Agent Windows

Описание

Модуль agent/windows позволяет на ОС Windows провести сканирование агентом , в режиме без установки. Подробнее про агент можно почитать в соответствующей документации (см. Об агенте). Конфигурирование и запуск агента для Windows работает на основе WinRM.

WinRM (Windows Remote Management) — это протокол и служба, разработанные Microsoft для удаленного управления и выполнения задач на компьютерах под управлением операционных систем Windows. Он позволяет администраторам удаленно выполнять команды, настраивать системы, собирать информацию и управлять серверами через сеть.

Данный модуль производит следующие операции:

• Открывает сетевое соединение с целевым хостом по протоколу WinRM.
• Проверяет существование агента на хосте, если он есть - сверяет его версию с текущей. Если агент не требует обновления, то копирования агента по сети можно избежать.
• Копирует (если необходимо) и запускает на нем агента для выполнения сканирования.
• Получает результаты выполнения и отправляет их в систему .
• Закрывает сетевое соединение.

Принцип работы WinRM

1. Протокол и порты:
   • WinRM работает поверх HTTP (по умолчанию порт 5985) или HTTPS (по умолчанию порт 5986).
   • Для защищенного соединения используется HTTPS с сертификатами.
2. Клиент-серверная архитектура:
   • Клиент отправляет запросы на удаленный компьютер через WinRM.
   • Сервер (служба WinRM) обрабатывает запросы, выполняет команды и возвращает результаты.
3. Режимы работы:
   • Локальные команды - выполнение команд на локальном компьютере.
   • Удаленные команды - использование WinRM для управления другим компьютером.
   • Сценарии PowerShell Remoting - позволяют выполнять сложные задачи через сессии PowerShell.

Запуск службы WinRM

Для запуска службы WinRm выполните команду в PowerShell или командной строке с правами администратора:

После выполнения команда:

• Включает службу WinRM.
• Открывает порт 5985 на брандмауэре.
• Настраивает параметры для локального и удаленного управления.

Для аутентификации WinRM поддерживает несколько методов, включая базовый (basic) и Kerberos.

Базовый метод аутентификации (Basic Auth) — это простой способ аутентификации, при котором логин и пароль передаются в HTTP-запросе в закодированном Base64 виде. В контексте WinRM Basic Auth используется при работе, но может быть небезопасна, так как без шифрования передача пароля небезопасна.

Важно! При использовании аутентификации по протоколу Basic для WinRM, если запрос выполняется на неподконтрольное, компрометированное или управляемое злоумышленником актив, учетные данные (логин и пароль администратора или пользователя) передаются в открытом виде. Это создает риск их перехвата и последующего использования для несанкционированного доступа или распространения атаки внутри сети.

Kerberos — это протокол аутентификации, который позволяет клиентам и серверам безопасно пройти аутентификацию без передачи паролей в открытом виде. В контексте WinRM Kerberos часто используется для безопасного входа в систему и выполнения удалённых команд. Kerberos в Windows используется как основной механизм аутентификации в доменной среде Active Directory.

Работа с Kerberos

Чтобы разрешить WinRM использовать Kerberos, необходимо выполнить команду:

Как работает аутентификация WinRM через Kerberos?

1. Клиент (например, PowerShell, WinRM или программа на Go) инициирует подключение к удалённому хосту через WinRM.
2. Kerberos-клиент на компьютере пользователя запрашивает у контроллера домена (KDC - Key Distribution Center) билет на доступ (TGT - Ticket Granting Ticket).
3. Kerberos-клиент получает билет службы (TGS - Ticket Granting Service) для WinRM на удалённой машине.
4. Клиент отправляет этот билет серверу через WinRM (HTTP или HTTPS).
5. Сервер проверяет билет и аутентифицирует пользователя без передачи пароля.
6. После успешной аутентификации клиент получает доступ и может выполнять команды.

Для запуска сканирования идет подключение с помощью протокола Kerberos. После этого используется PowerShell-скрипт для скачивания исполняемого файла agent.exe.

Скрипт в свою очередь:

1. Проверяет существование агента на активе в папке %TEMP%. Если файла агента нет или его хеш суммы расходятся с актуальной версией - происходит скачивание новой версии агента.
2. Загружает сертификат в папку %TEMP%. Сертификат требуется для обеспечения безопасности соединения между агентом и сервером и для шифрования запросов на авторизацию агента на сервере.
3. Проверяет целостность файла агента по SHA256.
4. Устанавливает переменные среды.
5. Запускает агент на активе.

Проверка существования агента на активе позволяет снизить нагрузку на сеть при каждом запуске сканирования.

Важно! Установка агента не производится. Агент запускается из временной папки (%TEMP%).

Запуск сканирования

Для запуска агентов необходимо сконфигурировать переменные user, password, agentToken при настройке сканера. При создании запроса данные переменные указываются только в виде секретов (secrets). Прямое указание переменных в запросе запрещено.

Для использования полей с типом Список ([]) в запросе необходимо использовать конструкцию matrix (матрица). (см. Матрицы).