Inwentaryzacja¶

Dlaczego inwentaryzacja jest krytyczna¶

Zasobów, które nie są nigdzie ewidencjonowane, nie da się chronić ani nimi zarządzać - pozostają one poza zasięgiem monitorowania, aktualizacji i reakcji na incydenty. Pełna wiedza o zasobach infrastruktury jest warunkiem skutecznego monitorowania bezpieczeństwa, reagowania na incydenty, tworzenia kopii zapasowych, odtwarzania systemów po awarii oraz efektywnego wdrożenia separacji sieci.

Proces inwentaryzacji¶

Inwentaryzacja przebiega w spójnych, powtarzalnych krokach, które należy wykonywać w sposób ciągły. Wyróżnia się trzy główne etapy procesu:

• Wykrywanie zasobów - identyfikacja urządzeń w sieci przy użyciu metod opisanych w sekcji Metody wykrywania zasobów IT.
• Weryfikacja i utrzymanie - bieżące aktualizowanie danych oraz okresowa fizyczna weryfikacja, o której mowa w sekcji Dokumentacja.
• Postępowanie z urządzeniami nieautoryzowanymi - rozstrzyganie statusu zasobów nieistniejących w rejestrze (sekcja Postępowanie z urządzeniami nieautoryzowanymi).

Podejście do inwentaryzacji oraz sposoby wykrywania urządzeń mogą być zmienne, co wpływa na kolejność podejmowanych czynności. Jednak zakres gromadzonych informacji powinien opierać się na ujednoliconym modelu danych. Zbierane atrybuty najlepiej podzielić na trzy główne kategorie:

Identyfikacja i fizyczna lokalizacja¶

• Dane identyfikacyjne - numer inwentaryzacyjny (ang. asset tag), numer seryjny, producent, model i typ urządzenia. Atrybuty te stanowią podstawę fizycznej weryfikacji.
• Lokalizacja fizyczna - adres obiektu, budynek, pomieszczenie, a w środowiskach serwerowych także konkretna szafa rack. Informacja ta jest niezbędna do szybkiego fizycznego dostępu do sprzętu w nagłej sytuacji.

Parametry sieciowe i topologia¶

• Adresacja sieciowa - adresy IP, adresy MAC, nazwy hostów, przynależność do VLAN-u, podsieć, nazwa interfejsu oraz numer portu, do którego urządzenie jest podłączone.
• Topologia sieci - powiązania fizyczne oraz logiczne między urządzeniami. Zrozumienie, co jest podłączone do czego, pozwala planować zmiany i przewidzieć wpływ awarii jednego węzła na resztę środowiska.

Bezpieczeństwo i rozliczalność¶

• Właściciel lub użytkownik sprzętu - osoba lub zespół odpowiedzialny za urządzenie. Przypisanie właściciela pozwala jasno określić osobę odpowiedzialną za aktualizowanie, wymianę lub wycofanie urządzenia. Wymagane są również aktualne dane kontaktowe.
• Konfiguracja urządzenia - wersja systemu operacyjnego, oprogramowania sprzętowego (ang. firmware), zainstalowanego oprogramowania oraz istotnych ustawień usług (np. konfiguracja zapory sieciowej).
• Usługi oraz porty - otwarte porty, uruchomione i nasłuchujące usługi oraz wykorzystywane protokoły.
• Mapa przepływów - ruch sieciowy między urządzeniami: jakie usługi komunikują się między sobą, po jakich portach i w jakim celu.
• Cykl życia i wsparcie dostawcy - status operacyjny urządzenia (aktywne, w rezerwie, wyłączone), data wygaśnięcia wsparcia (ang. end of life, EOL) lub końca dostarczania poprawek bezpieczeństwa.

Metody wykrywania zasobów IT¶

Identyfikacja zasobów może być realizowana na kilka sposobów, dobieranych w zależności od infrastruktury, dostępnych narzędzi oraz możliwości organizacji. Poszczególne metody się uzupełniają - żadna z nich stosowana samodzielnie nie daje pełnego obrazu sieci.

Poniższe metody różnią się zakresem zdobywanych danych, inwazyjnością oraz wymaganiem dostępu zarządczego do urządzeń. W praktyce można je łączyć:

• Fizyczna weryfikacja - bezpośrednie sprawdzenie pokoi, zawartości szaf rackowych oraz gniazd sieciowych. Jest to źródło informacji o lokalizacji urządzeń. Umożliwia zidentyfikowanie urządzeń wyłączonych bądź urządzeń, które nie raportują stanu do systemów monitorowania. Fizyczna weryfikacja potwierdza również, że urządzenie, które występuje w rejestrze, faktycznie istnieje we wskazanej lokalizacji. Pozwala również na uzupełnienie informacji na temat numerów seryjnych urządzeń. Jest to metoda czasochłonna i pracochłonna, dlatego stosuje się ją okresowo.
• Logi DHCP i dane DNS - analiza dzierżaw (ang. leases) serwera DHCP oraz rejestrów dynamicznych DNS (ang. Dynamic DNS). Każde urządzenie dołączające do sieci i pobierające adres poprzez DHCP zostawia w logu serwera swój adres MAC, nadany adres IP, nazwę hosta (jeśli urządzenie ją zgłasza) oraz czas dzierżawy. Jest to jedno z najlepszych źródeł informacji o urządzeniach końcowych, które pojawiają się w sieci. Słabością jest to, że logi obejmują wyłącznie urządzenia korzystające z DHCP. Urządzenia z adresacją statyczną pozostają dla tej metody niewidoczne. Dodatkowo rekordy mogą być przestarzałe.

• Informacje z urządzeń sieciowych - tablice adresów MAC przełączników, tablice ARP routerów oraz sesje na zaporach sieciowych. To źródło wiedzy o tym, jakie urządzenia fizycznie są podłączone do sieci i do których portów. Tablice te wskazują, na którym porcie przełącznika widoczny jest dany adres MAC, co umożliwia fizyczną lokalizację urządzenia. W przeciwieństwie do DHCP, obejmują również urządzenia z adresacją statyczną. Metoda ta wymaga jednak dostępu zarządczego do urządzeń sieciowych oraz regularnego odpytywania, ponieważ wpisy w tablicach są usuwane po określonym czasie nieaktywności.
• Skanowanie sieci³ - aktywne przeszukiwanie przestrzeni adresowej i portów (np. narzędziem Nmap). Pozwala wykrywać urządzenia nieznane oraz nieautoryzowane usługi, także na hostach, do których nie mamy dostępu zarządczego. Identyfikacja w dużej mierze opiera się na analizie sygnatur i zachowań (tzw. OS fingerprinting) - wersja oprogramowania i system operacyjny są wnioskowane, a nie odczytywane z urządzenia, co bywa niedokładne. Skanowanie może również wywołać reakcję systemów wykrywania włamań - dlatego należy je zaplanować, aby unikać fałszywych alarmów o zagrożeniu.
• SNMP - monitorowanie stanu i odpytywanie urządzeń sieciowych protokołem SNMP (ang. Simple Network Management Protocol). Metoda ta pozwala pozyskać ze skonfigurowanych urządzeń sieciowych (przełączników, routerów, drukarek) informacje takie jak: listę interfejsów, tablicę adresów MAC, konfigurację VLAN oraz podstawowe parametry pracy.

• MDM - systemy zarządzania urządzeniami mobilnymi (ang. Mobile Device Management). Pozwalają inwentaryzować np. laptopy, telefony i tablety objęte zarządzaniem centralnym, również poza siecią firmową.
• Monitorowanie przepływów - analiza statystyk przepływów eksportowanych przez przełączniki i routery. Przykładem takich narzędzi może być NetFlow czy sFlow.

Ograniczenia¶

Metody automatyczne posiadają naturalne ograniczenia, które należy uwzględnić przy planowaniu inwentaryzacji:

• Segmenty odseparowane - skanowanie z centralnego punktu nie dociera do odizolowanych segmentów sieci w przypadku separacji oraz wprowadzenia list kontroli dostępu między segmentami. W takiej sytuacji należy przeprowadzić działania wewnątrz każdego segmentu.
• Urządzenia wyłączone - nie są widoczne dla mechanizmów automatycznych. Jedyną metodą ich identyfikacji jest fizyczna weryfikacja.
• Urządzenia wirtualne oraz usługi chmurowe - konieczne jest powiązanie inwentaryzacji sieciowej z hipernadzorcą (ang. hypervisor) lub interfejsem dostawcy chmury, ponieważ maszyny wirtualne mogą być migrowane, uruchamiane oraz wyłączane dynamicznie.
• Zablokowane funkcje - niektóre urządzenia domyślnie nie odpowiadają na określone typy zapytań (takie jak np. ICMP Echo Request) bądź też odpowiadają wyłącznie wybranym adresom. W takiej sytuacji próby nawiązywania połączeń mogą przynosić niepełne rezultaty.

Dokumentacja¶

Dokumentacja powinna odzwierciedlać stan faktyczny, uzyskany w trakcie całego procesu inwentaryzacji. Inwentaryzacja to nie jednorazowe zadanie. Utrzymanie aktualnej mapy zasobów jest procesem ciągłym. Wszelkie zmiany w infrastrukturze powinny najpierw odbywać się na mapie inwentaryzacji w celu ich ostatecznego zatwierdzenia, a dopiero potem być realizowane w środowisku produkcyjnym wraz z datą wprowadzenia oraz osobą realizującą.

Rekordy¶

Rekordy w centralnym rejestrze powinny co najmniej zawierać następujące dane dla każdego zasobu:

• typ urządzenia,
• numer seryjny,
• numer ewidencyjny,
• nazwa hosta,
• adres IP,
• adres MAC,
• lokalizację (obiekt oraz szafa rackowa / pomieszczenie),
• właściciela,
• stan cyklu życia,
• status wsparcia producenta,
• datę ostatniej fizycznej weryfikacji.

Zgodnie z dobrymi praktykami (m.in. CIS Control 1, Safeguard 1.1¹), rejestr zasobów należy przeglądać i aktualizować nie rzadziej niż co pół roku, a w środowiskach dynamicznych - częściej. Sam rejestr powinien wskazywać, czy dane urządzenie zostało autoryzowane do podłączenia do sieci - w przeciwnym wypadku zasób wymaga rozstrzygnięcia.

Mapa przepływów¶

Mapa przepływów to zapis faktycznych relacji między urządzeniami w sieci. W odróżnieniu od rekordu zasobu, który opisuje pojedyncze urządzenie, mapa przepływów opisuje ruch sieciowy. Jest on kluczowy z punktu widzenia separacji sieci.

Mapę przepływów buduje się na podstawie monitorowania przepływów oraz wyników skanowania sieci. Każdy wpis powinien wskazywać co najmniej:

• urządzenie źródłowe,
• urządzenie docelowe,
• porty oraz protokół,
• cel ruchu - uzasadnienie, dlaczego dana komunikacja jest potrzebna.

W przypadku planowania lub utrzymania separacji sieci wpisy z mapy przepływów stanowią podstawę do ustalania VLAN-ów oraz projektowania reguł zapory.

Postępowanie z urządzeniami nieautoryzowanymi¶

Równie istotne jest prowadzenie procesu rozstrzygania statusu urządzeń nieautoryzowanych - takich, które nie znajduje się w rejestrze lub nie mają formalnego właściciela. Dobre praktyki (CIS Control 1, Safeguard 1.2¹) zalecają, aby taki proces działał nie rzadziej niż co tydzień. W zależności od oceny organizacja może:

• odłączyć urządzenie od sieci,
• zablokować zdalny dostęp do sieci,
• skierować urządzenie do segmentu kwarantanny.

Duże i dynamiczne środowiska z trudem radzą sobie z utrzymaniem aktualnej mapy zasobów. Dodatkowym wyzwaniem jest to, że urządzenia przenośne okresowo dołączają do sieci i z niej znikają, a maszyny wirtualne bywają trudne do śledzenia, gdy są zatrzymane lub wyłączone.

Narzędzia wspomagające inwentaryzację¶

Istnieją narzędzia umożliwiające inwentaryzację oraz scentralizowane utrzymanie informacji o zasobach sieci. Wybór konkretnego rozwiązania powinien uwzględniać charakter infrastruktury.

W praktyce systemy wspomagające inwentaryzację pełnią różne funkcje, które najczęściej współpracują ze sobą i uzupełniają wzajemnie swoje dane:

• Scentralizowane bazy zasobów (CMDB / rejestr aktywów) - służą jako rejestr przechowujący informacje o zasobach, adresacji IP, powiązaniach logicznych oraz właścicielach. Stanowią punkt odniesienia, do którego trafiają dane z pozostałych klas narzędzi. Przykładowymi narzędziami tej klasy są: Snipe-IT, GLPI, NetBox, Ralph.

• Skanery sieciowe oraz systemy monitoringu - przeszukują przestrzeń adresową, identyfikują nowe urządzenia i odpytują je o szczegóły techniczne. Wyniki skanowania trafiają do bazy zasobów, gdzie są porównywane ze stanem zarejestrowanym, co pozwala wykrywać urządzenia nieautoryzowane oraz zmiany konfiguracji. Przykładowymi narzędziami tej klasy są: Zabbix oraz LibreNMS.

• Systemy zarządzania urządzeniami końcowymi - zbierają szczegółowe dane o stacjach i serwerach: zainstalowane oprogramowanie, uruchomione usługi, konfigurację. Warianty agentowe wymagają instalacji programu klienckiego, lecz dają pełniejszy obraz. Bezagentowe systemy opierają się na zdalnym odpytywaniu i są łatwiejsze we wdrożeniu, lecz są bardziej ograniczone. Przykładowymi narzędziami tej klasy są: OCS Inventory NG oraz Microsoft Intune.

Należy mieć na uwadze, że część narzędzi monitorujących może być wektorem ataku. Przykładem takiego oprogramowania jest rozwiązanie bazujące na agentach służące do obserwacji urządzeń końcowych, które może zostać wykorzystane przez atakującego (np. do dystrybucji szkodliwego oprogramowania).

Korzyści wynikające z inwentaryzacji¶

Prowadzenie aktualnej inwentaryzacji jest niezbędne do utrzymania sieci w kontrolowanym stanie. W szczególności:

• jest warunkiem wykonywania kontrolowanych zmian w infrastrukturze, w tym wdrażania separacji sieci - mapa zasobów oraz mapa przepływów stanowi podstawę projektowania segmentów i reguł zapory;
• umożliwia śledzenie oraz aktualizowanie oprogramowania, w szczególności w sytuacjach, w których pojawiają się nowe luki bezpieczeństwa - szybkie zidentyfikowanie urządzeń, na których działa podatna wersja usługi, jest kluczowe dla skutecznej reakcji;
• wspiera reagowanie na incydenty - zarówno przy ustalaniu pochodzenia ruchu sieciowego, jak i przy identyfikacji urządzeń podobnego typu lub w podobnej lokalizacji, które mogą być dotknięte tym samym wektorem ataku;
• dostarcza danych niezbędnych do oceny zewnętrznej powierzchni ataku oraz identyfikacji usług, które nie powinny być udostępniane publicznie.

Więcej informacji na temat zewnętrznej powierzchni ataku:

• Odporność infrastruktury - Zewnętrzna powierzchnia ataku

Ostatnia aktualizacja artykułu: 2026-09-02.