• Rileva ogni dispositivo sulle reti assegnate
• Identifica sistemi operativi e servizi
• Verifica la presenza di vulnerabilità
• Può valutare Active Directory

Prima di iniziare

Occorrono:

• Una VM Linux per ogni rete
• Accesso root
• HTTPS in uscita
• Un account RECON con la scansione interna abilitata

Perché una per rete

La sonda utilizza ARP per rilevare ogni dispositivo della propria rete e leggerne l’indirizzo MAC. ARP non attraversa i router: un dispositivo situato in un’altra rete non può essere identificato in modo affidabile e una rete priva di sonda viene riportata come irraggiungibile anziché vuota.

Il conteggio delle reti

Contare i segmenti di rete — ogni VLAN o subnet con il proprio range di indirizzi. Quel numero corrisponde al numero di sonde.

Tre filiali con due VLAN ciascuna richiedono sei sonde.

In caso di dubbio, richiedere a chi gestisce il firewall l’elenco delle VLAN in uso.

Gruppi di sonde

Con più di una rete, creare prima un gruppo di sonde e installarvi tutte le sonde.

Le sonde appartenenti a un gruppo condividono un unico pool di licenze esteso a tutta l’infrastruttura; le sonde installate singolarmente prevedono una licenza individuale.

Una sola scansione di gruppo copre quindi tutti i membri, senza rinunciare alla consultazione della singola sonda o sede.

Come funziona

Si assegna alla macchina una connessione di rete virtuale per ogni VLAN. La sonda tratta quindi ogni VLAN come una rete locale e la scansiona con ARP, vedendo ogni dispositivo e leggendone l’indirizzo hardware (MAC), esattamente come una sonda fisicamente presente in quella rete. Senza questo, una rete raggiunta solo attraverso un router o un firewall viene scansionata male: i dispositivi bloccati dal firewall sono invisibili, non si leggono indirizzi hardware e il firewall può rallentare o bloccare la scansione.

Cosa fare

sudo ip link add link eth0 name eth0.30 type vlan id 30
sudo ip addr add 192.168.30.9/24 dev eth0.30
sudo ip link set eth0.30 up

In RECON puoi usare una sola sonda che ora vede tutte queste reti, oppure — più pulito e leggibile — installare una sonda per VLAN e inserirle in un unico gruppo. Ogni sonda gestisce una rete e un’unica scansione di gruppo le copre tutte.

Se le reti non sono sullo stesso switch, o non puoi configurare un trunk, installa invece una macchina separata con una sonda in ogni rete (vedi “Quante sonde servono”).

Dimensionamento

Misurato in produzione

Valori misurati in produzione: la sonda impiega circa 230 MB in idle, tocca un picco vicino a 1,25 GB durante una scansione, occupa 26 MB di disco e ha consumato 221 secondi di CPU in 45 giorni. La RAM è l’unico valore che richiede margine; lo storage indicato sopra è quasi interamente occupato dall’installazione Linux.

Requisiti dell’installer

L’installer richiede curl, systemctl, ip, grep, awk, sed e useradd — tutti presenti di default su ogni distribuzione elencata, comprese le installazioni minimali. Installazione e funzionamento richiedono root.

Distribuzioni note e funzionanti

Non supportati

Non supportati: Alpine, Devuan, Void e Gentoo/OpenRC (privi di systemd); Windows e macOS (solo Linux); container Docker e Podman (privi di systemd e della rete dell’host); sistemi a 32 bit, incluso Raspberry Pi OS 32-bit.

Verifica di idoneità della macchina

Per verificare l’idoneità di una macchina, eseguire:

systemctl --version
uname -m

Il secondo comando deve stampare x86_64 oppure aarch64.

In uscita, obbligatorio

HTTPS sulla porta TCP 443 verso recon.orizon.one. Nient’altro.

In ingresso, nessuno

Regola firewall

Dove il firewall supporta regole FQDN — Fortinet, Palo Alto, Check Point, Sophos, WatchGuard e pfSense le supportano tutti — consentire per hostname.

recon.orizon.one

Se le regole per hostname non sono disponibili, consentire in uscita su TCP 443 i seguenti range IPv4:

E per IPv6:

I range sono pubblicati su https://www.cloudflare.com/ips/ e possono essere ricontrollati in qualsiasi momento; dove il firewall lo consente, impostare una lista di indirizzi aggiornata automaticamente da quella fonte.

La sonda rispetta le variabili HTTPS_PROXY e NO_PROXY.

Prima dell’installazione, verificare la regola dall’host della sonda:

curl -I https://recon.orizon.one

Un esito diverso da HTTP/2 200 indica che anche l’installer fallirà.

Traffico sulla rete interna

Ogni sonda genera sweep ARP e ICMP, connessioni TCP verso porte di servizio comuni, query mDNS e NetBIOS e probe SMB, SSH e HTTP sulla propria rete.

sudo scout dashboard

Percorsi di installazione

• Raggiungibilità di rete verso un domain controller
• LDAP sulla porta 389 oppure LDAPS sulla porta 636
• Una credenziale di Domain Administrator, inserita una sola volta

Un account amministratore e la relativa password vengono inseriti una sola volta in RECON, seguiti da Connect. La sonda crea quindi un account di raccolta dedicato, in sola lettura e con privilegi minimi, gli delega esclusivamente le letture necessarie all’assessment e scarta la password dell’amministratore: non viene mai scritta su disco, memorizzata in una colonna di database o registrata nei log. Da quel momento l’intera raccolta viene eseguita con l’account in sola lettura e non effettua alcuna scrittura.

In alternativa all’amministratore è possibile fornire un account in sola lettura già esistente. La modalità è supportata ma secondaria: le letture necessarie vanno concesse manualmente e, finché non lo sono, alcuni controlli restano bloccati, come LAPS (ms-Mcs-AdmPwd) e la lettura delle password gMSA.

Rimozione di una sonda

Eseguire l’installer con il flag di disinstallazione, come root:

curl -fsSL https://recon.orizon.one/scout/install.sh | sudo bash -s -- --uninstall