Dobrý den, kolegové! Jakmile stanovíme minimální požadavky pro nasazení StealthWatch v , můžeme začít s nasazením produktu.
1. Způsoby nasazení StealthWatch
Existuje několik způsobů, jak si StealthWatch "osahat":
- – cloudová služba laboratoří;
- Cloud Based: – zde Netflow z vašeho zařízení přenášíme do cloudu, kde je analyzováno softwarem StealthWatch;
- On-premise POV () – způsob, kterým jsem se vydal já, obdržíte 4 OVF soubory virtuálních strojů s integrovanými licencemi na 90 dní, které lze nasadit na dedikovaném serveru v podnikové síti.
I přes množství stažených virtuálek stačí pro minimální provozní konfiguraci pouze 2: StealthWatch Management Console a FlowCollector. Pokud však nemáte síťové zařízení, které může exportovat Netflow na FlowCollector, je třeba nasadit také FlowSensor, protože ten pomocí technologií SPAN/RSPAN umožňuje shromažďovat Netflow.
Jako laboratorní stanoviště, jak jsem již zmínil dříve, může sloužit vaše skutečná síť, protože StealthWatch potřebuje jen kopii, nebo přesněji řečeno, výtah kopie provozu. Na obrázku níže je moje síť, kde na bráně bezpečnosti nakonfiguruji Netflow Exporter a v důsledku toho budu posílat Netflow na kolektor.
Pro přístup k budoucím VM je třeba na vašem firewallu, pokud nějaký máte, povolit následující porty:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Některé z nich jsou veřejně známé služby, některé jsou vyhrazeny pro služby Cisco.
V mém případě jsem prostě nasadil StealthWatch ve stejné síti jako Check Point, a nemuselo se konfigurovat žádné pravidlo pro povolení.
2. Instalace FlowCollector na příkladu VMware vSphere
2.1. Klikněte na Procházet a vyberte OVF soubor. Zkontrolujte dostupnost zdrojů, přejděte do nabídky Zobrazení, Inventář → Síťování (Ctrl+Shift+N).
2.2. Na kartě Síťování vyberte v nastavení virtuálního switche Novou distribuovanou skupinu portů.
2.3. Zadejte název, dejme tomu StealthWatchPortGroup, ostatní nastavení mohou být jako na screenshotu a klikněte na Další.
2.4. Dokončete vytváření Skupiny portů stisknutím tlačítka Dokončit.
2.5. U vytvořené Skupiny portů upravíme nastavení, kliknutím pravým tlačítkem na skupinu portů vybereme Upravit nastavení. Na kartě Bezpečnost nezapomeňte zapnout "nepřístupný režim", Promiscuous Mode → Přijmout → OK.
2.6. Jako příklad importujeme OVF FlowCollector, jehož odkaz ke stažení poslal inženýr Cisco po žádosti GVE. Klikněte pravým tlačítkem myši na hostitele, na kterém plánujete nasadit VM, a vyberte Deploy OVF Template. Co se týče vyhrazeného místa, na 50 GB to „bude fungovat“, ale pro provozní podmínky se doporučuje vyhradit 200 GB.
2.7. Vyberte složku, kde se nachází OVF soubor.
2.8. Klikněte na „Další“.
2.9. Uveďte název a server, na kterém to nasazujeme.
2.10. Výsledkem je následující obrazovka, na které kliknete na „Dokončit“.
2.11. Proveďte stejné kroky pro nasazení StealthWatch Management Console.
2.12. Nyní je třeba uvést potřebné sítě v rozhraních, aby FlowCollector viděl jak SMC, tak zařízení, z nichž bude exportován Netflow.
3. Inicializace StealthWatch Management Console
3.1. Po přechodu do konzole nainstalovaného SMCVE uvidíte pole pro zadání uživatelského jména a hesla, výchozí je sysadmin/lane1cope.
3.2. Přihlaste se do sekce Management, zadejte IP adresu a další síťové parametry, poté je potvrďte. Zařízení se restartuje.
3.3. Přejděte na webové rozhraní (přes https na adresu, kterou jste zadali pro SMC) a inicializujte konzoli, výchozí přihlašovací údaje jsou admin/lane411cope.
P.S.: může se stát, že se v Google Chrome neotevře, Explorer vždy pomůže.
3.4. Nezapomeňte změnit hesla, nastavit DNS, NTP servery, doménu a další. Nastavení je intuitivně pochopitelné.
3.5. Po kliknutí na tlačítko „Použít“ se zařízení znovu restartuje. Po 5-7 minutách se můžete znovu připojit na tuto adresu; správa StealthWatch se bude provádět přes webové rozhraní.
4. Nastavení FlowCollector
4.1. S kolektorem je to stejné. Nejprve v CLI nastavte IP adresu, masku, doménu, poté se FC restartuje. Poté se můžete připojit k webovému rozhraní na zadané adrese a provést stejné základní nastavení. Vzhledem k tomu, že nastavení jsou podobná, podrobné snímky obrazovky jsou vynechány. Přihlašovací údaje pro přihlášení stejné.
4.2. Na předposledním bodě musíte zadat IP adresu SMC, v tomto případě konsola uvidí zařízení, potvrzení tohoto nastavení budete muset provést zadáním přihlašovacích údajů.
4.3. Vyberte doménu pro StealthWatch, byla nastavena dříve, a port 2055 – běžný Netflow, pokud pracujete se sFlow, port 6343.
5. Konfigurace Netflow Exporter
5.1. Pro nastavení exportéru Netflow důrazně doporučuji obrátit se na tento , zde jsou hlavní průvodce pro konfiguraci Netflow exportéru pro mnohé zařízení: Cisco, Check Point, Fortinet.
5.2. V našem případě, jak jsem již zmínil, exportujeme Netflow ze zařízení Check Point. Nastavení Netflow exportéru se provádí v podobné záložce v odkaze na webovém rozhraní (Gaia Portal). K tomu je třeba kliknout na „Přidat“, zadat verzi Netflow a potřebný port.
6. Analýza práce StealthWatch
6.1. Po přechodu na webové rozhraní SMC, na první stránce Dashboards > Network Security je vidět, že traffic se rozjel!
6.2. Některá nastavení, jako například rozdělení hostitelů do skupin, monitorování jednotlivých rozhraní, jejich zatížení, správa kolektorů a další, lze najít pouze v Java aplikaci StealthWatch. Cisco samozřejmě pomalu přenáší veškerou funkcionalitu do verze pro prohlížeč a brzy se zbavíme tohoto desktopového klienta.
Pro instalaci aplikace je nejprve třeba nainstalovat (nainstaloval jsem verzi 8, ačkoliv bylo řečeno, že až do 10 je podporováno) z oficiálních stránek Oracle.
V pravém horním rohu webového rozhraní řídící konzole je pro stažení třeba kliknout na tlačítko „Desktop Client“.
Ukládáte a instalujete klienta ručně, Java bude pravděpodobně na něj upozorňovat, může být nutné zahrnout hostitele do výjimek Java.
Výsledkem je docela srozumitelný klient, ve kterém je snadné prohlížet zatížení exportérů, rozhraní, útoky a jejich toky.
7. StealthWatch Central Management
7.1. Na záložce Central Management jsou všechna zařízení, která jsou součástí rozvinutého StealthWatch, jako: FlowCollector, FlowSensor, UDP-Director a Endpoint Concetrator. Zde je možné spravovat síťová nastavení a služby zařízení, licence a manuálně vypnout zařízení.
Do ní se můžete dostat kliknutím na „ozubené kolo“ v pravém horním rohu a výběrem Central Management.
7.2. Po přechodu na Edit Appliance Configuration u FlowCollector uvidíte nastavení SSH, NTP a další síťová nastavení, která se týkají přímo appliance. K přechodu je třeba vybrat Actions → Edit Appliance Configuration u požadovaného zařízení.
7.3. Management licencí lze také nalézt na záložce Central Management > Manage Licences. Zkušební licence v případě GVE požadavku jsou poskytovány na 90 dní.
Produkt je připraven k použití! V další části se podíváme, jak StealthWatch dokáže rozpoznat útoky a generovat zprávy.
Zdroj: habr.com
