Discovery Probeのセキュリティについて

はじめに
Freshservice には、すぐに使える Discovery Probeが付属しており、ネットワークをスキャンしたり、SCCM インスタンスに接続して、組織内のハードウェア資産を識別し、ヘルプデスクに追加することができます。

Freshservice ProbeはWindowsアプリケーションで、ネットワーク上のどのコンピューターにもインストールすることができます。インストールすると、Probeはあらゆる種類のコンピュータ（Mac OS XやLinuxで動作するものを含む）、ネットワーク・ルーター、スイッチ、およびプリンターなどのデバイスをスキャンすることができます。同じネットワーク上でProbeが動作している限り、資産を検出することができます。デバイスのスキャン以外にも、Probeを使用してActive Directoryからユーザーをインポートしたり、定期的なスキャンをスケジュールすることも可能です。
また、ProbeはSCCMに接続し、すべてのデバイス情報をFreshserviceに同期させることができます。


Probeが情報を取得する方法
標準（ネットワークとドメインのスキャン）
・Windowsマシンのスキャンには、WMIを使用します。
・Linux、Macマシンのスキャンには、SSHによるシェルコマンドを実行します。
・プリンタ、ルータ、ファイアウォール、スイッチなどのネットワークデバイスのスキャンには、SNMPプロトコルを使用します。

SCCM
SCCMデータベースへの読み取り専用アクセス。SCCMとFreshserviceのデータを同期するために使用されるビューとカラムの詳細は、このソリューション記事で確認できます。

Probeを使用するために必要な認証情報
・Probe がインストールされているマシンへの管理者アクセス権
・ADユーザーインポートのためのドメインユーザーの認証情報
・ドメイン内のマシンをスキャンする場合、そのドメインの管理者認証情報を指定し、Probeに保存する必要があります。
・SNMPデバイスを検出するために必要なSNMP読み取り認証情報 プリンター、ルーター、スイッチ、ファイアウォール
・LinuxおよびMacデバイスを検出するためのルートユーザー/sudoユーザーアクセス権
・SCCM Probeは、サーバへのdb_datareaderアクセス権を持つアカウントの資格情報を必要とします。このアカウントは、ローカルのSQLアカウントである必要があります（ドメインアカウントではありません）。

Probeが使用するポート
Probeが正しく機能するために、以下のポートがProbeのホストマシンのFreshserviceによって使用されます、

・スキャン用に設定されたすべてのIPアドレス/デバイスに対して、TCP/135,445,22,161でポートスキャンを行い、デバイスの種類を検出します。
・ICMPでデバイスの空き状況を確認
・WMI/DCOM用にTCP/135,TCP/445,ランダムポートをポート指定
・ネームサービス用ポート UDP/137
・VMWare ESXIスキャン用ポート TCP/443
・SNMPネットワークデバイス用ポートTCP/161(デフォルトポート)
・SSH用ポート22
・ADからコンピュータのリストとユーザー情報を取得するためのポートTCP/389または636（設定可能）。
・SCCM接続用ポート1433（初期設定、設定可）

保存されるデータについて
プローブのデータストアとして、パスワードで保護されたSQLite 3.11データベースを使用しています。プローブDBには以下のデータが保存されます（場所はプローブのインストール時に指定可能です）。

・ドメインとIP範囲の設定
・スケジュール設定
・デバイスのハードウェアとソフトウェアの詳細
・ADから取り込んだユーザー情報

データの同期（Freshserviceとの連携）
デバイスとユーザー情報は、定期的にFreshserviceと同期されます。デフォルトでは、ProbeはHTTPSプロトコルを使用し、強力なプロトコル（TLS 1.2）、強力な鍵交換（ECDHE_RSA）、強力な暗号（AES_128_GCM）を使用して接続の暗号化と認証が行われます。

お客様がカスタムSSL証明書を使用する場合、暗号化が異なる場合があります。