Реестр ИТ-активов: поля, владельцы и сверка с сетью

Нельзя защитить то, о чём не знаешь: неучтённый сервер не обновляется, не мониторится и не попадает в копии, зато попадает под атаку. Реестр активов начинается с простой таблицы и становится рабочим, когда у каждой записи есть владелец, а сам реестр регулярно сверяется с реальной сетью. Ниже поля, источники данных и скрипт сверки, который показывает неучтённые узлы и устаревшие записи.

Статья опирается на логику направления «Управление ИТ-активами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Что должно получиться

Уровень	Что это значит на практике
1. Базовый	Есть список серверов, сервисов и программ, пусть даже в таблице
2. Гигиенический	У каждого актива есть владелец и критичность, список обновляется при изменениях и сверяется с реальной сетью

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Что считать активом

серверы, виртуальные машины, контейнерные платформы;
сетевое оборудование: маршрутизаторы, коммутаторы, точки Wi-Fi, firewall;
рабочие станции и ноутбуки (группой, если они однотипны);
сервисы и приложения: внутренние и облачные, включая SaaS, о которых «знает только отдел»;
базы данных и хранилища с важной информацией, особенно с персональными данными;
учётные записи служб, домены, сертификаты, ключи доступа к облаку.

Шаг 1. Выберите поля

Для небольшой компании хватает десяти полей. Больше полей — меньше шансов, что их будут заполнять.

Поле	Зачем
Идентификатор или IP-адрес	Точка сверки с сетью (первая колонка для скрипта ниже)
Имя и тип	Сервер, сервис, сетевое устройство, SaaS
Владелец	Человек, который отвечает за актив и решает по нему
Назначение	Какую задачу бизнеса решает
Критичность	Высокая, средняя, низкая: что будет при недоступности
Данные	Есть ли персональные или другие защищаемые данные
ОС и версия ПО	Основа для управления уязвимостями
Расположение	Площадка, облако, стойка
Копии и мониторинг	Есть ли резервное копирование и наблюдение
Дата последней проверки	Когда запись сверяли в последний раз

Шаг 2. Наполните реестр из нескольких источников

Вручную полный список не составить. Соберите данные из разных мест и объедините:

Источник	Что даёт
Сканирование своей сети	Какие адреса отвечают: Nmap: обнаружение узлов
DHCP и таблицы ARP на коммутаторах	Устройства, которые не отвечают на сканирование
Консоль виртуализации и облака	Список виртуальных машин и ресурсов
Система мониторинга	Узлы, уже находящиеся под наблюдением: мониторинг Linux и Windows в Zabbix
Бухгалтерия и закупки	Платные подписки, SaaS, лицензии: неучтённые сервисы чаще всего находятся здесь
Опрос подразделений	Что используют сами: таблицы, облачные хранилища, пробные сервисы

Шаг 3. Назначьте владельцев и критичность

Актив без владельца не обновляется. Владелец — человек, а не отдел: он решает, когда можно остановить систему, кому дать доступ и что делать с найденной уязвимостью. Критичность определяйте по последствиям недоступности и по данным: персональные данные автоматически поднимают критичность. Критичность потом задаёт сроки закрытия уязвимостей и частоту проверок: управление уязвимостями.

Шаг 4. Сверьте реестр с сетью скриптом

Скрипт сканирует указанную сеть методом обнаружения узлов (без проверки портов) и сравнивает с первой колонкой реестра в CSV. Он показывает два списка: узлы, которые есть в сети, но не в реестре, и записи реестра, которые не отвечают. Запускайте только в своей сети или с письменного разрешения владельца. Нужен установленный Nmap.

#!/usr/bin/env bash
# Сверка реестра активов с тем, что отвечает в сети. Сеть только своя или с разрешением владельца.
# Использование: ./assets_diff.sh assets.csv 192.0.2.0/24
# assets.csv: первая колонка ip, остальное любое (заголовок в первой строке).
set -euo pipefail
REG=${1:?реестр csv}; NET=${2:?сеть, например 192.0.2.0/24}
command -v nmap >/dev/null || { echo "нужен nmap" >&2; exit 2; }
TMP=$(mktemp -d); trap 'rm -rf "$TMP"' EXIT
tail -n +2 "$REG" | cut -d, -f1 | sort -u > "$TMP/registered"
nmap -sn -oG - "$NET" | awk '/Status: Up/{print $2}' | sort -u > "$TMP/seen"
echo "== В сети есть, в реестре нет (неучтённые):"
comm -13 "$TMP/registered" "$TMP/seen"
echo "== В реестре есть, в сети не отвечают (выключены, переехали, устарели):"
comm -23 "$TMP/registered" "$TMP/seen"

./assets_diff.sh assets.csv 192.0.2.0/24

Пример результата на учебных данных:

== В сети есть, в реестре нет (неучтённые):
192.0.2.99
== В реестре есть, в сети не отвечают (выключены, переехали, устарели):
192.0.2.20

Как читать: неучтённый адрес — повод выяснить владельца (иногда это чужое устройство в вашей сети). Неотвечающая запись — не обязательно ошибка: резервный сервер может быть выключен по плану. Решение по каждой строке записывайте в реестр.

Ограничения: сканирование обнаружения не увидит узлы за межсетевым экраном, выключенные устройства и SaaS. Для них нужны другие источники из шага 2.

Шаг 5. Встройте обновление в процессы

Закупки и развёртывание. Новый актив вносится в реестр до ввода в работу: это условие приёмки.
Изменения. Любое существенное изменение обновляет запись.
Вывод из эксплуатации. Актив удаляется из реестра только после уничтожения данных и отзыва доступов.
Ежеквартальная сверка. Скрипт запускается по расписанию, итог разбирает ответственный за ИБ вместе с владельцами.

Диагностика

Симптом	Причина и что делать
Реестр устарел через месяц	Он ведётся вручную без привязки к процессам. Свяжите обновление с закупками, изменениями и ежеквартальной сверкой
В сети много неучтённых адресов	Рабочие станции и личные устройства. Заведите группы, отделите гостевую сеть, ограничьте подключение
У активов нет владельцев	Назначение откладывается. Начните с критичных и объявите: актив без владельца отключается по плану
Скрипт не видит часть узлов	Узлы блокируют ответы или стоят в другой сети. Дополните данными DHCP, виртуализации и мониторинга

Где это в модели зрелости

Материал относится к направлению «Управление ИТ-активами» (карта: карта зрелости). Уровень 1 закрывает список активов, уровень 2 добавляет владельцев, критичность и регулярную сверку с сетью. Реестр нужен остальным направлениям: на нём строятся управление уязвимостями, мониторинг, копирование и оценка рисков.

Как проверить

В реестре есть все серверы и сервисы с данными, у каждого указан владелец и критичность.
Скрипт сверки запускался за последний квартал, по всем расхождениям приняты решения.
У каждой системы из реестра есть признак копирования и мониторинга, нет «белых пятен» среди критичных.
Новый актив нельзя ввести в работу без записи в реестре.