Comment Cato utilise DHCP pour identifier les appareils

Cet article explique comment Cato utilise les messages DHCP pour identifier et classer les appareils dans votre réseau, et comment le choix de votre déploiement DHCP affecte les données sur les appareils affichées sur la page d'inventaire des appareils et disponibles dans les règles de pare-feu.

Vue d'ensemble

Le moteur d'Inventaire des appareils analyse le trafic WANbound et sortant pour découvrir, identifier et classer les appareils dans votre réseau. Pour en savoir plus sur le service de sécurité IoT/OT et comment utiliser l'Inventaire des appareils dans l'application de gestion Cato (CMA), consultez Qu'est-ce que l'Inventaire des appareils?.

Le moteur utilise divers protocoles d'identification, y compris DHCP, HTTP, MAC, TCP/IP, et FTP. Cependant, DHCP est le plus précieux pour obtenir les données de l'appareil. Dans un échange DHCP, un appareil annonce sa propre adresse MAC, souvent son nom d'hôte, et donne des indications sur son système d'exploitation. Cela se produit selon un calendrier prévisible, lorsque l'appareil rejoint le réseau ou renouvelle son contrat de location. Cato utilise ces données pour remplir les attributs de l'appareil tels que Adresse MAC, Fabricant, Nom de l'Appareil, et IP de l'Appareil, qui deviennent ensuite disponibles en tant que conditions Attribut de l'Appareil dans vos règles de pare-feu. Pour en savoir plus sur l'utilisation des données des appareils dans les règles de pare-feu, consultez Ajout de conditions d'appareil aux règles de pare-feu.

Pour que Cato accède aux données DHCP, Cato doit être sur le chemin du message DHCP. Lorsque Cato est soit le serveur DHCP soit un relais DHCP pour une plage de réseau, le Cato Cloud lit les messages DHCP qu'il traite et alimente les identifiants extraits dans le moteur d'Inventaire des appareils.

Note:

• Les règles de pare-feu qui utilisent des conditions Attribut de l'Appareil ne sont appliquées qu'aux appareils dont l'adresse MAC a été détectée. En pratique, cela signifie les appareils vus par DHCP. Cato recommande de configurer vos sites pour utiliser le service DHCP de Cato afin d'aider à garantir la détection des adresses MAC.
• L'adresse MAC stockée dans Inventaire des appareils est prise à partir de la charge utile du message DHCP (chaddr), pas depuis l'en-tête Ethernet de la trame. Les relais DHCP intermédiaires, routeurs et sockets n'écrasent pas cette valeur.

Comment le chemin du message DHCP impacte la récupération des données de l'appareil.

Quand un client sur une plage de réseau de site a besoin d'une adresse IP, il envoie un message DHCP DISCOVER. Ce que Cato voit quand cela se produit dépend de la manière dont DHCP est configuré pour cette plage :

• Cato Cloud comme serveur DHCP - Quand une plage est configurée dans le CMA avec le paramètre Plage DHCP, le Cato PoP est le serveur DHCP. Chaque DISCOVER, REQUEST, RENEW et RELEASE de chaque client sur la plage est livré au PoP, qui attribue l'adresse IP et analyse la charge utile. Ce mode produit les données d'appareil les plus complètes et fraîches.
• Cato comme relais DHCP - Quand une plage est configurée avec le paramètre Relais DHCP, votre serveur DHCP, par exemple un serveur DHCP Microsoft dans un centre de données, attribue les baux. La prise Cato relaie les messages DHCP entre le client et votre serveur et lit la charge utile pendant qu'il le fait.
  Note : Cato peut également extraire des identifiants DHCP à partir des messages de relais DHCP qui traversent le Cloud Cato, même lorsque le Socket Cato n'est pas l'agent de relais DHCP. Cela s'applique lorsque le trafic relais est dirigé via Cato pour atteindre le serveur DHCP.
• DHCP servi localement sur le LAN - Un serveur DHCP tiers, tel qu'un routeur local, un point d'accès tiers, ou un serveur Windows, répond aux clients sur le même domaine de broadcast sans relais par Cato. Ces messages DHCP ne quittent jamais le LAN et Cato ne les voit pas. Les appareils sur cette plage peuvent toujours apparaître dans l'Inventaire des appareils par leur trafic WANbound, mais généralement avec des données limitées (pas d'adresse MAC, fabricant, ou nom d'hôte) et les règles de pare-feu avec des conditions Attribut de l'Appareil ne s'appliquent pas à eux.

Pour chaque message DHCP qu'il traite, Cato extrait les identifiants des champs suivants et les utilise pour remplir le profil de l'appareil :

Cato combine ces attributs dérivés du DHCP avec des signaux d'autres protocoles et d'une analyse comportementale du trafic WANbound pour affiner la classification.

Configurer DHCP pour l'identification des appareils

Pour vous assurer que le moteur d'Inventaire des appareils peut identifier les appareils à chaque site, configurez DHCP de sorte que Cato soit sur le chemin des messages DHCP pour chaque plage de réseau que vous souhaitez surveiller. Vous pouvez utiliser l'un des deux modes.

Utiliser Cato comme votre Serveur DHCP (Recommandé)

Dans ce mode, le Cato Cloud attribue des adresses IP aux clients sur la plage de réseau et lit directement chaque message DHCP.

Note:

Cato recommande ce mode pour à la fois la couverture d'identification des appareils et la simplicité opérationnelle. Pour plus d'informations, voir Recommandations pour DHCP.

Pour en savoir plus sur l'utilisation de Cato comme serveur DHCP, consultez Configurer les paramètres DHCP.

Utiliser Cato comme relais DHCP

Utilisez ce mode lorsque vous souhaitez conserver votre propre serveur DHCP (par exemple, un serveur DHCP Microsoft centralisé) mais laisser encore Cato voir les messages DHCP.
Pour en savoir plus sur l'utilisation de Cato en tant que relais DHCP, consultez Configurer Cato en tant que relais DHCP.

Où apparaissent les données d'appareil basées sur DHCP

Cato utilise les identifiants dérivés du DHCP dans les pages CMA suivantes :

• Inventaire des Appareils - Les colonnes Adresse MAC, Fabricant, Nom de l'Appareil, et IP de l'Appareil sont remplies à partir des champs DHCP mentionnés ci-dessus. Ouvrez la Vue rapide d'un appareil pour voir l'adresse MAC et la liste complète des attributs. Pour plus d'informations, consultez Utilisation de la page Inventaire des appareils.
• WAN, Internet et base de règles de pare-feu LAN — Les valeurs identifiées par le moteur d'Inventaire des Appareils deviennent des valeurs sélectionnables dans la condition d'un Attribut de l'Appareil d'une règle. Les règles avec des conditions Attribut de l'Appareil s'appliquent uniquement aux appareils dont l'adresse MAC a été détectée.

Limites Connues

En plus des limitations décrites dans Utilisation de la page Inventaire des Appareils (vieillissement de 3 jours, division multi-ID, collision d'ID partagé), l'identification basée sur DHCP a les limitations suivantes :

• Les appareils à IP statique ne produisent aucun signal DHCP. Un appareil avec une adresse IP statique ne transmet pas de messages DHCP, donc il n'a pas d'adresse MAC dans Inventaire des Appareils et n'est pas égalé par les règles de pare-feu qui utilisent des conditions Attribut de l'Appareil.
• DHCP servi localement est invisible pour Cato. Si le DHCP est servi par un appareil sur le LAN qui ne transmet pas ses messages DHCP via le Cato Cloud (en tant que serveur ou relais), Cato ne peut pas extraire l'identité de l'appareil de ces messages.
• Randomisation MAC. Les systèmes d'exploitation modernes (versions récentes d'iOS, Android, Windows 11, et macOS) peuvent présenter une adresse MAC aléatoire par réseau. Une adresse MAC aléatoire a une OUI qui ne correspond à aucun fabricant réel, et le même appareil physique peut apparaître sous différentes adresses MAC sur différents réseaux.
• Écoute DHCP ou réécriture d'Option 82. Si un appareil entre le client et la prise Cato modifie le message DHCP (par exemple, en ajoutant Option 82 ou en réécrivant chaddr), les identifiants stockés dans Inventaire des Appareils reflètent cette modification.

Articles Connexes

• Qu'est-ce que l'Inventaire des Appareils?
• Utilisation de la page Inventaire des appareils
• Configurer les paramètres DHCP
• Configuration de Cato comme le Relais DHCP
• Recommandations pour DHCP
• Ajouter des conditions pour les appareils aux règles de pare-feu