Ciao, colleghi! Stabilite le esigenze minime per il dispiegamento di StealthWatch in , possiamo avviare il dispiegamento del prodotto.
1. Modalità di dispiegamento di StealthWatch
Ci sono diversi modi per 'toccare' StealthWatch:
- – servizio cloud per lavori di laboratorio;
- Cloud Based: – qui Netflow dal tuo dispositivo verrà inviato al cloud e sarà analizzato dal software StealthWatch;
- On-premise POV () – metodo che ho scelto, riceverai 4 file OVF di macchine virtuali con licenze incorporate valide per 90 giorni, che possono essere dispiegate su un server dedicato nella rete aziendale.
Nonostante l'abbondanza di virtual machine scaricate, per una configurazione minima di lavoro bastano solo 2: StealthWatch Management Console e FlowCollector. Tuttavia, se non c'è un dispositivo di rete in grado di esportare Netflow a FlowCollector, è necessario anche dispiegare FlowSensor, poiché quest'ultimo, utilizzando le tecnologie SPAN/RSPAN, consente di raccogliere Netflow.
Come già detto, la tua rete reale può fungere da banco di prova di laboratorio, poiché StealthWatch ha bisogno solo di una copia, o meglio, dell'estratto di una copia del traffico. Nella figura seguente è rappresentata la mia rete, dove sul gateway di sicurezza configurerò Netflow Exporter e, di conseguenza, invierò Netflow al collector.
Per accedere alle future VM, sul tuo firewall, se presente, dovresti autorizzare le seguenti porte:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Alcuni di essi sono servizi noti, altri sono riservati ai servizi Cisco.
Nel mio caso, ho semplicemente dispiegato StealthWatch nella stessa rete di Check Point, quindi non è stato necessario configurare regole di autorizzazione.
2. Installazione di FlowCollector usando VMware vSphere
2.1. Clicca su Browse e seleziona il file OVF1. Dopo aver verificato la disponibilità delle risorse, vai nel menu View, Inventory → Networking (Ctrl+Shift+N).
2.2. Nella scheda Networking, selezioniamo nelle impostazioni dello switch virtuale New Distributed port group.
2.3. Assegna un nome, chiamiamola StealthWatchPortGroup, le altre impostazioni possono essere effettuate come nello screenshot e premiamo Next.
2.4. Completa la creazione del Port Group premendo il pulsante Finish.
2.5. Per il Port Group creato, modifichiamo le impostazioni facendo clic con il tasto destro del mouse sul gruppo di porte e selezionando Edit Settings. Nella scheda Security, assicurati di attivare 'modalità promiscuo', Promiscuous Mode → Accept → OK.
2.6. Come esempio, importiamo OVF FlowCollector, il link per il download del quale è stato inviato dall'ingegnere Cisco dopo la richiesta GVE. Facendo clic con il tasto destro del mouse sull'host su cui si prevede di distribuire la VM, selezioniamo Deploy OVF Template. Per quanto riguarda lo spazio richiesto, con 50 GB funziona, ma per condizioni operative è consigliabile riservare circa 200 GB.
2.7. Selezioniamo la cartella dove si trova il file OVF.
2.8. Clicchiamo su "Avanti".
2.9. Indichiamo nome e server dove lo stiamo distribuendo.
2.10. Alla fine otteniamo la seguente schermata e clicchiamo su "Fine".
2.11. Eseguiamo gli stessi passi per distribuire la StealthWatch Management Console.
2.12. Ora dobbiamo specificare le reti necessarie nelle interfacce affinché FlowCollector possa vedere sia SMC che i dispositivi da cui verrà esportato il Netflow.
3. Inizializzazione della StealthWatch Management Console
3.1. Accedendo alla console della macchina SMCVE installata, vedrai il campo per l'inserimento di nome utente e password, di default sysadmin/lan1cope.
3.2. Andiamo su Management, impostiamo l'indirizzo IP e altri parametri di rete, quindi confermiamo la modifica. Il dispositivo si riavvierà.
3.3. Passiamo all'interfaccia web (tramite https all'indirizzo che hai impostato per SMC) e inizializziamo la console, login/password di default — admin/lan411cope.
P.S.: può capitare che non si apra in Google Chrome, Explorer funziona sempre.
3.4. Cambiamo assolutamente le password, impostiamo DNS, server NTP, dominio e altri. Le impostazioni sono intuitive.
3.5. Dopo aver cliccato il pulsante "Applica", il dispositivo si riavvierà nuovamente. Dopo 5-7 minuti sarà possibile riconnettersi a questo indirizzo; la gestione di StealthWatch avverrà tramite l'interfaccia web.
4. Configurazione di FlowCollector
4.1. Con il collector è tutto simile. Prima nella CLI impostiamo l'indirizzo IP, la maschera, il dominio, quindi FC si riavvia. Dopo possiamo collegarci all'interfaccia web all'indirizzo stabilito e effettuare la stessa configurazione di base. Poiché le impostazioni sono simili, gli screenshot dettagliati vengono omessi. Credenziali per accedere le stesse.
4.2. Nell'penultimo punto è necessario specificare l'indirizzo IP di SMC, in questo modo la console vedrà il dispositivo e dovrà confermare questa impostazione inserendo le credenziali.
4.3. Selezioniamo il dominio per StealthWatch, è stato impostato in precedenza, e la porta 2055 – generalmente Netflow, se lavori con sFlow, la porta 6343.
5. Configurazione di Netflow Exporter
5.1. Per configurare l'exporter di Netflow, consiglio vivamente di consultare questo , qui sono le principali guide per la configurazione dell'esportatore Netflow per molti dispositivi: Cisco, Check Point, Fortinet.
5.2. Nel nostro caso, ripeto, esportiamo Netflow dal gateway Check Point. La configurazione dell'esportatore Netflow viene effettuata nella scheda con lo stesso nome nell'interfaccia web (Gaia Portal). Per fare ciò, è necessario fare clic su «Aggiungi», specificare la versione di Netflow e la porta necessaria.
6. Analisi del funzionamento di StealthWatch
6.1. Accedendo all'interfaccia web SMC, nella prima pagina Dashboards > Network Security, si può vedere che il traffico è partito!
6.2. Alcune impostazioni, come ad esempio la suddivisione degli host in gruppi, il monitoraggio di singole interfacce, il loro utilizzo, la gestione dei collector e altro, possono essere trovate solo nell'applicazione Java StealthWatch. Naturalmente, Cisco sta gradualmente trasferendo tutte le funzionalità nella versione browser e presto ci libereremo di questo client desktop.
Per installare l'applicazione, è necessario prima installare (ho installato la versione 8, anche se si dice che sia supportata fino alla 10) dal sito ufficiale di Oracle.
Nell'angolo in alto a destra dell'interfaccia web della console di gestione, per scaricare, è necessario fare clic sul pulsante «Desktop Client».
È necessario salvare e installare il client forzatamente, Java potrebbe lamentarsi di esso, potrebbe essere necessario aggiungere l'host alle eccezioni di Java.
Il risultato è un client piuttosto chiaro, in cui è facile vedere il caricamento degli esportatori, delle interfacce, degli attacchi e dei loro flussi.
7. Gestione Centrale di StealthWatch
7.1. Nella scheda Central Management si trovano tutti i dispositivi che fanno parte di StealthWatch distribuito, come: FlowCollector, FlowSensor, UDP-Director e Endpoint Concentrator. Da lì è possibile gestire le impostazioni di rete e i servizi dei dispositivi, le licenze e spegnere manualmente il dispositivo.
Per accedervi è sufficiente fare clic sull'«ingranaggio» nell'angolo in alto a destra e scegliere Central Management.
7.2. Accedendo a Edit Appliance Configuration su FlowCollector, vedrete le impostazioni SSH, NTP e altre impostazioni di rete riguardanti direttamente l'appliance. Per accedere, è necessario scegliere Actions → Edit Appliance Configuration per il dispositivo desiderato.
7.3. La gestione delle licenze può essere trovata anche nella scheda Central Management > Manage Licences. Le licenze trial nel caso di richiesta GVE sono concesse per 90 giorni.
Il prodotto è pronto per l'uso! Nella prossima parte esamineremo come StealthWatch possa riconoscere attacchi e generare report.
Fonte: habr.com
