Cosa contiene un tag SWID
Un tag SWID non è il software in sé. È un file di metadati che accompagna il programma. Il programma di installazione del produttore di solito lo colloca in una posizione fissa durante l'installazione. Uno strumento di inventario può leggerlo senza eseguire il software e senza analizzare per intero il file.
Ogni tag registra l'editore, l'identità del prodotto (nome, versione, edizione e architettura o piattaforma di destinazione), un identificativo univoco del tag, separato dal nome del prodotto, e il tipo di tag. Il tipo indica se si tratta di un'installazione principale, di una patch, di un componente supplementare o di un corpus di pre-installazione. L'esempio seguente mostra la struttura di un tag nello schema ISO/IEC 19770-2, con valori segnaposto:
<SoftwareIdentity xmlns="http://standards.iso.org/iso/19770/-2/2015/schema.xsd" name="Example Editor" version="5.2.1" versionScheme="multipartnumeric" tagId="example-editor-5-2-1">
<Entity name="Example Corp" regid="example.com" role="softwareCreator"/>
</SoftwareIdentity>Perché esiste lo standard
Prima di SWID, ogni strumento di gestione degli asset IT usava euristiche proprie per riconoscere il software installato. Confrontava nomi di eseguibili, chiavi di registro o strutture di cartelle. Questi elementi cambiano da una versione all'altra e da un fornitore all'altro, quindi il metodo è fragile. Lo stesso prodotto può comparire con più nomi in tutto il parco macchine. Una piccola rinomina o un nuovo pacchetto può far sì che uno strumento conti male le licenze o non veda una versione vulnerabile.
ISO/IEC 19770-2 offre al settore una fonte comune di verità. L'editore dichiara che cosa è stato installato, in un formato standard che ogni strumento legge nello stesso modo. Inventario e riconciliazione delle licenze smettono così di dipendere dalle congetture.
Come il tag arriva all'inventario
Il tag percorre quattro fasi, dal programma di installazione del produttore fino al record di inventario:
- 1
Pubblicazione
Il programma di installazione del produttore scrive il tag accanto al prodotto durante l'installazione.
- 2
Lettura
Lo strumento di inventario legge il file XML senza eseguire il software.
- 3
Confronto
Prodotto, edizione e versione vengono confrontati con i diritti acquistati e con le versioni vulnerabili note.
- 4
Registrazione
Il risultato viene salvato come record strutturato, così ogni macchina segnala i dati nello stesso modo.
Come si usano i tag SWID
I tag supportano quattro attività comuni. Ciascuna ha anche un limite, che deriva dalla copertura dei tag:
| Uso | Cosa fornisce il tag | Limite |
|---|---|---|
| Gestione degli asset software | Un conteggio accurato del software installato, senza confrontare i nomi dei file | Vengono conteggiati solo i prodotti per cui il produttore ha creato un tag |
| Riconciliazione delle licenze | Identificativi esatti di prodotto ed edizione confrontati con i diritti acquistati | Un prodotto senza tag resta fuori dal confronto |
| Corrispondenza di vulnerabilità e patch | Prodotto e versione associati alle versioni vulnerabili note; i tag di patch confermano l'applicazione di una correzione | Un prodotto senza tag non può essere associato |
| Conformità normativa | I quadri che citano il protocollo SWIMA mantenuto dal NIST si aspettano che gli endpoint segnalino il software come tag SWID | La segnalazione è completa solo dove esistono i tag |
Dove i tag SWID non bastano nella pratica
Lo standard dipende dall'adozione. Un tag SWID esiste solo se il programma di installazione del produttore lo crea, quindi uno strumento che si affida solo ai tag avrà punti ciechi.
Per questo la maggior parte dell'inventario software viene ancora costruita tramite discovery automatizzata, a partire da ciò che un agente o uno scanner vede sull'endpoint. I tag SWID sono un segnale complementare, più affidabile, dove esistono. Non sono l'unica fonte di verità. Le prove principali provengono da:
- elenchi dei programmi installati, così come il sistema operativo li registra
- file e tracce di registro lasciati dall'installazione
- registri del gestore di pacchetti
Tag SWID e inventario generale
Va separato lo standard dall'obiettivo. L'inventario software è l'obiettivo più ampio: un registro aggiornato e preciso di ogni applicazione installata sulle macchine dell'organizzazione. Un tag SWID è un modo standardizzato per identificare con precisione un singolo prodotto installato.
Un'organizzazione può avere un inventario affidabile, costruito con una discovery basata su agenti, senza usare mai un tag SWID. Accade anche il contrario: una macchina può avere tag SWID per alcuni prodotti, mentre l'inventario generale copre il resto con altri mezzi. La pratica più ampia è descritta in gestione degli asset software.
Come appare in Anexet
L'elenco software di Anexet nasce dagli attributi che l'agente legge su ogni postazione: nome, società, versione e percorso. In Anexet Inventory, la scheda di ogni postazione elenca i programmi installati, quindi il software che nessuno ha richiesto risalta nell'elenco.
Da dove iniziare
Conviene partire dai prodotti che costano di più in licenze o che comportano il rischio maggiore per la sicurezza, e verificare se i loro produttori creano tag. Quando lo fanno, il tag conferma il prodotto esatto. Quando non lo fanno, il dato dell'endpoint resta la fonte, e il processo di inventario lo mantiene aggiornato.
Un tag dice che cosa il produttore afferma sia stato installato. L'inventario dice che cosa c'è davvero sulla macchina.
Anexet Team