Здравейте, колеги! След като определим минималните изисквания за внедряване на StealthWatch в , можем да започнем внедряването на продукта.
1. Начини за внедряване на StealthWatch
Съществуват няколко начина да "изпробвате" StealthWatch:
- – облачен сервис за лабораторни работи;
- Cloud Based: – тук Netflow от вашето устройство ще бъде изпратен в облака и там ще бъде анализиран от StealthWatch софтуер;
- On-premise POV () – начин, по който аз поех, ще получите 4 OVF файла на виртуални машини с вградени лицензи за 90 дни, които могат да се внедрят на отделен сървър в корпоративната мрежа.
Въпреки наличността на много виртуални машини, за минималната работна конфигурация са необходими само 2: StealthWatch Management Console и FlowCollector. Въпреки това, ако нямате мрежово устройство, което може да експортира Netflow на FlowCollector, ще трябва да внедрите и FlowSensor, тъй като последният осигурява събиране на Netflow чрез SPAN/RSPAN технологии.
Като лабораторен стенд, както споменах по-рано, може да служи вашата реална мрежа, тъй като StealthWatch се нуждае само от копие, или по-точно казано, извлечение от копието на трафика. На изображението по-долу е представена моята мрежа, където на защитната шлюзова точка ще конфигурирам Netflow Exporter и в резултат ще изпращам Netflow на колектора.
За достъп до бъдещите VM, на вашия фаервол, ако такъв имате, трябва да разрешите следните портове:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Някои от тях са общоизвестни услуги, а други са резервирани за услуги на Cisco.
В моя случай просто внедрих StealthWatch в същата мрежа като Check Point и не се наложи да конфигурирам никакви правила за разрешение.
2. Инсталиране на FlowCollector на примера на VMware vSphere
2.1. Натиснете Browse и изберете OVF файла. Проверете наличността на ресурсите, след което преминете в менюто View, Inventory → Networking (Ctrl+Shift+N).
2.2. В раздела Networking избирате в настройките на виртуалния суич New Distributed port group.
2.3. Задайте име, нека да бъде StealthWatchPortGroup, останалите настройки можете да направите както на екрана и натиснете Next.
2.4. Завършете създаването на Port Group с бутона Finish.
2.5. За създадената Port Group редактирайте настройките, като кликнете с десния бутон на порт групата, изберете Edit Settings. В раздела Security задължително включете "неразборлив режим", Promiscuous Mode → Accept → OK.
2.6. Като пример ще импортираме OVF FlowCollector, линк за изтегляне, който инженер от Cisco е изпратил след GVE заявка. Щраквайки с десния бутон на мишката върху хоста, на който планирате да разгърнете VM, избирате Deploy OVF Template. За заделено място, при 50 GB, той ще "проработи", но за производствени условия се препоръчва да се заделят около 200 гигабайта.
2.7. Избирате папката, в която се намира OVF файлът.
2.8. Натискаме "Напред".
2.9. Посочваме име и сървър, на който разгръщаме.
2.10. В крайна сметка получаваме следната картина и натискаме "Завърши".
2.11. Изпълняваме същите стъпки за разгръщане на StealthWatch Management Console.
2.12. Сега трябва да посочите необходимите мрежи в интерфейсите, за да може FlowCollector да вижда както SMC, така и устройствата, от които ще се експортира Netflow.
3. Инициализация на StealthWatch Management Console
3.1. Като влезете в конзолата на инсталираната машина SMCVE, ще видите место за въвеждане на логин и парола по подразбиране sysadmin/lan1cope.
3.2. Влизате в раздел Management, задавате IP адрес и други мрежови параметри, след което потвърдете промяната им. Устройството ще се перезареди.
3.3. Преминете към уеб интерфейса (по https на зададения адрес за SMC) и инициализирайте конзолата, логин/парола по подразбиране — admin/lan411cope.
P.S.: Понякога в Google Chrome не се отваря, но Explorer винаги ще помогне.
3.4. Обязательно меняйте паролите, задавайте DNS, NTP сървъри, домейн и други. Настройките са интуитивно разбираеми.
3.5. След натискане на бутона "Прилагане" устройството отново ще се перезареди. След 5-7 минути можете да се свържете отново на този адрес; управлението на StealthWatch ще се осъществява чрез уеб интерфейса.
4. Настройка на FlowCollector
4.1. С колектора е същото. Първо в CLI указваме IP адрес, маска, домейн, след което FC се перезарежда. След това можете да се свържете с уеб интерфейса на зададения адрес и да направите същата основна настройка. Поради подобен настройка подробни екранни снимки се пропускат. Идентификационни данни за вход същите.
4.2. В предпоследната стъпка е необходимо да укажете IP адрес на SMC, в този случай конзолата ще види устройството, потвърждаването на тази настройка ще направите с въвеждане на учетни данни.
4.3. Избирайте домейн за StealthWatch, той беше зададен по-рано, и порт 2055 – обикновен Netflow, ако работите с sFlow, порт 6343.
5. Конфигурация на Netflow Exporter
5.1. За настройка на Netflow експортер настоятелно препоръчвам да се обърнете към този , тук са основните ръководства за конфигуриране на Netflow експортер за много устройства: Cisco, Check Point, Fortinet.
5.2. В нашия случай, ще повторя, експортираме Netflow от шлюза Check Point. Настройката на Netflow експортер се извършва в подобна по название секция в уеб интерфейса (Gaia Portal). За целта натиснете "Add", посочете версията на Netflow и необходимия порт.
6. Анализ на работата на StealthWatch
6.1. Като влезете в уеб интерфейса SMC, на първата страница Dashboards > Network Security е ясно видно, че трафикът е започнал!
6.2. Някои настройки, като например разпределението на хостове по групи, мониторинг на отделни интерфейси, тяхната натовареност, управление на колекторите и др., могат да бъдат намерени единствено в Java приложението StealthWatch. Разбира се, Cisco постепенно прехвърля всичките функционалности в браузърната версия и скоро ще се откажем от такъв настолен клиент.
За инсталирането на приложението, предварително трябва да инсталирате (инсталирах версия 8, въпреки че се говори, че е поддържана дори до 10) от официалния сайт на Oracle.
В горния десен ъгъл на уеб интерфейса на консолата за управление, за да изтеглите, трябва да натиснете бутона "Desktop Client".
Вие запазвате и инсталирате клиента принудително, java вероятно ще се оплаче от него, може да се наложи да добавите хоста в java изключения.
В резултат на това се отваря доста разбираем клиент, в който лесно можете да видите натоварването на експортерите, интерфейсите, атаките и техните потоци.
7. StealthWatch Central Management
7.1. В секцията Central Management са всички устройства, част от развинтения StealthWatch, като: FlowCollector, FlowSensor, UDP-Director и Endpoint Concetrator. Там можете да управлявате мрежовите настройки и услуги на устройствата, лицензиите и ръчно да деактивирате устройство.
Можете да преминете там, натискайки "зъбното колело" в горния десен ъгъл и избирайки Central Management.
7.2. Като преминете в Edit Appliance Configuration на FlowCollector, ще видите настройки за SSH, NTP и други мрежови настройки, касаещи конкретно устройството. За да преминете, трябва да изберете Actions → Edit Appliance Configuration на необходимото устройство.
7.3. Управлението на лицензите също може да се намери в секцията Central Management > Manage Licences. Пробните лицензии в случай на GVE искане се дават за 90 дни.
Продуктът е готов за работа! В следващата част ще разгледаме как StealthWatch може да разпознава атаки и да генерира отчети.
Източник: habr.com
