Forescout [Part 5] Giới thiệu về module HPS Inspection Engine (Công cụ kiểm tra thuộc tính thiết bị đầu cuối Window)

Giới thiệu về module HPS Inspection Engine (Công cụ kiểm tra thuộc tính thiết bị đầu cuối Window)​

- Trong hệ thống NAC của Forescout, khả năng thu thập thông tin chi tiết từ các thiết bị đầu cuối là yếu tố quan trọng để đảm bảo kiểm soát và đánh giá chính xác mức độ tuân thủ bảo mật. HPS Inspection Engine (Host Property Scanner) là module chuyên trách cho nhiệm vụ này, tập trung vào việc truy vấn và phân tích các thiết bị Windows.

- HPS có thể hoạt động theo hai phương thức:

• Agentless, dùng các giao thức như WMI, RPC, Remote Registry để truy vấn thông tin mà không cần cài phần mềm.
• Agent-based, sử dụng SecureConnector – một agent nhẹ cài trên endpoint, cho phép thực hiện hành động kiểm soát sâu hơn.

- Trong phần này, bạn sẽ tìm hiểu nguyên lý hoạt động, các chế độ thu thập, yêu cầu kỹ thuật và vai trò trung tâm của HPS Inspection trong việc tích hợp thông tin thiết bị vào quy trình NAC của Forescout.

Mục lục:

I. Khái niệm HPS Inspection Engine​

1. Khái niệm HPS Inspection Engine​

- HPS Inspection Engine (Host Property Scanner) – một thành phần thuộc Endpoint Module, chuyên thu thập thông tin chi tiết từ các máy tính chạy hệ điều hành Windows. Thông tin này bao gồm: phiên bản hệ điều hành, domain, phần mềm đã cài, trạng thái antivirus, bản vá, dịch vụ đang chạy, v.v.

- HPS có thể hoạt động theo hai chế độ:

• Agent-based (có cài agent) – sử dụng SecureConnector, cho phép thu thập thông tin thiết bị một cách chủ động, liên tục, và có thể thực thi các hành động nâng cao trực tiếp trên endpoint.
• Agentless (không cài agent) – sử dụng cơ chế Remote Inspection, truy vấn thiết bị Windows qua các giao thức như WMI, Remote Registry, RPC/SMB. Phù hợp cho hệ thống không muốn triển khai phần mềm trên máy trạm.

- Mỗi phương pháp đều có ưu điểm riêng:

• Agent-based phù hợp với môi trường kiểm soát chặt, yêu cầu giám sát liên tục
• Agentless phù hợp với môi trường linh hoạt, không muốn tác động đến người dùng cuối

2. Chế độ hoạt động của SecureConnector​

- Có 3 mode

• Install Permanent As Service
  • Cài đặt như một dịch vụ hệ thống (service) trên Windows, macOS hoặc Linux.
  • Luôn chạy nền với quyền SYSTEM (Windows) hoặc root (Linux/macOS), hoạt động liên tục kể cả khi không có user đăng nhập.
  • Đảm bảo khả năng kiểm soát sâu, real-time, thực thi action/script nâng cao, và giám sát mọi thay đổi trên endpoint.
• Install Permanent As Application
  • Cài đặt như một ứng dụng thông thường, chạy dưới quyền user đăng nhập.
  • Chỉ hoạt động khi user đăng nhập, quyền kiểm soát phụ thuộc vào quyền user.
  • Phù hợp với môi trường hạn chế cài đặt service hệ thống hoặc muốn hạn chế quyền của agent.
• Install Dissolvable
  • Agent tạm thời, chỉ tồn tại trong một phiên kiểm tra (session), tự động gỡ bỏ sau khi hoàn thành nhiệm vụ.
  • Không để lại dấu vết trên hệ thống, phù hợp cho kiểm tra nhanh, thiết bị khách (guest/BYOD), hoặc khi không muốn cài agent lâu dài

- Bảng so sánh

• Permanent As Service là lựa chọn tối ưu cho môi trường doanh nghiệp cần bảo mật cao, kiểm soát sâu, tự động hóa remediation, và cần agent luôn sẵn sàng hoạt động bất kể trạng thái user.
• Permanent As Application phù hợp với môi trường user không cho phép cài service hệ thống, hoặc muốn hạn chế quyền của agent, nhưng có thể bị hạn chế về tính năng.
• Dissolvable lý tưởng cho kiểm tra nhanh, guest, thiết bị BYOD hoặc các trường hợp không muốn để lại agent trên máy sau khi kiểm tra.

3. Chế độ hoạt động của Remote Inspection​

• WMI (Windows Management Instrumentation):
  Là phương thức truy vấn và thu thập thông tin hệ thống, ứng dụng, trạng thái bảo mật, user, process... từ Windows endpoint thông qua dịch vụ WMI. Đây là phương thức agentless mặc định, sử dụng tài khoản có quyền quản trị để truy cập từ xa vào endpoint.

• RRP (Remote Registry Protocol/MS-RRP):
  Là phương thức truy vấn registry và thực thi một số tác vụ trên Windows endpoint thông qua dịch vụ Remote Registry và RPC. Nếu WMI không khả dụng hoặc không đủ quyền, Forescout có thể chuyển sang dùng RRP để tiếp tục thu thập thông tin

- Bảng so sánh

II. So sánh Action của HPS Inspection ở chế độ agent và agentless​

- Action nhóm Notify

- Action nhóm Audit


- Action nhóm Authenticate


- Action nhóm Remediate

- Action nhóm Restrict

III. So sánh Property của HPS Inspection ở chế độ agent và agentless​

- Event-driven, real-time thay vì polling: Agent sẽ cập nhật property ngay khi có thay đổi trên endpoint, không phải chờ polling định kỳ như agentless. Điều này giúp phản ứng nhanh, chính xác và giảm độ trễ phát hiện.

- Property cần fsprocsvc khi dùng Remote Inspection:

• Windows Expected Script Result
• Device Interfaces
• Number of IP Addresses
• External Devices
• Windows File MD5 Signature
• Windows Is Behind NAT
• Microsoft Vulnerabilities

IV. Kết luận​

- HPS Inspection Engine đóng vai trò thiết yếu trong kiến trúc NAC của Forescout, giúp hệ thống thu thập thông tin chi tiết từ các endpoint Windows nhằm phục vụ phân loại, đánh giá tuân thủ và ra quyết định kiểm soát. Với hai phương thức hoạt động – agent và agentless – HPS mang lại sự linh hoạt cao, phù hợp với đa dạng môi trường triển khai. Việc nắm vững nguyên lý và cách cấu hình HPS là nền tảng để khai thác tối đa hiệu quả kiểm soát đầu cuối trong toàn bộ hệ thống.