Dobrý deň, kolegovia! Po určení minimálnych požiadaviek na nasadenie StealthWatch v , môžeme začať nasadenie produktu.
1. Spôsoby nasadenia StealthWatch
Existuje niekoľko spôsobov, ako "vyskúšať" StealthWatch:
- – cloudová služba laboratórnych prác;
- Cloud Based: – tu sa Netflow z vášho zariadenia dostane do cloudu a tam ho softvér StealthWatch analyzuje;
- On-premise POV () – spôsob, ktorým som išiel ja, dostanete 4 OVF súbory virtuálnych strojov so vstavanými licenciami na 90 dní, ktoré môžete nasadiť na vyhradenom serveri v firemnej sieti.
Napriek množstvu stiahnutých virtuálnych strojov stačí pre minimálnu pracovnú konfiguráciu iba 2: StealthWatch Management Console a FlowCollector. Avšak ak nie je sieťové zariadenie, ktoré môže exportovať Netflow na FlowCollector, je potrebné nasadiť aj FlowSensor, pretože ten pomocou technológií SPAN/RSPAN umožňuje zbierať Netflow.
Ako laboratórny stánok, ako som už spomínal, môže slúžiť vaša skutočná sieť, pretože StealthWatch potrebuje iba kópiu, alebo presnejšie povedané, súhrn kópie prevádzky. Na obrázku nižšie je zobrazená moja sieť, kde na bezpečnostnom bráne nakonfigurujem Netflow Exporter a výsledkom bude, že budem posielať Netflow na zberateľ.
Pre prístup k budúcim VM by ste mali na vašom firewalle, ak existuje, povoliť nasledujúce porty:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Niektoré z nich sú verejne známe služby, niektoré sú rezervované pre služby Cisco.
V mojom prípade som jednoducho nasadil StealthWatch do tej istej siete, ako je Check Point, a nemuseli sme konfiguráciu povolení robiť.
2. Inštalácia FlowCollector na príklade VMware vSphere
2.1. Kliknite na Prehľadávať a vyberte OVF súbor. Po overení dostupnosti zdrojov prejdite do menu Zobraziť, Inventár → Siete (Ctrl+Shift+N).
2.2. Na karte Siete vyberáme v nastaveniach virtuálneho prepínača Nová distribuovaná portová skupina.
2.3. Zadajte názov, nech to je StealthWatchPortGroup, ostatné nastavenia môžete nastaviť ako na screenshotu a kliknite na Ďalej.
2.4. Dokončite vytvorenie Port Group tlačidlom Dokončiť.
2.5. Vytvorenú Port Group upravíme nastavenia kliknutím pravým tlačidlom myši na portovú skupinu a vyberieme Upraviť nastavenia. Na karte Bezpečnosť určite aktivujeme „nepriehľadný režim“, Promiscuous Mode → Akceptovať → OK.
2.6. Ako príklad importujeme OVF FlowCollector, odkaz na stiahnutie nám poslal inžinier Cisco po GVE žiadosti. Kliknutím pravým tlačidlom myši na hostiteľa, na ktorom plánujete nasadiť VM, vyberáme Nasadiť OVF šablónu. Pokiaľ ide o potrebné miesto, na 50 GB sa „vytvorí“, ale pre produkčné podmienky sa odporúča vyhradiť približne 200 gigabajtov.
2.7. Vyberáme priečinok, kde sa nachádza OVF súbor.
2.8. Klikneme na „Ďalej“.
2.9. Uvedieme meno a server, kde to nasadzujeme.
2.10. Nakoniec dostaneme nasledujúci obrázok a klikneme na „Dokončiť“.
2.11. Opakujeme rovnaké kroky pre nasadenie StealthWatch Management Console.
2.12. Teraz treba uviesť potrebné siete v rozhraniach, aby FlowCollector videl ako SMC, tak i zariadenia, z ktorých bude exportovaný Netflow.
3. Inicializácia StealthWatch Management Console
3.1. Po prechode do konzoly nainštalovanej mašiny SMCVE uvidíte miesto na zadanie prihlásenia a hesla, predvolené sysadmin/lani1cope.
3.2. Prejdeme do sekcie Správa, zadáme IP adresu a ďalšie sieťové parametre, potom potvrdíme ich zmenu. Zariadenie sa reštartuje.
3.3. Prejdeme do webového rozhrania (cez https na adresu, ktorú ste nastavili pre SMC) a inicializujeme konzolu, prihlásenie/heslo predvolené — admin/lani411cope.
P.S.: Niekedy sa v Google Chrome neotvorí, Explorer vždy pomôže.
3.4. Určite zmeníme heslá, nastavíme DNS, NTP servery, doménu a ďalšie. Nastavenia sú intuitívne jasné.
3.5. Po kliknutí na tlačidlo „Použiť“ sa zariadenie znova reštartuje. O 5-7 minút sa môžete pripojiť znova na túto adresu; správa StealthWatch sa bude vykonávať prostredníctvom webového rozhrania.
4. Nastavenie FlowCollector
4.1. S kolektorom je to rovnaké. Najskôr v CLI zadáme IP adresu, masku, doménu, potom FC reštartujeme. Potom sa môžete pripojiť k webovému rozhraniu na zadanú adresu a uskutočniť rovnaké základné nastavenie. Vzhľadom na to, že nastavenia sú podobné, podrobné snímky sú vynechané. Prihlasovacie údaje na prihlásenie rovnaké.
4.2. Na predposlednom bode je potrebné zadať IP adresu SMC, v takom prípade bude konzola vidieť zariadenie, potvrdiť túto nastavenie bude potrebné zadaním prihlasovacích údajov.
4.3. Vyberáme doménu pre StealthWatch, bola zadaná predtým, a port 2055 – bežný Netflow, ak pracujete s sFlow, port 6343.
5. Konfigurácia Netflow Exporter
5.1. Na nastavenie exportéra Netflow dôrazne odporúčam obrátiť sa na tento , tu sú hlavné príručky na konfiguráciu netflow exportéra pre mnohé zariadenia: Cisco, Check Point, Fortinet.
5.2. V našom prípade, opäť sa opakujem, exportujeme Netflow z brány Check Point. Nastavenie Netflow exportera sa vykonáva na podobne nazvanej karte v webovom rozhraní (Gaia Portal). Na to je potrebné kliknúť na „Add“, uviesť verziu Netflow a požadovaný port.
6. Analýza práce StealthWatch
6.1. Prejdete do webového rozhrania SMC, na prvej stránke Dashboards > Network Security je vidieť, že traffic začal prúdiť!
6.2. Niektoré nastavenia, ako napríklad rozdelenie hostiteľov do skupín, monitorovanie jednotlivých rozhraní, ich vyťaženie, správa zberníkov a ďalšie, môžete nájsť len v Java aplikácii StealthWatch. Samozrejme, Cisco pomaly presúva všetky funkcie do prehliadanej verzie a čoskoro sa od tohto desktopového klienta vzdať.
Na inštaláciu aplikácie je potrebné najprv nainštalovať (ja som nainštaloval verziu 8, hoci sa hovorí, že podporuje až 10) z oficiálnej stránky Oracle.
V pravom hornom rohu webového rozhrania konzoly správy je potrebné kliknúť na tlačidlo „Desktop Client“ na stiahnutie.
Uložíte a nainštalujete klienta manuálne, java na neho pravdepodobne bude nadávať, možno bude potrebné pridať hostiteľa do java výnimiek.
V dôsledku toho sa ukáže celkom zrozumiteľný klient, v ktorom je ľahké vidieť vyťaženosť exportérov, rozhraní, útoky a ich toky.
7. StealthWatch Central Management
7.1. Na karte Central Management sú všetky zariadenia, ktoré sú súčasťou nasadeného StealthWatch, ako: FlowCollector, FlowSensor, UDP-Director a Endpoint Concentrator. Tam môžete spravovať sieťové nastavenia a služby zariadení, licencie a manuálne vypnúť zariadenie.
Prejdite na ňu kliknutím na „ozubené kolo“ v pravom hornom rohu a výberom Central Management.
7.2. Prechádzajúc do Edit Appliance Configuration u FlowCollector, uvidíte nastavenia SSH, NTP a ďalšie sieťové nastavenia, ktoré sa priamo týkajú aplikačného zariadenia. Aby ste sa dostali ďalej, vyberte možnosti Actions → Edit Appliance Configuration u potrebného zariadenia.
7.3. Správa licencií sa dá tiež nájsť na karte Central Management > Manage Licences. Skúšobné licencie v prípade GVE požiadavky sú udelené na 90 dní.
Produkt je pripravený na použitie! V ďalšej časti sa pozrieme, ako môže StealthWatch rozpoznať útoky a generovať správy.
Zdroj: habr.com
