Netzwerk-Änderungsüberwachung: jede Konfigurationsänderung erkannt
Letzte Nacht hat jemand eine ACL auf einem Core-Router geändert. Erfahren Sie es, bevor es einen Ausfall verursacht? ConnectMyAssets erfasst jede Konfiguration bei jedem regelmäßigen Scan per SSH, bis zu alle 5 Minuten, und Soron alarmiert Sie, sobald eine Konfiguration außerhalb von ConnectMyAssets geändert wurde, mit dem genauen Diff.
- ✓Erkennung bei jedem regelmäßigen Scan, bis zu alle 5 Minuten
- ✓Änderungen außerhalb von ConnectMyAssets mit genauem Diff markiert
- ✓Alarme in der Anwendung, per E-Mail, Syslog oder Webhook
- ✓SIEM-Export in CEF, LEEF, ECS oder GELF
- ✓Bestätigen, zuweisen, lösen, stummschalten, Ausnahmen mit Ablaufdatum
- ✓Vollständige Historie und zeilengenauer Diff jeder Konfiguration
Warum die Überwachung von Netzwerkänderungen zählt
Nächtliche Backups laufen einmal am Tag. Dazwischen kann sich jemand an einem Router anmelden, eine ACL ändern und wieder gehen. Der Verkehr wird womöglich stundenlang falsch geleitet, eine Firewall-Regel verschwindet still, ein VPN-Peer ändert sich ohne Ticket, und niemand merkt es bis zum Vorfall. ConnectMyAssets verkürzt dieses Fenster auf Ihr Scan-Intervall, bis hinunter zu 5 Minuten: Jede Konfiguration wird per SSH erfasst und mit der vorherigen Version verglichen, und jede Änderung außerhalb von ConnectMyAssets löst einen Alarm mit dem Diff aus. Der Betrieb reagiert schneller auf Vorfälle, die Sicherheit erkennt nicht autorisierte Änderungen, und die Prüfer erhalten die Historie.
Funktionen der Netzwerk-Änderungsüberwachung
Regelmäßige Scans, genauer Diff, Alarme dort, wo Ihr Team arbeitet. Jede Änderung in Ihrem Netzwerk ist nachvollziehbar.
Änderungserkennung bei jedem Scan
Regelmäßige Scans erfassen jede Gerätekonfiguration per SSH, bis zu alle 5 Minuten. Jede Erfassung wird mit der vorherigen Version verglichen: Wurde die Konfiguration außerhalb von ConnectMyAssets geändert, löst Soron einen Alarm mit dem zeilengenauen Diff aus. Sie brauchen es sofort? Starten Sie auf der Geräteseite einen Sofort-Scan.
Markierung von Änderungen außerhalb des Prozesses
Änderungen über ConnectMyAssets (eigene Skripte, ZTP, Firmware-Kampagnen) sind bekannt und werden festgehalten. Jede andere Änderung wird als „Konfiguration außerhalb von ConnectMyAssets geändert“ markiert, mit Gerät, Zeitpunkt der Erkennung und genauem Diff, sodass eine ungeplante oder böswillige Änderung nie unbemerkt bleibt.
Alarmierung über mehrere Kanäle
Alarme erreichen Ihr Team dort, wo es arbeitet: in der Anwendung, per E-Mail, per Syslog an Ihr SIEM (RFC 5424 / RFC 3164 über UDP, TCP oder TLS, in CEF, LEEF, ECS oder GELF) oder per HTTPS-Webhook an ServiceNow, Jira, Slack, Microsoft Teams oder PagerDuty. Sie legen fest, welche Ereignisse wohin gehen.
Bearbeitung statt Rauschen
Jeder Alarm kann bestätigt, zugewiesen, gelöst oder stummgeschaltet werden. Regeln werden pro Gerätegruppe mit Vererbung und Sperren festgelegt, vor der Aktivierung in der Vorschau geprüft, und Ausnahmen haben ein Ablaufdatum, damit eine geplante Änderung an einem bekannten Gerät Ihr Team nicht überflutet.
Vollständige Historie und Diff
Jede Konfigurationsversion wird aufbewahrt. Vergleichen Sie zwei beliebige Versionen zeilengenau, um genau zu sehen, was sich geändert hat und wann es erkannt wurde. Kam die Änderung über die Bastion, zeigt die aufgezeichnete SSH-Sitzung, wer welchen Befehl eingegeben hat.
Über Konfigurationen hinaus
Dieselben Scans speisen die übrigen Detektoren von Soron: neues oder nicht autorisiertes Gerät, verschwundenes Gerät, MAC- oder IP-Wechsel, geänderte Firmware, verbotener offener Port, abgelaufenes oder bald ablaufendes Zertifikat, nicht erreichbarer Host. 62 Detektoren beobachten, was sich in Ihrem Netzwerk ändert.
So funktioniert es
Regelmäßige Scans planen
Legen Sie den Scan-Zeitplan pro Bereich fest, bis zu alle 5 Minuten. Bei jedem Scan meldet sich ConnectMyAssets per SSH mit Zugangsdaten aus dem Vault an und liest die laufende Konfiguration jedes Geräts. Nichts zu installieren, nichts auf den Geräten zu konfigurieren.
Vergleichen und erkennen
Die neue Konfiguration wird als Version gespeichert und mit der vorherigen verglichen. Hat sie sich geändert und stammt die Änderung nicht von ConnectMyAssets, schlägt der Detektor von Soron mit dem zeilengenauen Diff an.
Alarmieren, bearbeiten, handeln
Der Alarm erscheint in der Anwendung, per E-Mail, Syslog oder Webhook. Ihr Team bestätigt, weist zu und löst ihn. Muss die Änderung rückgängig gemacht werden, spielen Sie die vorherige Konfigurationsversion per ZTP erneut ein.
Zugehörige Funktionen der Plattform
Jede Änderung gesehen, jeder Alarm bearbeitet.
Häufig gestellte Fragen
Häufige Fragen zur Netzwerk-Änderungsüberwachung
Wie schnell wird eine Konfigurationsänderung erkannt?
Beim nächsten regelmäßigen Scan. Sie wählen den Zeitplan pro Bereich, für kritische Geräte bis zu alle 5 Minuten, und können auf jeder Geräteseite einen Sofort-Scan starten. Die Erfassung erfolgt agentenlos per SSH: kein Agent zu verteilen und keine Syslog- oder SNMP-Konfiguration auf den Geräten.
Funktioniert das mit jedem Hersteller?
Ja, auf jedem Gerät, das ConnectMyAssets per SSH erfasst: Cisco (IOS, NX-OS), Juniper Junos, Fortinet FortiOS, Palo Alto PAN-OS, Aruba (AOS-CX, ProCurve, Instant), Arista EOS und Huawei VRP; weitere Hersteller folgen mit den kommenden Integrationen. Die Erkennung vergleicht die Konfigurationen selbst und hängt daher nicht davon ab, was jedes Gerät protokolliert.
Wie vermeiden Sie Rauschen durch legitime Änderungen?
Änderungen über ConnectMyAssets (eigene Skripte, ZTP, Firmware-Kampagnen) sind ConnectMyAssets bekannt. Für alle anderen werden Soron-Regeln pro Gerätegruppe festgelegt und vor der Aktivierung in der Vorschau geprüft, und Ausnahmen mit Ablaufdatum decken geplante Arbeiten an bestimmten Geräten ab. Alarme können bestätigt, zugewiesen, gelöst oder stummgeschaltet werden.
Kann ConnectMyAssets eine nicht autorisierte Änderung blockieren?
ConnectMyAssets erkennt, dokumentiert und hilft beim Rückgängigmachen; es ist kein Zugriffskontrollsystem auf den Geräten. Um nicht autorisierte Änderungen schon im Vorfeld zu reduzieren, leiten Sie administrative Zugriffe über die Bastion von ConnectMyAssets: Zugangsdaten werden aus dem Vault eingesetzt und nie angezeigt, jede Sitzung wird aufgezeichnet, und 69 integrierte Risikoregeln plus Ihre eigenen markieren gefährliche Befehle. Um eine Änderung rückgängig zu machen, spielen Sie die vorherige Konfigurationsversion per ZTP erneut ein.
Wie binde ich die Alarme in unser bestehendes SIEM ein?
Der Log-Export sendet Ereignisse per Syslog (RFC 5424 oder RFC 3164, UDP, TCP oder TLS) oder HTTPS-Webhook an Ihr SIEM, in CEF, LEEF 2.0, JSON (ECS) oder GELF, was Splunk, Microsoft Sentinel, IBM QRadar, Elastic, Graylog und weitere abdeckt. Sie wählen, welche Ereignisse exportiert werden. Derselbe Webhook-Mechanismus macht ConnectMyAssets kompatibel mit ServiceNow, Jira, Slack, Microsoft Teams und PagerDuty.
Was deckt die Änderungsüberwachung außer Konfigurationen noch ab?
Soron hat 62 Detektoren. Über Konfigurationsänderungen hinaus markiert es neue und nicht autorisierte Geräte, verschwundene Geräte, MAC- und IP-Wechsel, Firmware-Änderungen, offen gefundene verbotene Ports, abgelaufene, bald ablaufende oder selbstsignierte Zertifikate, kritische CVEs, nahendes End of Life und nicht erreichbare Hosts, alles aus denselben regelmäßigen Scans.
Erfahren Sie nicht erst am nächsten Morgen von Änderungen
ConnectMyAssets erkennt jede Konfigurationsänderung in Ihrem Bestand beim nächsten Scan, bis zu alle 5 Minuten, markiert Änderungen außerhalb von ConnectMyAssets und gibt Ihrem Team Diff, Historie und den Weg zurück per ZTP, alles an einem Ort.