Dit artikel is bedoeld voor IT- en securitybeheerders. Het legt uit hoe de BrynQ Agent de verbinding tussen BrynQ en je lokale systemen beschermt.

Netwerk

• Alleen uitgaande verbindingen. De Agent maakt een uitgaande verbinding met BrynQ via Cloudflare Tunnel (HTTPS, poort 443). Er worden geen inkomende firewallpoorten geopend.
• Versleuteld onderweg. Het verkeer tussen BrynQ en je server loopt via de versleutelde tunnel. Je hebt geen eigen SSL-certificaat of reverse proxy nodig.
• Standaard alleen lokaal. De Agent zelf luistert op 127.0.0.1 (poort 7070). Het lokale beheerdashboard (poort 7071) accepteert alleen verzoeken van de server zelf en is nooit bereikbaar via de tunnel.
• Alleen wat je inschakelt. Alleen de modules die je tijdens de installatie selecteert zijn beschikbaar. Verzoeken aan andere modules worden geweigerd.

Authenticatie

• Elk verzoek aan de Agent moet de klant (domain-header) en een geldig token (Authorization: Bearer-header) bevatten. De Agent controleert elk verzoek bij BrynQ. Verzoeken zonder geldige combinatie van klant en token worden geweigerd (401).
• Het BrynQ API-token dat je bij de installatie gebruikt, hoort bij precies één klant. Het wordt op de server opgeslagen in platform-auth.json, beschermd met Windows-gegevensbescherming (DPAPI, LocalMachine), en nooit via een opdrachtregel doorgegeven.
• Rate limiting: elk endpoint accepteert maximaal 120 verzoeken per minuut, om je systemen tegen misbruik te beschermen.

Inloggegevens en logs

• SQL-inloggegevens en andere verbindingsinstellingen worden alleen op je server opgeslagen, in C:\ProgramData\BrynQ\Agent\config. BrynQ stuurt geen connection strings naar de Agent.
• Gevoelige waarden (tokens, wachtwoorden, connection strings, Authorization-headers) worden uit de logbestanden verwijderd voordat ze worden weggeschreven.
• Logs worden dagelijks geroteerd en standaard 30 dagen bewaard.

Ondertekende software en updates

• Het installatieprogramma, de Agent, de service-wrappers, de PowerShell-scripts en het verwijderprogramma zijn allemaal ondertekend met Microsoft Artifact Signing. De uitgever die Windows toont is Salure ICT BV, de juridische entiteit van BrynQ.
• Automatische updates zijn ondertekende installatieprogramma's van BrynQ. De Agent controleert de SHA-256-checksum voordat hij een update uitvoert, en weigert elk bestand dat geen installatieprogramma van de BrynQ Agent is.

Het installatieprogramma controleren

Voer dit uit in PowerShell, met het pad naar het gedownloade bestand:

$Installer = "C:\Users\Administrator\Downloads\BrynQ_Agent_<version>.exe"
$Signature = Get-AuthenticodeSignature -FilePath $Installer
$Signature | Format-List Status,StatusMessage,SignerCertificate,TimeStamperCertificate
Get-FileHash -Algorithm SHA256 -Path $Installer

Verwacht resultaat: status Valid, ondertekenaar CN=Salure ICT BV, een tijdstempelcertificaat, en een SHA-256-hash die overeenkomt met de Checksum op de pagina BrynQ Agent. Wijkt een van de controles af? Stop dan en neem contact op met BrynQ support.