수동 탐지는 네트워크 트래픽을(그리고 내보낸 전체 NetFlow 데이터를) 분석해 네트워크 맵을 작성하는, 시스템의 기본 방법입니다. 수동 탐지는 운영체제와 실행 중인 애플리케이션 같은, 네트워크 자산에 대한 상황에 맞는 정보를 제공합니다.

모니터링하는 호스트에서 오는 트래픽이 호스트의 운영체제에 대한 결정적 증거를 제공하지 않는다면, 네트워크 맵은 가장 가능성이 높은 운영체제를 표시합니다. 예를 들어 NAT 디바이스는 호스트가 NAT 디바이스 "뒤에" 있기 때문에, 여러 운영체제를 실행하는 것처럼 보일 수 있습니다. 판단의 정확도를 높이기 위해 시스템은 탐지한 운영체제 각각에 자신이 할당한 신뢰도 값과, 탐지한 운영체제 간의 보강 데이터 양을 사용합니다.

참고	시스템은 보고된 "알 수 없는" 애플리케이션과 운영체제는 판단할 때 고려하지 않습니다.

수동 탐지가 네트워크 자산을 올바르게 식별하지 못한다면, 매니지드 디바이스의 배치를 확인해 보십시오. 맞춤형 운영체제 지문과 맞춤형 애플리케이션 탐지기를 이용해 시스템의 수동 탐지 기능을 강화할 수도 있습니다. 또한 트래픽 분석에 기반을 두지 않지만 대신 스캔 결과 및 기타 정보 소스를 이용해 네트워크 맵을 바로 업데이트할 수 있는, 능동 탐지를 사용하는 방법도 있습니다.

능동 탐지는 활성 소스가 수집한 호스트 정보를 네트워크 맵에 추가합니다. 예를 들어 Nmap 스캐너를 사용하면 네트워크에서 대상으로 삼은 호스트를 능동적으로 스캔할 수 있습니다. Nmap은 호스트 상의 운영체제와 애플리케이션을 검색합니다.

또한 호스트 입력 기능을 사용하면 호스트 입력 데이터를 네트워크 맵에 능동적으로 추가할 수 있습니다. 호스트 입력 데이터에는 두 가지 카테고리가 있습니다.

• 사용자 입력 데이터 - Firepower System 사용자 인터페이스 통해 추가한 데이터입니다. 사용자 인터페이스를 통해 호스트의 운영체제나 애플리케이션 ID를 수정할 수 있습니다.

• 호스트 입력된 데이터를 가져오기-데이터 명령행 유틸리티를 사용 하 여 가져옵니다.

시스템은 각 활성 소스에 대해 하나의 ID를 유지합니다. 예를 들어 Nmap 스캔 인스턴스를 실행하면 이전 스캔 결과가 새 스캔 결과로 교체됩니다. 그러나 Nmap 스캔을 실행한 다음 그 결과를 명령줄을 통해 가져온 클라이언트의 데이터로 교체하면, 시스템은 Nmap 결과의 ID와 가져오기 클라이언트의 ID를 모두 유지합니다. 그런 다음 시스템은 네트워크 검색 정책에 설정된 우선순위를 사용하여 어떤 능동 ID를 현재 ID로 사용할 것인지 결정합니다.

사용자 입력은 서로 다른 사용자가 입력했다 하더라도 하나의 소스로 간주됩니다. 예를 들어 UserA가 호스트 프로파일을 통해 운영체제를 설정한 다음 UserB가 호스트 프로파일을 통해 정의를 변경하면, UserB가 설정한 정의가 유지되고 UserA가 설정한 정의는 폐기됩니다. 또한 사용자 입력은 다른 모든 활성 소스를 재정의하며, 존재하는 경우 현재 ID로 사용됩니다.

호스트에 있는 애플리케이션 또는 운영체제의 현재 ID는 시스템이 가장 정확할 것이라고 판단하는 ID입니다.

시스템은 다음과 같은 용도로 운영체제 또는 애플리케이션에 대한 현재 ID를 사용합니다.

• 호스트에 취약성 할당

• 영향 평가

• 운영체제 식별, 호스트 프로파일 자격 및 규정준수 허용 목록에 대해 작성한 상관관계 규칙 평가 시

• 워크플로의 Hosts(호스트) 및 Servers(서버) 테이블 보기에서 표시

• 호스트 프로파일에서 표시

• Discovery Statistics(검색 통계) 페이지릐 운영체제 및 애플리케이션 통계 계산

시스템은 어떤 능동 ID를 애플리케이션 또는 운영체제에 대한 현재 ID로 사용할지를 결정할 때 소스 우선순위를 사용합니다.

예를 들어 사용자가 호스트에서 운영체제를 Windows 2003 Server로 설정하면 Windows 2003 Server가 현재 ID가 됩니다. 해당 호스트의 Windows 2003 Server 취약성에 대한 공격에는 더 높은 영향이 지정되고, 호스트 프로파일의 해당 호스트에 대해 나열된 취약성에는 Windows 2003 Server 취약성이 포함됩니다.

데이터베이스에 호스트의 특정 운영체제 또는 특정 애플리케이션에 대한 여러 소스의 정보가 포함될 수 있습니다.

시스템은 데이터에 대한 소스가 가장 높은 소스 우선순위를 가지고 있을 때 운영체제 또는 애플리케이션 ID를 현재 ID로 취급합니다. 가능한 소스의 우선순위 순서는 다음과 같습니다.

1. 사용자

2. 스캐너 및 애플리케이션(네트워크 검색 정책에 설정됨)

3. 매니지드 디바이스

4 . Netflow 레코드

우선순위가 더 높은 새 애플리케이션 ID는 현재 ID보다 상세정보이 부족하면 현재 애플리케이션 ID를 재정의하지 않습니다.

또한 ID 충돌이 발생하는 경우 충돌의 해결은 네트워크 검색 정책의 설정 또는 수동 해결에 의존하게 됩니다.

시스템은 다른 사용자가 같은 호스트에 여러 번 로그인하는 경우를 탐지하면 특정 시점에 지정된 호스트에 한 명의 사용자만 로그인하며 호스트의 현재 사용자가 마지막 권한 있는 사용자 로그인이라고 가정합니다. 권한 없는 사용자 로그인만 호스트에 로그인한 경우, 권한 없는 최근 로그인이 현재 사용자로 간주됩니다. 원격 세션을 통해 여러 사용자가 로그인한 경우 서버에서 보고한 마지막 사용자가 management center에 보고됩니다.

같은 사용자가 동일 호스트에 여러 번 로그인했음이 탐지되는 경우 시스템은 특정 호스트에 대한 사용자의 첫 번째 로그인만 기록하고 이후의 로그인은 무시합니다. 개별 사용자가 특정 호스트에 로그인하는 유일한 사람인 경우, 시스템에서는 원래 로그인만 기록합니다.

그러나 또 다른 사용자가 해당 호스트에 로그인하면 시스템에서는 새 로그인을 기록합니다. 그런 다음 원래 사용자가 다시 로그인하면 새 로그인이 기록됩니다.

시스템이 현재 능동 ID와 충돌하며 전에는 수동 ID로 보고되었던 새로운 수동 ID를 보고하면 ID 충돌이 발생합니다. 예를 들어 운영체제에 대한 이전 수동 ID가 Windows 2000으로 보고되면, Windows XP의 능동 ID가 현재 ID가 됩니다. 이후 시스템은 Ubuntu Linux 8.04.1의 새로운 수동 ID를 탐지합니다. 그러면 Windows XP와 Ubuntu Linux ID가 충돌하게 됩니다.

호스트의 운영체제 또는 호스트의 애플리케이션에서 ID 충돌이 발생하면, 시스템은 충돌이 해결될 때까지 충돌하는 두 ID를 모두 현재 ID로 나열하고 영향 평가에 두 ID를 모두 사용합니다.

관리자 권한이 있는 사용자는 항상 수동 ID를 사용하거나 항상 능동 ID를 사용하도록 선택하여 ID 충돌을 자동으로 해결할 수 있습니다. ID 충돌 자동 해결을 비활성화하지 않는 한 ID 충돌은 항상 자동으로 해결됩니다.

관리자 권한이 있는 사용자는 ID 충돌이 발생할 경우 이벤트를 생성하도록 시스템을 구성할 수도 있습니다. 그러면 해당 사용자는 Nmap 스캔을 상관관계 응답으로 사용하는 상관관계 규칙을 이용해 상관관계 정책을 설정할 수 있습니다. 이벤트가 발생하면 Nmap은 호스트를 스캔하여 업데이트된 호스트 운영체제 및 애플리케이션 데이터를 가져옵니다.

NetFlow는 라우터를 통과하여 이동하는 패킷에 대한 통계를 제공하는 Cisco IOS 애플리케이션입니다. 이는 Cisco 네트워킹 디바이스에서 제공되며 Juniper, FreeBSD, OpenBSD 디바이스에도 임베디드될 수 있습니다.

NetFlow가 네트워크 디바이스에서 활성화된 경우, 디바이스의 데이터베이스(NetFlow 캐시)는 라우터를 통과하는 플로우의 레코드를 저장합니다. 시스템에서 연결이라고도 하는 플로우는 특정 포트, 프로토콜, 애플리케이션 프로토콜을 사용하여 소스 호스트와 대상 호스트 간의 세션을 나타내는 연속된 패킷입니다. 이 NetFlow 데이터를 내보내도록 네트워크 디바이스를 구성할 수 있습니다. 이 문서에서는 이러한 방식으로 구성된 네트워크 디바이스를 NetFlow 엑스포터라고 합니다.

매니지드 디바이스를 구성하여 NetFlow 엑스포터에서 레코드를 수집하고, 이러한 레코드의 데이터를 바탕으로 단방향 연결 종료 이벤트를 생성하고, 마지막으로 해당 이벤트를 management center에 전송하여 연결 이벤트 데이터베이스에 로깅할 수 있습니다. NetFlow 연결의 정보를 기반으로 호스트 및 애플리케이션 프로토콜 정보를 데이터베이스에 추가하도록 네트워크 검색 정책을 구성할 수도 있습니다.

매니지드 디바이스에 의해 직접 수집된 데이터를 보완하기 위해 이 검색 및 연결 데이터를 사용할 수 있습니다. 이는 매니지드 디바이스에서 모니터링할 수 없는 NetFlow 엑스포터 모니터링 네트워크를 보유하고 있는 경우 특히 유용합니다.