Monitorización de cambios de red: cada cambio de configuración, detectado
Anoche alguien modificó una ACL en un router de núcleo. ¿Lo sabrá antes de que provoque una caída? ConnectMyAssets recopila por SSH cada configuración en cada análisis periódico, incluso cada 5 minutos, y Soron le alerta en cuanto una configuración ha cambiado fuera de ConnectMyAssets, con el diff exacto.
- ✓Detección en cada análisis periódico, incluso cada 5 minutos
- ✓Cambios realizados fuera de ConnectMyAssets señalados con el diff exacto
- ✓Alertas en la aplicación, por correo electrónico, syslog o webhook
- ✓Exportación al SIEM en CEF, LEEF, ECS o GELF
- ✓Reconocer, asignar, resolver, silenciar, excepciones con caducidad
- ✓Historial completo y diff línea a línea de cada configuración
Por qué importa la monitorización de cambios de red
Las copias de seguridad nocturnas se ejecutan una vez al día. Entre una y otra, alguien puede conectarse a un router, cambiar una ACL y marcharse. El tráfico puede encaminarse mal durante horas, una regla de firewall puede desaparecer sin ruido, un peer VPN puede cambiar sin ningún ticket, y nadie se entera hasta el incidente. ConnectMyAssets reduce esa ventana a su intervalo de análisis, de solo 5 minutos como mínimo: cada configuración se recopila por SSH, se compara con la versión anterior y cualquier cambio realizado fuera de ConnectMyAssets genera una alerta con el diff. Operaciones responde antes a los incidentes, seguridad detecta los cambios no autorizados y los auditores obtienen el historial.
Funciones de monitorización de cambios de red
Análisis periódicos, diff exacto, alertas allí donde trabaja su equipo. Cada cambio en su red queda justificado.
Detección de cambios en cada análisis
Los análisis periódicos recopilan por SSH la configuración de cada equipo, incluso cada 5 minutos. Cada recopilación se compara con la versión anterior: si la configuración ha cambiado fuera de ConnectMyAssets, Soron genera una alerta con el diff línea a línea. ¿Lo necesita ya? Lance un análisis inmediato desde la página del equipo.
Señalización de cambios fuera de banda
Los cambios realizados a través de ConnectMyAssets (scripts personalizados, ZTP, campañas de firmware) son conocidos y quedan registrados. Cualquier otro cambio se señala como «configuración modificada fuera de ConnectMyAssets», con el equipo, la hora de detección y el diff exacto, para que ningún cambio imprevisto o malintencionado pase desapercibido.
Alertas multicanal
Las alertas llegan a su equipo allí donde trabaja: en la aplicación, por correo electrónico, por syslog hacia su SIEM (RFC 5424 / RFC 3164 sobre UDP, TCP o TLS, en CEF, LEEF, ECS o GELF) o por webhook HTTPS hacia ServiceNow, Jira, Slack, Microsoft Teams o PagerDuty. Elija qué eventos van a cada destino.
Clasificación, no ruido
Cada alerta puede reconocerse, asignarse, resolverse o silenciarse. Las reglas se definen por grupo de equipos con herencia y bloqueos, se previsualizan antes de activarlas y las excepciones llevan fecha de caducidad, para que un cambio planificado en un equipo conocido no inunde a su equipo.
Historial completo y diff
Se conserva cada versión de la configuración. Compare dos versiones cualesquiera línea a línea para ver exactamente qué cambió y cuándo se detectó. Cuando el cambio pasó por el bastión, la sesión SSH grabada muestra quién escribió cada comando.
Más allá de las configuraciones
Los mismos análisis alimentan los demás detectores de Soron: equipo nuevo o no autorizado, equipo desaparecido, cambios de MAC o IP, firmware modificado, puerto prohibido abierto, certificado caducado o a punto de vencer, host inalcanzable. 62 detectores vigilan lo que cambia en su red.
Cómo funciona
Programe análisis periódicos
Defina la frecuencia de análisis por ámbito, hasta cada 5 minutos. En cada análisis, ConnectMyAssets se conecta por SSH con una credencial del almacén de credenciales (Vault) y lee la configuración en ejecución de cada equipo. Nada que instalar ni que configurar en los equipos.
Compare y detecte
La nueva configuración se guarda como una versión y se compara con la anterior. Si ha cambiado y el cambio no procede de ConnectMyAssets, el detector de Soron se activa con el diff línea a línea.
Alerte, clasifique, actúe
La alerta llega en la aplicación, por correo electrónico, syslog o webhook. Su equipo la reconoce, la asigna y la resuelve. Si hay que deshacer el cambio, vuelva a desplegar la versión anterior de la configuración mediante ZTP.
Funciones relacionadas de la plataforma
Cada cambio visto, cada alerta gestionada.
Preguntas frecuentes
Preguntas habituales sobre la monitorización de cambios de red
¿Con qué rapidez se detecta un cambio de configuración?
En el siguiente análisis periódico. Usted elige la frecuencia por ámbito, incluso cada 5 minutos para los equipos críticos, y puede lanzar un análisis inmediato desde la página de cualquier equipo. La recopilación se hace sin agente por SSH: no hay que desplegar ningún agente ni configurar syslog o SNMP en los equipos.
¿Funciona con todos los fabricantes?
Sí, en todos los equipos que ConnectMyAssets recopila por SSH: Cisco (IOS, NX-OS), Juniper Junos, Fortinet FortiOS, Palo Alto PAN-OS, Aruba (AOS-CX, ProCurve, Instant), Arista EOS y Huawei VRP, y se añadirán más fabricantes a medida que se publiquen las integraciones. La detección compara las propias configuraciones, por lo que no depende de lo que registre cada equipo.
¿Cómo se evita el ruido de los cambios legítimos?
ConnectMyAssets conoce los cambios realizados a través de ConnectMyAssets (scripts personalizados, ZTP, campañas de firmware). Para los demás, las reglas de Soron se definen por grupo de equipos, se previsualizan antes de activarlas, y las excepciones con fecha de caducidad cubren los trabajos planificados en equipos concretos. Las alertas pueden reconocerse, asignarse, resolverse o silenciarse.
¿Puede ConnectMyAssets bloquear un cambio no autorizado?
ConnectMyAssets detecta, documenta y le ayuda a deshacer; no es un sistema de control de acceso en los equipos. Para reducir los cambios no autorizados desde el origen, haga pasar el acceso administrativo por el bastión de ConnectMyAssets: las credenciales se inyectan desde el almacén de credenciales (Vault) y nunca se muestran, cada sesión se graba y 69 reglas de riesgo integradas, más las suyas, señalan los comandos peligrosos. Para deshacer un cambio, vuelva a desplegar la versión anterior de la configuración mediante ZTP.
¿Cómo integro las alertas en nuestro SIEM?
La exportación de registros envía los eventos a su SIEM por syslog (RFC 5424 o RFC 3164, UDP, TCP o TLS) o por webhook HTTPS, en CEF, LEEF 2.0, JSON (ECS) o GELF, lo que cubre Splunk, Microsoft Sentinel, IBM QRadar, Elastic, Graylog y otros. Usted elige qué eventos se exportan. El mismo mecanismo de webhook hace que ConnectMyAssets sea compatible con ServiceNow, Jira, Slack, Microsoft Teams y PagerDuty.
¿Qué más cubre la monitorización de cambios además de las configuraciones?
Soron tiene 62 detectores. Además de los cambios de configuración, señala los equipos nuevos y no autorizados, los equipos desaparecidos, los cambios de MAC e IP, los cambios de firmware, los puertos prohibidos abiertos, los certificados caducados, a punto de vencer o autofirmados, las CVE críticas, el fin de vida próximo y los hosts inalcanzables, todo a partir de los mismos análisis periódicos.
Deje de enterarse de los cambios a la mañana siguiente
ConnectMyAssets detecta cada cambio de configuración en todo su parque en el siguiente análisis, incluso cada 5 minutos, señala los cambios realizados fuera de ConnectMyAssets y da a su equipo el diff, el historial y la vuelta atrás mediante ZTP, todo en un mismo lugar.