darcosion
commented
2 years ago Pour avoir testé une technologie qui se nomme "Vectra Cognito" qui était un IDS prétendant faire de la découverte de machine en fonction de leur trafic passant par l'IDS, il est assez intéressant de constater qu'ils prétendait faire de l'identification agnostique en se basant sur un maximum d'éléments de trafic, sans constituer une base "solide" de donnée lié aux machines, car justement, les machines peuvent mentir sur quasiment tout leur statuts. Changer d'IP dans leurs packets, changer de MAC, changer d'identification netBIOS, de hostname en reverse PTR, etc...
Une des grosses problématiques de ce projet serait alors de gérer la complexité topologique des machines de manière agnostique.
Actuellement, un soucis réside quand à la façon dont on effectue les affichages :
Il n'existe que deux méthodes de scan et si l'une renvoie un certain nombre de donnée sur une machine, l'autre n'actualise pas lesdites données.
De la même façon, si pour une même adresse mac, deux IP sont renvoyés, alors deux machines s'afficheront dans le réseau.
Il faut donc trouver une solution à la problématique de l'affichage cohérent.
Une façon de faire serait de décorréler les "noeuds" de la notion d'IP ou d'adresse MAC. Cela en plaçant une fonction intermédiaire qui s'occuperait de construire des noeuds en fonction d'un ensemble d'information (IP, MAC, méta données) lié à la topologie du réseau.
Une autre façon serait de travailler dans une fonction intermédiaire la notion de couple IP-MAC pour trouver un moyen de lier les IP ayant la même mac dans une notion de réseau rapproché.