Collecte sur site

Les connecteurs d’infrastructure lisent vos hyperviseurs, votre annuaire et vos pare-feux. En accès direct, TechWatchAlert s’y connecte depuis Internet : leur administration doit donc être publiée, avec un certificat public. La collecte sur site évite cela : un agent TechWatchAlert installé dans votre réseau joint l’équipement à notre place et nous rend les réponses.

Connecteurs concernés : VMware vCenter, VMware ESXi, Microsoft Hyper-V, Nutanix Prism Central, Proxmox VE, Active Directory (LDAPS), FortiManager, FortiGate, Stormshield SNS, et les consoles des scanners lus par API Tenable Security Center et Rapid7 InsightVM (port 3780 admis). Les services en nuage (Entra ID, Defender, Meraki, Cortex XDR, ServiceNow, Tenable Vulnerability Management, Qualys, Insight Platform, CrowdStrike) restent en accès direct.

Comment ça marche

L’agent appelle TechWatchAlert en HTTPS et attend les requêtes du connecteur ; il n’ouvre aucun port sur la machine, toutes ses connexions sont sortantes.
Il ne joint que l’adresse et le port du connecteur, fixés dans une autorisation signée par TechWatchAlert (valable 30 jours, renouvelée d’elle-même, retirée quand vous supprimez le connecteur, changez d’agent ou repassez en accès direct). Toute autre destination est refusée par l’agent lui-même.
La collecte sur site est désactivée par défaut sur chaque machine : elle ne s’active qu’avec votre accord, sur la machine (voir ci-dessous). TechWatchAlert ne peut pas l’activer à distance.
Le certificat de l’équipement est toujours vérifié : par le magasin de certificats de la machine de l’agent, ou par l’empreinte SHA-256 que vous indiquez (certificat autosigné). La vérification n’est jamais désactivée.
L’adresse peut être interne (https://10.0.0.5, https://vcenter.entreprise.local) : TechWatchAlert ne s’y connecte jamais.
Pour Active Directory, l’agent fait lui-même la recherche en lecture seule (objets ordinateur, attributs fixes, base de recherche autorisée) ; il n’ouvre pas de tunnel vers l’annuaire.

La synchronisation chaque nuit et le bouton Synchroniser fonctionnent comme en accès direct. Si l’agent est hors ligne, la synchronisation échoue avec un message clair et reprend dès qu’il revient.

Mettre en place

Choisissez une machine qui voit l’équipement (serveur d’administration, machine du réseau d’administration plutôt qu’un poste de travail) et installez-y l’agent en version 1.3.0 ou plus, en ajoutant l’option --relais à la commande d’installation proposée dans Parc › Agents :
Fenêtre de terminal
```
sudo ./techwatchalert-agent installer --serveur … --jeton - --empreinte … --relais
```
Sur une machine déjà équipée, sans réinstaller, en administrateur (Windows) ou avec sudo :
Fenêtre de terminal
```
techwatchalert-agent relais activer
```
techwatchalert-agent relais etat affiche le réglage ; relais desactiver le retire et oublie les autorisations reçues.
Dans Surveillance › Connecteurs, ouvrez la fiche du connecteur, onglet Configuration : à l’étape Comment joindre l’outil ?, choisissez Via un agent sur site, puis l’agent (avec son état En ligne ou Hors ligne). Seuls les agents du projet en ligne, en 1.3.0 ou plus et dont la collecte sur site est activée peuvent être choisis.
Saisissez l’adresse telle que l’agent la voit, le compte et le secret, comme en accès direct. Certificat autosigné : indiquez son empreinte SHA-256 (détails du certificat dans le navigateur, ou openssl x509 -noout -fingerprint -sha256).
Cliquez sur Tester et enregistrer : le test vérifie que l’agent répond, puis l’autorisation part vers lui dans la minute et il vérifie l’adresse. La carte Santé de l’onglet Résultats affiche Relais prêt quand l’agent l’a acceptée. Lancez une première synchronisation. Changer d’agent ou d’adresse demande de saisir de nouveau le secret.

États affichés

État	Signification
Relais prêt	L’agent a accepté l’autorisation ; la date d’échéance est indiquée.
Autorisation en cours de transmission	L’agent la recevra à son prochain contact (une minute au plus s’il est en ligne).
Collecte sur site désactivée sur la machine	L’agent refuse : lancez `techwatchalert-agent relais activer` sur la machine. L’autorisation repart d’elle-même ensuite.
Agent hors ligne	L’agent ne contacte plus TechWatchAlert : la collecte reprend à son retour.
Agent en cours de connexion	L’agent est en ligne mais son canal de collecte n’est pas encore ouvert (redémarrage).

Erreurs fréquentes à la synchronisation : certificat non reconnu (indiquez l’empreinte du certificat), empreinte différente (certificat renouvelé : mettez l’empreinte à jour), équipement injoignable depuis l’agent (pare-feu entre la machine de l’agent et l’équipement, adresse ou port).

Sécurité

Accord local obligatoire, désactivé par défaut ; TechWatchAlert ne peut pas l’activer.
Une seule adresse et un seul port par connecteur, autorisés par une instruction signée, à durée limitée et révocable ; chaque autorisation et chaque retrait sont inscrits au journal d’audit de l’organisation.
Lecture seule : l’agent ne relaie que des lectures (pas de suppression), sans suivre de redirection ni passer par un proxy, avec des réponses limitées à 16 Mio et un délai borné.
Un connecteur ne peut utiliser qu’un agent de son projet ; un agent ne reçoit que les requêtes des connecteurs de son projet.
Les identifiants du connecteur restent chiffrés chez TechWatchAlert ; ils ne transitent vers l’agent que le temps d’une requête et ne sont jamais écrits sur la machine.

Agent et gestion des postesInstaller l'agent, le mettre à jour, sa sécurité.