Нарада, яка триває три тижні
Уявіть компанію на двісті людей. Керівник IT хоче програму, яка показує всі сервери і те, що на них працює. Відповідальний за безпеку ставить одне запитання: що доведеться відкрити ззовні? Керівник IT відповідає: «Лише один порт». Безпековик це «лише один» уже чув і просить письмову заявку. Заявка чекає на комісію. Через три тижні ніхто вже не пам’ятає, навіщо взагалі була потрібна ця програма.
Ми сиділи по обидва боки цього столу. Тому AverDesk тримається одного правила, з яким нарада минає швидко: всередину не заходить нічого. Ваша мережа ніколи не мусить приймати з’єднання від нас. Натомість щось усередині вашої мережі саме надсилає дані назовні, за розкладом, який задаєте ви, і через з’єднання, яке видно у ваших власних журналах. Далі розповімо, чим саме може бути це «щось».
Невелика програма, яка лише виходить назовні
Перший варіант: невелика програма, яку ви ставите на сервер (агент AverDesk для Windows або Linux). Вона прокидається, з’єднується з AverDesk, передає зібране і відключається. Вона ніколи не чекає, що хтось підключиться до неї. Отже, немає відчинених дверей, які знайде сканер, нічого не треба пропускати крізь мережевий екран (firewall) і нічого не доведеться латати в паніці, коли в службі, що слухає порт, раптом знайдеться діра.
Якщо ви єдиний адміністратор, агента можна поставити в п’ятницю після обіду, ні в кого не питаючи. Якщо компанія велика, перевірка безпеки зводиться до одного рядка: «з’єднується назовні з однією адресою». Таку перевірку більшість людей закінчує ще до обіду.
Саме навколо агента зараз і росте продукт. Збирати через нього більше даних і заповнювати облік автоматично: над цим ми працюємо просто зараз. Що буде далі, написано в планах розвитку.
Ваші люди, просто з довідника компанії
Більшість компаній уже має список працівників і відділів у довіднику (Active Directory або будь-який інший каталог, що працює за протоколом LDAP). AverDesk читає цей список: хто є в компанії і в яких групах. Назад він нічого не записує, тож зламати ваш довідник просто не може.
Читання теж відбувається через агента, зсередини вашої мережі. Одна деталь важлива для кожного, кому доводилося міняти пароль службового облікового запису о другій ночі: для читання не треба вводити пароль у нашу вебформу. Агент просто працює від імені службового облікового запису домену на машині, яка вже входить у ваш домен. У нас пароль не зберігається, тож і витекти йому нізвідки.
Щойно люди й групи з’являються в системі, вони стають справжніми об’єктами. Відділ стає командою, якій належить послуга. Людина стає власником сервера. Коли працівник замовляє ноутбук через портал, заявка прив’язана до реального облікового запису з вашого довідника, а не до імені, яке хтось набрав вручну.
Файли, коли у вас є саме файл
Не для кожної системи є агент чи довідник. Іноді все, що є, це таблиця, вивантажена з порталу ліцензій, або файл з даними, який видає скрипт, написаний кимось кілька років тому. AverDesk імпортує і те, і інше (CSV і JSON). Ви зіставляєте стовпці з полями, запускаєте імпорт, і записи з’являються в обліку. Їхня історія починається з цього дня.
Так починає більшість команд. Першого ж дня вони завантажують наявний список серверів, а наступні тижні пов’язують ці сервери з послугами, які на них тримаються. Сам список ніколи не був складною частиною. Складні зв’язки, і їх найкраще проводить людина, яка їх знає.
Як ваші скрипти можуть говорити з AverDesk
Для всього, що повторюється, є програмний інтерфейс (API, описаний у форматі OpenAPI 3.1: його прочитає будь-який розробник, а більшість інструментів згенерує під нього код). Кожен запит указує, до якої організації він належить, тому один скрипт може обслуговувати кілька організацій в одній підписці й нічого не переплутати.
Одна властивість заощаджує купу коду: ту саму пачку записів можна надіслати двічі й отримати той самий результат, без дублікатів (технічно це ідемпотентний масовий запис, idempotent upsert). Не треба перевіряти, чи запис уже існує, і не треба нічого прибирати після повторної спроби.
На практиці саме так люди підключають гіпервізор, хмарну консоль чи систему моніторингу. Короткий скрипт або сценарій у n8n читає дані з джерела і за розкладом надсилає записи в AverDesk. Він працює всередині вашої мережі й виходить назовні, так само як агент.
Готових конекторів до хмар поки немає. Вони в списку, і будуватимуться на цьому ж інтерфейсі. А доти чесна порада така: напишіть невеликий скрипт. Він і далі працюватиме, коли конектори з’являться.
Яка тепер нарада з безпеки
Коли всередину нічого не заходить, на нараді лишається короткий список адрес, з якими з’єднуються назовні, і одне запитання: які дані виходять? Відповідь: ті, які ви вирішите надіслати. Паролі й ключі лишаються у вас. У нас кожна організація має окрему базу даних, і ніхто в AverDesk не бачить, що всередині. Решту розписано на сторінці про безпеку.
Хочете побачити, що збирає агент, ще до розмов з будь-ким? Почніть з плану Free, поставте агента на одну тестову машину і подивіться, як з’явиться сервер. А тоді покажіть це безпековику. Нарада буде значно коротша.
Почати безкоштовно
IT-інвентаризація, пов’язані сервіси та щоденна підтримка.
Читайте далі
Почніть з однієї послуги
Найшвидший спосіб провалити облік: імпортувати все першого ж дня. Розповідаємо, як почати з однієї послуги і рости від того, що вже працює.
· 4 хв читання
Що таке AverDesk і кому він потрібен
Простий опис продукту: список усього, що працює у вашій компанії, карта того, що від чого залежить, і служба підтримки, все в одному місці.
· 1 хв читання