Olá, colegas! Após definirmos os requisitos mínimos para a implementação do StealthWatch em , podemos iniciar a implementação do produto.
1. Métodos de implementação do StealthWatch
Existem várias maneiras de 'experimentar' o StealthWatch:
- – serviço em nuvem para trabalhos de laboratório;
- Baseado em Nuvem: – aqui o Netflow do seu dispositivo será enviado para a nuvem e analisado pelo software StealthWatch;
- POV on-premise () – o método que eu segui, onde serão enviados 4 arquivos OVF de máquinas virtuais com licenças embutidas por 90 dias, que podem ser implementados em um servidor dedicado na rede corporativa.
Apesar da abundância de máquinas virtuais baixadas, para uma configuração mínima de trabalho, são necessárias apenas 2: o Console de Gerenciamento do StealthWatch e o FlowCollector. No entanto, se não houver um dispositivo de rede que possa exportar Netflow para o FlowCollector, será necessário implementar também o FlowSensor, já que este último, usando as tecnologias SPAN/RSPAN, permite coletar Netflow.
Como uma bancada de laboratório, como já mencionei anteriormente, pode-se usar sua rede real, já que o StealthWatch precisa apenas de uma cópia, ou melhor dizendo, de uma extração do tráfego. Na imagem abaixo, está minha rede, onde, no gateway de segurança, configurarei o Netflow Exporter e, como resultado, enviarei Netflow para o coletor.
Para acesso às futuras VMs, em seu firewall, se houver, é necessário permitir as seguintes portas:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Algumas delas são serviços amplamente conhecidos, enquanto outras são reservadas para serviços da Cisco.
No meu caso, eu simplesmente implementei o StealthWatch na mesma rede que o Check Point, e não foi preciso configurar regras de permissão.
2. Instalação do FlowCollector usando o VMware vSphere
2.1. Clique em Browse e escolha o arquivo OVF. Após verificar a disponibilidade dos recursos, vá para o menu View, Inventory → Networking (Ctrl+Shift+N).
2.2. Na aba Networking, selecione nas configurações do switch virtual New Distributed port group.
2.3. Defina um nome, que tal StealthWatchPortGroup; as outras configurações podem ser feitas conforme a captura de tela e clique em Next.
2.4. Finalize a criação do Port Group clicando no botão Finish.
2.5. Para o Port Group criado, edite as configurações clicando com o botão direito no grupo e selecionando Edit Settings. Na aba Security, certifique-se de ativar o 'modo permissivo', Promiscuous Mode → Accept → OK.
2.6. Como exemplo, importamos o OVF FlowCollector, cujo link para download foi enviado pelo engenheiro da Cisco após o pedido GVE. Clicando com o botão direito do mouse no host onde você planeja implantar a VM, selecione Implantar Modelo OVF. Em relação ao espaço alocado, com 50 GB ele "funcionará", mas para condições reais recomenda-se alocar cerca de 200 GB.
2.7. Selecionamos a pasta onde está o arquivo OVF.
2.8. Clicamos em "Avançar".
2.9. Especificamos o nome e o servidor onde estamos implementando isso.
2.10. No final, obtemos a seguinte tela e clicamos em "Concluir".
2.11. Realizamos os mesmos passos para implantar o StealthWatch Management Console.
2.12. Agora devemos indicar as redes necessárias nas interfaces, para que o FlowCollector possa ver tanto o SMC quanto os dispositivos dos quais o Netflow será exportado.
3. Inicialização do StealthWatch Management Console
3.1. Ao acessar o console da máquina SMCVE instalada, você verá um campo para inserir o login e a senha, que por padrão são sysadmin/lanncope.
3.2. Acesse o item Gestão, insira o endereço IP e outros parâmetros de rede, e em seguida confirme a alteração. O dispositivo será reiniciado.
3.3. Acesse a interface web (via https no endereço que você configurou para o SMC) e inicie o console, o login/senha padrão é admin/lanncope.
P.S.: às vezes, não abre no Google Chrome; o Explorer sempre funciona.
3.4. É essencial mudar as senhas, definir servidores DNS, NTP, domínio e outros. As configurações são intuitivas.
3.5. Após clicar no botão "Aplicar", o dispositivo será reiniciado novamente. Após 5-7 minutos, você pode conectar-se novamente a este endereço; o gerenciamento do StealthWatch será feito pela interface web.
4. Configuração do FlowCollector
4.1. Com o coletor, o procedimento é o mesmo. Primeiro, no CLI, especificamos o endereço IP, máscara, domínio, e em seguida o FC reinicia. Depois, você pode se conectar à interface web no endereço fornecido e realizar uma configuração básica semelhante. Como as configurações são parecidas, capturas de tela detalhadas são omitidas. Credenciais para login as mesmas.
4.2. No penúltimo item, é necessário informar o endereço IP do SMC, assim a console verá o dispositivo; essa configuração requer confirmação com a inserção de credenciais.
4.3. Selecionamos o domínio para o StealthWatch, que foi definido anteriormente, e a porta 2055 – Netflow comum, se você estiver trabalhando com sFlow, a porta 6343.
5. Configuração do Exportador Netflow
5.1. Para configurar o exportador Netflow, recomendo fortemente consultar este , aqui estão os guias principais para a configuração do exportador Netflow para muitos dispositivos: Cisco, Check Point, Fortinet.
5.2. No nosso caso, vou repetir, estamos exportando Netflow do gateway Check Point. A configuração do exportador Netflow é realizada em uma guia com nome similar no interface web (Gaia Portal). Para isso, você deve clicar em "Add", especificar a versão do Netflow e a porta necessária.
6. Análise do funcionamento do StealthWatch
6.1. Ao acessar o interface web SMC, na primeira página Dashboards > Network Security, é visível que o tráfego começou!
6.2. Algumas configurações, como a divisão de hosts em grupos, monitoramento de interfaces individuais, sua carga, gerenciamento de coletores e outras, podem ser encontradas apenas no aplicativo Java StealthWatch. Naturalmente, a Cisco está lentamente transferindo toda a funcionalidade para a versão do navegador e em breve abandonaremos esse cliente de desktop.
Para instalar o aplicativo, você deve primeiro instalar (instalei a versão 8, embora seja dito que a versão 10 também é suportada) do site oficial da Oracle.
No canto superior direito da interface web do console de gerenciamento, é necessário clicar no botão "Desktop Client" para baixar.
Você salva e instala o cliente manualmente, o Java provavelmente fará alguns avisos sobre isso, pode ser necessário adicionar o host nas exceções do Java.
Como resultado, aparece um cliente bastante compreensível, onde é fácil visualizar a carga dos exportadores, interfaces, ataques e seus fluxos.
7. Gestão Central do StealthWatch
7.1. Na guia Central Management estão todos os dispositivos que fazem parte do StealthWatch implantado, como: FlowCollector, FlowSensor, UDP-Director e Endpoint Concentrator. Lá você pode gerenciar as configurações de rede e serviços dos dispositivos, licenças e desligar manualmente um dispositivo.
Você pode acessá-la clicando na "engrenagem" no canto superior direito e selecionando Central Management.
7.2. Ao acessar Edit Appliance Configuration no FlowCollector, você verá as configurações de SSH, NTP e outras configurações de rede que dizem respeito diretamente ao appliance. Para acessar, selecione Actions → Edit Appliance Configuration no dispositivo necessário.
7.3. O gerenciamento de licenças também pode ser encontrado na guia Central Management > Manage Licences. Licenças de teste em caso de solicitação GVE são fornecidas por 90 dias.
O produto está pronto para uso! Na próxima parte, veremos como o StealthWatch pode reconhecer ataques e gerar relatórios.
Fonte: habr.com
