Discovery Agent
Discovery Agent étend Ecurem CLM aux réseaux internes : il exécute les scans locaux de certificats et, lorsque la fonction est activée, la découverte cryptographique locale avec transmission contrôlée d’un CBOM CycloneDX 1.7.
1. Quand utiliser l’Agent
Utilisez Discovery Agent pour les réseaux privés, adresses RFC1918, services internes ou environnements segmentés qui ne sont pas directement accessibles depuis le SaaS.
L’Agent fournit deux capacités complémentaires : le scan local des services/certificats TLS et la découverte cryptographique locale lorsqu’elle est activée.
2. Enrôlement
Créez un enrôlement pour l’organisation cible et donnez un nom à l’Agent. Le jeton d’enrôlement est court terme et à usage unique. Lors du premier enregistrement, le serveur rattache l’Agent à l’organisation correspondante.
3. État et heartbeat
La fiche Agent permet de vérifier notamment son nom, son organisation, sa version, ses interfaces, son statut et sa dernière communication. Le heartbeat maintient la visibilité en ligne/hors ligne.
4. Scans locaux TLS
Les configurations de scan local sont rattachées à un Agent. Définissez uniquement les CIDR et ports accessibles depuis cette machine et appartenant au périmètre autorisé.
Les résultats TLS peuvent enrichir l’Inventaire de certificats. Cette capacité reste distincte de la découverte cryptographique locale.
5. Découverte cryptographique locale
Lorsque Activer la découverte cryptographique locale est sélectionné, l’Agent analyse les emplacements configurés avec son collecteur cryptographique local.
Le résultat attendu est un document JSON CBOM. L’Agent vérifie qu’il s’agit d’un document CycloneDX 1.7 avant de poursuivre le traitement.
Une erreur de collecte ou de transmission CBOM n’invalide pas un scan TLS déjà terminé.
6. CBOM CycloneDX 1.7
Avant transmission, l’Agent assainit le CBOM. Les métadonnées définies comme sensibles, notamment secrets, mots de passe, jetons, informations d’identification ou matière de clé privée, sont supprimées.
Le CBOM assaini est envoyé à Ecurem CLM. Le serveur valide le document puis normalise ses composants dans l’Inventaire cryptographique de l’organisation, en conservant le contexte de provenance disponible.
7. File locale et reconnexion
Le CBOM assaini est placé dans une file locale avant transmission. Si Ecurem CLM est temporairement indisponible, le résultat peut rester en attente et être envoyé après reconnexion.
8. Réseau et sécurité
- L’Agent établit une connexion HTTPS sortante vers Ecurem CLM.
- Il doit atteindre les cibles locales sur les ports configurés.
- Aucune exposition entrante arbitraire n’est nécessaire pour la communication avec le SaaS.
- Limitez CIDR, ports et emplacements au périmètre approuvé.
- Traitez les jetons d’enrôlement et d’authentification comme des secrets.
9. Dépannage
- Invalid or expired enrollment token : générez un nouvel enrôlement.
- Agent offline : vérifiez service local, DNS, HTTPS sortant et horloge système.
- Scan TLS sans résultat : vérifiez route, pare-feu, CIDR et ports depuis l’hôte Agent.
- Découverte crypto sans résultat : vérifiez l’emplacement configuré et l’état du collecteur.
- Transmission CBOM en attente : vérifiez connectivité et autorisation de la fonction.