica que es posible que solo vea una interfaz en lugar de un inventario completo. Utilice Asset para el inventario en la nube.
«. Tanium Discover está diseñado para realizar un descubrimiento basado en la red de las interfaces de su entorno.»Nash King, ingeniero sénior de consultoría avanzada de Tanium
- Cuatro niveles de exploración, con un contenido cada vez más amplio: Discover ofrece cuatro niveles de exploración para el modelo IPv4. El nivel 1 se basa en la caché ARP y está diseñado para no generar tráfico de exploración adicional; el nivel 2 utiliza el «fingerprinting» basado en ping e ICMP; el nivel 3 consiste en una exploración ARP activa; y el nivel 4 utiliza Nmap para realizar exploraciones de puertos y la detección del sistema operativo, aunque Nmap requiere tanto un puerto abierto como uno cerrado para identificar el sistema operativo.
- Análisis distribuidos y satélites: Los análisis distribuidos los realizan los terminales gestionados por Tanium, que detectan las brechas de seguridad dentro de su propia subred, lo que permite que los análisis se lleven a cabo rápidamente en todo el entorno. En el caso de las subredes que no cuenten con ningún punto final gestionado, se puede designar un satélite para detectar dichas redes; además, los satélites ahora pueden escanear un rango completo de red /16 , frente al límite anterior de 4,096 direcciones IP.
- Página centralizada de interfaces de red: Una nueva página de interfaces de red le permite definir las subredes una sola vez y, a continuación, hacer referencia a ellas en varios perfiles de análisis para incluirlas o excluirlas, sustituyendo así el flujo de trabajo anterior, en el que era necesario introducir la misma red por separado en cada perfil individual. Las exclusiones tienen prioridad: si una subred está tanto incluida como excluida, no se analizará.
- Las etiquetas convierten los datos en decisiones: Las etiquetas son marcadores que pueden aplicarse de forma manual o automática mediante reglas, y constituyen el mecanismo para clasificar las interfaces en tres estados: gestionadas (el cliente de Tanium está presente y envía informes), no gestionadas (no se ha detectado ningún cliente de Tanium) e inmanejables (una decisión que usted toma mediante una etiqueta). La galería de etiquetas de la vista general de «Descubrir» ofrece una colección en formato JSON descargable de etiquetas predefinidas para nuevas implementaciones, incluidas etiquetas que marcan automáticamente tipos de dispositivos que tradicionalmente resultaban difíciles de gestionar, como las impresoras y los escáneres de Zebra.
- Patrones de seguridad y operativos: Discover puede detectar puntos de acceso no autorizados, dispositivos de consumo no autorizados en subredes sensibles, cámaras web con credenciales predeterminadas y puertos abiertos, como el puerto 23 , que podrían indicar una vulnerabilidad de Telnet. La ejecución simultánea de un escaneo ARP de nivel 1 y un escaneo de ping de nivel 2 mejora la cobertura de detección, ya que quienes realizan actividades maliciosas pueden desactivar el protocolo ICMP en los dispositivos que conectan a la red.
«. Una vez que empiece a analizar lo que Discover detecta, podrá identificar patrones interesantes en su entorno que pueden ayudarle a optimizar los procesos operativos.»Nash King, ingeniero sénior de consultoría avanzada de Tanium
- Secuencia de configuración recomendada: . Al implementar Discover por primera vez, se configura de forma predeterminada un análisis de nivel 2 , que comenzará a proporcionar datos de las interfaces a medida que se vayan incorporando los puntos finales. A partir de ahí, el procedimiento recomendado consiste en crear perfiles de análisis adicionales según sea necesario, definir exclusiones de red para las subredes sensibles, importar la colección de etiquetas predefinidas desde la galería de etiquetas y, a continuación, configurar las ubicaciones mediante un archivo CSV para establecer los permisos de visibilidad de los grupos de usuarios en función de las asignaciones de subredes.
Recursos adicionales
- Descripción general del producto Tanium Discover: detección de dispositivos no gestionados basada en la red: Descubra cómo Tanium Discover ofrece visibilidad en tiempo real de las interfaces de toda su red, incluidos los dispositivos no gestionados y aquellos que no se pueden gestionar.
- La detección de activos como base para la visibilidad de las TI y la gestión de dispositivos: Un artículo que aborda la importancia de una detección exhaustiva de activos para los equipos de seguridad y operaciones, y cómo los enfoques de detección basados en la red facilitan una mejor gestión de los dispositivos.
- Documentación de Tanium Discover: descripción general del módulo y guía de configuración inicial: La documentación oficial de Tanium sobre Discover, que abarca los perfiles de análisis, los estados de la interfaz y los pasos de configuración.
- Documentación de Tanium Discover: configuración de perfiles de análisis y métodos de detección: Instrucciones detalladas sobre la creación y gestión de perfiles de análisis distribuidos, la configuración de satélites y la selección de niveles de análisis para la detección IPv4 y IPv6 .
