Zdravo, kolegi! Ko smo določili minimalne zahteve za namestitev StealthWatch v , lahko začnemo z namestitvijo izdelka.
1. Načini namestitve StealthWatch
Obstaja več načinov, kako se 'dotakniti' StealthWatch:
- – oblačna storitev za laboratorijske vaje;
- Cloud Based: – tukaj se Netflow z vaše naprave pošlje v oblak, kjer ga analizira programska oprema StealthWatch;
- On-premise POV () – način, ki sem ga izbral jaz, boste prejeli 4 OVF datoteke virtualnih strojev z vgrajenimi licencami za 90 dni, ki jih lahko namestite na namenskem strežniku v korporacijski omrežju.
Kljub številnim prenesenim virtualnim mašinam, za minimalno delovno konfiguracijo zadostujeta le 2: StealthWatch Management Console in FlowCollector. Vendar, če ni omrežne naprave, ki lahko izvozi Netflow na FlowCollector, je potrebno namestiti tudi FlowSensor, saj le-ta s tehnologijama SPAN/RSPAN omogoča zbiranje Netflow.
Kot laboratorijski sklop, kot sem že prej omenil, je lahko vaša resnična mreža, saj StealthWatch potrebuje le kopijo, ali bolje rečeno, izvleček kopije prometa. Na spodnji sliki je prikazana moja mreža, kjer bom na varnostnem prehodu konfiguriral Netflow Exporter in tako poslal Netflow na kolektor.
Za dostop do prihodnjih VM-ov, na vašem požarnem zidu, če ta obstaja, omogočite naslednje porte:
TCP 22 l TCP 25 l TCP 389 l TCP 443 l TCP 2393 l TCP 5222 l UDP 53 l UDP 123 l UDP 161 l UDP 162 l UDP 389 l UDP 514 l UDP 2055 l UDP 6343
Nekateri od njih so splošno znane storitve, drugi so rezervirani za storitve Cisco.
V mojem primeru sem preprosto namestil StealthWatch v isto omrežje kot Check Point, in ning pravil za dovoljenja ni bilo potrebno konfigurirati.
2. Namestitev FlowCollector na primeru VMware vSphere
2.1. Kliknite na Browse in izberite OVF datoteko. Po preverjanju dostopnosti virov, preidite v meni View, Inventory → Networking (Ctrl+Shift+N).
2.2. Na zavihku Networking izberemo v nastavitvah virtualnega stikala New Distributed port group.
2.3. Dajte ime, naj bo StealthWatchPortGroup, ostale nastavitve pa lahko naredite kot na zaslonu in kliknete Next.
2.4. Dokončajte ustvarjanje Port Group s klikom na Finish.
2.5. V ustvarjeni Port Group uredimo nastavitve tako, da z desno miškino tipko kliknemo na skupino vrat in izberemo Uredi nastavitve. Na zavihku Varnost nujno omogočimo »neobdelan način«, Promiscuous Mode → Sprejmi → V redu.
2.6. Kot primer uvažamo OVF FlowCollector, povezavo za prenos katerega je poslal inženir Cisco po GVE zahtevku. Z desno miškino tipko kliknete na gostitelja, na katerem nameravate namestiti VM, in izberete Namestitev OVF predloge. Kar zadeva dodeljen prostor, 50 GB bo »delovalo«, vendar za produkcijske razmere priporočamo dodelitev 200 GB.
2.7. Izberemo mapo, v kateri se nahaja OVF datoteka.
2.8. Kliknite »Naprej«.
2.9. Določimo ime in strežnik, kjer to namestimo.
2.10. Na koncu dobimo naslednjo sliko in kliknemo »Dokončaj«.
2.11. Izvedemo enake korake za namestitev StealthWatch Management Console.
2.12. Sedaj je potrebno določiti potrebna omrežja v vmesnikih, da bo FlowCollector lahko videl tako SMC kot naprave, s katerih bodo izvaženi Netflow.
3. Inicializacija StealthWatch Management Console
3.1. Ko vstopite v konzolo nameščene naprave SMCVE, boste videli prostor za vnos uporabniškega imena in gesla, privzeto sysadmin/lан1cope.
3.2. Pojdite na razdelek Upravljanje, določite IP naslov in druge omrežne parametre ter potrdite njihovo spremembo. Naprava se bo ponovno zagnala.
3.3. Pojdite na spletno vmesnik (po https na naslov, ki ste ga nastavili za SMC) in inicializirajte konzolo, uporabniško ime/geslo privzeto — admin/lан411cope.
P.S.: včasih se ne odpre v Google Chromu, Internet Explorer vedno deluje.
3.4. Obvezno spremenite gesla, določite DNS, NTP strežnike, domeno in še druge nastavitve. Nastavitve so intuitivne.
3.5. Po pritisku na gumb »Uporabi« se naprava ponovno zažene. Čez 5-7 minut se lahko ponovno povežete na to povezavo; upravljanje StealthWatch bo potekalo preko spletnega vmesnika.
4. Nastavitev FlowCollector
4.1. Pri kolektorju je postopek enak. Najprej v CLI določimo IP naslov, masko, domeno, nato se FC ponovno zažene. Potem se lahko povežete na spletni vmesnik na dodeljenem naslovu in opravite enako osnovno nastavitev. Zaradi podobnosti nastavitev so podrobni posnetki izpuščeni. Uporabniški podatki za prijavo so enaki.
4.2. Na predzadnjem mestu je treba določiti IP naslov SMC, v tem primeru bo konzola videla napravo, potrditev te nastavitve bo potrebno opraviti z vnosom uporabniških podatkov.
4.3. Izberite domeno za StealthWatch, določena je bila prej, in vrata. 2055 – obični Netflow, ako radite s sFlow, port 6343.
5. Konfiguracija Netflow Exportera
5.1. Za podešavanje Netflow eksportera snažno preporučujem da se obratite ovom , ovdje su osnovni vodiči za konfiguraciju Netflow eksportera za mnoge uređaje: Cisco, Check Point, Fortinet.
5.2. U našem slučaju, ponavljam, izvozimo Netflow sa Check Point prolaza. Podešavanje Netflow eksportera vrši se u slično nazvanoj kartici u veb-interfejsu (Gaia Portal). Za to treba pritisnuti «Add», odrediti verziju Netflow i potrebni port.
6. Analiza rada StealthWatch
6.1. Prelazeći u veb-interfejs SMC, na prvoj stranici Dashboards > Network Security vidi se da je saobraćaj krenuo!
6.2. Neke postavke, kao što su razdeljivanje hostova po grupama, praćenje pojedinačnih interfejsa, njihovo opterećenje, upravljanje kolektorima i drugo, mogu se naći samo u Java aplikaciji StealthWatch. Naravno, Cisco polako prebacuje svu funkcionalnost u pregledničku verziju i ubrzo ćemo se oprostiti od takvog desktop klijenta.
Za instalaciju aplikacije, prethodno treba instalirati (ja sam instalirao verziju 8, iako se govori da podržava do 10) sa zvanične stranice Oracle.
U gornjem desnom uglu veb-interfejsa konzole za upravljanje potrebno je pritisnuti dugme «Desktop Client» za preuzimanje.
Sačuvat ćete i instalirati klijenta prisilno, java će verovatno imati pritužbe na njega, moguće je da ćete morati da dodate host u java izuzetke.
Kao rezultat, otvara se prilično razumljiv klijent, u kojem je lako videti opterećenje eksportera, interfejsa, napada i njihovih tokova.
7. StealthWatch Central Management
7.1. U kartici Central Management nalaze se svi uređaji koji su deo razvučenog StealthWatch-a, kao što su: FlowCollector, FlowSensor, UDP-Director i Endpoint Concentrator. Tamo možete upravljati mrežnim postavkama i uslugama uređaja, licencama i ručno isključiti uređaj.
Možete preći u nju klikom na «zupčanik» u gornjem desnom uglu i izborom Central Management.
7.2. Prelazeći u Edit Appliance Configuration kod FlowCollector-a, videćete SSH, NTP i druge mrežne postavke koje se odnose direktno na appliance. Da biste prešli, treba odabrati Actions → Edit Appliance Configuration kod potrebnog uređaja.
7.3. Upravljanje licencama takođe možete naći u kartici Central Management > Manage Licences. Probne licence u slučaju GVE zahteva dobijaju se na 90 dana.
Izdelek je pripravljen za uporabo! V naslednjem delu bomo raziskali, kako StealthWatch lahko prepoznava napade in generira poročila.
Izvor: habr.com
