StealthWatch: juurutamine ja seadistamine. Osa 2

Tere, kolleegid! Kui oleme määranud StealthWatch'i paigaldamiseks miinimumnõuded, eelmisest osast, saame alustada toote paigaldamist.

1. StealthWatch'i paigaldamise viisid

StealthWatch'iga tutvumiseks on mitmeid viise:

• dcloud – pilvepõhine laboriteenus;
• Pilvepõhine: StealthWatch Cloud tasuta prooviversioon – siin voolab Netflow teie seadmest pilve ja seal analüüsib seda StealthWatch'i tarkvara;
• Kohapealne POV (GVE taotlus) – see on viis, mille ma valisin, teile saadetakse neli OVF-faili virtuaalmasinaid koos 90-päevaste sisseehitatud litsentsidega, mida saab paigaldada eraldiseisvale serverile ettevõtte võrgus.

Hoolimata allalaaditud virtuaalmasinate arvust piisab minimaalsetest töökonfiguratsioonidest vaid kahest: StealthWatch Management Console ja FlowCollector. Kuid kui puudub võrguseade, mis suudab Netflow'd FlowCollector'isse eksportida, tuleb paigaldada ka FlowSensor, kuna viimane võimaldab SPAN/RSPAN tehnoloogiate kaudu Netflow'd koguda.

Laboratoorse seadmena võib kasutada teie tegelikku võrku, nagu ma juba varem mainisin, kuna StealthWatch vajab vaid koopia või täpsemalt öeldes liikluse väljavõtte koopia. Alloleval joonisel on minu võrk, kus lülitan turvagateway'l Netflow exporter'i üles ja seeläbi hakkan saatma Netflow'd kollektsioneerijale.

Juhtmete tulevaste VM-de juurdepääsuks tuleb teie tulemüüri kaudu lubada järgmised pordid, kui need on olemas:

TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343

Mõned neist on tuntud teenused, mõned on reserveeritud Cisco teenustele.
Minu puhul lihtsalt installisin StealthWatch'i samasse võrku, kus Check Point, ning ei pidanud lubade seadistamiseks mingeid reegleid konfigureerima.

2. FlowCollectori installimine VMware vSphere näitel

2.1. Klõpsake nuppu Browse ja valige OVF-fail. Ressursside kättesaadavuse kontrollimiseks minge menüüsse View, Inventory → Networking (Ctrl+Shift+N).

2.2. Networking vahekaardil valige virtuaalse lüliti seadetes New Distributed port group.

2.3. Määrake nimi, olgu see StealthWatchPortGroup, ülejäänud seaded saab teha nagu ekraanipildil ja vajutage Next.

2.4. Lõpetage Port Group'i loomine Finish nuppu vajutades.

2.5. Loomulikult loome Port Groupis seadistusi, paremklõpsates portgrupile ja valides Redigeeri seadeid. Turvavahekaartide all tuleb kindlasti lubada "ebaselge režiim", Promiscuous Mode → Accept → OK.

2.6. Näiteks toome sisse OVF FlowCollector, mille allalaadimise lingi saatis Cisco insener pärast GVE taotlust. Paremklõpsates hostile, kuhu kavatsete VM-i paigutada, valige Paigaldage OVF mall. 50 GB jaoks sobib see, kuid tootmisolukordades on soovitatav eraldada 200 GB.

2.7. Valige kaust, kus OVF-fail asub.

2.8. Klõpsake "Edasi".

2.9. Sisestage nimi ja server, kuhu me selle paigutame.

2.10. Lõpuks saame järgmise pildi ja vajutame "Lõpeta".

2.11. Korrake samu samme, et paigutada StealthWatch Management Console.

2.12. Nüüd tuleb näidata vajalikud võrgud liidestes, et FlowCollector näeks nii SMC-d kui ka seadmeid, millest Netflow'd välja eksporditakse.

3. StealthWatch Management Console'i algatamine

3.1. Pärast SMCVE installitud masina konsooli sisenemist näete koht login ja parooli sisestamiseks, vaikimisi sysadmin/lan1cope.

3.2. Siseneme jaotisse Management, määrame IP-aadressi ja teised võrguseaded, seejärel kinnitame nende muutmise. Seade taaskäivitub.

3.3. Liigume veebiliidese juurde (https kaudu aadressile, mille määrasite SMC-s) ja initsialiseerime konsooli, vaikimisi kasutajanimi/parool — admin/lano411cope.

P.S.: vahel ei avane Google Chromes, Explorer päästab alati.

3.4. Muudame kindlasti paroolid, määrame DNS, NTP serverid, domeeni ja muud. Seaded on intuitiivselt arusaadavad.

3.5. Pärast nupu „Apply” vajutamist taaskäivitub seade uuesti. 5–7 minuti pärast saab uuesti ühendust võtta selle aadressiga; StealthWatchi haldamine toimub veebiliidese kaudu.

4. FlowCollectori seadistamine

4.1. Kollektsioneerijaga on kõik sama. Esiteks määrame CLI-s IP-aadressi, alamvõrgu maski, domeeni, seejärel taaskäivitub FC. Pärast seda saab ühendust võtta veebiliidese kaudu määratud aadressil ning teha sama baasseadistuse. Kuna seaded on sarnased, üksikasjalikke ekraanipilte ei viidata. Krediteerimine sisenemiseks samad.

4.2. Peaaegu viimases punktis on vajalik määrata SMC IP-aadress, sel juhul näeb konsool seadet, selle seadistuse kinnitamiseks tuleb sisestada kasutajatunnused.

4.3. Valime domeeni StealthWatch jaoks, see on eelnevalt määratud ja port 2055 – tavaline NetFlow, kui töötate sFlow'ga, port 6343.

5. NetFlow eksportija konfiguratsioon

5.1. NetFlow eksportija seadistamiseks soovitame tungivalt tutvuda selle ressursiga , siin on peamised juhised NetFlow eksportija seadistamiseks paljude seadmete jaoks: Cisco, Check Point, Fortinet.

5.2. Meie juhul, nagu ma olen juba öelnud, ekspordime NetFlow Check Pointi väravast. NetFlow eksportija seadistamine toimub sarnase nimega vahekaardil veebikeskkonnas (Gaia Portaal). Selleks tuleb vajutada „Lisa”, märkida NetFlow versioon ja vajalik port.

6. StealthWatchi töö analüüs

6.1. Sisenedes SMC veebikeskkonda, on Dashboards > Network Security esimesel leheküljel selgelt näha, et liiklus on alanud!

6.2. Mõningaid seadistusi, näiteks hostide jaotust gruppidesse, üksikute liideste jälgimist, nende koormust, kollektorite haldamist ja muud, saab leida ainult StealthWatchi Java rakendusest. Loomulikult viib Cisco järk-järgult kogu funktsionaalsuse üle brauseriversiooni ja peagi loobume sellisest töölauarakendusest.

Rakenduse installimiseks tuleb esmalt paigaldada JRE (ma installisin versiooni 8, kuigi öeldakse, et toetatakse kuni 10) Oracle'i ametlikult veebisaidilt.

Veebihalduse konsooli paremas ülanurgas allalaadimise jaoks tuleb vajutada nuppu 'Desktop Client'.

Te paigaldage ja installige klient sundkorras, java tõenäoliselt protestib selle üle, võib-olla tuleb host lisada java eranditesse.

Tulemusena avatakse üsna arusaadav klient, kus on lihtne vaadata eksportijate laadimist, liideseid, rünnakuid ja nende voogusid.

7. StealthWatch Keskhaldus

7.1. Central Management sakk sisaldab kõiki seadmeid, mis on osa juurutatud StealthWatchist, nagu: FlowCollector, FlowSensor, UDP-Director ja Endpoint Concetrator. Seal on võimalik hallata seadmete võrgu seadistusi ja teenuseid, litsentse ning manuaalselt seadmeid välja lülitada.

Sellele pääseb ligi, vajutades paremas ülanurgas 'hammasratast' ja valides Central Management.

7.2. Kui pääsete FlowCollectoris Edit Appliance Configurationi, näete SSH, NTP ja teisi seadme võrgu seadistusi, mis on otseselt seonduvad seadmega. Üleminekuks valige Actions → Edit Appliance Configuration vajalikul seadmel.

7.3. Litsentsihalduse haldamine on samuti leitav vahekaardilt Central Management > Manage Licences. GVE päringu puhul antakse prooviversioonid 90 päeva.

Toode on kasutamiseks valmis! Järgmises osas vaatleme, kuidas StealthWatch suudab tuvastada rünnakuid ja genereerida aruandeid.

Allikas: habr.com