स्टील्थवॉच: परिनियोजन और कॉन्फ़िगरेशन। भाग 2

नमस्ते सहयोगियों! स्टील्थवॉच को तैनात करने के लिए न्यूनतम आवश्यकताएं निर्धारित करने के बाद अंतिम हिस्सा, हम उत्पाद को तैनात करना शुरू कर सकते हैं।

1. स्टील्थवॉच को तैनात करने के तरीके

स्टील्थवॉच को "स्पर्श" करने के कई तरीके हैं:

• dcloud - प्रयोगशाला कार्य के लिए क्लाउड सेवा;
• बादल आधारित: स्टील्थवॉच क्लाउड फ्री ट्रायल - यहां आपके डिवाइस से नेटफ्लो क्लाउड में प्रवाहित होगा और वहां स्टील्थवॉच सॉफ्टवेयर द्वारा विश्लेषण किया जाएगा;
• ऑन-प्रिमाइस पीओवी (जीवीई अनुरोध) - जो विधि मैंने अपनाई, वे आपको 4 दिनों के लिए अंतर्निहित लाइसेंस के साथ वर्चुअल मशीनों की 90 ओवीएफ फाइलें भेजेंगे, जिन्हें कॉर्पोरेट नेटवर्क पर एक समर्पित सर्वर पर तैनात किया जा सकता है।

डाउनलोड की गई वर्चुअल मशीनों की प्रचुरता के बावजूद, न्यूनतम कामकाजी कॉन्फ़िगरेशन के लिए केवल 2 ही पर्याप्त हैं: स्टील्थवॉच मैनेजमेंट कंसोल और फ़्लोकलेक्टर। हालाँकि, यदि कोई नेटवर्क डिवाइस नहीं है जो नेटफ्लो को फ्लोकलेक्टर में निर्यात कर सके, तो फ्लोसेंसर को तैनात करना भी आवश्यक है, क्योंकि बाद वाला आपको स्पैन/आरएसपीएएन प्रौद्योगिकियों का उपयोग करके नेटफ्लो एकत्र करने की अनुमति देता है।

जैसा कि मैंने पहले कहा था, आपका वास्तविक नेटवर्क एक प्रयोगशाला बेंच के रूप में कार्य कर सकता है, क्योंकि स्टील्थवॉच को केवल एक प्रतिलिपि की आवश्यकता होती है, या, अधिक सही ढंग से, ट्रैफ़िक की एक प्रतिलिपि की निचोड़ की आवश्यकता होती है। नीचे दी गई तस्वीर मेरे नेटवर्क को दिखाती है, जहां सुरक्षा गेटवे पर मैं नेटफ्लो एक्सपोर्टर को कॉन्फ़िगर करूंगा और परिणामस्वरूप, नेटफ्लो को कलेक्टर को भेजूंगा।

भविष्य के वीएम तक पहुंचने के लिए, यदि आपके पास एक है तो निम्नलिखित पोर्ट को आपके फ़ायरवॉल पर अनुमति दी जानी चाहिए:

टीसीपी 22 एल टीसीपी 25 एल टीसीपी 389 एल टीसीपी 443 एल टीसीपी 2393 एल टीसीपी 5222 एल यूडीपी 53 एल यूडीपी 123 एल यूडीपी 161 एल यूडीपी 162 एल यूडीपी 389 एल यूडीपी 514 एल यूडीपी 2055 एल यूडीपी 6343

उनमें से कुछ प्रसिद्ध सेवाएँ हैं, कुछ सिस्को सेवाओं के लिए आरक्षित हैं।
मेरे मामले में, मैंने बस स्टेलथवॉच को चेक प्वाइंट के समान नेटवर्क पर तैनात किया, और किसी भी अनुमति नियम को कॉन्फ़िगर नहीं करना पड़ा।

2. उदाहरण के तौर पर VMware vSphere का उपयोग करके FlowCollector स्थापित करना

2.1. ब्राउज़ पर क्लिक करें और OVF फ़ाइल1 चुनें। संसाधनों की उपलब्धता की जांच करने के बाद, मेनू व्यू, इन्वेंटरी → नेटवर्किंग (Ctrl+Shift+N) पर जाएं।

2.2. नेटवर्किंग टैब में, वर्चुअल स्विच सेटिंग्स में नया वितरित पोर्ट समूह चुनें।

2.3. नाम सेट करें, इसे स्टील्थवॉचपोर्टग्रुप होने दें, बाकी सेटिंग्स स्क्रीनशॉट के अनुसार की जा सकती हैं और नेक्स्ट पर क्लिक करें।

2.4. हम फिनिश बटन के साथ पोर्ट ग्रुप का निर्माण पूरा करते हैं।

2.5. आइए पोर्ट समूह पर राइट-क्लिक करके और संपादन सेटिंग्स का चयन करके बनाए गए पोर्ट समूह की सेटिंग्स को संपादित करें। सुरक्षा टैब में, "प्रोमिसकस मोड", प्रोमिसकस मोड → एक्सेप्ट → ओके को सक्षम करना सुनिश्चित करें।

2.6. उदाहरण के तौर पर, आइए ओवीएफ फ़्लोकलेक्टर को आयात करें, जिसके लिए डाउनलोड लिंक जीवीई अनुरोध के बाद सिस्को इंजीनियर द्वारा भेजा गया था। उस होस्ट पर राइट-क्लिक करें जिस पर आप वीएम को तैनात करने की योजना बना रहे हैं और डिप्लॉय ओवीएफ टेम्पलेट का चयन करें। आवंटित स्थान के संबंध में, यह 50 जीबी पर "स्टार्ट अप" होगा, लेकिन युद्ध की स्थिति के लिए 200 गीगाबाइट आवंटित करने की सिफारिश की गई है।

2.7. उस फ़ोल्डर का चयन करें जहां OVF फ़ाइल स्थित है।

2.8. अगला पर क्लिक करें"।

2.9. हम उस नाम और सर्वर का संकेत देते हैं जहां हम इसे तैनात करते हैं।

2.10. परिणामस्वरूप, हमें निम्नलिखित चित्र मिलता है और "समाप्त करें" पर क्लिक करें।

2.11. हम स्टील्थवॉच प्रबंधन कंसोल को तैनात करने के लिए समान चरणों का पालन करते हैं।

2.12. अब आपको इंटरफेस में आवश्यक नेटवर्क निर्दिष्ट करने की आवश्यकता है ताकि फ्लोकलेक्टर एसएमसी और उन डिवाइसों दोनों को देख सके जिनसे नेटफ्लो निर्यात किया जाएगा।

3. स्टील्थवॉच प्रबंधन कंसोल को आरंभ करना

3.1. स्थापित एसएमसीवीई मशीन के कंसोल पर जाकर, आपको डिफ़ॉल्ट रूप से अपना लॉगिन और पासवर्ड दर्ज करने के लिए एक जगह दिखाई देगी sysadmin/lan1cope.

3.2. हम प्रबंधन आइटम पर जाते हैं, आईपी पता और अन्य नेटवर्क पैरामीटर सेट करते हैं, फिर उनके परिवर्तनों की पुष्टि करते हैं। डिवाइस रीबूट हो जाएगा.

3.3. वेब इंटरफ़ेस पर जाएं (https के माध्यम से उस पते पर जो आपने एसएमसी में निर्दिष्ट किया है) और कंसोल, डिफ़ॉल्ट लॉगिन/पासवर्ड प्रारंभ करें - व्यवस्थापक/lan411cope.

पुनश्च: ऐसा होता है कि यह Google Chrome में नहीं खुलता है, एक्सप्लोरर हमेशा मदद करेगा।

3.4. पासवर्ड बदलना, डीएनएस, एनटीपी सर्वर, डोमेन आदि सेट करना सुनिश्चित करें। सेटिंग्स सहज हैं.

3.5. "लागू करें" बटन पर क्लिक करने के बाद, डिवाइस फिर से रीबूट हो जाएगा। 5-7 मिनट के बाद आप इस पते पर फिर से जुड़ सकते हैं; स्टील्थवॉच को एक वेब इंटरफ़ेस के माध्यम से प्रबंधित किया जाएगा।

4. फ़्लोकलेक्टर की स्थापना

4.1. कलेक्टर के साथ भी ऐसा ही है. सबसे पहले, सीएलआई में हम आईपी पता, मास्क, डोमेन निर्दिष्ट करते हैं, फिर एफसी रीबूट करते हैं। फिर आप निर्दिष्ट पते पर वेब इंटरफ़ेस से कनेक्ट हो सकते हैं और वही मूल सेटअप कर सकते हैं। इस तथ्य के कारण कि सेटिंग्स समान हैं, विस्तृत स्क्रीनशॉट छोड़े गए हैं। साख प्रवेश करना जो उसी.

4.2. अंतिम बिंदु पर, आपको एसएमसी का आईपी पता सेट करने की आवश्यकता है, इस स्थिति में कंसोल डिवाइस को देखेगा, आपको अपने क्रेडेंशियल दर्ज करके इस सेटिंग की पुष्टि करनी होगी।

4.3. स्टील्थवॉच के लिए डोमेन का चयन करें, यह पहले सेट किया गया था, और पोर्ट 2055 - नियमित नेटफ्लो, यदि आप एसफ्लो, पोर्ट के साथ काम कर रहे हैं 6343.

5. नेटफ़्लो निर्यातक कॉन्फ़िगरेशन

5.1. नेटफ्लो निर्यातक को कॉन्फ़िगर करने के लिए, मैं अत्यधिक इसकी ओर रुख करने की सलाह देता हूं संसाधन , यहां कई उपकरणों के लिए नेटफ्लो निर्यातक को कॉन्फ़िगर करने के लिए मुख्य मार्गदर्शिकाएं दी गई हैं: सिस्को, चेक प्वाइंट, फोर्टिनेट।

5.2. हमारे मामले में, मैं दोहराता हूं, हम चेक प्वाइंट गेटवे से नेटफ्लो निर्यात कर रहे हैं। नेटफ़्लो निर्यातक को वेब इंटरफ़ेस (गैया पोर्टल) में उसी नाम के एक टैब में कॉन्फ़िगर किया गया है। ऐसा करने के लिए, "जोड़ें" पर क्लिक करें, नेटफ़्लो संस्करण और आवश्यक पोर्ट निर्दिष्ट करें।

6. स्टील्थवॉच ऑपरेशन का विश्लेषण

6.1. एसएमसी वेब इंटरफ़ेस पर जाकर, डैशबोर्ड> नेटवर्क सुरक्षा के पहले पृष्ठ पर आप देख सकते हैं कि ट्रैफ़िक शुरू हो गया है!

6.2. कुछ सेटिंग्स, उदाहरण के लिए, मेजबानों को समूहों में विभाजित करना, व्यक्तिगत इंटरफेस की निगरानी करना, उनके लोड, कलेक्टरों को प्रबंधित करना और बहुत कुछ, केवल स्टील्थवॉच जावा एप्लिकेशन में पाया जा सकता है। बेशक, सिस्को धीरे-धीरे सभी कार्यक्षमताओं को ब्राउज़र संस्करण में स्थानांतरित कर रहा है और हम जल्द ही ऐसे डेस्कटॉप क्लाइंट को छोड़ देंगे।

एप्लिकेशन इंस्टॉल करने के लिए आपको सबसे पहले इंस्टॉल करना होगा JRE (मैंने आधिकारिक Oracle वेबसाइट से संस्करण 8 स्थापित किया है, हालाँकि ऐसा कहा जाता है कि यह 10 तक समर्थित है)।

प्रबंधन कंसोल के वेब इंटरफ़ेस के ऊपरी दाएं कोने में, डाउनलोड करने के लिए, आपको "डेस्कटॉप क्लाइंट" बटन पर क्लिक करना होगा।

आप क्लाइंट को जबरन सेव और इंस्टॉल करते हैं, जावा संभवतः इसकी कसम खाएगा, आपको होस्ट को जावा अपवादों में जोड़ने की आवश्यकता हो सकती है।

परिणामस्वरूप, एक काफी स्पष्ट ग्राहक सामने आता है, जिसमें निर्यातकों की लोडिंग, इंटरफेस, हमलों और उनके प्रवाह को देखना आसान होता है।

7. स्टील्थवॉच सेंट्रल प्रबंधन

7.1. सेंट्रल मैनेजमेंट टैब में वे सभी डिवाइस शामिल हैं जो तैनात स्टील्थवॉच का हिस्सा हैं, जैसे: फ़्लोकलेक्टर, फ़्लोसेंसर, यूडीपी-डायरेक्टर और एंडपॉइंट कॉन्सेट्रेटर। वहां आप नेटवर्क सेटिंग्स और डिवाइस सेवाएं, लाइसेंस प्रबंधित कर सकते हैं और डिवाइस को मैन्युअल रूप से बंद कर सकते हैं।

आप ऊपरी दाएं कोने में "गियर" पर क्लिक करके और केंद्रीय प्रबंधन का चयन करके इस पर जा सकते हैं।

7.2. फ्लोकलेक्टर में एडिट अप्लायंस कॉन्फ़िगरेशन पर जाकर आपको ऐप से संबंधित एसएसएच, एनटीपी और अन्य नेटवर्क सेटिंग्स दिखाई देंगी। जाने के लिए, आवश्यक डिवाइस के लिए क्रियाएँ → उपकरण कॉन्फ़िगरेशन संपादित करें चुनें।

7.3. लाइसेंस प्रबंधन को केंद्रीय प्रबंधन > लाइसेंस प्रबंधित करें टैब में भी पाया जा सकता है। जीवीई अनुरोध के मामले में परीक्षण लाइसेंस दिए जाते हैं 90 дней.

उत्पाद जाने के लिए तैयार है! अगले भाग में, हम देखेंगे कि स्टील्थवॉच कैसे हमलों को पहचान सकती है और रिपोर्ट तैयार कर सकती है।

स्रोत: www.habr.com