Wat is een asset agent?

Een asset agent is een klein programma op een computer dat de hardware en software van het apparaat inventariseert en de details terugrapporteert aan een centraal assetmanagementsysteem. Het is de “agent” in agentgebaseerde discovery - een van de twee standaardmanieren waarop IT asset management-tools leren wat er daadwerkelijk op een machine staat, de andere is agentloze scanning over het netwerk. Je ziet hem ook wel een inventory agent, een ITAM-agent of een endpoint-inventarisagent genoemd; ze beschrijven allemaal hetzelfde.

Wat je gaat leren

• Hoe een asset agent werkt
• Wat een asset agent rapporteert
• Hoe een asset agent wordt uitgerold
• Agentgebaseerd vs agentloze discovery
• Asset agent vs cloud-agent vs security-agent
• Apparaten die geen agent kunnen draaien
• Waarom een asset agent stopt met rapporteren
• Wat een agent niet kan zien

Hoe een asset agent werkt

De agent wordt eenmalig geïnstalleerd - meestal ingebakken in de standaard build of uitgerold via een managementtool bij inschrijving - en draait daarna stilletjes op de achtergrond. Volgens schema, of wanneer iets wijzigt, verzamelt hij inventaris en checkt hij in bij zijn server, die het record van het apparaat bijwerkt. De voetafdruk is bewust klein: de agent staat het grootste deel van de tijd stil, wordt kort wakker om te scannen en stuurt een compacte, versleutelde incheck. Omdat die incheck via standaard uitgaand HTTPS (poort 443) over internet gaat in plaats van alleen via het kantoornetwerk, blijft een laptop bij een medewerker thuis net zo goed rapporteren als één op een bureau - het grootste praktische voordeel van de agent.

Wat een asset agent rapporteert

Details verschillen per product, maar de gebruikelijke payload dekt vier gebieden:

• Hardware - fabrikant, model, serienummer, CPU, geheugen, opslag, en vaak het MAC-adres en de laatst ingelogde gebruiker.
• Software - besturingssysteem en build, geïnstalleerde applicaties en versies, soms met gebruiksmeting die laat zien wat daadwerkelijk wordt gestart, als input voor software license management-beslissingen.
• Configuratie en netwerk - hostnaam, IP-adres, domein- of werkgroeplidmaatschap, en belangrijke instellingen zoals encryptie- en firewallstatus.
• Status - laatste inchektijd, patchniveau, vrije schijfruimte en uptime.

In grotere organisaties vult deze stroom vaak een CMDB, waar de apparaatdata wordt gekoppeld aan de diensten en systemen die ervan afhankelijk zijn. Het is ook de schoonste verdediging tegen shadow IT: software die zonder goedkeuring is geïnstalleerd, duikt nog steeds op in het rapport van de agent.

Hoe een asset agent wordt uitgerold

Eén agent op één machine krijgen is triviaal; hem op elke machine krijgen is het echte werk, en elke serieuze ITAM-tool documenteert de routes. De vier gangbare:

1. Golden image - de agent is onderdeel van de standaard build, zodat elk nieuw apparaat hem al geïnstalleerd en ingeschreven meekrijgt.
2. Push via managementtool - een bestaand endpoint-managementplatform installeert de agent op afstand op machines die het al beheert.
3. Group Policy (GPO) - in een Active Directory-domein wordt een MSI-pakket toegewezen via Group Policy, zodat domeincomputers het bij de volgende herstart installeren.
4. MDM / Intune - mobile device management verspreidt de agent naar ingeschreven Windows-machines, met equivalente inschrijvingsprofielen voor macOS en Linux.

Er is een valkuil die elke uitrol tegenkomt: je hebt een lijst van apparaten nodig om agents naartoe te duwen, maar je hebt geen betrouwbare lijst totdat de agents rapporteren. Dat kip-en-ei-probleem - soms de uitrol-catch-22 genoemd - is precies waarom een onderhouden register naast de agent hoort, niet erna. Een register dat is gevoed vanuit inkooprecords en IT-inventaris vertelt je welke machines zouden moeten rapporteren maar nog niet zijn verschenen.

Agentgebaseerd vs agentloze discovery

Agentloze discovery scant het netwerk vanaf een centraal punt, met adminrechten en standaardprotocollen - SNMP voor netwerkapparatuur, WMI op Windows, SSH of WinRM voor query’s op afstand - om alles te bevragen wat reageert. Er hoeft niets geïnstalleerd te worden, wat snel starten mogelijk maakt en de enige optie is voor apparaten die geen agent kunnen draaien. De afweging zit in dekking en diepte: het ziet alleen apparaten die op het netwerk staan, aan zijn en bereikbaar op het moment van scannen, en haalt meestal minder detail op. Agents zijn het omgekeerde - rijkere data vanaf elke plek, maar wel ten koste van het uitrollen en onderhouden van een programma op elke machine, plus het kleine aanvalsoppervlak en de patchlast die dat programma toevoegt. Veel teams draaien beide: agents op de laptops die rondreizen, geplande scans voor de vaste infrastructuur die nooit het rack verlaat.

Asset agent vs cloud-agent vs security-agent

“Agent” is een overladen term, en de verwarring is het grootst wanneer er drie verschillende soorten op hetzelfde endpoint draaien:

• Asset- / inventarisagent - rapporteert hardware- en software-inventaris voor ITAM. Dit is degene die dit artikel beschrijft.
• Security- / EDR-agent - bewaakt het endpoint op dreigingen en verdacht gedrag, en kan blokkeren of in quarantaine plaatsen. Zijn taak is bescherming, geen inventaris.
• Monitoring- / cloud-agent - volgt cloud- of SaaS-workloads, vaak via API’s in plaats van een geïnstalleerd programma, waardoor hij aan de platformkant feitelijk agentloos is.

Ze bestaan probleemloos naast elkaar; een beheerde laptop draagt er misschien alle drie. Wanneer een leverancier of collega “de agent” zegt, is het de moeite waard om te bevestigen welke ze bedoelen voordat je notities vergelijkt.

Apparaten die geen agent kunnen draaien

Een agent draait alleen op een general-purpose computer - Windows-, macOS- of Linux-desktops, -laptops en -servers. Een grote klasse van ingeschakelde, op het netwerk aangesloten apparatuur kan er simpelweg geen hosten omdat er nergens software te installeren valt: netwerkswitches en routers, printers en multifunctionele apparaten, IP-telefoons, industriële en operational-technology-apparatuur (OT), en de brede familie van beperkte, ingebedde apparaten die de markt IoT noemt. Die bestaan als apparaatcategorieën in elk wagenpark; een agent zal ze nooit dekken. Agentloze protocollen kunnen sommige ervan bevragen, maar de rest wordt alleen geïdentificeerd omdat iemand ze heeft vastgelegd. Dat is hetzelfde gat dat een onderhouden register en asset tags zijn gebouwd om te dichten.

Waarom een asset agent stopt met rapporteren

Zelfs op machines die wél een agent kunnen draaien, brokkelt de dekking af. Een apparaat dat een tijdje niet heeft ingecheckt - veel tools markeren alles voorbij ongeveer 15 dagen als verouderd - is meestal op een van een kort lijstje oorzaken gestuit:

• De agent is verwijderd of beschadigd geraakt, of is in de eerste plaats nooit geïnstalleerd.
• De machine staat offline, is buiten gebruik gesteld of opnieuw geïmaged zonder opnieuw te worden ingeschreven.
• Uitgaande connectiviteit wordt geblokkeerd door een proxy of firewall, waardoor de agent zijn server op poort 443 niet kan bereiken.
• Een eerdere installatie liet een dubbel record achter, waardoor één fysiek apparaat als twee verschijnt.

Dit is agent drift: het gat tussen wat de centrale console rapporteert en wat de vloot werkelijk is, dat stilletjes groeit naarmate machines afvallen. De praktische les is dat een agent-telling op zichzelf nooit een schone inventaris is - het vereist periodieke afstemming op een register dat onafhankelijk wordt onderhouden van de vraag of elke agent nog naar huis belt.

Wat een agent niet kan zien

Naast de software-incapabele apparaten hierboven is een agent blind voor alles wat onverwacht uitstaat of randapparatuur is: monitoren, docking stations, headsets, toetsenborden, reserve-laptops nog in de doos in de kast, en alles wat maandenlang is gewist of uit staat. Apparaten stoppen ook precies met rapporteren op het moment dat tracking het hardst nodig is - wanneer ze kwijt zijn, buiten gebruik zijn gesteld of in een krat wachten op IT asset disposition.

Discovery beantwoordt dus “wat staat er op de computers”; het beantwoordt nooit “waar is alles, en wie heeft het”. Die kant vereist een onderhouden register en fysieke labels, ongeacht hoe goed de agentdata is. AMPthilly dekt de register-en-labelkant: één register voor IT en fysieke uitrusting, met afdrukbare QR-labels die met een gewone telefooncamera in de browser worden gescand - geen app om te installeren - zodat de niet-aangesloten apparatuur die geen agent ooit zal rapporteren in plaats daarvan via een scan wordt geïdentificeerd. De agentfeed en het register vullen elkaar aan, ze concurreren niet.

Veelgestelde vragen

Wat is het verschil tussen agentgebaseerde en agentloze discovery? Agentgebaseerde discovery installeert een klein programma op elk apparaat, dat gedetailleerde inventaris rapporteert vanaf elke plek met een internetverbinding. Agentloze discovery scant het netwerk vanaf een centraal punt met adminrechten en standaardprotocollen zoals SNMP, WMI en SSH of WinRM, dus er wordt niets geïnstalleerd - maar het ziet alleen apparaten die aan staan en bereikbaar zijn op het moment van scannen, en meestal met minder detail. Veel organisaties draaien beide: agents op de laptops die rondreizen, geplande scans voor vaste infrastructuur.

Hoe rol je een asset agent uit over een hele vloot? De meeste teams rollen de agent op een van vier manieren uit: hem inbakken in de standaard build of golden image zodat elke nieuwe machine hem meekrijgt, hem uitduwen via een managementtool, een MSI uitrollen via Group Policy in een Active Directory-domein, of hem verspreiden via MDM zoals Intune voor Windows en de equivalente inschrijving voor macOS en Linux. De valkuil is het kip-en-ei-probleem - je hebt een lijst van apparaten nodig om agents naartoe te duwen, maar je hebt geen betrouwbare lijst totdat de agents rapporteren. Een onderhouden register dicht dat gat.

Hoe vaak checkt een asset agent in? De inchekfrequentie is instelbaar, en de juiste instelling is een afweging. Veel agents zijn afgesteld om een of twee keer per dag te rapporteren, maar de intervallen kunnen worden aangescherpt tot elke paar minuten voor snel bewegende vloten of juist worden versoepeld om de serverbelasting te verlagen. Sommige sturen ook een directe update zodra er iets wijzigt - nieuwe software geïnstalleerd, een andere ingelogde gebruiker - in plaats van te wachten op de volgende geplande cyclus.

Waarom ontbreekt een apparaat in mijn asset agent-inventaris? Meestal omdat de agent verouderd is of nooit is geïnstalleerd. Veelvoorkomende oorzaken: de agent is verwijderd, beschadigd geraakt of nooit op de machine terechtgekomen; het apparaat staat offline, is opnieuw geïmaged zonder herinschrijving, of is buiten gebruik gesteld; uitgaande connectiviteit wordt geblokkeerd door een proxy of firewall op poort 443; of een eerdere installatie liet een dubbel record achter. Bronnen markeren een agent vaak als verouderd na ongeveer 15 dagen zonder inchecken. Omdat de dekking stilletjes afbrokkelt, loopt het centrale aantal uit de pas met de werkelijkheid en moet het periodiek worden afgestemd op een onderhouden register.

Wat is het verschil tussen een asset agent en een security (EDR) agent? Het zijn verschillende taken die toevallig het woord “agent” delen. Een asset- of inventarisagent rapporteert hardware- en softwarefeiten voor IT asset management. Een security- of EDR-agent bewaakt het endpoint op dreigingen en verdacht gedrag en kan blokkeren of in quarantaine plaatsen. Een monitoring- of cloud-agent volgt cloudworkloads, vaak via API’s in plaats van een geïnstalleerd programma. Alle drie kunnen op dezelfde machine draaien; dit artikel bedoelt de inventarisvariant.

Vertraagt een asset agent de computer? Zelden op een merkbare manier. Inventarisagents zijn ontworpen om lichtgewicht te zijn: ze staan het grootste deel van de tijd stil, worden kort wakker om te scannen en sturen een kleine, versleutelde incheck over internet. Het gebruik van CPU, geheugen en schijf is klein, al zijn de cumulatieve voetafdruk en de onderhoudslast van het gezond houden van elke agent over duizenden machines het plannen waard.

Monitoren asset agents medewerkersactiviteit? Een inventarisagent rapporteert feiten over het apparaat: hardwarespecificatie, serienummer, geïnstalleerde software en versies, patchstatus en meestal de laatst ingelogde gebruiker. Het legt geen toetsaanslagen, berichten of browsegedrag vast. Sommige suites voegen softwaregebruikmeting toe - tellen hoe vaak applicaties worden gestart, ter ondersteuning van licentiebeslissingen - wat nog steeds over de software gaat, niet over de persoon. Wat ook wordt verzameld, vermeld het duidelijk in je gebruikersreglement.

Heb ik een asset agent nodig voor assetmanagement? Alleen als je automatische, gedetailleerde inventaris van computers nodig hebt - het is de eenvoudigste manier om softwarelijsten en patchstatus actueel te houden over een vloot. Het doet niets voor de rest van je apparatuur: monitoren, docks, headsets, gereedschap en alles in een kast checkt nooit in. De meeste teams hebben hoe dan ook een onderhouden assetregister nodig; de agent is een optionele databron naar het register, geen vervanging ervan.

De kern

Een asset agent is de meest betrouwbare manier om gedetailleerde, actuele inventaris bij te houden van de computers in je vloot - welke hardware het is, welke software erop draait, en of ze gepatcht zijn. Maar het is een feed, niet het hele plaatje: hij moet langs een kip-en-ei-probleem worden uitgerold, hij kan niet draaien op switches, printers, telefoons of niet-aangesloten uitrusting, en zijn dekking loopt terug naarmate agents verouderen. Het duurzame antwoord is een onderhouden register waar de agent in voedt, met fysieke labels voor alles wat de agent nooit zal zien.

Tools die dit makkelijker maken

AMPthilly is de register-en-labelhelft van die combinatie. Eén register houdt IT-hardware, fysieke uitrusting en softwarelicenties samen; elk item krijgt een afdrukbaar QR-label dat met een normale telefooncamera in de browser wordt gescand, zonder app om te installeren; en uitgiftes, retouren en een volledige audithistorie houden het eigendom actueel. Waar de agentdata ophoudt - de docks, de headsets, de reserves in dozen, de uitrusting die wacht op afvoer - gaat het register door. Start gratis of neem contact met ons op.

Gerelateerde termen

• ITAM (IT Asset Management) - de discipline waar agentdata naartoe stroomt
• CMDB - de configuratiedatabase die agents vaak vullen
• Software Asset Management - het beheer van het softwarebestand dat de agent inventariseert
• Software License Management - installaties en gebruik afstemmen op de licenties die je hebt
• IT Asset Disposition - de afvoerfase waarin apparaten uit de agentrapportages verdwijnen