Hallo Kollegen! Nachdem wir uns auf die minimalen Anforderungen fĂŒr die Bereitstellung von StealthWatch in , können wir mit der Bereitstellung des Produkts beginnen.
1. Bereitstellungsmethoden fĂŒr StealthWatch
Es gibt mehrere Möglichkeiten, StealthWatch zu âtestenâ:
- â Cloud-Service fĂŒr Laborarbeiten;
- Cloud-basiert: â dabei wird Netflow von Ihrem GerĂ€t in die Cloud gesendet und dort von der StealthWatch-Software analysiert;
- On-Premise POV () â dies ist der Weg, den ich gewĂ€hlt habe, Ihnen werden 4 OVF-Dateien virtueller Maschinen mit eingebauten Lizenzen fĂŒr 90 Tage zur VerfĂŒgung gestellt, die auf einem dedizierten Server im Unternehmensnetzwerk bereitgestellt werden können.
Trotz der Vielzahl heruntergeladener virtueller Maschinen reicht fĂŒr eine minimale Betriebsbereitschaft nur 2 aus: StealthWatch Management Console und FlowCollector. Wenn jedoch kein NetzwerkgerĂ€t vorhanden ist, das Netflow an den FlowCollector exportieren kann, muss auch FlowSensor bereitgestellt werden, da letzterer mithilfe von SPAN/RSPAN-Technologien Netflow sammeln kann.
Als Laborstand kann, wie bereits erwÀhnt, Ihr echtes Netzwerk dienen, da StealthWatch nur eine Kopie, oder genauer gesagt, einen Auszug des Traffics benötigt. Im folgenden Bild ist mein Netzwerk dargestellt, in dem ich an der Sicherheitsgateway den Netflow-Exporter configure und als Ergebnis Netflow an den Collector senden werde.
FĂŒr den Zugriff auf die zukĂŒnftigen VMs sollten Sie auf Ihrer Firewall, falls vorhanden, die folgenden Ports freigeben:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Einige davon sind allgemein bekannte Dienste, andere sind fĂŒr Cisco-Dienste reserviert.
In meinem Fall habe ich StealthWatch einfach im selben Netzwerk wie Check Point bereitgestellt, und es waren keine Regeln zur Freigabe notwendig.
2. Installation von FlowCollector am Beispiel von VMware vSphere
2.1. Klicken Sie auf Browse und wĂ€hlen Sie die OVF-Datei aus. ĂberprĂŒfen Sie die VerfĂŒgbarkeit der Ressourcen und gehen Sie zu MenĂŒ Ansicht, Inventar â Netzwerke (Strg+Shift+N).
2.2. Im Tab Netzwerke wÀhlen wir in den Einstellungen des virtuellen Switches Neue verteilte Portgruppe.
2.3. Geben Sie einen Namen ein, lassen Sie es StealthWatchPortGroup sein, die restlichen Einstellungen können wie im Screenshot vorgenommen werden, und klicken Sie auf Weiter.
2.4. Beenden Sie die Erstellung der Portgruppe mit der SchaltflÀche Fertigstellen.
2.5. FĂŒr die erstellte Portgruppe bearbeiten wir die Einstellungen, indem wir mit der rechten Maustaste auf die Portgruppe klicken und Einstellungen bearbeiten wĂ€hlen. Im Tab Sicherheit aktivieren wir unbedingt den âSicheren Modusâ, Promiscuous Mode â Akzeptieren â OK.
2.6. Als Beispiel importieren wir den OVF FlowCollector, dessen Download-Link von einem Cisco-Techniker nach der GVE-Anfrage gesendet wurde. Klicken Sie mit der rechten Maustaste auf den Host, auf dem Sie die VM bereitstellen möchten, und wĂ€hlen Sie Deploy OVF Template. BezĂŒglich des zugewiesenen Speichers wird es mit 50 GB funktionieren, aber fĂŒr den produktiven Einsatz wird empfohlen, etwa 200 GB bereitzustellen.
2.7. WĂ€hlen Sie den Ordner, in dem sich die OVF-Datei befindet.
2.8. Klicken Sie auf âWeiterâ.
2.9. Geben Sie den Namen und den Server an, auf dem wir dies bereitstellen.
2.10. Am Ende erhalten wir folgendes Bild und klicken auf âFertigstellenâ.
2.11. Wiederholen Sie die gleichen Schritte zur Bereitstellung der StealthWatch Management Console.
2.12. Jetzt mĂŒssen die erforderlichen Netzwerke in den Schnittstellen angegeben werden, damit der FlowCollector sowohl das SMC als auch die GerĂ€te sieht, von denen Netflow exportiert wird.
3. Initialisierung der StealthWatch Management Console
3.1. Nachdem Sie zur Konsole des installierten SMCVE gewechselt sind, sehen Sie ein Feld zum Eingeben von Benutzername und Passwort, standardmĂ€Ăig sysadmin/lan1cope.
3.2. Gehen Sie zu Management, geben Sie die IP-Adresse und andere Netzwerkinformationen an und bestĂ€tigen Sie dann die Ănderungen. Das GerĂ€t wird neu gestartet.
3.3. Wechseln Sie zur WeboberflĂ€che (ĂŒber https auf die Adresse, die Sie fĂŒr das SMC festgelegt haben) und initialisieren Sie die Konsole, Benutzername/Passwort standardmĂ€Ăig â admin/lan411cope.
P.S.: Manchmal öffnet es sich nicht in Google Chrome, der Explorer hilft immer.
3.4. Ăndern Sie unbedingt die Passwörter, geben Sie DNS-, NTP-Server, DomĂ€ne usw. an. Die Einstellungen sind intuitiv verstĂ€ndlich.
3.5. Nach dem DrĂŒcken der SchaltflĂ€che âĂbernehmenâ wird das GerĂ€t erneut neu gestartet. Nach 5-7 Minuten können Sie erneut unter dieser Adresse eine Verbindung herstellen; die Verwaltung von StealthWatch erfolgt ĂŒber die WeboberflĂ€che.
4. Einrichtung des FlowCollector
4.1. Mit dem Collector ist alles dasselbe. Zuerst geben wir im CLI die IP-Adresse, die Maske, die DomĂ€ne an, danach wird FC neu gestartet. AnschlieĂend können Sie sich ĂŒber die angegebene Adresse mit der WeboberflĂ€che verbinden und die gleiche grundlegende Einrichtung vornehmen. Da die Einstellungen Ă€hnlich sind, werden detaillierte Screenshots weggelassen. Anmeldeinformationen zum Einloggen die gleichen.
4.2. Im vorletzten Punkt muss die IP-Adresse des SMC angegeben werden, in diesem Fall erkennt die Konsole das GerÀt; diese Einstellung muss durch Eingabe der Anmeldedaten bestÀtigt werden.
4.3. WĂ€hlen Sie die DomĂ€ne fĂŒr StealthWatch, die zuvor festgelegt wurde, und den Port 2055 â ĂŒblicher Netflow, wenn Sie mit sFlow arbeiten, Port 6343.
5. Konfiguration des Netflow Exporters
5.1. FĂŒr die Konfiguration des Netflow Exporters empfehle ich dringend, sich an diesen , hier sind die wichtigsten Anleitungen zur Konfiguration des Netflow-Exporters fĂŒr viele GerĂ€te: Cisco, Check Point, Fortinet.
5.2. In unserem Fall exportieren wir Netflow vom Check Point-Gateway. Die Konfiguration des Netflow-Exporters erfolgt im gleichnamigen Tab im Web-Interface (Gaia Portal). Dazu sollte man auf âAddâ klicken, die Netflow-Version und den benötigten Port angeben.
6. Analyse der StealthWatch-FunktionalitÀt
6.1. Im Web-Interface des SMC ist auf der ersten Seite Dashboards > Network Security zu sehen, dass der Verkehr begonnen hat!
6.2. Einige Einstellungen, wie die Gruppierung von Hosts, die Ăberwachung einzelner Schnittstellen, deren Auslastung, die Verwaltung von Collectoren und anderes sind nur in der Java-Anwendung StealthWatch zu finden. NatĂŒrlich ĂŒbertrĂ€gt Cisco langsam alle Funktionen in die Browser-Version, und bald werden wir auf diesen Desktop-Client verzichten.
FĂŒr die Installation der Anwendung sollte vorher (ich habe Version 8 installiert, obwohl gesagt wird, dass bis zu Version 10 unterstĂŒtzt wird) von der offiziellen Oracle-Website heruntergeladen werden.
In der oberen rechten Ecke des Web-Interface der Verwaltungs-Konsole muss man auf die SchaltflĂ€che âDesktop Clientâ klicken, um das Programm herunterzuladen.
Sie speichern und installieren den Client manuell, Java wird wahrscheinlich darauf hinweisen, dass es Probleme gibt, möglicherweise muss der Host in die Java-Ausnahmen aufgenommen werden.
Das Ergebnis ist ein recht ĂŒbersichtlicher Client, in dem man leicht die Auslastung der Exporter, Schnittstellen, Angriffe und deren Ströme einsehen kann.
7. StealthWatch zentrales Management
7.1. Im Tab Zentrales Management befinden sich alle GerÀte, die Teil des implementierten StealthWatch sind, wie: FlowCollector, FlowSensor, UDP-Director und Endpoint Concentrator. Dort kann man Netzwerkeinstellungen und Dienste der GerÀte, Lizenzen verwalten und manuell GerÀte ausschalten.
Dorthin gelangt man, indem man in der oberen rechten Ecke auf das âZahnradâ klickt und Zentrales Management auswĂ€hlt.
7.2. Wenn Sie in die Konfiguration der Appliance bei FlowCollector wechseln, sehen Sie die Einstellungen fĂŒr SSH, NTP und andere Netzwerkeinstellungen, die direkt die Appliance betreffen. Um dorthin zu gelangen, wĂ€hlen Sie Aktionen â Konfiguration der Appliance bearbeiten bei dem entsprechenden GerĂ€t.
7.3. Das Lizenzmanagement finden Sie ebenfalls im Tab Zentrales Management > Lizenzen verwalten. Testlizenzen fĂŒr den GVE-Antrag werden fĂŒr 90 Tage.
Das Produkt ist betriebsbereit! In dem nÀchsten Teil werden wir sehen, wie StealthWatch Angriffe erkennen und Berichte erstellen kann.
Quelle: habr.com
