ConnectMyAssets ist ein Werkzeug zur Netzwerkerkennung, gebaut für Produktionsnetze. Unser Netzwerkscanner sendet zwei winzige Sonden pro Adresse, öffnet keine Verbindung und hält keinen Zustand pro Adresse: Er findet jeden Host in großen und sensiblen Netzwerken, OT eingeschlossen, ohne sie zu belasten. Jeder gefundene Host wird anschließend geprüft (offene Ports, erkannte Dienste, TLS-Zertifikate), und die per SSH erreichbaren Geräte werden in Ihr Inventar übernommen.
Demo anfordernSie übernehmen ein Netzwerk, das Sie nicht aufgebaut haben? Durchsuchen Sie den gesamten Adressplan und erhalten Sie in einem Durchlauf die antwortenden Hosts, ihre offenen Ports und die Dienste dahinter. Per SSH erreichbare Geräte werden zu Einträgen Ihrer CMDB; die übrigen werden als nicht verwaltete Geräte aufgelistet, nie vergessen.
Durchsuchen Sie /16-Blöcke und Hunderte Standorte, ohne WAN-Verbindungen zu sättigen. Eine einzige, plattformweit festgelegte Ratenobergrenze begrenzt, was alle Scans zusammen senden, und stumme Adressen kosten einige Dutzend Byte statt jeweils eines Verbindungs-Timeouts.
Scannen Sie OT-Netzwerke mit der nötigen Sorgfalt. Für jedes Subnetz legen Sie fest, was ConnectMyAssets darf: nichts, nur Erkennung, Erkennung und Ports oder vollständige Erfassung. Auf den Ports von SPSen und Industrieprotokollen (Modbus, S7, DNP3, EtherNet/IP, IEC 60870-5-104, BACnet) schreibt die Diensterkennung kein einziges Byte: Sie hört nur zu.
Legen Sie die Ports fest, die geschlossen bleiben müssen (Telnet, RDP, SMB, VNC...), und erhalten Sie einen Alarm, sobald ein Scan einen davon offen findet. Jeder Scan ist datiert und wiederholbar, was Auditoren ein Inventar liefert, dem sie vertrauen können.
Die Hosts zu finden, ist nur der Anfang. Jeder Scan prüft, was er findet, und hält Inventar, Topologie und Alarme im Gleichschritt mit dem realen Netzwerk.
Unsere Netzwerksonden bauen wir selbst, Paket für Paket, um sehr große Umgebungen zu erkennen, ohne die Netzwerke unserer Kunden zu überlasten. Sie sind deutlich leichter als die Sonden, auf die die meisten Discovery-Tools setzen (vollständige TCP-Verbindungen, SNMP-Abfragen, der standardmäßige 84-Byte-Ping), und genau diese Leichtigkeit macht die Erkennung so schnell: Im Produktionsnetz eines Kunden wird ein vollständiges 10.0.0.0/8, mehr als 16 Millionen Adressen, in rund fünfzehn Minuten erkannt.
Ein TCP-SYN an Port 22 und ein ICMP-Echo pro Adresse, direkt auf die Leitung geschrieben. Es wird keine Verbindung geöffnet und keine Tabelle wächst mit der Größe des Netzwerks, sodass ein /16 ConnectMyAssets nicht mehr Speicher kostet als ein /24. Auch Hosts, die nur auf Ping antworten, werden gefunden.
Wählen Sie die TCP-Ports, die auf jedem gefundenen Host geprüft werden. Port 22 und ICMP werden immer geprüft; rund dreißig bekannte Ports (HTTPS, LDAPS, RDP, SMB, Datenbanken, WinRM...) sind vorbereitet und mit einem Klick aktiviert. Die Seite zeigt, was jeder zusätzliche Port auf der Leitung kostet.
Jeder offene Port wird erkannt: der Dienst, das Produkt und seine Version, wenn der Dienst sie nennt (OpenSSH 10.0, nginx 1.27...), das TLS-Zertifikat und die TLS-Version, der HTTP-Status, Server und Seitentitel. Ein nicht erkannter Dienst wird als nicht identifiziert gemeldet, nie geraten.
Aktivieren Sie „Alarm, wenn offen“ für einen Port, der geschlossen bleiben muss. Der nächste Scan, der ihn offen findet, löst in Soron einen Alarm aus, gemeldet in der Anwendung, per E-Mail, Syslog oder Webhook an das zuständige Team.
Schützen Sie, was nicht angetastet werden darf. Jeder IPv4-Bereich erhält eine Stufe: Gesperrt (nichts wird gesendet), Nur Erkennung, Erkennung und Ports (alle geprüften Ports oder eine Auswahl, mit oder ohne Erkennung) oder vollständige Erfassung. Wo sich Regeln überschneiden, gilt Port für Port die restriktivste.
Planen Sie Scans je Gerätegruppe mit einem Cron-Ausdruck, bis hin zu alle 5 Minuten, und starten Sie einen Sofortscan von jeder Geräteseite, wenn Sie sofort eine Antwort brauchen. Eine Port-Sonde für einen einzelnen Host prüft beliebige Portbereiche auf einem Gerät.
Per SSH erreichbare Geräte werden ohne Agent erfasst und über ihre Seriennummer identifiziert. Inventar und Topologie werden aus jedem Scan neu aufgebaut: die reale Karte der verbundenen Geräte, immer aktuell, kein Diagramm von vor einem Jahr.
Für Netzwerk- und Security-Engineers: was auf die Leitung geht, wie Antworten vertraut wird und wie sich ConnectMyAssets selbst schützt.
Ein 44-Byte-TCP-SYN an Port 22 (IPv4-Header ohne Optionen, DF gesetzt, eine MSS-Option) und eine 36-Byte-ICMP-Echo-Anfrage, auf Raw Sockets geschrieben. Der Handshake wird während der Discovery nie abgeschlossen. Eine stumme Adresse wird noch einmal geprüft; sonst wird nichts an sie gesendet.
Jede Sonde trägt ein SipHash-1-3-Cookie unter einem für den Scan gezogenen 128-Bit-Schlüssel, in der TCP-Sequenznummer oder in Kennung, Sequenz und Daten des ICMP. Eine Antwort wird nur für die Adresse und den Port akzeptiert, auf die sie antwortet, im Scan, zu dem sie gehört: Gefälschte und wiederholte Antworten werden verworfen.
Sie legen die Obergrenze fest, die Ihr Netzwerk verträgt, in Adressen oder Paketen pro Sekunde. Jeder Scan zieht daraus, sodass mehrere Scans zusammen sie nie überschreiten, und zwei Scans decken nie gleichzeitig dieselben Adressen ab.
Die beiden Raw Sockets werden beim Start geöffnet, bevor irgendetwas von der Festplatte oder aus dem Netzwerk gelesen wird. Danach gibt der Prozess alle Privilegien ab (nicht privilegierter Benutzer 65532, keine Capability mehr, kein Core-Dump) und prüft das Ergebnis gegen den Kernel; schlägt eine einzige Prüfung fehl, verweigert er den Start.
ConnectMyAssets erkennt sensible Ports vorab: Raw-Druck (9100 bis 9107, 515), Industrieprotokolle (502, 102, 20000, 44818, 2404, 47808) und BGP (179). Sie werden standardmäßig nicht geprüft. Wenn Sie sie scannen möchten, aktivieren Sie sie ausdrücklich, und die Erkennung wartet dann nur auf eine Begrüßung: Es wird kein Byte gedruckt, kein fehlerhafter Frame erreicht eine Steuerung.
Auf einem offenen Port darf der Dienst zuerst sprechen (SSH, FTP, SMTP...); andernfalls läuft eine eigene Sonde für den bekannten Port, dann ein TLS-ClientHello, dann eine einfache HTTP-Anfrage. Alles, was ein Gerät zurücksendet, wird vor dem Speichern bereinigt und begrenzt.
Legen Sie Scan-Regeln für die Bereiche fest, die nicht angetastet oder nur beobachtet werden dürfen.
Aktivieren Sie die zu prüfenden TCP-Ports und markieren Sie die, die geschlossen bleiben müssen.
Starten Sie einen Scan sofort oder planen Sie ihn je Gerätegruppe, unterhalb Ihrer Ratenobergrenze.
Prüfen Sie neue Geräte, nicht verwaltete Geräte, offene Ports und die von Soron ausgelösten Alarme.
Bereiten Sie Ihr Projekt vor und legen Sie Ihren Umfang fest.
Sehr schnell, weil jede Sonde ultraleicht ist: ein 44-Byte-TCP-SYN und ein 36-Byte-ICMP-Echo pro Adresse, ohne Verbindungsaufbau. Im Produktionsnetz eines Kunden wird ein vollständiges 10.0.0.0/8, mehr als 16 Millionen Adressen, in rund fünfzehn Minuten erkannt. Das Tempo folgt der Ratenobergrenze, die Sie in ConnectMyAssets festlegen, sodass Sie die Last auf Ihrem Netzwerk im Griff behalten.
Ein Werkzeug zur Netzwerkerkennung findet die Geräte in Ihrem Netzwerk und sagt Ihnen, was sie sind. ConnectMyAssets durchsucht Ihre IPv4-Bereiche, prüft die offenen Ports jedes gefundenen Hosts, erkennt die Dienste dahinter und übernimmt die per SSH erreichbaren Geräte in eine CMDB, damit Ihr Inventar das Netzwerk so zeigt, wie es wirklich ist.
Die Discovery sendet zwei kleine Pakete pro Adresse (44 und 36 Byte) und öffnet keine Verbindung. Jeder Scan läuft unterhalb der Ratenobergrenze, die Sie in ConnectMyAssets festlegen, und zwei Scans durchsuchen nie gleichzeitig dieselben Adressen. Port-Audits und Erkennung fügen einen kurzen Austausch pro offenem Port hinzu, nur auf den Ports, die Sie aktiviert haben.
Ja. Mit Scan-Regeln wählen Sie Subnetz für Subnetz zwischen Gesperrt, Nur Erkennung, Erkennung und Ports sowie vollständiger Erfassung, und entscheiden damit, ob ConnectMyAssets Geräte nur findet oder sich auch mit ihnen verbindet und sie prüft. Auf Ports von Industrieprotokollen (Modbus, S7, DNP3, EtherNet/IP, IEC 104, BACnet) hört die Erkennung nur zu und schreibt nie.
Wahrscheinlich, und das ist zu erwarten: Mehrere Ports auf einem Host zu prüfen, meldet ein Intrusion-Detection-System als Portscan. Tragen Sie die Adresse Ihrer ConnectMyAssets-Instanz in Ihren IDS- und Firewall-Richtlinien als autorisierten Scanner ein, wie für jedes Audit-Tool.
Nein. Discovery und Port-Audits brauchen nichts auf den Geräten. Die Geräte, die Sie im Inventar haben möchten, werden anschließend per SSH mit im Vault gespeicherten Zugangsdaten erfasst: kein Agent, kein SNMP.
ICMP und TCP-Port 22 werden immer geprüft. Sie ergänzen jeden TCP-Port von 1 bis 65535 in der globalen Liste; jeder aktivierte Port, der offen gefunden wird, wird erkannt. UDP-Ports werden nicht geprüft.
Wiederkehrende Scans folgen einem Cron-Ausdruck mit einem Mindestintervall von 5 Minuten. Sie können außerdem jederzeit einen Sofortscan starten, von der Scan-Seite oder von der Seite eines Geräts aus.
Discovery und Scan-Regeln decken derzeit IPv4-Netzwerke ab.
Sehen Sie, was ConnectMyAssets für Ihr Team verändern kann. Auf Ihrer Infrastruktur, mit Ihren Anforderungen.
Demo anfordern