Non ho usato QualysGuard, tuttavia, usando un approccio indipendente dal fornitore, prenderei in considerazione quanto segue.
Connessione indiretta tramite firewall:
Questa può essere una buona opzione se non riesci a connetterti alla sottorete per qualche motivo (non abbastanza connessioni, fisicamente non accessibili, ecc ...).
Alcuni tipi di scansioni attive dipendono dal percorso logico della rete e potrebbero non funzionare con un firewall / IPS (tali trasmissioni e alcuni avvelenamenti) a seconda della configurazione. Questo normalmente non è un problema perché il firewall / IPS fornisce quel livello di protezione, ma una valutazione potrebbe non essere completa.
Maggiore carico / elaborazione tramite firewall e apparecchiature di rete. Il traffico di scansione delle vulnerabilità può mettere a dura prova le apparecchiature di rete e potrebbe causare l'inondazione dei collegamenti. Se questo è un problema, individuare l'interfaccia di scansione in modo logico vicino al target è un vantaggio.
Connessione diretta alla subnet:
Generalmente il modo migliore per installare uno scanner, ma può essere un problema se non si riesce a connettersi a una porta dello switch con accesso alla rete o alla VLAN che si desidera scansionare.
Il collegamento diretto di uno scanner con una connettività diretta al target potrebbe consentire di rilevare le vulnerabilità mascherate dietro switch, firewall o dispositivi IPS.
Gli scanner collegano le zone protette. Uno scanner può avere anche delle vulnerabilità, meno in questi giorni ma ogni interfaccia dello scanner è potenzialmente un ponte verso più reti. Questo ovviamente dipende dall'implementazione e dal prodotto, alcuni sono migliori di altri. Gli scanner normalmente non indirizzano il traffico, ma potrebbero esserci delle vulnerabilità nello scanner o nel sistema operativo dello scanner.
Conclusione:
Le altre opzioni che hai elencato sono tutte valide e potrebbero essere usate con una connessione indiretta attraverso un firewall. Idealmente, è necessario eseguire la scansione delle piattaforme o delle applicazioni dal lato su cui verranno servite le richieste. Ciò potrebbe non essere possibile su una rete di gestione, a seconda della configurazione.
Where would you put the scanner appliance on your network and why?
Collegherei lo scanner con le porte collegate direttamente sulle sottoreti più sicure (rete interna) che probabilmente avranno più host da scansionare. E poi metti alcune altre interfacce in una sottorete separata con accesso attraverso i firewall alle sottoreti meno sicure.
Questo limita il bridging e ti consente di scansionare la maggior parte / tutti i tuoi host con un impatto minimo sulle prestazioni.
Spero che questo aiuti.