Saluti, colleghi! Dopo aver definito i requisiti minimi per l'implementazione di StealthWatch in , possiamo iniziare l'implementazione del prodotto.
1. Metodi di implementazione di StealthWatch
Ci sono diversi modi per 'toccare' StealthWatch:
- – servizio cloud per laboratori;
- Cloud Based: – qui Netflow dal tuo dispositivo fluirà nel cloud e sarà analizzato dal software StealthWatch;
- On-premise POV () – il metodo che ho scelto; ti verranno forniti 4 file OVF di macchine virtuali con licenze integrate valide per 90 giorni, che possono essere implementate su un server dedicato nella rete aziendale.
Nonostante ci siano numerosi file virtuali scaricati, per una configurazione operativa minima sono sufficienti solo 2: StealthWatch Management Console e FlowCollector. Tuttavia, se non esiste un dispositivo di rete in grado di esportare Netflow al FlowCollector, è necessario implementare anche FlowSensor, poiché quest'ultimo permette di raccogliere Netflow tramite tecnologie SPAN/RSPAN.
Come già detto, la tua rete reale può fungere da banco di prova, poiché StealthWatch ha bisogno solo di una copia, o più precisamente, di un estratto del traffico. Nell'immagine qui sotto, è rappresentata la mia rete, dove configurerò il Netflow Exporter sul gateway di sicurezza e, di conseguenza, invierò il Netflow al collettore.
Per accedere alle future VM, sul tuo firewall, se presente, è necessario consentire le seguenti porte:
TCP 22 | TCP 25 | TCP 389 | TCP 443 | TCP 2393 | TCP 5222 | UDP 53 | UDP 123 | UDP 161 | UDP 162 | UDP 389 | UDP 514 | UDP 2055 | UDP 6343
Alcune di esse sono servizi noti, altre sono riservate a servizi Cisco.
Nel mio caso, ho semplicemente distribuito StealthWatch nella stessa rete del Check Point, senza dover configurare alcuna regola di autorizzazione.
2. Installazione di FlowCollector utilizzando VMware vSphere
2.1. Clicca su Browse e seleziona il file OVF. Dopo aver verificato la disponibilità delle risorse, vai sul menu View, Inventory → Networking (Ctrl+Shift+N).
2.2. Nella scheda Networking, selezioniamo nelle impostazioni dello switch virtuale New Distributed port group.
2.3. Assegniamo un nome, chiamiamolo StealthWatchPortGroup, e le altre impostazioni possono essere fatte come nello screenshot; poi clicchiamo su Next.
2.4. Completiamo la creazione del Port Group cliccando su Finish.
2.5. Nella Port Group creata, modifichiamo le impostazioni facendo clic con il tasto destro del mouse sul gruppo di porte e selezioniamo Modifica impostazioni. Nella scheda Sicurezza attiviamo assolutamente la modalità 'incomprensibile', Modalità promiscuo → Accetta → OK.
2.6. Come esempio, importiamo l'OVF FlowCollector, il cui link per il download è stato inviato dall'ingegnere Cisco dopo la richiesta GVE. Facendo clic con il tasto destro del mouse sull'host su cui prevedete di distribuire la VM, selezioniamo Distribuisci modello OVF. Per quanto riguarda lo spazio assegnato, funzionerà con 50 GB, ma per condizioni di produzione si consiglia di allocare circa 200 gigabyte.
2.7. Selezioniamo la cartella in cui si trova il file OVF.
2.8. Facciamo clic su 'Avanti'.
2.9. Indichiamo il nome e il server su cui distribuiamo.
2.10. Alla fine otteniamo la seguente schermata e facciamo clic su 'Fine'.
2.11. Ripetiamo gli stessi passaggi per distribuire StealthWatch Management Console.
2.12. Ora dobbiamo specificare le reti necessarie nelle interfacce affinché FlowCollector veda sia SMC che i dispositivi dai quali verrà esportato Netflow.
3. Inizializzazione della StealthWatch Management Console
3.1. Accedendo alla console della macchina SMCVE installata, vedrete il campo per l'inserimento delle credenziali, impostate di default sysadmin/lan1cope.
3.2. Accediamo alla voce Management, impostiamo l'indirizzo IP e altre impostazioni di rete, poi confermiamo la modifica. Il dispositivo si riavvierà.
3.3. Andiamo all'interfaccia web (via https all'indirizzo che hai impostato in SMC) e inizializziamo la console, login/password predefiniti — admin/lan411cope.
P.S.: a volte non si apre in Google Chrome, Internet Explorer funziona sempre.
3.4. Cambiamo assolutamente le password, impostiamo DNS, server NTP, dominio e altro. Le impostazioni sono intuitive.
3.5. Dopo aver premuto il pulsante «Apply», il dispositivo si riavvierà di nuovo. Dopo 5-7 minuti, puoi riconnetterti a questo indirizzo; la gestione di StealthWatch avverrà tramite l'interfaccia web.
4. Configurazione di FlowCollector
4.1. Con il collector è lo stesso. Prima nel CLI specifichiamo l'indirizzo IP, la maschera, il dominio, poi FC si riavvia. Dopodiché puoi collegarti all'interfaccia web all'indirizzo impostato e effettuare la stessa configurazione di base. Poiché le impostazioni sono simili, gli screenshot dettagliati sono omessi. Credenziali per l'accesso sono le stesse.
4.2. Nel penultimo punto, è necessario impostare l'indirizzo IP del SMC; in questo modo la console potrà vedere il dispositivo, e sarà necessario confermare questa impostazione inserendo le credenziali.
4.3. Selezioniamo il dominio per StealthWatch, che è stato impostato in precedenza, e la porta 2055 – il normale Netflow; se lavorate con sFlow, la porta 6343.
5. Configurazione del Netflow Exporter
5.1. Per configurare il Netflow Exporter, consiglio vivamente di fare riferimento a questa , qui troverete le guide principali per la configurazione del Netflow Exporter per molti dispositivi: Cisco, Check Point, Fortinet.
5.2. Nel nostro caso, ripeto, esportiamo Netflow dal gateway Check Point. La configurazione del Netflow Exporter avviene nella scheda con un nome simile nell'interfaccia web (Gaia Portal). A tal fine, è necessario fare clic su "Add", specificare la versione di Netflow e la porta necessaria.
6. Analisi del funzionamento di StealthWatch
6.1. Accedendo all'interfaccia web del SMC, nella prima pagina Dashboards > Network Security, è evidente che il traffico è iniziato a fluire!
6.2. Alcune impostazioni, come la suddivisione degli host in gruppi, il monitoraggio di interfacce specifiche, il loro carico, la gestione dei collettori e altro, sono disponibili solo nell'applicazione Java StealthWatch. Naturalmente, Cisco sta gradualmente trasferendo tutte le funzionalità nella versione web e presto abbandoneremo questo client desktop.
Per installare l'applicazione, è necessario prima installare (io ho installato la versione 8, anche se si dice che sono supportate fino alla 10) dal sito ufficiale di Oracle.
Nell'angolo in alto a destra dell'interfaccia web della console di gestione, per scaricare è necessario cliccare sul pulsante 'Desktop Client'.
Si conserva e si installa il client forzatamente; probabilmente Java darà un errore su di esso, e potrebbe essere necessario aggiungere l'host nelle eccezioni di Java.
Il risultato è un client piuttosto comprensibile, dove è facile vedere il carico degli esportatori, delle interfacce, degli attacchi e dei loro flussi.
7. StealthWatch Central Management
7.1. Nella scheda Central Management si trovano tutti i dispositivi che fanno parte del StealthWatch distribuito, come: FlowCollector, FlowSensor, UDP-Director ed Endpoint Concetrator. Qui è possibile gestire le impostazioni di rete e i servizi dei dispositivi, le licenze e disattivare manualmente il dispositivo.
È possibile accedervi cliccando sull'icona a forma di ingranaggio nell'angolo in alto a destra e selezionando Central Management.
7.2. Accedendo a Edit Appliance Configuration su FlowCollector, vedrete le impostazioni SSH, NTP e altre configurazioni di rete relative all'appliance. Per accedere, selezionare Actions → Edit Appliance Configuration sul dispositivo desiderato.
7.3. La gestione delle licenze si trova anche nella scheda Central Management > Manage Licences. Le licenze trial in caso di richiesta GVE sono fornite per 90 giorni.
Il prodotto è pronto per essere utilizzato! Nella prossima parte vedremo come StealthWatch può riconoscere attacchi e generare report.
Fonte: habr.com
