运行状况检查

Tenable Identity Exposure 中的运行状况检查功能可让您在单一合并视图中实时查看域和服务帐户的配置情况，从而深入研究导致基础设施中出现连接问题或其他问题的任何配置异常。该功能会验证所有设置是否正确，以确保 Tenable Identity Exposure 的顺利运行，助您采取快速而准确的操作来修复问题，同时确保您的配置设置已经过优化，能够使 Tenable Identity Exposure 高效运行。

管理角色默认可查看运行状况检查，而对于某些用户角色，则需要获得相应的权限才能查看。您还可以根据运行状况检查状态的每次变更创建 Syslog 或电子邮件警报。

运行状况检查和 DC 同步攻击检测

运行状况检查提供有关 Tenable Identity Exposure 服务的状态和可用性的重要信息。该检查会验证服务帐户是否能够收集敏感信息，例如用于特权分析的密码哈希和 DPAPI 备份密钥。在运行状况检查报告中，Tenable 会尝试收集敏感数据以确定服务帐户是否正确配置了特权分析功能，如果未使用此功能，Tenable 实际不会收集任何信息。为防止在此过程中检测 DCSync 攻击，Tenable 会自动将为 DCSync 攻击指标提供的服务帐户列入白名单。

域状态

Tenable Identity Exposure 对每个域执行以下检查：

  • AD 域的身份验证：LDAP 设置和状态、凭据以及 SMB 访问权限

  • 域可访问性：与动态 RPC 端口的可正常工作连接、可访问的 SMB 服务器、可访问的域控制器 IP 地址或 FQDN、与 RPC 端口的可正常工作连接、可访问的 LDAP 服务器以及可访问的全局编录 LDAP 服务器。

  • 权限：访问 AD 域数据和收集特权数据的能力。

  • 链接到中继的域：域已正确关联到中继服务。

平台状态

Tenable Identity Exposure 对平台配置执行以下检查：

  • 运行中继服务：中继配置是否正确，并提供关于故障排除的提示。

  • 中继版本一致性：中继版本是否与 Tenable Identity Exposure 版本一致。

  • 运行 AD 数据收集器服务：数据收集器服务、代理和收集器桥是否可操作，是否可将数据中继到其他服务。

  1. 在 Tenable Identity Exposure 页面左下角，将鼠标悬停在 图标上，以查看基础设施的全局状态。

  2. 点击图标可打开“运行状况检查 ”页面。在“域状态”或“平台状态”选项卡下，您会看到以下内容之一：

    • 显示已通过所有运行状况检查的信息

    • 特定状态的警告或问题列表：

      检查成功并显示正常结果。
      检查失败并发现一个问题。

      检查失败，但该问题不会妨碍 Tenable Identity Exposure 正常工作。

      例如，如果服务帐户无法收集特权数据，则数据集合检查将失败，因为客户端的 Active Directory 配置错误。但该问题并不严重，出现此警告的原因是您尚未在 Tenable Identity Exposure 中在此域上激活特权分析功能。但是，如果您激活特权分析，检查将立即失败。
      检查显示未知结果，因为从属关系检查失败。例如，如果身份认证检查失败，则无法继续进行网络可访问性检查。

  • 在右侧的运行状况检查列表上方，点击切换开关“显示成功的检查”以列出 Tenable Identity Exposure 执行的所有检查，其中包含以下信息：

    • 运行状况检查的名称

    • 状态（通过、失败、失败但无阻塞或未知）

    • 受影响的域及其关联的林（仅适用于域状态检查）

    • 上次执行检查的时间

    • 检查保持此状态的时间

  • 尽管 Tenable Identity Exposure 会定期执行运行状况检查，但并未借助结果实时更新页面。点击“”刷新结果列表。

  1. 在右侧的运行状况检查列表上方，点击“n/n 个运行状况检查”或“n/n 个域”（仅适用于域状态）。

    此时会打开“运行状况检查”或“林和域”窗格。

  2. 选择运行状况检查类型或林/域（如适用），然后点击“按所选结果筛选”。

  1. 在运行状况检查列表中，点击运行状况检查名称或行末的蓝色箭头 ()。

    运行状况检查的名称 类型 检查的描述 原因
    域可访问性 域 与 AD 域建立连接的能力

    • IP-UNREACHABLE R-LDAP-GLOBAL-CATALOG-UNREACHABLE

    • LDAP-SERVER-UNREACHABLE

    • SMB-SERVER-UNREACHABLE

    • DYNAMIC-RPC-CONNECTION-NOT-WORKING

    • RPC-CONNECTION-NOT-WORKING

    AD 域身份验证 域 对 AD 域进行身份验证的能力

    • INCORRECT-CREDENTIALS

    • LDAP-SERVER-BUSY

    • LDAP-SERVER-UNAVAILABLE

    • LDAP-SERVER-ACCESS-DENIED

    • SMB-SERVER-ACCESS-DENIED

    收集 AD 域数据的权限 域 收集 AD 域数据的能力

    • MISSING-PERMISSIONS-PRIVILEGED-DATA

    访问 AD 容器的权限 域 访问 AD 容器的能力

    • MISSING-PERMISSIONS-DELETED-OBJECTS-ACCESS

    • MISSING-PERMISSIONS-PASSWORD-SETTINGS-ACCESS

    链接到中继的域 域 域已链接到中继

    • LINKED-TO-RELAY-DOWN

    中继服务启动 平台 中继按照预期工作

    • RELAY-DOWN

    中继服务版本 平台 中继版本与产品版本一致

    • VERSION-MISMATCH

    AD 数据收集器启动 平台 AD 数据收集器按预期工作

    • DATA-COLLECTOR-SERVICE-DOWN

    • DATA-COLLECTOR-BRIDGE-DOWN

    • BROKER-DOWN

  2. 点击详细信息行末尾的箭头以将其展开并显示有关结果的更多信息。

默认情况下，Tenable Identity Exposure 在屏幕左下角显示运行状况检查状态图标。

  1. 在 Tenable Identity Exposure 中，转至左侧导航栏中的“系统”，然后选择“配置”选项卡。

    或者，您可以点击“运行状况检查”页面右上角的“”，然后选择“配置”。

  2. 在“应用程序服务”下，选择“运行状况检查”。

  3. 点击切换开关“显示全局运行状况检查状态”以禁用此功能。

    Tenable Identity Exposure 在屏幕左下角隐藏运行状况检查图标。

  1. 在 Tenable Identity Exposure 中，转至左侧导航栏中的“帐户”，然后选择“角色管理”选项卡。

  2. 在角色列表中，选择用户角色并单击该行末尾的“”。

    此时会打开“编辑角色”窗格。

  3. 选择“系统配置实体”选项卡。

  4. 选择“运行状况检查”实体，然后点击权限切换按钮，将其从未授权状态切换为已授权状态。

  5. 点击“应用并关闭”。

有关权限的更多信息，请参阅“设置角色的权限”。

  1. 在 Tenable Identity Exposure 中，转至左侧导航栏中的“系统”，然后选择“配置”选项卡。

    或者，您可以点击“运行状况检查”页面右上角的“”，然后选择“警报”。

  2. 在“警报引擎”下，选择“Syslog”或“ 电子邮件”。

  3. 点击“添加 Syslog 警报”或“添加电子邮件警报”。

    此时会打开一个新窗格。有关完整程序的信息，请参阅“警报”。

  4. 在“警报参数”下的“触发警报”框中，从下拉菜单中选择“每当运行状况检查状态更改时”。

  5. 点击“健康状况检查”框中的箭头，选择要触发警报的健康状况检查类型，然后点击“按所选结果筛选”。

  6. 单击“添加”。