Este artigo explica como a Cato usa mensagens DHCP para identificar e classificar dispositivos na sua rede e como a escolha de implantação do DHCP afeta os dados dos dispositivos mostrados na página Inventário de Dispositivos e disponíveis nas regras de firewall.
Visão Geral
O mecanismo de Inventário de Dispositivos analisa o tráfego Wanbound e de saída para descobrir, identificar e classificar os dispositivos na sua rede. Para mais informações sobre o serviço de Segurança IoT/OT e como usar o Inventário de Dispositivos na Aplicação de Gerenciamento Cato (CMA), veja O que é Inventário de Dispositivos?.
O motor utiliza vários protocolos de identificação, incluindo DHCP, HTTP, MAC, TCP/IP e FTP. No entanto, o DHCP é o mais valioso para obter dados do dispositivo. Em uma troca DHCP, um dispositivo anuncia seu próprio endereço MAC, muitas vezes seu nome de host, e indica seu sistema operacional. Isso ocorre em um cronograma previsível, quando o dispositivo se junta à rede ou renova seu aluguel. A Cato usa esses dados para preencher atributos de dispositivo, como Endereço MAC, Fabricante, Nome do Dispositivo e IP do Dispositivo, que depois se tornam disponíveis como condições de Atributo do Dispositivo nas suas regras de firewall. Para mais informações sobre o uso de dados de dispositivos em regras de firewall, veja Adicionando Condições de Dispositivo nas Regras de Firewall.
Para que a Cato acesse os dados DHCP, a Cato deve estar no caminho da mensagem DHCP. Quando a Cato é o servidor DHCP ou um relay DHCP para uma faixa de rede, a Cato Cloud lê as mensagens DHCP que processa e direciona os identificadores extraídos para o motor de Inventário de Dispositivos.
Nota:
- Regras de firewall com configurações de Atributo do Dispositivo são aplicadas apenas para dispositivos cujo Endereço MAC foi detectado. Na prática, isso significa dispositivos vistos através do DHCP. A Cato recomenda configurar seus sites para usar o serviço DHCP da Cato para ajudar a garantir a detecção de endereço MAC.
- O endereço MAC armazenado no Inventário de Dispositivos é retirado do payload da mensagem DHCP (
chaddr), não do cabeçalho Ethernet do frame. Relays DHCP intermediários, roteadores e Sockets não sobrescrevem este valor.
Como o Caminho da Mensagem DHCP Impacta a Recuperação de Dados do Dispositivo
Quando um cliente na faixa de rede de um site precisa de um endereço IP, ele envia uma mensagem DISCOVER DHCP. O que a Cato vê quando isso acontece depende de como o DHCP está configurado para essa faixa:
- Cato Cloud como o servidor DHCP - Quando uma faixa é configurada no CMA com a configuração Faixa DHCP, o PoP da Cato é o servidor DHCP. Cada
DISCOVER,REQUEST,RENEWeRELEASEde cada cliente na faixa é entregue ao PoP, que atribui o endereço IP e analisa o payload. Este modo produz os dados de dispositivo mais completos e atualizados. - Cato como relay DHCP - Quando uma faixa é configurada com a configuração Relay DHCP, seu servidor DHCP, por exemplo, um servidor DHCP Microsoft em um centro de dados, atribui os arrendamentos. O Socket Cato retransmite as mensagens DHCP entre o cliente e seu servidor e lê o payload enquanto o faz.
Nota: Cato também pode extrair Identificadores DHCP de mensagens de Relay DHCP que passam pela Cato Cloud, mesmo quando o Socket Cato não é o agente de Relay DHCP. Isso se aplica quando o tráfego de relay é roteado através do Cato para alcançar o servidor DHCP. - DHCP servido localmente na LAN – Um servidor DHCP de terceiros, como um roteador local, um ponto de acesso de terceiros ou um servidor Windows, responde aos clientes no mesmo domínio de broadcast sem o relay da Cato. Essas mensagens DHCP nunca deixam a LAN e a Cato não as vê. Dispositivos nesta faixa ainda podem aparecer no Inventário de Dispositivos através do tráfego Wanbound, mas normalmente com dados limitados (sem endereço MAC, fabricante ou nome do host) e regras de firewall com condições de Atributo do Dispositivo não se aplicam a eles.
Para cada mensagem DHCP que processa, a Cato extrai identificadores dos seguintes campos e os usa para preencher o perfil do dispositivo:
| Campo DHCP | Atributo do Inventário de Dispositivos |
|---|---|
Endereço de hardware do cliente (chaddr) |
Endereço MAC — o âncora para o registro do dispositivo e o pré-requisito para regras de firewall de Atributo do Dispositivo. |
| MAC OUI (primeiros 24 bits) | Fabricante inicial, derivado do registro IEEE OUI. |
| Endereço IP atribuído ou solicitado | IP do Dispositivo, e a associação IP-para-MAC usada para atribuir tráfego posterior ao dispositivo. |
| Opção 12 (Nome do Host) | Nome do Dispositivo, quando o cliente anuncia um. |
| Opção 55 (Lista de Solicitação de Parâmetros) | Contribui para a identificação de SO e Versão do SO. |
| Opção 60 (Identificador de Classe de Fornecedor) | Refina Tipo, Fabricante e Modelo para dispositivos que anunciam uma classe de fornecedor, como dispositivos IoT e OT, impressoras, telefones VoIP e câmeras. |
A Cato combina esses atributos derivados do DHCP com sinais de outros protocolos e análises comportamentais do tráfego Wanbound para refinar a classificação.
Configurando DHCP para Identificação de Dispositivo
Para garantir que o motor de Inventário de Dispositivos possa identificar dispositivos em cada site, configure o DHCP para que a Cato esteja no caminho da mensagem DHCP para cada faixa de rede que deseja monitorar. Você pode usar um dos dois modos.
Usando a Cato como seu Servidor DHCP (Recomendado)
Neste modo, a Cato Cloud atribui endereços IP aos clientes na faixa de rede e lê diretamente cada mensagem DHCP.
Nota:
A Cato recomenda este modo tanto para cobertura de identificação de dispositivo quanto para simplicidade operacional. Para mais informações, veja Recomendações para DHCP.
Para mais informações sobre como usar a Cato como o servidor DHCP, veja Configurando Configurações DHCP.
Usando a Cato como um Relay DHCP
Use este modo quando deseja manter seu próprio servidor DHCP (por exemplo, um servidor DHCP centralizado da Microsoft), mas ainda assim permitir que a Cato veja as mensagens DHCP.
Para mais informações sobre como usar a Cato como um relay DHCP, veja Configurando a Cato como o Relay DHCP.
Onde Aparecem os Dados de Dispositivos Baseados em DHCP
A Cato usa identificadores derivados de DHCP nas seguintes páginas do CMA:
- Inventário de Dispositivos - As colunas Endereço MAC, Fabricante, Nome do Dispositivo e IP do Dispositivo são preenchidas a partir dos campos DHCP listados acima. Abra a Visualização Rápida do dispositivo para ver o endereço MAC e a lista completa de atributos. Para mais informações, veja Usando a Página de Inventário de Dispositivos.
- Bases de regras de firewall WAN, Internet e LAN — Os valores identificados pelo motor de Inventário de Dispositivos tornam-se valores selecionáveis na condição Atributo do Dispositivo de uma regra. Regras com condições de Atributo do Dispositivo se aplicam somente a dispositivos cujo endereço MAC foi detectado.
Limitação de Serviços Conhecidas
Além das limitações descritas em Usando a Página de Inventário de Dispositivos (envelhecimento de 3 dias, divisão de ID múltiplo, colisão de ID compartilhado), a identificação baseada em DHCP tem as seguintes limitações:
- Dispositivos IP estático não produzem sinal DHCP. Um dispositivo com endereço IP estático não envia mensagens DHCP, então não tem endereço MAC no Inventário de Dispositivos e não é correspondente a regras de firewall que usam condições de Atributo do Dispositivo.
- DHCP servido localmente é invisível para a Cato. Se o DHCP for servido por um dispositivo na LAN que não envia suas mensagens DHCP através da Cato Cloud (como servidor ou como relay), a Cato não pode extrair a identidade do dispositivo dessas mensagens.
- Randomização MAC. Sistemas operacionais modernos (versões recentes de iOS, Android, Windows 11 e macOS) podem apresentar um endereço MAC randomizado por rede. Um endereço MAC randomizado tem um OUI que não mapeia para um fabricante real, e o mesmo dispositivo físico pode aparecer sob diferentes endereços MAC em diferentes redes.
- Monitoramento DHCP ou reescrita de Opção 82. Se um dispositivo entre o cliente e o Socket Cato modificar mensagens DHCP (por exemplo, adicionando a Opção 82 ou reescrevendo
chaddr), os identificadores armazenados em Inventário de Dispositivos refletirão essa modificação.