La détection passive est la méthode par défaut du système pour remplir la cartographie du réseau en analysant le trafic réseau (et toutes les données NetFlow exportées). La détection passive fournit des informations contextuelles sur les actifs de votre réseau, tels que les systèmes d’exploitation et les applications en cours d’exécution.

Si le trafic provenant d’un hôte surveillé n’offre pas de preuve concluante du système d’exploitation de l’hôte, la cartographie du réseau affiche le système d’exploitation le plus probable. Par exemple, un périphérique NAT peut sembler exécuter plusieurs systèmes d’exploitation en raison des hôtes « derrière » le périphérique NAT. Pour faire cette détermination la plus probable, le système utilise une valeur de confiance qu’il affecte à chaque système d’exploitation détecté, et la quantité de données concordantes parmi les systèmes d’exploitation détectés.

Remarque

Le système ne prend pas en compte les applications et les systèmes d’exploitation « inconnus » signalés dans sa détermination.

Si la détection passive identifie de manière inexacte vos actifs réseau, réfléchissez au positionnement de vos périphériques gérés. Vous pouvez également augmenter les capacités de détection passive du système à l'aide d'empreintes digitales de système d’exploitation et des détecteurs d’application personnalisés. Vous pouvez aussi utiliser la détection active, qui n’est pas basée sur une analyse du trafic, mais qui vous permet de mettre à jour directement la cartographie du réseau à l’aide des résultats de l’analyse ou d’autres sources d’information.

La détection active ajoute aux mappages du réseau les informations sur l’hôte collectées par les sources actives. Par exemple, vous pouvez utiliser l’analyseur Nmap pour analyser activement les hôtes que vous ciblez sur votre réseau. Nmap détecte les systèmes d’exploitation et les applications sur les hôtes.

En outre, la fonction d’entrée de l’hôte vous permet d’ajouter activement des données d'entrée de l'hôte aux mappages du réseau. Il existe deux catégories différentes de données d’entrée d’hôte :

• données d'entrée de l'utilisateur : données ajoutées par l'intermédiaire de l'interface utilisateur du système Firepower. Vous pouvez modifier le système d’exploitation d’un hôte ou l’identité d’application au moyen de cette interface.

• données d'entrée importées de l'hôte : données importées à l'aide d'un utilitaire de ligne de commande.

Le système conserve une identité pour chaque source active. Lorsque vous exécutez une instance d’analyse Nmap, par exemple, les résultats de l’analyse précédente sont remplacés par les nouveaux résultats de l’analyse. Cependant, si vous exécutez une analyse Nmap puis remplacez ces résultats par les données d’un client dont les résultats sont importés via la ligne de commande, le système conserve à la fois les identités des résultats Nmap et les identités du client d’importation. Le système utilise ensuite les priorités définies dans la politique de découverte de réseau pour déterminer l’identité active à utiliser comme identité actuelle.

Notez que les entrées de l’utilisateur sont considérées comme une source, même si elle provient de différents utilisateurs. Par exemple, si l’Utilisateur A définit le système d’exploitation via le profil d’hôte, puis l’Utilisateur B modifie cette définition via le profil d’hôte, la définition définie par l’Utilisateur B est conservée et la définition définie par l’Utilisateur A est supprimée. En outre, notez que l’entrée de l’utilisateur remplace toutes les autres sources actives et est utilisée comme identité actuelle, si elle existe.

L’ identité actuelle d’une application ou d’un système d’exploitation sur un hôte est l’identité que le système juge la plus susceptible d’être correcte.

Le système utilise l’identité actuelle d’un système d’exploitation ou d’une application aux fins suivantes :

• affecter des vulnérabilités à un hôte

• pour l'évaluation des incidences

• lors de l’évaluation des règles de corrélation écrites par rapport aux identifications du système d’exploitation, aux qualifications du profil d’hôte et aux listes de conformité autoriser

• à afficher dans les tableaux Hôtes et Serveurs des flux de travail

• à afficher dans le profil d’hôte

• pour calculer les statistiques du système d’exploitation et des applications sur la page des statistiques de découverte

Le système utilise les priorités de source pour déterminer quelle identité active doit être utilisée comme identité actuelle pour une application ou un système d’exploitation.

Par exemple, si un utilisateur définit le système d’exploitation sur Windows Server 2003 sur un hôte, Windows 2003 Server est l’identité actuelle. Les attaques qui ciblent les vulnérabilités de Windows 2003 Server sur cet hôte ont une incidence plus importante, et les vulnérabilités répertoriées pour cet hôte dans le profil d'hôte incluent les vulnérabilités de Windows 2003 Server.

La base de données peut conserver des informations provenant de plusieurs sources pour le système d’exploitation ou pour une application particulière sur un hôte.

Le système traite une identité de système d’exploitation ou d’application comme l’identité actuelle lorsque la source des données a la priorité de source la plus élevée. Les sources possibles ont l’ordre de priorité suivant :

1. utilisateur

2. l’analyseur et l’application (définis dans la politique de découverte de réseau)

3. périphériques gérés

4. enregistrements NetFlow

Une nouvelle identité d’application de priorité supérieure ne remplacera pas une identité d’application actuelle si elle comporte moins de détails que l’identité actuelle.

En outre, lorsqu’un conflit d’identité survient, la résolution du conflit dépend des paramètres de la politique de découverte de réseau ou de votre résolution manuelle.

Lorsque le système détecte plusieurs connexions au même hôte par différents utilisateurs, il suppose qu’un seul utilisateur est connecté à un hôte à la fois et que l’utilisateur actuel d’un hôte est le dernier utilisateur faisant autorité à la connexion. Si seules des connexions d’utilisateur ne faisant pas autorité ont été connectées à l’hôte, la dernière connexion d’utilisateur ne faisant pas autorité est considérée comme l’utilisateur actuel. Si plusieurs utilisateurs sont connectés par l’intermédiaire de sessions à distance, le dernier utilisateur signalé par le serveur est celui signalé à la centre de gestion.

Lorsque le système détecte plusieurs connexions au même hôte par le même utilisateur, le système enregistre la première fois qu’un utilisateur se connecte à un hôte spécifique et ignore les connexions ultérieures. Si un utilisateur est la seule personne à se connecter à un hôte particulier, la seule connexion enregistrée par le système est la connexion d’origine.

Si un autre utilisateur se connecte à cet hôte, le système enregistre la nouvelle connexion. Ensuite, si l’utilisateur initial se reconnecte, sa nouvelle connexion est enregistrée.

Un conflit d’identité se produit lorsque le système signale une nouvelle identité passive qui est en conflit avec l’identité active actuelle et des identités passives précédemment signalées. Par exemple, l’identité passive précédente pour un système d’exploitation est Windows 2000, puis une identité active de Windows XP devient l’identité active de Windows XP. Ensuite, le système détecte une nouvelle identité passive d’Ubuntu Linux 8.04.1. Les identités de Windows XP et d’Ubuntu Linux sont en conflit.

En cas de conflit d’identité pour l’identité du système d’exploitation de l’hôte ou de l’une des applications de l’hôte, le système répertorie les deux identités en conflit comme actuelles et les utilise pour évaluer l’impact jusqu’à ce que le conflit soit résolu.

Un utilisateur disposant de privilèges d’administrateur peut résoudre automatiquement les conflits d’identité en choisissant de toujours utiliser l’identité passive ou de toujours utiliser l’identité active. Sauf si vous désactivez la résolution automatique des conflits d’identité, les conflits d’identité sont toujours résolus de cette manière.

Un utilisateur disposant de privilèges d’administrateur peut également configurer le système pour générer un événement en cas de conflit d’identité. Cet utilisateur peut ensuite configurer une politique de corrélation avec une règle de corrélation qui utilise une analyse Nmap comme réponse de corrélation. Lorsqu’un événement se produit, Nmap analyse l’hôte pour obtenir les mises à jour du système d’exploitation et des données d’application de l’hôte.

NetFlow est une application de Cisco IOS qui fournit des statistiques sur les paquets circulant dans un routeur. Il est disponible sur les périphériques réseau Cisco et peut également être intégré dans les périphériques Juniper, FreeBSD et OpenBSD.

Lorsque NetFlow est activé sur un périphérique réseau, une base de données sur le périphérique (le cache NetFlow) stocke les enregistrements des flux qui passent par le routeur. Un flux, appelé connexion dans le système, est une séquence de paquets qui représente une session entre un hôte source et un hôte de destination, à l’aide de ports, d’un protocole et d’un protocole d’application spécifiques. Le périphérique réseau peut être configuré pour exporter ces données NetFlow. Dans cette documentation, les périphériques réseau configurés de cette manière sont appelés exportateurs NetFlow.

Les périphériques gérés peuvent être configurés pour collecter les enregistrements des exportateurs NetFlow, générer des événements de fin de connexion unidirectionnels en fonction des données de ces enregistrements et finalement envoyer ces événements à centre de gestion pour être enregistrés dans la base de données des événements de connexion. Vous pouvez également configurer la politique de découverte de réseau pour ajouter des informations sur l’hôte et le protocole d’application à la base de données en fonction des informations des connexions NetFlow.

Vous pouvez utiliser ces données de découverte et de connexion pour compléter les données recueillies directement par vos périphériques gérés. Cette fonction est particulièrement utile si des exportateurs NetFlow surveillent des réseaux que les appareils gérés ne peuvent pas surveiller.