これは継続的なネットワーク監視の合理的なアプローチですか？
現在、ネットワークを継続的に監視するためのメカニズムを実装しています。これのほとんどは [〜＃〜] ossim [〜＃〜] を介して行われますが、自己記述型の監視スクリプトで拡張しました。私は現在次のことをしています：
- 共通サービスの検出を含むすべてのサブネットの毎時ホスト検出スキャン（nmapを使用）
- ブロードキャストモニタリングによる永続的なパッシブホストの検出（tsharkとpacketfuを使用）
- 無差別モードでのNICのすべてのホストの毎時スキャン（nmapを使用）
- すべてのホストを毎時間スキャンして、アクティブ化されたIP転送を確認する（nmapを使用）
- すべてのホストの毎日の「非破壊的な」脆弱性スキャン（OpenVASを使用）
これは理にかなったコンセプトですか、それともいくつかの重要なポイントを見逃していますか？
//見つかった脆弱性の初期検証を行い、可能であればパッチを適用しました。それらのいくつかは、私たちがアクセスを大幅に制限した場合、パッチを適用できませんでした。現在、新しい脆弱性を日常的に検証しています。また、すべてのサーバーにHIDSがありますが、ネットワークに実際には関係がないため、ここでは省略しました。
あなたが言及するアプローチは少し混乱します、そして私はその理由を説明します。適切に設計されたインフラストラクチャでは、リストした箇条書きの多くに対処します。
毎時のホスト検出スキャン-スイッチに強力なポートセキュリティを実装し、NACを使用した場合- PacketFence （openと述べたためソース、私もしました）何が差し込まれたかについて心配する必要はありません。カウンターは、「そうですが、MACが偽装される可能性があります」とコメントします。 「誰かが物理ネットワークのMACアドレスをスプーフィングしている場合、あなたはもっと大きなことを心配する必要があります。ネットワークアドレス制御が適切に行われると、誰かがネットワークに何かを投げるだけで済みます。
ブロードキャストによる永続的なパッシブホストの検出-これはNACコメントで対処されましたが、そうでなくても、すべてのホストがブロードキャストに応答するわけではありません。
無差別モードでのNICのすべてのホストの毎時スキャン-これは権限の問題/システムの問題です。通常のユーザーは、インターフェースを無差別モードにすることはできません。適切にパッチが適用されたシステムには、ソフトウェアのアップデートが含まれます。脆弱性または権限がないと、ユーザーは無差別モードをオンにできず、NACを使用すると、自分のマシンを置くことができません。
アクティブ化されたIP転送のためにすべてのホストを毎時間スキャンします-過剰です。システムとネットワークの両方へのアクセス許可がないと、転送がどのように行われるのかわかりません。
すべてのホストの毎日の「非破壊的な」脆弱性スキャン（OpenVASを使用）-これは多くのノイズです。
あなたが書いたことの多くは、セキュリティに対する「城」のアプローチと一致しています。これは、ブロックされてくるのを防ぐために構築し続ける場所です。この場合、所有しているものとその使用方法を検討するのではなく、今後さらに問題を追加します。アカウント監査（Sudoコマンドのログ記録、管理者として誰が何を実行できるかを制御すること）は、誰かが何かを無差別モードに入れているかどうか疑問に思うよりも良いアプローチです。 NACを実装すると、信頼できない、テストされていないシステムがネットワークから切り離されます。 「ランダムマシンは存在せず、存在するマシンを改ざんすることはできません。脆弱性は存在しません。」あなたが述べたよりも速く、より効果的で、よりスケーラブルなアプローチです。