Quando si apre la finestra di stampa: scegli "Salva come PDF", poi deseleziona "Intestazioni e piè di pagina" in Altre impostazioni.
Scout Probe — Requisiti di Deployment e Guida all’Installazione
Che cos’è la Scout Probe
La Scout Probe è un agent Linux leggero installato all’interno della rete. I risultati vengono inviati a Orizon RECON su un’unica connessione HTTPS in uscita.
- Rileva ogni dispositivo sulle reti assegnate
- Identifica sistemi operativi e servizi
- Verifica la presenza di vulnerabilità
- Può valutare Active Directory
Prima di iniziare
Occorrono:
- Una VM Linux per ogni rete
- Accesso root
- HTTPS in uscita
- Un account RECON con la scansione interna abilitata
Quante sonde servono
Perché una per rete
La sonda utilizza ARP per rilevare ogni dispositivo della propria rete e leggerne l’indirizzo MAC. ARP non attraversa i router: un dispositivo situato in un’altra rete non può essere identificato in modo affidabile e una rete priva di sonda viene riportata come irraggiungibile anziché vuota.
Cosa una sonda può e non può vedere
La stessa sonda, tre situazioni. Solo la prima produce un risultato completo.
Il conteggio delle reti
Contare i segmenti di rete — ogni VLAN o subnet con il proprio range di indirizzi. Quel numero corrisponde al numero di sonde.
Tre filiali con due VLAN ciascuna richiedono sei sonde.
In caso di dubbio, richiedere a chi gestisce il firewall l’elenco delle VLAN in uso.
Gruppi di sonde
Con più di una rete, creare prima un gruppo di sonde e installarvi tutte le sonde.
Le sonde appartenenti a un gruppo condividono un unico pool di licenze esteso a tutta l’infrastruttura; le sonde installate singolarmente prevedono una licenza individuale.
Una sola scansione di gruppo copre quindi tutti i membri, senza rinunciare alla consultazione della singola sonda o sede.
Un gruppo di sonde in RECON
Le sonde di un gruppo condividono un unico pool di licenze e vengono analizzate insieme da una sola scansione di gruppo.
Una sonda, come la mostra RECON
Ogni sonda riporta il proprio host, la rete di destinazione, i dispositivi rilevati e l’heartbeat.
Requisiti dell’host
Ogni sonda richiede una macchina dedicata.
Dimensionamento
| vCPU | RAM | Storage | |
|---|---|---|---|
| Minimo | 1 | 2 GB | 8 GB |
| Consigliato | 2 | 4 GB | 16 GB |
Misurato in produzione
Valori misurati in produzione: la sonda impiega circa 230 MB in idle, tocca un picco vicino a 1,25 GB durante una scansione, occupa 26 MB di disco e ha consumato 221 secondi di CPU in 45 giorni. La RAM è l’unico valore che richiede margine; lo storage indicato sopra è quasi interamente occupato dall’installazione Linux.
Requisiti dell’installer
L’installer richiede curl, systemctl, ip, grep, awk, sed e useradd — tutti presenti di default su ogni distribuzione elencata, comprese le installazioni minimali. Installazione e funzionamento richiedono root.
Sistema operativo
Linux con systemd, su x86-64 o ARM64. Non esiste alcuna allowlist di distribuzioni: l’installer non installa pacchetti e non differenzia il comportamento in base alla distribuzione.
Distribuzioni note e funzionanti
| Distribuzione | Versioni |
|---|---|
| Ubuntu | 20.04 LTS, 22.04 LTS, 24.04 LTS, 25.04, 25.10 |
| Debian | 11, 12, 13 |
| Red Hat Enterprise Linux | 8, 9, 10 |
| Rocky Linux | 8, 9, 10 |
| AlmaLinux | 8, 9, 10 |
| CentOS Stream | 9, 10 |
| Oracle Linux | 8, 9 |
| Amazon Linux | 2023 |
| Fedora | 41, 42, 43 |
| openSUSE Leap | 15.5, 15.6 |
| SUSE Linux Enterprise Server | 15 SP4+ |
| Arch Linux | rolling |
| Raspberry Pi OS | 12, 64-bit |
Non supportati
Non supportati: Alpine, Devuan, Void e Gentoo/OpenRC (privi di systemd); Windows e macOS (solo Linux); container Docker e Podman (privi di systemd e della rete dell’host); sistemi a 32 bit, incluso Raspberry Pi OS 32-bit.
Verifica di idoneità della macchina
Per verificare l’idoneità di una macchina, eseguire:
systemctl --version
uname -mIl secondo comando deve stampare x86_64 oppure aarch64.
Requisiti di rete
In uscita, obbligatorio
HTTPS sulla porta TCP 443 verso recon.orizon.one. Nient’altro.
In ingresso, nessuno
Regola firewall
Dove il firewall supporta regole FQDN — Fortinet, Palo Alto, Check Point, Sophos, WatchGuard e pfSense le supportano tutti — consentire per hostname.
recon.orizon.oneSe le regole per hostname non sono disponibili, consentire in uscita su TCP 443 i seguenti range IPv4:
| 173.245.48.0/20 | 103.21.244.0/22 | 103.22.200.0/22 |
| 103.31.4.0/22 | 141.101.64.0/18 | 108.162.192.0/18 |
| 190.93.240.0/20 | 188.114.96.0/20 | 197.234.240.0/22 |
| 198.41.128.0/17 | 162.158.0.0/15 | 104.16.0.0/13 |
| 104.24.0.0/14 | 172.64.0.0/13 | 131.0.72.0/22 |
E per IPv6:
| 2400:cb00::/32 | 2606:4700::/32 | 2803:f800::/32 |
| 2405:b500::/32 | 2405:8100::/32 | 2a06:98c0::/29 |
| 2c0f:f248::/32 |
I range sono pubblicati su https://www.cloudflare.com/ips/ e possono essere ricontrollati in qualsiasi momento; dove il firewall lo consente, impostare una lista di indirizzi aggiornata automaticamente da quella fonte.
La sonda rispetta le variabili HTTPS_PROXY e NO_PROXY.
Prima dell’installazione, verificare la regola dall’host della sonda:
curl -I https://recon.orizon.oneUn esito diverso da HTTP/2 200 indica che anche l’installer fallirà.
Traffico sulla rete interna
Ogni sonda genera sweep ARP e ICMP, connessioni TCP verso porte di servizio comuni, query mDNS e NetBIOS e probe SMB, SSH e HTTP sulla propria rete.
Installazione
Ripetere per ogni rete. A ciascuna corrispondono una VM, una sonda e una chiave API dedicate.
Con più di una rete, creare prima il gruppo di sonde (Probes → Add probe group), quindi aggiungere le sonde dall’interno del gruppo, così da associarle automaticamente e condividerne il pool di licenze. Assegnare alla sonda un nome che ne identifichi la posizione, per esempio HQ-Servers-VLAN10.
Copiare il comando di installazione mostrato: contiene credenziali univoche di quella sonda.
Predisporre la VM sulla rete da analizzare e verificare la raggiungibilità della piattaforma:
curl -I https://recon.orizon.oneIncollare come root il comando copiato. Si presenta in questa forma:
curl -fsSL https://recon.orizon.one/scout/install.sh | sudo bash -s -- \
--probe-id <probe-id> \
--api-key <api-key> \
--install-token <install-token> \
--endpoint https://recon.orizon.one \
--binary-version <version>Copiare il comando da RECON anziché digitarlo: l’install token è monouso. L’installer verifica l’host, scarica il binario, registra un servizio systemd e iscrive la sonda. Richiede circa un minuto ed è disponibile in inglese, italiano e spagnolo.
La sonda compare in RECON come Online in pochi istanti. Sull’host, il pannello di stato integrato ne riporta la condizione:
sudo scout dashboardIl servizio si avvia al boot, si riavvia in caso di errore e si aggiorna da solo quando è in idle.
Aprire la sonda in RECON e indicarne le reti in forma CIDR. Elencare soltanto la rete su cui la sonda si trova.
Selezionare la sonda, scegliere Scan, confermare le reti e avviare.
Percorsi di installazione
Una sonda per rete, un’unica infrastruttura in RECON
Ogni sonda presidia il proprio segmento e la propria chiave. È il gruppo a renderle un unico risultato.
Active Directory (opzionale)
L’assessment delle identità, opzionale, richiede:
- Raggiungibilità di rete verso un domain controller
- LDAP sulla porta 389 oppure LDAPS sulla porta 636
- Una credenziale di Domain Administrator, inserita una sola volta
Un account amministratore e la relativa password vengono inseriti una sola volta in RECON, seguiti da Connect. La sonda crea quindi un account di raccolta dedicato, in sola lettura e con privilegi minimi, gli delega esclusivamente le letture necessarie all’assessment e scarta la password dell’amministratore: non viene mai scritta su disco, memorizzata in una colonna di database o registrata nei log. Da quel momento l’intera raccolta viene eseguita con l’account in sola lettura e non effettua alcuna scrittura.
In alternativa all’amministratore è possibile fornire un account in sola lettura già esistente. La modalità è supportata ma secondaria: le letture necessarie vanno concesse manualmente e, finché non lo sono, alcuni controlli restano bloccati, come LAPS (ms-Mcs-AdmPwd) e la lettura delle password gMSA.
Risoluzione dei problemi
| La sonda risulta Offline | Controllare sudo systemctl status scout, quindi verificare che l’HTTPS in uscita verso recon.orizon.one sia consentito. |
| L’installer non riesce a scaricare | Il firewall sta bloccando recon.orizon.one — nella maggior parte dei casi per una regola fissata su indirizzi IP specifici. |
| Una rete risulta irraggiungibile | Quella rete non ha una sonda, oppure la sonda non riesce a raggiungerla. Installare una sonda su quella rete. È la soluzione prevista, non un errore da aggirare. |
| Dispositivi rilevati in numero inferiore al previsto | O la rete viene analizzata attraverso un router anziché dalla propria sonda, oppure un IDS, IPS o NAC sta bloccando il traffico di scansione. |
| L’installer si rifiuta di partire | Richiede Linux, systemd e root. |
| Active Directory non restituisce risultati | Verificare che la sonda raggiunga un domain controller sulla porta 389 o 636 e che le credenziali amministrative fossero valide. RECON riporta il motivo dell’errore. |
Rimozione di una sonda
Eseguire l’installer con il flag di disinstallazione, come root:
curl -fsSL https://recon.orizon.one/scout/install.sh | sudo bash -s -- --uninstallRiferimento rapido
| Sonde | Una VM con una Scout Probe per ogni segmento di rete; il gruppo consente una licenza condivisa |
| Sistema operativo | Linux con systemd, x86-64 o ARM64 |
| Dimensionamento | Minimo 1 vCPU / 2 GB / 8 GB; consigliato 2 vCPU / 4 GB / 16 GB |
| Ingombro | Circa 230 MB in idle, picco vicino a 1,25 GB, 26 MB su disco |
| Rete | HTTPS 443 in uscita verso recon.orizon.one, per hostname e non per IP; nessun traffico in ingresso |
| Privilegi | Root; una chiave API univoca per sonda |
| Active Directory | Amministratore una sola volta per il provisioning, sola lettura in seguito |