IT-Asset-Discovery

Die IT-Umgebung eines Unternehmens verändert sich ständig. Ein Laptop wird an einen neuen Mitarbeiter ausgegeben, ein Ersatzmonitor wandert von Schreibtisch zu Schreibtisch, eine Entwicklerin installiert ein Werkzeug, das niemand genehmigt hat, und ein Server wird außer Betrieb genommen, aber nie aus dem Rack entfernt. Die IT-Asset-Discovery hält all das aktuell fest, indem sie aktiv findet, was vorhanden ist, statt darauf zu warten, dass es jemand meldet.

In der Praxis beantwortet Discovery eine engere Frage als das vollständige IT-Asset-Management. Sie entscheidet nicht, wem ein Gerät gehört, wie sein Garantiestatus aussieht oder welches Budget es bezahlt hat. Diese Merkmale werden später ergänzt. Discovery beantwortet zuerst die einfachere Frage: Was ist jetzt angeschlossen, und wie sieht es aus? Alles Weitere im Asset-Management baut auf dieser Antwort auf.

Die meisten modernen Discovery-Ansätze setzen auf Softwareagenten, die auf Endgeräten wie Computern, Laptops und Servern installiert sind. Sobald sich ein Gerät verbindet, meldet sein Agent Identität, Hardwarekomponenten und installierte Software an ein zentrales System. Im Vergleich zu periodischen Netzwerkscans können Agenten kontinuierlich berichten und sehen interne Details, die ein Netzwerkscan nicht erfasst, etwa welche Komponenten physisch im Gerät verbaut sind und ob sie der erwarteten Konfiguration entsprechen.

Jedes meldende Gerät braucht eine stabile Asset-Identifikation, damit derselbe Computer bei der nächsten Verbindung wiedererkannt und nicht doppelt gezählt wird. Ein neu verbundener Computer, der noch nicht im formalen Inventar steht, erscheint meist in einem eigenen, markierten Zustand: gefunden, aber noch nicht erfasst. Der Administrator prüft die Funde und übernimmt sie, statt dieselben Angaben erneut von Hand einzutragen.

1. 1

   Agent meldet sich

   Der Agent auf dem Endgerät sendet Identität, Hardware und Software, sobald sich das Gerät verbindet.

2. 2

   Gerät wird markiert

   Der neue Computer erscheint als gefunden, ist aber noch nicht im Inventar erfasst.

3. 3

   Administrator prüft

   Der Administrator sieht sich die Funde an und entscheidet, was übernommen wird.

4. 4

   Übernahme ins Inventar

   Ausgewählte Hardware wird übernommen, ohne dieselben Daten erneut von Hand einzugeben.

Ein Discovery-Prozess liefert in der Regel zwei Arten von Informationen: Hardware und Software. Da er kontinuierlich läuft und nicht als einmaliges Projekt, zeigt er auch Veränderungen, etwa ein Gerät, das aus dem Netz verschwindet, eine getauschte Komponente oder eine Anwendung, wo keine erwartet wurde. Das Software-Inventar ermöglicht den Abgleich, was tatsächlich läuft, mit dem, was lizenziert oder genehmigt ist.

Ein nicht erkannter Asset ist aus Sicherheitssicht unsichtbar. Er kann nicht gepatcht, überwacht, in einen Incident-Response-Plan aufgenommen oder in einem Audit nachgewiesen werden. Hier liegt der praktische Zusammenhang zwischen Asset-Discovery und zwei Sicherheitskonzepten, die sie direkt unterstützt.

Shadow IT, also Hardware oder Software, die ohne Genehmigung genutzt wird, lässt sich nur finden und beheben, wenn Discovery sie sichtbar macht. Rogue Devices, also Geräte, die außerhalb einer genehmigten Konfiguration angeschlossen werden, sei es aus Versehen, durch Missbrauch oder absichtlich, hat die manuelle Dokumentation genau übersehen, und nur aktive Discovery erfasst sie zuverlässig. Deshalb ist Discovery eine eigenständige Sicherheitskontrolle und nicht nur eine Erleichterung für die Buchhaltung.

Derselbe Mechanismus erkennt auch das Gegenteil. Ein Gerät, das vorhanden sein sollte, aber nicht mehr erkannt wird, kann auf Entfernung, Diebstahl oder Ausfall hinweisen und verdient dieselbe zügige Aufmerksamkeit wie ein unerwartetes Gerät.

Im Anexet Inventory zeigt der Importassistent für Hardware die Computer, die Agenten im Netzwerk gefunden haben, mit ihren Komponenten. Der Administrator markiert, was ins Register übernommen werden soll, und importiert es in drei Schritten. Jede daraus folgende Ergänzung, Änderung oder Entfernung wird im Auditprotokoll festgehalten.

1 / 2

• 
• 

Diese drei Begriffe beschreiben Stufen desselben Prozesses, deshalb ist es sinnvoll, sie auseinanderzuhalten. Discovery ist das automatisierte Finden dessen, was angeschlossen ist. Das Inventar ist das daraus entstehende Verzeichnis von Computern, Geräten und Software, jeweils mit Status, Besitzer und Standort. ITAM ist die umfassendere Disziplin, die auf diesem Verzeichnis aufbaut, und das Inventarmanagement ist die laufende Arbeit, die es aktuell hält.

Ein manuell geführtes Register spiegelt nur wider, was beim letzten Update galt. In der Praxis kombinieren reife Programme beides: Discovery hält die Grunddaten aktuell, und Administratoren ergänzen Geschäftskontext wie Verantwortliche, Abteilung und Status, den ein Scan nicht selbst ableiten kann.

Beginnen Sie mit den Netzwerken und Geräten, die Sie tatsächlich betreiben, führen Sie eine vollständige Discovery durch und vergleichen Sie das Ergebnis mit Ihrem heutigen Register. Der Unterschied ist Ihre erste Arbeitsliste, und er fällt meist größer aus als erwartet.

Lassen Sie die Discovery danach dauerhaft laufen, nicht als jährliches Projekt, damit das Register der Umgebung folgt und nicht umgekehrt.