Ce qui sort de votre serveur, flux par flux
Lu dans le code de NacTrack 2.12.116, publié par Yuften Services. Pour chaque flux : quand il part, ce qu'il envoie, son réglage par défaut, comment l'arrêter, et ce que l'arrêt vous coûte.
Deux destinations, toutes deux chez l'éditeur
- Service de licencelicensing.yuften.com, HTTPS 443 : licence, catalogues CVE et fin de vie, mises à jour.
- Supportsupport.yuften.com, HTTPS 443 pour les tickets, UDP 51820 pour le tunnel de support.
- Jamais envoyéAucun de ces flux n'envoie une configuration d'équipement ni un identifiant d'accès à un équipement.
Les flux de l'appliance en fonctionnement
Tous sont ouverts par l'appliance. Les réglages notés en majuscules se changent dans le fichier /opt/nactrack/env/laravel.env, puis au redémarrage du conteneur applicatif ; les trois tickets automatiques se règlent aussi dans l'interface.
| Flux | Quand | Ce qui part | Par défaut | Comment l'arrêter, et la limite |
|---|---|---|---|---|
| Validation de licence | Chaque nuit à 02:30, et à chaque connexion d'un compte qui a un accès d'administration | La licence signée, une empreinte du serveur (machine-id et identifiant matériel, hachés ensemble), le machine-id brut (envoyé aujourd'hui pour migrer les anciennes licences vers l'empreinte), la liste des modules et la version de NacTrack | actif | Réglage LICENSE_AUTHORITY_ENABLED=false. Limite : sans validation ni fichier de licence, l'application passe en lecture seule après 30 jours. Pour un site isolé, nous émettons un fichier de licence signé, lié à ce serveur, que vous importez depuis la page Licence : il couvre 30 jours, ou toute la durée de la licence si nous la configurons pour un site isolé |
| Catalogue de fin de vie | Chaque nuit à 02:40, et sur le bouton de synchronisation | Pour chaque modèle : constructeur, modèle, nombre d'équipements, plus vos identifiants client et de déploiement. Jamais un nom d'hôte, une adresse IP, un numéro de série ou une configuration | actif | Réglage EOL_SYNC_ENABLED=false. Limite : les dates de fin de vie ne se mettent plus à jour, et il n'existe pas d'import par fichier |
| Catalogue de vulnérabilités | Chaque nuit à 02:50 | Pour chaque version logicielle : constructeur, système, version, nombre d'équipements, plus vos identifiants client et de déploiement. Jamais un nom d'hôte, une adresse IP ou une configuration | actif | Réglage CVE_SYNC_ENABLED=false. Limite : l'exposition aux CVE ne se met plus à jour, et il n'existe pas d'import par fichier |
| Ticket de plantage | À chaque erreur non gérée d'une page web (hors 401, 403, 404 et coupures réseau), au plus une fois par quart d'heure pour la même erreur | Le message d'erreur, le fichier et la ligne, la pile d'appels (jusqu'à 8 000 caractères), l'adresse de la page sans ses paramètres, la méthode, l'adresse IP et l'e-mail de l'utilisateur connecté, le nom du serveur. Limite : le message d'erreur et la pile d'appels ne sont pas filtrés et peuvent contenir une donnée saisie à l'écran | actif tant qu'aucun administrateur n'a choisi | Au premier passage, un panneau demande à un administrateur de garder ou de refuser les tickets automatiques. Le choix se change ensuite dans Administration, Tickets automatiques. Avant tout choix, le réglage SUPPORT_AUTO_TICKETS=false l'arrête |
| Ticket d'incident de sécurité | Quand le module de défense détecte une attaque sur l'interface web, au plus un ticket par heure et par incident | La règle déclenchée, l'action prise, l'adresse IP et le navigateur de la source, le numéro de l'utilisateur s'il est connecté, le chemin demandé, un extrait de la requête et le journal de sécurité de cette source sur la période, masqués et tronqués | actif tant qu'aucun administrateur n'a choisi | Même panneau et même page Tickets automatiques. Avant tout choix, le réglage SECURITY_TICKETS=false l'arrête ; SECURITY_WAF=off arrête aussi la détection |
| Ticket d'échec de licence | Quand le service de licence refuse la licence à la connexion d'un administrateur, au plus une fois par heure pour la même erreur | L'e-mail de l'administrateur, le message d'erreur, le nom du serveur, l'identifiant de licence | actif tant qu'aucun administrateur n'a choisi | Même panneau et même page Tickets automatiques. Il n'a pas de réglage dans le fichier ; il s'arrête aussi avec la validation de licence |
| Ticket que vous ouvrez | Quand un utilisateur ouvre un ticket depuis la page Support | Ce que l'utilisateur écrit et joint | seulement sur action | Ne pas ouvrir de ticket. Le choix des tickets automatiques ne le concerne pas |
| Recherche de mise à jour | Seulement quand un administrateur clique sur la recherche de mise à jour | Votre licence et vos identifiants, vers le service de licence. S'il ne répond pas, une requête sans identifiant part vers l'API publique de GitHub | seulement sur action | Ne pas cliquer. La mise à jour elle-même télécharge l'image depuis notre registre, seulement quand vous la lancez. Limite : il n'existe pas de mise à jour hors ligne |
| Tunnel de support | Quand vous l'ouvrez, par la commande nactrack support-on ou depuis l'interface | Une clé publique WireGuard, une empreinte hachée du serveur, vos identifiants et votre clé de licence. Le tunnel relie l'appliance et notre poste de support, pas votre réseau | fermé, sauf sur une ISO à installation automatique préparée pour vous | Commande nactrack support-off. Limite : sur une ISO à installation automatique préparée pour un client, le tunnel est ouvert dès l'installation et reste ouvert après redémarrage, et notre service de licence crée chez nous un ticket interne qui contient l'adresse du tunnel, l'adresse IP du serveur et son architecture, sans le mot de passe de la session de support. Ce mot de passe est transmis en TLS à notre service de licence, qui le conserve chiffré en AES-256-GCM avec une clé qui ne quitte pas ce serveur, un seul par licence, remplacé par le suivant. Seul notre personnel peut le lire, sur ce serveur, par une commande dont chaque usage est journalisé ; aucune adresse web ne le renvoie. L'ISO d'essai ne l'ouvre pas. Dites-nous si vous voulez une ISO sans cette option |
| Courriel, IA, Slack, API Cisco | Seulement si vous les configurez | Ce que vous configurez, vers votre propre serveur de courriel ou le service que vous choisissez | désactivés | Ne pas les configurer. Le copilote IA utilise par défaut un modèle local |
L'heure, la résolution de noms et les mises à jour du système d'exploitation viennent de votre infrastructure et ne sont pas couvertes ici. La connexion SSH et SNMP vers vos propres équipements reste dans votre réseau.
Ce que l'installation contacte
- Le script d'installation et l'ISO à installation automatique contactent notre service de licence pour activer la licence, provisionner le compte de support, enregistrer le tunnel et télécharger les images depuis notre registre. Ils envoient la clé de licence ou un code d'activation à usage unique, une empreinte du serveur et une clé publique WireGuard.
- L'ISO à installation guidée contacte en plus Docker Hub et docker.elastic.co pour les images de base, et vérifie l'accès à Internet en joignant github.com et 1.1.1.1. Elle enregistre le tunnel de support sans l'ouvrir.
- Le certificat du service de licence est vérifié par défaut, et sa clé de signature est fixée dans l'application : une réponse signée par une autre clé est refusée.
Ce que nous pouvons faire sur votre serveur, à lire avec le tableau
- Clé SSH de maintenance. L'ISO à installation guidée autorise, pour le compte nactrack-admin seulement, une clé publique propre à chaque ISO, pour reprendre la main si vous perdez l'accès ; nous gardons la clé privée. La connexion directe en root est refusée. Vous pouvez retirer cette clé du fichier authorized_keys. L'ISO à installation automatique et le script d'installation n'installent aucune clé de l'éditeur, et une mise à jour n'en ajoute plus. La clé ne sert que si notre poste peut joindre le port SSH de l'appliance.
- Session de support. Quand le tunnel est ouvert, notre support se connecte par SSH avec le compte nac-support, depuis le tunnel uniquement, avec des droits d'administration. Fermer le tunnel coupe cet accès.
- Chiffrement du disque. Les deux ISO chiffrent le disque en LUKS2, seul /boot reste en clair, avec une phrase de récupération aléatoire à recopier hors de la machine. Avec une puce TPM 2.0, le disque se déverrouille par la puce. Sans TPM, il se déverrouille seul tant qu'un administrateur n'a pas confirmé la phrase de récupération avec la commande nactrack-disk-keys confirm ; ensuite, chaque démarrage demande la phrase. L'installation par script sur votre propre serveur ne chiffre pas le disque.
- Identifiants des équipements. Chiffrés en AES-256-GCM avec une clé propre à l'installation. Cette clé est sur le même serveur, dans un fichier lisible par root seulement, et il n'existe pas de commande pour la remplacer.
- ISO d'essai. Elle est livrée verrouillée : la commande docker de l'hôte est désactivée jusqu'au déverrouillage par une phrase que nous détenons. Le serveur d'essai n'est donc pas entièrement sous votre contrôle root.
Questions fréquentes
Pourquoi le machine-id brut est-il envoyé ?
Les premières licences étaient liées au machine-id seul. À chaque validation, l'appliance l'envoie à côté de la nouvelle empreinte pour que le service de licence fasse passer la licence de l'un à l'autre. Le service s'en sert pour cette comparaison et ne l'enregistre pas lors de la validation.
NacTrack peut-il fonctionner sans connexion à Internet ?
Oui pour la collecte, l'inventaire, la topologie et les rapports, qui restent dans votre réseau. La licence se renouvelle alors par un fichier signé que nous émettons pour votre serveur. Les catalogues CVE et fin de vie et les mises à jour n'ont pas encore de version hors ligne.
Les tickets automatiques sont-ils obligatoires ?
Non. Un administrateur les garde ou les refuse au premier passage, et change ce choix quand il veut dans Administration, Tickets automatiques. Tant que personne n'a choisi, le réglage fait à l'installation s'applique, et il est actif par défaut.
Une ligne de ce tableau pose problème dans votre cadre ?
Dites-nous laquelle avant l'essai : la réponse vient de ceux qui écrivent le produit.