🥇StealthWatch: juurutamine ja seadistamine. Osa 2

Tere, kolleegid! Määratledes minimaalsete nõuete järgi StealthWatchi juurutamiseks eelmisel osal, saame alustada toote juurutamist.

1. StealthWatchi juurutamise viisid

StealthWatchi "katsetamiseks" on mitmeid viise:

dcloud – pilvepõhine laboriteenus;
Cloud Based: Stealthwatch Cloud Free Trial – siia suunatakse Netflow teie seadmest pilve ja seal analüüsib StealthWatch tarkvara;
On-premise POV (GVE taotlus) – meetod, mida kasutasin, teile saadetakse 4 OVF faili virtuaalmasinate jaoks koos 90-päevaste integreeritud litsentsidega, mida saab juurutada pühendatud serveris ettevõtte võrgus.

Kuna allalaaditud virtuaalmasinaid on palju, piisab minimaalse töökonfiguratsiooni jaoks vaid kahest: StealthWatch Management Console ja FlowCollector. Kuid kui puudub võrguseade, mis suudab Netflow't FlowCollector'ile edastada, tuleb juurutada ka FlowSensor, kuna viimane võimaldab SPAN/RSPAN tehnoloogiate abil Netflow'd koguda.

Laboriseina jaoks, nagu ma juba mainisin, võib kasutada teie reaalset võrgusüsteemi, kuna StealthWatch vajab vaid koopiat, või õigemini öeldes koopia tõmbe. Alloleval joonisel on esitatud minu võrk, kus konfigureerin Netflow Exporter'i turvagateway'l ja seeläbi saadab Netflow kogujale.

Juurdepääsu jaoks tulevastele VM-idele tuleks teie tulemüüris, kui see on olemas, lubada järgmised pordid:

TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343

Mõned neist on üldteada teenused, mõned on reserveeritud Cisco teenustele.
Minu puhul juurutasin lihtsalt StealthWatchi samas võrgus, kus on Check Point, ega pidanud mingeid reegleid lubade konfigureerimiseks seadma.

2. FlowCollectori installimine VMware vSphere näitel

2.1. Klõpsake nuppu Browse ja valige OVF fail. Ressursside kättesaadavust kontrollides, minge menüüsse View, Inventory → Networking (Ctrl+Shift+N).

2.2. Vahekaardil Networking valige virtuaalse lüliti seadetes New Distributed port group.

2.3. Määrake nimi, olgu see StealthWatchPortGroup, ülejäänud seadeid saab teha nagu ekraanipildil ja klõpsake Next.

2.4. Lõpetage Port Groupi loomine nupuga Finish.

2.5. Loomise ajal redigeerime loodud Port Grupi seadeid, paremklõpsates port grupil, valime Edit Settings. Vahekaardil Security lülitame kindlasti sisse "mitteportaali režiim", Promiscuous Mode → Accept → OK.

2.6. Näiteks impordime OVF FlowCollector'i, mille allalaadimise lingi saatis Cisco insener pärast GVE taotlust. Klõpsake hiire parema nupuga hostil, kuhu plaanite VM-i paigaldada, ja valige Deploy OVF Template. Ahnude tingimuste jaoks on soovitatav eraldada 200 GB, kuid 50 GB saab alguses hakkama.

2.7. Valige kaust, kus OVF-fail asub.

2.8. Klõpsake 'Järgmine'.

2.9. Määrake nimi ja server, kus me selle paigaldame.

2.10. Tulemusena näete järgmist vaadet ja klõpsake 'Lõpeta'.

2.11. Tehke sama protseduur StealthWatch Management Console'i paigaldamiseks.

2.12. Nüüd tuleb määrata vajalikud võrgud liidestes, et FlowCollector näeks nii SMC-d kui ka seadmeid, millelt Netflow'd eksporditakse.

3. StealthWatch Management Console'i initsialiseerimine

3.1. Kui sisenete SMCVE paigaldatud masina konsooli, näete sisselogimise ja parooli sisestamise kohta, vaikimisi sysadmin/lán1cope.

3.2. Minge punktis Management IP-aadressi ja teiste võrguseadetega, seejärel kinnitage muudatused. Seade taaskäivitub.

3.3. Minge veebiliidese poole (https selle aadressi suunal, mille määrasite SMC-le) ja initsialiseerige konsool, vaikimisi sisselogimine/parool on admin/lán411cope.

P.S.: mõnikord ei avane Google Chrome'is, Explorer pääseb alati hädast.

3.4. Vahel kindlasti muutke paroolid, määrake DNS, NTP-serverid, domeen ja muu. Seaded on arusaadavad.

3.5. Pärast 'Rakenda' nuppu taaskäivitub seade uuesti. 5-7 minuti pärast saate uuesti selle aadressiga siseneda; StealthWatch'i juhtimine toimub veebiliidese kaudu.

4. FlowCollector'i seadistamine

4.1. Kollektoori puhul on kõik sama. Esiteks CLI-s määrame IP-aadressi, maski, domeeni, seejärel taaskäivitub FC. Seejärel saab sellele veebiliidesele määratud aadressil siseneda ja teha sarnase põhise seadistuse. Kuid kuna määrangud on sarnased, jäetakse detailse ekraanipiltide osa vahele. Kasutajatunnused sisselogimiseks on samad.

4.2. Peaaegu viimases punktis tuleks määrata SMC IP-aadress, sel juhul näeb konsool seadet ja selle seadistuse kinnitamiseks tuleb sisestada kasutajatunnused.

4.3. Valige domeen StealthWatch'ile, nagu see oli varem määratud, ja port 2055 – tavaline Netflow, kui kasutate sFlow'd, port 6343.

5. Netflow Exporter'i seadistamine

5.1. Netflow eksportija seadistamiseks soovitan tungivalt pöörduda selle ressursi poole. , siin on peamised juhised Netflow ekspordija konfigureerimiseks paljudes seadmetes: Cisco, Check Point, Fortinet.

5.2. Meie puhul eksportime Netflow Check Point'i kaudu. Netflow ekspordija seadistamine toimub sarnaselt nimetatud vahekaardil veebiliideses (Gaia Portal). Selleks peate vajutama "Lisa", määrama Netflow versiooni ja vajaliku porta.

6. StealthWatch töö analüüs

6.1. Kui minna veebiliidesesse SMC, on esimesel lehel Dashboards > Network Security nähtav, et liiklus on läinud!

6.2. Mõned seaded, näiteks hostide rühmade jagamine, individuaalsete liidesete jälgimine, nende koormus, kollektsioneerijate haldamine ja muud asjad on saadaval vaid StealthWatch'i Java rakenduses. Loomulikult kandub Cisco aeglaselt kogu funktsionaalsus üle brauseriversiooni ja peagi loobume sellisest töölauarakendusest.

Rakenduse paigaldamiseks tuleb eelnevalt installida JRE (ma paigaldasin versiooni 8, kuigi öeldakse, et toimetatakse kuni 10) Oracle'i ametlikult veebisaidilt.

Veebiliidese juhtpaneeli paremas ülanurgas paigaldamiseks vajutage nuppu "Desktop Client".

Te peate rakenduse alla laadima ja paigaldama käsitsi, java tõenäoliselt annab sellele hoiatuse, võib-olla tuleb hosti lisada java eranditesse.

Tulemusena avanev klient on üsna arusaadav, kus on kerge vaadata ekspordijate, liideste, rünnakute ja nende voogude koormust.

7. StealthWatch Keskhaldus

7.1. Central Management vahekaardil on kõik seadmed, mis on osa rakendatud StealthWatch'ist, näiteks: FlowCollector, FlowSensor, UDP-Director ja Endpoint Concentrator. Seal saab hallata seadmete võrguseadeid ja teenuseid, litsentse ning manuaalselt seadet välja lülitada.

Sinna pääseb vajutades paremas ülanurgas "hambaratas" ja valides Central Management.

7.2. Kui minna FlowCollector'i Edit Appliance Configuration'i, näete SSH, NTP ja muid võrguseadeid, mis puudutavad konkreetselt aplaingit. Liikumiseks valige Actions → Edit Appliance Configuration vajaliku seadme puhul.