Erkennung von TCP-Verbindungen

  • Freigeben Version: Washingtondc
  • Aktualisiert 1. Februar 2024
  • 4 Minuten Lesedauer

    • Discovery identifiziert und klassifiziert Informationen zu TCP-Verbindungen mithilfe der ADM- und ADME-Probes.

    Discovery füllt die Tabelle „TCP-Verbindungen“ [cmdb_tcp] mit folgenden Daten.

    Bezeichnung Tabellenname Feldname Beschreibung
    Abwesend cmdb_tcp absent Wenn der Prozess auf diesem Gerät nicht mehr ausgeführt wird. Wenn der Prozess zum ersten Mal erkannt wird, wird der Wert nicht ausgewählt (sprich: der Prozess fehlt nicht). Wenn Discovery erneut ausgeführt wird und den Prozess nicht erkennt, wird er ausgewählt.
    Computer cmdb_tcp Computer Das Gerät, das mit dem TCP-Port verbunden ist oder diesen abhört
    IP cmdb_tcp ip Die IP-Adresse, die von diesem Gerät oder Prozess abgehört wird oder mit der eine Verbindung besteht. Wenn die IP-Adresse 127.0.0.1 lautet, handelt es sich um den Hostcomputer selbst.
    PID cmdb_tcp pid Die ID des Prozesses, zu dem eine Verbindung hergestellt wird oder der von diesem Gerät (IP-Adresse) abgehört wird
    Port cmdb_tcp port Die Portnummer, über die der TCP-Datenverkehr erkannt wurde
    Vorgang cmdb_tcp process Der Prozess, zu dem eine Verbindung hergestellt wird oder der von dem Port abgehört wird
    Typ cmdb_tcp Typ
    • Lauschen auf: Der Prozess hört das Gerät über TCP ab.
    • Verbindung wird hergestellt: Wenn der Prozess über TCP mit diesem Gerät verbunden ist
    count cmdb_tcp count Die Häufigkeit, mit der Discovery eine bestimmte TCP-Verbindung erkennt. Dieses Feld wird von erweiterten ADM-Probes verwendet.

    Discovery füllt die Tabelle „Laufender Prozess“ [cmdb_running_process] mit diesen Daten.

    Bezeichnung Feldname Beschreibung
    Name Name Der Name des laufenden Prozesses
    Computer Computer Das Gerät, auf dem der Prozess ausgeführt wird
    Übergeordnet parent Der übergeordnete Prozess dieses Prozesses, falls vorhanden
    Lauschen auf listening_on Die Ports, die von den Prozessen abgehört werden
    Verbunden mit connected_to Die Ports, mit denen die Prozesse verbunden sind
    Befehl command Der Befehl für diesen Prozess, einschließlich Pfad
    PID pid Die ID für den Prozess
    PPID ppid Die ID für den übergeordneten Prozess
    Abwesend absent Wenn der Prozess auf diesem Gerät nicht mehr ausgeführt wird. Wenn der Prozess zum ersten Mal erkannt wird, wird der Wert nicht ausgewählt (sprich: der Prozess fehlt nicht). Wenn Discovery erneut ausgeführt wird und den Prozess nicht erkennt, wird er ausgewählt.
    Klassifizieren classify Gibt an, ob der laufende Prozess klassifiziert werden soll
    Schlüsselparameter key_parameters Die Schlüsselparameter für den Befehl
    Parameter parameters Die Parameter für den Befehl
    Anzahl count Die Häufigkeit, mit der Discovery eine bestimmte TCP-Verbindung erkennt. Dieses Feld wird von erweiterten ADM-Probes verwendet.

    Standardmäßige ADM-Probes

    Mit der standardmäßigen ADM-Erkennung startet Discovery die folgenden Probes:
    Name Beschreibung Eingeschlossene Sub-Probes
    AIX - ADM Fragt Informationen über aktive (laufende) AIX-Prozesse und aktive Verbindungen ab. Diese Informationen sind für die Zuordnung von Anwendungsabhängigkeiten erforderlich.
    • AIX - Active Connections
    • AIX - Active Processes
    HP-UX - ADM Fragt Informationen über aktive (laufende) HP-UX-Prozesse und aktive Verbindungen ab. Diese Informationen sind für die Zuordnung von Anwendungsabhängigkeiten erforderlich.

    Diese Probe erfordert die Installation von lsof und die Aktivierung der Probe „UNIX - Active Connections“, der standardmäßig inaktiv ist.
    • UNIX - Active Connections
    • HP-UX - Active Processes
    Solaris - ADM Fragt Informationen über aktive (laufende) Solaris-Prozesse und aktive Verbindungen ab. Diese Informationen sind für die Zuordnung von Anwendungsabhängigkeiten erforderlich. Diese Probe wird durch die Probe „Solaris Zones“ ausgelöst. Das System löst eine ADM-Probe für jede lokale Zone in einer globalen Zone aus.

    Diese Probe erfordert, dass lsof in der globalen Zone installiert wird.
    • Solaris - Active Processes
    • Solaris - Active Connections
    UNIX - ADM Fragt Informationen über aktive (laufende) UNIX-Prozesse und aktive Verbindungen ab. Diese Informationen sind für die Zuordnung von Anwendungsabhängigkeiten erforderlich.
    • UNIX - Active Connections
    • UNIX - Active Processes
    Windows - ADM Fragt Informationen über aktive (laufende) Windows-Prozesse und aktive Verbindungen ab. Diese Informationen sind für die Zuordnung von Anwendungsabhängigkeiten erforderlich.
    • Windows - Active Connections
    • Windows - Active Processes
    UNIX - ADM netstat Führt dieselben Funktionen wie die Probe „UNIX ADM“ aus, ist dabei zur Unterstützung der kontinuierlichen TCP-basierten Erkennung auf Netstat angewiesen. Service Mapping verwendet diese Probe für die auf Datenverkehr basierende Erkennung.
    • UNIX - Active Connections with Netstat. Diese Probe ruft TCP-Verbindungen ab, um die Tabellen cmdb_tcp und cmdb_tcp_connection zu füllen.
    • UNIX - Active Processes. Diese Probe ruft TCP-Prozesse ab und füllt die Tabelle cmdb_running_process.

    Erweiterte ADM-Probes

    Wenn erweitertes ADM aktiviert ist, startet Discovery die folgenden Probes:
    Probe Beschreibung
    Windows - ADM Enhanced Führt dieselben Funktionen wie die Probe „Windows ADM“ aus, jedoch mit zusätzlichen Parametern, um die kontinuierliche TCP-basierte Erkennung zu steuern. Diese Probe ist sowohl mit von WinRM unterstützten als auch mit nicht von WinRM unterstützten MID Servern kompatibel. Konfigurieren Sie Ihren MID Server mit dem Parameter mid.windows.management_protocol. Informationen zu den Werten, die Sie für diesen Parameter verwenden können, finden Sie unter MID Server- Parameter.
    UNIX - ADM Enhanced Führt dieselben Funktionen wie die Probe „UNIX ADM“ aus, jedoch mit zusätzlichen Parametern, um die kontinuierliche TCP-basierte Erkennung zu steuern.
    Verwenden Sie mit den erweiterten ADM-Probes die folgenden Probe-Parameter:
    Parameter Beschreibung
    mid.adme.max_result_size Steuert die Größe der TCP-Nachverfolgungsdatei
    max.adme_result_payload_size Steuert die Größe des Ergebnisses, einschließlich der Nutzlast
    Hinweis:
    Wenn dieser Wert größer als die MID Server-Eigenschaften mid.discovery.max_payload_size ist, kann ein Konfigurationsfehler auftreten.