Nieautoryzowane urządzenie (Rogue Device)

Nieautoryzowane urządzenie definiuje niezgodność, a nie jego typ. Klawiatura, pamięć USB czy przełącznik sieciowy to zwykły sprzęt. Staje się nieautoryzowane wtedy, gdy zostaje podłączone do komputera lub sieci, a nie figuruje w zatwierdzonej konfiguracji zapisanej dla tej maszyny.

Tę lukę najłatwiej zobaczyć, porównując stan faktyczny z ewidencją zarządzania zasobami sprzętowymi. Większość nieautoryzowanych urządzeń nie jest podrzucona przez atakującego. Powstają jako skutek codziennych czynności, których nikt nie zarejestrował, dlatego problem zwykle ujawnia się w zarządzaniu aktywami IT, a nie w pojedynczym alarmie bezpieczeństwa.

Nieautoryzowane urządzenia zwykle trafiają do środowiska jedną z pięciu dróg, a żadna z nich nie wymaga złych zamiarów:

Nieautoryzowane urządzenie to luka między tym, co IT uważa za działające, a tym, co jest faktycznie podłączone. Skutki wykraczają poza nieuporządkowaną ewidencję:

• Ślepy punkt bezpieczeństwa. Urządzenie spoza konfiguracji jest też poza kontrolami stosowanymi wobec zarządzanego sprzętu, takimi jak aktualizacje, polityka szyfrowania i monitoring. Staje się łatwym punktem wejścia albo niemonitorowaną drogą wyprowadzenia danych.
• Ryzyko wycieku danych. Niezarejestrowany nośnik lub karta sieciowa może umożliwić wyciek danych bez śladu w jakimkolwiek dzienniku audytu opartym na zatwierdzonym inwentarzu.
• Ekspozycja na zgodność. Przepisy i wewnętrzne polityki wymagające pełnego, dokładnego inwentarza sprzętu tracą sens przy każdym urządzeniu, o którym inwentarz nie wie.
• Koszty operacyjne. Niewidoczny sprzęt zaburza planowanie mocy, komplikuje decyzje gwarancyjne i cyklu życia oraz marnuje czas, gdy trzeba prześledzić awarię do sprzętu, którego nikt nie zarejestrował.

Wykrywanie porównuje to, co jest podłączone, z tym, co powinno być podłączone. Cztery kroki czynią to procesem ciągłym, a odkrywanie zasobów to etap, który ujawnia to, czego nikt nie zarejestrował:

1. 1

   Porównaj konfigurację

   To, co fizycznie podłączono do komputera, sprawdza się z jego zatwierdzoną konfiguracją. Niezgodność w obu kierunkach zostaje oznaczona.

2. 2

   Wykryj nowy sprzęt

   Agenty na zarządzanych stacjach raportują, co jest podłączone. Okresowe skany wykrywają nowy sprzęt, zanim ktokolwiek otworzy zgłoszenie.

3. 3

   Sprawdzaj w sposób ciągły

   Sprzęt bywa wymieniany między audytami. Jednorazowe liczenia przeoczają urządzenia, które pojawiają się i znikają w tym czasie, więc monitoring musi działać stale.

4. 4

   Powiadom właściwe osoby

   Oznaczone urządzenie ma sens tylko wtedy, gdy trafia do zespołu IT lub bezpieczeństwa odpowiedzialnego za dany komputer lub lokalizację.

Nieautoryzowane urządzenie to nie to samo co niezarządzane urządzenie w ogóle. Niezarządzane oznacza po prostu, że nikt go nie administruje, niezależnie od tego, czy jest podłączone. Nieautoryzowane urządzenie to konkretnie takie, które jest teraz podłączone, wbrew ewidencji.

Pokrywa się z pojęciem Shadow IT, ale jest węższe, bo Shadow IT częściej opisuje nieautoryzowane oprogramowanie, usługi chmurowe lub konta niż sprzęt fizyczny. Odróżnia się też od złośliwego lub podszytego urządzenia podrzuconego przez atakującego. Większość nieautoryzowanych urządzeń to zwykły sprzęt, który po prostu nigdy nie został zapisany.

W Anexet Inventory karta każdego komputera ma zakładkę Urządzenia z listą sprzętu wykrytego przez detekcję. Każde urządzenie jest dopasowywane przez swój identyfikator urządzenia, więc podzespół podłączony, ale nieobecny w konfiguracji, dostaje ikonę ostrzeżenia. Zrzut pokazuje kartę serwera, na której nieuwzględnione podłączone urządzenia są oznaczone właśnie w ten sposób.

Zacznij od jasnej listy tego, co dla każdego komputera uznaje się za skonfigurowany sprzęt, a potem pozwól wykrywaniu zgłaszać każdą różnicę. Alerty wykrywania powinny uruchamiać aktualizację inwentarza, a nie tylko usunięcie urządzenia. Ktoś, kto wymienia monitor lub dodaje drukarkę, potrzebuje prostego sposobu, by zapisać zmianę, a nie zachęty, by ją pominąć.

Narzędzia wykrywania zawężają lukę. Utrzymanie aktualnej ewidencji sprawia, że luka pozostaje wąska.

Czytaj dalej: Jak zapobiec nieuprawnionemu dostępowi do komputera.