Bună ziua, colegi! După ce ne-am stabilit cerințele minime pentru desfășurarea StealthWatch în , putem începe desfășurarea produsului.
1. Metode de desfășurare a StealthWatch
Există mai multe moduri de a "teste" StealthWatch:
- – serviciul cloud pentru lucrări de laborator;
- Cloud Based: – aici Netflow de pe dispozitivul dumneavoastră va fi trimis în cloud pentru a fi analizat de software-ul StealthWatch;
- On-premise POV () – metoda pe care am ales-o eu, vi se vor trimite 4 fișiere OVF pentru mașini virtuale cu licențe încorporate pentru 90 de zile, care pot fi desfășurate pe un server dedicat în rețeaua corporativă.
În ciuda numărului mare de virtualizări descărcate, pentru o configurație minimă de lucru sunt suficiente doar 2: StealthWatch Management Console și FlowCollector. Cu toate acestea, dacă nu există un dispozitiv de rețea care poate exporta Netflow către FlowCollector, este necesară desfășurarea și FlowSensor, deoarece acesta din urmă, prin tehnologiile SPAN/RSPAN, permite colectarea Netflow.
Ca stand de laborator, așa cum am spus anterior, poate servi rețeaua dumneavoastră reală, deoarece StealthWatch are nevoie doar de o copie sau, mai corect spus, de o extragere a copiei traficului. În imaginea de mai jos este rețeaua mea, unde pe gateway-ul de securitate voi configura Netflow Exporter și, în rezultat, voi trimite Netflow către colecționar.
Pentru a accesa viitoarele VM-uri, pe firewall-ul dumneavoastră, dacă există, trebuie să permiteți următoarele porturi:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Unele dintre acestea sunt servicii bine cunoscute, iar altele sunt rezervate pentru serviciile Cisco.
În cazul meu, am desfășurat pur și simplu StealthWatch în aceeași rețea cu Check Point, astfel că nu a fost necesar să configurez reguli pentru permisiuni.
2. Instalarea FlowCollector pe exemplul VMware vSphere
2.1. Apăsați Browse și selectați fișierul OVF1. După ce ați verificat disponibilitatea resurselor, mergeți la meniul View, Inventory → Networking (Ctrl+Shift+N).
2.2. În tab-ul Networking, selectați în setările switch-ului virtual New Distributed port group.
2.3. Stabiliți un nume, să zicem StealthWatchPortGroup, celelalte setări pot fi făcute conform capturii de ecran și apăsați Next.
2.4. Finalizați crearea Port Group apăsând butonul Finish.
2.5. Pentru Port Group-ul creat, modificați setările, făcând clic dreapta pe grupul de porturi și selectând Edit Settings. În tab-ul Security, asigurați-vă că activați „modul neclar”, Promiscuous Mode → Accept → OK.
2.6. Ca exemplu, importăm OVF FlowCollector, linkul de descărcare fiind trimis de inginerul Cisco după cererea GVE. Facem clic dreapta pe gazda pe care intenționăm să desfășurăm VM și alegem Deploy OVF Template. În ceea ce privește spațiul alocat, la 50 GB se "va porni", dar pentru condiții de producție se recomandă alocarea a 200 GB.
2.7. Alegem folderul în care se află fișierul OVF.
2.8. Facem clic pe „Următorul”.
2.9. Specificăm numele și serverul pe care desfășurăm acest lucru.
2.10. În final, obținem următoarea imagine și facem clic pe „Finish”.
2.11. Urmăm aceiași pași pentru desfășurarea StealthWatch Management Console.
2.12. Acum trebuie să specificăm rețelele necesare în interfețe, astfel încât FlowCollector să poată vedea atât SMC cât și dispozitivele din care va fi exportat Netflow.
3. Inițializarea StealthWatch Management Console
3.1. Accesând consola mașinii SMCVE instalate, veți vedea un loc pentru introducerea numelui de utilizator și a parolei, implicit sysadmin/lan1cope.
3.2. Accesăm secțiunea Management, setăm adresa IP și alte parametri de rețea, apoi confirmăm modificarea acestora. Dispozitivul se va reporni.
3.3. Accesăm interfața web (prin https la acea adresă pe care ați specificat-o pentru SMC) și inițializăm consola, numele de utilizator/parola implicită fiind admin/lan411cope.
P.S.: uneori, nu se deschide în Google Chrome, Explorer va funcționa întotdeauna.
3.4. Asigurați-vă că schimbați parolele, setați DNS, servere NTP, domeniu și altele. Setările sunt intuitive.
3.5. După apăsarea butonului „Apply”, dispozitivul se va reporni. După 5-7 minute, puteți reconecta la această adresă; managementul StealthWatch se va realiza prin interfața web.
4. Configurarea FlowCollector
4.1. Cu colectorul totul este la fel. Mai întâi, în CLI, specificăm adresa IP, masca, domeniul, apoi FC se repornește. După aceea, putem accesa interfața web la adresa specificată și realiza aceeași configurație de bază. Datorită faptului că setările sunt asemănătoare, capturile de ecran detaliate sunt omise. Datele de autentificare pentru acces sunt aceleași.
4.2. La penultimul pas, trebuie să specificăm adresa IP a SMC, în acest caz consola va putea vedea dispozitivul, confirmarea acestei setări va trebui făcută prin introducerea datelor de autentificare.
4.3. Alegem domeniul pentru StealthWatch, acesta a fost specificat anterior, și portul 2055 – netflow obișnuit, dacă lucrați cu sFlow, portul 6343.
5. Configurarea Netflow Exporter
5.1. Pentru configurarea exportatorului Netflow, recomand cu tărie să consultați acest , aici sunt ghidurile principale pentru configurarea exportatorului Netflow pentru multe dispozitive: Cisco, Check Point, Fortinet.
5.2. În cazul nostru, repet, exportăm Netflow de pe gateway-ul Check Point. Configurarea exportatorului Netflow se realizează în tab-ul cu un nume similar din interfața web (Gaia Portal). Pentru aceasta, trebuie să apăsați „Add”, să specificați versiunea de Netflow și portul necesar.
6. Analiza funcționării StealthWatch
6.1. Accesând interfața web SMC, pe prima pagină Dashboards > Network Security, se vede că traficul a început!
6.2. Unele setări, cum ar fi gruparea gazdelor în funcție de grupuri, monitorizarea interfețelor individuale, încărcarea acestora, gestionarea colectoarelor și altele, se pot găsi doar în aplicația Java StealthWatch. Desigur, Cisco transferă treptat toate funcționalitățile în versiunea browser, iar în curând ne vom despărți de acest client desktop.
Pentru a instala aplicația, trebuie mai întâi să instalați (am instalat versiunea 8, deși se spune că este compatibilă până la 10) de pe site-ul oficial Oracle.
În colțul dreapta sus al interfeței web a consolei de management, pentru a descărca, trebuie să apăsați butonul „Desktop Client”.
Salvați și instalați clientul manual, java va protesta cel mai probabil, s-ar putea să fie necesar să adăugați gazda în excepțiile java.
Ca rezultat, se deschide un client destul de ușor de utilizat, unde este ușor să verificați încărcarea exportatorilor, interfețelor, atacurile și fluxurile acestora.
7. Managementul Central StealthWatch
7.1. În tab-ul Central Management se găsesc toate dispozitivele care fac parte din StealthWatch desfășurat, cum ar fi: FlowCollector, FlowSensor, UDP-Director și Endpoint Concentrator. Acolo puteți gestiona setările de rețea și serviciile dispozitivelor, licențele și dezactiva manual un dispozitiv.
Puteți accesa acest tab apăsând pe „rotița” din colțul dreapta sus și selectând Central Management.
7.2. Accesând Edit Appliance Configuration la FlowCollector, veți vedea setările SSH, NTP și alte setări de rețea referitoare la appliance. Pentru a accesa, trebuie să selectați Actions → Edit Appliance Configuration pentru dispozitivul dorit.
7.3. Managementul licențelor se poate găsi de asemenea în tab-ul Central Management > Manage Licences. Licențele trial în cazul cererii GVE sunt oferite pe 90 de zile.
Produsul este gata de utilizare! În partea următoare, vom analiza cum StealthWatch poate recunoaște atacurile și genera rapoarte.
Sursa: habr.com
