Een scan instellen en uitvoeren
Voordat u begint
Controleer of de sensor die u wilt gebruiken, is geïnstalleerd, geactiveerd en gestart.
Controleer of uw netwerk aan alle vereisten voldoet.
Controleer of u aan alle implementatievereisten voldoet.
Beheerders- of managerrechten zijn vereist.
Zie Ontdekkingswerkstroom en machtigingen en Vereisten voor sensorinstallatie.
Verzamel de benodigde informatie
De naam van de sensor die u wilt gebruiken.
De divisie waaraan de sensor is toegewezen (als je divisies in je account gebruikt).
De poorten die u wilt gebruiken om uw netwerk te scannen.
De FQDN's en IP-adressen die u in de scan wilt opnemen.
Of u Server Name Indication (SNI) gebruikt om meerdere domeinen vanaf één IP-adres te bedienen.
Uw scan instellen en uitvoeren
Selecteer in het zijbalkmenu van CertCentral Discovery > Discovery beheren.
Klik op de pagina Scans beheren op Scan toevoegen.
Uw scan instellen
Op de pagina Een scan toevoegen, in het gedeelte Een scan maken, geeft u de benodigde scaninformatie op:
Scannaam
Geef uw scan een naam zodat u deze gemakkelijk kunt identificeren (namen worden belangrijker als u meerdere scans heeft).
Divisie
Kies de divisie met de sensor die u wilt gebruiken voor de scan.
Tijdens de installatie wijst u de sensor toe aan een divisie. U ziet alleen de sensoren die zijn toegewezen aan de geselecteerde divisie.
Opmerking
U krijgt de naam van uw organisatie te zien als uw account geen divisies gebruikt.
Poorten
Geef op met welke poorten u uw netwerk wilt scannen op SSL/TLS-certificaten.
Gebruik Alle om alle poorten in een gegeven bereik op te nemen.
Gebruik Standaard om poorten op te nemen die doorgaans worden gebruikt voor SSL/TLS-certificaten: 443, 389, 636, 22, 143, 110, 465, 8443, 3389.
SNI inschakelen (optioneel)
Als u Server Name Indication (SNI) gebruikt om meerdere domeinen vanaf één IP-adres te bedienen, schakelt u SNI-scannen in voor de scan (beperkt tot maximaal 10 poorten per server).
Opmerking
Een SNI-scan bevat mogelijk geen IP-informatie als onderdeel van de resultaten.
Sensor
Kies de sensor die u voor de scan wilt gebruiken. U ziet alleen de sensoren die zijn toegewezen aan de divisie die u heeft geselecteerd.
Opmerking
U krijgt de naam van uw organisatie te zien als uw account geen divisies gebruikt.
IP/FQDN om te scannen
FQDN's en IP-adressen opnemen:
Voer de FQDN's en IP-adressen in die u in de scan wilt opnemen en selecteer Opnemen. U kunt één IP-adres (10.0.0.1), een reeks IP-adressen (10.0.0.1-10.0.0.255) of een IP-bereik in CIDR-indeling (10.0.0.0/24) opnemen.
FQDN's en IP-adressen uitsluiten:
Voer het IP-adres in dat u wilt uitsluiten van een reeks IP-adressen en selecteer Uitsluiten. U kunt één IP-adres (10.0.0.1), een reeks IP-adressen (10.0.0.1-10.0.0.255) of een IP-bereik in CIDR-indeling (10.0.0.0/24) uitsluiten.
Zoek in de scanlijst de domeinen en subdomeinen die u wilt opnemen in of uitsluiten van de scan. Selecteer vervolgens de juiste koppeling in de kolom Acties.
Alle subdomeinen opnemen: hiermee neemt u in de scan alle subdomeinen van het domein op.
Alle subdomeinen uitsluiten: hiermee sluit u alle subdomeinen van het domein uit van de scan.
Subdomeinen toevoegen of Subdomeinen bewerken: maak een keuze uit de beschikbare subdomeinen die in de de scan wilt opnemen of daarvan wilt uitsluiten.
Verwijderen: hiermee verwijdert u de IP/FQDN uit de scanlijst.
Als u klaar bent, selecteert u Volgende.
Opmerking
Over het gebruik van subdomeinen:
U kunt altijd subdomeinen van elk niveau toevoegen aan een scan.
Het systeem geeft slechts één subdomein weer dat één niveau lager is dan het domein.
Alleen openbaar vermelde subdomeinen zijn beschikbaar voor selectie. U kunt bijvoorbeeld alleen subdomeinen aan de scan toevoegen die beschikbaar zijn op de openbare DNS-server of CT-log.
Wanneer scannen
Configureer uw scan om nu uit te voeren of plan deze in.
Als u een limiet wilt instellen voor hoelang een onvoltooide scan moet worden uitgevoerd voordat u deze stopt, selecteert u Stoppen als scantijd wordt overschreden en selecteert u een maximale looptijd.
Instellingen: Scanopties
De geoptimaliseerde scan biedt elementaire SSL/TLS-certificaat en serverinformatie, samen met alle gedetecteerde kritieke TLS/SSL-serverproblemen. (Heartbleed, Poodle (SSLv3), FREAK, Logjam, DROWN, RC4, POODLE (TLS), Cross-site scripting, SQL-injectie, Cross-domain-beleid en CSRF).
Kiezen wat er gescand moet worden
Pas de informatie in uw scanresultaten aan.
Scannen op geconfigureerde coderingssuites: Ontdek de coderingssuites en TLS/SSL-protocollen die op uw server zijn geconfigureerd voor een veilige client-servercommunicatie tijdens de TLS/SSL-handshake.
SSLv2, SSLv3, TLSv1.0 en TLSv1.1 inschakelen: Schakel deze TLS/SSL-protocollen in die beschikbaar zijn voor gebruik bij handshaking.
Host-IP-adressen bijwerken voor elke scan: Werk de IP-adressen van de host bij elke keer dat u scant als de IP-adressen van de host vaak veranderen.
U kunt ook de OS- en Serverapplicatie-opties selecteren voor bijgewerkte informatie over:
Besturingssysteem
Servertype
Serverapplicatie
Applicatieversie
SSH-sleuteldetectie inschakelen: Vind de SSH-sleutels die op uw server zijn geconfigureerd. De scan identificeert de SSH-sleutelvingerafdrukken, algoritmen en methoden voor het verifiëren van SSH-sleutels die zijn geconfigureerd voor uw server op de SSH-geactiveerde poort (standaardpoort 22).
Zie SSH-sleutels voor meer informatie over SSH-sleutels..
Alleen scannen op kritische TLS/SSL-serverproblemen (sneller): Vind alleen kritieke TLS/SSL-serverproblemen zoals Heartbleed, Poodle (SSLv3), FREAK, Logjam, DROWN, RC4, POODLE (TLS), Cross-site scripting, SQL-injectie, Cross-domain-beleid en CSRF.
Kiezen op welke TLS/SSL-serverproblemen moet worden gescand: Pas uw scan aan door aan te geven welke TLS/SSL-serverproblemen (kritieke en/of niet-kritieke) u wilt scannen, zoals POODLE, BEAST, SWEET32, enz.
Opmerking
Het toevoegen van meer scanopties vergroot de impact van het scannen op netwerkbronnen, wat resulteert in een langere scantijd.
Geavanceerde instellingen: Scanprestaties
Gebruik de onderstaande opties voor scanprestaties om in te stellen hoe snel de scan wordt voltooid of om de impact van scans op netwerkbronnen te beperken:
Agressieve scans doen een groter appel op uw netwerkbronnen en sturen een groot aantal scanpakketten naar het netwerk.. Discovery beperkt het aantal pakketten dat kan worden verzonden om verzending van een onbedoeld aantal pakketten te voorkomen.
Opmerking
Het gebruik van de agressieve instelling kan vals alarm veroorzaken op Intrusion Detection System (IDS) of Intrusion Prevention System (IPS).
Langzame scans beperken de impact van de scan op netwerkbronnen en verminder het aantal IDS- of IPS-valse alarmen. Ze verzenden een paar scanpakketten tegelijk en wachten op een reactie voordat u meer pakketten verzendt.
Geavanceerde instellingen: Tags toevoegen aan de scan
Gebruik deze optie om tags aan uw scan toe te voegen. De tags zijn van toepassing op alle certificaten die tijdens netwerkscanning worden gevonden. Gebruik dit om de certificaten te identificeren en te beheren die zijn geconfigureerd op uw netwerk of een ander netwerk dat u beheert.
Geavanceerde instellingen: Meer instellingen
Firewall-alarmen verminderen door TLS/SSL-servercontroles te beperken
Gebruik deze optie met dien verstande dat dit de effectiviteit van uw scan kan beperken, aangezien dit kan leiden tot gemiste TLS/SSL-serverproblemen.
Om TLS/SSL-serverproblemen te identificeren (zoals Heartbleed), emuleren scans soms een TLS/SSL-serverprobleem om er zeker van te zijn dat de server veilig is. Dergelijke emulaties kunnen valse firewall-alarmen op uw netwerk veroorzaken. Om dergelijke alarmen te voorkomen, kunt u de TLS/SSL-servercontroles beperken.
Poorten specificeren die gescand moeten worden om host-beschikbaarheid te verifiëren
De poorten die u hier opgeeft, worden alleen gebruikt om de beschikbaarheid van de host te verifiëren.
De eerste stap in het scanproces pingt de host om de beschikbaarheid te verifiëren.
Als ICMP-pings (Internet Control Message Protocol) zijn uitgeschakeld op een host, gebruikt u deze instelling om de poorten op te geven die kunnen worden gescand om de beschikbaarheid van de host te controleren. Hoe minder poorten er worden opgegeven, hoe sneller uw scan wordt uitgevoerd.
Poortfoutopsporing inschakelen
Gebruik deze optie om gegevens te registreren en verzamelen over gesloten poorten en poorten achter een firewall.
Opslaan en plannen/Opslaan en uitvoeren
Als u klaar bent, moet u uw scan opslaan.
Als u de scan nu uitvoert, selecteert u Opslaan en uitvoeren.
Als u de scan later wilt uitvoeren, selecteert u Opslaan en plannen.
De volgende stappen
Uw scan wordt nu uitgevoerd of uitgevoerd zoals gepland. De voltooiingstijd van de scan is afhankelijk van de netwerkgrootte en de instellingen voor scanprestaties die tijdens de installatie zijn geselecteerd.
Belangrijk
Als een scan een vals alarm activeert in inbraakdetectiesystemen (IDS) of inbraakbeveiligingssystemen (IPS), zorg er dan voor dat u de scans op een toelatingslijst zet in uw IDS/IPS-hulpprogramma's.
Langzame scans veroorzaken minder vaak valse alarmen. Mogelijk moet u de sensor ook op een toelatingslijst voor uw firewall zetten om communicatie met digicert.com mogelijk te maken.
Om uw scans te beheren, gaat u naar de pagina Scans beheren (selecteer Discovery > Discovery beheren in het zijbalkmenu).
Om scandetails te bekijken of scaninstellingen te wijzigen, gaat u naar de detailpagina van de scan (selecteer de scannaam op de pagina Scans beheren).
Op de tabbladen Discovery-locatie en Scaninstellingen kunt u scaninstellingen bekijken of wijzigen.
Bekijk op het tabblad Scanactiviteit huidige en eerdere scandetails zoals starttijd, duur, scanstatus en acties.
Om gescande campagneprestaties te bekijken, selecteert u Certificaten bekijken.
Om de informatie over gesloten poorten en poorten achter een firewall te zien, selecteert u Foutopsporingsrapport downloaden.
Om de ontdekte sleuteldetails te bekijken, selecteert u Sleutels bekijken.