ConnectMyAssets est un outil de découverte réseau conçu pour les réseaux de production. Notre scanner réseau envoie deux sondes minuscules par adresse, n’ouvre aucune connexion et ne garde aucun état par adresse : il trouve chaque hôte des réseaux étendus et sensibles, OT compris, sans les charger. Chaque hôte trouvé est ensuite audité (ports ouverts, services identifiés, certificats TLS) et les équipements joignables en SSH rejoignent votre inventaire.
Demander une démoVous reprenez un réseau que vous n’avez pas construit ? Balayez tout le plan d’adressage et obtenez, en un passage, les hôtes qui répondent, leurs ports ouverts et les services qui les écoutent. Les équipements joignables en SSH deviennent des équipements de votre CMDB ; les autres sont listés comme équipements non gérés, jamais perdus.
Balayez des blocs /16 et des centaines de sites sans saturer les liens WAN. Un plafond de débit unique, réglé pour toute la plateforme, borne ce que l’ensemble des scans envoie, et une adresse muette coûte quelques dizaines d’octets au lieu d’un délai de connexion chacune.
Scannez les réseaux OT avec le soin qu’ils exigent. Pour chaque sous-réseau, vous décidez de ce que ConnectMyAssets peut faire : rien, découverte seule, découverte et ports, ou collecte complète. Sur les ports des automates et des protocoles industriels (Modbus, S7, DNP3, EtherNet/IP, IEC 60870-5-104, BACnet), l’identification des services n’écrit jamais un octet : elle écoute seulement.
Déclarez les ports qui doivent rester fermés (Telnet, RDP, SMB, VNC...) et soyez alerté dès qu’un scan en trouve un ouvert. Chaque scan est daté et reproductible : vos auditeurs disposent d’un inventaire fiable.
Trouver les hôtes n’est qu’un début. Chaque scan audite ce qu’il trouve et maintient votre inventaire, votre topologie et vos alertes au plus près du réseau réel.
Nos sondes réseau sont construites par nos soins, paquet par paquet, pour découvrir des parcs très étendus sans surcharger les réseaux de nos clients. Elles sont considérablement plus légères que les sondes utilisées par la plupart des outils de découverte (connexions TCP complètes, requêtes SNMP, ping standard de 84 octets), et c’est cette légèreté qui rend la découverte aussi rapide : en production chez un client, un réseau 10.0.0.0/8 complet, soit plus de 16 millions d’adresses, est découvert en une quinzaine de minutes.
Un SYN TCP vers le port 22 et un écho ICMP par adresse, écrits directement sur le réseau. Aucune connexion n’est ouverte et aucune table ne grandit avec la taille du réseau : un /16 ne coûte pas plus de mémoire à ConnectMyAssets qu’un /24. Les hôtes qui ne répondent qu’au ping sont trouvés eux aussi.
Choisissez les ports TCP à auditer sur chaque hôte trouvé. Le port 22 et ICMP sont toujours audités ; une trentaine de ports connus (HTTPS, LDAPS, RDP, SMB, bases de données, WinRM...) sont préchargés et s’activent en un clic. La page indique ce que chaque port ajouté coûte sur le réseau.
Chaque port ouvert est identifié : le service, le produit et sa version quand le service les annonce (OpenSSH 10.0, nginx 1.27...), le certificat et la version TLS, le statut, le serveur et le titre HTTP. Un service non reconnu est signalé comme non identifié, jamais deviné.
Cochez « alerter si ouvert » sur un port qui doit rester fermé. Le premier scan qui le trouve ouvert déclenche une alerte Soron, envoyée dans l’application, par e-mail, syslog ou webhook à l’équipe concernée.
Protégez ce qui ne doit pas être touché. Chaque plage IPv4 reçoit un niveau : Bloqué (rien n’est envoyé), Découverte seule, Découverte et ports (tous les ports audités ou une sélection, avec ou sans identification) ou collecte complète. Quand des règles se chevauchent, la plus restrictive l’emporte, port par port.
Planifiez les scans par groupe d’équipements réseau avec une expression cron, jusqu’à toutes les 5 minutes, et lancez un scan immédiat depuis la page d’un équipement quand vous avez besoin d’une réponse tout de suite. Le sondage de ports d’un hôte permet d’auditer n’importe quelle plage de ports sur un équipement.
Les équipements joignables en SSH sont collectés sans agent et identifiés par leur numéro de série. Inventaire et topologie sont reconstruits à chaque scan : la carte réelle des équipements connectés, toujours à jour, et non un schéma dessiné il y a un an.
Pour les ingénieurs réseau et sécurité : ce qui passe sur le réseau, comment les réponses sont authentifiées et comment ConnectMyAssets se protège.
Un SYN TCP de 44 octets vers le port 22 (en-tête IPv4 sans option, DF positionné, une option MSS) et une requête d’écho ICMP de 36 octets, écrits sur des sockets bruts. La poignée de main n’est jamais terminée pendant la découverte. Une adresse muette est sondée une seconde fois ; rien d’autre ne lui est envoyé.
Chaque sonde porte un cookie SipHash-1-3 calculé avec une clé de 128 bits tirée pour le scan, dans le numéro de séquence TCP ou dans l’identifiant, la séquence et les données ICMP. Une réponse n’est acceptée que pour l’adresse et le port qu’elle concerne, dans le scan auquel elle appartient : les réponses forgées ou rejouées sont rejetées.
Vous fixez le plafond que votre réseau tolère, en adresses ou en paquets par seconde. Chaque scan y puise : plusieurs scans simultanés ne le dépassent jamais, et deux scans ne couvrent jamais les mêmes adresses en même temps.
Les deux sockets bruts sont ouverts au démarrage, avant toute lecture sur le disque ou sur le réseau. Le processus abandonne ensuite tous ses privilèges (utilisateur non privilégié 65532, aucune capacité restante, pas de vidage mémoire) et vérifie le résultat auprès du noyau ; si un seul contrôle échoue, il refuse de démarrer.
ConnectMyAssets pré-identifie les ports sensibles : impression brute (9100 à 9107, 515), protocoles industriels (502, 102, 20000, 44818, 2404, 47808) et BGP (179). Par défaut, ils ne sont pas audités. Si vous souhaitez les scanner, vous les activez explicitement, et l’identification se contente alors d’écouter une éventuelle bannière : aucun octet n’est imprimé, aucune trame malformée n’atteint un automate.
Sur un port ouvert, le service peut parler le premier (SSH, FTP, SMTP...) ; sinon une sonde dédiée au port connu s’exécute, puis un ClientHello TLS, puis une simple requête HTTP. Tout ce qu’un équipement renvoie est nettoyé et borné avant d’être enregistré.
Déclarez les règles de scan des plages à ne pas toucher ou à observer seulement.
Activez les ports TCP à auditer et signalez ceux qui doivent rester fermés.
Lancez un scan tout de suite ou planifiez-le par groupe d’équipements réseau, sous votre plafond de débit.
Passez en revue les nouveaux équipements, les équipements non gérés, les ports ouverts et les alertes Soron.
Pour préparer votre projet et préciser votre périmètre.
Très vite, parce que chaque sonde est ultra-légère : un SYN TCP de 44 octets et un écho ICMP de 36 octets par adresse, sans connexion à ouvrir. En production chez un client, un réseau 10.0.0.0/8 complet, soit plus de 16 millions d’adresses, est découvert en une quinzaine de minutes. Le rythme suit le plafond de débit que vous fixez dans ConnectMyAssets : vous gardez la maîtrise de la charge sur votre réseau.
Un outil de découverte réseau trouve les équipements connectés à votre réseau et indique ce qu’ils sont. ConnectMyAssets balaie vos plages IPv4, audite les ports ouverts de chaque hôte trouvé, identifie les services qui les écoutent et collecte les équipements joignables en SSH dans une CMDB : votre inventaire reflète le réseau tel qu’il est.
La découverte envoie deux petits paquets par adresse (44 et 36 octets) et n’ouvre aucune connexion. Chaque scan respecte le plafond de débit que vous fixez dans ConnectMyAssets, et deux scans ne balaient jamais les mêmes adresses en même temps. L’audit des ports et l’identification ajoutent un court échange par port ouvert, uniquement sur les ports activés.
Oui. Les règles de scan vous laissent choisir, sous-réseau par sous-réseau, entre Bloqué, Découverte seule, Découverte et ports, et collecte complète : vous décidez si ConnectMyAssets se contente de trouver les équipements ou s’y connecte aussi pour les auditer. Sur les ports des protocoles industriels (Modbus, S7, DNP3, EtherNet/IP, IEC 104, BACnet), l’identification écoute sans jamais écrire.
Probablement, et c’est normal : auditer plusieurs ports d’un hôte est ce qu’un système de détection d’intrusion signale comme un scan de ports. Déclarez l’adresse de votre instance ConnectMyAssets comme scanner autorisé dans vos politiques IDS et pare-feu, comme pour tout outil d’audit.
Non. La découverte et l’audit des ports ne demandent rien sur les équipements. Les équipements que vous voulez dans l’inventaire sont ensuite collectés en SSH avec des identifiants conservés dans le coffre-fort : ni agent, ni SNMP.
ICMP et le port TCP 22 sont toujours audités. Vous ajoutez à la liste globale n’importe quel port TCP de 1 à 65535 ; chaque port activé trouvé ouvert est identifié. Les ports UDP ne sont pas sondés.
Les scans récurrents suivent une expression cron, avec un intervalle minimal de 5 minutes. Vous pouvez aussi lancer un scan immédiat à tout moment, depuis la page des scans ou depuis la page d’un équipement.
La découverte et les règles de scan couvrent aujourd’hui les réseaux IPv4.
Découvrez ce que ConnectMyAssets peut changer pour votre équipe. Sur votre infrastructure, avec vos contraintes.
Organiser une démonstration