Hej kolleger! Efter at have fastlagt minimumskravene til implementering af StealthWatch i , kan vi begynde implementeringen af produktet.
1. Metoder til implementering af StealthWatch
Der er flere måder at 'prøve' StealthWatch:
- – cloud-baseret laboratorium;
- Cloud Based: – her vil Netflow fra dit udstyr strømme ind i skyen og blive analyseret af StealthWatch-software;
- On-premise POV () – metoden jeg valgte, hvor du vil få tilsendt 4 OVF-filer med virtuelle maskiner med indbyggede licenser i 90 dage, som kan implementeres på en dedikeret server i det virksomhedsnetsværk.
På trods af mængden af downloadede virtuelle maskiner er der kun behov for 2 til en minimal arbejdsopsætning: StealthWatch Management Console og FlowCollector. Men hvis der ikke er en netværksenhed, der kan eksportere Netflow til FlowCollector, så er det nødvendigt at implementere FlowSensor, da denne ved hjælp af SPAN/RSPAN-teknologier kan indsamle Netflow.
Som laboratorium kan dit reelle netværk fungere, da StealthWatch kun har brug for en kopi, eller rettere sagt, en udtrækning af kopien af trafikken. På illustrationen nedenfor er mit netværk vist, hvor jeg vil konfigurere Netflow Exporter på sikkerhedsgatewayen og dermed sende Netflow til kollektoren.
For at få adgang til de fremtidige VM'er, skal du på din firewall, hvis du har en, tillade følgende porte:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Nogle af dem er velkendte tjenester, mens andre er reserveret til Cisco-tjenester.
I mit tilfælde implementerede jeg bare StealthWatch i det samme netværk som Check Point, og det var ikke nødvendigt at konfigurere nogen regler for tilladelser.
2. Installation af FlowCollector ved hjælp af VMware vSphere
2.1. Klik på Gennemse og vælg OVF-fil1. Efter at have kontrolleret tilgængeligheden af ressourcer, går du til menuen Vis, Inventar → Netværk (Ctrl+Shift+N).
2.2. I fanen Netværk vælger vi i indstillingerne for den virtuelle switch Ny distribueret portgruppe.
2.3. Giv et navn, lad os sige StealthWatchPortGroup; de øvrige indstillinger kan gøres som på skærmbilledet, og klik på Næste.
2.4. Afslut oprettelsen af Port Group med knappen Afslut.
2.5. Rediger indstillingerne for den oprettede Port Group ved at højreklikke på portgruppen og vælge Rediger indstillinger. I fanen Sikkerhed sikrer du at 'promiskuitiv tilstand' er aktiveret, Promiscuous Mode → Accept → OK.
2.6. Som et eksempel importerer vi OVF FlowCollector, som Cisco-ingeniøren sendte downloadlinken til efter GVE-anmodningen. Højreklik på den host, hvor du planlægger at implementere VM, og vælg Deploy OVF Template. Med hensyn til det tildelte rum, vil det fungere på 50 GB, men for produktionsforhold anbefales det at afsætte omkring 200 GB.
2.7. Vælg mappen, hvor OVF-filen ligger.
2.8. Klik på 'Næste'.
2.9. Angiv navn og server, hvor vi implementerer dette.
2.10. Resultatet er som følger, og klik på 'Finish'.
2.11. Udfør de samme trin for at implementere StealthWatch Management Console.
2.12. Nu skal du angive de nødvendige netværk i grænsefladerne, så FlowCollector kan se både SMC og de enheder, som Netflow skal eksporteres fra.
3. Initialization af StealthWatch Management Console
3.1. Når du går ind i konsollen på den installerede SMCVE-maskine, vil du se et felt til indtastning af brugernavn og adgangskode; standarden er sysadmin/lan1cope.
3.2. Gå til Management-sektionen, indtast IP-adressen og andre netværksparametre, og bekræft ændringerne. Enheden genstarter.
3.3. Gå til webgrænsefladen (via https til den adresse, du angav for SMC) og initialiser konsollen, brugernavn/adgangskode som standard - admin/lan411cope.
P.S.: Nogle gange åbnes det ikke i Google Chrome; Explorer virker altid.
3.4. Skift altid adgangskoder, angiv DNS, NTP-servere, domæne osv. Indstillingerne er intuitivt forståelige.
3.5. Efter at have trykket på 'Apply' genstarter enheden igen. Efter 5-7 minutter kan du forbinde igen på denne adresse; styring af StealthWatch vil ske gennem webgrænsefladen.
4. Konfiguration af FlowCollector
4.1. Med samleren er det samme. Først angiver vi IP-adressen, masken, domænet i CLI, hvorefter FC genstarter. Derefter kan du forbinde til webgrænsefladen på den angivne adresse og foretage den samme grundlæggende konfiguration. Da indstillingerne ligner hinanden, udelades detaljerede skærmbilleder. Loginoplysninger til adgang de er de samme.
4.2. På næstsidste punkt skal du angive SMC's IP-adresse, i dette tilfælde vil konsollen se enheden, og du skal bekræfte denne indstilling ved at indtaste loginoplysningerne.
4.3. Vælg domænet for StealthWatch, det blev angivet tidligere, og porten 2055 – almindelig Netflow, hvis du arbejder med sFlow, porten 6343.
5. Konfiguration af Netflow Exporter
5.1. Til konfiguration af Netflow-exporteren anbefales det kraftigt at henvise til dette , her er de vigtigste guider til konfiguration af Netflow-udsenderen for mange enheder: Cisco, Check Point, Fortinet.
5.2. I vores tilfælde gentager jeg, at vi eksporterer Netflow fra Check Point-gatewayet. Konfigurationen af Netflow-udsenderen foregår i en faneblad, der har et lignende navn i webgrænsefladen (Gaia Portal). For dette skal du klikke på 'Add', angive versionen af Netflow og den nødvendige port.
6. Analyse af StealthWatch's funktionalitet
6.1. Når du går ind i webgrænsefladen SMC, kan du på den første side Dashboards > Network Security se, at trafikken er begyndt!
6.2. Nogle indstillinger, f.eks. opdeling af værter i grupper, overvågning af specifikke grænseflader, deres belastning, håndtering af indsamlerne og andet kan kun findes i Java-applikationen StealthWatch. Selvfølgelig flytter Cisco langsomt al funktionalitet over i browserversionen, og snart vil vi opgive denne desktop-klient.
For at installere applikationen skal du først installere (jeg installerede version 8, selvom det siges, at versioner op til 10 understøttes) fra Oracles officielle hjemmeside.
I det øverste højre hjørne af webgrænsefladen for administrationen skal du klikke på knappen 'Desktop Client' for at downloade.
Du gemmer og installerer klienten tvangsvis, Java vil sandsynligvis klage over det, og det kan være nødvendigt at tilføje værten til Java-undtagelser.
Som et resultat viser en ret brugervenlig klient sig, hvor det er let at se belastningen på udsendere, grænseflader, angreb og deres strømme.
7. StealthWatch Central Management
7.1. I fanebladet Central Management findes alle enheder, der er en del af det implementerede StealthWatch, såsom: FlowCollector, FlowSensor, UDP-Director og Endpoint Concetrator. Her kan du administrere netværksindstillinger og tjenester for enhederne, licenser og manuelt slukke for enheden.
Du kan gå ind i det ved at klikke på 'gear'-ikonet i det øverste højre hjørne og vælge Central Management.
7.2. Når du går ind i Edit Appliance Configuration på FlowCollector, vil du se indstillingerne for SSH, NTP og andre netværksindstillinger, der vedrører selve apparatet. For at åbne det skal du vælge Actions → Edit Appliance Configuration for den nødvendige enhed.
7.3. Håndteringen af licenser kan også findes i fanebladet Central Management > Manage Licences. Prøvelicenser gives i tilfælde af GVE-anmodning i 90 dage.
Produktet er klar til brug! I næste del vil vi se, hvordan StealthWatch kan genkende angreb og generere rapporter.
Kilde: habr.com
