ポータブル OT エージェントを使用したスキャン

必要な OT Security ユーザーロール: 管理者

ポータブル状態の OT エージェントは、エアギャップがあり、孤立している、複雑な OT 環境にある資産を検出し、分析のために結果を OT Security に返すことができます。

次の相互接続機能により、複雑なエアギャップ環境でのエージェントスキャンが可能になります。

  • 資産を論理サイトまたは物理サイトにアンカーするネットワークエリア。詳細は、ネットワークエリアを参照してください。

  • 切断されたポータブル状態のエージェントは、検出データを収集してパッケージ化し、ライブ接続なしで ICP に安全に転送します。

  • フィールド技術者がスキャンプロファイルを読み込み、進行状況を追跡し、オフラインでスキャンを実行し、結果をダウンロードする、ネイティブインターフェース。このインターフェースで、ペアリング、システムログの参照もできます。

主要なコンセプト

以下のエンティティが連携して、ポータブル OT Discovery を提供します。

  • ネットワークエリア - 資産を場所にアンカーする論理コンテナまたは物理コンテナ (例: 建物 B)。OT Security は、異なるネットワークエリア (重複するネットワーク) にある同一の IP アドレスを、個別の固有の資産として扱います。

  • OT Discovery スキャン (OTD スキャン) — OT Discovery スキャンウィザードを使用して作成された技術的な指示セット。この指示セットに、スキャン認証情報とスケジュール設定が定義されています。

  • サブネット (モニタリング対象ネットワーク) - 検出の範囲を定義する CIDR 表記のネットワーク範囲 (例: 192.168.0.0/24)。OT Security では、設定されたサブネットの外にある資産は作成されません。

  • ソース - 資産データをレポートするエンティティ (センサー、エージェント、ローカル ICP、CSV アップロード、パケットキャプチャ (PCAP) プレーヤーなど)。

エージェントの状態

OT Security への直近の接続によって、エージェントの状態が決まります。

  • 静的 — エージェントは OT Security へのアクティブなライブ接続があり、スキャン設定をリアルタイムで受信します。

  • ポータブル — ライブ接続を確立せずに、結果アップロードで最後に接続したエージェント。このエージェントは、エアギャップ環境でも独立して動作し、OT Security へのネットワークパスがなくても OT Discovery を実行します。

ポータブル状態エージェントスキャンのワークフロー

前提条件

  • 管理者のアクセス許可があることを確認します。

  • [ネットワークエリア] ページでネットワークエリアとサブネットを定義します。

    注意: エージェントが結果を返す前に、ネットワークエリアとサブネットの両方が OT Security に存在する必要があります。結果アップロードが、存在しないネットワークエリアまたはサブネットを参照している場合、OT Security はユーザーに通知し、その結果を保持します。ユーザーが結果を既存のネットワークエリアにリンクするか、新しいネットワークエリアを作成すると、OT Security は結果をリリースします。

  • OT エージェントのインストール.

ステップ 1. OT Discovery スキャンを定義する

まず、OTD 設定ウィザードを使用して OTD スキャンを作成する必要があります。

  1. [データ収集] > [アクティブクエリ] に移動します。

    [アクティブクエリ管理] ページが表示されます。

  2. [OTD スキャン] タブをクリックします。

    [OTD スキャン] ページが表示されます。

  3. [OTD スキャンの作成] をクリックします。

    [OTD スキャンの作成] パネルが表示されます。

  4. [名前] ボックスにスキャンの名前を入力します。

  5. [説明] ボックスに、スキャンの文脈または詳細情報を入力します。

  6. [認証情報] ドロップダウンボックスで、リストから必要な認証情報を選択します。

ステップ 2. サブネットとネットワークエリアをリンクする

OTD スキャンウィザード内で、サブネットとネットワークエリアをリンクする必要があります。

  1. [モニタリング対象ネットワーク] ドロップダウンボックスで、スキャンのサブネットを 1 つ以上選択するか、CIDR 範囲を入力します。

    注意: [モニタリング対象ネットワーク] ページでサブネットを事前に入力することも、CIDR 範囲を入力してこのフィールド内で直接サブネットを作成することもできます。

  2. [ネットワークエリア] ドロップダウンボックスで、1 つ以上のネットワークエリアを選択します。

    注意: [ネットワークエリア] ページでネットワークエリアを事前に入力することも、新しい名前を入力してこのフィールド内で直接ネットワークエリアを作成することもできます。

  3. スケジュールを定義します。

    1. [スケジュールの有効化] トグルをクリックします。

      [繰り返し間隔] ドロップダウンボックスがアクティブになります。

    2. (オプション) 必要に応じて、間隔を、分、時間、日、週の単位で指定します。

    3. [曜日] セクションで、スキャンを実行する曜日を選択します。

    4. [時刻] ドロップダウンボックスで、スキャンを実行する時刻を選択します。

  4. [保存] をクリックします。

    OT Security により、OTD スキャンが保存されます。

ステップ 3. 設定をエージェントに同期する

  1. Windows のローカル OT エージェントインターフェースにアクセスします。

    注意: エージェントは、OT Security への接続を確立するたびに、利用可能なスキャン設定を自動的に同期します。

  2. 実行するまたは ICP とペアリングするアップロードファイルを選択します (静的またはオンライン)。

  3. スキャンを実行するネットワークエリアを選択します。

ステップ 4. スキャンを実行する

  1. ローカルのエージェントインターフェースからスキャンを実行します。ポータブル状態では、エージェントは Tenable OT Security へのライブ接続がなくても、選択したネットワークに対して OT Discovery を実行します。

  2. 実行ログでスキャンの進行状況を表示し、結果をダウンロードします。

ステップ 5. 結果をアップロードする

OT Security の [手動アップロード] を使って、結果をアップロードします。

  1. [データ収集] > [データソース] に移動します。

    [データソース] ページが表示されます。

  2. [手動アップロード] タブをクリックします。

    [手動アップロード] ページが表示されます。

  3. [OTD スキャンファイル] セクションに移動し、[アップロード]をクリックします。

  4. ローカルの OTD スキャン結果ファイルを参照し、選択してアップロードします。

    注意: このアップロードの前にネットワークエリアまたはサブネットが定義されていない場合は、OT Security から通知されます。システムが資産インベントリに入力する前に、結果を既存のネットワークエリアにリンクするか、新しいネットワークエリアを結果と同じ名前で作成する必要があります。

  5. インポートされた資産データの結果は [インベントリ] ページに表示されます。