3. Profili di raccolta

Il profilo stabilisce che cosa un Endpoint Client deve registrare. Invece di configurare ogni postazione, si definiscono dei profili e si assegnano ai dispositivi: un profilo leggero per i portatili, uno completo per i server di file, uno con l'audit di dominio per i controller.

Si possono creare quanti profili si vuole, senza limite di numero, e assegnare a ciascun asset quello di competenza. Non c'è quindi ragione di accontentarsi di un profilo unico che vada bene per tutti: conviene modellarne uno per ogni categoria di macchina che si gestisce.

Per ogni azienda si può inoltre stabilire un profilo predefinito, che viene attribuito automaticamente ai dispositivi nuovi quando non ne viene indicato uno specifico. L'impostazione si trova nella scheda dell'azienda, alla voce Profilo predefinito: vedi Gestione delle aziende.

Profilo predefinito e nuove postazioni

Su un'appliance multi-tenant ogni cliente ha esigenze diverse. Assegnando a ciascuna azienda il proprio profilo predefinito, le postazioni che si registrano entrano già con la configurazione giusta, senza che qualcuno debba ricordarsi di cambiarla a mano una per una.

La scheda Profili della pagina Endpoint Clients raccoglie tutte le opzioni. Il menu in alto sceglie su quale profilo si sta lavorando.

3.1 Eventi di sistema

Accesso Utente registra gli eventi di Login e Logout. È la base di qualsiasi analisi: sapere chi era collegato e quando è il primo dato che serve in un'indagine. La casella Solo account amministrativi (login/logout) restringe la registrazione ai soli account con privilegi elevati: riduce di molto il volume, al prezzo di non sapere più chi altro fosse collegato.

Esecuzione dei programmi distingue fra programmi Eseguiti con privilegi amministrativi e Eseguiti come Utente. La prima categoria è quella da tenere sempre attiva: un programma lanciato come amministratore può modificare il sistema, disattivare protezioni e installare software.

Agent Updates con Disabilita aggiornamenti automatici impedisce all'agente di aggiornarsi da solo. Lasciala disattivata, salvo ambienti dove ogni aggiornamento passa da un collaudo formale.

Audit Active Directory abilita la registrazione degli eventi di dominio: ha senso sui controller di dominio, non sulle postazioni.

3.2 File, supporti rimovibili e prestazioni

Operazioni sui file locali e supporti rimovibili registra creazione, modifica, rinomina, cancellazione ed errori di accesso. La casella Monitora solo le cartelle utente restringe l'osservazione ai documenti delle persone, riducendo di molto il volume prodotto dai file di sistema.

Operazioni sui file condivisi (share) fa lo stesso sulle cartelle di rete, con un'unica casella per creazione, modifica ed eliminazione.

Dispositivi rimovibili USB registra l'inserimento e la rimozione delle chiavette. La terza casella, Prova a bloccare i dispositivi non autorizzati, non si limita a osservare: interviene.

Il blocco delle USB va provato prima

Attivare il blocco su un profilo assegnato a molte postazioni può impedire l'uso di dispositivi legittimi, dalle chiavette ai lettori di smart card. Provalo su un profilo dedicato e su poche macchine prima di estenderlo.

Performance Monitor raccoglie l'andamento delle risorse della postazione; la casella lo disabilita.

Windows Defender con Monitor WindowsDefender raccoglie gli eventi dell'antivirus di sistema: rilevamenti, azioni intraprese e stato della protezione.

Inventario dispositivo governa la raccolta di inventario hardware e Inventario Software, la Verifica le vulnerabilità, la catalogazione degli aggiornamenti software e la loro installazione. Sono le voci che alimentano la sezione Aggiornamenti mancanti del report giornaliero.

Come funziona la verifica delle vulnerabilità

Sui sistemi Windows l'appliance confronta il software rilevato sull'inventario dell'asset con i database NVD (National Vulnerability Database), segnalando le vulnerabilità note dei programmi installati. È quindi una verifica che si appoggia all'inventario software: senza Inventario Software attivo non ha su cosa lavorare.

Differenza fra catalogare e installare

Cataloga aggiornamenti software si limita a rilevare che cosa manca; Installa aggiornamenti software interviene sulla postazione. La prima è informativa e innocua, la seconda modifica i sistemi: attivala solo dove hai deciso che gli aggiornamenti li gestisce l'appliance.

Proxy per dispositivi syslog fa istanziare all'agente un server syslog sulle porte 514 UDP e 6514 TCP con TLS. Serve quando in una sede remota ci sono apparati che parlano solo syslog e non raggiungono direttamente l'appliance: la postazione con l'agente fa da tramite.

Il vantaggio non è però solo di raggiungibilità. Facendo passare i log dall'agente si guadagnano due cose che il syslog da solo non può dare.

Un trasporto sicuro. Dall'agente all'appliance i log viaggiano in TLS 1.2 o superiore, anche quando l'apparato di origine li ha consegnati in chiaro sulla 514 UDP. La tratta esposta si riduce così al solo segmento locale fra apparato e agente.

La persistenza dell'agente. Il proxy eredita il comportamento dell'Endpoint Client: se il collegamento con l'appliance cade, i log vengono accodati localmente e inviati al ripristino. Con il syslog puro questo non è possibile — un datagramma che non trova destinatario è semplicemente perso, e nessuno se ne accorge.

Utilità anche senza problemi di raggiungibilità

Il proxy non serve solo alle sedi remote. Anche in una rete dove gli apparati arriverebbero all'appliance da soli, farli passare dall'agente aggiunge cifratura e recupero degli eventi persi durante un'interruzione: due proprietà che il protocollo syslog, nato senza entrambe, non offre.

3.3 Event Viewer e allarmi

EventViewer ha due caselle. Non registrare altri eventi limita la raccolta a quanto già selezionato sopra, escludendo il resto del registro eventi di Windows. Event Viewer Esteso fa l'opposto, allargando la raccolta.

Escludi i seguenti eventi permette di indicare filtri per gli eventi da scartare. È lo strumento con cui si toglie di mezzo il rumore ricorrente, quello che riempie l'archivio senza dire nulla.

Allarme Dispositivo Offline associa al profilo una definizione oraria: è l'intervallo entro cui il silenzio di una postazione va considerato anomalo. Un computer d'ufficio spento la notte non è un problema, lo stesso computer muto alle dieci del mattino sì.

Quando un dispositivo resta in silenzio oltre la soglia prevista, e dentro gli intervalli configurati, l'appliance invia una notifica via posta elettronica. Ne manda una seconda quando il dispositivo torna a farsi vivo, così l'allarme si chiude da solo senza dover andare a controllare.

Il messaggio ha per oggetto [nome-appliance] Device OFFLINE: nome-dispositivo e riporta il dispositivo, il tenant di appartenenza, lo stato, il profilo di controllo che ha generato l'allarme, la soglia in minuti superata e il profilo di log assegnato.

La configurazione degli allarmi è responsabilità di chi gestisce

Soglie, intervalli orari e destinatari vanno decisi e mantenuti da chi amministra l'appliance. Un profilo con soglie troppo strette riempie la casella di falsi allarmi finché nessuno li legge più; uno con soglie troppo larghe lascia passare inosservato un agente fermo da giorni.

Effetto delle opzioni sul volume raccolto

Ogni opzione attivata aumenta i log prodotti da ciascuna postazione, quindi lo spazio occupato sul volume e la velocità con cui si riempie. Conviene partire da un profilo essenziale e aggiungere le voci necessarie una alla volta, verificando l'effetto sul conteggio giornaliero della pagina Home.