Üdvözlet, kollégák! Miután meghatároztuk a minimális követelményeket a StealthWatch telepítéséhez, , elkezdhetjük a termék telepítését.
1. A StealthWatch telepítési módjai
Többféleképpen „kipróbálhatjuk” a StealthWatch-ot:
- – felhőalapú laboratóriumi szolgáltatás;
- Felhőalapú: – itt a Netflow az Ön eszközéről a felhőbe kerül, ahol a StealthWatch szoftver elemzi azt;
- Helyben POV () – ez az a módszer, amelyet én választottam, Önnek 4 OVF fájlt küldenek a virtuális gépekről, beépített, 90 napos licencekkel, amelyeket dedikált szerveren lehet telepíteni a vállalati hálózatban.
A letöltött virtuális gépek bősége ellenére a minimális működési konfigurációhoz elegendő csak 2: StealthWatch Management Console és FlowCollector. Ha azonban nincs olyan hálózati eszköz, amely képes Netflow-t exportálni a FlowCollector-ra, akkor szükséges egy FlowSensor telepítése is, mivel az utóbbi SPAN/RSPAN technológiák segítségével képes Netflow-t gyűjteni.
Laboratóriumi környezetként, ahogy már említettem, a saját valós hálózata is jól működhet, mivel a StealthWatch számára csak egy másolat vagy pontosabban a forgalom tömörített változata szükséges. Az alábbi ábrán látható a hálózatom, ahol a biztonsági átjárón beállítom a Netflow Exportert, és ennek eredményeként Netflow-t küldök a gyűjtőre.
A jövőbeli virtuális gépek eléréséhez az Ön tűzfalán, ha van, engedélyezni kell a következő portokat:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Néhány közülük közismert szolgáltatások, mások a Cisco szolgáltatásaihoz vannak fenntartva.
Az én esetemben egyszerűen a StealthWatch-t telepítettem arra a hálózatra, amelyen a Check Point található, és nem kellett engedélyezési szabályokat beállítanom.
2. A FlowCollector telepítése a VMware vSphere példájával
2.1. Kattintson a Tallózás gombra, és válassza ki az 1. OVF fájlt. Ellenőrizze az erőforrások elérhetőségét, majd lépjen a Nézet menübe, leltár → Hálózat (Ctrl+Shift+N).
2.2. A Hálózat fülön válasszuk a virtuális kapcsoló beállításoknál az Új Disztribúciós portcsoportot.
2.3. Adjunk nevet, legyen StealthWatchPortGroup, a többi beállítást az alábbi képernyő szerint végezheti, majd kattintson a Következő gombra.
2.4. A Portcsoport létrehozását a Befejezés gomb megnyomásával fejezze be.
2.5. A létrehozott Port Group beállításait módosítjuk, jobb gombbal rákattintunk a port csoportra, majd az Edit Settings lehetőséget választjuk. A Security fül alatt feltétlenül aktiváljuk a «nem átlátható módot», Promiscuous Mode → Accept → OK.
2.6. Példaként importáljuk az OVF FlowCollector-t, amelynek letöltési linkét a Cisco mérnöke küldte a GVE kérés után. Azon a hoszton, ahol a VM-et telepíteni kívánja, jobb gombbal rákattintunk, és az Deploy OVF Template lehetőséget választjuk. A helyigény kapcsán elegendő a 50 GB, de éles környezetben javasolt 200 GB-ot biztosítani.
2.7. Válassza ki a mappát, ahol az OVF fájl található.
2.8. Kattintson a «Tovább» gombra.
2.9. Adja meg a nevet és a szervert, ahol telepítjük.
2.10. Ennek eredményeként a következő képet kapjuk, és kattintsunk a «Befejezés» gombra.
2.11. Ugyanezeket a lépéseket követve telepítjük a StealthWatch Management Console-t.
2.12. Most meg kell adnia a szükséges hálózatokat az interfészekben, hogy a FlowCollector láthassa tanto SMC-t, mint azokat az eszközöket, amelyekről exportálni fogják a Netflow-t.
3. StealthWatch Management Console inicializálása
3.1. Az SMCVE telepített gép konzoljába belépve látni fogja a felhasználónév és jelszó beírásához szükséges helyet, alapértelmezés szerint sysadmin/lan1cope.
3.2. Lépjen be a Management menübe, adja meg az IP-címet és más hálózati paramétereket, majd erősítse meg azok módosítását. Az eszköz újraindul.
3.3. Lépjen a webböngésző felületére (https a megadott SMC címre), és inicializálja a konzolt, az alapértelmezett bejelentkezés/jelszó — admin/lan411cope.
P.S.: néha a Google Chrome nem nyílik meg, az Explorer mindig segít.
3.4. Feltétlenül változtassa meg a jelszavakat, adja meg a DNS, NTP szervereket, a domént és egyebeket. A beállítások intuitívan érthetőek.
3.5. A «Apply» gombra kattintás után az eszköz újraindul. 5-7 perc elteltével újra csatlakozhat ehhez a címhez; a StealthWatch kezelése a webes felületen keresztül fog történni.
4. FlowCollector beállítása
4.1. A kollektornál minden ugyanolyan. Először a CLI-ben megadjuk az IP-címet, a maszkot, a domént, majd az FC újraindul. Ezt követően webes felületen csatlakozhat a megadott címre, és elvégezheti az alapvető beállítást. Mivel a beállítások hasonlóak, a részletes képernyőképek elhagyásra kerülnek. Bejelentkezési adatok a belépéshez ugyanazok.
4.2. Az utolsó előtti lépésben meg kell adni az SMC IP-címét, így a konzol látni fogja az eszközt, ezt a beállítást a bejelentkezési adatok megadásával kell megerősíteni.
4.3. Válassza ki a StealthWatch domént, amelyet korábban adtak meg, és a portot 2055 – szokásos Netflow, ha sFlow-t használ, port 6343.
5. Netflow Exporter konfigurálása
5.1. A Netflow exportáló beállításához javaslom, hogy forduljon ehhez a , itt találja a fő útmutatókat a Netflow exportáló konfigurálásához sok eszközhöz: Cisco, Check Point, Fortinet.
5.2. A mi esetünkben, ahogy már említettem, a Netflow-t a Check Point átjáróból exportáljuk. A Netflow exportáló beállítása hasonló nevű fülön történik a webes felületen (Gaia Portal). Ehhez kattintson az „Add” gombra, majd adja meg a Netflow verzióját és a szükséges portot.
6. StealthWatch működésének elemzése
6.1. A SMC webes felületére lépve, az első oldalon a Dashboards > Network Security alatt világosan látszik, hogy a forgalom elindult!
6.2. Néhány beállítást, például a hosztok csoportosítását, egyes interfészek figyelését, a terhelésüket, a gyűjtők kezelését és másokat csak a StealthWatch Java alkalmazásában találhat meg. Természetesen a Cisco fokozatosan átviszi az összes funkciót a böngészős verzióba, és hamarosan lemondunk ezekről a desktop kliensekről.
Az alkalmazás telepítéséhez először telepítenie kell (én a 8-as verziót telepítettem, bár azt mondják, hogy a 10-es verzióig támogatott) az Oracle hivatalos weboldaláról.
A kezelői konzol webes felületének jobb felső sarkában a letöltéshez kattintson a „Desktop Client” gombra.
Kényszerítve menti és telepíti az ügyfelet, a java valószínűleg panaszkodni fog rá, esetleg szükséges a hosztot a java kivételek közé felvenni.
Ennek eredményeként egy meglehetősen érthető kliens jelenik meg, amelyben könnyen megtekintheti az exportálók, interfészek, támadások és azok folyamatai terhelését.
7. StealthWatch Központi Kezelés
7.1. A Központi Kezelés fül alatt találhatók az összes eszköz, amelyek a telepített StealthWatch részét képezik, mint például: FlowCollector, FlowSensor, UDP-Director és Endpoint Concetrator. Itt kezelheti az eszközök hálózati beállításait és szolgáltatásait, licencjeit, és manuálisan lekapcsolhatja az eszközt.
Ebbe a fülbe léphet a jobb felső sarokban található „fogaskerék” megnyomásával, majd a Központi Kezelés kiválasztásával.
7.2. A FlowCollector-nél az Edit Appliance Configuration-be lépve láthatja az SSH, NTP és egyéb hálózati beállításokat, amelyek közvetlenül az appliance-ra vonatkoznak. Ahhoz, hogy át tudjon lépni, válassza az Actions → Edit Appliance Configuration lehetőséget a kivánt eszköznél.
7.3. A licencmenedzsment szintén megtalálható a Központi Kezelés > Licenc Kezelése fül alatt. A próba licencek a GVE kérés esetén 90 napra érhetők el.
A termék készen áll a működésre! A következő részben megvizsgáljuk, hogyan képes a StealthWatch azonosítani a támadásokat és jelentéseket készíteni.
Forrás: habr.com
