Forescout [Lab 10] Cấu hình HPS Inspection với agent và agentless trên Forescout

Cấu hình HPS Inspection với agent và agentless trên Forescout​

• Agent-based (có cài agent) – sử dụng SecureConnector, cho phép thu thập thông tin thiết bị một cách chủ động, liên tục, và có thể thực thi các hành động nâng cao trực tiếp trên endpoint.
• Agentless (không cài agent) – sử dụng cơ chế Remote Inspection, truy vấn thiết bị Windows qua các giao thức như WMI, Remote Registry, RPC/SMB. Phù hợp cho hệ thống không muốn triển khai phần mềm trên máy trạm.

• Agent-based phù hợp với môi trường kiểm soát chặt, yêu cầu giám sát liên tục
• Agentless phù hợp với môi trường linh hoạt, không muốn tác động đến người dùng cuối

• Cấu hình HPS Inspection cho cả hai phương án: SecureConnector và Remote Inspection
• Kiểm tra và so sánh khả năng thu thập thông tin ở cả hai mô hình
• Xử lý một số lỗi thường gặp trong quá trình truy vấn

I. Giới thiệu công cụ HPS Inspection trong Forescout​

1. Khái niệm​

2. Chức năng chính của HPS Inspection​

• Kết nối và thu thập thông tin từ các điểm cuối Windows;
• Phân loại và đánh giá chức năng mạng của các thiết bị đầu cuối;
• Thực hiện kiểm tra sâu (deep inspection) nhằm khai thác chi tiết hệ điều hành, trạng thái bảo mật, dịch vụ đang chạy, ứng dụng được cài đặt và nhiều thuộc tính hệ thống khác.

3. Chế độ hoạt động​

• Agentless: Thông qua tính năng Remote Inspection, hệ thống có thể truy vấn các thiết bị Windows nằm trong các phân loại:
  • Windows Manageable Domain
  • Windows Manageable Domain (Current)
  • Windows Manageable Local

• Agent-based: Sử dụng SecureConnector, một ứng dụng nhẹ được cài trên điểm cuối để:
  • Gửi thông tin chi tiết về thiết bị về lại hệ thống Forescout;
  • Hỗ trợ thực hiện các hành động kiểm soát hoặc khắc phục từ xa.

4. Tùy chọn cấu hình​

• Thêm hoặc cập nhật thông tin xác thực truy cập domain Windows;
• Cấu hình các thông số cài đặt chung cho SecureConnector;
• Xác định tùy chọn khi triển khai hành động Start Windows Updates;
• Thiết lập phương pháp phân giải và giá trị mặc định cho các tham số;
• Xác định chi tiết các phương thức kiểm tra và các tuỳ chọn kết nối cần sử dụng.

II. Cấu hình SecureConnector (Agent Forescout)​

1. Cấu hình HPS Inspection Engine​

​

• Danh sách tài khoản quản trị: Đây là các tài khoản có quyền admin local/domain, dùng để Forescout kết nối và thao tác với endpoint trong các domain hoặc workgroup khác nhau.
• Add/Edit/Remove: Thêm, sửa, xóa thông tin tài khoản quản trị.

• Using MS-WMI: Sử dụng dịch vụ Windows Management Instrumentation để giao tiếp và thu thập thông tin từ endpoint.
• Using MS-RRP (Remote Registry): Sử dụng dịch vụ Remote Registry để truy vấn và thu thập thông tin cấu hình hệ thống từ registry của endpoint
• Kết hợp cả hai, tùy theo khả năng endpoint hỗ trợ

• MS-WMI: Chạy script qua dịch vụ WMI (không hỗ trợ script tương tác trên mọi endpoint).
• CounterACT fsprocsvc: Dùng dịch vụ riêng của Forescout (fsprocsvc.exe), tải về máy đích để chạy script tương tác, hỗ trợ nhiều tác vụ hơn như update AV, diệt virus, v.v

• NTLMv1: Phiên bản cũ, bảo mật yếu, dễ bị tấn công (như pass-the-hash, relay attack). Nên vô hiệu hóa hoàn toàn trong môi trường hiện đại.
• NTLMv2: Cải tiến hơn NTLMv1, hỗ trợ mã hóa mạnh hơn và xác thực phiên tốt hơn. Tuy nhiên, vẫn không có xác thực hai chiều như Kerberos, nên chỉ nên dùng khi Kerberos không khả dụng.
• Kerberos: Giao thức xác thực mặc định trong môi trường domain (Active Directory), bảo mật cao hơn, hỗ trợ xác thực hai chiều, ít bị tấn công hơn. Nên ưu tiên sử dụng Kerberos thay vì NTLM nếu có thể

• SMBv3.1.1: Chỉ cho phép endpoint hỗ trợ SMB từ phiên bản 3.1.1 trở lên, giảm rủi ro bảo mật.

• Nếu bật, endpoint phải bật SMB signing mới được quản lý từ xa, tăng bảo mật chống tấn công dạng relay trên SMB.

​

• Automatically upgrade Windows endpoints managed by SecureConnector to current SecureConnector version: Nếu bật, các endpoint Windows sẽ tự động được nâng cấp lên phiên bản SecureConnector mới nhất do CounterACT quản lý.

• Automatically run SecureConnector when using the Disable External Device action: Khi thực hiện hành động chặn thiết bị ngoại vi (Disable External Device), SecureConnector sẽ tự động được chạy trên endpoint. Đây là yêu cầu bắt buộc để thực hiện hành động này.
• Automatically run SecureConnector on Windows endpoints to increase frequency of Kill Process and other Kill application actions: Cho phép SecureConnector tự động chạy để tăng tần suất thực thi các hành động như Kill Process (kết thúc tiến trình) hoặc các hành động Kill ứng dụng khác trên endpoint.
• Automatically run SecureConnector when using the Disable Dual Homed action: Khi thực hiện hành động chặn Dual Homed (thiết bị có nhiều kết nối mạng), SecureConnector sẽ tự động được kích hoạt. Đây cũng là yêu cầu bắt buộc để thực hiện hành động này.
• Show balloon messages at desktop: Hiển thị thông báo dạng balloon trên desktop người dùng khi SecureConnector thực thi các hành động.

• Use SecureConnector to learn MAC addresses from the local ARP table: Nếu bật, SecureConnector sẽ lấy thông tin địa chỉ MAC từ bảng ARP cục bộ trên endpoint để hỗ trợ nhận diện thiết bị.

• SecureConnector Password Protection / Retype: Thiết lập và xác nhận mật khẩu bảo vệ cho SecureConnector, giúp ngăn chặn việc gỡ bỏ hoặc thay đổi cấu hình trái phép trên endpoint.

• Additional Appliance Connections: Khai báo thêm các kết nối đến các thiết bị CounterACT Appliance khác (nếu có) để tăng tính sẵn sàng hoặc dự phòng.

• Minimum supported TLS version: Chọn phiên bản TLS tối thiểu cho kết nối bảo mật giữa SecureConnector và CounterACT server (ở đây là TLS 1.2).
• CounterACT server verifies SecureConnector client certificate chain: Nếu bật, CounterACT sẽ xác thực chuỗi chứng chỉ của SecureConnector để tăng bảo mật.
• Check SecureConnector client certificate revocation status: Kiểm tra trạng thái thu hồi chứng chỉ của SecureConnector (ở đây không bật).
• Additional CDPs for CRL: Khai báo thêm các đường dẫn đến danh sách thu hồi chứng chỉ (CRL).
• Soft-fail OCSP requests: Nếu bật, sẽ cho phép bỏ qua lỗi OCSP nhẹ khi kiểm tra trạng thái chứng chỉ.

​

​

2. Cài đặt SecureConnector​

​

• Permanent As Service:
  • SecureConnector chạy như một dịch vụ hệ thống (Windows Service, macOS Daemon), khởi động cùng hệ điều hành, không phụ thuộc vào phiên đăng nhập người dùng.
  • Thường dùng cho các môi trường cần bảo vệ liên tục, hoặc với các thiết bị không phải lúc nào cũng có người dùng đăng nhập.
• Permanent As Application:
  • SecureConnector chạy như một ứng dụng thông thường, chỉ hoạt động khi người dùng đăng nhập.
  • Dễ dàng tương tác, có thể hiện biểu tượng trên systray, phù hợp cho môi trường người dùng cuối.
• Dissolvable:
  • SecureConnector chỉ tồn tại tạm thời, tự động xóa sau khi hoàn thành nhiệm vụ.
  • Phù hợp cho các kịch bản kiểm tra nhanh, không muốn để lại agent trên máy

​

​

3. Gỡ cài đặt SecureConnector​

​

​

SecureConnector.exe -uninstall [-silent] [-p <password>]

III. Cấu hình Remote Inspection (Agentless)​

1. Cấu hình Remote Inspection cho các máy tính WORKGROUP​

​

​

​

​

​

​

2. Cấu hình Remote Inspection cho các máy tính Join Domain​

IV. Kết luận​

• Với agent, bạn có khả năng giám sát liên tục, tương tác sâu với endpoint, phù hợp với môi trường kiểm soát chặt chẽ.
• Với agentless, bạn giảm được chi phí triển khai, không tác động đến người dùng cuối nhưng vẫn đảm bảo thu thập đầy đủ thông tin nếu đáp ứng đúng yêu cầu hạ tầng (mở port, quyền quản trị…).