Geplande paden, plus één die dat niet is
De agent draait twee geplande paden. Een inventaris draait elk uur, met elke nacht om 03:00 een volledige ronde, en verzamelt de complete devicestatus over alle datacategorieën. Een heartbeat draait elke vijf minuten, bevestigt dat het device online is en rapporteert belangrijke wijzigingen.
Deze splitsing houdt het platform actueel zonder elke paar minuten een volledige inventaris te draaien. Een gepatchte machine is binnen het uur zichtbaar, terwijl beschikbaarheid en duidelijke drift binnen minuten zichtbaar zijn.
Een derde pad kent helemaal geen schema. Detecties die niet tot de volgende cyclus kunnen wachten, worden verstuurd op het moment dat ze afgaan, via een apart dringend kanaal. Een schema is de juiste vorm voor inventarisatie en de verkeerde vorm voor een aanval die gaande is.
Twaalf datacategorieën
Een volledige inventaris dekt twaalf categorieën: geïnstalleerde software, besturingssysteem en patchniveau, hardware, netwerkconfiguratie, luisterende poorten en processen, lokale accounts en groepslidmaatschap, antivirus- en EDR-status, firewallprofielen, schijfversleuteling, geplande taken, browserextensies en opstartprogramma's.
Elke categorie voedt een ander deel van het platform. Geïnstalleerde software stuurt CVE-correlatie aan. Accounts, firewall, versleuteling en EDR-status sturen de configuratie- en compliance-regelengine aan.
Ed25519-ondertekeningspijplijn
Elk device houdt zijn eigen Ed25519-sleutelpaar. Elke payload die de agent verstuurt wordt gehasht met SHA3-256 en ondertekend met de privésleutel van het device vóór transport. Het platform verifieert de handtekening tegen de geregistreerde publieke sleutel bij aankomst.
Privésleutels worden in rust beschermd met DPAPI op Windows, zodat een sleutel niet kan worden gekopieerd en hergebruikt vanaf een andere machine. De handtekening plus een monotone teller geven replay-bescherming: een onderschepte payload kan niet opnieuw worden ingediend.
Offline-wachtrij
Kan een device het platform niet bereiken, dan gooit de agent geen data weg. Inventarissen en heartbeats worden naar een lokale wachtrij geschreven en ondertekend op het moment dat ze worden gemaakt.
Bij herverbinding wordt de wachtrij in volgorde geleegd. Omdat elke payload bij het maken is ondertekend, kan het platform historische vermeldingen vertrouwen ook al komen ze laat binnen, wat de tijdlijn accuraat houdt voor audit.