Leitfaden für die Admin-Benutzeroberfläche

Einführung in die ExtraHop Admin UI

Der Admin UI Guide enthält detaillierte Informationen zu den Administratorfunktionen und Funktionen von ExtraHop. Sensoren und Konsolen. Dieses Handbuch bietet einen Überblick über die globale Navigation und Informationen zu den Steuerelementen, Feldern und Optionen, die in der Benutzeroberfläche verfügbar sind.

Nachdem Sie Ihre bereitgestellt haben Sensor oder Konsole, siehe Checkliste für Sensor und Konsole nach der Bereitstellung.

Wir freuen uns über Ihr Feedback. Bitte teilen Sie uns mit, wie wir dieses Dokument verbessern können. Senden Sie Ihre Kommentare oder Vorschläge an documentation@extrahop.com.

Unterstützte Browser

Die folgenden Browser sind mit allen ExtraHop-Systemen kompatibel. Wenden Sie die von Ihrem Browser bereitgestellten Barrierefreiheits- und Kompatibilitätsfunktionen an, um über technische Hilfsmittel auf Inhalte zuzugreifen.

  • Firefox
  • Google Chrome
  • Microsoft Edge
  • Safari
Wichtig:Internet Explorer 11 wird nicht mehr unterstützt. Wir empfehlen Ihnen, die neueste Version aller unterstützten Browser zu installieren.

Status und Diagnose

Der Bereich Status und Diagnose enthält Kennzahlen zum allgemeinen Zustand Ihres ExtraHop-Systems.

Gesundheit

Auf der Seite Health finden Sie eine Sammlung von Messwerten, mit denen Sie den Betrieb Ihres ExtraHop-Systems überwachen können und die es dem ExtraHop-Support ermöglichen, bei Bedarf Systemfehler zu beheben.

System
Meldet die folgenden Informationen über die CPU-Auslastung des Systems und die Festplatte.
CPU-Benutzer
Der Prozentsatz der CPU-Auslastung, der dem ExtraHop-Systembenutzer zugeordnet ist.
CPU-System
Der Prozentsatz der CPU-Auslastung im Zusammenhang mit dem ExtraHop-System.
CPU im Leerlauf
Der Prozentsatz der CPU-Leerlaufzeit, der dem ExtraHop-System zugeordnet ist.
CPU-IO
Der Prozentsatz der CPU-Auslastung, der mit den I/O-Funktionen des ExtraHop-Systems verbunden ist.
Status der Brücke
Meldet die folgenden Informationen über die ExtraHop-Systembrückenkomponente.
VM RSS
Der verwendete physische Speicher des Bridge-Prozesses.
VM-Daten
Der verwendete virtuelle Speicher des Bridge-Prozess-Heaps.
Größe der virtuellen Maschine
Der gesamte verwendete virtuelle Speicher des Bridge-Prozesses.
Startzeit
Gibt die Startzeit für die ExtraHop-Systembrückenkomponente an.
Status erfassen
Meldet die folgenden Informationen über den Netzwerkaufzeichnungsstatus des ExtraHop-Systems.
VM RSS
Der verwendete physische Speicher des Netzwerkerfassungsprozesses.
VM-Daten
Der verwendete virtuelle Heap-Speicher für den Netzwerkerfassungsprozess.
Größe der virtuellen Maschine
Der gesamte verwendete virtuelle Speicher des Netzwerkerfassungsprozesses.
Startzeit
Die Startzeit für die ExtraHop-Netzwerkerfassung.
Status des Dienstes
Meldet den Status der ExtraHop-Systemdienste.
Ex-Benachrichtigungen
Der Zeitraum, in dem der ExtraHop-Systemwarndienst ausgeführt wurde.
verlängern
Die Zeit, in der der ExtraHop-Systemtrenddienst ausgeführt wurde.
exconfig
Die Zeit, in der der ExtraHop-Systemkonfigurationsdienst ausgeführt wurde.
Exportal
Die Zeit, in der der Webportaldienst des ExtraHop-Systems ausgeführt wurde.
Exshell
Die Zeit, in der der ExtraHop-System-Shell-Service ausgeführt wurde.
Schnittstellen
Meldet den Status der ExtraHop-Systemschnittstellen.
RX-Pakete
Die Anzahl der Pakete, die von der angegebenen Schnittstelle empfangen wurden das ExtraHop-System.
RX-Fehler
Die Anzahl der empfangenen Paketfehler auf dem angegebenen Schnittstelle.
RX-Drops
Die Anzahl der empfangenen Pakete, die vom angegebenen Wert verworfen wurden Schnittstelle.
TX-Pakete
Die Anzahl der von der angegebenen Schnittstelle übertragenen Pakete auf dem ExtraHop-System.
TX-Fehler
Die Anzahl der übertragenen Paketfehler auf dem angegebenen Schnittstelle.
TX Drops
Die Anzahl der übertragenen Pakete, die vom angegebenen Wert verworfen wurden Schnittstelle.
RX-Bytes
Die Anzahl der Byte, die von der angegebenen Schnittstelle auf dem ExtraHop-System.
TX-Bytes
Die Anzahl der Byte, die von der angegebenen Schnittstelle übertragen wurden das ExtraHop-System.
Partitionen
Meldet den Speicher, der Systemkomponenten für das ExtraHop-System zugewiesen wurde.
Name
Die Systemkomponenten, die eine Speicherpartition im NVRAM haben.
Optionen
Die Lese-Schreib-Optionen für die Systemkomponenten.
Größe
Die Partitionsgröße in Gigabyte, die der Systemkomponente zugewiesen ist.
Nutzung
Die Menge an Speicher, die derzeit von den Systemkomponenten verbraucht wird, als Menge und als Prozentsatz der gesamten Partition.

Audit-Protokoll

Das Audit-Log enthält Daten über den Betrieb Ihres ExtraHop-Systems, aufgeschlüsselt nach Komponenten. Das Audit-Log listet alle bekannten Ereignisse nach Zeitstempel in umgekehrter chronologischer Reihenfolge auf.

Wenn Sie ein Problem mit dem ExtraHop-System haben, können Sie im Audit-Log detaillierte Diagnosedaten einsehen, um festzustellen, was das Problem verursacht haben könnte.

Audit-Log-Daten an einen Remote-Syslog-Server senden

Das Audit-Log sammelt Daten über den Betrieb des ExtraHop-Systems, aufgeschlüsselt nach Komponenten. Das im System gespeicherte Protokoll hat eine Kapazität von 10.000 Einträgen, und Einträge, die älter als 90 Tage sind, werden automatisch entfernt. Sie können diese Einträge in den Administrationseinstellungen anzeigen oder die Audit-Log-Ereignisse zur Langzeitspeicherung, Überwachung und erweiterten Analyse an einen Syslog-Server senden. Alle protokollierten Ereignisse sind in der folgenden Tabelle aufgeführt.

Die folgenden Schritte zeigen Ihnen, wie Sie das ExtraHop-System so konfigurieren, dass Audit-Log-Daten an einen Remote-Syslog-Server gesendet werden.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Status und Diagnose auf Prüfprotokoll.
  3. Klicken Syslog-Einstellungen konfigurieren.
  4. Geben Sie im Feld Ziel die IP-Adresse des Remote-Syslog-Servers ein.
  5. Wählen Sie im Dropdownmenü Protokoll TCP oder UDP. Diese Option gibt das Protokoll an, über das die Informationen an Ihren Remote-Syslog-Server gesendet werden.
  6. Geben Sie im Feld Port die Portnummer für Ihren Remote-Syslog-Server ein. Standardmäßig ist dieser Wert auf 514 festgelegt.
  7. Klicken Einstellungen testen um zu überprüfen, ob Ihre Syslog-Einstellungen korrekt sind. Wenn die Einstellungen korrekt sind, sollten Sie in der Syslog-Log-Datei auf dem Syslog-Server einen Eintrag sehen, der dem folgenden ähnelt:
    Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1
  8. Klicken Speichern.
  9. Optional: Ändern Sie das Format von Syslog-Meldungen.
    Standardmäßig entsprechen Syslog-Meldungen nicht RFC 3164 oder RFC 5424. Sie können Syslog-Meldungen jedoch so formatieren, dass sie konform sind, indem Sie die laufende Konfiguration ändern.
    1. Klicken Admin.
    2. Klicken Config ausführen (ungespeicherte Änderungen).
    3. Klicken Konfiguration bearbeiten.
    4. Füge einen Eintrag hinzu unter auditlog_rsyslog wo der Schlüssel ist rfc_compliant_format und der Wert ist entweder rfc5424 oder rfc3164.
      Das auditlog_rsyslog Der Abschnitt sollte dem folgenden Code ähneln:
          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }
    5. Klicken Aktualisieren.
    6. Klicken Erledigt.
  10. Optional: Ändern Sie die Zeitzone, auf die in den Syslog-Zeitstempeln verwiesen wird.
    Standardmäßig verweisen Syslog-Zeitstempel auf die UTC-Zeit. Sie können Zeitstempel jedoch so ändern, dass sie auf die ExtraHop-Systemzeit verweisen, indem Sie die laufende Konfiguration ändern.
    1. Klicken Admin.
    2. Klicken Config ausführen (ungespeicherte Änderungen).
    3. Klicken Konfiguration bearbeiten.
    4. Füge einen Eintrag hinzu unter auditlog_rsyslog wo der Schlüssel ist syslog_use_localtime und der Wert ist true.
      Das auditlog_rsyslog Der Abschnitt sollte dem folgenden Code ähneln:
          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "syslog_use_localtime": true
          }
    5. Klicken Aktualisieren.
    6. Klicken Erledigt.

Nächste Maßnahme

Nachdem Sie bestätigt haben, dass Ihre neuen Einstellungen erwartungsgemäß funktionieren, behalten Sie Ihre Konfigurationsänderungen bei, indem Sie die laufende Konfigurationsdatei speichern.
Ereignisse im Auditprotokoll

Die folgenden Ereignisse auf einem ExtraHop-System generieren einen Eintrag im Audit-Log.

Kategorie Ereignis
Abmachungen
  • Eine EULA- oder POC-Vereinbarung wird vereinbart
API
  • Ein API-Schlüssel wird erstellt
  • Ein API-Schlüssel wird gelöscht
  • Ein Benutzer wird erstellt.
  • Ein Benutzer wurde geändert.
Sensormigration
  • Eine Sensormigration wird gestartet
  • Eine Sensormigration war erfolgreich
  • Eine Sensormigration ist fehlgeschlagen
Browsersitzungen
  • Eine bestimmte Browsersitzung wird gelöscht
  • Alle Browsersitzungen werden gelöscht
Cloud-Dienste
  • Der Status eines angeschlossenen Sensor wird abgerufen
Konsole
  • Ein Sensor wird mit einer Konsole verbunden
  • Ein Sensor wird von einer Konsole getrennt
  • Ein ExtraHop Recordstore oder Packetstore stellt eine Tunnelverbindung zu einer Konsole her.
  • Konsoleninformationen sind festgelegt
  • Ein Konsolen-Spitzname ist festgelegt
  • Einen Sensor aktivieren oder deaktivieren
  • Der Sensor wird aus der Ferne betrachtet
  • Eine Lizenz für einen Sensor wird von einer Konsole geprüft
  • Eine Lizenz für einen Sensor wird von einer Konsole festgelegt
Dashboards
  • Ein Dashboard wird erstellt
  • Ein Dashboard wird umbenannt
  • Ein Dashboard wird gelöscht
  • Ein Dashboard-Permalink, auch Shortcode genannt, wurde geändert
  • Die Optionen zum Teilen von Dashboards wurden geändert
Datenspeicher
  • Die Konfiguration des erweiterten Datenspeichers wurde geändert
  • Der Datenspeicher wird zurückgesetzt
  • Ein Datenspeicher-Reset wurde abgeschlossen
  • Anpassungen werden gespeichert
  • Anpassungen werden wiederhergestellt
  • Anpassungen werden gelöscht
Erkennungen
  • Ein Erkennungsstatus wird aktualisiert
  • Ein Erkennungsbeauftragter wird aktualisiert
  • Erkennungshinweise werden aktualisiert
  • Ein externes Ticket wird aktualisiert
  • Eine Optimierungsregel wird erstellt
  • Eine Optimierungsregel wird gelöscht
  • Eine Optimierungsregel wird geändert
  • Eine Beschreibung der Optimierungsregel wurde aktualisiert
  • Eine Optimierungsregel ist aktiviert
  • Eine Optimierungsregel ist deaktiviert
  • Eine Tuning-Regel wird erweitert
Ausnahmedateien
  • Eine Ausnahmedatei wird gelöscht
ExtraHop Recordstore Records
  • Alle ExtraHop Recordstore-Datensätze werden gelöscht
ExtraHop Plattenspeicher-Cluster
  • Ein neuer ExtraHop-Recordstore-Knoten wird initialisiert
  • Ein Knoten wird zu einem ExtraHop-Recordstore-Cluster hinzugefügt
  • Ein Knoten wird aus einem ExtraHop-Recordstore-Cluster entfernt
  • Ein Knoten tritt einem ExtraHop-Recordstore-Cluster bei
  • Ein Knoten verlässt einen ExtraHop-Recordstore-Cluster
  • Ein Sensor oder eine Konsole ist mit einem ExtraHop-Plattenspeicher verbunden
  • Ein Sensor oder eine Konsole ist von einem ExtraHop-Plattenspeicher getrennt
  • Ein ExtraHop-Recordstore-Knoten wurde entfernt oder fehlt, jedoch nicht über eine unterstützte Schnittstelle
ExtraHop Aktualisierungsservice
  • Eine Erkennungskategorie wird aktualisiert
  • Eine Erkennungsdefinition wird aktualisiert
  • Ein Erkennungsauslöser wird aktualisiert
  • Eine Ransomware-Definition wurde aktualisiert
  • Erkennungsmetadaten wurden aktualisiert
  • Der Inhalt der erweiterten Erkennung wurde aktualisiert
Firmware
  • Die Firmware wurde aktualisiert
Globale Richtlinien
  • Die globale Richtlinie für die Bearbeitungssteuerung von Gerätegruppe wurde aktualisiert
Integrationen
  • Eine Integration wird aktualisiert
Lizenz
  • Eine neue statische Lizenz wird angewendet
  • Die Lizenzserverkonnektivität wurde getestet
  • Ein Produktschlüssel ist auf dem Lizenzserver registriert
  • Eine neue Lizenz wird angewendet
Loggen Sie sich in das ExtraHop-System ein
  • Ein Login ist erfolgreich
  • Eine Anmeldung schlägt fehl
Melden Sie sich über SSH oder REST API an
  • Ein Login ist erfolgreich
  • Eine Anmeldung schlägt fehl
Module
  • Die Zugriffskontrolle für das NDR-Modul ist aktiviert
  • Die Zugriffskontrolle für das NPM-Modul ist aktiviert
Netzwerk
  • Eine Netzwerkschnittstellenkonfiguration wird bearbeitet
  • Der Hostname oder DNS Einstellung wurde geändert
  • Eine Netzwerkschnittstellenroute wurde geändert
Offline-Erfassung
  • Eine Offline-Capture-Datei wird geladen
PCAP
  • Eine Paketerfassungsdatei (PCAP) wird heruntergeladen
Fernzugriff
  • Der Fernzugriff für das ExtraHop Support Team ist aktiviert
  • Der Fernzugriff für das ExtraHop Support Team ist deaktiviert
  • Der Fernzugriff für ExtraHop Atlas Analysts ist aktiviert
  • Der Fernzugriff für ExtraHop Atlas Analysts ist deaktiviert
  • Der Fernzugriff für ExtraHop Support ist aktiviert
  • Der Fernzugriff für ExtraHop Support ist deaktiviert
RPCAP
  • Eine RPCAP-Konfiguration wurde hinzugefügt
  • Eine RPCAP-Konfiguration wird gelöscht
Konfiguration ausführen
  • Die laufende Konfigurationsdatei ändert sich
SAML-Identitätsanbieter
  • Ein Identitätsanbieter wird hinzugefügt
  • Ein Identitätsanbieter wird geändert
  • Ein Identity Provider wird gelöscht
SAML-Anmeldung
  • Ein Login ist erfolgreich
  • Eine Anmeldung schlägt fehl
SAML-Rechte
  • Eine Privilegienstufe wird gewährt
  • Eine Berechtigungsstufe wurde verweigert
SSL-Entschlüsselung
  • Ein SSL-Entschlüsselungsschlüssel wird gespeichert
SSL-Sitzungsschlüssel
  • Ein PCAP-Sitzungsschlüssel wird heruntergeladen
Support-Konto
  • Das Support-Konto ist deaktiviert
  • Das Support-Konto ist aktiviert
  • Der Support-SSH-Schlüssel wird neu generiert
Unterstützungsskript
  • Ein Standard-Support-Skript wird ausgeführt
  • Ein früheres Support-Skript-Ergebnis wird gelöscht
  • Ein Support-Skript wird hochgeladen
Syslog
  • Die Remote-Syslog-Einstellungen werden aktualisiert
System- und Servicestatus
  • Das System startet
  • Das System wird heruntergefahren
  • Das System wird neu gestartet
  • Der Bridge-, Capture- oder Portal-Prozess wird neu gestartet
  • Ein Systemdienst ist aktiviert (z. B. SNMP, Webshell, Management, SSH)
  • Ein Systemdienst ist deaktiviert (z. B. SNMP, Webshell, /management, SSH)
Systemzeit
  • Die Systemzeit ist eingestellt
  • Die Systemzeit wurde geändert
  • Die Systemzeit ist rückwärts eingestellt
  • NTP-Server sind eingerichtet
  • Die Zeitzone ist eingestellt
  • Eine manuelle NTP-Synchronisierung wird angefordert
Systembenutzer
  • Ein Benutzer wurde hinzugefügt
  • Benutzer-Metadaten werden bearbeitet
  • Ein Benutzer wird gelöscht
  • Ein Benutzerpasswort ist festgelegt
  • Ein anderer Benutzer als setup Benutzer versucht, das Passwort eines anderen Benutzers zu ändern
  • Ein Benutzerpasswort wird aktualisiert
Bedrohungsinformationen
  • Ein Bedrohungsübersicht wird archiviert
  • Ein Bedrohungsübersicht wird wiederhergestellt
ExtraHop Packetstore
  • Ein neuer ExtraHop-Packetstore wird initialisiert
  • Ein Sensor oder eine Konsole ist mit einem ExtraHop-Packetstore verbunden
  • Ein Sensor oder eine Konsole ist von einem ExtraHop-Packetstore getrennt
  • Ein ExtraHop-Packetstore wird zurückgesetzt
Tendenzen
  • Ein Trend wird zurückgesetzt
Auslöser
  • Ein Auslöser wird hinzugefügt
  • Ein Auslöser wird bearbeitet
  • Ein Auslöser wird gelöscht
Benutzergruppen
  • Eine lokale Benutzergruppe wird erstellt
  • Eine lokale Benutzergruppe wird gelöscht
  • Eine lokale Benutzergruppe ist aktiviert
  • Eine lokale Benutzergruppe ist deaktiviert

Fingerabdruck

Fingerabdrücke helfen dabei, Appliances vor Machine-in-the-Middle-Angriffen zu schützen, indem sie eine eindeutige Kennung bereitstellen, die beim Anschließen von ExtraHop-Appliances verifiziert werden kann.

Wenn Sie eine Explore- oder Trace-Appliance mit einer Discover-Appliance oder Command-Appliance verbinden, stellen Sie sicher, dass der angezeigte Fingerabdruck genau dem Fingerabdruck entspricht, der auf der Verbindungs - oder Kopplungsseite angezeigt wird.

Wenn die Fingerabdrücke nicht übereinstimmen, wurde die Kommunikation zwischen den Geräten möglicherweise abgefangen und verändert.

Ausnahmedateien

Ausnahmedateien sind eine Kerndatei der im Speicher gespeicherten Daten. Wenn Sie die Einstellung Ausnahmedatei aktivieren, wird die Kerndatei auf die Festplatte geschrieben, wenn das System unerwartet beendet oder neu gestartet wird. Diese Datei kann dem ExtraHop-Support helfen, das Problem zu diagnostizieren.

  • klicken Ausnahmedateien aktivieren oder Ausnahmedateien deaktivieren um das Speichern von Ausnahmedateien zu aktivieren oder zu deaktivieren.

Unterstützungsskripte

ExtraHop Support stellt möglicherweise ein Support-Skript bereit, das eine spezielle Einstellung anwenden, eine kleine Anpassung am ExtraHop-System vornehmen oder Hilfe beim Fernsupport oder bei erweiterten Einstellungen bieten kann. Die Administrationseinstellungen ermöglichen es Ihnen, Support-Skripte hochzuladen und auszuführen.

Führen Sie das Standard-Support-Skript aus

Das Standard-Supportskript sammelt Informationen über den Status des ExtraHop-Systems zur Analyse durch den ExtraHop-Support.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Status und Diagnose auf Unterstützungsskripte.
  3. klicken Standard-Support-Skript ausführen.
  4. klicken Lauf.
    Wenn das Skript abgeschlossen ist, Ergebnisse des Support-Skripts Seite erscheint.
  5. Klicken Sie auf den Namen des Diagnosesupportpakets, das Sie herunterladen möchten. Die Datei wird am Standard-Download-Speicherort auf Ihrem Computer gespeichert.
    Senden Sie diese Datei, normalerweise mit dem Namen diag-results-complete.expk, zum ExtraHop Support.

    Die .expk Die Datei ist verschlüsselt und der Inhalt ist nur für den ExtraHop-Support sichtbar. Sie können jedoch das herunterladen diag-results-complete.manifest Datei, um eine Liste der gesammelten Dateien anzuzeigen.

Führen Sie ein benutzerdefiniertes Support-Skript aus

Wenn Sie vom ExtraHop Support ein benutzerdefiniertes Support-Skript erhalten, gehen Sie wie folgt vor, um eine kleine Anpassung am System vorzunehmen oder erweiterte Einstellungen anzuwenden.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Status und Diagnose Abschnitt, klicken Unterstützungsskripte.
  3. klicken Benutzerdefiniertes Support-Skript ausführen.
  4. klicken Wählen Sie Datei, navigieren Sie zu dem Diagnosesupport-Skript, das Sie hochladen möchten, und klicken Sie dann auf Offen.
  5. klicken Upload um die Datei auf dem ExtraHop-System auszuführen.
    Der ExtraHop-Support bestätigt, dass das Support-Skript die gewünschten Ergebnisse erzielt hat.

Netzwerk-Einstellungen

Die Netzwerk-Einstellungen Dieser Abschnitt enthält Konfigurationseinstellungen für Ihr ExtraHop-System. Mit diesen Einstellungen können Sie einen Hostnamen festlegen, Benachrichtigungen konfigurieren und Verbindungen zu Ihrem System verwalten.

Stellen Sie eine Verbindung zu ExtraHop Cloud Services her

ExtraHop Cloud Services bietet über eine verschlüsselte Verbindung Zugriff auf Cloud-basierte Dienste von ExtraHop. Die Dienste, mit denen Sie verbunden sind, werden durch Ihre Systemlizenz bestimmt.

Nachdem die Verbindung hergestellt wurde, werden Informationen zu den verfügbaren Diensten auf der Seite ExtraHop Cloud Services angezeigt.
  • Der ExtraHop Machine Learning Service ermöglicht Erkennungen für Ihr ExtraHop-System. In Reveal (x) Enterprise können Sie reine Sicherheitserkennungen oder Sicherheits- und Leistungserkennungen aktivieren.
  • Reveal (x) Enterprise-Benutzer können Daten an den Machine Learning Service senden, indem sie ExtraHop Cloud Services in den Administrationseinstellungen aktivieren. Das System kann beispielsweise externe Klartext-IP-Adressen, Domainnamen und Hostnamen senden, die mit dem erkannten verdächtigen Verhalten in Verbindung stehen. Diese Einstellung ist in Reveal (x) 360 standardmäßig aktiviert und kann nicht deaktiviert werden. Sehen Sie die Häufig gestellte Fragen zur gemeinsamen Bedrohungsanalyse für weitere Informationen. Eine vollständige Liste der Datentypen, die an den ExtraHop Machine Learning Service gesendet werden, und Informationen darüber, wie die Daten zur Verbesserung der Bedrohungserkennung verwendet werden, finden Sie im Abschnitt Machine Learning der Überblick über Sicherheit, Datenschutz und Vertrauen bei ExtraHop.
  • Der ExtraHop Update Service ermöglicht automatische Updates von Ressourcen für das ExtraHop-System, z. B. von Ransomware-Paketen.
  • Mit ExtraHop Remote Access können Sie es Mitgliedern des ExtraHop-Kontoteams, ExtraHop Atlas-Analysten und dem ExtraHop-Support ermöglichen, sich mit Ihrem ExtraHop-System zu verbinden, um Hilfe bei der Konfiguration zu erhalten. Wenn Sie sich für den Atlas Remote Analysis Service angemeldet haben, können die Analysten von ExtraHop eine unvoreingenommene Analyse Ihrer Netzwerkdaten durchführen und über Bereiche in Ihrer IT-Infrastruktur berichten, in denen Verbesserungen vorgenommen werden können. Sehen Sie die Häufig gestellte Fragen zum Fernzugriff für weitere Informationen über Benutzer mit Fernzugriff.

Before you begin

  • Reveal (x) 360-Systeme werden automatisch mit ExtraHop Cloud Services verbunden. Möglicherweise müssen Sie jedoch den Zugriff über Netzwerk-Firewalls zulassen.
  • Sie müssen die entsprechende Lizenz auf dem ExtraHop-System anwenden, bevor Sie eine Verbindung zu den ExtraHop Cloud Services herstellen können. Sehen Sie die Häufig gestellte Fragen zur Lizenz für weitere Informationen.
  • Sie müssen eingerichtet haben oder System- und Zugriffsadministrationsrechte um auf die Administrationseinstellungen zuzugreifen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Netzwerkeinstellungen auf ExtraHop Cloud-Dienste .
  3. klicken Allgemeine Geschäftsbedingungen um den Inhalt zu lesen.
  4. Lesen Sie die Allgemeinen Geschäftsbedingungen und aktivieren Sie dann das Kontrollkästchen.
  5. klicken Stellen Sie eine Verbindung zu ExtraHop Cloud Services her.
    Nachdem Sie eine Verbindung hergestellt haben, wird die Seite aktualisiert und zeigt Status- und Verbindungsinformationen für jeden Dienst an.
  6. Optional: Aktivieren Sie im Bereich Machine Learning Service das Kontrollkästchen für Tragen Sie zum Machine Learning Service zur kollektiven Bedrohungsanalyse bei und wählen Sie dann eine der folgenden Optionen:
    • Externe IP-Adressen
    • Externe IP-Adressen, Domains und Hostnamen
Wenn die Verbindung fehlschlägt, liegt möglicherweise ein Problem mit Ihren Firewallregeln vor.

Konfigurieren Sie Ihre Firewall-Regeln

Wenn Ihr ExtraHop-System in einer Umgebung mit einer Firewall eingesetzt wird, müssen Sie den Zugriff auf ExtraHop Cloud Services öffnen. Für Reveal (x) 360-Systeme, die mit selbstverwalteten Systemen verbunden sind Sensoren, müssen Sie auch den Zugang zum ExtraHop Cloud Recordstore öffnen.

Offener Zugang zu Cloud-Diensten

Für den Zugriff auf ExtraHop Cloud Services benötigen Sie Sensoren muss in der Lage sein, DNS-Abfragen für *.extrahop.com aufzulösen und über die IP-Adresse, die Ihrer entspricht, auf TCP 443 (HTTPS) zuzugreifen Sensor Lizenz:

  • 35.161.154.247 (Portland, Vereinigte Staaten von Amerika)
  • 54.66.242.25 (Sydney, Australien)
  • 52.59.110.168 (Frankfurt, Deutschland)
Offener Zugang zu Cloud Recordstore

Für den Zugriff auf den ExtraHop Cloud Recordstore benötigen Sie Sensoren muss in der Lage sein, auf ausgehendes TCP 443 (HTTPS) zu diesen vollqualifizierten Domainnamen zuzugreifen:

  • bigquery.googleapis.com
  • bigquerystorage.googleapis.com
  • oauth2.googleapis.com
  • www.googleapis.com
  • www.mtls.googleapis.com
  • iamcredentials.googleapis.com

Sie können auch die öffentlichen Leitlinien von Google zu folgenden Themen lesen Berechnung möglicher IP-Adressbereiche für googleapis.com.

Zusätzlich zur Konfiguration des Zugriffs auf diese Domänen müssen Sie auch die globale Proxyserver-Einstellungen.

Stellen Sie über einen Proxy eine Verbindung zu ExtraHop Cloud Services her

Wenn Sie keine direkte Internetverbindung haben, können Sie versuchen, über einen expliziten Proxy eine Verbindung zu ExtraHop Cloud Services herzustellen.

Before you begin

Überprüfen Sie, ob Ihr Proxyanbieter so konfiguriert ist, dass er Machine-in-the-Middle (MITM) ausführt, wenn SSH über HTTP CONNECT zu localhost:22 getunnelt wird. ExtraHop Cloud Services stellt einen verschlüsselten inneren SSH-Tunnel bereit, sodass der Datenverkehr für die MITM-Inspektion nicht sichtbar ist. Es wird empfohlen, eine Sicherheitsausnahme zu erstellen und die MITM-Prüfung für diesen Datenverkehr zu deaktivieren.
Wichtig:Wenn Sie MITM auf Ihrem Proxy nicht deaktivieren können, müssen Sie die Zertifikatsvalidierung in der Konfigurationsdatei des ExtraHop-Systems deaktivieren, in der das ExtraHop-System ausgeführt wird. Weitere Informationen finden Sie unter Zertifikatsvalidierung umgehen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerk-Einstellungen Abschnitt, klicken Konnektivität.
  3. Klicken ExtraHop Cloud-Proxy aktivieren.
  4. Geben Sie den Hostnamen für Ihren Proxyserver ein, z. B. Proxyhost.
  5. Geben Sie den Port für Ihren Proxyserver ein, z. B. 8080.
  6. Optional: Geben Sie bei Bedarf einen Benutzernamen und ein Passwort für Ihren Proxyserver ein.
  7. Klicken Speichern.

Zertifikatsvalidierung umgehen

Einige Umgebungen sind so konfiguriert, dass verschlüsselter Datenverkehr das Netzwerk nicht ohne Überprüfung durch ein Gerät eines Drittanbieters verlassen kann. Dieses Gerät kann als SSL/TLS-Endpunkt fungieren, der den Datenverkehr entschlüsselt und erneut verschlüsselt, bevor die Pakete an ExtraHop Cloud Services gesendet werden.

Wenn eine Appliance über einen Proxyserver eine Verbindung zu ExtraHop Cloud Services herstellt und die Zertifikatsvalidierung fehlschlägt, deaktivieren Sie die Zertifikatsvalidierung und versuchen Sie erneut, die Verbindung herzustellen. Die durch die Authentifizierung und Verschlüsselung des ExtraHop-Systems gebotene Sicherheit stellt sicher, dass die Kommunikation zwischen Geräten und ExtraHop Cloud-Diensten nicht abgefangen werden kann.
Hinweis:Das folgende Verfahren setzt Vertrautheit mit der Änderung der laufenden ExtraHop-Konfigurationsdatei voraus.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Geräteeinstellungen Abschnitt, klicken Config ausführen.
  3. Klicken Konfiguration bearbeiten.
  4. Fügen Sie die folgende Zeile am Ende der laufenden Konfigurationsdatei hinzu:
    "hopcloud": { "verify_outer_tunnel_cert": false }
  5. Klicken Aktualisieren.
  6. Klicken Änderungen anzeigen und speichern.
  7. Überprüfen Sie die Änderungen und klicken Sie auf Speichern.
  8. Klicken Erledigt.

Konnektivität

Die Seite Konnektivität enthält Steuerelemente für Ihre Appliance-Verbindungen und Netzwerkeinstellungen.

Status der Schnittstelle
Auf physischen Appliances wird ein Diagramm der Schnittstellenverbindungen angezeigt, das je nach Portstatus dynamisch aktualisiert wird.
  • Der blaue Ethernet-Anschluss dient der Verwaltung
  • Ein schwarzer Ethernet-Anschluss weist auf einen lizenzierten und aktivierten Port hin, der derzeit nicht verfügbar ist.
  • Ein grüner Ethernet-Port weist auf einen aktiven, verbundenen Port hin
  • Ein grauer Ethernet-Anschluss weist auf einen deaktivierten oder nicht lizenzierten Port hin.
Netzwerk-Einstellungen
  • klicken Einstellungen ändern um einen Hostnamen für Ihre ExtraHop-Appliance hinzuzufügen oder DNS-Server hinzuzufügen.
Proxy-Einstellungen
  • Aktiviere eine globaler Proxy um eine Verbindung zu einer ExtraHop Command Appliance herzustellen
  • Aktiviere eine Cloud-Proxy um eine Verbindung zu ExtraHop Cloud Services herzustellen
Bond-Schnittstelleneinstellungen
  • Erstelle eine Bond-Schnittstelle um mehrere Schnittstellen zu einer logischen Schnittstelle mit einer einzigen IP-Adresse zusammenzufassen.
Schnittstellen
Zeigen Sie Ihre Verwaltungs- und Überwachungsoberflächen an und konfigurieren Sie sie. Klicken Sie auf eine beliebige Oberfläche, um die Einstellungsoptionen anzuzeigen.
Netskope-Einstellungen

Eine Schnittstelle konfigurieren

  1. In der Netzwerkeinstellungen Abschnitt, klicken Sie Konnektivität.
  2. In der Schnittstellen Klicken Sie im Abschnitt auf den Namen der Schnittstelle, die Sie konfigurieren möchten.
  3. Auf dem Netzwerkeinstellungen für die Schnittstelle <interface number> Seite, wählen Sie eine der folgenden Optionen aus Schnittstellenmodus Drop-down-Liste:
    Wahl Beschreibung
    Deaktiviert Die Schnittstelle ist deaktiviert.
    Überwachung (nur Empfang) Überwacht den Netzwerkverkehr.
    Verwaltung Verwaltet den ExtraHop-Sensor.
    Management + Flow-Ziel Verwaltet den ExtraHop-Sensor und erfasst den Verkehr, der von einem Flussnetz.
    Hinweis:Wenn Sie aktivieren NetFlow auf dem EDA 1100 müssen Sie Interface 2 deaktivieren. Diese Sensoren können NetFlow- und Wire-Daten nicht gleichzeitig verarbeiten.
    Geschäftsleitung + RPCAP/ERSPAN/VXLAN/GENEVE Target Verwaltet den ExtraHop-Sensor und erfasst den von einer Paketweiterleitung weitergeleiteten Verkehr, ERSPAN*, VXLAN** oder GENEVE***.
    Während die 10-GbE-Management+-Erfassungsschnittstellen auf diesem Sensor Verwaltungsfunktionen mit Geschwindigkeiten von 10 Gbit/s ausführen können, ist die Verarbeitung von Datenverkehr wie ERSPAN, VXLAN und GENEVE auf 1 Gbit/s begrenzt.
    Hinweis:In Umgebungen mit asymmetrischem Routing neben den Hochleistungsschnittstellen gelangen Ping-Antworten möglicherweise nicht an den Absender zurück.
    Leistungsstarkes ERSPAN/VXLAN/GENEVE-Target Erfasst den von ERSPAN*, VXLAN** oder GENEVE*** weitergeleiteten Verkehr. In diesem Schnittstellenmodus kann der Port mehr als 1 Gbit/s verarbeiten. Stellen Sie diesen Schnittstellenmodus ein, wenn der ExtraHop-Sensor über einen 10-GbE-Anschluss verfügt. Für diesen Schnittstellenmodus müssen Sie nur eine IPv4-Adresse konfigurieren.
    *Das ExtraHop-System unterstützt die folgenden ERSPAN-Implementierungen:
    • ERSPAN Typ I
    • ERSPAN Typ II
    • ERSPAN Typ III
    • Transparente Ethernet-Bridging. ERSPAN-ähnliche Kapselung, die häufig in virtuellen Switch-Implementierungen wie VMware VDS und Open vSwitch zu finden ist.

    **Virtual Extensible LAN (VXLAN) -Pakete werden auf dem UDP-Port 4789 empfangen.

    ***Generic Network Virtualization Encapsulation (GENEVE) -Pakete werden auf dem UDP-Port 6081 empfangen. Informationen zur Konfiguration von geneve-gekapseltem Datenverkehr, der von einem AWS Gateway Load Balancer (GWLB) weitergeleitet wird, der als VPC Traffic Mirroring-Ziel fungiert, finden Sie in AWS-Dokumentation.

    Hinweis:Für Bereitstellungen von Amazon Web Services (AWS) mit einer Schnittstelle müssen Sie auswählen Geschäftsleitung + RPCAP/ERSPAN/VXLAN/GENEVE Target für Interface 1. Wenn Sie zwei Schnittstellen konfigurieren, müssen Sie auswählen Geschäftsleitung + RPCAP/ERSPAN/VXLAN/GENEVE Target für Interface 1 und Geschäftsleitung + RPCAP/ERSPAN/VXLAN/GENEVE Target für Interface 2.
    Hinweis:Bei Azure-Bereitstellungen unterstützen einige Instanzen, auf denen ältere NICs ausgeführt werden, den Hochleistungs-ERSPAN-/VXLAN-/GENEVE-Zielmodus möglicherweise nicht.
  4. Optional: Wählen Sie eine Schnittstellengeschwindigkeit aus. Automatisch aushandeln ist standardmäßig ausgewählt. Sie sollten jedoch manuell eine Geschwindigkeit auswählen, wenn sie von Ihrem Sensor, Netzwerk-Transceiver und Netzwerk-Switch unterstützt wird.
    • Automatisch aushandeln
    • 10 Gbit/s
    • 25 Gbit/s
    • 40 Gbit/s
    • 100 Gbit/s
    Wichtig:Wenn Sie die Schnittstellengeschwindigkeit ändern auf Automatisch aushandeln, möglicherweise müssen Sie den Sensor neu starten, bevor die Änderung wirksam wird.
  5. Optional: Wählen Sie einen FEC-Typ (Forward Error Correction). Wir empfehlen Auto-Negotiate, was für die meisten Umgebungen optimal ist.

    Automatisch aushandeln: Aktiviert automatisch entweder RS-FEC oder Firecode FEC oder deaktiviert FEC basierend auf den Funktionen der verbundenen Schnittstellen.

    RS-FEC: Aktiviert immer Reed-Solomon FEC.

    Firecode: Aktiviert immer Firecode (FC) FEC, auch bekannt als BaseR FEC.

    Deaktiviert: Deaktiviert FEC.

  6. DHCPv4 ist standardmäßig aktiviert. Wenn Ihr Netzwerk DHCP nicht unterstützt, können Sie das löschen DHCPv4 Kontrollkästchen, um DHCP zu deaktivieren, und geben Sie dann eine statische IP-Adresse, eine Netzmaske und ein Standard-Gateway ein.
    Hinweis:Nur eine Schnittstelle sollte mit einem Standard-Gateway konfiguriert werden. Statische Routen konfigurieren wenn Ihr Netzwerk Routing über mehrere Gateways erfordert.
  7. Konfigurieren Sie den TCP-Health-Check-Port. Diese Einstellung ist nur auf Hochleistungsschnittstellen konfigurierbar und ist erforderlich, wenn GENEVE-Verkehr von einem AWS Gateway Load Balancer (GWLB) aufgenommen wird. Der Wert der Portnummer muss mit dem in AWS konfigurierten Wert übereinstimmen. Weitere Informationen finden Sie unter Weiterleiten von geneve-gekapseltem Datenverkehr von einem AWS Gateway Load Balancer.
  8. Optional: Aktivieren Sie IPv6.
    Weitere Informationen zur Konfiguration von IPv6 finden Sie unter IPv6 für eine Schnittstelle aktivieren.
  9. Optional: Manuelles Hinzufügen von Routen.
  10. Klicken Sie Speichern.
Schnittstellendurchsatz

ExtraHop Sensor Die Modelle EDA 6100, EDA 8100 und EDA 9100 sind für die Erfassung von Datenverkehr ausschließlich über 10GbE-Ports optimiert.

Die Aktivierung der 1-GbE-Schnittstellen für die Überwachung des Datenverkehrs kann sich je nach ExtraHop auf die Leistung auswirken Sensor. Sie können diese zwar optimieren Sensoren Um den Datenverkehr sowohl an den 10-GbE-Ports als auch an den drei 1-GbE-Ports ohne Verwaltungszugang gleichzeitig zu erfassen, empfehlen wir, dass Sie sich an den ExtraHop-Support wenden, um Unterstützung zu erhalten, um einen verringerten Durchsatz zu vermeiden.

Hinweis:Die Sensoren EDA 6200, EDA 8200, EDA 9200 und EDA 10200 sind nicht anfällig für einen reduzierten Durchsatz, wenn Sie 1GbE-Schnittstellen für die Überwachung des Datenverkehrs aktivieren.
ExtraHop Fühler Durchsatz Einzelheiten
VON 910 Standarddurchsatz von 40 Gbit/s Wenn die 1-GbE-Schnittstellen, die nicht zur Verwaltung gehören, deaktiviert sind, können Sie bis zu vier der 10-GbE-Schnittstellen für einen kombinierten Durchsatz von bis zu 40 Gbit/s verwenden.
VON 810 Standarddurchsatz von 20 Gbit/s Wenn die 1-GbE-Schnittstellen, die nicht zur Verwaltung gehören, deaktiviert sind, können Sie entweder eine oder beide der 10-GbE-Schnittstellen verwenden, um einen kombinierten Durchsatz von bis zu 20 Gbit/s zu erzielen.
VON 610 Standarddurchsatz von 10 Gbit/s Wenn die 1-GbE-Schnittstellen, die nicht zur Verwaltung gehören, deaktiviert sind, beträgt der maximale kombinierte Gesamtdurchsatz 10 Gbit/s.
VON 310 Standarddurchsatz von 3 Gbit/s Keine 10GbE-Schnittstelle
VON 100 Standarddurchsatz von 1 Gbit/s Keine 10GbE-Schnittstelle
Stellen Sie eine statische Route ein

Before you begin

Sie müssen DHCPv4 deaktivieren, bevor Sie eine statische Route hinzufügen können.
  1. Auf dem Oberfläche bearbeiten Seite, stellen Sie sicher, dass IPv4-Adresse und Netzmaske Felder sind vollständig und gespeichert, und klicken Sie auf Routen bearbeiten.
  2. In der Route hinzufügen Abschnitt, geben Sie einen Netzwerkadressbereich in CIDR-Notation in das Netzwerk Feld und IPv4-Adresse in der Über IP Feld und dann klicken Hinzufügen.
  3. Wiederholen Sie den vorherigen Schritt für jede Route, die Sie hinzufügen möchten.
  4. klicken Speichern.
IPv6 für eine Schnittstelle aktivieren
  1. In der Netzwerk-Einstellungen Abschnitt, klicken Konnektivität.
  2. In der Schnittstellen Klicken Sie im Abschnitt auf den Namen der Schnittstelle, die Sie konfigurieren möchten.
  3. Auf dem Netzwerkeinstellungen für die Schnittstelle <interface number> Seite, wählen IPv6 aktivieren.
    Die IPv6-Konfigurationsoptionen werden unten angezeigt IPv6 aktivieren.
  4. Optional: Konfigurieren Sie IPv6-Adressen für die Schnittstelle.
    • Um IPv6-Adressen automatisch über DHCPv6 zuzuweisen, wählen Sie DHCPv6 aktivieren.
      Hinweis:Wenn diese Option aktiviert ist, wird DHCPv6 zur Konfiguration der DNS-Einstellungen verwendet.
    • Um IPv6-Adressen automatisch über die automatische Konfiguration von statusfreien Adressen zuzuweisen, wählen Sie eine der folgenden Optionen aus Automatische Konfiguration von statusfreien Adressen Liste:
      MAC-Adresse verwenden
      Konfiguriert die Appliance für die automatische Zuweisung von IPv6-Adressen auf der Grundlage der MAC-Adresse der Appliance.
      Verwenden Sie eine stabile Privatadresse
      Konfiguriert die Appliance so, dass sie automatisch private IPv6-Adressen zuweist, die nicht auf Hardwareadressen basieren. Diese Methode ist in RFC 7217 beschrieben.
    • Um manuell eine oder mehrere statische IPv6-Adressen zuzuweisen, geben Sie die Adressen in das Feld Statische IPv6-Adressen Feld.
  5. Um die Appliance in die Lage zu versetzen, Informationen zum rekursiven DNS-Server (RDNSS) und zur DNS-Suchliste (DNSSL) entsprechend den Routerankündigungen zu konfigurieren, wählen Sie RDNSS/DNSSL.
  6. klicken Speichern.

Globaler Proxyserver

Wenn Ihre Netzwerktopologie einen Proxyserver erfordert, damit Ihr ExtraHop-System kommunizieren kann, entweder mit einem Konsole oder mit anderen Geräten außerhalb des lokalen Netzwerks können Sie Ihr ExtraHop-System so einrichten, dass es eine Verbindung zu einem Proxy-Server herstellt, den Sie bereits in Ihrem Netzwerk haben. Für den globalen Proxyserver ist keine Internetverbindung erforderlich.

Hinweis:Pro ExtraHop-System kann nur ein globaler Proxyserver konfiguriert werden.

Füllen Sie die folgenden Felder aus und klicken Sie auf Speichern um einen globalen Proxy zu aktivieren.

Hostname : Der Hostname oder die IP-Adresse für Ihren globalen Proxyserver.

Hafen : Die Portnummer für Ihren globalen Proxyserver.

Nutzername : Der Name eines Benutzers, der privilegierten Zugriff auf Ihren globalen Proxyserver hat.

Passwort : Das Passwort für den oben angegebenen Benutzer.

ExtraHop Cloud-Proxy

Wenn Ihr ExtraHop-System nicht über eine direkte Internetverbindung verfügt, können Sie über einen Proxy-Server, der speziell für die Konnektivität von ExtraHop-Cloud-Diensten vorgesehen ist, eine Verbindung zum Internet herstellen . Pro System kann nur ein Proxy konfiguriert werden.

Füllen Sie die folgenden Felder aus und klicken Sie auf Speichern um einen Cloud-Proxy zu aktivieren.

Hostname : Der Hostname oder die IP-Adresse für Ihren Cloud-Proxyserver.

Hafen : Die Portnummer für Ihren Cloud-Proxyserver.

Nutzername : Der Name eines Benutzers, der Zugriff auf Ihren Cloud-Proxyserver hat.

Passwort : Das Passwort für den oben angegebenen Benutzer.

Bond-Schnittstellen

Sie können mehrere Schnittstellen auf Ihrem ExtraHop-System zu einer einzigen logischen Schnittstelle zusammenfügen, die über eine IP-Adresse für die kombinierte Bandbreite der Mitgliedsschnittstellen verfügt. Bonding-Schnittstellen ermöglichen einen größeren Durchsatz mit einer einzigen IP-Adresse. Diese Konfiguration wird auch als Link-Aggregation, Port-Channeling, Link-Bündelung, EtherNet/Netzwerk/NIC-Bonding oder NIC-Teaming bezeichnet. Bond-Schnittstellen können nicht in den Überwachungsmodus versetzt werden.

Hinweis:Wenn Sie die Einstellungen der Bond-Schnittstelle ändern, verlieren Sie die Verbindung zu Ihrem ExtraHop-System. Sie müssen Änderungen an Ihrer Netzwerk-Switch-Konfiguration vornehmen, um die Konnektivität wiederherzustellen. Die erforderlichen Änderungen hängen von Ihrem Switch ab. Wenden Sie sich an den ExtraHop-Support, um Unterstützung zu erhalten, bevor Sie eine Bond-Schnittstelle erstellen.
  • Bonding ist nur auf Management- oder Management +-Schnittstellen konfigurierbar.
  • Kanalisierung von Häfen auf Ports zur Verkehrsüberwachung wird von den ExtraHop-Sensoren unterstützt.

Schnittstellen, die als Mitglieder einer Bond-Schnittstelle ausgewählt wurden, sind nicht mehr unabhängig voneinander konfigurierbar und werden angezeigt als Deaktiviert (Bondmitglied) im Abschnitt Schnittstellen der Konnektivitätsseite. Nachdem eine Bond-Schnittstelle erstellt wurde, können Sie keine weiteren Mitglieder hinzufügen oder vorhandene Mitglieder löschen. Die Bond-Schnittstelle muss zerstört und neu erstellt werden.

Erstellen Sie eine Bond-Schnittstelle

Sie können eine Bond-Schnittstelle mit mindestens einem Schnittstellenmitglied und bis zu der Anzahl von Mitgliedern erstellen, die für die Bindung verfügbar sind.

  1. klicken Bond-Schnittstelle erstellen.
  2. Konfigurieren Sie die folgenden Optionen:

    Mitglieder: Aktivieren Sie das Kontrollkästchen neben jeder Schnittstelle, die Sie in das Bonding einbeziehen möchten. Es werden nur Ports angezeigt, die derzeit für eine Bond-Mitgliedschaft verfügbar sind.

    Einstellungen übernehmen von: Wählen Sie die Schnittstelle mit den Einstellungen aus, die Sie auf die Bond-Schnittstelle anwenden möchten. Die Einstellungen für alle nicht ausgewählten Schnittstellen gehen verloren.

    Art der Anleihe: Geben Sie an, ob eine statische oder eine dynamische Verbindung über IEEE 802.3ad Link Aggregation (LACP) erstellt werden soll.

    Hash-Richtlinie: Geben Sie die Hash-Richtlinie an. Die Schicht 3+4 Die Richtlinie gleicht die Verteilung des Datenverkehrs gleichmäßiger auf die Schnittstellen aus. Diese Richtlinie entspricht jedoch nicht vollständig den 802.3ad-Standards. Die Schicht 2+3 Die Richtlinie verteilt den Datenverkehr weniger gleichmäßig und entspricht den 802.3ad-Standards.

  3. klicken Erstellen.
Aktualisieren Sie die Seite, um die anzuzeigen Bond-Schnittstellen Abschnitt. Jedes Bond-Interface-Mitglied, dessen Einstellungen nicht in der Einstellungen übernehmen von Drop-down-Menüs werden angezeigt als Deaktiviert ( Bondmitglied) in der Schnittstellen Abschnitt.
Einstellungen der Bond-Schnittstelle ändern

Nachdem eine Bond-Schnittstelle erstellt wurde, können Sie die meisten Einstellungen so ändern, als ob es sich bei der Bond-Schnittstelle um eine einzelne Schnittstelle handeln würde.

  1. In der Netzwerk-Einstellungen Abschnitt, klicken Konnektivität.
  2. In der Bond-Schnittstellen Klicken Sie im Abschnitt auf die Bond-Schnittstelle, die Sie ändern möchten.
  3. Auf dem Netzwerkeinstellungen für Bond Interface Seite <interface number>, ändern Sie die folgenden Einstellungen nach Bedarf:

    Mitglieder : Die Schnittstellenmitglieder der Bond-Schnittstelle. Mitglieder können nicht geändert werden, nachdem eine Bond-Schnittstelle erstellt wurde. Wenn Sie die Mitglieder ändern müssen, müssen Sie die Bond-Schnittstelle zerstören und neu erstellen.

    Bond-Modus: Geben Sie an, ob eine statische oder eine dynamische Verbindung über IEEE 802.3ad Link Aggregation (LACP) erstellt werden soll.

    Schnittstellenmodus : Der Modus der Bond-Mitgliedschaft. Eine Bond-Schnittstelle kann sein Verwaltung oder Management+RPCAP/ERSPAN-Ziel nur.

    DHCPv4 aktivieren : Wenn DHCP aktiviert ist, wird automatisch eine IP-Adresse für die Bond-Schnittstelle abgerufen.

    Hash-Richtlinie: Geben Sie die Hash-Richtlinie an. Die Schicht 3+4 Die Richtlinie sorgt für eine gleichmäßigere Verteilung des Datenverkehrs auf die Schnittstellen, entspricht jedoch nicht vollständig den 802.3ad-Standards. Die Schicht 2+3 Die Richtlinie verteilt den Datenverkehr weniger gleichmäßig, entspricht jedoch den 802.3ad-Standards.

    IPv4-Adresse : Die statische IP-Adresse der Bond-Schnittstelle. Diese Einstellung ist nicht verfügbar, wenn DHCP aktiviert ist.

    Netzmaske : Die Netzwerk-Netzmaske für die Bond-Schnittstelle.

    Tor : Die IP-Adresse des Netzwerk-Gateways.

    Strecken : Die statischen Routen für die Bond-Schnittstelle. Diese Einstellung ist nicht verfügbar, wenn DHCP aktiviert ist.

    IPv6 aktivieren : Aktivieren Sie die Konfigurationsoptionen für IPv6.

  4. klicken Speichern.
Zerstöre eine Bond-Schnittstelle

Wenn eine Bond-Schnittstelle zerstört wird, kehren die einzelnen Schnittstellenmitglieder der Bond-Schnittstelle zur unabhängigen Schnittstellenfunktionalität zurück. Eine Mitgliedsschnittstelle wird ausgewählt, um die Schnittstelleneinstellungen für die Bond-Schnittstelle beizubehalten, und alle anderen Mitgliedsschnittstellen sind deaktiviert. Wenn keine Mitgliedsschnittstelle ausgewählt wurde, um die Einstellungen beizubehalten, gehen die Einstellungen verloren und alle Mitgliedsschnittstellen sind deaktiviert.

  1. In der Netzwerk-Einstellungen Abschnitt, klicken Konnektivität.
  2. In der Bereich Bond-Schnittstellen, klicken Sie auf das Rote X neben der Schnittstelle, die Sie zerstören möchten.
  3. Auf dem Zerstöre die Bond-Schnittstelle <interface number>Seite, wählen Sie die Mitgliederschnittstelle aus, auf die Sie die Einstellungen der Bond-Schnittstelle verschieben möchten. Nur die Mitgliedsschnittstelle, die ausgewählt wurde, um die Bond-Schnittstelleneinstellungen beizubehalten, bleibt aktiv, und alle anderen Mitgliedsschnittstellen sind deaktiviert.
  4. klicken Zerstören.

Netskope-Einstellungen

Diese Integration ermöglicht es Ihnen, ExtraHop-Sensoren so zu konfigurieren, dass sie Pakete von Ihrer Netskope-Lösung aufnehmen, um Bedrohungen zu erkennen, Geräte zu erkennen und zu überwachen und Einblicke in den Datenverkehr zu gewinnen.

Before you begin

Wichtig:Die Reveal (x) -Integration mit Netskope Intelligent Security Service Edge (SSE) steht derzeit nur Teilnehmern des Netskope Cloud TAP Early Access Programms zur Verfügung. Wenn Sie mehr über diese Integration erfahren und benachrichtigt werden möchten, sobald sie öffentlich verfügbar ist, wenden Sie sich an Ihr ExtraHop-Kundenbetreuungsteam.
  • Ihr Reveal (x) -System muss mit einem ExtraHop-Sensor mit Firmware-Version 9.4 oder höher verbunden sein.
  • Ihr ExtraHop-Sensor darf nur für die Aufnahme von Netskope-Paketen vorgesehen sein.
  • Du musst mindestens eine Schnittstelle konfigurieren auf Ihrem ExtraHop-Sensor; alle Schnittstellen müssen einen Modus spezifizieren , der GENEVE-Kapselung beinhaltet.
  • Du musst TAP-Modus konfigurieren in Ihrer Netskope-Umgebung.
  1. Melden Sie sich über https://<extrahop-hostname-or-IP-address>/admin bei den Administrationseinstellungen des Sensor an.
  2. Klicken Sie im Bereich Netzwerkeinstellungen auf Konnektivität.
  3. Wählen Sie im Bereich Netskope-Einstellungen Netskope-Paketaufnahme aktivieren .
  4. klicken Speichern.

Nächste Maßnahme

  • Auf der Seite Assets können Sie suche nach diesem Sensor um den Verkehr und die anhand der Netskope-Daten beobachteten Erkennungen einzusehen.
  • Loggen Sie sich auf dem verbundenen Gerät in die Administrationseinstellungen ein Enthülle (x) Enterprise oder Enthüllen (x) 360 Konsole zur Überprüfung des Status der in Netskope integrierten Sensoren.

Flow-Netzwerke

Sie müssen die Netzwerkschnittstelle und die Porteinstellungen auf dem ExtraHop-System konfigurieren, bevor Sie NetFlow- oder sFlow-Daten aus Remote-Flow-Netzwerken (Flow-Exportern) sammeln können. Flow-Netzwerke können auf Reveal (x) Enterprise-Systemen nicht konfiguriert werden. Das ExtraHop-System unterstützt die folgenden Flow-Technologien: Cisco NetFlow Version 5 (v5) und Version 9 (v9), AppFlow, IPFIX und sFlow.

Zusätzlich zur Konfiguration des ExtraHop-Systems müssen Sie Ihre Netzwerkgeräte so konfigurieren, dass sie sFlow- oder NetFlow-Verkehr senden. Schlagen Sie in der Dokumentation Ihres Anbieters nach oder sehen Sie sich ein Beispiel an Cisco-Konfigurationen im Anhang.

Erfassen Sie den Datenverkehr von NetFlow- und sFlow-Geräten

Sie müssen die Netzwerkschnittstellen- und Porteinstellungen auf dem ExtraHop-System konfigurieren, bevor Sie NetFlow- oder sFlow-Daten aus Remote-Flow-Netzwerken (Flow-Exportern) sammeln können. Flow-Netzwerke können auf Reveal (x) Enterprise-Systemen nicht konfiguriert werden. Das ExtraHop-System unterstützt die folgenden Flow-Technologien: Cisco NetFlow v5 und v9, AppFlow, IPFIX und sFlow.

Hinweis:Informationen zur virtuellen NetFlow-Sensor-Appliance EFC 1292v finden Sie unter Stellen Sie den ExtraHop EFC 1292v NetFlow Sensor bereit.

Sie müssen sich als Benutzer anmelden mit Rechte für die System- und Zugriffsverwaltung um die folgenden Schritte abzuschließen.

Konfigurieren Sie die Schnittstelle auf Ihrem ExtraHop-System
Zusätzlich zur Konfiguration des ExtraHop-Systems müssen Sie Ihre Netzwerkgeräte so konfigurieren, dass sie sFlow- oder NetFlow-Verkehr senden. Schlagen Sie in der Dokumentation Ihres Anbieters nach oder sehen Sie sich das Beispiel an Cisco-Konfigurationen am Ende dieses Dokuments. Beachten Sie, dass Cisco ASA-Firewalls mit NetFlow Secure Event Logging (NSEL) nicht unterstützt werden.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerkeinstellungen Abschnitt, klicken Sie Konnektivität.
  3. Klicken Sie im Abschnitt Schnittstellen auf den Namen der Schnittstelle, die die Flow-Daten empfangen soll.
  4. Aus dem Schnittstellenmodus Drop-down-Liste, wählen Management + Flow-Ziel.
    Hinweis:Der EDA 1100v muss entweder für Durchflussdaten oder wire data konfiguriert werden, da dieser Sensor Durchflussdaten und wire data nicht gleichzeitig verarbeiten kann. Wenn der Sensor für Durchflussdaten konfiguriert ist, müssen Sie den Überwachungsanschluss auf einstellen Deaktiviert.
  5. Wenn DHCPv4 aktivieren ist ausgewählt, klicken Sie Speichern.
    Andernfalls konfigurieren Sie die verbleibenden Netzwerkeinstellungen und klicken Sie dann auf Speichern.
Konfigurieren Sie den Flow-Typ und den UDP-Port
  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. In der Netzwerkeinstellungen Abschnitt, klicken Sie Flow-Netzwerke.
  3. Im Abschnitt Ports, von der Hafen Feld, geben Sie die UDP-Portnummer ein.
    Der Standardport für Net Flow ist 2055, und der Standardport für sFlow ist 6343. Sie können je nach Bedarf weitere Ports für Ihre Umgebung hinzufügen.
    Hinweis:Die Portnummern müssen 1024 oder höher sein
  4. Aus dem Art des Flusses Drop-down-Menü, wählen NetFlow oder sFlow.
    Wählen Sie für AppFlow-Verkehr NetFlow.
  5. Klicken Sie auf das Plus-Symbol (+), um den Port hinzuzufügen.
  6. Speichern Sie die laufende Konfigurationsdatei, um Ihre Änderungen beizubehalten, indem Sie auf Änderungen ansehen und speichern oben auf der Flow Networks-Seite.
  7. Klicken Sie Speichern.
Fügen Sie die ausstehenden Flow-Netzwerke hinzu

Sie können jetzt ausstehende Flow-Netzwerke hinzufügen.

Before you begin

Sie müssen sich als Benutzer anmelden mit Rechte für die System- und Zugriffsadministration um die folgenden Schritte abzuschließen.
  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. In der Netzwerkeinstellungen Abschnitt, klicken Sie Flow-Netzwerke.
  3. Klicken Sie im Abschnitt Pending Flow Networks auf Flow-Netzwerk hinzufügen.
  4. Geben Sie im Feld Flussnetz ID einen Namen zur Identifizierung dieses Flow-Netzwerks ein.
  5. Wählen Sie den Automatische Aufzeichnungen Checkbox, um Datensätze aus diesem Flussnetz an einen verbundenen Recordstore zu senden.
  6. Wählen Sie den SNMP-Polling aktivieren Kontrollkästchen, um SNMP-Polling zu aktivieren.
  7. Wenn Sie SNMP-Polling aktivieren, wählen Sie im Dropdownmenü SNMP-Anmeldeinformationen eine der folgenden Optionen aus:
    • Von CIDR erben. Wenn Sie diese Option auswählen, werden die SNMP-Anmeldeinformationen auf der Grundlage der Einstellungen für gemeinsame SNMP-Anmeldeinformationen angewendet.
    • Benutzerdefinierte Anmeldedaten. Wählen Sie v1, v2 oder v3 aus der Dropdownliste SNMP-Version aus, und konfigurieren Sie dann die verbleibenden Einstellungen für den jeweiligen Abfragetyp.
  8. Klicken Sie Speichern.
Das Flussnetz wird in der Tabelle Genehmigte Flow-Netzwerke angezeigt. Wenn Sie das Flussnetz nicht sehen, können Sie es manuell hinzufügen, indem Sie auf Flow Network hinzufügen in der Zugelassene Flow-Netzwerke Abschnitt und Vervollständigung der Informationen wie oben beschrieben.
Konfigurierte Flow-Netzwerke anzeigen

Nachdem Sie Ihre Flow-Netzwerke konfiguriert haben, melden Sie sich beim ExtraHop-System an, um die integrierten Diagramme anzusehen und Einstellungen und Konfigurationen zu ändern.

  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. klicken Vermögenswerte, und klicken Sie dann auf Netzwerke.
  3. Klicken Sie auf den Dropdown-Pfeil neben dem Namen des Flussnetz, um eine Liste der Flow-Schnittstellen und ihrer Attribute anzuzeigen.
  4. Aktivieren Sie das Kontrollkästchen neben dem Namen des Flussnetz oder der Schnittstelle.
    In der oberen Leiste können Sie ein Diagramm erstellen, einen Auslöser zuweisen, eine Alarm zuweisen, die Flussschnittstelle umbenennen und die Schnittstellengeschwindigkeit festlegen.
    Hinweis:Jeder NetFlow-Datensatz enthält den Schnittstellenindex (ifIndex) der Berichtsschnittstelle. Die Schnittstellentabelle (ifTable) wird dann vom ExtraHop-System abgefragt, um die Schnittstellengeschwindigkeit (ifSpeed) zu ermitteln.
  5. Klicken Sie auf den Namen des Flussnetz oder die Flussschnittstelle, um die integrierten Diagramme auf den Übersichtsseiten anzuzeigen.
    Auf den Übersichtsseiten können Sie auf die Regionen und Diagramme klicken und sie einem neuen oder vorhandenen Dashboard hinzufügen.

Cisco NetFlow-Geräte konfigurieren

Die folgenden Beispiele für die grundlegende Cisco-Router-Konfiguration für NetFlow. NetFlow wird pro Schnittstelle konfiguriert. Wenn NetFlow auf der Schnittstelle konfiguriert ist, werden IP-Paketflussinformationen in das ExtraHop-System exportiert.

Wichtig:NetFlow nutzt den SNMP ifIndex-Wert, um Eingangs- und Ausgangsschnittstelleninformationen in Flow-Datensätzen darzustellen. Um die Konsistenz der Schnittstellenberichte zu gewährleisten, aktivieren Sie die SNMP ifIndex-Persistenz auf Geräten, die NetFlow an das ExtraHop-System senden. Weitere Informationen zur Aktivierung der SNMP ifIndex-Persistenz auf Ihren Netzwerkgeräten finden Sie in der vom Gerätehersteller bereitgestellten Konfigurationsanleitung.

Weitere Informationen zur Konfiguration von NetFlow auf Cisco Switches finden Sie in der Dokumentation zu Ihrem Cisco Router oder auf der Cisco-Website unter www.cisco.com.

Konfigurieren Sie einen Exporter auf dem Cisco Nexus-Switch

Definieren Sie einen Flow-Exporter, indem Sie das Exportformat, das Protokoll und das Ziel angeben.

  1. Melden Sie sich bei der Switch-Befehlszeilenschnittstelle an und führen Sie die folgenden Befehle aus.
  2. Rufen Sie den globalen Konfigurationsmodus auf.
    config t
  3. Erstellen Sie einen Fluss Exporter und wechseln Sie in den Fluss Exporter-Konfigurationsmodus.
    flow exporter <name>
    Zum Beispiel:
    flow exporter Netflow-Exporter-1
  4. (Optional) Geben Sie eine Beschreibung ein.
    description <string>
    Zum Beispiel:
    description Production-Netflow-Exporter
  5. Legen Sie die IPv4- oder IPv6-Zieladresse für den Exporter fest.
    destination <eda_mgmt_ip_address>
    Zum Beispiel:
    destination 192.168.11.2
  6. Geben Sie die Schnittstelle an, die benötigt wird, um den NetFlow-Collector am konfigurierten Ziel zu erreichen.
    source <interface_type> <number>
    Zum Beispiel:
    source ethernet 2/2
  7. Geben Sie die NetFlow-Exportversion an.
    version 9
Konfiguration von Cisco Switches über die Cisco IOS CLI
  1. Melden Sie sich bei der Cisco IOS-Befehlszeilenschnittstelle an und führen Sie die folgenden Befehle aus.
  2. Rufen Sie den globalen Konfigurationsmodus auf.
    config t
  3. Geben Sie die Schnittstelle an, und wechseln Sie dann in den Schnittstellenkonfigurationsmodus.
    • Cisco Router der Serie 7500:
      interface <type> <slot>/<port-adapter>/<port>
      Zum Beispiel:
      interface fastethernet 0/1/0
    • Cisco Router der Serie 7200:
      interface <type> <slot>/<port>
      Zum Beispiel:
      interface fastethernet 0/1
  4. Aktivieren Sie NetFlow.
    ip route-cache flow
  5. NetFlow-Statistiken exportieren, wobei <ip-address> ist die Management + Flow Target-Schnittstelle auf dem ExtraHop-System und <udp-port> ist die konfigurierte Collector-UDP-Portnummer.
    ip flow-export <ip-address> <udp-port> version 5

Richten Sie gemeinsam genutzte SNMP-Anmeldeinformationen für Ihre NetFlow- oder sFlow-Netzwerke ein

Wenn Sie SNMP-Polling in Ihrer Flow-Netzwerkkonfiguration aktivieren, müssen Sie die Anmeldedaten angeben, mit denen Sie das Netzwerkgerät abfragen können. Die SNMP-Authentifizierungsanmeldeinformationen gelten für alle Flow-Netzwerke in einem CIDR-Block und werden automatisch auf jedes erkannte Flussnetz angewendet, sofern keine benutzerdefinierten Anmeldedaten konfiguriert sind.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerk-Einstellungen Abschnitt, klicken Flow-Netzwerke.
  3. In der Geteilte SNMP-Anmeldeinformationen Abschnitt, klicken SNMP-Anmeldeinformationen hinzufügen.
  4. Geben Sie den IPv4-CIDR-Block in das APFELWEIN Feld. Geben Sie beispielsweise 10.0.0.0/8 um eine beliebige IP-Adresse abzugleichen, die mit 10 beginnt oder 10,10.0/16 um eine beliebige IP-Adresse abzugleichen, die mit 10.10 beginnt. Sie können eine IP-Adresse nicht so konfigurieren, dass sie dem gesamten Datenverkehr entspricht.
  5. Wählen v1, v2c, oder v3 von der SNMP-Version Drop-down-Liste und füllen Sie dann die verbleibenden Felder aus.
  6. klicken Speichern.
Manuelles Aktualisieren der SNMP-Informationen
Sie können Daten bei Bedarf vom SNMP-Agenten auf einem Flow-Netzwerkgerät abfragen und abrufen. Anstatt darauf zu warten, dass nach jeder Konfigurationsänderung eine automatische Abfrage erfolgt, um zu bestätigen, dass die Änderung korrekt ist (die automatische Abfrage erfolgt alle 24 Stunden), können Sie sofort eine Abfrage durchführen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie in der Spalte Aktionen für das genehmigte Flussnetz auf Umfrage.
    Das ExtraHop-System fragt nach den folgenden Informationen ab:
    • Der Systemname des SNMP-Agenten. Diese Kennung wird per SNMP dem Flussnetz zugewiesen. OID: 1.3.6.1.2.1.1.5.0.
    • Der Schnittstellenname jeder Schnittstelle auf dem SNMP-Agent. Diese Identifikatoren gelten für jede Flussschnittstelle im Flussnetz. OID: 1.3.6.1.2.1.2.2.1.2.
    • Die Schnittstellengeschwindigkeit jeder Schnittstelle auf dem SNMP-Agenten. OID: 1.3.6.1.2.1.2.2.1.5 und 1.3.6.1.2.1.31.1.1.1.15.

Benachrichtigungen

Das ExtraHop-System kann Benachrichtigungen über konfigurierte Warnmeldungen per E-Mail, SNMP-Traps und Syslog-Exporten an Remoteserver senden. Wenn eine E-Mail-Benachrichtigungsgruppe angegeben ist, werden E-Mails an die Gruppen gesendet, die der Alarm zugewiesen sind.

E-Mail-Einstellungen für Benachrichtigungen konfigurieren

Sie müssen einen E-Mail-Server und einen Absender konfigurieren, bevor das ExtraHop-System Warnmeldungen oder geplante Dashboard-Berichte senden kann.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerk-Einstellungen Abschnitt, klicken Benachrichtigungen.
  3. klicken E-Mail-Server und Absender.
  4. In der SMTP-Server Feld, geben Sie die IP-Adresse oder den Hostnamen für den SMTP-Mail-Ausgangsserver ein. Der SMTP-Server sollte der vollqualifizierte Domänenname (FQDN) oder die IP-Adresse eines Postausgangsservers sein, auf den vom ExtraHop-System aus zugegriffen werden kann. Wenn der DNS-Server eingerichtet ist, kann der SMTP-Server ein FQDN sein, andernfalls müssen Sie eine IP-Adresse eingeben.
  5. In der SMTP-Anschluss Feld, geben Sie die Portnummer für die SMTP-Kommunikation ein. Port 25 ist der Standardwert für SMTP und Port 465 ist der Standardwert für SSL/TLS-verschlüsseltes SMTP.
  6. Wählen Sie eine der folgenden Verschlüsselungsmethoden aus der Dropdownliste Verschlüsselung aus:
    • Keine. Die SMTP-Kommunikation ist nicht verschlüsselt.
    • SSL/TLS. Die SMTP-Kommunikation wird über das Secure Socket Layer/Transport Layer Security-Protokoll verschlüsselt.
    • STARTTLS. Die SMTP-Kommunikation wird über STARTTLS verschlüsselt.
  7. In der Adresse des Absenders der Warnung Feld, geben Sie die E-Mail-Adresse für den Absender der Benachrichtigung ein.
    Hinweis:Die angezeigte Absenderadresse kann vom SMTP-Server geändert werden. Beim Senden über einen Google SMTP-Server wird die Absender-E-Mail beispielsweise in den für die Authentifizierung angegebenen Benutzernamen statt in die ursprünglich eingegebene Absenderadresse geändert.
  8. Optional: Wählen Sie den SSL-Zertifikate validieren Kontrollkästchen, um die Zertifikatsvalidierung zu aktivieren. Wenn Sie diese Option auswählen, wird das Zertifikat auf dem Remote-Endpunkt anhand der vom Trusted Certificates Manager angegebenen Stammzertifikatsketten validiert. Beachten Sie, dass der in dem vom SMTP-Server vorgelegte Zertifikat angegebene Hostname mit dem in Ihrer SMTP-Konfiguration angegebenen Hostnamen übereinstimmen muss, da andernfalls die Überprüfung fehlschlägt. Darüber hinaus müssen Sie auf der Seite Vertrauenswürdige Zertifikate konfigurieren, welchen Zertifikaten Sie vertrauen möchten. Weitere Informationen finden Sie unter Fügen Sie Ihrem ExtraHop-System ein vertrauenswürdiges Zertifikat hinzu
  9. In der Absenderadresse melden Feld, geben Sie die E-Mail-Adresse ein, die für das Senden der Nachricht verantwortlich ist. Dieses Feld ist nur relevant, wenn geplante Dashboard-Berichte von einer Command-Appliance oder Reveal (x) 360 gesendet werden.
  10. Wählen Sie den SMTP-Authentifizierung aktivieren Kontrollkästchen und geben Sie dann die Anmeldedaten für das SMTP-Server-Setup in das Nutzername und Passwort Felder.
  11. Optional: klicken Einstellungen testen, geben Sie Ihre E-Mail-Adresse ein, und klicken Sie dann auf Senden. Sie sollten eine E-Mail-Nachricht mit dem Betreff erhalten ExtraHop Test Email.
  12. klicken Speichern.

Nächste Maßnahme

Nachdem Sie sich vergewissert haben, dass Ihre neuen Einstellungen erwartungsgemäß funktionieren, können Sie Ihre Konfigurationsänderungen bei Systemneustarts und Systemabschaltungen beibehalten, indem Sie die Running Config-Datei speichern.

Eine E-Mail-Benachrichtigungsgruppe konfigurieren

Fügen Sie einer Gruppe eine Liste mit E-Mail-Adressen hinzu und wählen Sie dann die Gruppe aus, wenn Sie die E-Mail-Einstellungen für eine Alarm oder einen geplanten Dashboard-Bericht konfigurieren. Sie können zwar einzelne E-Mail-Adressen angeben, E-Mail-Gruppen sind jedoch eine effektive Möglichkeit, Ihre Empfängerliste zu verwalten.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerkeinstellungen Abschnitt, klicken Sie Benachrichtigungen.
  3. klicken E-Mail-Benachrichtigungsgruppen.
  4. klicken Gruppe hinzufügen.
  5. In der Informationen zur Gruppe Abschnitt, konfigurieren Sie die folgenden Informationen:

    Name: Geben Sie einen Namen für die E-Mail-Gruppe ein.

    Benachrichtigungen zur Systemintegrität: Aktivieren Sie dieses Kontrollkästchen, wenn Sie Systemspeicherwarnungen an die E-Mail-Gruppe senden möchten. Diese Benachrichtigungen werden unter den folgenden Bedingungen generiert:

    • Ein virtuelles Laufwerk befindet sich in einem heruntergestuften Zustand.
    • Eine physische Festplatte befindet sich in einem heruntergekommenen Zustand.
    • Eine physische Festplatte weist eine steigende Anzahl von Fehlern auf.
    • Für Firmware-, Datenspeicher- oder Paketerfassungsdaten fehlt eine erforderliche Festplattenpartition.

  6. In der E-Mail-Adressen Textfeld, geben Sie die E-Mail-Adressen der Empfänger ein, die die an diese Gruppe gesendeten E-Mails erhalten sollen. E-Mail-Adressen können eine pro Zeile eingegeben oder durch ein Komma, Semikolon oder Leerzeichen getrennt werden. E-Mail-Adressen werden nur überprüft für [Name] @ [firma] . [Domäne] Formatvalidierung. Dieses Textfeld muss mindestens eine E-Mail-Adresse enthalten, damit die Gruppe gültig ist.
  7. Klicken Sie Speichern.

Einstellungen konfigurieren, um Benachrichtigungen an einen SNMP-Manager zu senden

Der Status des Netzwerk kann über das Simple Network Management Protocol (SNMP) überwacht werden. SNMP sammelt Informationen, indem es Geräte im Netzwerk abfragt oder SNMP-fähige Geräte Warnmeldungen an SNMP-Managementstationen senden. SNMP-Communities definieren die Gruppe, zu der Geräte und Verwaltungsstationen gehören, auf denen SNMP ausgeführt wird , und geben an, wohin Informationen gesendet werden. Der Community-Name identifiziert die Gruppe.

Hinweis:Die meisten Unternehmen verfügen über ein etabliertes System zur Erfassung und Anzeige von SNMP-Traps an einem zentralen Ort, das von ihren Betriebsteams überwacht werden kann. Beispielsweise werden SNMP-Traps an einen SNMP-Manager gesendet, und die SNMP-Managementkonsole zeigt sie an.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerkeinstellungen Abschnitt, klicken Sie Benachrichtigungen.
  3. Unter Benachrichtigungen, klicken SNMP.
  4. Auf dem SNMP-Einstellungen Seite, in der SNMP-Monitor Feld, geben Sie den Hostnamen für den SNMP-Trap-Empfänger ein. Es können mehrere Namen eingegeben werden, getrennt durch Kommas.
  5. In der SNMP-Gemeinschaft Feld, geben Sie den Namen der SNMP-Community ein.
  6. In der SNMP-Anschluss Geben Sie in das Feld die SNMP-Portnummer für Ihr Netzwerk ein, die vom SNMP-Agenten verwendet wird, um auf den Quellport im SNMP-Manager zu antworten.
    Der Standard-Antwortport ist 162.
  7. klicken Einstellungen testen um zu überprüfen, ob Ihre SNMP-Einstellungen korrekt sind. Wenn die Einstellungen korrekt sind, sollte in der SNMP-Protokolldatei auf dem SNMP-Server ein Eintrag angezeigt werden, der dem folgenden ähnelt:
    Connection from UDP: [192.0.2.0]:42164->[ 192.0.2.255]:162

    Wo 192.0.2.0 ist die IP-Adresse Ihres ExtraHop-Systems und 192.0.2.255 ist die IP-Adresse des SNMP-Servers.

  8. Klicken Sie Speichern.
Laden Sie die ExtraHop SNMP MIB herunter

SNMP stellt keine Datenbank mit Informationen bereit, die ein SNMP-überwachtes Netzwerk meldet. SNMP-Informationen werden durch Verwaltungsinformationsdatenbanken (MIBs) von Drittanbietern definiert, die die Struktur der gesammelten Daten beschreiben.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Gehe zum Netzwerk-Einstellungen Abschnitt und Klick Benachrichtigungen.
  3. Unter Benachrichtigungen, klicken SNMP.
  4. Unter SNMP-MIB, klicken Sie auf ExtraHop SNMP MIB herunterladen.
    Die Datei wird normalerweise am Standard-Download-Speicherort für Ihren Browser gespeichert.
Extrahieren Sie die ExtraHop-Lieferantenobjekt-OID

Bevor Sie ein Gerät mit SNMP überwachen können, benötigen Sie den Sysobject-ID, das eine OID enthält, bei der es sich um die vom Hersteller gemeldete Identität des Gerät handelt.

Die SNMP Vendor Object ID (OID) für das ExtraHop-System lautet iso.3.6.1.4.1.32015. Sie können diesen Wert auch extrahieren mit snmpwalk.
  1. Melden Sie sich an der Befehlszeilenschnittstelle auf Ihrer Management-Workstation an.
  2. Extrahieren Sie die OID, wobei ip-adresse ist die IP-Adresse für Ihr ExtraHop-System:
    In diesem Beispiel fragen Sie mit Sysobject-ID:

    snmpwalk -v 2c -c öffentlich < ip-adresse> SNMPv2-MIB: :SysobjectID

    Eine Antwort ähnlich diesem Beispiel zeigt:

    SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.32015
    In diesem Beispiel fragen Sie mit der OID ab:

    snmpwalk -v 2c -c öffentlich < ip-adresse> 1.3.6.1.2.1.1.2

    Eine Antwort ähnlich diesem Beispiel zeigt:

    SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.32015 

Systembenachrichtigungen an einen Remote-Syslog-Server senden

Mit der Syslog-Exportoption können Sie Warnungen von einem ExtraHop-System an jedes Remote-System senden, das Syslog-Eingaben zur Langzeitarchivierung und Korrelation mit anderen Quellen empfängt.

Für jedes ExtraHop-System kann nur ein Remote-Syslog-Server konfiguriert werden.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerk-Einstellungen Abschnitt, klicken Benachrichtigungen.
  3. Geben Sie im Feld Ziel die IP-Adresse des Remote-Syslog-Servers ein.
  4. Wählen Sie im Dropdownmenü Protokoll TCP oder UDP. Diese Option gibt das Protokoll an, über das die Informationen an Ihren Remote-Syslog-Server gesendet werden.
  5. Geben Sie im Feld Port die Portnummer für Ihren Remote-Syslog-Server ein. Standardmäßig ist dieser Wert auf 514 festgelegt.
  6. Klicken Einstellungen testen um zu überprüfen, ob Ihre Syslog-Einstellungen korrekt sind. Wenn die Einstellungen korrekt sind, sollten Sie in der Syslog-Log-Datei auf dem Syslog-Server einen Eintrag sehen, der dem folgenden ähnelt:
    Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1
  7. Klicken Speichern.
  8. Optional: Ändern Sie das Format von Syslog-Meldungen.
    Standardmäßig entsprechen Syslog-Meldungen nicht RFC 3164 oder RFC 5424. Sie können Syslog-Meldungen jedoch so formatieren, dass sie konform sind, indem Sie die laufende Konfigurationsdatei ändern.
    1. Klicken Admin.
    2. Klicken Config ausführen (ungespeicherte Änderungen).
    3. Klicken Konfiguration bearbeiten.
    4. Füge einen Eintrag hinzu unter syslog_notification wo der Schlüssel ist rfc_compliant_format und der Wert ist entweder rfc5424 oder rfc3164.
      Das syslog_notification Der Abschnitt sollte dem folgenden Code ähneln:
          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }
    5. Klicken Aktualisieren.
    6. Klicken Erledigt.
  9. Optional: Ändern Sie die Zeitzone, auf die in den Syslog-Zeitstempeln verwiesen wird.
    Standardmäßig verweisen Syslog-Zeitstempel auf die UTC-Zeit. Sie können Zeitstempel jedoch so ändern, dass sie auf die ExtraHop-Systemzeit verweisen, indem Sie die laufende Konfigurationsdatei ändern.
    1. Klicken Admin.
    2. Klicken Config ausführen (ungespeicherte Änderungen).
    3. Klicken Konfiguration bearbeiten.
    4. Füge einen Eintrag hinzu unter syslog_notification wo der Schlüssel ist syslog_use_localtime und der Wert ist true.
      Das syslog_notification Der Abschnitt sollte dem folgenden Code ähneln:
          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "syslog_use_localtime": true
          }
    5. Klicken Aktualisieren.
    6. Klicken Erledigt.

Nächste Maßnahme

Nachdem Sie sich vergewissert haben, dass Ihre neuen Einstellungen erwartungsgemäß funktionieren, behalten Sie Ihre Konfigurationsänderungen bei Systemneustart- und Shutdown-Ereignissen bei, indem Sie die laufende Konfigurationsdatei speichern.

SSL Zertifikat

SSL-Zertifikate bieten eine sichere Authentifizierung für das ExtraHop-System.

Sie können anstelle eines von einer Zertifizierungsstelle signierten Zertifikats ein selbstsigniertes Zertifikat für die Authentifizierung angeben. Beachten Sie jedoch, dass ein selbstsigniertes Zertifikat einen Fehler in der Client Browser, der meldet, dass die Signaturzertifizierungsstelle unbekannt ist. Der Browser stellt eine Reihe von Bestätigungsseiten bereit, um dem Zertifikat zu vertrauen, obwohl das Zertifikat selbst signiert ist. Selbstsignierte Zertifikate können auch die Leistung beeinträchtigen, indem sie das Zwischenspeichern in einigen Browsern verhindern. Wir empfehlen Ihnen, von Ihrem ExtraHop-System aus eine Anfrage zum Signieren von Zertifikaten zu erstellen und stattdessen das signierte Zertifikat hochzuladen.

Wichtig:Beim Ersetzen eines SSL-Zertifikats wird der Webserverdienst neu gestartet. Tunnelverbindungen von Discover-Appliances zu Command-Appliances gehen verloren, werden dann aber automatisch wieder hergestellt.

Laden Sie ein SSL-Zertifikat hoch

Sie müssen eine PEM-Datei hochladen, die sowohl einen privaten Schlüssel als auch entweder ein selbstsigniertes Zertifikat oder ein Zertifikat einer Zertifizierungsstelle enthält.

Hinweis:Die.pem-Datei darf nicht passwortgeschützt sein.
Hinweis:Du kannst auch Automatisieren Sie diese Aufgabe über die REST-API.
  1. In der Netzwerk-Einstellungen Abschnitt, klicken SSL Zertifikat.
  2. klicken Zertifikate verwalten um den Abschnitt zu erweitern.
  3. klicken Wählen Sie Datei und navigieren Sie zu dem Zertifikat, das Sie hochladen möchten.
  4. klicken Offen.
  5. klicken hochladen.

Generieren Sie ein selbstsigniertes Zertifikat

  1. In der Netzwerk-Einstellungen Abschnitt, klicken SSL Zertifikat.
  2. klicken Zertifikate verwalten um den Abschnitt zu erweitern.
  3. klicken Erstellen Sie ein selbstsigniertes SSL-Zertifikat basierend auf dem Hostnamen .
  4. Auf dem Zertifikat generieren Seite, klick OK um das selbstsignierte SSL-Zertifikat zu generieren.
    Hinweis:Der Standard-Hostname ist extrahop.

Erstellen Sie eine Zertifikatsignieranforderung von Ihrem ExtraHop-System aus

Eine Certificate Signing Request (CSR) ist ein codierter Textblock, der an Ihre Zertifizierungsstelle (CA) weitergegeben wird, wenn Sie ein SSL-Zertifikat beantragen. Die CSR wird auf dem ExtraHop-System generiert, auf dem das SSL-Zertifikat installiert wird, und enthält Informationen , die im Zertifikat enthalten sein werden, z. B. den allgemeinen Namen (Domänenname), die Organisation, den Ort und das Land. Die CSR enthält auch den öffentlichen Schlüssel, der im Zertifikat enthalten sein wird. Die CSR wird mit dem privaten Schlüssel aus dem ExtraHop-System erstellt, wodurch ein Schlüsselpaar entsteht.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Netzwerkeinstellungen auf SSL Zertifikat.
  3. klicken Zertifikate verwalten und dann klicken Exportieren einer Zertifikatsignieranforderung (CSR).
  4. In der Betreff Alternative Namen Geben Sie in diesem Abschnitt den DNS-Namen des ExtraHop-Systems ein. Sie können mehrere DNS-Namen und IP-Adressen hinzufügen , die durch ein einziges SSL-Zertifikat geschützt werden sollen.
  5. In der Betreff Abschnitt, füllen Sie die folgenden Felder aus. Nur der Gemeinsamer Name Feld ist erforderlich.
    Feld Beschreibung Beispiele
    Gemeinsamer Name Der vollqualifizierte Domänenname (FQDN) des ExtraHop-Systems . Der FQDN muss mit einem der alternativen Subject Names übereinstimmen. *.example.com

    discover.example.com

    E-mail-Adresse Die E-Mail-Adresse des Hauptansprechpartners für Ihre Organisation. webmaster@example.com
    Organisatorische Einheit Die Abteilung Ihrer Organisation, die das Zertifikat bearbeitet. IT-Abteilung
    Organisation Der offizielle Name Ihrer Organisation. Dieser Eintrag sollte nicht abgekürzt werden und Suffixe wie Inc, Corp oder LLC enthalten. Beispiel, Inc.
    Ort/Stadt Die Stadt, in der sich Ihre Organisation befindet. Seattle
    Bundesstaat/Provinz Das Bundesland oder die Provinz, in dem Ihre Organisation ansässig ist. Dieser Eintrag sollte nicht abgekürzt werden. Washington
    Landesvorwahl Der zweibuchstabige ISO-Code für das Land, in dem Ihre Organisation ansässig ist. UNS
  6. klicken Exportieren. Die CSR-Datei wird automatisch auf Ihren Computer heruntergeladen.

Nächste Maßnahme

Senden Sie die CSR-Datei an Ihre Zertifizierungsstelle (CA), um die CSR signieren zu lassen. Wenn Sie das SSL-Zertifikat von der CA erhalten haben, kehren Sie zurück zur SSL Zertifikat Öffnen Sie die Administrationseinstellungen und laden Sie das Zertifikat in das ExtraHop-System hoch.
Hinweis:Wenn Ihre Organisation verlangt, dass die CSR einen neuen öffentlichen Schlüssel enthält, ein selbstsigniertes Zertifikat generieren um vor der Erstellung der CSR neue Schlüsselpaare zu erstellen.

Vertrauenswürdige Zertifikate

Mit vertrauenswürdigen Zertifikaten können Sie SMTP-, LDAP-, HTTPS-ODS- und MongoDB-ODS-Ziele sowie Splunk-Recordstore-Verbindungen von Ihrem ExtraHop-System aus validieren.

Fügen Sie Ihrem ExtraHop-System ein vertrauenswürdiges Zertifikat hinzu

Ihr ExtraHop-System vertraut nur Peers, die ein Transport Layer Security (TLS) -Zertifikat vorlegen, das mit einem der integrierten Systemzertifikate und allen von Ihnen hochgeladenen Zertifikaten signiert ist. SMTP-, LDAP-, HTTPS-ODS- und MongoDB-ODS-Ziele sowie Splunk-Recordstore-Verbindungen können mit diesen Zertifikaten validiert werden.

Before you begin

Sie müssen sich als Benutzer mit Setup- oder System- und Zugriffsadministrationsrechten anmelden , um vertrauenswürdige Zertifikate hinzuzufügen oder zu entfernen.
Beim Hochladen eines benutzerdefinierten vertrauenswürdigen Zertifikats muss ein gültiger Vertrauenspfad vom hochgeladenen Zertifikat zu einem vertrauenswürdigen, selbstsignierten Stammzertifikat vorhanden sein, damit das Zertifikat vollständig vertrauenswürdig ist. Laden Sie entweder die gesamte Zertifikatskette für jedes vertrauenswürdige Zertifikat hoch oder stellen Sie (vorzugsweise) sicher, dass jedes Zertifikat in der Kette in das System für vertrauenswürdige Zertifikate hochgeladen wurde.
Wichtig: Um den integrierten Systemzertifikaten und allen hochgeladenen Zertifikaten zu vertrauen, müssen Sie bei der Konfiguration der Einstellungen für den externen Server auch die SSL-/TLS- oder STARTTLS-Verschlüsselung und die Zertifikatsvalidierung aktivieren.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Netzwerk-Einstellungen Abschnitt, klicken Vertrauenswürdige Zertifikate.
  3. Optional: Das ExtraHop-System wird mit einer Reihe von integrierten Zertifikaten geliefert. Wählen Trust System-Zertifikate wenn Sie diesen Zertifikaten vertrauen möchten, und klicken Sie dann auf Speichern.
  4. Um Ihr eigenes Zertifikat hinzuzufügen, klicken Sie auf Zertifikat hinzufügen und fügen Sie dann den Inhalt der PEM-codierten Zertifikatskette in die Zertifikat Feld
  5. Geben Sie einen Namen in das Name Feld und Klick Hinzufügen.

Zugriffs-Einstellungen

Im Abschnitt Zugriffseinstellungen können Sie Benutzerkennwörter ändern, das Support-Konto aktivieren, lokale Benutzer und Benutzergruppen verwalten, die Remoteauthentifizierung konfigurieren und den API-Zugriff verwalten.

Weltweite Richtlinien

Administratoren können globale Richtlinien konfigurieren, die für alle Benutzer gelten, die auf das System zugreifen.

Passwort-Richtlinie

  • Wählen Sie zwischen zwei Passwortrichtlinien: der Standard-Passwortrichtlinie mit 5 oder mehr Zeichen oder einer sichereren strikten Passwortrichtlinie mit den folgenden Einschränkungen:
    • 8 oder mehr Zeichen
    • Groß- und Kleinbuchstaben
    • Mindestens eine Zahl
    • Mindestens ein Symbol
    Hinweis:Wenn Sie die strikte Passwortrichtlinie mit 8 oder mehr Zeichen wählen, laufen Passwörter alle 60 Tage ab.

Steuerung zur Bearbeitung von Gerätegruppen

  • Kontrollieren Sie, ob Benutzer mit eingeschränkte Schreibrechte kann Gerätegruppen erstellen und bearbeiten. Wenn diese Richtlinie ausgewählt ist, können alle Benutzer mit eingeschränktem Schreibzugriff Gerätegruppen erstellen und andere Benutzer mit eingeschränktem Schreibzugriff als Editoren zu ihren Gerätegruppen hinzufügen.

Standard-Dashboard

  • Geben Sie das Dashboard an, das Benutzern angezeigt wird, wenn sie sich am System anmelden. Nur Dashboards, die mit allen Benutzern geteilt werden, können als globaler Standard festgelegt werden. Benutzer können diese Standardeinstellung überschreiben. aus dem Befehlsmenü eines beliebigen Dashboard.

Passwörter

Benutzer mit Rechten für die Administrationsseite können das Passwort für lokale Benutzerkonten ändern.

  • Wählen Sie einen beliebigen Benutzer aus und ändern Sie sein Passwort
    • Sie können nur Passwörter für lokale Benutzer ändern. Sie können Passwörter für Benutzer, die über LDAP oder andere Remote-Authentifizierungsserver authentifiziert wurden, nicht ändern.

Weitere Informationen zu den Rechten für bestimmte Benutzer und Gruppen auf der Administrationsseite finden Sie in Nutzer Abschnitt.

Ändern Sie das Standardkennwort für den Setup-Benutzer

Es wird empfohlen, das Standardkennwort für den Setup-Benutzer auf dem ExtraHop-System zu ändern, nachdem Sie sich zum ersten Mal angemeldet haben. Um Administratoren daran zu erinnern, diese Änderung vorzunehmen, erscheint ein blaues Symbol Passwort ändern Schaltfläche oben auf der Seite, während der Setup-Benutzer auf die Administrationseinstellungen zugreift. Nachdem das Setup-Benutzerkennwort geändert wurde, wird die Schaltfläche oben auf der Seite nicht mehr angezeigt.

Hinweis:Das Passwort muss mindestens 5 Zeichen lang sein.
  1. In der Einstellungen für die Verwaltung, klicken Sie auf das Blaue Standardkennwort ändern knopf.
    Die Passwortseite wird ohne das Dropdownmenü für Konten angezeigt. Das Passwort wird nur für den Setup-Benutzer geändert.
  2. Geben Sie das Standardkennwort in das Altes Passwort Feld.
  3. Geben Sie das neue Passwort in das Neues Passwort Feld.
  4. Geben Sie das neue Passwort erneut ein in Passwort bestätigen Feld.
  5. klicken Speichern.

Zugang zum Support

Support-Konten bieten dem ExtraHop-Supportteam Zugriff, um Kunden bei der Behebung von Problemen mit dem ExtraHop-System zu unterstützen.

Diese Einstellungen sollten nur aktiviert werden, wenn der ExtraHop-Systemadministrator das ExtraHop-Supportteam um praktische Unterstützung bittet.

SSH-Schlüssel generieren

Generieren Sie einen SSH-Schlüssel, damit der ExtraHop-Support eine Verbindung zu Ihrem ExtraHop-System herstellen kann, wenn Fernzugriff wird konfiguriert durch ExtraHop Cloud-Dienste .
  1. In der Zugriffs-Einstellungen Abschnitt, klicken Zugang zum Support.
  2. klicken SSH-Schlüssel generieren.
  3. klicken SSH-Schlüssel generieren.
  4. Kopieren Sie den verschlüsselten Schlüssel aus dem Textfeld und senden Sie den Schlüssel per E-Mail an Ihren ExtraHop-Ansprechpartner.
  5. klicken Erledigt.

Den SSH-Schlüssel neu generieren oder widerrufen

Um den SSH-Zugriff auf das ExtraHop-System mit einem vorhandenen SSH-Schlüssel zu verhindern, können Sie den aktuellen SSH-Schlüssel widerrufen. Ein neuer SSH-Schlüssel kann bei Bedarf auch neu generiert werden.

  1. In der Zugriffs-Einstellungen Abschnitt, klicken Zugang zum Support.
  2. klicken SSH-Schlüssel generieren.
  3. Wählen Sie eine der folgenden Optionen:
    • klicken SSH-Schlüssel neu generieren und dann klicken Regenerieren.

      Kopieren Sie den verschlüsselten Schlüssel aus dem Textfeld und senden Sie den Schlüssel per E-Mail an Ihren ExtraHop-Ansprechpartner. Klicken Sie dann auf Erledigt.

    • klicken SSH-Schlüssel widerrufen um den SSH-Zugriff auf das System mit dem aktuellen Schlüssel zu verhindern.

Nutzer

Auf der Seite Benutzer können Sie den lokalen Zugriff auf die ExtraHop-Appliance steuern.

Benutzer und Benutzergruppen

Benutzer können auf drei Arten auf das ExtraHop-System zugreifen: über eine Reihe vorkonfigurierter Benutzerkonten, über lokale Benutzerkonten, die auf der Appliance konfiguriert sind, oder über Remote-Benutzerkonten, die auf vorhandenen Authentifizierungsservern wie LDAP, SAML, Radius und TACACS+ konfiguriert sind.

Lokale Benutzer

In diesem Thema geht es um Standard- und lokale Konten. siehe Fernauthentifizierung um zu lernen, wie man Remote-Konten konfiguriert.

Die folgenden Konten sind standardmäßig auf ExtraHop-Systemen konfiguriert, erscheinen jedoch nicht in der Namensliste auf der Benutzerseite. Diese Konten können nicht gelöscht werden und Sie müssen das Standardkennwort bei der ersten Anmeldung ändern.
Einrichten
Dieses Konto bietet volle System-Lese- und Schreibrechte für die browserbasierte Benutzeroberfläche und die ExtraHop-Befehlszeilenschnittstelle (CLI). Auf physischem Sensoren, das Standardkennwort für dieses Konto ist die Service-Tag-Nummer auf der Vorderseite der Appliance. Auf virtuellem Sensoren, das Standardpasswort ist default.
Schale
Die shell Das Konto hat standardmäßig Zugriff auf nicht administrative Shell-Befehle in der ExtraHop-CLI. Bei physischen Sensoren ist das Standardkennwort für dieses Konto die Service-Tag-Nummer auf der Vorderseite der Appliance. Bei virtuellen Sensoren lautet das Standardkennwort default.
Hinweis:Das standardmäßige ExtraHop-Passwort für eines der Konten, wenn es in Amazon Web Services (AWS) und Google Cloud Platform (GCP) bereitgestellt wird, ist die Instanz-ID der virtuellen Maschine.
Fernauthentifizierung

Das ExtraHop-System unterstützt die Fernauthentifizierung für den Benutzerzugriff. Mithilfe der Remoteauthentifizierung können Unternehmen, die über Authentifizierungssysteme wie LDAP (z. B. OpenLDAP oder Active Directory) verfügen, allen oder einem Teil ihrer Benutzer die Möglichkeit geben, sich mit ihren vorhandenen Anmeldedaten am System anzumelden.

Die zentralisierte Authentifizierung bietet die folgenden Vorteile:

  • Synchronisation von Benutzerkennwörtern.
  • Automatische Erstellung von ExtraHop-Konten für Benutzer ohne Administratoreingriff.
  • Verwaltung von ExtraHop-Privilegien auf der Grundlage von Benutzergruppen.
  • Administratoren können allen bekannten Benutzern Zugriff gewähren oder den Zugriff einschränken, indem sie LDAP-Filter anwenden.
Entfernte Benutzer

Wenn Ihr ExtraHop-System für die SAML- oder LDAP-Fernauthentifizierung konfiguriert ist, können Sie ein Konto für diese Remote-Benutzer erstellen. Durch die Vorkonfiguration von Konten auf dem ExtraHop-System für Remote-Benutzer können Sie Systemanpassungen mit diesen Benutzern teilen, bevor sie sich anmelden.

Wenn Sie sich bei der Konfiguration der SAML-Authentifizierung für die automatische Bereitstellung von Benutzern entscheiden, wird der Benutzer bei der ersten Anmeldung automatisch zur Liste der lokalen Benutzer hinzugefügt. Sie können jedoch ein SAML-Remotebenutzerkonto auf dem ExtraHop-System erstellen, wenn Sie einen Remote-Benutzer bereitstellen möchten, bevor sich dieser Benutzer am System angemeldet hat. Rechte werden dem Benutzer vom Anbieter zugewiesen. Nachdem der Benutzer erstellt wurde, können Sie ihn zu lokalen Benutzergruppen hinzufügen.

Benutzergruppen

Benutzergruppen ermöglichen es Ihnen, den Zugriff auf gemeinsam genutzte Inhalte nach Gruppen statt nach einzelnen Benutzern zu verwalten. Benutzerdefinierte Objekte wie Activity Maps können mit einer Benutzergruppe geteilt werden, und jeder Benutzer, der der Gruppe hinzugefügt wird, hat automatisch Zugriff. Sie können eine lokale Benutzergruppe erstellen, die Remote- und lokale Benutzer umfassen kann. Wenn Ihr ExtraHop-System für die Fernauthentifizierung über LDAP konfiguriert ist, können Sie alternativ Einstellungen für den Import Ihrer LDAP-Benutzergruppen konfigurieren.

  • klicken Benutzergruppe erstellen um eine lokale Gruppe zu erstellen. Die Benutzergruppe wird in der Liste angezeigt. Aktivieren Sie dann das Kontrollkästchen neben dem Namen der Benutzergruppe und wählen Sie Benutzer aus der Benutzer filtern... Drop-down-Liste. klicken Benutzer zur Gruppe hinzufügen.
  • (nur LDAP) Klicken Sie Alle Benutzergruppen aktualisieren oder wählen Sie mehrere LDAP-Benutzergruppen aus und klicken Sie auf Benutzer in Gruppen aktualisieren.
  • klicken Benutzergruppe zurücksetzen um alle geteilten Inhalte aus einer ausgewählten Benutzergruppe zu entfernen. Wenn die Gruppe auf dem Remote-LDAP-Server nicht mehr existiert, wird die Gruppe aus der Benutzergruppenliste entfernt.
  • klicken Benutzergruppe aktivieren oder Benutzergruppe deaktivieren um zu kontrollieren, ob ein Gruppenmitglied auf geteilte Inhalte für die ausgewählte Benutzergruppe zugreifen kann.
  • klicken Benutzergruppe löschen um die ausgewählte Benutzergruppe aus dem System zu entfernen.
  • Sehen Sie sich die folgenden Eigenschaften für aufgelistete Benutzergruppen an:
    Name der Gruppe
    Zeigt den Namen der Gruppe an. Um die Mitglieder der Gruppe anzuzeigen, klicken Sie auf den Gruppennamen.
    Typ
    Zeigt Lokal oder Remote als Art der Benutzergruppe an.
    Mitglieder
    Zeigt die Anzahl der Benutzer in der Gruppe an.
    Geteilter Inhalt
    Zeigt die Anzahl der vom Benutzer erstellten Objekte an, die mit der Gruppe gemeinsam genutzt werden.
    Status
    Zeigt an, ob die Gruppe auf dem System aktiviert oder deaktiviert ist. Wenn der Status ist Disabled, wird die Benutzergruppe bei der Durchführung von Mitgliedschaftsprüfungen als leer betrachtet. Die Benutzergruppe kann jedoch weiterhin angegeben werden, wenn Inhalte geteilt werden.
    Mitglieder aktualisiert (nur LDAP)
    Zeigt die Zeit an, die seit der Aktualisierung der Gruppenmitgliedschaft vergangen ist. Benutzergruppen werden unter den folgenden Bedingungen aktualisiert:
    • Standardmäßig einmal pro Stunde. Die Einstellung für das Aktualisierungsintervall kann auf der Fernauthentifizierung > LDAP-Einstellungen Seite.
    • Ein Administrator aktualisiert eine Gruppe, indem er auf Alle Benutzergruppen aktualisieren oder Benutzer in der Gruppe aktualisieren, oder programmgesteuert über die REST-API. Sie können eine Gruppe aktualisieren über Benutzergruppe Seite oder aus dem Liste der Mitglieder Seite.
    • Ein Remote-Benutzer meldet sich zum ersten Mal beim ExtraHop-System an.
    • Ein Benutzer versucht, ein geteiltes Dashboard zu laden, auf das er keinen Zugriff hat.
Benutzerrechte

Administratoren bestimmen die Modulzugriffsebene für Benutzer im ExtraHop-System.

Informationen zu Benutzerberechtigungen für die REST-API finden Sie in der REST-API-Leitfaden.

Informationen zu Remote-Benutzerrechten finden Sie in den Konfigurationsanleitungen für LDAP, RADIUS, SAML, und TACACS+.

Privilegienstufen

Legen Sie die Berechtigungsstufe für Ihren Benutzer fest, um zu bestimmen, auf welche Bereiche des ExtraHop-Systems er zugreifen kann.

Zugriffsrechte für Module
Diese Rechte bestimmen die Funktionen, auf die Benutzer im ExtraHop-System zugreifen können. Administratoren können Benutzern rollenbasierten Zugriff auf eines oder alle Module NDR, NPM und Packet Forensics gewähren. Für den Zugriff auf die Modulfunktionen ist eine Modullizenz erforderlich.
Netzwerkerkennung und Reaktion (NDR)
Ermöglicht dem Benutzer den Zugriff auf Sicherheitsfunktionen wie die Erkennung von Angriffen, Untersuchungen und Bedrohungsinformationen.
Netzwerkleistung und Überwachung (NPM)
Ermöglicht dem Benutzer den Zugriff auf Leistungsfunktionen wie Betriebserkennungen und die Möglichkeit, benutzerdefinierte Dashboards zu erstellen.
Paketforensik
Ermöglicht dem Benutzer das Anzeigen und Herunterladen von Paketen und Sitzungsschlüsseln, nur Pakete oder nur Paketsegmente.
Systemzugriffsrechte

Diese Rechte bestimmen den Funktionsumfang, über den Benutzer in den Modulen verfügen, auf die ihnen Zugriff gewährt wurde.

Für Reveal (x) Enterprise können Benutzer mit Systemzugriffs- und Administratorrechten auf alle Funktionen, Pakete und Sitzungsschlüssel für ihre lizenzierten Module zugreifen.

Für Reveal (x) 360 müssen Systemzugriffs- und Administratorrechte, der Zugriff auf lizenzierte Module, Pakete und Sitzungsschlüssel separat zugewiesen werden. Reveal (x) 360 bietet auch ein zusätzliches Systemadministrationskonto, das alle Systemberechtigungen gewährt, mit Ausnahme der Möglichkeit, Benutzer und API-Zugriff zu verwalten.

Die folgende Tabelle enthält ExtraHop-Funktionen und die erforderlichen Rechte. Wenn keine Modulanforderung angegeben ist, ist die Funktion sowohl im NDR- als auch im NDM-Modul verfügbar.

  System- und Zugriffsadministration Systemadministration (nur Reveal (x) 360) Vollständiger Schreibvorgang Eingeschränktes Schreiben Persönliches Schreiben Vollständig schreibgeschützt Eingeschränkt schreibgeschützt
Karten mit Aktivitäten  
Karten mit geteilten Aktivitäten erstellen, anzeigen und laden Y Y Y Y Y Y N
Aktivitätskarten speichern Y Y Y Y Y N N
Aktivitätskarten teilen Y Y Y Y N N N
Warnmeldungen NPM-Modullizenz und Zugriff erforderlich.
Benachrichtigungen anzeigen Y Y Y Y Y Y Y
Benachrichtigungen erstellen und ändern Y Y Y N N N N
Prioritäten der Analyse  
Seite „Analyseprioritäten anzeigen" Y Y Y Y Y Y N
Analyseebenen für Gruppen hinzufügen und ändern Y Y Y N N N N
Geräte zu einer Beobachtungsliste hinzufügen Y Y Y N N N N
Verwaltung von Transferprioritäten Y Y Y N N N N
Bündel  
Ein Paket erstellen Y Y Y N N N N
Paket hochladen und anwenden Y Y Y N N N N
Liste der Bundles anzeigen Y Y Y Y Y Y N
Armaturenbretter NPM-Modullizenz und Zugriff erforderlich, um Dashboards zu erstellen und zu ändern.
Dashboards anzeigen und organisieren Y Y Y Y Y Y Y
Dashboards erstellen und ändern Y Y Y Y Y N N
Dashboards teilen Y Y Y Y N N N
Erkennungen Lizenz und Zugriff auf das NDR-Modul sind erforderlich, um Sicherheitserkennungen anzuzeigen und zu optimieren und Ermittlungen einzuleiten.

NPM-Modullizenz und Zugriff erforderlich, um Leistungserkennungen anzuzeigen und zu optimieren.

Erkennungen anzeigen Y Y Y Y Y Y Y
Erkennungen bestätigen Y Y Y Y Y N N
Erkennungsstatus und Hinweise ändern Y Y Y Y N N N
Untersuchungen erstellen und ändern Y Y Y Y N N N
Optimierungsregeln erstellen und ändern Y Y Y N N N N
Gerätegruppen Administratoren können das konfigurieren Globale Richtlinie „Gerätegruppe bearbeiten" und „Steuerung" um festzulegen , ob Benutzer mit eingeschränkten Schreibrechten Gerätegruppen erstellen und bearbeiten können.
Gerätegruppen erstellen und ändern Y Y Y Y (Wenn die globale Rechterichtlinie aktiviert ist) N N N
Metriken  
Metriken anzeigen Y Y Y Y Y Y N
Regeln für Benachrichtigungen NDR-Modullizenz und Zugriff erforderlich, um Benachrichtigungen für Sicherheitserkennungen und Bedrohungsinformationen zu erstellen und zu ändern.

NPM-Modullizenz und Zugriff erforderlich, um Benachrichtigungen für Leistungserkennungen zu erstellen und zu ändern.

Regeln für Erkennungsbenachrichtigungen erstellen und ändern Y Y Y N N N N
Benachrichtigungsregeln Bedrohungsübersicht erstellen und ändern Y Y Y N N N N
Regeln für Systembenachrichtigungen erstellen und ändern ( nur Reveal (x)) Y Y N N N N N
Rekorde Recordstore erforderlich.
Datensatzabfragen anzeigen Y Y Y Y Y Y N
Datensatzformate anzeigen Y Y Y Y Y Y N
Datensatzabfragen erstellen, ändern und speichern Y Y Y N N N N
Datensatzformate erstellen, ändern und speichern Y Y Y N N N N
Dashboard-Berichte Konsole erforderlich.
Geplante Berichte erstellen, anzeigen und verwalten Y Y Y Y N N N
Bedrohungsinformationen NDR-Modullizenz und Zugriff erforderlich.
Bedrohungssammlungen verwalten Y Y N N N N N
Informationen zu Bedrohungsinformationen anzeigen Y Y Y Y Y Y N
Auslöser  
Trigger erstellen und ändern Y Y Y N N N N
Administratorrechte  
Greifen Sie auf die ExtraHop-Administrationseinstellungen zu Y Y N N N N N
Stellen Sie eine Verbindung zu anderen Geräten her Y Y N N N N N
Andere Appliances verwalten (Konsole) Y Y N N N N N
Benutzer und API-Zugriff verwalten Y N N N N N N

Fügen Sie ein lokales Benutzerkonto hinzu

Durch Hinzufügen eines lokalen Benutzerkonto können Sie Benutzern direkten Zugriff auf Ihr ExtraHop-System gewähren und ihre Rechte entsprechend ihrer Rolle in Ihrer Organisation einschränken.

Weitere Informationen zu Standardsystembenutzerkonten finden Sie unter Lokale Benutzer.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Zugriffs-Einstellungen Abschnitt, klicken Nutzer.
  3. klicken Nutzer hinzufügen.
  4. In der Personenbezogene Daten Abschnitt, geben Sie die folgenden Informationen ein:

    Anmelde-ID : Der Benutzername, mit dem sich Benutzer am Sensor anmelden, der keine Leerzeichen enthalten darf. Zum Beispiel Adalovelace.

    Vollständiger Name : Ein Anzeigename für den Benutzer, der Leerzeichen enthalten kann. Zum Beispiel Ada Lovelace.

    Passwort : Das Passwort für dieses Konto.

    Hinweis:Auf Sensoren und Konsolen muss das Passwort den Kriterien entsprechen, die von globale Passwortrichtlinie. In ExtraHop-Plattenläden und Packetstores müssen Passwörter mindestens 5 Zeichen lang sein.

    Bestätigen Sie das Passwort : Geben Sie das Passwort erneut aus dem Passwort Feld.

  5. Wählen Sie im Abschnitt Authentifizierungstyp die Option Lokal aus.
  6. In der Benutzertyp Wählen Sie im Abschnitt die Art der Rechte für den Benutzer aus.
    • System- und Zugriffsadministrationsrechte ermöglichen vollen Lese- und Schreibzugriff auf das ExtraHop-System, einschließlich der Administrationseinstellungen.
    • Mit eingeschränkten Rechten können Sie aus einer Teilmenge von Rechten und Optionen auswählen.
    Hinweis:Weitere Informationen finden Sie in der Benutzerrechte Abschnitt.
  7. klicken Speichern.
Hinweis:
  • Um die Einstellungen für einen Benutzer zu ändern, klicken Sie in der Liste auf den Benutzernamen, um die Bearbeiten Benutzerseite.
  • Um ein Benutzerkonto zu löschen, klicken Sie auf das rote X Ikone. Wenn Sie einen Benutzer von einem Remote-Authentifizierungsserver wie LDAP löschen, müssen Sie auch den Eintrag für diesen Benutzer auf dem ExtraHop-System löschen.

Konto für einen Remote-Benutzer hinzufügen

Fügen Sie ein Benutzerkonto für LDAP- oder SAML-Benutzer hinzu, wenn Sie den Remote-Benutzer bereitstellen möchten, bevor sich dieser Benutzer beim ExtraHop-System anmeldet. Nachdem der Benutzer zum System hinzugefügt wurde, können Sie ihn zu lokalen Gruppen hinzufügen oder Elemente direkt mit ihm teilen, bevor er sich über den LDAP- oder SAML-Anbieter anmeldet.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Einstellungen aufrufen Abschnitt, klicken Nutzer.
  3. Klicken Benutzer hinzufügen.
  4. In der Personenbezogene Daten Geben Sie in diesem Abschnitt die folgenden Informationen ein:

    Anmelde-ID: Die E-Mail-Adresse, mit der sich der Benutzer bei seinem LDAP- oder SAML-SSO-Identitätsanbieter anmeldet.

    Hinweis:Für Remotebenutzer werden nur E-Mail-Adressen in Kleinbuchstaben unterstützt.

    Vollständiger Name: Der Vor- und Nachname des Benutzers.

  5. In der Authentifizierungstyp Abschnitt, wählen Ferngesteuert.
  6. Klicken Sie Speichern.

Sessions

Das ExtraHop-System bietet Steuerelemente zum Anzeigen und Löschen von Benutzerverbindungen zur Weboberfläche. Die Sessions Die Liste ist nach dem Ablaufdatum sortiert, das dem Datum entspricht, an dem die Sitzungen eingerichtet wurden. Wenn eine Sitzung abläuft oder gelöscht wird, muss sich der Benutzer erneut anmelden, um auf die Weboberfläche zuzugreifen.

Fernauthentifizierung

Das ExtraHop-System unterstützt die Fernauthentifizierung für den Benutzerzugriff. Mithilfe der Remoteauthentifizierung können Unternehmen, die über Authentifizierungssysteme wie LDAP (z. B. OpenLDAP oder Active Directory) verfügen, allen oder einem Teil ihrer Benutzer die Möglichkeit geben, sich mit ihren vorhandenen Anmeldedaten am System anzumelden.

Die zentralisierte Authentifizierung bietet die folgenden Vorteile:

  • Synchronisation von Benutzerkennwörtern.
  • Automatische Erstellung von ExtraHop-Konten für Benutzer ohne Administratoreingriff.
  • Verwaltung von ExtraHop-Privilegien auf der Grundlage von Benutzergruppen.
  • Administratoren können allen bekannten Benutzern Zugriff gewähren oder den Zugriff einschränken, indem sie LDAP-Filter anwenden.

Konfigurieren Sie die Remote-Authentifizierung über LDAP

Das ExtraHop-System unterstützt das Lightweight Directory Access Protocol (LDAP) für Authentifizierung und Autorisierung. Anstatt Benutzeranmeldedaten lokal zu speichern, können Sie Ihr ExtraHop-System so konfigurieren, dass Benutzer remote mit einem vorhandenen LDAP-Server authentifiziert werden. Beachten Sie, dass die ExtraHop-LDAP-Authentifizierung nur Benutzerkonten abfragt. Sie fragt nicht nach anderen Entitäten ab, die sich möglicherweise im LDAP-Verzeichnis befinden.

Before you begin

  • Dieses Verfahren erfordert Vertrautheit mit der Konfiguration von LDAP.
  • Stellen Sie sicher, dass sich jeder Benutzer in einer berechtigungsspezifischen Gruppe auf dem LDAP-Server befindet, bevor Sie mit diesem Verfahren beginnen.
  • Wenn Sie verschachtelte LDAP-Gruppen konfigurieren möchten, müssen Sie die Datei Running Configuration ändern. Kontakt ExtraHop-Unterstützung um Hilfe.

Wenn ein Benutzer versucht, sich bei einem ExtraHop-System anzumelden, versucht das ExtraHop-System, den Benutzer auf folgende Weise zu authentifizieren:

  • Versucht, den Benutzer lokal zu authentifizieren.
  • Versucht, den Benutzer über den LDAP-Server zu authentifizieren, wenn der Benutzer nicht lokal existiert und wenn das ExtraHop-System für die Fernauthentifizierung mit LDAP konfiguriert ist.
  • Meldet den Benutzer beim ExtraHop-System an, wenn der Benutzer existiert und das Passwort entweder lokal oder über LDAP validiert wurde. Das LDAP-Passwort wird nicht lokal auf dem ExtraHop-System gespeichert. Beachten Sie, dass Sie den Benutzernamen und das Passwort in dem Format eingeben müssen, für das Ihr LDAP-Server konfiguriert ist. Das ExtraHop-System leitet die Informationen nur an den LDAP-Server weiter.
  • Wenn der Benutzer nicht existiert oder ein falsches Passwort eingegeben wurde, erscheint eine Fehlermeldung auf der Anmeldeseite.
Wichtig:Wenn Sie die LDAP-Authentifizierung zu einem späteren Zeitpunkt auf eine andere Remoteauthentifizierungsmethode ändern, werden die Benutzer, Benutzergruppen und zugehörigen Anpassungen, die durch die Remoteauthentifizierung erstellt wurden, entfernt. Lokale Benutzer sind davon nicht betroffen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Zugriffs-Einstellungen Abschnitt, klicken Fernauthentifizierung.
  3. Aus dem Methode zur Fernauthentifizierung Drop-down-Liste, wählen LDAP und dann klicken Weiter.
  4. Auf dem LDAP-Einstellungen Seite, füllen Sie die folgenden Felder mit Serverinformationen aus:
    1. In der Hostname Feld, geben Sie den Hostnamen oder die IP-Adresse des LDAP-Servers ein. Wenn Sie einen Hostnamen konfigurieren, stellen Sie sicher, dass der DNS-Eintrag des ExtraHop-Systems richtig konfiguriert ist.
    2. In der Hafen Feld, geben Sie die Portnummer ein, auf der der LDAP-Server lauscht.
    3. Aus dem Typ des Servers Drop-down-Liste, wählen Posix oder Active Directory.
    4. Optional: In der DN binden Feld, geben Sie den Bind-DN ein. Der Bind-DN sind die Benutzeranmeldedaten, mit denen Sie sich beim LDAP-Server authentifizieren können, um die Benutzersuche durchzuführen. Der Bind-DN muss Listenzugriff auf den Basis-DN und alle für die LDAP-Authentifizierung erforderlichen Organisationseinheiten, Gruppen oder Benutzerkonto haben. Wenn dieser Wert nicht gesetzt ist, wird eine anonyme Bindung durchgeführt. Beachten Sie, dass anonyme Bindungen nicht auf allen LDAP-Servern aktiviert sind.
    5. Optional: In der Passwort binden Feld, geben Sie das Bind-Passwort ein. Das Bind-Passwort ist das Passwort, das für die Authentifizierung mit dem LDAP-Server als dem oben angegebenen Bind-DN erforderlich ist. Wenn Sie eine anonyme Bindung konfigurieren, lassen Sie dieses Feld leer. In einigen Fällen ist eine nicht authentifizierte Bindung möglich, bei der Sie einen Bind-DN-Wert, aber kein Bind-Passwort angeben. Erkundigen Sie sich bei Ihrem LDAP-Administrator nach den richtigen Einstellungen.
    6. Aus dem Verschlüsselung Wählen Sie in der Dropdownliste eine der folgenden Verschlüsselungsoptionen aus.

      Keine: Diese Option spezifiziert Klartext-TCP-Sockets. In diesem Modus werden alle Passwörter im Klartext über das Netzwerk gesendet.

      LAPPEN: Diese Option spezifiziert LDAP, das in SSL eingeschlossen ist.

      Starten Sie TLS: Diese Option spezifiziert TLS LDAP. (SSL wird ausgehandelt, bevor Passwörter gesendet werden.)

    7. Wählen SSL-Zertifikate validieren um die Zertifikatsvalidierung zu aktivieren. Wenn Sie diese Option auswählen, wird das Zertifikat auf dem Remote-Endpunkt anhand der vom Trusted Certificates Manager angegebenen Stammzertifikate validiert. Sie müssen auf der Seite Vertrauenswürdige Zertifikate konfigurieren, welchen Zertifikaten Sie vertrauen möchten. Weitere Informationen finden Sie unter Fügen Sie Ihrem ExtraHop-System ein vertrauenswürdiges Zertifikat hinzu.
    8. Geben Sie einen Zeitwert in das Aktualisierungsintervall Feld oder belassen Sie die Standardeinstellung von 1 Stunde. Das Aktualisierungsintervall stellt sicher, dass alle Änderungen, die am Benutzer- oder Gruppenzugriff auf dem LDAP-Server vorgenommen werden, auf dem ExtraHop-System aktualisiert werden.
  5. Konfigurieren Sie die folgenden Benutzereinstellungen:
    1. Geben Sie den Basis-DN in das Basis-DN Feld. Der Basis-DN ist der Punkt, von dem aus ein Server nach Benutzern sucht. Der Basis-DN muss alle Benutzerkonten enthalten, die Zugriff auf das ExtraHop-System haben. Die Benutzer können direkte Mitglieder des Basis-DN sein oder innerhalb einer OU innerhalb des Basis-DN verschachtelt sein, wenn Ganzer Teilbaum Option ist ausgewählt für Umfang der Suche unten angegeben.
    2. Geben Sie einen Suchfilter in das Suchfilter Feld. Mithilfe von Suchfiltern können Sie Suchkriterien definieren, wenn Sie das LDAP-Verzeichnis nach Benutzerkonten durchsuchen.
      Wichtig:Das ExtraHop-System fügt automatisch Klammern hinzu, um den Filter einzuschließen, und analysiert diesen Parameter nicht korrekt, wenn Sie Klammern manuell hinzufügen. Fügen Sie Ihre Suchfilter in diesem Schritt und in Schritt 5b hinzu, ähnlich dem folgenden Beispiel:
      cn=atlas*
      |(cn=EH-*)(cn=IT-*)
      Wenn Ihre Gruppennamen das Sternchen (*) enthalten, muss das Sternchen außerdem maskiert werden als
      \2a. Zum Beispiel, wenn Ihre Gruppe eine CN namens hat test*group, typ cn=test\2agroup im Feld Suchfilter.
    3. Aus dem Umfang der Suche Wählen Sie in der Dropdownliste eine der folgenden Optionen aus. Der Suchbereich gibt den Umfang der Verzeichnissuche bei der Suche nach Benutzerentitäten an.

      Ganzer Teilbaum: Diese Option sucht rekursiv unter dem Gruppen-DN nach passenden Benutzern.

      Einstufig: Diese Option sucht nur nach Benutzern, die im Basis-DN existieren, nicht nach Unterbäumen.

  6. Optional: Benutzergruppen importieren. Wählen Sie den Benutzergruppen vom LDAP-Server importieren kreuzen Sie das Kästchen an und konfigurieren Sie die folgenden Einstellungen.
    Hinweis:Durch den Import von LDAP-Benutzergruppen können Sie Dashboards mit diesen Gruppen teilen. Die importierten Gruppen werden auf der Seite Benutzergruppe in den Administrationseinstellungen angezeigt.
    1. Geben Sie den Basis-DN in das Basis-DN Feld. Der Basis-DN ist der Punkt, von dem aus ein Server nach Benutzergruppen sucht. Der Basis-DN muss alle Benutzergruppen enthalten, die Zugriff auf das ExtraHop-System haben. Die Benutzergruppen können direkte Mitglieder des Basis-DN sein oder innerhalb einer OU innerhalb des Basis-DN verschachtelt sein, wenn Ganzer Teilbaum Option ist ausgewählt für Umfang der Suche unten angegeben.
    2. Geben Sie einen Suchfilter in das Suchfilter Feld. Mit Suchfiltern können Sie Suchkriterien definieren, wenn Sie das LDAP-Verzeichnis nach Benutzergruppen durchsuchen.
      Wichtig:Bei Gruppensuchfiltern filtert das ExtraHop-System implizit nach objectclass=group, weshalb objectclass=group diesem Filter nicht hinzugefügt werden sollte.
    3. Aus dem Umfang der Suche Wählen Sie in der Dropdownliste eine der folgenden Optionen aus. Der Suchbereich gibt den Umfang der Verzeichnissuche bei der Suche nach Benutzergruppenentitäten an.

      Ganzer Teilbaum: Diese Option sucht rekursiv unter dem Basis-DN nach passenden Benutzergruppen.

      Einstufig: Diese Option sucht nach Benutzergruppen, die im Basis-DN existieren, nicht nach Unterbäumen.

  7. klicken Einstellungen testen. Wenn der Test erfolgreich ist, wird unten auf der Seite eine Statusmeldung angezeigt. Wenn der Test fehlschlägt, klicken Sie auf Zeige Details um eine Fehlerliste zu sehen. Sie müssen alle Fehler beheben, bevor Sie fortfahren können.
  8. klicken Speichern und fortfahren.
Benutzerrechte für die Remote-Authentifizierung konfigurieren

Sie können einzelnen Benutzern auf Ihrem ExtraHop-System Benutzerrechte zuweisen oder Rechte über Ihren LDAP-Server konfigurieren und verwalten.

Wenn Sie Benutzerrechte über LDAP zuweisen, müssen Sie mindestens eines der verfügbaren Benutzerberechtigungsfelder ausfüllen. Für diese Felder sind Gruppen (keine Organisationseinheiten) erforderlich , die auf Ihrem LDAP-Server vordefiniert sind. Ein Benutzerkonto mit Zugriff muss ein direktes Mitglied einer bestimmten Gruppe sein. Benutzerkonten, die nicht Mitglied einer oben angegebenen Gruppe sind, haben keinen Zugriff. Gruppen, die nicht vorhanden sind, werden auf dem ExtraHop-System nicht authentifiziert.

Das ExtraHop-System unterstützt sowohl Active Directory- als auch POSIX-Gruppenmitgliedschaften. Für Active Directory memberOf wird unterstützt. Für POSIX memberuid, posixGroups, groupofNames, und groupofuniqueNames werden unterstützt.

  1. Wählen Sie eine der folgenden Optionen aus der Optionen für die Zuweisung von Rechten Drop-down-Liste:
    • Berechtigungsstufe vom Remoteserver abrufen

      Diese Option weist Berechtigungen über Ihren Remote-Authentifizierungsserver zu. Sie müssen mindestens eines der folgenden DN-Felder (Distinguished Name) ausfüllen.

      System- und Zugriffsverwaltung DN: Erstellen und ändern Sie alle Objekte und Einstellungen auf dem ExtraHop-System, einschließlich der Administrationseinstellungen.

      Vollständiger Schreib-DN: Objekte auf dem ExtraHop-System erstellen und ändern, ohne Administrationseinstellungen.

      Eingeschränkter Schreib-DN: Erstellen, ändern und teilen Sie Dashboards.

      Persönlicher Schreib-DN: Erstellen Sie persönliche Dashboards und ändern Sie Dashboards, die für den angemeldeten Benutzer freigegeben wurden.

      Vollständiger, nur lesbarer DN: Objekte im ExtraHop-System anzeigen.

      Eingeschränkter Nur-Lese-DN: Zeigen Sie Dashboards an, die mit dem angemeldeten Benutzer geteilt wurden.

      Packet Slices-Zugriffs-DN: Sehen Sie sich die ersten 64 Byte der Pakete an, die über die ExtraHop Trace-Appliance erfasst wurden, und laden Sie sie herunter.

      Paketzugriffs-DN: Mit der ExtraHop Trace-Appliance erfasste Pakete anzeigen und herunterladen.

      Zugriffs-DN für Paket- und Sitzungsschlüssel: Pakete und alle zugehörigen SSL-Sitzungsschlüssel, die über die ExtraHop Trace-Appliance erfasst wurden, anzeigen und herunterladen.

      NDR-Modulzugriffs-DN: Sicherheitserkennungen, die im ExtraHop-System angezeigt werden, anzeigen, bestätigen und verbergen.

      NPM-Modulzugriffs-DN: Leistungserkennungen, die im ExtraHop-System angezeigt werden, anzeigen, bestätigen und verbergen.

    • Remote-Benutzer haben vollen Schreibzugriff

      Diese Option gewährt entfernten Benutzern vollen Schreibzugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, SSL-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.

    • Remote-Benutzer haben vollen Lesezugriff

      Diese Option gewährt Remote-Benutzern nur Lesezugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, SSL-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.

  2. Optional: Konfigurieren Sie den Paket- und Sitzungsschlüsselzugriff. Wählen Sie eine der folgenden Optionen, um Remote-Benutzern das Herunterladen von Paketerfassungen und SSL-Sitzungsschlüsseln zu ermöglichen.
    • Kein Zugriff
    • Nur Paketsegmente
    • Nur Pakete
    • Pakete und Sitzungsschlüssel
  3. Optional: Konfigurieren Sie den Zugriff auf NDR- und NPM-Module.
    • Kein Zugriff
    • Voller Zugriff
  4. klicken Speichern und beenden.
  5. klicken Erledigt.

Konfigurieren Sie die Remote-Authentifizierung über SAML

Sie können eine sichere SSO-Authentifizierung (Single Sign-On) für das ExtraHop-System über einen oder mehrere SAML-Identitätsanbieter (Security Assertion Markup Language) konfigurieren.

Wenn sich ein Benutzer bei einem ExtraHop-System anmeldet, das als Service Provider (SP) für die SAML-SSO-Authentifizierung konfiguriert ist, fordert das ExtraHop-System die Autorisierung vom entsprechenden Identity Provider ( IdP) an. Der Identitätsanbieter authentifiziert die Anmeldedaten des Benutzers und gibt dann die Autorisierung für den Benutzer an das ExtraHop-System zurück. Der Benutzer kann dann auf das ExtraHop-System zugreifen.

Konfigurationsanleitungen für bestimmte Identitätsanbieter sind unten verlinkt. Wenn Ihr Anbieter nicht aufgeführt ist, wenden Sie die vom ExtraHop-System erforderlichen Einstellungen auf Ihren Identitätsanbieter an.

Identitätsanbieter müssen die folgenden Kriterien erfüllen:
  • SAML 2.0
  • Unterstützt SP-initiierte Anmeldeabläufe. IDP-initiierte Anmeldeabläufe werden nicht unterstützt.
  • Unterstützung signierter SAML-Antworten
  • Unterstützt HTTP-Redirect-Bindung

Die Beispielkonfiguration in diesem Verfahren ermöglicht den Zugriff auf das ExtraHop-System über Gruppenattribute.

Wenn Ihr Identity Provider keine Anweisungen für Gruppenattribute unterstützt, konfigurieren Sie Benutzerattribute mit den entsprechenden Rechten für Modulzugriff, Systemzugriff und Paketforensik.

SAML-Remoteauthentifizierung aktivieren
Warnung:Wenn Ihr System bereits mit einer Remoteauthentifizierungsmethode konfiguriert ist, werden durch das Ändern dieser Einstellungen alle Benutzer und zugehörigen Anpassungen entfernt, die mit dieser Methode erstellt wurden, und Remotebenutzer können nicht auf das System zugreifen. Lokale Benutzer sind davon nicht betroffen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Zugriffseinstellungen auf Fernauthentifizierung.
  3. Wählen SAML klicken Sie in der Dropdownliste für die Methode der Fernauthentifizierung auf Weiter.
  • klicken SP-Metadaten anzeigen um die Assertion Consumer Service (ACS) -URL und die Entitäts-ID des ExtraHop-Systems anzuzeigen. Diese Zeichenfolgen werden von Ihrem Identitätsanbieter benötigt , um die SSO-Authentifizierung zu konfigurieren. Sie können auch eine vollständige XML-Metadatendatei herunterladen, die Sie in Ihre Identity Provider-Konfiguration importieren können.
    Hinweis:Die ACS-URL enthält den in den Netzwerkeinstellungen konfigurierten Hostnamen. Wenn die ACS-URL einen nicht erreichbaren Hostnamen enthält, z. B. den Standardhostnamen des Systems extrahop, müssen Sie die URL bearbeiten, wenn Sie die ACS-URL zu Ihrem Identitätsanbieter hinzufügen, und den vollqualifizierten Domänenname (FQDN) des ExtraHop-Systems angeben.
  • klicken Identitätsanbieter hinzufügen um die folgenden Informationen hinzuzufügen:

    Name des Anbieters: Geben Sie einen Namen ein, um Ihren spezifischen Identitätsanbieter zu identifizieren. Dieser Name erscheint auf der Anmeldeseite des ExtraHop-Systems nach dem Loggen Sie sich ein mit Text.

    Entitäts-ID: Fügen Sie die von Ihrem Identitätsanbieter bereitgestellte Entitäts-ID in dieses Feld ein.

    SSO-URL: Fügen Sie die von Ihrem Identitätsanbieter bereitgestellte Single Sign-On-URL in dieses Feld ein.

    Öffentliches Zertifikat: Fügen Sie das von Ihrem Identity Provider bereitgestellte X.509-Zertifikat in dieses Feld ein.

    Automatische Bereitstellung von Benutzern: Wenn diese Option ausgewählt ist, werden ExtraHop-Benutzerkonten automatisch erstellt, wenn sich der Benutzer über den Identity Provider anmeldet. Um manuell zu steuern, welche Benutzer sich anmelden können, deaktivieren Sie dieses Kontrollkästchen und konfigurieren Sie neue Remote-Benutzer manuell über die ExtraHop-Administrationseinstellungen oder die REST-API. Jeder manuell erstellte Remote-Benutzername sollte mit dem auf dem Identity Provider konfigurierten Benutzernamen übereinstimmen.

    Diesen Identitätsanbieter aktivieren: Diese Option ist standardmäßig ausgewählt und ermöglicht es Benutzern, sich beim ExtraHop-System anzumelden. Um zu verhindern, dass sich Benutzer über diesen Identitätsanbieter anmelden, deaktivieren Sie das Kontrollkästchen.

    Attribute für Benutzerrechte: Sie müssen Benutzerberechtigungsattribute konfigurieren, bevor sich Benutzer über einen Identitätsanbieter beim ExtraHop-System anmelden können. Bei Werten wird nicht zwischen Groß- und Kleinschreibung unterschieden und sie können Leerzeichen enthalten.

    Die Namen und Werte der Benutzerberechtigungsattribute müssen mit den Namen und Werten übereinstimmen, die Ihr Identity Provider in SAML-Antworten einbezieht, die konfiguriert werden, wenn Sie die ExtraHop-Anwendung zu einem Anbieter hinzufügen. In Azure AD konfigurieren Sie beispielsweise Anspruchsnamen und Anspruchsbedingungswerte, die mit den Namen und Werten der Benutzerberechtigungsattribute im ExtraHop-System übereinstimmen müssen. Ausführlichere Beispiele finden Sie in den folgenden Themen:

    Hinweis:Wenn ein Benutzer mehreren Attributwerten entspricht, wird dem Benutzer die zulässige Zugriffsberechtigung gewährt. Wenn ein Benutzer beispielsweise sowohl den Werten „Eingeschränkter Schreibzugriff" als auch „Vollständiger Schreibzugriff" entspricht, erhält der Benutzer volle Schreibberechtigungen. Weitere Informationen zu Berechtigungsstufen finden Sie unter Benutzer und Benutzergruppen.

    Zugriff auf das NDR-Modul: NDR-Attribute ermöglichen Benutzern den Zugriff auf NDR-Funktionen.

    NPM-Modulzugriff: NPM-Attribute ermöglichen Benutzern den Zugriff auf NPM-Funktionen.

    Pakete und Zugriff auf Sitzungsschlüssel: Pakete und Sitzungsschlüsselattribute ermöglichen Benutzern den Zugriff auf Pakete und Sitzungsschlüssel. Die Konfiguration von Paketen und Sitzungsschlüsselattributen ist optional und nur erforderlich, wenn Sie über einen verbundenen ExtraHop-Packetstore verfügen.

Zuordnung von Benutzerattributen

Sie müssen den folgenden Satz von Benutzerattributen im Abschnitt Zuordnung von Anwendungsattributen auf Ihrem Identity Provider konfigurieren. Diese Attribute identifizieren den Benutzer im gesamten ExtraHop-System. Die korrekten Eigenschaftsnamen bei der Zuordnung von Attributen finden Sie in der Dokumentation Ihres Identity Providers.

Name des ExtraHop-Attributs Freundlicher Name Kategorie Attributname des Identitätsanbieters
urn:oid:0.9.2342.19200300.100.1.3 Post Standardattribut Primäre E-Mail-Adresse
urn:oid:2.5.4.4 sn Standardattribut Nachname
urn:oid:2.5.4.42 Vorgegebener Name Standardattribut Vorname


Statements zu Gruppenattributen

Das ExtraHop-System unterstützt Gruppenattribut-Anweisungen, um Benutzerberechtigungen auf einfache Weise allen Mitgliedern einer bestimmten Gruppe zuzuordnen. Wenn Sie die ExtraHop-Anwendung auf Ihrem Identity Provider konfigurieren, geben Sie einen Gruppenattributnamen an. Dieser Name wird dann in das Feld Attributname eingegeben, wenn Sie den Identity Provider auf dem ExtraHop-System konfigurieren.



Wenn Ihr Identity Provider keine Anweisungen für Gruppenattribute unterstützt, konfigurieren Sie Benutzerattribute mit den entsprechenden Rechten für Modulzugriff, Systemzugriff und Paketforensik.

SAML-Single-Sign-On mit Okta konfigurieren

Sie können Ihr ExtraHop-System so konfigurieren, dass sich Benutzer über den Okta Identity Management Service beim System anmelden können.

Before you begin

  • Sie sollten mit der Verabreichung von Okta vertraut sein. Diese Verfahren basieren auf der Okta Classic-Benutzeroberfläche. Wenn Sie Okta über die Developer Console konfigurieren, ist das Verfahren möglicherweise etwas anders.
  • Sie sollten mit der Verwaltung von ExtraHop-Systemen vertraut sein.

Bei diesen Verfahren müssen Sie Informationen zwischen dem ExtraHop-System und der Okta Classic-Benutzeroberfläche kopieren und einfügen. Daher ist es hilfreich, jedes System nebeneinander zu öffnen .

SAML auf dem ExtraHop-System aktivieren
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Zugriffseinstellungen auf Fernauthentifizierung.
  3. Wählen Sie in der Dropdownliste Remoteauthentifizierungsmethode die Option SAML.
  4. klicken Weiter.
  5. klicken SP-Metadaten anzeigen. Sie müssen die ACS-URL und die Entitäts-ID kopieren, um sie im nächsten Verfahren in die Okta-Konfiguration einzufügen.
SAML-Einstellungen in Okta konfigurieren

Bei diesem Verfahren müssen Sie Informationen zwischen den ExtraHop-Administrationseinstellungen und der Okta Classic-Benutzeroberfläche kopieren und einfügen. Daher ist es hilfreich, beide Benutzeroberflächen nebeneinander zu öffnen.

  1. Loggen Sie sich bei Okta ein.
  2. Ändern Sie in der oberen rechten Ecke der Seite die Ansicht von Entwickler-Konsole zu Klassische Benutzeroberfläche.
  3. Klicken Sie im oberen Menü auf Bewerbungen.
  4. klicken Anwendung hinzufügen.
  5. klicken Neue App erstellen.
  6. Aus dem Plattform Drop-down-Liste, wählen Netz.
  7. Für die Methode zur Anmeldung, wählen SAML 2.0 .
  8. klicken Erstellen.
  9. In der Allgemeine Einstellungen Abschnitt, geben Sie einen eindeutigen Namen in das App Namensfeld zur Identifizierung des ExtraHop-Systems.
  10. Optional: Konfigurieren Sie den Logo der App und Sichtbarkeit der App Felder, die für Ihre Umgebung erforderlich sind.
  11. klicken Weiter.
  12. In der SAML-Einstellungen Fügen Sie in den Abschnitten die URL des Assertion Consumer Service (ACS) aus dem ExtraHop-System in das Feld Single Sign On URL in Okta ein.
    Hinweis:Möglicherweise müssen Sie die ACS-URL manuell bearbeiten, wenn die URL einen nicht erreichbaren Hostnamen enthält, z. B. den Standardhostnamen des Systems extrahop. Wir empfehlen, dass Sie den vollqualifizierten Domänenname für das ExtraHop-System in der URL angeben.
  13. Fügen Sie die SP Entity ID aus dem ExtraHop-System in das Zielgruppen-URI (SP-Entitäts-ID) Feld in Okta.
  14. Aus dem Format der Namens-ID Drop-down-Liste, wählen Hartnäckig.
  15. Aus dem Nutzername der Anwendung Drop-down-Liste, wählen Sie ein Benutzernamenformat aus.
  16. In der Attributaussagen Abschnitt, fügen Sie die folgenden Attribute hinzu. Diese Attribute identifizieren den Benutzer im gesamten ExtraHop-System.
    Name Format des Namens Wert
    urn:oid:0.9.2342.19200300.100.1.3 URI-Referenz benutzer.email
    urn:oid:2.5.4.4 URI-Referenz Benutzer.Nachname
    urn:oid:2.5.4.42 URI-Referenz Benutzer.Vorname
  17. In der Anweisung zum Gruppenattribut Abschnitt, geben Sie eine Zeichenfolge in den Name Feld und Konfiguration eines Filters. Sie geben den Namen des Gruppenattributs an, wenn Sie Benutzerberechtigungsattribute auf dem ExtraHop-System konfigurieren.
    Die folgende Abbildung zeigt eine Beispielkonfiguration.

  18. klicken Weiter und dann klicken Fertig stellen.
    Sie kehren zur Seite mit den Anmeldeeinstellungen zurück.
  19. Klicken Sie im Bereich Einstellungen auf Anweisungen zur Einrichtung anzeigen.
    Ein neues Browserfenster wird geöffnet und zeigt Informationen an, die für die Konfiguration des ExtraHop-Systems erforderlich sind.
Weisen Sie das ExtraHop-System Okta-Gruppen zu
Wir gehen davon aus, dass Sie bereits Benutzer und Gruppen in Okta konfiguriert haben. Falls nicht, schlagen Sie in der Okta-Dokumentation nach, um neue Benutzer und Gruppen hinzuzufügen.
  1. Wählen Sie im Menü Verzeichnis Gruppen.
  2. Klicken Sie auf den Gruppennamen.
  3. klicken Apps verwalten.
  4. Suchen Sie den Namen der Anwendung, die Sie für das ExtraHop-System konfiguriert haben, und klicken Sie auf Zuweisen.
  5. klicken Erledigt.
Fügen Sie Informationen zum Identitätsanbieter im ExtraHop-System hinzu
  1. Kehren Sie zu den Administrationseinstellungen des ExtraHop-Systems zurück. Schließen Sie das Service Provider-Metadatenfenster, falls es noch geöffnet ist, und klicken Sie dann auf Identitätsanbieter hinzufügen.
  2. Geben Sie einen eindeutigen Namen in das Feld Anbietername ein. Dieser Name erscheint auf der Anmeldeseite des ExtraHop-Systems.


  3. Kopieren Sie von Okta das Single Sign-On-URL des Identitätsanbieters und fügen Sie es in das SSO-URL-Feld auf dem ExtraHop-System ein.
  4. Kopieren Sie von Okta das URL des Ausstellers des Identitätsanbieters und füge es in das Entitäts-ID Feld auf dem ExtraHop-System.
  5. Kopieren Sie von Okta aus das X.509-Zertifikat und fügen Sie es in das Öffentliches Zertifikat Feld auf dem ExtraHop-System.
  6. Wählen Sie aus einer der folgenden Optionen aus, wie Sie Benutzer bereitstellen möchten.
    • Wählen Sie Benutzer automatisch bereitstellen, um ein neues Remote-SAML-Benutzerkonto auf dem ExtraHop-System zu erstellen, wenn sich der Benutzer zum ersten Mal anmeldet.
    • Deaktivieren Sie das Kontrollkästchen Benutzer automatisch bereitstellen und konfigurieren Sie neue Remote-Benutzer manuell über die ExtraHop-Administrationseinstellungen oder die REST-API. Zugriffs- und Berechtigungsstufen werden durch die Benutzerkonfiguration in Okta bestimmt.
  7. Die Diesen Identitätsanbieter aktivieren Die Option ist standardmäßig ausgewählt und ermöglicht es Benutzern, sich beim ExtraHop-System anzumelden. Um zu verhindern, dass sich Benutzer anmelden, deaktivieren Sie das Kontrollkästchen.
  8. Konfigurieren Sie Benutzerberechtigungsattribute. Sie müssen den folgenden Satz von Benutzerattributen konfigurieren, bevor sich Benutzer über einen Identitätsanbieter beim ExtraHop-System anmelden können. Werte sind vom Benutzer definierbar; sie müssen jedoch mit den Attributnamen übereinstimmen, die in der SAML-Antwort Ihres Identity Providers enthalten sind. Bei Werten wird nicht zwischen Groß- und Kleinschreibung unterschieden und sie können Leerzeichen enthalten. Weitere Informationen zu Berechtigungsstufen finden Sie unter Benutzer und Benutzergruppen.
    Wichtig:Sie müssen den Attributnamen angeben und mindestens einen anderen Attributwert konfigurieren als Kein Zugriff um Benutzern die Anmeldung zu ermöglichen.
    In den folgenden Beispielen ist Name des Attributs Feld ist das Gruppenattribut, das bei der Erstellung der ExtraHop-Anwendung auf dem Identity Provider konfiguriert wurde, und Attributwerte sind die Namen Ihrer Benutzergruppen. Wenn ein Benutzer Mitglied von mehr als einer Gruppe ist, wird ihm die zulässige Zugriffsberechtigung gewährt.
  9. Konfigurieren Sie den Zugriff auf das NDR-Modul.
  10. Konfigurieren Sie den NPM-Modulzugriff.
  11. Optional: Konfigurieren Sie Pakete und den Zugriff auf Sitzungsschlüssel. Dieser Schritt ist optional und nur erforderlich, wenn Sie einen Packetstore und das Packet Forensics Modul verbunden haben.
  12. klicken Speichern.
  13. Speichern Sie die laufende Konfiguration.
Loggen Sie sich in das ExtraHop-System ein
  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. klicken Loggen Sie sich ein mit <provider name>.
  3. Melden Sie sich mit Ihrer E-Mail-Adresse und Ihrem Passwort bei Ihrem Anbieter an. Sie werden automatisch zur ExtraHop-Übersichtsseite weitergeleitet.

SAML-Single-Sign-On mit Google konfigurieren

Sie können Ihr ExtraHop-System so konfigurieren, dass sich Nutzer über den Google-Identitätsverwaltungsdienst beim System anmelden können.

Before you begin

  • Sie sollten mit der Verwaltung von Google Admin vertraut sein.
  • Sie sollten mit der Verwaltung von ExtraHop-Systemen vertraut sein.

Bei diesen Verfahren müssen Sie Informationen zwischen dem ExtraHop-System und der Google Admin-Konsole kopieren und einfügen. Daher ist es hilfreich, jedes System nebeneinander zu öffnen.

SAML auf dem ExtraHop-System aktivieren
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Zugriffseinstellungen auf Fernauthentifizierung.
  3. Wählen Sie in der Dropdownliste Remoteauthentifizierungsmethode die Option SAML.
  4. klicken Weiter.
  5. klicken SP-Metadaten anzeigen.
  6. Kopiere das ACS-URL und Entitäts-ID in eine Textdatei. Sie werden diese Informationen in einem späteren Verfahren in die Google-Konfiguration einfügen.
Fügen Sie benutzerdefinierte Benutzerattribute hinzu
  1. Melden Sie sich bei der Google Admin-Konsole an.
  2. klicken Nutzer.
  3. Klicken Sie auf das Symbol Benutzerdefinierte Attribute verwalten .
  4. klicken Benutzerdefiniertes Attribut hinzufügen.
  5. Geben Sie in das Feld Kategorie ein ExtraHop.
  6. Optional: Geben Sie eine Beschreibung in das Beschreibung Feld.
  7. In der Benutzerdefinierte Felder Abschnitt, geben Sie die folgenden Informationen ein.
    1. Geben Sie in das Feld Name Ebene schreiben.
    2. Aus dem Art der Information Drop-down-Liste, wählen Text.
    3. Aus dem Sichtbarkeit Drop-down-Liste, wählen Sichtbar für die Domain.
    4. Aus dem Anzahl der Werte Drop-down-Liste, wählen Einzelner Wert.
  8. Zugriff auf das NDR-Modul aktivieren
    1. In der Name Feld, Typ NDR-Ebene.
    2. Aus dem Art der Information Drop-down-Liste, wählen Text.
    3. Aus dem Sichtbarkeit Drop-down-Liste, wählen Sichtbar für die Domain.
    4. Aus dem Anzahl der Werte Drop-down-Liste, wählen Einzelner Wert.
  9. NPM-Modulzugriff aktivieren
    1. In der Name Feld, Typ npm-Ebene.
    2. Aus dem Art der Information Drop-down-Liste, wählen Text.
    3. Aus dem Sichtbarkeit Drop-down-Liste, wählen Sichtbar für die Domain.
    4. Aus dem Anzahl der Werte Drop-down-Liste, wählen Einzelner Wert.
  10. Optional: Wenn Sie Paketspeicher verbunden haben, aktivieren Sie den Paketzugriff, indem Sie ein benutzerdefiniertes Feld mit den folgenden Informationen konfigurieren.
    1. In der Name Feld, Typ Paketebene.
    2. Aus dem Art der Information Drop-down-Liste, wählen Text.
    3. Aus dem Sichtbarkeit Drop-down-Liste, wählen Sichtbar für die Domain.
    4. Aus dem Anzahl der Werte Drop-down-Liste, wählen Einzelner Wert.
  11. klicken Hinzufügen.
Fügen Sie Identitätsanbieterinformationen von Google zum ExtraHop-System hinzu
  1. Klicken Sie in der Google Admin-Konsole auf das Hauptmenüsymbol und wähle Apps > SAML-Apps.
  2. Klicken Sie auf SSO für eine SAML-Anwendung aktivieren Symbol .
  3. klicken RICHTE MEINE EIGENE BENUTZERDEFINIERTE APP EIN.
  4. Auf dem Google IdP-Informationen Bildschirm, klicken Sie auf Herunterladen Schaltfläche zum Herunterladen des Zertifikats (GoogleIDPCertificate.pem).
  5. Kehren Sie zu den Administrationseinstellungen des ExtraHop-Systems zurück.
  6. klicken Identitätsanbieter hinzufügen.
  7. Geben Sie einen eindeutigen Namen in das Name des Anbieters Feld. Dieser Name erscheint auf der Anmeldeseite des ExtraHop-Systems.
  8. Aus dem Google IdP-Informationen Bildschirm, kopiere die SSO-URL und füge sie in das SSO-URL Feld auf der ExtraHop-Appliance.
  9. Aus dem Google IdP-Informationen Bildschirm, kopieren Sie die Entitäts-ID und fügen Sie sie in das Feld Entitäts-ID auf dem ExtraHop-System ein.
  10. Öffne das GoogleIDPCertificate Kopieren Sie den Inhalt in einem Texteditor und fügen Sie ihn in den Öffentliches Zertifikat Feld auf dem ExtraHop-System.
  11. Wählen Sie aus einer der folgenden Optionen aus, wie Sie Benutzer bereitstellen möchten.
    • Wählen Automatische Bereitstellung von Benutzern um ein neues Remote-SAML-Benutzerkonto auf dem ExtraHop-System zu erstellen, wenn sich der Benutzer zum ersten Mal anmeldet .
    • Lösche das Automatische Bereitstellung von Benutzern kreuzen Sie das Kästchen an und konfigurieren Sie neue Remote-Benutzer manuell über die ExtraHop-Administrationseinstellungen oder die REST-API. Zugriffs- und Berechtigungsstufen werden durch die Benutzerkonfiguration in Google bestimmt.
  12. Die Diesen Identitätsanbieter aktivieren Die Option ist standardmäßig ausgewählt und ermöglicht es Benutzern, sich beim ExtraHop-System anzumelden. Um zu verhindern, dass sich Benutzer anmelden, deaktivieren Sie das Kontrollkästchen.
  13. Konfigurieren Sie Benutzerberechtigungsattribute. Sie müssen den folgenden Satz von Benutzerattributen konfigurieren, bevor sich Benutzer über einen Identitätsanbieter beim ExtraHop-System anmelden können. Werte sind vom Benutzer definierbar; sie müssen jedoch mit den Attributnamen übereinstimmen, die in der SAML-Antwort Ihres Identity Providers enthalten sind. Bei Werten wird nicht zwischen Groß- und Kleinschreibung unterschieden und sie können Leerzeichen enthalten. Weitere Informationen zu Berechtigungsstufen finden Sie unter Benutzer und Benutzergruppen..
    Wichtig:Sie müssen den Attributnamen angeben und mindestens einen anderen Attributwert konfigurieren als Kein Zugriff um Benutzern die Anmeldung zu ermöglichen.
    Im Beispiel unten ist der Name des Attributs Feld ist das Anwendungsattribut und das Wert des Attributs ist der Benutzerfeldname, der bei der Erstellung der ExtraHop-Anwendung auf dem Identity Provider konfiguriert wurde.
    Name des Feldes Beispiel für einen Attributwert
    Name des Attributs urn:extrahop:saml:2.0:Ebene schreiben
    System- und Zugriffsverwaltung illimitiert
    Volle Schreibrechte vollendes_schreiben
    Eingeschränkte Schreibrechte begrenztes_schreiben
    Persönliche Schreibrechte persönliches_schreiben
    Volle Leserechte full_readonly
    Eingeschränkte Leserechte restricted_readonly
    Kein Zugriff keine
  14. Konfigurieren Sie den Zugriff auf das NDR-Modul.
    Feld Beispiel für einen Attributwert
    Name des Attributs urn:extrahop:saml:2.0:ndrlevel
    Voller Zugriff voll
    Kein Zugriff keine
  15. Konfigurieren Sie den NPM-Modulzugriff.
    Feld Beispiel für einen Attributwert
    Name des Attributs urn:extrahop:saml:2.0:npmlevel
    Voller Zugriff voll
    Kein Zugriff keine
  16. Optional: Konfigurieren Sie Pakete und den Zugriff auf Sitzungsschlüssel. Die Konfiguration von Paketen und Sitzungsschlüsselattributen ist optional und nur erforderlich, wenn Sie über einen verbundenen Packetstore verfügen.
    Name des Feldes Beispiel für einen Attributwert
    Name des Attributs urn:extrahop:saml:2.0:Paketebene
    Pakete und Sitzungsschlüssel voll mit Schlüsseln
    Nur Pakete voll
    Nur Pakete, Scheiben Scheiben
    Kein Zugriff keine
  17. klicken Speichern.
  18. Speichern Sie die laufende Konfiguration.
ExtraHop-Dienstanbieterinformationen zu Google hinzufügen
  1. Kehren Sie zur Google Admin-Konsole zurück und klicken Sie auf Weiter auf dem Google Idp-Informationen Seite, um mit Schritt 3 von 5 fortzufahren.
  2. Geben Sie einen eindeutigen Namen in das Name der Anwendung Feld zur Identifizierung des ExtraHop-Systems. Jedes ExtraHop-System, für das Sie eine SAML-Anwendung erstellen, benötigt einen eindeutigen Namen.
  3. Optional: Geben Sie eine Beschreibung für diese Anwendung ein oder laden Sie ein benutzerdefiniertes Logo hoch.
  4. klicken Weiter.
  5. Kopiere das URL des Assertion Consumer Service (ACS) aus dem ExtraHop-System und fügen Sie es in das ACS-URL Feld in Google Admin.
    Hinweis:Möglicherweise müssen Sie die ACS-URL manuell bearbeiten, wenn die URL einen nicht erreichbaren Hostnamen enthält, z. B. den Standardhostnamen des Systems extrahop. Wir empfehlen, dass Sie den vollqualifizierten Domänenname für das ExtraHop-System in der URL angeben.
  6. Kopiere das SP-Entitäts-ID aus dem ExtraHop-System und fügen Sie es in das Entitäts-ID Feld in Google Admin.
  7. Wählen Sie den Signierte Antwort Checkbox.
  8. In der Name ID Abschnitt, belassen Sie die Standardeinstellung Grundlegende Informationen und Primäre E-Mail Einstellungen unverändert.
  9. Aus dem Format der Namens-ID Drop-down-Liste, wählen HARTNÄCKIG.
  10. klicken Weiter.
  11. Auf dem Zuordnung von Attributen Bildschirm, klicken NEUES MAPPING HINZUFÜGEN.
  12. Fügen Sie die folgenden Attribute genau wie gezeigt hinzu. Die ersten vier Attribute sind erforderlich. Die packetslevel Das Attribut ist optional und nur erforderlich, wenn Sie einen verbundenen Packetstore haben. Wenn Sie einen Packetstore haben und den nicht konfigurieren packetslevel Attribut, Benutzer können Paketerfassungen im ExtraHop-System nicht anzeigen oder herunterladen.
    Anwendungsattribut Kategorie Feld „Benutzer"
    urn:oid:0.9.2342.19200300.100.1.3 Grundlegende Informationen Primäre E-Mail
    urn: oid: 2.5.4.4 Grundlegende Informationen Nachname
    urn: oid: 2.5.4.42 Grundlegende Informationen Vorname
    urn:extrahop:saml:2.0:Ebene schreiben ExtraHop Ebene schreiben
    urn:extrahop:saml:2.0:ndrlevel ExtraHop NDR-Ebene
    urn:extrahop:saml:2.0:npmlevel ExtraHop npm-Ebene
    urn:extrahop:saml:2.0:Paketebene ExtraHop Paketebene
  13. klicken Fertig stellen und dann klicken OK.
  14. klicken Dienst bearbeiten.
  15. Wählen Für alle an, und klicken Sie dann auf Speichern.
Benutzerrechte zuweisen
  1. klicken Nutzer um zur Tabelle aller Benutzer in Ihren Organisationseinheiten zurückzukehren.
  2. Klicken Sie auf den Namen des Benutzers, dem Sie die Anmeldung am ExtraHop-System erlauben möchten.
  3. In der Informationen für den Nutzer Abschnitt, klicken Angaben zum Nutzer.
  4. Klicken Sie im Bereich ExtraHop auf Ebene schreiben und geben Sie eine der folgenden Berechtigungsstufen ein.
    • illimitiert
    • vollendes_schreiben
    • begrenztes_schreiben
    • persönliches_schreiben
    • full_readonly
    • restricted_readonly
    • keine
    Hinweise zu Benutzerberechtigungen finden Sie unter Benutzer und Benutzergruppen.
  5. Optional: Wenn du das hinzugefügt hast packetslevel Attribut oben, klicken Paketebene und geben Sie eines der folgenden Rechte ein.
    • voll
    • voll_mit_schreiben
    • keine
  6. Optional: Wenn du das hinzugefügt hast detectionslevel Attribut oben, klicken Erkennungsstufe und geben Sie eines der folgenden Rechte ein.
    • voll
    • keine
  7. klicken Speichern.
Loggen Sie sich in das ExtraHop-System ein
  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. klicken Loggen Sie sich ein mit <provider name>.
  3. Melden Sie sich mit Ihrer E-Mail-Adresse und Ihrem Passwort bei Ihrem Anbieter an. Sie werden automatisch zur ExtraHop-Übersichtsseite weitergeleitet.

Konfigurieren Sie die Remoteauthentifizierung über RADIUS

Das ExtraHop-System unterstützt den Remote Authentifizierung Dial In User Service (RADIUS) nur für die Fernauthentifizierung und die lokale Autorisierung. Für die Fernauthentifizierung unterstützt das ExtraHop-System unverschlüsselte RADIUS- und Klartext-Formate.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Auf Einstellungen zugreifen Abschnitt, klicken Fernauthentifizierung.
  3. Aus dem Methode zur Fernauthentifizierung Drop-down-Liste, wählen RADIUS und dann klicken Weiter.
  4. Auf dem RADIUS-Server hinzufügen Seite, geben Sie die folgenden Informationen ein:
    Gastgeber
    Der Hostname oder die IP-Adresse des RADIUS-Servers. Stellen Sie sicher, dass der DNS des ExtraHop-Systems richtig konfiguriert ist, wenn Sie einen Hostnamen angeben.
    Geheim
    Das gemeinsame Geheimnis zwischen dem ExtraHop-System und dem RADIUS-Server. Wenden Sie sich an Ihren RADIUS-Administrator, um den gemeinsamen geheimen Schlüssel zu erhalten.
    Auszeit
    Die Zeit in Sekunden, die das ExtraHop-System auf eine Antwort vom RADIUS-Server wartet, bevor es erneut versucht, die Verbindung herzustellen .
  5. klicken Server hinzufügen.
  6. Optional: Fügen Sie nach Bedarf weitere Server hinzu.
  7. klicken Speichern und beenden.
  8. Aus dem Optionen für die Zuweisung von Rechten Wählen Sie in der Dropdownliste eine der folgenden Optionen aus:
    • Remote-Benutzer haben vollen Schreibzugriff

      Diese Option gewährt entfernten Benutzern vollen Schreibzugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, SSL-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.

    • Remote-Benutzer haben vollen Lesezugriff

      Diese Option gewährt Remote-Benutzern nur Lesezugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, SSL-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.

  9. Optional: Konfigurieren Sie den Paket- und Sitzungsschlüsselzugriff. Wählen Sie eine der folgenden Optionen, um Remote-Benutzern das Herunterladen von Paketerfassungen und SSL-Sitzungsschlüsseln zu ermöglichen.
    • Kein Zugriff
    • Nur Paketsegmente
    • Nur Pakete
    • Pakete und Sitzungsschlüssel
  10. Optional: Konfigurieren Sie den Zugriff auf NDR- und NPM-Module.
    • Kein Zugriff
    • Voller Zugriff
  11. klicken Speichern und beenden.
  12. klicken Erledigt.

Konfiguration der Fernauthentifizierung über TACACS+

Das ExtraHop-System unterstützt Terminal Access Controller Access-Control System Plus (TACACS+) für die Fernauthentifizierung und Autorisierung.

Stellen Sie sicher, dass jeder Benutzer, der per Fernzugriff autorisiert werden soll, über die Auf dem TACACS+-Server konfigurierter ExtraHop-Dienst bevor Sie mit diesem Verfahren beginnen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Zugriffs-Einstellungen Abschnitt, klicken Fernauthentifizierung.
  3. Aus dem Methode zur Fernauthentifizierung Drop-down-Liste, wählen TACACS+, und klicken Sie dann Weiter.
  4. Auf dem TACACS+ Server hinzufügen Seite, geben Sie die folgenden Informationen ein:

    Gastgeber : Der Hostname oder die IP-Adresse des TACACS+-Servers. Stellen Sie sicher, dass der DNS des ExtraHop-Systems richtig konfiguriert ist, wenn Sie einen Hostnamen eingeben.

    Geheim : Das gemeinsame Geheimnis zwischen dem ExtraHop-System und dem TACACS+-Server . Wenden Sie sich an Ihren TACACS+-Administrator, um den gemeinsamen geheimen Schlüssel zu erhalten.

    Hinweis:Das Geheimnis darf das Nummernzeichen (#) nicht enthalten.

    Auszeit : Die Zeit in Sekunden, die das ExtraHop-System auf eine Antwort vom TACACS+-Server wartet, bevor es erneut versucht, eine Verbindung herzustellen.

  5. klicken Server hinzufügen.
  6. Optional: Fügen Sie nach Bedarf weitere Server hinzu.
  7. klicken Speichern und beenden.
  8. Aus dem Optionen für die Zuweisung von Berechtigungen Wählen Sie in der Dropdownliste eine der folgenden Optionen aus:
    • Berechtigungsstufe vom Remoteserver abrufen

      Diese Option ermöglicht es entfernten Benutzern, Rechtestufen vom Remoteserver zu erhalten. Sie müssen auch Berechtigungen auf dem TACACS+-Server konfigurieren.

    • Remote-Benutzer haben vollen Schreibzugriff

      Diese Option gewährt entfernten Benutzern vollen Schreibzugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, SSL-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.

    • Remote-Benutzer haben vollen Lesezugriff

      Diese Option gewährt Remote-Benutzern nur Lesezugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, SSL-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.

  9. Optional: Konfigurieren Sie den Paket- und Sitzungsschlüsselzugriff. Wählen Sie eine der folgenden Optionen, um Remote-Benutzern das Herunterladen von Paketerfassungen und SSL-Sitzungsschlüsseln zu ermöglichen.
    • Kein Zugriff
    • Nur Paketsegmente
    • Nur Pakete
    • Pakete und Sitzungsschlüssel
  10. Optional: Konfigurieren Sie den Zugriff auf NDR- und NPM-Module.
    • Kein Zugriff
    • Voller Zugriff
  11. klicken Speichern und beenden.
  12. klicken Erledigt.
Den TACACS+-Server konfigurieren

Zusätzlich zur Konfiguration der Remote-Authentifizierung auf Ihrem ExtraHop-System müssen Sie Ihren TACACS+-Server mit zwei Attributen konfigurieren, einem für den ExtraHop-Dienst und einem für die Berechtigungsstufe. Wenn Sie einen ExtraHop-Packetstore haben, können Sie optional ein drittes Attribut für die PCAP und Sitzungsschlüsselprotokollierung hinzufügen.

  1. Melden Sie sich bei Ihrem TACACS+-Server an und navigieren Sie zum Shell-Profil für Ihre ExtraHop-Konfiguration.
  2. Fügen Sie für das erste Attribut hinzu Bedienung.
  3. Fügen Sie für den ersten Wert hinzu zusätzlicher Hop.
  4. Fügen Sie für das zweite Attribut die Berechtigungsstufe hinzu, z. B. lesen/schreiben.
  5. Für den zweiten Wert addieren Sie 1.
    Die folgende Abbildung zeigt beispielsweise extrahop Attribut und eine Privilegienstufe von readwrite.
    Hier ist eine Tabelle mit verfügbaren Berechtigungsattributen, Werten und Beschreibungen:
    Attribut Wert Beschreibung
    setup 1 Erstellen und ändern Sie alle Objekte und Einstellungen auf dem ExtraHop-System und verwalten Sie den Benutzerzugriff
    readwrite 1 Alle Objekte und Einstellungen auf dem ExtraHop-System erstellen und ändern, ohne Administrationseinstellungen
    limited 1 Dashboards erstellen, ändern und teilen
    readonly 1 Objekte im ExtraHop-System anzeigen
    personal 1 Erstellen Sie persönliche Dashboards für sich selbst und ändern Sie alle Dashboards, die mit ihnen geteilt wurden
    limited_metrics 1 Geteilte Dashboards anzeigen
    ndrfull 1 Sicherheitserkennungen anzeigen, bestätigen und verbergen
    npmfull 1 Leistungserkennungen anzeigen, bestätigen und verbergen
    packetsfull 1 Pakete anzeigen und herunterladen, die in einem verbundenen Packetstore gespeichert sind.
    packetslicesonly 1 Paketsegmente in einem verbundenen Packetstore anzeigen und herunterladen.
    packetsfullwithkeys 1 Pakete und zugehörige Sitzungsschlüssel, die in einem verbundenen Packetstore gespeichert sind, anzeigen und herunterladen.
  6. Optional: Fügen Sie das folgende Attribut hinzu, damit Benutzer Sicherheitserkennungen anzeigen, bestätigen und verbergen können
    Attribut Wert
    ndr voll 1
  7. Optional: Fügen Sie das folgende Attribut hinzu, damit Benutzer Leistungserkennungen, die im ExtraHop-System angezeigt werden, anzeigen, bestätigen und verbergen können.
    Attribut Wert
    npm voll 1
  8. Optional: Wenn Sie einen ExtraHop-Packetstore haben, fügen Sie ein Attribut hinzu, das es Benutzern ermöglicht, Paketerfassungen oder Paketerfassungen mit zugehörigen Sitzungsschlüsseln herunterzuladen.
    Attribut Wert Beschreibung
    nur Scheiben verpacken 1 Benutzer mit jeder Berechtigungsstufe können die ersten 64 Byte von Paketen anzeigen und herunterladen.
    volle Pakete 1 Benutzer mit jeder Berechtigungsstufe können Pakete, die in einem verbundenen Packetstore gespeichert sind, anzeigen und herunterladen.
    packetslicesonly 1 Paketsegmente in einem verbundenen Packetstore anzeigen und herunterladen.
    Pakete voll mit Schlüsseln 1 Benutzer mit jeder Berechtigungsstufe können Pakete und zugehörige Sitzungsschlüssel, die in einem verbundenen Packetstore gespeichert sind, anzeigen und herunterladen.

API-Zugriff

Auf der Seite API-Zugriff können Sie den Zugriff auf die API-Schlüssel generieren, anzeigen und verwalten, die für die Ausführung von Vorgängen über die ExtraHop REST API erforderlich sind.

API-Schlüsselzugriff verwalten

Benutzer mit System- und Zugriffsadministrationsrechten können konfigurieren, ob Benutzer API-Schlüssel für das ExtraHop-System generieren können. Sie können nur lokalen Benutzern erlauben, Schlüssel zu generieren, oder Sie können die API-Schlüsselgenerierung auch vollständig deaktivieren.

Benutzer müssen einen API-Schlüssel generieren, bevor sie Operationen über die ExtraHop REST API ausführen können. Schlüssel können nur von dem Benutzer, der den Schlüssel generiert hat, oder von Systemadministratoren mit unbegrenzten Rechten eingesehen werden. Nachdem ein Benutzer einen API-Schlüssel generiert hat, muss er den Schlüssel an seine Anforderungsheader anhängen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Auf Einstellungen zugreifen Abschnitt, klicken API-Zugriff.
  3. In der API-Zugriff verwalten Abschnitt, wählen Sie eine der folgenden Optionen aus:
    • Allen Benutzern erlauben, einen API-Schlüssel zu generieren: Lokale und entfernte Benutzer können API-Schlüssel generieren.
    • Nur lokale Benutzer können einen API-Schlüssel generieren: Remote-Benutzer können keine API-Schlüssel generieren.
    • Kein Benutzer kann einen API-Schlüssel generieren: Es können keine API-Schlüssel von jedem Benutzer generiert werden.
  4. klicken Einstellungen speichern.

Konfiguration von Cross-Origin Resource Sharing (CORS)

Quellenübergreifende gemeinsame Nutzung von Ressourcen (CORS) ermöglicht Ihnen den Zugriff auf die ExtraHop REST API über Domänengrenzen hinweg und von bestimmten Webseiten aus, ohne dass die Anfrage über einen Proxyserver übertragen werden muss.

Sie können einen oder mehrere zulässige Ursprünge konfigurieren oder den Zugriff auf die ExtraHop REST API von einem beliebigen Ursprung aus zulassen. Nur Benutzer mit System- und Zugriffsadministrationsrechten können CORS-Einstellungen anzeigen und bearbeiten.
  1. In der Auf Einstellungen zugreifen Abschnitt, klicken API-Zugriff.
  2. In der CORS-Einstellungen Abschnitt, geben Sie eine der folgenden Zugriffskonfigurationen an.
    • Um eine bestimmte URL hinzuzufügen, geben Sie eine Quell-URL in das Textfeld ein und klicken Sie dann auf das Pluszeichen (+) oder drücken Sie die EINGABETASTE.

      Die URL muss ein Schema enthalten, z. B. HTTP oder HTTPSund den genauen Domänenname. Sie können keinen Pfad anhängen, Sie können jedoch eine Portnummer angeben.

    • Um den Zugriff von einer beliebigen URL aus zu ermöglichen, wählen Sie API-Anfragen von beliebigem Ursprung zulassen Checkbox.
      Hinweis:Das Zulassen des REST-API-Zugriffs von einem beliebigen Ursprung aus ist weniger sicher als die Bereitstellung einer Liste mit expliziten Ursprüngen.
  3. klicken Einstellungen speichern und dann klicken Erledigt.

Generieren Sie einen API-Schlüssel

Sie müssen einen API-Schlüssel generieren, bevor Sie Operationen über die ExtraHop REST API ausführen können. Schlüssel können nur von dem Benutzer eingesehen werden, der den Schlüssel generiert hat, oder von Benutzern mit System - und Zugriffsadministrationsrechten. Nachdem Sie einen API-Schlüssel generiert haben, fügen Sie den Schlüssel zu Ihren Anforderungsheadern oder dem ExtraHop REST API Explorer hinzu.

Before you begin

Stellen Sie sicher, dass das ExtraHop-System konfiguriert, um die Generierung von API-Schlüsseln zu ermöglichen.
  1. In der Zugriffs-Einstellungen Abschnitt, klicken API-Zugriff.
  2. In der Generieren Sie einen API-Schlüssel Abschnitt, geben Sie eine Beschreibung für den neuen Schlüssel ein, und klicken Sie dann auf Generieren.
  3. Scrollen Sie nach unten zum Abschnitt API-Schlüssel und kopieren Sie den API-Schlüssel, der Ihrer Beschreibung entspricht.
Sie können den Schlüssel in den REST API Explorer einfügen oder den Schlüssel an einen Anforderungsheader anhängen.

Privilegienstufen

Benutzerberechtigungen bestimmen, welche ExtraHop-System- und Verwaltungsaufgaben der Benutzer über die ExtraHop-REST-API ausführen kann.

Sie können die Berechtigungsstufen für Benutzer über die granted_roles und effective_roles Eigenschaften. Die granted_roles Die Eigenschaft zeigt Ihnen, welche Berechtigungsstufen dem Benutzer explizit gewährt wurden. Die effective_roles Die Eigenschaft zeigt Ihnen alle Berechtigungsstufen für einen Benutzer, einschließlich derer, die Sie außerhalb der zugewiesenen Rolle erhalten haben, z. B. über eine Benutzergruppe.

Die granted_roles und effective_roles Eigenschaften werden durch die folgenden Operationen zurückgegeben:

  • GET /users
  • GET /users/ {Nutzername}

Die granted_roles und effective_roles Eigenschaften unterstützen die folgenden Berechtigungsstufen. Beachten Sie, dass die Art der Aufgaben für jedes ExtraHop-System je nach verfügbarem Ressourcen sind im REST API Explorer aufgeführt und hängen von den für das System aktivierten Modulen und den Zugriffsberechtigungen für Benutzermodule ab.

Privilegienstufe Zulässige Aktionen
„system": „voll"
  • Aktivieren oder deaktivieren Sie die API-Schlüsselgenerierung für das ExtraHop-System.
  • Generieren Sie einen API-Schlüssel.
  • Sehen Sie sich die letzten vier Ziffern und die Beschreibung für jeden API-Schlüssel auf dem System an.
  • Löschen Sie API-Schlüssel für jeden Benutzer.
  • CORS anzeigen und bearbeiten.
  • Führen Sie alle Verwaltungsaufgaben aus, die über die REST-API verfügbar sind.
  • Führen Sie alle ExtraHop-Systemaufgaben aus, die über die REST-API verfügbar sind.
„write": „voll"
  • Generieren Sie Ihren eigenen API-Schlüssel.
  • Zeigen Sie Ihren eigenen API-Schlüssel an oder löschen Sie ihn.
  • Ändern Sie Ihr eigenes Passwort, aber Sie können keine anderen Verwaltungsaufgaben über die REST-API ausführen.
  • Führen Sie alle ExtraHop-Systemaufgaben aus, die über die REST-API verfügbar sind.
„write": „begrenzt"
  • Generieren Sie einen API-Schlüssel.
  • Zeigen Sie ihren eigenen API-Schlüssel an oder löschen Sie ihn.
  • Ändern Sie Ihr eigenes Passwort, aber Sie können keine anderen Verwaltungsaufgaben über die REST-API ausführen.
  • Führen Sie alle GET-Operationen über die REST-API aus.
  • Führen Sie Metrik- und Datensatzabfragen durch.
„write": „persönlich"
  • Generieren Sie einen API-Schlüssel.
  • Zeigen Sie Ihren eigenen API-Schlüssel an oder löschen Sie ihn.
  • Ändern Sie Ihr eigenes Passwort, aber Sie können keine anderen Verwaltungsaufgaben über die REST-API ausführen.
  • Führen Sie alle GET-Operationen über die REST-API aus.
  • Führen Sie Metrik- und Datensatzabfragen durch.
„metrics": „vollständig"
  • Generieren Sie einen API-Schlüssel.
  • Zeigen Sie Ihren eigenen API-Schlüssel an oder löschen Sie ihn.
  • Ändern Sie Ihr eigenes Passwort, aber Sie können keine anderen Verwaltungsaufgaben über die REST-API ausführen.
  • Führen Sie Metrik- und Datensatzabfragen durch.
„metrics": „eingeschränkt"
  • Generieren Sie einen API-Schlüssel.
  • Zeigen Sie Ihren eigenen API-Schlüssel an oder löschen Sie ihn.
  • Ändern Sie Ihr eigenes Passwort, aber Sie können keine anderen Verwaltungsaufgaben über die REST-API ausführen.
„ndr": „voll"
  • Sicherheitserkennungen anzeigen
  • Untersuchungen anzeigen und erstellen

Dies ist eine Modulzugriffsberechtigung, die einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:

  • „write": „voll"
  • „write": „begrenzt"
  • „write": „persönlich"
  • „schreiben": null
  • „metrics": „vollständig"
  • „metrics": „eingeschränkt"
„ndr": „keine"
  • Kein Zugriff auf Inhalte des NDR-Moduls

Dies ist eine Modulzugriffsberechtigung, die einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:

  • „write": „voll"
  • „write": „begrenzt"
  • „write": „persönlich"
  • „schreiben": null
  • „metrics": „vollständig"
  • „metrics": „eingeschränkt"
„npm": „voll"
  • Leistungserkennungen anzeigen
  • Dashboards anzeigen und erstellen
  • Benachrichtigungen anzeigen und erstellen

Dies ist eine Modulzugriffsberechtigung, die einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:

  • „write": „voll"
  • „write": „begrenzt"
  • „write": „persönlich"
  • „schreiben": null
  • „metrics": „vollständig"
  • „metrics": „eingeschränkt"
„npm": „keine"
  • Kein Zugriff auf den Inhalt des NPM-Moduls

Dies ist eine Modulzugriffsberechtigung, die einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:

  • „write": „voll"
  • „write": „begrenzt"
  • „write": „persönlich"
  • „schreiben": null
  • „metrics": „vollständig"
  • „metrics": „eingeschränkt"
„Pakete": „voll"
  • Pakete anzeigen und herunterladen über GET/packetcaptures/{id} Betrieb.

Dies ist eine Zusatzberechtigung, die einem Benutzer mit einer der folgenden Berechtigungsstufen gewährt werden kann:

  • „write": „voll"
  • „write": „begrenzt"
  • „write": „persönlich"
  • „schreiben": null
  • „metrics": „vollständig"
  • „metrics": „eingeschränkt"
„Pakete": „full_with_keys"
  • Pakete anzeigen und herunterladen über GET/packetcaptures/{id} Betrieb.

Dies ist eine Zusatzberechtigung, die einem Benutzer mit einer der folgenden Berechtigungsstufen gewährt werden kann:

  • „write": „voll"
  • „write": „begrenzt"
  • „write": „persönlich"
  • „schreiben": null
  • „metrics": „vollständig"
  • „metrics": „eingeschränkt"
„packages": „slices_only"
  • Sehen Sie sich die ersten 64 Byte von Paketen an und laden Sie sie herunter über GET/packetcaptures/{id} Betrieb.

Dies ist eine Zusatzberechtigung, die einem Benutzer mit einer der folgenden Berechtigungsstufen gewährt werden kann:

  • „write": „voll"
  • „write": „begrenzt"
  • „write": „persönlich"
  • „schreiben": null
  • „metrics": „vollständig"
  • „metrics": „eingeschränkt"

Konfiguration des Systems

In der Konfiguration des Systems In diesem Abschnitt können Sie die folgenden Einstellungen ändern.

Erfassen
Konfigurieren Sie die Netzwerkaufzeichnungseinstellungen. (Nur Sensoren)
Datenspeicher
Konfigurieren Sie einen erweiterten Datenspeicher oder setzen Sie den lokalen Datenspeicher zurück. (Nur Sensoren)
Benennung von Geräten
Konfigurieren Sie die Rangfolge, wenn mehrere Namen für ein Gerät gefunden werden.
Inaktive Quellen
Entfernen Sie Geräte und Anwendungen, die zwischen 1 und 90 Tagen inaktiv waren, aus den Suchergebnissen.
Nachverfolgung von Erkennungen
Wählen Sie aus, ob Erkennungsuntersuchungen mit dem ExtraHop-System oder von einem externen Ticketsystem aus verfolgt werden sollen.
Endpunktsuche
Konfigurieren Sie Links zu einem externen IP-Adress-Suchtool für Endgeräte im ExtraHop-System .
Geomap-Datenquelle
Ändern Sie die Informationen in Geomaps.
Offene Datenströme
Senden Sie Protokolldaten an ein Drittanbietersystem, z. B. ein Syslog-System, eine MongoDB-Datenbank oder einen HTTP-Server. (Nur Sensoren)
Tendenzen
Setzen Sie alle Trends und trendbasierten Benachrichtigungen zurück. (Nur Sensoren).
Sichern und Wiederherstellen
Erstellen, Anzeigen oder Wiederherstellen von Systemsicherungen.

Erfassen

Die Capture-Seite bietet Steuerelemente, mit denen Sie einstellen können, wie das ExtraHop-System Ihren Netzwerkverkehr zur Analyse erfasst.

Protokollmodule ausschließen

Standardmäßig sind alle unterstützten Module auf dem ExtraHop-System in der Erfassung enthalten, sofern Sie sie nicht manuell ausschließen.

  1. klicken Konfiguration des Systems > Erfassung.
  2. klicken Ausgeschlossene Protokollmodule.
  3. Hinzufügen Modul zum Ausschließen.
  4. Auf dem Wählen Sie das auszuschließende Protokollmodul aus Seite, von der Name des Moduls Wählen Sie in der Dropdownliste das Modul aus, das Sie von der Erfassung ausschließen möchten .
  5. klicken Hinzufügen.
  6. Auf dem Ausgeschlossene Protokollmodule Seite, klick Capture neu starten.
  7. Nachdem die Aufnahme neu gestartet wurde, klicken Sie auf OK.
Um das Modul wieder aufzunehmen, klicken Sie auf das rote X, um es aus der Liste der aktuell ausgeschlossenen Module zu löschen.

MAC-Adressen ausschließen

Fügen Sie Filter hinzu, um bestimmte MAC-Adressen oder Gerätedatenverkehr von Herstellern von der Netzwerkerfassung auszuschließen

  1. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  2. klicken MAC-Adressfilter.
  3. klicken Filter hinzufügen.
  4. In der MAC-Adresse Feld, geben Sie die auszuschließende MAC-Adresse ein.
  5. In der Maske Feld, geben Sie die Maske ein, um anzugeben, wie viele Bits, von links nach rechts, der Filter mit der MAC-Adresse vergleicht.
  6. klicken Hinzufügen.
    Im folgenden Beispiel wird die vollständige MAC-Adresse von der Erfassung ausgeschlossen:

    MAC-Adresse: 60:98:2 D:B1:EC:42

    Maske: FF: FF: FF: FF: FF: FF

    In diesem Beispiel werden nur die ersten 24 Bit auf Ausschluss geprüft:

    MAC-Adresse: 60:98:2 D:B1:EC:42

    Maske: FF:FF:FF: 00:00:00

Um eine MAC-Adresse wieder einzufügen, klicken Sie auf Löschen um die Adresse aus der Liste zu entfernen.

Eine IP-Adresse oder einen Bereich ausschließen

Fügen Sie Filter hinzu, um bestimmte IP-Adressen und IP-Bereiche von der Netzwerkerfassung auf dem ExtraHop-System auszuschließen.

  1. klicken Konfiguration des Systems > Erfassen.
  2. klicken IP-Adressfilter.
  3. klicken Filter hinzufügen.
  4. Auf dem IP-Adressfilter Geben Sie auf dieser Seite entweder eine einzelne IP-Adresse ein, die Sie ausschließen möchten, oder eine IP-Adressmaske im CIDR-Format für einen Bereich von IP-Adressen, die Sie ausschließen möchten.
  5. klicken Hinzufügen.
Um eine IP-Adresse oder einen Bereich wieder einzubeziehen, klicken Sie auf Löschen neben dem Filter für jede Adresse.

Einen Port ausschließen

Fügen Sie Filter hinzu, um Traffic von bestimmten Ports von der Netzwerkerfassung auf dem ExtraHop-System auszuschließen.

  1. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  2. klicken Port-Filter.
  3. klicken Filter hinzufügen.
  4. Auf dem Portfilter hinzufügen Seite, geben Sie den Port ein, den Sie ausschließen möchten.
    • Um einen Quellport anzugeben, den Sie ausschließen möchten, geben Sie die Portnummer in das Feld Quellport Feld.
    • Um einen Zielport anzugeben, den Sie ausschließen möchten, geben Sie die Portnummer in das Feld Zielhafen Feld.
  5. Aus dem IP-Protokoll Wählen Sie in der Dropdownliste das Protokoll aus, das Sie auf dem angegebenen Port ausschließen möchten.
  6. klicken Hinzufügen.
Um einen Port wieder einzubeziehen, klicken Sie auf Löschen neben dem Hafen.

Filterung und Datendeduplikation

In der folgenden Tabelle finden Sie die Auswirkungen von Filterung und Datendeduplikation auf Metriken, PCAP und Geräteerkennung. Die Deduplizierung ist auf dem System standardmäßig aktiviert.

Paket gelöscht von MAC-Adressfilter IP-Adressfilter Anschlussfilter L2-Deduplizierung L3-Deduplizierung
Netzwerk-VLAN L2-Metriken Nicht gesammelt Nicht gesammelt Nicht fragmentiert*: Nicht gesammelt

Fragmentiert: Gesammelt

Nicht gesammelt Gesammelt
Netzwerk-VLAN L3-Metriken Nicht gesammelt Nicht gesammelt Nicht fragmentiert: Nicht gesammelt

Fragmentiert: Gesammelt

Nicht gesammelt Gesammelt
L2/L3-Metriken für Geräte Nicht gesammelt Nicht gesammelt Nicht fragmentiert: Nicht gesammelt

Fragmentiert, auf oberster Ebene: Gesammelt

Fragmentiert, Detail: Nicht gesammelt

Nicht gesammelt Gesammelt
Globale PCAP-Pakete Gefangen Gefangen Gefangen Gefangen Gefangen
Precision PCAP-Pakete Nicht erfasst Nicht erfasst Nicht erfasst Nicht erfasst Gefangen
L2-Geräteerkennung Keine Entdeckung Entdeckung Entdeckung -- --
L3-Geräteerkennung Keine Entdeckung Keine Entdeckung Nicht fragmentiert: Keine Entdeckung

Fragmentiert: Discovery

-- --

*Wenn bei Portfiltern IP-Fragmente im Datenfeed vorhanden sind, wird bei der erneuten Zusammenstellung des Fragments keine Portnummer bestimmt. Das ExtraHop-System sammelt möglicherweise Messwerte, erfasst Pakete oder erkennt ein Gerät, auch wenn die Port-Filterregel dies andernfalls ausschließt.

L2-Duplikate sind identische Ethernet-Frames. Die doppelten Frames sind normalerweise nicht auf der Leitung vorhanden, sondern sind ein Artefakt der Datenfeed-Konfiguration. L3-Duplikate sind Frames, die sich nur im L2-Header und IP-TTL unterscheiden. Diese Frames entstehen normalerweise durch Tippen auf beiden Seiten eines Routers. Da diese Frames im überwachten Netzwerk vorhanden sind, werden sie an den oben genannten Orten auf L2 und L3 gezählt. Die L3-Deduplizierung ist beispielsweise auf L4 und höher ausgerichtet, um zu vermeiden, dass die L3-Duplikate als TCP-Neuübertragungen gezählt werden.

Protokollklassifizierung

Die Protokollklassifizierung basiert auf bestimmten Payloads, um benutzerdefinierte Protokolle über bestimmte Ports zu identifizieren. Bei diesen Protokollen handelt es sich um Layer-7-Protokolle (Anwendungsschicht), die über dem Layer-4-Protokoll (TCP oder UDP) liegen. Diese Anwendungen haben ihr eigenes benutzerdefiniertes Protokoll und verwenden auch das TCP-Protokoll.

Die Protokollklassifizierung page bietet eine Schnittstelle zur Ausführung der folgenden Funktionen:

  • Listet Anwendungen und Ports für die folgenden Netzwerkentitäten auf:
    • Weit bekannte Anwendungen, die nicht standardmäßigen Ports zugeordnet sind.
    • Weniger bekannte und kundenspezifische Netzwerkanwendungen.
    • Unbenannte Anwendungen mit TCP- und UDP-Verkehr (z. B. TCP 1234).
  • Fügen Sie eine benutzerdefinierte Zuordnung von Protokoll zu Anwendung hinzu, die die folgenden Informationen enthält:
    Name
    Der vom Benutzer angegebene Protokollname.
    Protokoll
    Das ausgewählte Layer-4-Protokoll (TCP oder UDP).
    Quelle
    (Optional) Der angegebene Quellport. Port 0 steht für einen beliebigen Quellport.
    Reiseziel
    Der Zielport oder der Portbereich.
    Lose Initiation
    Aktivieren Sie dieses Kontrollkästchen, wenn der Classifier versuchen soll, die Verbindung zu kategorisieren, ohne dass die Verbindung geöffnet wird. ExtraHop empfiehlt, für langlebige Ströme die Wahl einer lockeren Initiation zu wählen.

    Standardmäßig verwendet das ExtraHop-System eine lose initiierte Protokollklassifizierung und versucht daher, zu klassifizieren Flüsse auch nachdem die Verbindung initiiert wurde. Sie können die lose Initiation für Ports deaktivieren, die nicht immer den Protokollverkehr übertragen (z. B. den Platzhalterport 0).

  • Löscht Protokolle mit dem ausgewählten Anwendungsnamen und der Portzuordnung aus der Liste.

    Der Anwendungsname und der Port werden weder im ExtraHop-System noch in Berichten angezeigt, die auf zukünftigen Datenerfassungen basieren. Das Gerät wird in Berichten mit historischen Daten angezeigt, wenn das Gerät innerhalb des gemeldeten Zeitraums aktiv und auffindbar war.

  • Starten Sie die Netzwerkerfassung neu.
    • Sie müssen die Netzwerkerfassung neu starten, bevor Änderungen der Protokollklassifizierung wirksam werden.
    • Zuvor gesammelte Erfassungsdaten bleiben erhalten.

Das ExtraHop-System erkennt die meisten Protokolle mit einigen Ausnahmen an ihren Standardports. In der Performance Edition werden die folgenden Protokolle an jedem Port erkannt:

  • AJP
  • DTLS
  • FIX
  • HTTP
  • HTTP2
  • IIOP
  • Java RMI
  • LDAP
  • RPC
  • SSH
  • SSL

Auf Reveal (x) 360 werden die folgenden Protokolle an jedem Port erkannt:

  • Ethminer
  • Blockvorlage abrufen
  • RDP
  • RFB
  • Schicht
  • LDAP
  • Java RMI
  • IIOP

In einigen Fällen, wenn ein Protokoll über einen nicht standardmäßigen Port kommuniziert, muss der nicht standardmäßige Port auf der Seite Protokollklassifizierung hinzugefügt werden. In diesen Fällen ist es wichtig, den nicht standardmäßigen Port richtig zu benennen. In der folgenden Tabelle sind die Standardports für jedes der Protokolle sowie der Protokollname aufgeführt, der beim Hinzufügen der benutzerdefinierten Portnummern auf der Seite Protokollklassifizierung angegeben werden muss.

In den meisten Fällen entspricht der eingegebene Name dem Namen des Protokoll. Die häufigsten Ausnahmen von dieser Regel sind Oracle (wo der Protokollname TNS ist) und Microsoft SQL (wo der Protokollname TDS ist).

Wenn Sie einen Protokollnamen hinzufügen, der mehrere Zielports hat, fügen Sie den gesamten Portbereich hinzu, getrennt durch einen Bindestrich (-). Wenn Ihr Protokoll beispielsweise das Hinzufügen der Ports 1434, 1467 und 1489 für Datenbankverkehr erfordert, geben Sie ein 1434-1489 in der Zielhafen Feld. Alternativ können Sie jeden der drei Ports in drei separaten Protokollklassifizierungen mit demselben Namen hinzufügen.

Kanonischer Name Name des Protokolls Verkehr Standard-Quellport Standard-Zielport
ActiveMQ ActiveMQ TCP 0 61616
AJP AJP TCP 0 8009
CIFS CIFS TCP 0 139, 445
DB2 DB2 TCP 0 50000, 60000
DHCP DHCP TCP 68 67
Durchmesser AAA TCP 0 3868
DICOM DICOM TCP 0 3868
DNS DNS TCP, UDP 0 53
FIX FIX TCP 0 0
FTP FTP TCP 0 21
FTP-DATEN FTP-DATEN TCP 0 20
HL7 HL7 TCP, UDP 0 2575
HTTPS HTTPS TCP 0 443
IBM MQ IBMMQ TCP, UDP 0 1414
ICA ICA TCP 0 1494, 2598
IKE IKE UDP 0 500
IMAP IMAP TCP 0 143
IMAPS IMAPS TCP 0 993
Informix Informix TCP 0 1526, 1585
IPSEC IPSEC TCP, UDP 0 1293
IPX IPX TCP, UDP 0 213
IRC IRC TCP 0 6660-6669
ISAKMP ISAKMP UDP 0 500
iSCSI iSCSI TCP 0 3260
Kerberos Kerberos TCP, UDP 0 88
LDAP LDAP TCP 0 389, 390, 3268
LLDP LLDP Link-Ebene N/A N/A
L2TP L2TP UDP 0 1701
Memcache Memcache TCP 0 11210, 11211
Modbus Modbus TCP 0 502
MongoDB MongoDB TCP 0 27017
MS SQL Server TDS TCP 0 1433
MSMQ MSMQ TCP 0 1801
MSRPC MSRPC TCP 0 135
MySQL MySQL TCP 0 3306
NetFlow NetFlow UDP 0 2055
NFS NFS TCP 0 2049
NFS NFS UDP 0 2049
NTP NTP UDP 0 123
OpenVPN OpenVPN UDP 0 1194
Orakel TNS TCP 0 1521
PCoIP PCoIP UDP 0 4172
POP3 POP3 TCP 0 143
POP3S POP3S TCP 0 995
PostgreSQL PostgreSQL TCP 0 5432
RADIUS AAA TCP 0 1812, 1813
RADIUS AAA UDP 0 1645, 1646, 1812, 1813
RDP RDP TCP 0 3389
Redis Redis TCP 0 6397
RFB RFB TCP 0 5900
SCCP SCCP TCP 0 2000
SIP SIP TCP 0 5060, 5061
SMPP SMPP TCP 0 2775
SMTP SMTP TCP 0 25
SNMP SNMP UDP 0 162
SSH SSH TCP 0 0
SSL SSL TCP 0 443
Sybase Sybase TCP 0 10200
Sybase IQ Sybase IQ TCP 0 2638
Syslog Syslog UDP 0 514
Telnet Telnet TCP 0 23
VNC VNC TCP 0 5900
WebSocket WebSocket TCP 0 80, 443
Optimierung der Windows Update-Lieferung Optimierung der Windows Update-Zustellung TCP 0 7860

Der in der Spalte Protokollname in der Tabelle angegebene Name wird auf der Seite Protokollklassifizierung angezeigt, um ein allgemeines Protokoll zu klassifizieren, das über nicht standardmäßige Ports kommuniziert.

Zu den Protokollen im ExtraHop-System, die in dieser Tabelle nicht aufgeführt sind, gehören:

HTTP
Das ExtraHop-System klassifiziert HTTP auf allen Ports.
HTTP-AMF
Dieses Protokoll läuft auf HTTP und wird automatisch klassifiziert.

Zu den Protokollen in dieser Tabelle, die im ExtraHop-System nicht aufgeführt sind, gehören:

FTP-DATEN
Das ExtraHop-System verarbeitet keine FTP-DATA an nicht standardmäßigen Ports.
LLDP
Da es sich um ein Protokoll auf Verbindungsebene handelt, gilt keine portbasierte Klassifizierung.
Fügen Sie eine benutzerdefinierte Protokollklassifizierung hinzu

Das folgende Verfahren beschreibt, wie Sie benutzerdefinierte hinzufügen Protokoll Klassifikationsetiketten mit dem TDS-Protokoll (MS SQL Server) als Beispiel.

Standardmäßig sucht das ExtraHop-System auf TCP-Port 1533 nach TDS-Verkehr. Gehen Sie wie folgt vor, um MS SQL Server TDS-Parsing an einem anderen Port hinzuzufügen.

  1. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  2. klicken Protokollklassifizierung.
  3. klicken Protokoll hinzufügen.
  4. Auf dem Protokollklassifizierung Seite, geben Sie die folgenden Informationen ein:
    Name
    Wählen Sie im Drop-down-Menü Benutzerdefiniertes Etikett hinzufügen....
    Name
    Geben Sie TDS als Namen für das benutzerdefinierte Protokoll ein.
    Protokoll
    Wählen Sie aus der Dropdownliste ein L4-Protokoll aus, das dem benutzerdefinierten Protokoll zugeordnet werden soll (in diesem Beispiel TCP).
    Quelle
    Der Quellport für das benutzerdefinierte Protokoll. (Der Standardwert 0 gibt einen beliebigen Quellport an.)
    Reiseziel
    Der Zielport für das benutzerdefinierte Protokoll. Um einen Portbereich anzugeben, setzen Sie einen Bindestrich zwischen dem ersten und dem letzten Port im Bereich. Zum Beispiel 3400-4400.
    Lose Initiation
    Aktivieren Sie dieses Kontrollkästchen, wenn der Classifier versuchen soll, die Verbindung zu kategorisieren, ohne dass die Verbindung geöffnet wird. ExtraHop empfiehlt, für langlebige Ströme die Wahl einer lockeren Initiation zu wählen.

    Standardmäßig verwendet das ExtraHop-System eine lose initiierte Protokollklassifizierung und versucht daher, zu klassifizieren Flüsse auch nachdem die Verbindung initiiert wurde. Sie können die lose Initiation für Ports deaktivieren, die nicht immer den Protokollverkehr übertragen ( z. B. den Platzhalterport 0).

  5. klicken Hinzufügen.
  6. Bestätigen Sie die Änderung der Einstellung und klicken Sie dann auf Capture neu starten damit die Änderung wirksam wird. Dadurch wird die Datenerfassung kurzzeitig unterbrochen.
  7. Nach dem Neustart der Aufnahme wird eine Bestätigungsmeldung angezeigt. klicken Erledigt.
  8. Diese Änderung wurde auf die laufende Konfiguration angewendet. Wenn Sie die Änderung an der laufenden Konfiguration speichern, wird sie beim Neustart des ExtraHop-Systems erneut angewendet. klicken Änderungen ansehen und speichern oben auf dem Bildschirm.
  9. klicken Speichern um die Änderung in die Standardkonfiguration zu schreiben.
  10. Nachdem die Konfiguration gespeichert wurde, wird eine Bestätigungsmeldung angezeigt. klicken Erledigt.
Datenbank Statistiken werden jetzt für alle Geräte angezeigt, auf denen TDS auf dem hinzugefügten Port ausgeführt wird (in diesem Beispiel 65000). Diese Einstellung wird auf die gesamte Erfassung angewendet, sodass Sie sie nicht für jedes Gerät einzeln hinzufügen müssen.

Geräteerkennung konfigurieren

Das ExtraHop-System kann Geräte anhand ihrer MAC-Adresse (L2 Discovery) oder anhand ihrer IP-Adressen (L3 Discovery) erkennen und verfolgen. L2 Discovery bietet den Vorteil, dass Messwerte für ein Gerät auch dann verfolgt werden können, wenn die IP-Adresse durch eine DHCP-Anfrage geändert oder neu zugewiesen wird. Das System kann VPN-Clients auch automatisch erkennen.

Before you begin

Erfahre wie Geräteerkennung und L2-Entdeckung funktioniert im ExtraHop-System. Das Ändern dieser Einstellungen wirkt sich darauf aus, wie Metriken mit Geräten verknüpft werden.
Hinweis:Paketbroker können ARP-Anfragen filtern. Das ExtraHop-System stützt sich auf ARP-Anfragen, um L3-IP-Adressen mit L2-MAC-Adressen zu verknüpfen.
Entdecken Sie lokale Geräte

Wenn Sie L3 Discovery aktivieren, werden lokale Geräte anhand ihrer IP-Adresse verfolgt. Das System erstellt einen übergeordneten L2-Eintrag für die MAC-Adresse und einen untergeordneten L3-Eintrag für die IP-Adresse. Wenn sich die IP-Adresse eines Gerät im Laufe der Zeit ändert, wird möglicherweise ein einziger Eintrag für ein übergeordnetes L2-Objekt mit einer MAC-Adresse mit mehreren untergeordneten L3-Einträgen mit unterschiedlichen IP-Adressen angezeigt.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  3. klicken Erkennung von Geräten.
  4. In der Lokale Geräteerkennung Abschnitt, wählen Sie aus den folgenden Optionen:
    • Wählen Sie den Lokale Geräteerkennung aktivieren Kontrollkästchen , um L3 Discovery zu aktivieren.
    • Lösche das Lokale Geräteerkennung aktivieren Kontrollkästchen , um L2 Discovery zu aktivieren.
  5. klicken Speichern.
Entdecken Sie Remote-Geräte anhand der IP-Adresse

Sie können das ExtraHop-System so konfigurieren, dass Geräte in Remote-Subnetzen automatisch erkannt werden, indem Sie einen Bereich von IP-Adressen hinzufügen.

Hinweis: Wenn Ihr ExtraHop-System für L2 Discovery konfiguriert ist und Ihre Remote-Geräte IP-Adressen über einen DHCP-Relay-Agenten anfordern, können Sie Geräte anhand ihrer MAC-Adresse verfolgen, und Sie müssen Remote L3 Discovery nicht konfigurieren. Erfahre mehr über Geräteerkennung.
Wichtige Überlegungen zu Remote L3 Discovery:
  • L2-Informationen, wie die MAC-Adresse des Geräts und der L2-Verkehr, sind nicht verfügbar, wenn sich das Gerät in einem anderen Netzwerk befindet als dem, das vom ExtraHop-System überwacht wird. Diese Informationen werden nicht von Routern weitergeleitet und sind daher für das ExtraHop-System nicht sichtbar.
  • Seien Sie vorsichtig, wenn Sie die CIDR-Notation angeben. Ein /24-Subnetzpräfix kann dazu führen , dass 255 neue Geräte vom ExtraHop-System erkannt werden. Ein breites /16-Subnetzpräfix kann dazu führen, dass 65.535 neue Geräte erkannt werden, was Ihr Gerätelimit überschreiten könnte.
  • Wenn eine IP-Adresse aus den Remote L3 Gerät Discovery-Einstellungen entfernt wird, bleibt die IP-Adresse im ExtraHop-System als fernes L3-Gerät bestehen, solange aktive Datenflüsse für diese IP-Adresse existieren oder bis die Erfassung neu gestartet wird. Nach einem Neustart wird das Gerät als inaktives Remote-L3-Gerät aufgeführt.

    Wenn dieselbe IP-Adresse später über den lokalen Datenfeed hinzugefügt wird, kann dieses entfernte L3-Gerät zu einem lokalen L3-Gerät wechseln, jedoch nur, wenn der Erfassungsvorgang neu gestartet und die Einstellung Lokale Geräteerkennung aktiviert ist.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  3. klicken Erkennung von Geräten.
  4. Geben Sie im Abschnitt Remote Device Discovery die IP-Adresse in das IP-Adressbereiche Feld. Sie können eine IP-Adresse oder eine CIDR-Notation angeben, z. B. 192.168.0.0/24 für ein IPv4-Netzwerk oder 2001:db8::/32 für ein IPv6-Netzwerk.
    Wichtig:Jede aktiv kommunizierende Remote-IP-Adresse, die dem CIDR-Block entspricht, wird im ExtraHop-System als einzelnes Gerät erkannt. Die Angabe breiter Subnetzpräfixe wie /16 kann dazu führen, dass Tausende von Geräten erkannt werden, was Ihr Gerätelimit überschreiten könnte.
  5. Klicken Sie auf das grüne Plus-Symbol (+), um die IP-Adresse hinzuzufügen. Sie können eine weitere IP-Adresse oder einen Bereich von IP-Adressen hinzufügen, indem Sie die Schritte 5 bis 6 wiederholen.
Wichtig:Der Erfassungsprozess muss neu gestartet werden, wenn IP-Adressbereiche entfernt werden, bevor die Änderungen wirksam werden. Wir empfehlen, alle Einträge zu löschen, bevor Sie den Aufnahmevorgang neu starten. Der Erfassungsprozess muss beim Hinzufügen von IP-Adressbereichen nicht neu gestartet werden.
Entdecken Sie VPN-Clients

Aktivieren Sie die Erkennung interner IP-Adressen, die VPN-Clientgeräten zugeordnet sind.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  3. klicken Erkennung von Geräten.
  4. In der Erkennung von VPN-Clients Abschnitt, wählen Sie aus den folgenden Optionen:
    • Wählen Sie den VPN-Client-Erkennung aktivieren Kontrollkästchen , um die VPN-Client-Erkennung zu aktivieren.
    • Lösche das VPN-Client-Erkennung aktivieren Kontrollkästchen, um die VPN-Client-Erkennung zu deaktivieren.
  5. klicken Speichern.

SSL-Entschlüsselung

Das ExtraHop-System unterstützt die Echtzeit-Entschlüsselung von SSL-Verkehr zur Analyse. Bevor das System Ihren Datenverkehr entschlüsseln kann, müssen Sie die Weiterleitung von Sitzungsschlüsseln konfigurieren oder ein SSL-Serverzertifikat und einen privaten Schlüssel hochladen. Das Serverzertifikat und die privaten Schlüssel werden über eine HTTPS-Verbindung von einem Webbrowser in das ExtraHop-System hochgeladen.

Hinweis:Ihr Serververkehr muss über einen von verschlüsselt werden diese unterstützten Cipher Suites.
Hilfe auf dieser Seite
Hinweis:Für die SSL-Entschlüsselung ist eine Lizenz erforderlich. Wenn Sie jedoch über eine Lizenz für MS SQL verfügen, können Sie auch ein SSL-Zertifikat hochladen, um den MS SQL-Verkehr aus diesen Einstellungen zu entschlüsseln.
Laden Sie ein PEM-Zertifikat und einen privaten RSA-Schlüssel hoch
Hinweis:Sie können einen kennwortgeschützten Schlüssel exportieren, um ihn Ihrem ExtraHop-System hinzuzufügen, indem Sie den folgenden Befehl in einem Programm wie OpenSSL ausführen:
openssl rsa -in yourcert.pem -out new.key
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken SSL-Entschlüsselung.
  4. In der Entschlüsselung von privaten Schlüsseln Abschnitt, aktivieren Sie das Kontrollkästchen für Private Schlüssel erforderlich.
  5. klicken Speichern.
  6. Klicken Sie im Abschnitt Private Keys auf Schlüssel hinzufügen.
  7. In der PEM-Zertifikat und privaten RSA-Schlüssel hinzufügen Abschnitt, geben Sie die folgenden Informationen ein:
    Name
    Ein beschreibender Name zur Identifizierung dieses Zertifikats und Schlüssels.
    Aktiviert
    Deaktivieren Sie dieses Kontrollkästchen, wenn Sie dieses SSL-Zertifikat deaktivieren möchten.
    Zertifikat
    Das Public-Key-Zertifikat.
    Privater Schlüssel
    Der private RSA-Schlüssel.
  8. klicken Hinzufügen.

Nächste Maßnahme

Fügen Sie die verschlüsselten Protokolle hinzu Sie möchten mit diesem Zertifikat entschlüsseln.
Laden Sie eine PKCS #12 /PFX-Datei hoch

PKCS #12 /PFX-Dateien werden in einem sicheren Container auf dem ExtraHop-System archiviert und enthalten sowohl öffentliche als auch private Schlüsselpaare, auf die nur mit einem Passwort zugegriffen werden kann.

Hinweis:Um private Schlüssel aus einem Java KeyStore in eine PKCS #12 -Datei zu exportieren, führen Sie den folgenden Befehl auf Ihrem Server aus, wobei javakeystore.jks ist der Pfad Ihres Java-KeyStores:
keytool -importkeystore -srckeystore javakeystore.jks -destkeystore 
pkcs.p12 -srcstoretype jks -deststoretype pkcs12
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  3. Klicken Sie SSL-Entschlüsselung.
  4. In der Entschlüsselung des privaten Schlüssels Abschnitt, wählen Sie das Kontrollkästchen für Private Schlüssel erforderlich.
  5. Klicken Sie Speichern.
  6. In der Private Schlüssel Abschnitt, klicken Schlüssel hinzufügen.
  7. In der PKCS #12 /PFX-Datei mit Passwort hinzufügen Abschnitt, geben Sie die folgenden Informationen ein:
    Beschreibung
    Ein beschreibender Name zur Identifizierung dieses Zertifikats und Schlüssels.
    Aktiviert
    Deaktivieren Sie dieses Kontrollkästchen, um dieses SSL-Zertifikat zu deaktivieren.
  8. Klicken Sie neben der Datei PKCS #12 /PFX auf Wählen Sie Datei.
  9. Navigieren Sie zu der Datei, wählen Sie sie aus und klicken Sie dann auf Offen.
  10. Geben Sie im Feld Passwort das Passwort für die PKCS #12 /PFX-Datei ein.
  11. Klicken Sie Hinzufügen.
  12. Klicken Sie OK.

Nächste Maßnahme

Fügen Sie die verschlüsselten Protokolle hinzu Sie möchten mit diesem Zertifikat entschlüsseln.
Verschlüsselte Protokolle hinzufügen

Sie müssen jedes Protokoll, das Sie entschlüsseln möchten, für jedes hochgeladene Zertifikat hinzufügen.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken SSL-Entschlüsselung.
  4. In der Zuordnung von Protokoll zu Port nach Schlüssel Abschnitt, klicken Protokoll hinzufügen.
  5. Auf dem Verschlüsseltes Protokoll hinzufügen Seite, geben Sie die folgenden Informationen ein:
    Protokoll
    Wählen Sie aus der Dropdownliste das Protokoll aus, das Sie entschlüsseln möchten.
    Schlüssel
    Wählen Sie aus der Drop-down-Liste einen hochgeladenen privaten Schlüssel aus.
    Hafen
    Geben Sie den Quellport für das Protokoll ein. Standardmäßig ist dieser Wert auf 443 gesetzt, was den HTTP-Verkehr angibt. Geben Sie 0 an, um den gesamten Protokollverkehr zu entschlüsseln.
  6. klicken Hinzufügen.
Einen globalen Port zur Protokollzuordnung hinzufügen

Fügen Sie jedes Protokoll für den Datenverkehr hinzu, den Sie mit Ihren Sitzungsschlüsselweiterleitungen entschlüsseln möchten.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken SSL-Entschlüsselung.
  4. Löschen Sie im Abschnitt Private Key Decryption den Private Schlüssel erforderlich Checkbox.
  5. Klicken Sie im Abschnitt Global Protocol to Port Mapping auf Globales Protokoll hinzufügen.
  6. Wählen Sie in der Dropdownliste Protokoll das Protokoll für den Datenverkehr aus, den Sie entschlüsseln möchten.
  7. Geben Sie im Feld Port die Nummer des Ports ein. Typ 0 um alle Ports hinzuzufügen.
  8. klicken Hinzufügen.
Installieren Sie die ExtraHop-Sitzungsschlüsselweiterleitung auf einem Windows-Server

Perfect Forward Secrecy (PFS) ist eine Eigenschaft sicherer Kommunikationsprotokolle, die einen kurzfristigen, vollständig privaten Sitzungsschlüsselaustausch zwischen Clients und Servern ermöglicht. ExtraHop bietet eine Software zur Weiterleitung von Sitzungsschlüsseln, die Sitzungsschlüssel zur SSL/TLS-Entschlüsselung an das ExtraHop-System senden kann. Kommunikation zwischen dem Schlüsselspediteur und dem Sensor ist mit TLS 1.2 oder TLS 1.3 verschlüsselt, und die Anzahl der Sitzungsschlüssel, die das ExtraHop-System empfangen kann, ist unbegrenzt.

Sie müssen das ExtraHop-System für die Weiterleitung von Sitzungsschlüsseln konfigurieren und dann die Forwarder-Software auf dem installieren Fenster und Linux Server mit dem SSL/TLS-Verkehr , den Sie entschlüsseln möchten.

Bevor du anfängst
  • Lesen Sie über SSL/TLS-Entschlüsselung und überprüfen Sie die Liste von unterstützte Cipher Suites.
  • Stellen Sie sicher, dass das ExtraHop-System für SSL Decryption und SSL Shared Secrets lizenziert ist.
  • Stellen Sie sicher, dass Ihre Serverumgebung von der ExtraHop-Sitzungsschlüsselweiterleitungssoftware unterstützt wird:
    • Microsoft Secure Channel (Schannel) -Sicherheitspaket
    • Java SSL/TLS (Java-Versionen 8 bis 13). Führen Sie kein Upgrade auf diese Version der Sitzungsschlüsselweiterleitung durch, wenn Sie derzeit Java 6- oder Java 7-Umgebungen überwachen. Version 7.9 des Session Key Forwarders unterstützt Java 6 und Java 7 und ist mit der neuesten ExtraHop-Firmware kompatibel.
    • Dynamisch verknüpfte OpenSSL-Bibliotheken (1.0.x und 1.1.x). OpenSSL wird nur auf Linux-Systemen mit Kernelversionen 4.4 und höher und RHEL 7.6 und höher unterstützt.
  • Stellen Sie sicher, dass der Server, auf dem Sie den Session Key Forwarder installieren, dem SSL-Zertifikat des ExtraHop vertraut. Sensor.
  • Stellen Sie sicher, dass Ihre Firewallregeln zulassen, dass vom überwachten Server Verbindungen zum TCP-Port 4873 auf dem Sensor initiiert werden.
Wichtig:Das ExtraHop-System kann den TLS-verschlüsselten TDS-Verkehr nicht über die Weiterleitung von Sitzungsschlüsseln entschlüsseln. Stattdessen können Sie eine RSA hochladen privater Schlüssel.
  • Installieren Sie die Sitzungsschlüsselweiterleitung auf einem oder mehreren Windows 2016- oder Windows 2019-Servern, auf denen SSL-basierte Dienste mit dem systemeigenen Windows-SSL-Framework ausgeführt werden. OpenSSL unter Windows wird derzeit nicht unterstützt.
Wichtig:Nach der Installation der Sitzungsschlüsselweiterleitungssoftware funktionieren Anwendungen, die SSL-fähige Funktionen enthalten, wie z. B. EDR-Agenten und Windows Store-Anwendungen, möglicherweise nicht ordnungsgemäß.

Überprüfen Sie die Kompatibilität der Sitzungsschlüsselweiterleitung in Ihrer Windows-Testumgebung, bevor Sie sie in Ihrer Produktionsumgebung bereitstellen.

Entschlüsselung des Windows-Anwendungsdatenverkehrs

Der folgende Microsoft-Anwendungsdatenverkehr kann mit der Sitzungsschlüsselweiterleitung entschlüsselt werden.

  • Microsoft IIS
  • Microsoft PowerShell
  • Microsoft SQL Server
Installieren Sie die Software mit dem Installationsassistenten
  1. Loggen Sie sich auf dem Windows-Server ein.
  2. Herunterladen die neueste Version der Sitzungsschlüsselweiterleitungssoftware.
  3. Doppelklicken Sie auf ExtraHopSessionKeyForwarder.exe ablegen und klicken Weiter.
  4. Wenn das System Sie auffordert, das Installationsprogramm für die Ausführung mit Administratorrechten zu autorisieren, klicken Sie auf OK.
  5. Wählen Sie das Kästchen aus, um die Bedingungen der Lizenzvereinbarung zu akzeptieren, und klicken Sie dann auf Weiter.
  6. Geben Sie den Hostnamen oder die IP-Adresse des Sensor wohin Sie Sitzungsschlüssel weiterleiten möchten.
    Hinweis:Sie können Sitzungsschlüssel an mehr als einen Sensor weiterleiten, indem Sie kommagetrennte Hostnamen eingeben. Zum Beispiel:
    packet-sensor.example.com,ids-sensor.example.com
  7. Optional: Wählen Sie den Erweiterte Optionen Checkbox. Akzeptieren Sie den standardmäßigen TCP-Listenportwert 598 (empfohlen), oder geben Sie einen benutzerdefinierten Portwert ein.
  8. Klicken Installieren.
  9. Wenn die Installation abgeschlossen ist, klicken Sie auf Fertig stellen.
Installationsoption über die Befehlszeile

Die folgenden Schritte zeigen Ihnen, wie Sie die Sitzungsschlüsselweiterleitung über eine Windows-Eingabeaufforderung oder Windows PowerShell installieren.

  1. Loggen Sie sich auf dem Windows-Server ein.
  2. Herunterladen die neueste Version der Sitzungsschlüsselweiterleitungssoftware.
  3. Führen Sie den folgenden Befehl aus:
    ExtraHopSessionKeyForwarderSetup.exe -q EDA_HOSTNAME="<hostname or IP address of sensor>"
    Hinweis:Das -q Die Option installiert den Forwarder im nicht interaktiven Modus, der nicht zur Bestätigung auffordert. Sie können das weglassen -q Option, um den Forwarder im interaktiven Modus zu installieren.
    Hinweis:Sie können mehrere Sensoren in einer kommagetrennten Liste angeben. Der folgende Befehl spezifiziert beispielsweise zwei Sensoren:
    ExtraHopSessionKeyForwarderSetup.exe EDA_HOSTNAME="packet-sensor.example.com,ids-sensor.example.com"

    Weitere Hinweise zu den Installationsoptionen finden Sie unter Installationsparameter.

Aktivieren Sie den SSL-Sitzungsschlüsselempfängerdienst

Sie müssen den Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktivieren, bevor das System Sitzungsschlüssel vom Sitzungsschlüsselweiterleiter empfangen und entschlüsseln kann. Standardmäßig ist dieser Dienst deaktiviert.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Appliance-Einstellungen auf Dienstleistungen.
  3. Wählen Sie den SSL-Sitzungsschlüsselempfänger Checkbox.
  4. klicken Speichern.
Einen globalen Port zur Protokollzuordnung hinzufügen

Fügen Sie jedes Protokoll für den Datenverkehr hinzu, den Sie mit Ihren Sitzungsschlüsselweiterleitungen entschlüsseln möchten.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken SSL-Entschlüsselung.
  4. Löschen Sie im Abschnitt Private Key Decryption den Private Schlüssel erforderlich Checkbox.
  5. Klicken Sie im Abschnitt Global Protocol to Port Mapping auf Globales Protokoll hinzufügen.
  6. Wählen Sie in der Dropdownliste Protokoll das Protokoll für den Datenverkehr aus, den Sie entschlüsseln möchten.
  7. Geben Sie im Feld Port die Nummer des Ports ein. Typ 0 um alle Ports hinzuzufügen.
  8. klicken Hinzufügen.
Schlüsselweiterleitungen für verbundene Sitzungen anzeigen

Sie können kürzlich verbundene Sitzungsschlüsselweiterleitungen anzeigen, nachdem Sie die Sitzungsschlüsselweiterleitung auf Ihrem Server installiert und den SSL-Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktiviert haben. Beachten Sie, dass auf dieser Seite nur Sitzungsschlüsselweiterleitungen angezeigt werden, die in den letzten Minuten eine Verbindung hergestellt haben, nicht alle Sitzungsschlüsselweiterleitungen, die derzeit verbunden sind.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken Geteilte SSL-Geheimnisse.
Überprüfen Sie die Weiterleitung von Sitzungsschlüsseln

Gehen Sie wie folgt vor, um sicherzustellen, dass die Installation erfolgreich war und der Session-Key-Forwarder die Schlüssel an das ExtraHop-System weiterleitet.

  1. Melden Sie sich beim Windows-Server an.
  2. Öffnen Sie das Services MMC-Snap-In. Stellen Sie sicher, dass beide Dienste, „ExtraHop Session Key Forwarder" und „ExtraHop Registry Service", den Status „Running" anzeigen.

  3. Wenn einer der Dienste nicht ausgeführt wird, beheben Sie das Problem, indem Sie die folgenden Schritte ausführen.
    1. Öffnen Sie das MMC-Snap-In der Ereignisanzeige und navigieren Sie zu Windows-Protokolle > Anwendung.
    2. Suchen Sie die neuesten Einträge für die ExtraHopAgent-Quelle. Häufige Fehlerursachen und die zugehörigen Fehlermeldungen sind in der Problembehandlung bei häufigen Fehlermeldungen Abschnitt unten.
  4. Wenn das Snap-In Dienste und Event Viewer keine Probleme anzeigt, weisen Sie einen Workload auf die überwachten Dienste zu und überprüfen Sie im ExtraHop-System, ob die geheime Entschlüsselung funktioniert.
Wenn das ExtraHop-System Sitzungsschlüssel empfängt und sie auf entschlüsselte Sitzungen anwendet, wird der Shared Secret-Metrikzähler (unter Anwendungen > Alle Aktivitäten > Entschlüsselte SSL-Sitzungen) inkrementiert. Erstellen Sie ein Dashboard-Diagramm mit dieser Metrik, um zu sehen, ob der Sensor erfolgreich Sitzungsschlüssel von den überwachten Servern empfängt.

Überprüfen Sie die Konfiguration von der Kommandozeile aus

In Fällen, in denen Sie Probleme mit der Konfiguration haben könnten, enthält die Binärdatei für die Sitzungsschlüsselweiterleitung einen Testmodus, auf den Sie über die Kommandozeile zugreifen können, um Ihre Konfiguration zu testen.

  1. Loggen Sie sich auf Ihrem Windows-Server ein.
  2. Öffnen Sie die Windows PowerShell-Anwendung.
  3. Führen Sie einen Überprüfungstest durch, indem Sie den folgenden Befehl ausführen:
    & 'C:\Program Files\ExtraHop\extrahop-agent.exe' -t -server <eda hostname>

    Wo <eda hostname> ist der vollqualifizierte Domainname des Sensor, an den Sie Geheimnisse weiterleiten.

    Die folgende Ausgabe sollte erscheinen:

    <timestamp> Performing connectivity test
    <timestamp> No connectivity issues detected

    Wenn es ein Konfigurationsproblem gibt, werden in der Ausgabe Tipps zur Fehlerbehebung angezeigt, die Ihnen helfen, das Problem zu beheben. Folgen Sie den Vorschlägen, um das Problem zu beheben, und führen Sie den Test dann erneut aus.

  4. Sie können optional die Überschreibung des Zertifikatspfads und des Servernamens testen, indem Sie dem obigen Befehl die folgenden Optionen hinzufügen.
    • Geben Sie diese Option an, um das Zertifikat zu testen, ohne es dem Zertifikatsspeicher hinzuzufügen.

      -cert <file path to certificate>
    • Geben Sie diese Option an, um die Verbindung zu testen, falls eine Diskrepanz zwischen dem Hostnamen des ExtraHop-Systems, den der Forwarder kennt (SERVER), und dem allgemeinen Namen (CN), der im SSL-Zertifikat des ExtraHop-Systems angegeben ist, besteht.

      -server-name-override <common name>
Wichtige Kennzahlen zum Zustand des Empfängersystems

Das ExtraHop-System bietet wichtige Empfängermetriken, die Sie zu einem Dashboard-Diagramm hinzufügen können, um den Zustand und die Funktionalität der wichtigsten Empfänger zu überwachen.

Um eine Liste der verfügbaren Messwerte anzuzeigen, klicken Sie auf das Symbol Systemeinstellungen und dann klicken Metrischer Katalog. Typ Schlüsselempfänger im Filterfeld, um alle verfügbaren wichtigen Empfängermetriken anzuzeigen.

Hinweis:Informationen zum Erstellen eines neuen Dashboard-Diagramms finden Sie unter Bearbeiten Sie ein Diagramm mit dem Metric Explorer.
Integrieren Sie den Forwarder in die Java-basierte SSL-Anwendung
Der ExtraHop Session Key Forwarder integriert sich in Java-Anwendungen über -javaagent Option. Konsultieren Sie die spezifischen Anweisungen Ihrer Anwendung, um die Java-Laufzeitumgebung so zu ändern, dass sie die -javaagent Option.

Beispielsweise unterstützt Apache Tomcat die Anpassung von Java-Optionen in den Eigenschaften des Tomcat Service Managers. Im folgenden Beispiel wird das Hinzufügen von -javaagent Die Option im Abschnitt Java-Optionen veranlasst die Java-Runtime, SSL-Sitzungsgeheimnisse mit dem Key-Forwarder-Prozess zu teilen, der die Geheimnisse dann an das ExtraHop-System weiterleitet, sodass die Geheimnisse entschlüsselt werden können.

-javaagent:C:\Program Files\ExtraHop\exagent.jar


Anlage
Problembehandlung bei häufigen Fehlermeldungen

Fehlermeldungen werden in Protokolldateien an den folgenden Speicherorten gespeichert, wobei TMP der Wert Ihrer TMP-Umgebungsvariablen ist:

  • TMP\ExtraHopSessionKeyForwarderSetup.log
  • TMP\ExtraHopSessionKeyForwarderMsi.log

Die folgende Tabelle enthält häufig auftretende Fehlermeldungen, die Sie beheben können. Wenn Sie einen anderen Fehler sehen oder die vorgeschlagene Lösung Ihr Problem nicht löst, wenden Sie sich an den ExtraHop-Support.

Nachricht Ursache Lösung
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond Der überwachte Server kann keinen Datenverkehr an die weiterleiten Sensor. Stellen Sie sicher, dass die Firewallregeln die Initiierung von Verbindungen durch den überwachten Server zum TCP-Port 4873 auf dem Sensor.
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it Der überwachte Server kann den Datenverkehr an die weiterleiten Sensor, aber der Empfangsvorgang hört nicht zu. Stellen Sie sicher, dass der Sensor ist sowohl für die Funktionen SSL Decryption als auch SSL Shared Secrets lizenziert.
connect: x509: certificate signed by unknown authority Der überwachte Server kann das nicht verketten Sensor Zertifikat an eine vertrauenswürdige Zertifizierungsstelle (CA). Stellen Sie sicher, dass der Windows-Zertifikatsspeicher für das Computerkonto über vertrauenswürdige Stammzertifizierungsstellen verfügt, die eine Vertrauenskette für das Sensor.
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs Eine IP-Adresse wurde angegeben als EDA_HOSTNAME Parameter bei der Installation des Forwarders, aber das vom Sensor vorgelegte SSL-Zertifikat enthält keine IP-Adresse als Subject Alternate Name (SAN). Wählen Sie aus den folgenden drei Lösungen.
  • Wenn es einen Hostnamen gibt, mit dem der Server eine Verbindung herstellen kann Sensor mit, und dieser Hostname entspricht dem Betreffnamen in der Sensor Zertifikat, deinstallieren Sie den Forwarder und installieren Sie ihn erneut, indem Sie diesen Hostnamen als Wert von angeben EDA_HOSTNAME.
  • Wenn der Server eine Verbindung mit dem herstellen muss Sensor nach IP-Adresse, deinstallieren Sie den Forwarder und installieren Sie ihn erneut, indem Sie den Betreffnamen aus dem Sensorzertifikat als Wert von angeben SERVERNAMEOVERRIDE.
  • Geben Sie das erneut heraus Sensor Zertifikat, das einen alternativen IP-Betreffnamen (SAN) für die angegebene IP-Adresse enthält.
Deinstalliere die Software

Wenn Sie nicht mehr möchten, dass die ExtraHop-Sitzungsschlüsselweiterleitungssoftware installiert wird, oder wenn sich einer der ursprünglichen Installationsparameter geändert hat (Sensor-Hostname oder Zertifikat) und Sie die Software mit neuen Parametern neu installieren müssen, gehen Sie wie folgt vor:

Wichtig:Sie müssen den Server neu starten, damit die Konfigurationsänderungen wirksam werden.
  1. Loggen Sie sich auf dem Windows-Server ein.
  2. Optional: Wenn Sie den Sitzungsschlüssel-Forwarder in Apache Tomcat integriert haben, entfernen Sie den -javaagent:C:\Program Files\ExtraHop\exagent.jar Eintrag von Tomcat, um zu verhindern, dass der Webservice gestoppt wird.
  3. Wählen Sie eine der folgenden Optionen, um die Software zu entfernen:
    • Öffnen Sie das Control Panel und klicken Sie auf Deinstalliere ein Programm. Wählen ExtraHop-Sitzungsschlüsselweiterleitung aus der Liste und klicken Sie dann auf Deinstallation.
    • Öffnen Sie eine PowerShell-Eingabeaufforderung und führen Sie die folgenden Befehle aus, um die Software und die zugehörigen Registrierungseinträge zu entfernen:

      1. $app=Get-WMIObject -class win32_product | where-object {$_.name -eq "ExtraHop Session Key Forwarder"}
      2. $app.Uninstall()
  4. Klicken Ja zur Bestätigung.
  5. Nachdem die Software entfernt wurde, klicken Sie auf Ja um das System neu zu starten
Installationsparameter

Sie können die folgenden MSI-Parameter angeben:

MSI-Installationsparameter EDA_HOSTNAME
Eintrag in der Registrierung HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\EDAHost
Beschreibung Das Sensor Hostname oder IP-Adresse, an die die SSL-Sitzungsschlüssel gesendet werden.

Dieser Parameter ist erforderlich.

MSI-Installationsparameter EDA_CERTIFICATEPATH
Eintrag in der Registrierung N/A
Beschreibung

Der überwachte Server muss dem Aussteller des vertrauen Sensor SSL-Zertifikat über den Zertifikatsspeicher des Servers.

In einigen Umgebungen ist der Sensor arbeitet mit dem selbstsignierten Zertifikat , das die ExtraHop-Firmware bei der Installation generiert. In diesem Fall muss das Zertifikat dem Zertifikatsspeicher hinzugefügt werden. Das EDA_CERTIFICATEPATH Mit diesem Parameter kann ein dateibasiertes PEM-kodiertes Zertifikat bei der Installation in den Windows-Zertifikatsspeicher importiert werden.

Wenn der Parameter bei der Installation nicht angegeben wird und ein selbstsigniertes oder ein anderes CA-Zertifikat manuell in den Zertifikatsspeicher gestellt werden muss, muss der Administrator das Zertifikat auf dem überwachten System unter Zertifikate (Computerkonto) > Vertrauenswürdige Stammzertifizierungsstellen importieren.

Dieser Parameter ist optional, wenn der überwachte Server zuvor so konfiguriert wurde, dass er dem SSL-Zertifikat des Sensor über den Windows-Zertifikatsspeicher.

MSI-Installationsparameter SERVERNAMEOVERRIDE
Eintrag in der Registrierung HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\ServerNameOverride
Beschreibung

Wenn es ein Missverhältnis gibt zwischen Sensor Hostname, den der Forwarder kennt (EDA_HOSTNAME) und der allgemeine Name (CN), der im SSL-Zertifikat der Sensor, dann muss der Forwarder mit der richtigen CN konfiguriert werden.

Dieser Parameter ist optional.

Wir empfehlen, dass Sie das selbstsignierte SSL-Zertifikat anhand des Hostnamens aus dem Abschnitt SSL-Zertifikat der Administrationseinstellungen neu generieren, anstatt diesen Parameter anzugeben.
MSI-Installationsparameter TCPLISTENPORT
Eintrag in der Registrierung HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\TCPListenPort
Beschreibung Die Schlüsselweiterleitung empfängt Sitzungsschlüssel lokal aus der Java-Umgebung über einen TCP-Listener auf localhost (127.0.0.1) und den in der TCPListenPort Eintrag. Wir empfehlen, für diesen Port die Standardeinstellung 598 beizubehalten.

Dieser Parameter ist optional.

Unterstützte SSL/TLS-Verschlüsselungssammlungen

Das ExtraHop-System kann SSL/TLS-Verkehr entschlüsseln, der mit PFS- oder RSA-Cipher Suites verschlüsselt wurde. Alle unterstützten Cipher Suites können entschlüsselt werden, indem der Session Key Forwarder auf einem Server installiert und das ExtraHop-System konfiguriert wird.

Cipher Suites for RSA können den Datenverkehr auch mit einem Zertifikat und einem privaten Schlüssel entschlüsseln — mit oder ohne Weiterleitung von Sitzungsschlüsseln.

Entschlüsselungsmethoden
Die folgende Tabelle enthält eine Liste der Cipher Suites, die das ExtraHop-System unterstützt entschlüsseln zusammen mit den unterstützten Entschlüsselungsoptionen.
Hex-Wert Vorname (IANA) Name (OpenSSL) Unterstützte Entschlüsselung
0 x 04 TLS_RSA_MIT_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 05 TLS_RSA_MIT_RC4_128_SHA RC4-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA PFS + GPP PFS + Zertifikat
0x2F TLS_RSA_MIT_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 33 TLS_DHE_RSA_MIT_AES_128_CBC_SHA DHE-RSA-AES128-SHA PFS + GPP PFS + Zertifikat
0 x 35 TLS_RSA_MIT_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 39 TLS_DHE_RSA_MIT_AES_256_CBC_SHA DHE-RSA-AES256-SHA PFS + GPP PFS + Zertifikat
0x3C TLS_RSA_MIT_AES_128_CBC_SHA256 AES128-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x3D TLS_RSA_MIT_AES_256_CBC_SHA256 AES256-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 67 TLS_DHE_RSA_MIT_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 PFS + GPP PFS + Zertifikat
0 x 6 B TLS_DHE_RSA_MIT_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 PFS + GPP PFS + Zertifikat
0 x 9 C TLS_RSA_MIT_AES_128_GCM_SHA256 AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 9D TLS_RSA_WITH_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x9E TLS_DHE_RSA_MIT_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat
0 x 9F TLS_DHE_RSA_MIT_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat
0 x 1301 TLS_AES_128_GCM_SHA256 TLS_AES_128_GCM_SHA256 PFS + GPP PFS + Zertifikat
0 x 1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 PFS + GPP PFS + Zertifikat
0 x 1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 PFS + GPP PFS + Zertifikat
0xC007 TLS_ECDHE_ECDSA_MIT_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS + GPP
0xC008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS + GPP
0xC009 TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS + GPP
0xC00A TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS + GPP
0xC011 TLS_ECDHE_RSA_MIT_RC4_128_SHA ECDHE-RSA-RC4-SHA PFS + GPP PFS + Zertifikat
0xC012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA PFS + GPP PFS + Zertifikat
0xC013 TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA PFS + GPP PFS + Zertifikat
0xC014 TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA PFS + GPP PFS + Zertifikat
0xC023 TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS + GPP
0xC024 TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS + GPP
0xC027 TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 PFS + GPP PFS + Zertifikat
0xC028 TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 PFS + GPP PFS + Zertifikat
0xC02B TLS_ECDHE_ECDSA_MIT_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS + GPP
0xC02C TLS_ECDHE_ECDSA_MIT_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS + GPP
0xC02F TLS_ECDHE_RSA_MIT_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat
0xC030 TLS_ECDHE_RSA_MIT_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat
0xCCA8 TLS_ECDHE_RSA_MIT_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Zertifikat
0xCCA9 TLS_ECDHE_ECDSA_MIT_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS + GPP
0xCCAA TLS_DHE_RSA_MIT_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Zertifikat
Exportieren Sie die MSI-Datei aus der ausführbare Datei

Sie können die MSI-Datei aus der ausführbare Datei exportieren, um einen benutzerdefinierten Installationsablauf zu unterstützen.

Öffnen Sie eine PowerShell-Eingabeaufforderung und führen Sie den folgenden Befehl aus:
ExtraHopSessionKeyForwarderSetup.exe -e
Hinweis:Sie können anhängen <directory> zum -e Parameter zum Speichern des .msi Datei in ein anderes Verzeichnis als das aktuelle Arbeitsverzeichnis. Mit dem folgenden Befehl wird die Datei beispielsweise im install_dir Verzeichnis:
ExtraHopSessionKeyForwarderSetup.exe -e install_dir
Installieren Sie den ExtraHop Session Key Forwarder auf einem Linux-Server

Perfect Forward Secrecy (PFS) ist eine Eigenschaft sicherer Kommunikationsprotokolle, die einen kurzfristigen, vollständig privaten Sitzungsschlüsselaustausch zwischen Clients und Servern ermöglicht. ExtraHop bietet eine Software zur Weiterleitung von Sitzungsschlüsseln, die Sitzungsschlüssel zur SSL/TLS-Entschlüsselung an das ExtraHop-System senden kann. Kommunikation zwischen dem Schlüsselspediteur und dem Sensor ist mit TLS 1.2 oder TLS 1.3 verschlüsselt, und die Anzahl der Sitzungsschlüssel, die das ExtraHop-System empfangen kann, ist unbegrenzt.

Sie müssen das ExtraHop-System für die Weiterleitung von Sitzungsschlüsseln konfigurieren und dann die Forwarder-Software auf dem installieren Fenster und Linux Server mit dem SSL/TLS-Verkehr , den Sie entschlüsseln möchten.

Bevor du anfängst
  • Lesen Sie über SSL/TLS-Entschlüsselung und überprüfen Sie die Liste von unterstützte Cipher Suites.
  • Stellen Sie sicher, dass das ExtraHop-System für SSL Decryption und SSL Shared Secrets lizenziert ist.
  • Stellen Sie sicher, dass Ihre Serverumgebung von der ExtraHop-Sitzungsschlüsselweiterleitungssoftware unterstützt wird:
    • Microsoft Secure Channel (Schannel) -Sicherheitspaket
    • Java SSL/TLS (Java-Versionen 8 bis 13). Führen Sie kein Upgrade auf diese Version der Sitzungsschlüsselweiterleitung durch, wenn Sie derzeit Java 6- oder Java 7-Umgebungen überwachen. Version 7.9 des Session Key Forwarders unterstützt Java 6 und Java 7 und ist mit der neuesten ExtraHop-Firmware kompatibel.
    • Dynamisch verknüpfte OpenSSL-Bibliotheken (1.0.x und 1.1.x). OpenSSL wird nur auf Linux-Systemen mit Kernelversionen 4.4 und höher und RHEL 7.6 und höher unterstützt.
  • Stellen Sie sicher, dass der Server, auf dem Sie den Session Key Forwarder installieren, dem SSL-Zertifikat des ExtraHop vertraut. Sensor.
  • Stellen Sie sicher, dass Ihre Firewallregeln zulassen, dass vom überwachten Server Verbindungen zum TCP-Port 4873 auf dem Sensor initiiert werden.
Wichtig:Das ExtraHop-System kann den TLS-verschlüsselten TDS-Verkehr nicht über die Weiterleitung von Sitzungsschlüsseln entschlüsseln. Stattdessen können Sie eine RSA hochladen privater Schlüssel.
  • Installieren Sie den Session Key Forwarder auf RHEL-, CentOS-, Fedora- oder Debian-Ubuntu-Linux-Distributionen. Die Sitzungsschlüsselweiterleitung funktioniert auf anderen Distributionen möglicherweise nicht richtig.
  • Der Session Key Forwarder wurde nicht ausführlich mit SELinux getestet und ist möglicherweise nicht kompatibel, wenn er auf einigen Linux-Distributionen aktiviert ist.
Aktivieren Sie den SSL-Sitzungsschlüsselempfängerdienst

Sie müssen den Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktivieren, bevor das System Sitzungsschlüssel vom Sitzungsschlüsselweiterleiter empfangen und entschlüsseln kann. Standardmäßig ist dieser Dienst deaktiviert.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Appliance-Einstellungen auf Dienstleistungen.
  3. Wählen Sie den SSL-Sitzungsschlüsselempfänger Checkbox.
  4. klicken Speichern.
Einen globalen Port zur Protokollzuordnung hinzufügen

Fügen Sie jedes Protokoll für den Datenverkehr hinzu, den Sie mit Ihren Sitzungsschlüsselweiterleitungen entschlüsseln möchten.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken SSL-Entschlüsselung.
  4. Löschen Sie im Abschnitt Private Key Decryption den Private Schlüssel erforderlich Checkbox.
  5. Klicken Sie im Abschnitt Global Protocol to Port Mapping auf Globales Protokoll hinzufügen.
  6. Wählen Sie in der Dropdownliste Protokoll das Protokoll für den Datenverkehr aus, den Sie entschlüsseln möchten.
  7. Geben Sie im Feld Port die Nummer des Ports ein. Typ 0 um alle Ports hinzuzufügen.
  8. klicken Hinzufügen.
Installieren Sie die Software
RPM-basierte Distributionen
Hinweis:Sie können den Forwarder ohne Benutzerinteraktion installieren, indem Sie spezifizieren Umgebungsvariablen im Installationsbefehl.
  1. Melden Sie sich bei Ihrem RPM-basierten Linux-Server an.
  2. Herunterladen die neueste Version des ExtraHop-Sitzungsschlüsselweiterleitungssoftware.
  3. Öffnen Sie eine Terminal-Anwendung und führen Sie den folgenden Befehl aus:
    sudo rpm --install <path to installer file>
  4. Öffnen Sie das Initialisierungsskript in einem Texteditor (vi oder vim, für Beispiel).
    sudo vi /opt/extrahop/etc/extrahop-key-forwarder.conf
  5. Je nachdem, wie dein Sensoren verwaltet werden, wählen Sie eine der folgenden Optionen Optionen:
    • Entfernen Sie bei selbstverwalteten Sensoren das Hashsymbol (#) vor dem EDA_HOSTNAME Feld und geben Sie den vollqualifizierten Domänenname Ihres Sensor ein, ähnlich wie folgendes Beispiel.
      EDA_HOSTNAME=discover.example.com
      Hinweis:Sie können Sitzungsschlüssel an mehr als einen Sensor weiterleiten, indem Sie Eingabe von kommagetrennten Hostnamen. Für Beispiel:
      EDA_HOSTNAME=packet-sensor.example.com,ids-sensor.example.com
    • Bei Sensoren mit Extrahop-Verwaltung entfernen Sie das Hashsymbol (#) vor dem EDA_HOSTED_PLATFORM Feld und Typ aws, ähnlich dem folgenden Beispiel.
      EDA_HOSTED_PLATFORM=aws
  6. Optional: Der Key-Forwarder empfängt Sitzungsschlüssel lokal aus der Java-Umgebung über einen TCP-Listener auf localhost (127.0.0.1) und den Port, der in angegeben ist die LOCAL_LISTENER_PORT Feld. Wir haben empfohlen, dass Port bleibt auf der Standardeinstellung 598 gesetzt. Wenn Sie die Portnummer ändern, muss das ändern -javaagent Argument, um das Neue zu berücksichtigen Hafen.
  7. Optional: Wenn Sie es vorziehen, dass Syslog in eine andere Einrichtung schreibt als local3 für Key-Forwarder-Log-Meldungen können Sie das bearbeiten SYSLOG Feld.
    Bei einem selbstverwalteten Sensor ist der Inhalt des extrahop-key-forwarder.conf Datei sollte erscheinen ähnlich dem folgenden Beispiel:
    #EDA_HOSTED_PLATFORM=aws
    EDA_HOSTNAME=sensor.example.com
    LOCAL_LISTENER_PORT=598
    SYSLOG=local3
    ADDITIONAL_ARGS=''
    
  8. Speichern Sie die Datei und beenden Sie den Texteditor.
  9. Wenn Ihr Server Container mit der containerd-Laufzeit verwaltet, müssen Sie hinzufügen die folgenden Parameter für /opt/extrahop/etc/extrahop-key-forwarder.conf Aufbau datei:
    • -containerd-enable
    • -containerd-socket
    • -containerd-state
    • -containerd-state-rootfs-subdir

    Weitere Informationen zu diesen Parametern und anderen optionalen Parametern finden Sie sehen Optionen für die Weiterleitung von Sitzungsschlüsseln.

  10. Starte das extrahop-key-forwarder Dienst:
    sudo service extrahop-key-forwarder start
Debian-Ubuntu-Distributionen
Hinweis:Sie können den Forwarder ohne Benutzerinteraktion installieren, indem Sie spezifizieren Umgebungsvariablen im Installationsbefehl.
  1. Melden Sie sich bei Ihrem Debian- oder Ubuntu-Linux-Server an.
  2. Herunterladen die neueste Version des ExtraHop-Sitzungsschlüsselweiterleitungssoftware.
  3. Öffnen Sie eine Terminalanwendung und führen Sie den folgenden Befehl aus.
    sudo dpkg --install <path to installer file>
  4. Je nachdem, wie dein Sensoren verwaltet werden, wählen Sie eine der folgenden Optionen Optionen:
      1. Für Selbstverwaltete Sensoren, wählen richten und drücken Sie dann die EINGABETASTE.
      2. Geben Sie den vollqualifizierten Domänenname oder die IP-Adresse des ExtraHop-Systems ein, wobei Die Sitzungsschlüssel werden weitergeleitet und drücken Sie dann die EINGABETASTE.
        Hinweis:Sie können Sitzungsschlüssel an mehrere Sensor weiterleiten, indem Sie Folgendes eingeben kommagetrennte Hostnamen. Für Beispiel:
        packet-sensor.example.com,ids-sensor.example.com
    • Wählen Sie für von ExtraHop verwaltete Sensoren gehostet und drücken Sie dann die EINGABETASTE.
  5. Wenn Ihr Server Container mit der containerd-Laufzeit verwaltet, müssen Sie hinzufügen die folgenden Parameter für /opt/extrahop/etc/extrahop-key-forwarder.conf Aufbau datei:
    • -containerd-enable
    • -containerd-socket
    • -containerd-state
    • -containerd-state-rootfs-subdir

    Weitere Informationen zu diesen Parametern und anderen optionalen Parametern finden Sie sehen Optionen für die Weiterleitung von Sitzungsschlüsseln.

  6. Stellen Sie sicher, dass der extrahop-key-forwarder Bedienung gestartet:
    sudo service extrahop-key-forwarder status
    Die folgende Ausgabe sollte erscheinen:
    extrahop-key-forwarder.service - LSB: ExtraHop Session Key Forwarder
    Loaded: loaded (/etc/rc.d/init.d/extrahop-key-forwarder; bad; vendor preset: disabled)
    Active: active (running) since Tue 2018-04-10 10:55:47 PDT; 5s ago
    Wenn der Dienst nicht aktiv ist, führen Sie Folgendes aus Befehl:
    sudo service extrahop-key-forwarder start
Integrieren Sie den Forwarder in die Java-basierte SSL-Anwendung
Der ExtraHop Session Key Forwarder lässt sich wie folgt in Java-Anwendungen integrieren die -javaagent Option. Konsultieren Sie die spezifischen Anforderungen Ihrer Anwendung Anweisungen zum Ändern der Java-Laufzeitumgebung, um -javaagent Option.

Als Beispiel viele Tomcat-Umgebungen unterstützt die Anpassung von Java-Optionen in der /etc/default/tomcat7 Datei. Im folgenden Beispiel Hinzufügen der -javaagent Die Option zur JAVA_OPTS-Zeile bewirkt das Java-Laufzeit, um SSL-Sitzungsgeheimnisse mit dem Schlüsselweiterleitungsprozess zu teilen, die leitet dann die Geheimnisse an das ExtraHop-System weiter, damit die Geheimnisse entschlüsselt.

JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar
Überprüfen Sie Ihre Installation und beheben Sie Fehler

Wenn Ihr Linux-Server Netzwerkzugriff auf das ExtraHop-System hat und die Server-SSL-Konfiguration dem Zertifikat des ExtraHop-Systems vertraut, das Sie bei der Installation des Session-Key-Forwarders angegeben haben, ist die Konfiguration abgeschlossen.

In Fällen, in denen Sie Probleme mit der Konfiguration haben könnten, enthält die Binärdatei für die Sitzungsschlüsselweiterleitung einen Testmodus, auf den Sie über die Befehlszeile zugreifen können, um Ihre Konfiguration zu testen .

  1. Loggen Sie sich auf Ihrem Linux-Server ein.
  2. Um Ihre Installation zu überprüfen, führen Sie einen ersten Test durch, indem Sie den folgenden Befehl ausführen:
    /opt/extrahop/sbin/extrahop-agent -t=true -server <eda hostname>

    Die folgende Ausgabe sollte erscheinen:

    <timestamp> Performing connectivity test
    <timestamp> No connectivity issues detected

    Wenn es ein Konfigurationsproblem gibt, werden in der Ausgabe Tipps zur Fehlerbehebung angezeigt, die Ihnen helfen , das Problem zu beheben. Folgen Sie den Vorschlägen, um das Problem zu beheben, und führen Sie den Test dann erneut aus.

  3. Sie können optional die Überschreibung des Zertifikatspfads und des Servernamens testen, indem Sie dem obigen Befehl die folgenden Optionen hinzufügen.
    • Geben Sie diese Option an, um das Zertifikat zu testen, ohne es dem Zertifikatsspeicher hinzuzufügen.

      -cert <file path to certificate>
    • Geben Sie diese Option an, um die Verbindung zu testen, falls eine Diskrepanz zwischen dem Hostnamen des ExtraHop-Systems, den der Forwarder kennt (SERVER), und dem allgemeinen Namen (CN), der im SSL-Zertifikat des ExtraHop-Systems angegeben ist, besteht.

      -server-name-override <common name>
(Optional) Konfigurieren Sie eine Servernamenüberschreibung

Wenn zwischen dem Hostnamen des ExtraHop-Systems, den der Forwarder kennt (SERVER), und dem Common Name (CN), der im SSL-Zertifikat des ExtraHop-Systems angegeben ist, eine Diskrepanz besteht, muss der Forwarder mit der richtigen CN konfiguriert werden.

Es wird empfohlen, das selbstsignierte SSL-Zertifikat auf der Grundlage des Hostnamens aus dem Abschnitt SSL-Zertifikat der Administrationseinstellungen neu zu generieren, anstatt diesen Parameter anzugeben.
  1. Loggen Sie sich auf Ihrem Linux-Server ein.
  2. Öffnen Sie die Konfigurationsdatei in einem Texteditor.
    vi /opt/extrahop/etc/extrahop-key-forwarder.conf
  3. Füge ein SERVER_NAME_OVERRIDE Parameter mit einem Wert des Namens, der im ExtraHop-System-SSL-Zertifikat gefunden wurde, ähnlich dem folgenden Beispiel:
    SERVER_NAME_OVERRIDE=altname.example.com
  4. Speichern Sie die Datei und beenden Sie den Texteditor.
  5. Starte den extrahop-key-forwarder Bedienung.
    sudo service extrahop-key-forwarder start
Wichtige Kennzahlen zum Zustand des Empfängersystems

Das ExtraHop-System bietet wichtige Empfängermetriken, die Sie zu einem Dashboard-Diagramm hinzufügen können, um den Zustand und die Funktionalität der wichtigsten Empfänger zu überwachen.

Um eine Liste der verfügbaren Messwerte anzuzeigen, klicken Sie auf das Symbol Systemeinstellungen und dann klicken Metrischer Katalog. Typ Schlüsselempfänger im Filterfeld, um alle verfügbaren wichtigen Empfängermetriken anzuzeigen.

Hinweis:Informationen zum Erstellen eines neuen Dashboard-Diagramms finden Sie unter Bearbeiten Sie ein Diagramm mit dem Metric Explorer.
Schlüsselweiterleitungen für verbundene Sitzungen anzeigen

Sie können kürzlich verbundene Sitzungsschlüsselweiterleitungen anzeigen, nachdem Sie die Sitzungsschlüsselweiterleitung auf Ihrem Server installiert und den SSL-Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktiviert haben. Beachten Sie, dass auf dieser Seite nur Sitzungsschlüsselweiterleitungen angezeigt werden, die in den letzten Minuten eine Verbindung hergestellt haben, nicht alle Sitzungsschlüsselweiterleitungen, die derzeit verbunden sind.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken Geteilte SSL-Geheimnisse.
Deinstalliere die Software

Wenn Sie die ExtraHop Session Key Forwarder-Software nicht mehr installieren möchten, führen Sie die folgenden Schritte aus.

  1. Melden Sie sich beim Linux-Server an.
  2. Öffnen Sie eine Terminalanwendung und wählen Sie eine der folgenden Optionen, um die Software zu entfernen.
    • Führen Sie für RPM-basierte Server den folgenden Befehl aus:
      sudo rpm --erase extrahop-key-forwarder
    • Führen Sie für Debian- und Ubuntu-Server den folgenden Befehl aus:
      sudo apt-get --purge remove extrahop-key-forwarder

      Typ Y wenn Sie aufgefordert werden, das Entfernen der Software zu bestätigen, und drücken Sie dann die EINGABETASTE.

  3. klicken Ja zur Bestätigung.
  4. Nachdem die Software entfernt wurde, klicken Sie auf Ja um das System neu zu starten
Allgemeine Fehlermeldungen

Von der Sitzungsschlüsselweiterleitung verursachte Fehler werden in der Linux-Systemprotokolldatei protokolliert.

Nachricht Ursache Lösung
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond Der überwachte Server kann keinen Verkehr an den weiterleiten Sensor. Stellen Sie sicher, dass die Firewallregeln die Initiierung von Verbindungen durch den überwachten Server zum TCP-Port 4873 auf dem Sensor.
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it Der überwachte Server kann den Verkehr weiterleiten an Sensor, aber der Empfangsprozess hört nicht zu. Stellen Sie sicher, dass Sensor ist sowohl für die Funktionen SSL Decryption als auch SSL Shared Secrets lizenziert.
connect: x509: certificate signed by unknown authority Der überwachte Server kann das nicht verketten Sensor Zertifikat für eine vertrauenswürdige Zertifizierungsstelle (CA). Stellen Sie sicher, dass der Linux-Zertifikatsspeicher für das Computerkonto über vertrauenswürdige Stammzertifizierungsstellen verfügt, die eine Vertrauenskette für das Sensor.
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs Eine IP-Adresse wurde bereitgestellt als SERVER Parameter bei der Installation des Forwarders, aber das vom Sensor vorgelegte SSL-Zertifikat enthält keine IP-Adresse als Subject Alternate Name (SAN). Wählen Sie aus den folgenden drei Lösungen.
  • Ersetzen Sie die IP-Adresse für SERVER Wert in der /etc/init.d/extrahop-key-forwarder Datei mit einem Hostnamen. Der Hostname muss mit dem Betreffnamen im Sensorzertifikat übereinstimmen.
  • Wenn der Server eine Verbindung mit dem herstellen muss Sensor nach IP-Adresse, deinstallieren Sie den Forwarder und installieren Sie ihn erneut, wobei Sie den Betreffnamen aus dem Sensorzertifikat als Wert von angeben server-name-override.
  • Neuausgabe der Sensor Zertifikat, das einen IP Subject Alternative Name (SAN) für die angegebene IP-Adresse enthält.
Unterstützte SSL/TLS-Verschlüsselungssammlungen

Das ExtraHop-System kann SSL/TLS-Verkehr entschlüsseln, der mit PFS- oder RSA-Cipher Suites verschlüsselt wurde. Alle unterstützten Cipher Suites können entschlüsselt werden, indem der Session Key Forwarder auf einem Server installiert und das ExtraHop-System konfiguriert wird.

Cipher Suites for RSA können den Datenverkehr auch mit einem Zertifikat und einem privaten Schlüssel entschlüsseln — mit oder ohne Weiterleitung von Sitzungsschlüsseln.

Entschlüsselungsmethoden
Die folgende Tabelle enthält eine Liste der Cipher Suites, die das ExtraHop-System unterstützt entschlüsseln zusammen mit den unterstützten Entschlüsselungsoptionen.
Hex-Wert Vorname (IANA) Name (OpenSSL) Unterstützte Entschlüsselung
0 x 04 TLS_RSA_MIT_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 05 TLS_RSA_MIT_RC4_128_SHA RC4-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA PFS + GPP PFS + Zertifikat
0x2F TLS_RSA_MIT_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 33 TLS_DHE_RSA_MIT_AES_128_CBC_SHA DHE-RSA-AES128-SHA PFS + GPP PFS + Zertifikat
0 x 35 TLS_RSA_MIT_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 39 TLS_DHE_RSA_MIT_AES_256_CBC_SHA DHE-RSA-AES256-SHA PFS + GPP PFS + Zertifikat
0x3C TLS_RSA_MIT_AES_128_CBC_SHA256 AES128-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x3D TLS_RSA_MIT_AES_256_CBC_SHA256 AES256-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 67 TLS_DHE_RSA_MIT_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 PFS + GPP PFS + Zertifikat
0 x 6 B TLS_DHE_RSA_MIT_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 PFS + GPP PFS + Zertifikat
0 x 9 C TLS_RSA_MIT_AES_128_GCM_SHA256 AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 9D TLS_RSA_WITH_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x9E TLS_DHE_RSA_MIT_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat
0 x 9F TLS_DHE_RSA_MIT_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat
0 x 1301 TLS_AES_128_GCM_SHA256 TLS_AES_128_GCM_SHA256 PFS + GPP PFS + Zertifikat
0 x 1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 PFS + GPP PFS + Zertifikat
0 x 1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 PFS + GPP PFS + Zertifikat
0xC007 TLS_ECDHE_ECDSA_MIT_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS + GPP
0xC008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS + GPP
0xC009 TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS + GPP
0xC00A TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS + GPP
0xC011 TLS_ECDHE_RSA_MIT_RC4_128_SHA ECDHE-RSA-RC4-SHA PFS + GPP PFS + Zertifikat
0xC012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA PFS + GPP PFS + Zertifikat
0xC013 TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA PFS + GPP PFS + Zertifikat
0xC014 TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA PFS + GPP PFS + Zertifikat
0xC023 TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS + GPP
0xC024 TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS + GPP
0xC027 TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 PFS + GPP PFS + Zertifikat
0xC028 TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 PFS + GPP PFS + Zertifikat
0xC02B TLS_ECDHE_ECDSA_MIT_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS + GPP
0xC02C TLS_ECDHE_ECDSA_MIT_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS + GPP
0xC02F TLS_ECDHE_RSA_MIT_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat
0xC030 TLS_ECDHE_RSA_MIT_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat
0xCCA8 TLS_ECDHE_RSA_MIT_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Zertifikat
0xCCA9 TLS_ECDHE_ECDSA_MIT_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS + GPP
0xCCAA TLS_DHE_RSA_MIT_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Zertifikat
Optionen für die Weiterleitung von Sitzungsschlüsseln

Sie können die Sitzungsschlüsselweiterleitung konfigurieren, indem Sie das bearbeiten /opt/extrahop/etc/extrahop-key-forwarder.conf Datei.

In der folgenden Tabelle sind alle konfigurierbaren Optionen aufgeführt.
Wichtig:Wenn Sie Optionen hinzufügen extrahop-key-forwarder.conf die keine dedizierten Variablen haben, sie muss in der ADDITIONAL_ARGS Feld. Für Beispiel:
ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so 
-libcrypto=/some/other/path/libcrypto.so"
Option Beschreibung
-cert <path> Gibt den Pfad zum Serverzertifikat an. Geben Sie nur das an Option, wenn das Serverzertifikat nicht von einem vertrauenswürdigen Zertifikat signiert ist Autorität.
-containerd-enable Aktiviert die Aufzählung von Containern, die mit der containerd-Laufzeit verwaltet werden. Das Die Option ist standardmäßig deaktiviert. Du musst tippen -containerd-enable zu aktiviere Container-Unterstützung.
-containerd-socket <string> Der vollständige Pfad der containerd-Socket-Datei.
-containerd-state <string> Der vollständige Pfad des containerd-State-Verzeichnisses.
-containerd-state-rootfs-subdir <string> Der relative Pfad des rootfs Unterverzeichnis des Containerd Bundesstaatenverzeichnis.
-docker-enable Aktiviert die Aufzählung von Docker-Containern. Diese Option wird aktiviert durch Standard. Du musst tippen -docker-enable=falsch um Docker zu deaktivieren Unterstützung.
-docker-envoy <path> Gibt zusätzliche Envoy-Pfade innerhalb von Docker-Containern an. Sie können dies angeben Option mehrfach.
-docker-go-binary <value> Gibt Glob-Muster an, um Go-Binärdateien in Docker-Containern zu finden. Du kannst geben Sie diese Option mehrmals an.
-docker-libcrypto <path> Gibt den Pfad zu libcrypto innerhalb von Docker-Containern an. Sie können dies angeben Option mehrfach.
-envoy <path> Gibt zusätzliche Envoy-Pfade auf dem Host an. Sie können diese Option angeben mehrfach.
-go-binary <value> Gibt Glob-Muster an, um Go-Binärdateien zu finden. Sie können diese Option angeben mehrfach.
-hearbeat-interval Gibt das Zeitintervall in Sekunden zwischen Heartbeat-Meldungen an. Das Standardintervall ist 30 Sekunden.
-host-mount-path <path> Gibt den Pfad an, in den das Host-Dateisystem gemountet wird, wenn das ausgeführt wird Sitzungsschlüsselweiterleitung innerhalb eines Containers.
-hosted <platform> Gibt an, dass der Agent auf der angegebenen gehosteten Plattform ausgeführt wird. Das Die Plattform ist derzeit beschränkt auf aws.
-ldconfig-cache <path> Gibt den Pfad zum ldconfig-Cache an, ld.so.cache. Der Standardpfad ist /etc/ld.so.cache. Sie können diese Option mehrfach angeben mal.
-libcrypto <path> Gibt den Pfad zur OpenSSL-Bibliothek an, libcrypto. Sie können diese Option mehrmals angeben, wenn Sie mehrere Installationen von OpenSSL.
-no-docker-envoy Deaktiviert die Envoy-Unterstützung in Docker-Containern.
-no-envoy Deaktiviert die Envoy-Unterstützung auf dem Host.
-openssl-discover Erkennt automatisch libcrypto Implementierungen. Der Standardwert ist „true". Du musst tippen -openssl-discover=falsch um OpenSSL zu deaktivieren Entschlüsselung.
-pidfile <path> Gibt die Datei an, in der dieser Server seine Prozess-ID aufzeichnet. (PID).
-port <value> Gibt den TCP-Port an, den der Sensor wartet auf Forward Sitzungsschlüssel. Der Standardport ist 4873.
-server <string> Gibt den vollqualifizierten Domänenname des ExtraHop Discover an Gerät.
-server-name-override <value> Gibt den Betreffnamen aus dem Sensor Zertifikat. Spezifizieren Sie dies Option, wenn dieser Server nur eine Verbindung zum Paket herstellen kann Sensor nach IP-Adresse.
-syslog <facility> Gibt die Einrichtung an, die von der Schlüsselweiterleitung gesendet wurde. Die Standardeinstellung Einrichtung ist local3.
-t Führen Sie einen Konnektivitätstest durch. Du musst tippen -t=wahr zu mit dieser Option ausführen.
-tcp-listen-port <value> Gibt den TCP-Port an, auf den die Schlüsselweiterleitung wartet weitergeleitete Sitzungsschlüssel.
-username <string> Gibt den Benutzer an, unter dem die Sitzungsschlüsselweiterleitung ausgeführt wird Die Forwarder-Software ist installiert.
-v Aktivieren Sie die ausführliche Protokollierung. Du musst tippen -v=true rennen mit dieser Option.
Linux-Umgebungsvariablen

Mit den folgenden Umgebungsvariablen können Sie die Sitzungsschlüsselweiterleitung installieren, ohne Benutzerinteraktion.

Variabel Beschreibung Beispiel
EXTRAHOP_CONNECTION_MODE Gibt den Verbindungsmodus zum Sitzungsschlüsselempfänger an. Die Optionen sind richten für selbstverwaltete Sensoren und gehostet für Extrahop-verwaltete Sensoren. sudo EXTRAHOP_CONNECTION_MODE=hosted rpm --install extrahop-key-forwarder.x86_64.rpm
EXTRAHOP_EDA_HOSTNAME Gibt den vollqualifizierten Domänenname des selbstverwalteten Sensor. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com dpkg --install extrahop-key-forwarder_amd64.deb
EXTRAHOP_LOCAL_LISTENER_PORT Der Key-Forwarder empfängt Sitzungsschlüssel lokal aus der Java-Umgebung. über einen TCP-Listener auf localhost (127.0.0.1) und den im LOCAL_LISTENER_PORT Feld. Wir haben empfohlen, diesen Port beizubehalten auf den Standardwert 598 gesetzt. Wenn Sie die Portnummer ändern, müssen Sie die -javaagent Argument, um den neuen Port zu berücksichtigen. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_LOCAL_LISTENER_PORT=900 rpm --install extrahop-key-forwarder.x86_64.rpm
EXTRAHOP_SYSLOG Gibt die Einrichtung oder den Maschinenprozess an, der das Syslog-Ereignis erzeugt hat. Das Standardeinrichtung ist local3, was ein Systemdaemon ist Prozesse. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_SYSLOG=local1 dpkg --install extrahop-key-forwarder_amd64.deb
EXTRAHOP_ADDITIONAL_ARGS Gibt zusätzliche Optionen für die Schlüsselweiterleitung an. sudo EXTRAHOP_CONNECTION_MODE=hosted EXTRAHOP_ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so libcrypto=/some/other/path/libcrypto.so" rpm --install extrahop-key-forwarder.x86_64.rpm
Unterstützte SSL/TLS-Verschlüsselungssammlungen

Das ExtraHop-System kann SSL/TLS-Verkehr entschlüsseln, der mit PFS- oder RSA-Cipher Suites verschlüsselt wurde. Alle unterstützten Cipher Suites können entschlüsselt werden, indem der Session Key Forwarder auf einem Server installiert und das ExtraHop-System konfiguriert wird.

Cipher Suites for RSA können den Datenverkehr auch mit einem Zertifikat und einem privaten Schlüssel entschlüsseln — mit oder ohne Weiterleitung von Sitzungsschlüsseln.

Entschlüsselungsmethoden
Die folgende Tabelle enthält eine Liste der Cipher Suites, die das ExtraHop-System unterstützt entschlüsseln zusammen mit den unterstützten Entschlüsselungsoptionen.
Hex-Wert Vorname (IANA) Name (OpenSSL) Unterstützte Entschlüsselung
0 x 04 TLS_RSA_MIT_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 05 TLS_RSA_MIT_RC4_128_SHA RC4-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA PFS + GPP PFS + Zertifikat
0x2F TLS_RSA_MIT_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 33 TLS_DHE_RSA_MIT_AES_128_CBC_SHA DHE-RSA-AES128-SHA PFS + GPP PFS + Zertifikat
0 x 35 TLS_RSA_MIT_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 39 TLS_DHE_RSA_MIT_AES_256_CBC_SHA DHE-RSA-AES256-SHA PFS + GPP PFS + Zertifikat
0x3C TLS_RSA_MIT_AES_128_CBC_SHA256 AES128-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x3D TLS_RSA_MIT_AES_256_CBC_SHA256 AES256-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 67 TLS_DHE_RSA_MIT_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 PFS + GPP PFS + Zertifikat
0 x 6 B TLS_DHE_RSA_MIT_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 PFS + GPP PFS + Zertifikat
0 x 9 C TLS_RSA_MIT_AES_128_GCM_SHA256 AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0 x 9D TLS_RSA_WITH_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat RSA + Zertifikat
0x9E TLS_DHE_RSA_MIT_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat
0 x 9F TLS_DHE_RSA_MIT_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat
0 x 1301 TLS_AES_128_GCM_SHA256 TLS_AES_128_GCM_SHA256 PFS + GPP PFS + Zertifikat
0 x 1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 PFS + GPP PFS + Zertifikat
0 x 1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 PFS + GPP PFS + Zertifikat
0xC007 TLS_ECDHE_ECDSA_MIT_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS + GPP
0xC008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS + GPP
0xC009 TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS + GPP
0xC00A TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS + GPP
0xC011 TLS_ECDHE_RSA_MIT_RC4_128_SHA ECDHE-RSA-RC4-SHA PFS + GPP PFS + Zertifikat
0xC012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA PFS + GPP PFS + Zertifikat
0xC013 TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA PFS + GPP PFS + Zertifikat
0xC014 TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA PFS + GPP PFS + Zertifikat
0xC023 TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS + GPP
0xC024 TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS + GPP
0xC027 TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 PFS + GPP PFS + Zertifikat
0xC028 TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 PFS + GPP PFS + Zertifikat
0xC02B TLS_ECDHE_ECDSA_MIT_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS + GPP
0xC02C TLS_ECDHE_ECDSA_MIT_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS + GPP
0xC02F TLS_ECDHE_RSA_MIT_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Zertifikat
0xC030 TLS_ECDHE_RSA_MIT_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Zertifikat
0xCCA8 TLS_ECDHE_RSA_MIT_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Zertifikat
0xCCA9 TLS_ECDHE_ECDSA_MIT_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS + GPP
0xCCAA TLS_DHE_RSA_MIT_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Zertifikat

Speichern Sie SSL-Sitzungsschlüssel in verbundenen Paketspeichern

Wenn die Weiterleitung von Sitzungsschlüsseln auf einem ExtraHop-System konfiguriert ist, das mit einem Packetstore verbunden ist, kann das ExtraHop-System verschlüsselte Sitzungsschlüssel zusammen mit den gesammelten Paketen speichern.

Before you begin

Erfahre mehr über Pakete mit gespeicherten Schlüsseln entschlüsseln.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken Speicherung von SSL-Sitzungsschlüsseln.
  4. Wählen SSL-Sitzungsschlüsselspeicher aktivieren.
  5. klicken Speichern.

Nächste Maßnahme

Weitere Hinweise zum Herunterladen von Sitzungsschlüsseln finden Sie unter Laden Sie Sitzungsschlüssel mit Paketerfassungen herunter.

Schlüsselweiterleitungen für verbundene Sitzungen anzeigen

Sie können kürzlich verbundene Sitzungsschlüsselweiterleitungen anzeigen, nachdem Sie die Sitzungsschlüsselweiterleitung auf Ihrem Server installiert und den SSL-Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktiviert haben. Beachten Sie, dass auf dieser Seite nur Sitzungsschlüsselweiterleitungen angezeigt werden, die in den letzten Minuten eine Verbindung hergestellt haben, nicht alle Sitzungsschlüsselweiterleitungen, die derzeit verbunden sind.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken Geteilte SSL-Geheimnisse.

Entschlüsseln Sie den Domänenverkehr mit einem Windows-Domänencontroller

Das ExtraHop-System kann so konfiguriert werden, dass Domänenschlüssel von einem Domänencontroller abgerufen und gespeichert werden. Wenn das System verschlüsselten Verkehr beobachtet, der den gespeicherten Schlüsseln entspricht, wird der gesamte Kerberos-verschlüsselte Verkehr in der Domäne für unterstützte Protokolle entschlüsselt. Das System synchronisiert nur Kerberos- und NTLM-Entschlüsselungsschlüssel und ändert keine anderen Eigenschaften in der Domäne.

Ein Domänencontroller wie Active Directory ist ein häufiges Ziel von Angreifern, da eine erfolgreiche Angriffskampagne hochwertige Ziele hervorbringt. Kritische Angriffe wie Golden Ticket, PrintNightmare und Bloodhound können durch Kerberos- oder NTLM-Entschlüsselung verdeckt werden. Die Entschlüsselung dieser Art von Datenverkehr kann tiefere Einblicke in Sicherheitserkennungen liefern.

Sie können die Entschlüsselung für eine Person aktivieren Sensor oder durch eine Integration auf Reveal (x) 360.

Für die Entschlüsselung müssen die folgenden Anforderungen erfüllt sein:

  • Sie müssen über einen Active Directory Directory-Domänencontroller (DC) verfügen, der nicht als schreibgeschützter Domänencontroller (RODC) konfiguriert ist.
  • Nur Windows Server 2016 und Windows Server 2019 werden unterstützt.
  • Nur ein Domänencontroller kann auf einem konfiguriert werden Sensor, was bedeutet, dass Sie den Traffic von einer Domain pro Domain entschlüsseln können Sensor.
  • Das ExtraHop-System synchronisiert Schlüssel für bis zu 50.000 Konten in einer konfigurierten Domain. Wenn Ihr DC mehr als 50.000 Konten hat, wird ein Teil des Datenverkehrs nicht entschlüsselt.
  • Das ExtraHop-System muss den Netzwerkverkehr zwischen dem DC und den angeschlossenen Clients und Servern beobachten.
  • Das ExtraHop-System muss über die folgenden Ports auf den Domänencontroller zugreifen können: TCP 88 (Kerberos), TCP 445 (SMB), TCP 135 (RPC) und TCP-Ports 49152-65535 (RPC-Dynamikbereich).
Warnung:Wenn Sie diese Einstellungen aktivieren, erhält das ExtraHop-System Zugriff auf alle Kontoschlüssel in der Windows-Domäne. Das ExtraHop-System sollte auf derselben Sicherheitsstufe wie der Domänencontroller bereitgestellt werden. Hier sind einige bewährte Methoden, die Sie berücksichtigen sollten:
  • Beschränken Sie den Endbenutzerzugriff strikt auf Sensoren die mit Zugriff auf den Domänencontroller konfiguriert sind. Erlauben Sie im Idealfall nur Endbenutzern den Zugriff auf ein verbundenes Konsole.
  • Konfiguriere Sensoren mit einem Identitätsanbieter, der über starke Authentifizierungsfunktionen wie Zweifaktor- oder Multi-Faktor-Authentifizierung verfügt.
  • Beschränken Sie den eingehenden und ausgehenden Verkehr zum und vom Sensor nur auf das, was benötigt wird.
  • Beschränken Sie in Active Directory die Logon-Workstations für das Konto so, dass sie nur mit dem Domänencontroller kommunizieren, mit dem das ExtraHop-System konfiguriert ist.
Einen Domänencontroller mit einem Sensor verbinden

Before you begin

Sie benötigen ein Benutzerkonto mit Setup oder System- und Zugriffsadministrationsrechte auf dem Sensor.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassung.
  3. klicken Domänencontroller.
  4. Wählen Sie den Verbindung zum Domänencontroller aktivieren Checkbox.
  5. Füllen Sie die folgenden Felder aus:

    Hostname: Der vollqualifizierte Domänenname des Domänencontroller.

    Computername (sAMAccountName): Der Name des Domänencontroller.

    Name des Bereichs: Der Kerberos-Bereichsname des Domänencontroller.

    Nutzername: Der Name eines Benutzers, der Mitglied der integrierten Administratorgruppe für die Domain ist (nicht zu verwechseln mit der Gruppe Domain-Admins). Um mögliche Verbindungsfehler zu vermeiden, geben Sie ein Benutzerkonto an, das nach der Einrichtung des Domänencontrollers erstellt wurde.

    Passwort: Das Passwort des privilegierten Benutzers.

  6. klicken Verbindung testen um zu bestätigen, dass der Sensor mit dem Domänencontroller kommunizieren kann.
  7. klicken Speichern.
Einen Domänencontroller mit einem Reveal (x) 360-Sensor verbinden

Before you begin

Ihr Benutzerkonto muss Privilegien auf Reveal (x) 360 für System - und Zugriffsadministration.
  1. Loggen Sie sich bei Reveal (x) 360 ein.
  2. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Integrationen.
  3. Klicken Sie auf Microsoft-Protokollentschlüsselung Kachel.
  4. Füllen Sie die folgenden Felder aus, um Anmeldedaten für den Microsoft Active Directory-Domänencontroller anzugeben, den Sie mit einem Reveal (x) 360-Sensor verbinden möchten:

    Hostname: Der vollqualifizierte Domänenname des Domänencontroller.

    Computername (sAMAccountName): Der Name des Domänencontroller.

    Name des Bereichs: Der Kerberos-Bereichsname des Domänencontroller.

    Nutzername: Der Name eines Benutzers, der Mitglied der integrierten Administratorgruppe für die Domain ist (nicht zu verwechseln mit der Gruppe Domain-Admins). Um mögliche Verbindungsfehler zu vermeiden, geben Sie ein Benutzerkonto an, das nach der Einrichtung des Domänencontrollers erstellt wurde.

    Passwort: Das Passwort des privilegierten Benutzers.

  5. Wählen Sie aus der Dropdownliste den Reveal (x) 360-Sensor aus, mit dem der Domänencontroller eine Verbindung herstellen soll. Nur ein Domänencontroller kann an einen Reveal (x) 360-Sensor angeschlossen werden.
  6. klicken Verbindung testen um zu bestätigen, dass der Sensor mit dem Domänencontroller kommunizieren kann.
  7. klicken Speichern.
Überprüfen Sie die Konfigurationseinstellungen

Um zu überprüfen, ob das ExtraHop-System den Datenverkehr mit dem Domänencontroller entschlüsseln kann, erstellen Sie ein Dashboard, das erfolgreiche Entschlüsselungsversuche identifiziert.

  1. Neues Dashboard erstellen.
  2. Klicken Sie auf das Diagramm-Widget, um die Metrikquelle hinzuzufügen.
  3. klicken Quelle hinzufügen.
  4. Geben Sie im Feld Quellen den Namen der Sensor Kommunizieren Sie mit einem Domänencontroller und wählen Sie dann Sensor aus der Liste.
  5. Geben Sie im Feld Metriken Folgendes ein: DC im Suchfeld und dann wählen Integrität der DC-gestützten Entschlüsselung — Erfolgreiche Kerberos-Entschlüsselungsversuche von SPN.
  6. klicken Speichern.
Das Diagramm wird mit der Anzahl der erfolgreichen Entschlüsselungsversuche angezeigt.

Zusätzliche Metriken zur Systemintegrität
Das ExtraHop-System bietet Metriken, die Sie einem Dashboard hinzufügen können, um den Zustand und die Funktionalität der DC-gestützten Entschlüsselung zu überwachen.

Um eine Liste der verfügbaren Messwerte anzuzeigen, klicken Sie auf das Symbol Systemeinstellungen und dann klicken Metrischer Katalog. Typ DC-unterstützt im Filterfeld, um alle verfügbaren Metriken zur DC-unterstützten Entschlüsselung anzuzeigen.



Importieren Sie externe Daten in Ihr ExtraHop-System

Die ExtraHop Open Data Context API ermöglicht es Ihnen, Daten von einem externen Host in die Sitzungstabelle auf Ihrem ExtraHop zu importieren. Sensor. Auf diese Daten kann dann zugegriffen werden, um benutzerdefinierte Messwerte zu erstellen , die Sie zu ExtraHop-Diagrammen hinzufügen, in Datensätzen in einem Recordstore speichern oder in ein externes Analysetool exportieren können.

Nachdem Sie die Open Data Context API auf Ihrem aktiviert haben Sensor, können Sie Daten importieren, indem Sie ein Python-Skript von einem Memcache-Client auf einem externen Host ausführen. Diese externen Daten werden in Schlüssel-Wert-Paaren gespeichert und können durch Schreiben eines Auslöser abgerufen werden.

Sie könnten beispielsweise ein Memcached-Client-Skript auf einem externen Host ausführen, um CPU-Lastdaten in die Sitzungstabelle auf Ihrem Sensor. Anschließend können Sie einen Auslöser schreiben, der auf die Sitzungstabelle zugreift und die Daten als benutzerdefinierte Metriken festschreibt.

Warnung:Die Verbindung zwischen dem externen Host und dem ExtraHop-System ist nicht verschlüsselt und sollte keine vertraulichen Informationen übertragen.
Aktivieren Sie die Open Data Context API

Sie müssen die Open Data Context API auf Ihrem aktivieren Sensor bevor es Daten von einem externen Host empfangen kann.

Before you begin

  • Sie müssen eingerichtet haben oder System- und Zugriffsadministrationsrechte um auf die Administrationsseite Ihres ExtraHop-Systems zuzugreifen.
  • Wenn Sie über eine Firewall verfügen, müssen Ihre Firewallregeln externen Hosts den Zugriff auf die angegebenen TCP- und UDP-Ports ermöglichen. Die Standard-Portnummer ist 11211.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Erfassen.
  3. klicken Öffnen Sie die Datenkontext-API.
  4. klicken Open Data Context API aktivieren.
  5. Konfigurieren Sie jedes Protokoll, über das Sie externe Datenübertragungen zulassen möchten:
    Option Bezeichnung
    TCP
    1. Wählen Sie den TCP-Port aktiviert Checkbox.
    2. In der TCP-Anschluss Feld, geben Sie die Portnummer ein, die externe Daten empfängt.
    UDP
    1. Wählen Sie den UDP-Port aktiviert Checkbox.
    2. In der UDP-Anschluss Feld, geben Sie die Portnummer ein, die externe Daten empfängt.
  6. klicken Capture speichern und neu starten.
    Wichtig:Der Sensor erfasst während des Neustarts keine Messwerte.
  7. klicken Erledigt.
Schreiben Sie ein Python-Skript, um externe Daten zu importieren

Bevor Sie externe Daten in die Sitzungstabelle auf Ihrem importieren können Sensor, Sie müssen ein Python-Skript schreiben, das Ihre identifiziert Sensor und enthält die Daten, die Sie in die Sitzungstabelle importieren möchten. Das Skript wird dann von einem Memcache-Client auf dem externen Host ausgeführt.

Dieses Thema enthält Anleitungen zur Syntax und bewährte Methoden für das Schreiben des Python-Skripts. Ein vollständiges Skriptbeispiel ist am Ende dieses Handbuchs verfügbar.

Before you begin

Stellen Sie sicher, dass Sie einen Memcached-Client auf dem externen Host-Computer haben. Sie können jede Standard-Memcached-Clientbibliothek installieren, z. B. http://libmemcached.org/ oder https://pypi.python.org/pypi/pymemcache. Der Sensor fungiert als Memcached-Server der Version 1.4.

Hier sind einige wichtige Überlegungen zur Open Data Context API:
  • Die Open Data Context API unterstützt die meisten Memcached-Befehle, wie get, set, und increment.
  • Alle Daten müssen als Zeichenketten eingefügt werden, die lesbar sind für Sensor. Einige Memcached-Clients versuchen, Typinformationen in den Werten zu speichern. Die Python-Memcache-Bibliothek speichert beispielsweise Floats als ausgewählte Werte, die beim Aufrufen zu ungültigen Ergebnissen führen Session.lookup in Auslösern. Die folgende Python-Syntax fügt einen Float korrekt als Zeichenfolge ein:
    mc.set("my_float", str(1.5))
  • Obwohl die Größe von Sitzungstabellenwerten nahezu unbegrenzt sein kann, kann das Festschreiben großer Werte in die Sitzungstabelle zu Leistungseinbußen führen. Darüber hinaus müssen Metriken, die an den Datenspeicher übergeben werden, 4096 Byte oder weniger groß sein, und zu große Tabellenwerte können zu verkürzten oder ungenauen Metriken führen.
  • Einfache Statistikberichte werden unterstützt, detaillierte Statistikberichte nach Elementgröße oder Schlüsselpräfix werden jedoch nicht unterstützt.
  • Das Festlegen des Ablaufs von Artikeln beim Hinzufügen oder Aktualisieren von Artikeln wird unterstützt, aber das Massenablaufdatum wird über die flush Befehl wird nicht unterstützt.
  • Schlüssel laufen in 30-Sekunden-Intervallen ab. Wenn ein Schlüssel beispielsweise so eingestellt ist, dass er in 50 Sekunden abläuft, kann es zwischen 50 und 79 Sekunden dauern, bis er abläuft.
  • Alle mit der Open Data Context API festgelegten Schlüssel werden über die verfügbar gemacht SESSION_EXPIRE lösen ein Ereignis aus, wenn sie ablaufen. Dieses Verhalten steht im Gegensatz zur Trigger-API, die ablaufende Schlüssel nicht über die SESSION_EXPIRE Ereignis.
  1. Öffnen Sie in einem Python-Editor eine neue Datei.
  2. Fügen Sie die IP-Adresse Ihres Sensor und die Portnummer, an die der Memcached-Client Daten sendet, ähnlich der folgenden Syntax:
    client = memcache.Client(["eda_ip_address:eda_port"])
  3. Fügen Sie die Daten, die Sie importieren möchten, über Memcached zur Sitzungstabelle hinzu set Befehl, formatiert in Schlüssel-Wert-Paaren, ähnlich der folgenden Syntax:
    client.set("some_key", "some_value")
  4. Speichern Sie die Datei.
  5. Führen Sie das Python-Skript vom Memcached-Client auf dem externen Host aus.
Schreiben Sie einen Auslöser für den Zugriff auf importierte Daten

Sie müssen einen Auslöser schreiben, bevor Sie auf die Daten in der Sitzungstabelle zugreifen können.

Before you begin

In diesem Thema wird Erfahrung mit dem Schreiben von Triggern vorausgesetzt. Wenn Sie mit Triggern nicht vertraut sind, schauen Sie sich die folgenden Themen an:
  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Auslöser.
  3. klicken Neu, und klicken Sie dann auf Konfiguration Registerkarte.
  4. In der Name Feld, geben Sie einen eindeutigen Namen für den Auslöser ein.
  5. In der Ereignisse Feld, beginnen Sie mit der Eingabe eines Veranstaltungsnamens und wählen Sie dann ein Ereignis aus der gefilterten Liste aus.
  6. Klicken Sie auf Herausgeber Registerkarte.
  7. In der Trigger-Skript Textfeld, schreiben Sie ein Triggerskript, das auf die Daten der Sitzungstabelle zugreift und diese anwendet. EIN vollständiges Skriptbeispiel ist am Ende dieses Handbuchs verfügbar.
    Das Skript muss das enthalten Session.lookup Methode, um einen bestimmten Schlüssel in der Sitzungstabelle zu finden und den entsprechenden Wert zurückzugeben.

    Der folgende Code sucht beispielsweise nach einem bestimmten Schlüssel in der Sitzungstabelle, um den entsprechenden Wert zurückzugeben, und überträgt den Wert dann als benutzerdefinierte Metrik an eine Anwendung:

    var key_lookup = Session.lookup("some_key");
                    Application("My App").metricAddDataset("my_custom_metric",
                    key_lookup);
    Hinweis:Sie können Schlüssel-Wert-Paare in der Sitzungstabelle auch mithilfe der Methoden hinzufügen, ändern oder löschen, die in der Session Klasse der ExtraHop Trigger API-Referenz .
  8. klicken Speichern und schließen.

Nächste Maßnahme

Sie müssen den Auslöser einem Gerät oder einer Gerätegruppe zuweisen. Der Auslöser wird erst ausgeführt, wenn er zugewiesen wurde.
Beispiel für eine Open Data Context API

In diesem Beispiel erfahren Sie, wie Sie den Reputationswert und das potenzielle Risiko von Domains überprüfen, die mit Geräten in Ihrem Netzwerk kommunizieren. Zunächst zeigt Ihnen das Python-Beispielskript, wie Sie Domain-Reputationsdaten in die Sitzungstabelle auf Ihrem importieren Sensor. Anschließend zeigt Ihnen das Beispiel-Triggerskript, wie Sie IP-Adressen bei DNS-Ereignissen mit den importierten Domain-Reputationsdaten vergleichen und wie Sie aus den Ergebnissen eine benutzerdefinierte Metrik erstellen.

Beispiel für ein Python-Skript

Dieses Python-Skript enthält eine Liste von 20 beliebten Domainnamen und kann auf Domain-Reputationswerte verweisen, die aus einer Quelle wie Domain-Tools.

Dieses Skript ist eine REST-API, die eine POST-Operation akzeptiert, bei der der Hauptteil der Domänenname ist. Bei einem POST-Vorgang aktualisiert der Memcached-Client die Sitzungstabelle mit den Domäneninformationen.

#!/usr/bin/python
import flask
import flask_restful
import memcache
import sqlite3

top20 = { "google.com", "facebook.com", "youtube.com", "twitter.com",
          "microsoft.com", "wikipedia.org", "linkedin.com",
          "apple.com","adobe.com", "wordpress.org", "instagram.com",
          "wordpress.com", "vimeo.com", "blogspot.com", "youtu.be", 
          "pinterest.com", "yahoo.com", "goo.gl", "amazon.com", "bit.ly}

dnsnames = {}

mc = memcache.Client(['10.0.0.115:11211'])

for dnsname in top20:    
    dnsnames[dnsname] = 0.0    

dbc = sqlite3.Connection('./dnsreputation.db')
cur = dbc.cursor()
cur.execute('select dnsname, score from dnsreputation;')
for row in cur:
    dnsnames[row[0]] = row[1]
dbc.close()

app = flask.Flask(__name__)
api = flask_restful.Api(app)

class DnsReputation(flask_restful.Resource):    
    def post(self):        
        dnsname = flask.request.get_data()        
        #print dnsname        
        mc.set(dnsname, str(dnsnames.get(dnsname, 50.0)), 120)        
        return 'added to session table'

api.add_resource(DnsReputation, '/dnsreputation')

if __name__ == '__main__':     
     app.run(debug=True,host='0.0.0.0')
Beispiel für ein Trigger-Skript

Dieses Beispiel-Triggerskript kanonisiert (oder konvertiert) IP-Adressen, die bei DNS-Ereignissen zurückgegeben werden, in Domänennamen und sucht dann in der Sitzungstabelle nach der Domain und ihrem Reputationswert. Wenn der Punktewert größer als 75 ist, fügt der Auslöser die Domain einem Anwendungscontainer mit dem Namen „DNSReputation" als Detail-Metrik namens „Bad DNS reputation" hinzu.

//Configure the following trigger settings:
//Name: DNSReputation
//Debugging: Enabled
//Events: DNS_REQUEST, DNS_RESPONSE

if (DNS.errorNum != 0 || DNS.qname == null 
    || DNS.qname.endsWith("in-addr.arpa") || DNS.qname.endsWith("local") 
    || DNS.qname.indexOf('.') == -1 ) {
    // error or null or reverse lookup, or lookup of local namereturn
    return;
}

//var canonicalname = DNS.qname.split('.').slice(-2).join('.');
var canonicalname = DNS.qname.substring(DNS.qname.lastIndexOf('.', DNS.qname.lastIndexOf('.')-1)+1)

//debug(canonicalname);


//Look for this DNS name in the session table
var score = Session.lookup(canonicalname)
if (score === null) {
    // Send to the service for lookup
    Remote.HTTP("dnsrep").post({path: "/dnsreputation", payload: canonicalname});
} else {
    debug(canonicalname + ':' +score);
    if (parseFloat(score) > 75) {
	 //Create an application in the ExtraHop system and add custom metrics
        //Note: The application is not displayed in the ExtraHop system after the 
	 //initial request, but is displayed after subsequent requests. 
        Application('DNSReputation').metricAddDetailCount('Bad DNS reputation', canonicalname + ':' + score, 1);
    }
}

Installieren Sie den Paket Forwarder auf einem Linux-Server

Sie müssen die Paketweiterleitungssoftware auf jedem Server installieren, der überwacht werden soll, um Pakete an das ExtraHop-System weiterzuleiten.

RPCAP-Installationsdateien und Anweisungen finden Sie unter ExtraHop Downloads und Ressourcen Webseite.
Herunterladen und auf RPM-basierten Systemen installieren
  1. Laden Sie die RPCAP-Installationsdatei vom ExtraHop herunter Downloads und Ressourcen Webseite.
  2. Installieren Sie die Software auf dem Server, indem Sie den folgenden Befehl ausführen:
    sudo rpm -i rpcapd-<extrahop_firmware_version>.x86_64.rpm
  3. Öffnen und bearbeiten Sie das rpcapd.ini Datei in einem Texteditor, indem Sie einen der folgenden Befehle ausführen:
    vim /opt/extrahop/etc/rpcapd.ini
    nano /opt/extrahop/etc/rpcapd.ini
    Beispielausgabe:
    #ActiveClient = <TARGETIP>,<TARGETPORT>
    NullAuthPermit = YES

    Ersetzen <TARGETIP> mit der IP-Adresse des ExtraHop-Systems und <TARGETPORT> mit 2003. Kommentieren Sie die Zeile zusätzlich aus, indem Sie das Nummernzeichen löschen (#) am Anfang der Zeile.

    Zum Beispiel:
    ActiveClient = 10.10.10.10,2003
    NullAuthPermit = YES
  4. Starten Sie das Senden von Traffic an das ExtraHop-System, indem Sie den folgenden Befehl ausführen:
    sudo /etc/init.d/rpcapd start
  5. Optional: Stellen Sie sicher, dass das ExtraHop-System Datenverkehr empfängt, indem Sie den folgenden Befehl ausführen:
    sudo service rpcapd status
Downloaden und auf anderen Linux-Systemen installieren
  1. Laden Sie die RPCAP-Installationsdatei vom ExtraHop herunter Downloads und Ressourcen Webseite.
  2. Installieren Sie die Software auf dem Server, indem Sie die folgenden Befehle ausführen:
    1. Extrahieren Sie die Paket Forwarder-Dateien aus der Archivdatei:
      tar xf rpcapd-<extrahop_firmware_version>.tar.gz
    2. Wechseln Sie zu rpcapd Verzeichnis:
      cd rpcapd
    3. Führen Sie das Installationsskript aus:
      sudo ./install.sh <extrahop_ip> 2003
  3. Optional: Stellen Sie sicher, dass das ExtraHop-System Datenverkehr empfängt, indem Sie den folgenden Befehl ausführen:
    sudo /etc/init.d/rpcapd status
Informationen zum Ausführen der Software auf Servern mit mehreren Schnittstellen finden Sie unter Überwachung mehrerer Schnittstellen auf einem Linux-Server.
Downloaden und auf Debian-basierten Systemen installieren

Um den Paket Forwarder auf Debian-basierten Systemen herunterzuladen und zu installieren:

  1. Laden Sie die RPCAP-Installationsdatei vom ExtraHop herunter Downloads und Ressourcen Webseite.
  2. Installieren Sie die Software auf dem Server, indem Sie den folgenden Befehl ausführen:
    sudo dpkg -i rpcapd_<extrahop_firmware_version>_amd64.deb
  3. Geben Sie an der Eingabeaufforderung die IP-Adresse des ExtraHop-Systems ein, bestätigen Sie die Standardverbindung zu Port 2003 und drücken Sie die EINGABETASTE.
  4. Optional: Stellen Sie sicher, dass das ExtraHop-System Datenverkehr empfängt, indem Sie die folgenden Befehle ausführen:
    sudo dpkg --get-selections | grep rpcapd
    
    sudo service rpcapd status
  5. Optional: Führen Sie den folgenden Befehl aus, um die IP-Adresse, die Portnummer oder die Argumente des ExtraHop-Systems für den Dienst zu ändern.
    sudo dpkg-reconfigure rpcapd

Installieren Sie den Paket Forwarder auf einem Windows-Server

Sie müssen die Paketweiterleitungssoftware auf jedem zu überwachenden Server installieren, um Pakete an das ExtraHop-System weiterzuleiten.

  1. Laden Sie die Installationsdatei für RPCAP Service für Windows vom ExtraHop herunter Downloads und Ressourcen Webseite.
  2. Doppelklicken Sie auf die Datei, um das Installationsprogramm zu starten.
  3. Wählen Sie im Assistenten die zu installierenden Komponenten aus.
  4. Schließe das ab ExtraHop-IP und ExtraHop-Anschluss Felder und Klick Weiter. Der Standardport ist 2003.
  5. Optional: Geben Sie zusätzliche Argumente in das Textfeld ein und klicken Sie auf Weiter.
  6. Suchen Sie den Zielordner für die Installation des RPCAP-Dienstes und wählen Sie ihn aus.
  7. Wenn der RPCAP-Dienst zuvor installiert war, klicken Sie auf Ja um den vorherigen Dienst zu löschen.
  8. Wenn die Installation abgeschlossen ist, klicken Sie Schliessen.

Überwachung mehrerer Schnittstellen auf einem Linux-Server

Bei Servern mit mehreren Schnittstellen können Sie die Paketweiterleitung so konfigurieren, dass Pakete von einer bestimmten Schnittstelle oder von mehreren Schnittstellen weitergeleitet werden, indem Sie die zugehörige Konfigurationsdatei auf dem Server bearbeiten.

Gehen Sie wie folgt vor, um die Konfigurationsdatei zu bearbeiten.

  1. Öffnen Sie nach der Installation des Paket Forwarders die Konfigurationsdatei. /opt/extrahop/etc/rpcapd.ini.
    Die Konfigurationsdatei enthält diesen Text oder einen ähnlichen Text:
    ActiveClient = 10.0.0.100,2003
    NullAuthPermit = YES
  2. Ändern Sie das Bestehende ActiveClient Linie und erstelle eine ActiveClient Leitung für jede weitere zu überwachende Schnittstelle. Geben Sie jede Schnittstelle anhand ihres Schnittstellennamens oder ihrer IP-Adresse an.
    ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_name>

    oder

    ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_address>

    Wo <interface_name> ist der Name der Schnittstelle, von der aus Sie Pakete weiterleiten möchten, und <interface_address> ist die IP-Adresse der Schnittstelle, von der die Pakete weitergeleitet werden. Die <interface_address> Variable kann entweder die IP-Adresse selbst sein, z. B. 10.10.1.100, oder eine CIDR-Spezifikation ( Netzwerk-IP-Adresse/Subnetzpräfixlänge), die die IP-Adresse enthält, z. B. 10.10.1.0/24.

    Für jeden ActiveClient Leitung, der Paketweiterleiter leitet unabhängig Pakete von der in der Zeile angegebenen Schnittstelle weiter.

    Das Folgende ist ein Beispiel für die Konfigurationsdatei, die zwei Schnittstellen anhand des Schnittstellennamens spezifiziert:

    ActiveClient = 10.10.6.45, 2003, ifname=eth0
    ActiveClient = 10.10.6.45, 2003, ifname=eth1
    NullAuthPermit = YES

    Das Folgende ist ein Beispiel für die Konfigurationsdatei, die zwei Schnittstellen anhand der Schnittstellen-IP-Adresse spezifiziert:

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
    NullAuthPermit = YES

    Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, die zwei Schnittstellen mithilfe von CIDR-Spezifikationen spezifiziert, die die Schnittstellen-IP-Adresse enthalten:

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
    NullAuthPermit = YES
  3. Speichern Sie die Konfigurationsdatei. Achten Sie darauf, die Datei im ASCII-Format zu speichern, um Fehler zu vermeiden.
  4. Starten Sie den Paket Forwarder neu, indem Sie den folgenden Befehl ausführen:
    sudo /etc/init.d/rpcapd restart
    Hinweis:Um den Paket Forwarder nach dem Ändern der Konfigurationsdatei erneut zu installieren, führen Sie den Installationsbefehl aus und ersetzen Sie <extrahop_ip> und <extrahop_port> mit dem –k Flag, um die geänderte Konfigurationsdatei beizubehalten. Zum Beispiel:
    sudo sh ./install-rpcapd.sh –k

Überwachung mehrerer Schnittstellen auf einem Windows-Server

Bei Servern mit mehreren Schnittstellen können Sie die Paketweiterleitung so konfigurieren, dass Pakete von einer bestimmten Schnittstelle oder von mehreren Schnittstellen weitergeleitet werden, indem Sie die zugehörige Konfigurationsdatei auf dem Server bearbeiten.

Gehen Sie wie folgt vor, um die Konfigurationsdatei zu bearbeiten.

  1. Öffnen Sie nach der Installation des Paket Forwarders auf dem Server die Konfigurationsdatei: C:\Program Files\rpcapd\rpcapd.ini
    Die Konfigurationsdatei enthält diesen Text oder einen ähnlichen Text:
    ActiveClient = 10.0.0.100,2003
    NullAuthPermit = YES
  2. Ändern Sie die bestehende ActiveClient-Zeile und erstellen Sie eine ActiveClient-Zeile für jede weitere zu überwachende Schnittstelle. Geben Sie jede Schnittstelle anhand ihres Schnittstellennamens oder ihrer IP-Adresse an.
    ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_address>

    Wo <interface_address> ist die IP-Adresse der Schnittstelle, von der die Pakete weitergeleitet werden und <interface_address> kann entweder die IP-Adresse selbst sein, z. B. 10.10.1.100, oder eine CIDR-Spezifikation ( Netzwerk-IP-Adresse/Subnetzpräfixlänge), die die IP-Adresse enthält, z. B. 10.10.1.0/24.

    oder

    ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_name>

    Wo <interface_name> ist der Name der Schnittstelle, von der aus die Pakete weitergeleitet werden. Der Name ist formatiert als \Device\NPF_{<GUID>}, wo <GUID> ist der global eindeutige Bezeichner (GUID) der Schnittstelle. Wenn die Schnittstellen-GUID beispielsweise 2C2FC212-701D-42E6-9EAE-BEE969FEFB3F, der Schnittstellenname ist \Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}.

    Das Folgende ist ein Beispiel für die Konfigurationsdatei, die zwei Schnittstellen mit der Schnittstellen-IP-Adresse spezifiziert:

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
    NullAuthPermit = YES

    Im Folgenden finden Sie ein Beispiel für die Konfigurationsdatei, die zwei Schnittstellen mit CIDR-Spezifikationen spezifiziert, die die Schnittstellen-IP-Adresse enthalten:

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
    NullAuthPermit = YES

    Das Folgende ist ein Beispiel für die Konfigurationsdatei, die zwei Schnittstellen mit dem Schnittstellennamen spezifiziert:

    ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
    ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{3C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
    NullAuthPermit = YES
  3. Speichern Sie die Konfigurationsdatei (.ini). Achten Sie darauf, die Datei im ASCII-Format zu speichern, um Fehler zu vermeiden.
  4. Starten Sie den Paket Forwarder neu, indem Sie den folgenden Befehl ausführen:
    restart-service rpcapd
    Hinweis:Um die Paket Forwarder-Software nach dem Ändern der Konfigurationsdatei erneut zu installieren, führen Sie den Installationsbefehl aus und ersetzen Sie -RpcapIp und -RpcapPort mit dem -KeepConfig Markierung , um die geänderte Konfigurationsdatei beizubehalten. Zum Beispiel:
    .\install-rpcapd.ps1 -MgmtIp <extrahop_ip> -KeepConfig

    oder

    .\install-rpcapd.ps1 –InputDir . -KeepConfig

Netzwerk-Overlay-Dekapselung aktivieren

Die Netzwerk-Overlay-Kapselung verpackt Standard-Netzwerkpakete in äußere Protokoll Header für spezielle Funktionen wie intelligentes Routing und Netzwerkmanagement für virtuelle Maschinen. Die Netzwerk-Overlay-Dekapselung ermöglicht es dem ExtraHop-System, diese äußeren Kapselungsheader zu entfernen und dann die inneren Pakete zu verarbeiten.

Hinweis:Wenn Sie Generic Routing Encapsulation (GRE), Netzwerkvirtualisierung mit Generic Routing Encapsulation (NVGRE), VXLAN und GENEVE-Entkapselung auf Ihrem ExtraHop-System aktivieren, können Sie die Anzahl Ihrer Gerät erhöhen, wenn virtuelle Geräte im Netzwerk erkannt werden. Die Erkennung dieser virtuellen Geräte kann die Kapazität von Erweiterte Analyse und Standard Analysis beeinträchtigen, und die zusätzliche Metrikverarbeitung kann in extremen Fällen zu Leistungseinbußen führen.

Die Protokolle MPLS, TRILL und Cisco FabricPath werden vom ExtraHop-System automatisch entkapselt.

GRE- oder NVGRE-Entkapselung aktivieren
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassung.
  3. klicken Entkapselung von Netzwerk-Overlays.
  4. In der Einstellungen Abschnitt, wählen Sie Aktiviert Checkbox neben NVGRE oder GRE.
    Hinweis:Wenn Sie GRE auswählen, wird NVGRE auch dann aktiviert, wenn Sie das Kontrollkästchen NVGRE nicht aktivieren.
  5. klicken Speichern.
  6. klicken OK.
VXLAN-Entkapselung aktivieren

VXLAN ist ein UDP-Tunnelprotokoll, das für bestimmte Zielports konfiguriert ist. Eine Entkapselung wird nicht versucht, es sei denn, der Zielport in einem Paket entspricht dem oder den UDP-Zielports, die in den VXLAN-Entkapselungseinstellungen aufgeführt sind.

Informationen zur Konfiguration des ExtraHop-Systems als Endpunkt für VXLAN-gekapselten Datenverkehr finden Sie unter Eine Schnittstelle konfigurieren.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassung.
  3. klicken Entkapselung von Netzwerk-Overlays.
  4. In der Einstellungen Abschnitt, wählen Sie Aktiviert Checkbox neben VXLAN.
  5. In der VXLAN UDP-Zielport Feld, geben Sie eine Portnummer ein und klicken Sie auf das grüne Plus (+).
    Standardmäßig Port 4789 wird der Liste der UDP-Zielports hinzugefügt. Sie können bis zu acht Zielports hinzufügen.
  6. klicken Speichern.
  7. klicken OK.
Geneve-Entkapselung aktivieren
Informationen zur Konfiguration des ExtraHop-Systems als Endpunkt für den gekapselten Verkehr in Genf finden Sie unter Eine Schnittstelle konfigurieren.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassung.
  3. klicken Entkapselung von Netzwerk-Overlays.
  4. In der Einstellungen Abschnitt, wählen Sie Aktiviert Checkbox neben GENF. Der Standard-Zielport ist 6081.
  5. klicken Speichern.
  6. klicken OK.

Analysieren Sie eine Paketerfassungsdatei

Der Offline-Erfassungsmodus ermöglicht es Administratoren, eine mit einer Paketanalyse-Software wie Wireshark oder tcpdump aufgezeichnete Capture-Datei in das ExtraHop-System hochzuladen und zu analysieren.

Hier sind einige wichtige Überlegungen, bevor Sie den Offline-Aufnahmemodus aktivieren:

  • Wenn die Erfassung in den Offline-Modus versetzt wird, wird der Systemdatenspeicher zurückgesetzt. Alle zuvor aufgezeichneten Metriken werden aus dem Datenspeicher gelöscht. Wenn das System in den Online-Modus versetzt wird, wird der Datenspeicher erneut zurückgesetzt.
  • Im Offline-Modus werden keine Metriken von der Erfassungsoberfläche erfasst, bis das System wieder in den Online-Modus versetzt wird.
  • Es werden nur Erfassungsdateien im PCAP-Format unterstützt. Andere Formate wie pcpapng werden nicht unterstützt.
Stellen Sie den Offline-Aufnahmemodus ein
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Erfassen.
  3. klicken Offline-Capture-Datei.
  4. Wählen Upload und dann klicken Speichern.
  5. klicken OK um das Zurücksetzen des Datenspeichers zu bestätigen.
    Der Erfassungsvorgang wird gestoppt, der Erfassungsstatus wird auf Offline gesetzt und der Datenspeicher wird von allen Daten gelöscht. Wenn das System die Erfassung in den Offline-Modus versetzt hat, Offline-Capture-Datei Seite erscheint.
  6. klicken Wählen Sie Datei, navigieren Sie zu der Capture-Datei, die Sie hochladen möchten, wählen Sie die Datei aus, und klicken Sie dann auf Öffnen.
  7. klicken Upload.
    Das ExtraHop-System zeigt die Seite mit den Offline-Capture-Ergebnissen an , wenn die Capture-Datei erfolgreich hochgeladen wurde.
  8. klicken Ergebnisse ansehen um die Paketerfassungsdatei so zu analysieren, als ob sich das System im Live-Capture-Modus befindet.
Bringen Sie das System in den Live-Aufnahmemodus zurück
  1. In der Konfiguration des Systems Abschnitt, klicken Aufnehmen (offline).
  2. klicken Capture neu starten.
  3. Wählen Lebe, und klicken Sie dann auf Speichern.
Das System entfernt die Leistungskennzahlen, die aus der vorherigen Erfassungsdatei gesammelt wurden, und bereitet den Datenspeicher für die Echtzeitanalyse über die Erfassungsoberfläche vor.

Datenspeicher

Das ExtraHop-System umfasst einen eigenständigen Streaming-Datenspeicher zum Speichern und Abrufen von Leistungs- und Integritätskennzahlen in Echtzeit. Dieser lokale Datenspeicher umgeht das Betriebssystem und greift direkt auf die zugrunde liegenden Blockgeräte zu, anstatt eine herkömmliche relationale Datenbank zu verwenden.

Lokale und erweiterte Datenspeicher

Das ExtraHop-System umfasst einen eigenständigen Streaming-Datenspeicher zum Speichern und Abrufen von Leistungs- und Integritätskennzahlen in Echtzeit. Dieser lokale Datenspeicher umgeht das Betriebssystem und greift direkt auf die zugrunde liegenden Blockgeräte zu, anstatt eine herkömmliche relationale Datenbank zu verwenden.

Der lokale Datenspeicher verwaltet Einträge für alle Geräte, die vom ExtraHop-System erkannt wurden, sowie Metriken für diese Geräte. Durch die Speicherung dieser Informationen ist das ExtraHop-System in der Lage, sowohl schnellen Zugriff auf die neuesten Netzwerkdaten als auch auf historische und trendbasierte Informationen über ausgewählte Geräte zuzugreifen.

Erweiterter Datenspeicher

Das ExtraHop-System kann eine Verbindung zu einem externen Speichergerät herstellen, um Ihren Metrik Speicher zu erweitern. Standardmäßig speichert das ExtraHop-System schnelle (30 Sekunden), mittlere (5 Minuten) und langsame (1 Stunde) Messwerte lokal. Sie können jedoch 5-, 1-Stunden- und 24-Stunden-Metriken in einem erweiterten Datenspeicher speichern.

Um Metriken extern zu speichern, müssen Sie zuerst Mounten Sie einen externen Datenspeicher, und konfigurieren Sie dann das ExtraHop-System so, dass Daten im bereitgestellten Verzeichnis gespeichert werden. Sie können einen externen Datenspeicher über NFS v4 (mit optionaler Kerberos-Authentifizierung) oder CIFS (mit optionaler Authentifizierung) mounten.

Beachten Sie, dass Sie jeweils nur einen aktiven erweiterten Datenspeicher konfigurieren können, um alle konfigurierten Metrikzyklen zu erfassen. Wenn Sie Ihren erweiterten Datenspeicher beispielsweise so konfigurieren, dass er 5-, 1- und 24-Stunden-Metriken erfasst, werden alle drei Metrikzyklen im selben erweiterten Datenspeicher gespeichert. Darüber hinaus können Sie einen erweiterten Datenspeicher archivieren, und diese Metriken sind für schreibgeschützte Anfragen von mehreren ExtraHop-Systemen verfügbar.

Hier sind einige wichtige Dinge, die Sie über die Konfiguration eines externen Datenspeichers wissen sollten:

  • Wenn ein erweiterter Datenspeicher mehrere Dateien mit überlappenden Zeitstempeln enthält, sind die Metriken falsch.
  • Wenn ein erweiterter Datenspeicher Messwerte enthält, die von einem ExtraHop-System mit einer neueren Firmware-Version übermittelt wurden, kann das System mit der älteren Firmware diese Metriken nicht lesen.
  • Wenn ein erweiterter Datenspeicher nicht mehr erreichbar ist, puffert das ExtraHop-System Metriken, bis der zugewiesene Speicher voll ist. Wenn der Speicher voll ist, überschreibt das System ältere Blöcke, bis die Verbindung wiederhergestellt ist. Wenn der Mount wieder eine Verbindung herstellt, werden alle im Speicher gespeicherten Metriken in den Mount geschrieben.
  • Wenn eine Datei mit erweitertem Datenspeicher verloren geht oder beschädigt wird, gehen die in dieser Datei enthaltenen Metriken verloren. Andere Dateien im erweiterten Datenspeicher bleiben intakt.
  • Aus Sicherheitsgründen erlaubt das System keinen Zugriff auf das gespeicherte Klartextpasswort für den Datenspeicher.

Berechnen Sie die Größe, die für Ihren erweiterten Datenspeicher benötigt wird

Der erweiterte Datenspeicher muss über ausreichend Speicherplatz für die vom ExtraHop-System generierte Datenmenge verfügen. Das folgende Verfahren erklärt, wie Sie ungefähr berechnen können, wie viel freien Speicherplatz Sie für Ihren erweiterten Datenspeicher benötigen.

Before you begin

Machen Sie sich mit ExtraHop vertraut Datenspeicher-Konzepte.
Im folgenden Beispiel zeigen wir Ihnen, wie Sie die Menge an Speicherplatz berechnen, die für 5-Minuten-Metriken im Wert von 30 Tagen erforderlich ist.
  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. Klicken Sie auf Systemeinstellungen Symbol, und klicken Sie dann Gesundheit des Systems.
  3. Scrollen Sie nach unten zum Datenfeed Abschnitt.
  4. In der Lookback-Schätzungen für metrische Daten Diagramm, beachten Sie die Rate und voraussichtlicher Rückblick für jeden Metrik Zyklus (oder Zeitraum), den Sie im externen Datenspeicher speichern möchten. Schätzungen basieren auf Kennzahlen, die während des ausgewählten Zeitintervalls geschrieben wurden.


  5. Berechnen Sie den benötigten Speicherplatz, indem Sie die folgende Formel anwenden: <rate> x <lookback_time>, und konvertieren Sie dann den Wert in Standardeinheiten.
    In der obigen Abbildung beträgt die Rate für 5-Minuten-Metriken beispielsweise 39,3 kB/s.
    1. Rechnen Sie die Rate von Sekunden nach Tagen um: 39.3 * 60 (seconds) * 60 (minutes) * 24 (hours) * 30 (days) = 101865600 KB für 30 Tage Rückblick.
    2. Rechnen Sie die Rate von Kilobyte nach Megabyte um: 101865600 / 1024 = 99478 MB für 30 Tage Rückblick.
    3. Rechnen Sie die Rate von Megabyte nach Gigabyte um:99478 / 1024 = 97 GB für 30 Tage Rückblick.
    Um alle 5-Minuten-Metriken dieses ExtraHop-Systems 30 Tage lang zu speichern, benötigen Sie 97 GB freien Speicherplatz.

Konfigurieren Sie einen erweiterten CIFS- oder NFS-Datenspeicher

Die folgenden Verfahren zeigen Ihnen, wie Sie einen externen Datenspeicher für das ExtraHop-System konfigurieren.

Um einen erweiterten Datenspeicher zu konfigurieren, führen Sie die folgenden Schritte aus:
  • Zuerst mounten Sie die NFS- oder CIFS-Freigabe, auf der Sie Daten speichern möchten.
  • Für NFS konfigurieren Sie optional die Kerberos-Authentifizierung, bevor Sie den NFS-Mount hinzufügen.
  • Geben Sie abschließend den neu hinzugefügten Mount als aktiven Datenspeicher an.
Fügen Sie einen CIFS-Mount hinzu
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Datenspeicher.
  3. In der Erweiterte Datenspeicher-Einstellungen Abschnitt, klicken Extended Datastore konfigurieren.
  4. klicken Mount hinzufügen.
  5. klicken CIFS-Mount hinzufügen.
  6. Auf dem CIFS-Mount konfigurieren Seite, geben Sie die folgenden Informationen ein:
    Name des Berges
    Ein Name für die Halterung, zum Beispiel EXDS_CIFS.
    Remote-Share-Pfad
    Der Pfad für die Freigabe im folgenden Format:
    \\host\mountpoint

    Zum Beispiel:

    \\herring\extended-datastore
    SMB-Version
    Die SMB-Version, die mit Ihrem Dateiserver kompatibel ist.
    Domäne
    Die Site-Domain.
  7. Wenn ein Passwortschutz erforderlich ist, gehen Sie wie folgt vor:
    1. Aus dem Authentifizierung Drop-down-Menü, wählen Passwort.
    2. In der Nutzer und Passwort Felder, geben Sie einen gültigen Benutzernamen und ein Passwort ein.
  8. klicken Speichern.
(Optional) Kerberos für NFS konfigurieren
Sie müssen jede gewünschte Kerberos-Authentifizierung konfigurieren, bevor Sie einen NFS-Mount hinzufügen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Datenspeicher und Anpassungen.
  3. In der Erweiterte Datenspeicher-Einstellungen Abschnitt, klicken Extended Datastore konfigurieren.
  4. klicken Kerberos-Konfiguration hinzufügen, füllen Sie dann die folgenden Informationen aus.
    1. In der Admin-Server Feld, geben Sie die IP-Adresse oder den Hostnamen des Master-Kerberos-Servers ein, der Tickets ausstellt.
    2. In der Wichtiges Vertriebszentrum (KDC) Feld, geben Sie die IP-Adresse oder den Hostnamen des Server ein, der die Schlüssel enthält.
    3. In der Reich Feld, geben Sie den Namen des Kerberos-Realms für Ihre Konfiguration ein.
    4. In der Domäne Feld, geben Sie den Namen der Kerberos-Domäne für Ihre Konfiguration ein.
  5. In der Keytab-Datei Abschnitt, klicken Wählen Sie Datei, wählen Sie eine gespeicherte Keytab-Datei aus, und klicken Sie dann auf Offen.
  6. klicken Upload.
Fügen Sie einen NFS-Mount hinzu

Before you begin

  • Konfigurieren Sie alle zutreffenden Kerberos-Authentifizierungen, bevor Sie einen NFS-Mount hinzufügen.
  • Erlauben Sie entweder Lese-/Schreibzugriff für alle Benutzer auf dem Share oder weisen Sie den „Extrahop" -Benutzer als Eigentümer der Freigabe zu und gewähren Sie Lese-/Schreibzugriff.
  • Sie müssen NFS Version 4 haben.
  1. In der Konfiguration des Systems Abschnitt, klicken Datenspeicher und Anpassungen.
  2. In der Erweiterte Datenspeicher-Einstellungen Abschnitt, klicken Extended Datastore konfigurieren.
  3. klicken NFSv4-Mount hinzufügen.
  4. Auf dem NFSv4-Mount konfigurieren Seite, vervollständigen Sie die folgenden Informationen:
    1. Geben Sie im Feld Mount Name einen Namen für die Mount ein, z. B. EXDS.
    2. Geben Sie im Feld Remote Share Point den Pfad für den Mount im folgenden Format ein: host:/mountpoint, wie herring:/mnt/extended-datastore.
  5. Wählen Sie im Drop-down-Menü Authentifizierung eine der folgenden Optionen aus:
    • Keine, Für keine Authentifizierung
    • Kerberos, Für krb5-Sicherheit.
    • Kerberos (Sichere Authentifizierung und Datenintegrität), für krb5i-Sicherheit.
    • Kerberos (Sichere Authentifizierung, Datenintegrität, Datenschutz) , für krb5p-Sicherheit
  6. klicken Speichern.
Geben Sie einen Mount als aktiven erweiterten Datenspeicher an
Nachdem Sie einen CIFS- oder NFS-Mount hinzugefügt haben, legen Sie den Mount als Ihren aktiven erweiterten Datenspeicher fest. Denken Sie daran, dass jeweils nur ein Datenspeicher Metriken erfassen kann.
Hinweis:Wenn Sie sich dafür entscheiden, 5- und 1-Stunden-Metriken im erweiterten Datenspeicher zu speichern, bewirkt diese Option, dass alle 5- und 1-Stunden-Metriken, die aus dem lokalen ExtraHop-Systemdatenspeicher erfasst wurden, in den erweiterten Datenspeicher migriert werden. Durch die Migration von 5 Minuten- und 1-Stunden-Metriken in einen erweiterten Datenspeicher bleibt mehr Platz für die Speicherung von 30-Sekunden-Metriken im lokalen Datenspeicher, wodurch die Menge an verfügbarem hochauflösendem Lookback erhöht wird.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Datenspeicher und Anpassungen.
  3. In der Erweiterte Datenspeicher-Einstellungen Abschnitt, klicken Extended Datastore konfigurieren.
  4. Aus dem Name des Berges Wählen Sie in der Dropdownliste den Namen des Mounts aus, den Sie als erweiterten Datenspeicher angeben möchten.
  5. In der Datenspeicher-Verzeichnis Feld, geben Sie einen Namen für das Datenspeicherverzeichnis ein. Das Verzeichnis wird vom ExtraHop-System automatisch auf dem Mountpoint erstellt.
  6. Aus dem Als Optionen konfigurieren, wählen Sie Aktiv Radiobutton.
  7. In der Größe des Datenspeichers Feld, geben Sie die maximale Datenmenge an, die im Datenspeicher gespeichert werden kann.
  8. Aktivieren Sie das Kontrollkästchen, um 5- und 1-Stunden-Metriken im erweiterten Datenspeicher zu speichern. 24-Stunden-Metriken werden immer im erweiterten Datenspeicher gespeichert.
  9. Geben Sie an, ob vorhandene Metriken in den erweiterten Datenspeicher migriert werden sollen, indem Sie eine der folgenden Optionen auswählen.
    • Um bestehende Metriken zu migrieren, klicken Sie auf Verschieben vorhandener Metriken in den erweiterten Datenspeicher.
    • Um bestehende Metriken im lokalen Datenspeicher beizubehalten, klicken Sie auf Bestehende Metriken auf dem ExtraHop beibehalten.
    Warnung:Während der Datenmigration hört das ExtraHop-System auf, Daten zu sammeln, und die Systemleistung wird beeinträchtigt. Der Migrationsprozess nimmt unter den folgenden Umständen mehr Zeit in Anspruch:
    • Wenn eine große Datenmenge migriert werden muss
    • Wenn die Netzwerkverbindung zum NAS-Gerät, das den Datenspeicher hostet, langsam ist
    • Wenn die Schreibleistung des NAS-Geräts, das den Datenspeicher hostet, langsam ist
  10. Wählen Bestehende verschieben.
  11. Geben Sie an, was das System tun soll, wenn der Datenspeicher voll ist, indem Sie eine der folgenden Optionen auswählen.
    • Um ältere Daten zu überschreiben, wenn der Datenspeicher voll ist, klicken Sie auf Überschreiben.
    • Um das Speichern neuer Metriken im erweiterten Datenspeicher zu beenden, wenn der Datenspeicher voll ist, klicken Sie auf Hör auf zu schreiben.
  12. klicken konfigurieren.
  13. Nachdem der Speicher hinzugefügt wurde, wird der Status angezeigt Nominal.

Archivieren Sie einen erweiterten Datenspeicher für schreibgeschützten Zugriff

Wenn Sie einen aktiven Datenspeicher von einem ExtraHop-System trennen, können Sie ein schreibgeschütztes Archiv der gespeicherten Metrikdaten erstellen. Eine beliebige Anzahl von ExtraHop-Systemen kann aus einem archivierten Datenspeicher lesen.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Datenspeicher und Anpassungen.
  3. In der Erweiterte Datenspeicher-Einstellungen Abschnitt, klicken Extended Datastore konfigurieren.
  4. Klicken Sie auf den Namen des Mounts, der den Datenspeicher enthält, den Sie archivieren möchten.
  5. Klicken Sie in der Zeile dieses Datenspeichers auf Trennen Sie den erweiterten Datenspeicher.
  6. Typ JA zur Bestätigung und dann klicken OK.
Der Datenspeicher ist vom System getrennt und für den schreibgeschützten Zugriff markiert. Warten Sie mindestens zehn Minuten, bevor Sie andere ExtraHop-Systeme mit dem Archiv verbinden.
Verbinden Sie Ihr ExtraHop-System mit dem archivierten Datenspeicher
Warnung:Um eine Verbindung zu einem archivierten Datenspeicher herzustellen, muss das ExtraHop-System die im Datenspeicher enthaltenen Daten durchsuchen. Abhängig von der Menge der im archivierten Datenspeicher gespeicherten Daten kann das Herstellen einer Verbindung zum archivierten Datenspeicher sehr lange dauern. Wenn eine Verbindung zum archivierten Datenspeicher hergestellt wird, sammelt das System keine Daten und die Systemleistung wird beeinträchtigt. Der Verbindungsvorgang dauert unter den folgenden Umständen länger:
  • Wenn der Datenspeicher eine große Datenmenge enthält
  • Wenn die Netzwerkverbindung zum NAS-Gerät, das den Datenspeicher hostet, langsam ist
  • Wenn die Leseleistung des NAS-Geräts, das den Datenspeicher hostet, langsam ist
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems, klicken Datenspeicher und Anpassungen.
  3. In der Erweiterte Datenspeicher-Einstellungen Abschnitt, klicken Extended Datastore konfigurieren.
  4. Klicken Sie auf den Namen des Mounts, der den archivierten Datenspeicher enthält.
  5. In der Datenspeicher-Verzeichnis Feld, geben Sie den Pfad des archivierten Datenspeicherverzeichnisses ein.
  6. klicken Archivieren (Nur Lesen).
  7. klicken konfigurieren.
Ihre erweiterte Datenbank ist jetzt ein schreibgeschütztes Archiv, auf das mehrere ExtraHop-Systeme zugreifen können.

Metriken aus einem erweiterten Datenspeicher importieren

Wenn Sie Metrikdaten in einem erweiterten Datenspeicher gespeichert haben, der mit Ihrem ExtraHop-System verbunden ist, können Sie diese Daten während eines Upgrades oder eines Datenspeicher-Resets verschieben.

Kontakt ExtraHop-Unterstützung wenn Sie Metriken aus einem erweiterten Datenspeicher übertragen müssen.

Setzen Sie den lokalen Datenspeicher zurück und entfernen Sie alle Gerätemetriken aus dem ExtraHop-System

Unter bestimmten Umständen, z. B. beim Verschieben eines Sensor Von einem Netzwerk zum anderen müssen Sie möglicherweise die Metriken in den lokalen und erweiterten Datenspeichern löschen. Durch das Zurücksetzen des lokalen Datenspeichers werden alle Metriken, Basislinien, Trendanalysen und erkannten Geräte entfernt — und dies wirkt sich auf alle Anpassungen auf Ihrem ExtraHop-System aus.

Before you begin

Machen Sie sich mit ExtraHop vertraut Datenbankkonzepte.
Anpassungen sind Änderungen, die an den Standardeinstellungen des Systems vorgenommen wurden, z. B. an Triggern, Dashboards, Benachrichtigungen und benutzerdefinierten Messwerten. Diese Einstellungen werden in einer Datei auf dem System gespeichert, und diese Datei wird auch gelöscht, wenn der Datenspeicher zurückgesetzt wird. Die meisten Anpassungen werden auf Geräte angewendet, die durch eine ID auf dem System identifiziert werden. Wenn der lokale Datenspeicher zurückgesetzt wird, können sich diese IDs ändern und alle gerätebasierten Zuweisungen müssen den Geräten anhand ihrer neuen IDs neu zugewiesen werden. Das Reset-Verfahren beinhaltet eine Option zum Speichern und Wiederherstellen Ihrer Anpassungen.

Wenn Ihre Geräte-IDs im erweiterten Datenspeicher gespeichert sind und dieser Datenspeicher getrennt wird, wenn der lokale Datenspeicher zurückgesetzt und später wieder verbunden wird, werden diese Geräte-IDs im lokalen Datenspeicher wiederhergestellt, und Sie müssen Ihre wiederhergestellten Anpassungen nicht neu zuweisen.

Konfigurierte Benachrichtigungen werden im System beibehalten, sind jedoch deaktiviert und müssen aktiviert und erneut auf das richtige Netzwerk, Gerät oder Gerätegruppe angewendet werden. Systemeinstellungen und Benutzerkonten sind davon nicht betroffen.

Warnung:Dieses Verfahren löscht Geräte-IDs und Gerätemetriken aus dem ExtraHop-System .
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Datenspeicher und Anpassungen.
  3. Trennen Sie Ihren erweiterten Datenspeicher, indem Sie die folgenden Schritte ausführen:
    1. In der Erweiterte Datenspeicher-Einstellungen Abschnitt, klicken Extended Datastore konfigurieren.
    2. Klicken Sie auf den Namen des Mounts, der den Datenspeicher enthält, dessen Verbindung Sie trennen möchten .
    3. Klicken Sie in der Zeile dieses Datenspeichers auf Trennen Sie den erweiterten Datenspeicher.
    4. Typ JA zur Bestätigung und dann klicken OK.
  4. Navigiere zurück zum Datenspeicher und Anpassungen Seite.
  5. In der Einstellungen für den lokalen Datenspeicher Abschnitt, klicken Datenspeicher zurücksetzen.
  6. Auf dem Datenspeicher zurücksetzen Seite, geben Sie an, ob Anpassungen gespeichert werden sollen, bevor Sie den Datenspeicher zurücksetzen.
    • Um die aktuellen Anpassungen nach dem Zurücksetzen des Datenspeichers beizubehalten, wählen Sie die Anpassungen speichern Checkbox.
    • Um die aktuellen Anpassungen nach dem Zurücksetzen des Datenspeichers zu löschen, löschen Sie das Anpassungen speichern Checkbox.
  7. Typ JA im Bestätigungstextfeld.
  8. klicken Datenspeicher zurücksetzen.
    Wenn Sie sich dafür entschieden haben, Ihre Anpassungen zu speichern, erscheint nach etwa einer Minute eine Aufforderung mit einer detaillierten Liste. klicken OK um die gespeicherten Anpassungen wiederherzustellen.

Probleme mit dem erweiterten Datenspeicher beheben

Gehen Sie wie folgt vor, um den Status Ihrer Mounts und Datenspeicher einzusehen und die entsprechenden Schritte zur Fehlerbehebung zu ermitteln.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Datenspeicher und Anpassungen .
  3. Klicken Sie im Abschnitt Erweiterte Datenspeichereinstellungen auf Extended Datastore konfigurieren.
  4. Sehen Sie sich in der Tabelle Erweiterte Datenspeicher den Eintrag in der Spalte Status für jeden Mount oder Datenspeicher an. Die folgende Tabelle enthält Anleitungen zu den einzelnen Einträgen und identifiziert alle zutreffenden Maßnahmen.
Tabelle 1. Halterungen
Status Beschreibung Aktion des Benutzers
Montiert Die Mount-Konfiguration war erfolgreich. Keine erforderlich
NICHT MONTIERT Die Mount-Konfiguration war nicht erfolgreich.
  • Stellen Sie sicher, dass die Informationen zur Mount-Konfiguration korrekt und richtig geschrieben sind.
  • Stellen Sie sicher, dass das Remotesystem verfügbar ist.
  • Stellen Sie sicher, dass es sich bei dem Server um einen unterstützten Typ und eine unterstützte Version handelt.
  • Überprüfen Sie die Anmeldedaten, wenn Sie die Authentifizierung verwenden.
NICHT LESBAR Der Mount hat Zugriffsrechte oder Netzwerkprobleme, die das Lesen verhindern.
  • Stellen Sie sicher, dass die richtigen Berechtigungen für den Share festgelegt sind.
  • Überprüfen Sie die Netzwerkverbindung und Verfügbarkeit.
KEIN PLATZ VERFÜGBAR Auf der Halterung ist kein Platz mehr vorhanden. Nehmen Sie die Halterung ab und erstellen Sie eine neue.
UNZUREICHENDER SPEICHERPLATZ
  • Erster Auftritt: Das System geht davon aus, dass nicht genügend Speicherplatz zur Verfügung steht.
  • Zweiter Auftritt: Weniger als 128 MB Speicherplatz sind verfügbar.
Nehmen Sie die Halterung ab und erstellen Sie eine neue.
WARNUNG VOR VERFÜGBAREM SPEICHERPLATZ Weniger als 1 GB Speicherplatz ist verfügbar. Nehmen Sie die Halterung ab und erstellen Sie eine neue.
NICHT BESCHREIBBAR Der Mount hat Zugriffsrechte oder Netzwerkprobleme, die das Schreiben verhindern.
  • Überprüfen Sie die Berechtigungen.
  • Überprüfen Sie die Netzwerkverbindung und Verfügbarkeit.
Tabelle 2. Datenspeicher
Status Beschreibung Aktion des Benutzers
Nennwert Der Datenspeicher befindet sich in einem normalen Zustand. Keine erforderlich
UNZUREICHENDER SPEICHERPLATZ auf: <MOUNT NAME> Der Datenspeicher hat nicht genügend Speicherplatz auf dem genannten Mount und es kann nicht in ihn geschrieben werden. Erstellen Sie einen neuen Datenspeicher. Erwägen Sie für den neuen Datenspeicher die Auswahl von Overwrite Option, falls zutreffend.
NICHT LESBAR Der Datenspeicher hat Berechtigungen oder Netzwerkprobleme, die das Lesen verhindern.
  • Überprüfen Sie die Berechtigungen.
  • Überprüfen Sie die Netzwerkverbindung und Verfügbarkeit.
NICHT BESCHREIBBAR Der Datenspeicher hat Berechtigungen oder Netzwerkprobleme, die das Schreiben verhindern.
  • Überprüfen Sie die Berechtigungen.
  • Überprüfen Sie die Netzwerkverbindung und Verfügbarkeit.

Vorrang des Gerätenamens

Entdeckte Geräte werden automatisch auf der Grundlage mehrerer Netzwerkdatenquellen benannt. Wenn mehrere Namen für ein Gerät gefunden werden, wird eine Standardpriorität angewendet. Sie können die Rangfolge ändern.

  1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
  2. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Die gesamte Verwaltung.
  3. Klicken Sie im Abschnitt Systemkonfiguration auf Rangfolge des Gerätenamens.
  4. Klicken und ziehen Sie Gerätenamen, um eine neue Rangfolge zu erstellen.
  5. klicken Speichern.
    klicken Auf Standard zurücksetzen um Ihre Änderungen rückgängig zu machen.

Inaktive Quellen

Geräte und Anwendungen werden in den Suchergebnissen angezeigt, bis sie länger als 90 Tage inaktiv sind. Wenn Sie Quellen vor Ablauf von 90 Tagen aus den Suchergebnissen entfernen möchten, können Sie auf Anfrage alle Quellen entfernen, die zwischen 1 und 90 Tagen inaktiv waren.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Geben Sie einen Wert zwischen 1 und 90 in das Feld Inaktive Tage ein.
  3. klicken entfernen.

Erkennungsverfolgung

Mit der Erkennungsverfolgung können Sie einem Benutzer eine Erkennung zuweisen, den Status festlegen und Notizen hinzufügen. Sie können Erkennungen mit ExtraHop oder mit einem externen Ticketsystem eines Drittanbieters verfolgen.

  • Wählen Verfolgen Sie Erkennungen mit dem ExtraHop-System um das Erkennungs-Tracking mit ExtraHop zu verwalten.
  • Wählen Verfolgen Sie Erkennungen mit einem externen Ticketsystem um Tickets in einem Ticket-Tracking-System eines Drittanbieters zu erstellen und zu verwalten und den Verantwortlichen und den Status im ExtraHop-System einzusehen.

    Optional: Um einen HTML-Link von der Erkennung zum Ticket in Ihrem Ticket-Tracking-System zu erstellen, geben Sie eine URL-Vorlage an. Geben Sie die URL in das Vorlagenfeld für Ihr Ticketsystem ein und fügen Sie $ticket_id variabel an der entsprechenden Stelle. Geben Sie eine vollständige URL ein, z. B. https://jira.example.com/browse/$ticket_id. Die $ticket_id Die Variable wird durch die Ticket-ID ersetzt, die der Erkennung zugeordnet ist.

    Nachdem die URL-Vorlage konfiguriert wurde, können Sie in einer Erkennung auf die Ticket-ID klicken, um das Ticket in einem neuen Browser-Tab zu öffnen.

Sie können die Ticketverfolgung zwar über die Administrationseinstellungen aktivieren und eine URL-Vorlage konfigurieren, die Ticketverfolgung erfordert jedoch eine weitere Konfiguration über ExtraHop-Trigger und die REST-API. Weitere Informationen zur Ticketverfolgung finden Sie unter Ticket-Tracking für Erkennungen konfigurieren.

Hinweis:Sie müssen die Ticketverfolgung für alle angeschlossenen Sensoren aktivieren.

Wenn Sie die externe Ticketverfolgung deaktivieren, indem Sie mit dem ExtraHop-System zur Erkennungsverfolgung wechseln, werden zuvor gespeicherte Status- und zugewiesene Ticketinformationen in ExtraHop-Erkennungsverfolgung umgewandelt. Sie können Tickets anzeigen, die bereits existierten, als Sie die externe Ticketverfolgung deaktiviert haben, aber Änderungen an diesem externen Ticket werden nicht im ExtraHop-System angezeigt.

Mit der Endpunktsuche können Sie Tools für externe IP-Adressen angeben, die zum Abrufen von Informationen über Endpunkte innerhalb des ExtraHop-Systems verfügbar sind. Wenn Sie beispielsweise auf eine IP-Adresse klicken oder den Mauszeiger darüber bewegen, werden Links zum Suchtool angezeigt, sodass Sie leicht Informationen zu diesem Endpunkt finden können.

Die folgenden Suchlinks sind standardmäßig konfiguriert und können geändert oder gelöscht werden:
  • ARIN Whois-Suche
  • VirusTotal-Suche
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Bereich Systemkonfiguration auf Endpunktsuche.
  3. In der URL-Vorlage Feld, geben Sie die URL des Suchtools ein.

    Die URL muss enthalten $ip Variable, die bei der Suche durch die IP-Adresse des Endpunkt ersetzt wird. Zum Beispiel https://search.arin.net/rdap/?query=$ip

  4. In der Name anzeigen Feld, geben Sie den Namen Link so ein, wie er angezeigt werden soll.
  5. Wählen Sie eine der folgenden Optionen Optionen anzeigen:
    • Diesen Link auf allen Endpunkten anzeigen
    • Diesen Link auf externen Endpunkten anzeigen
    • Diesen Link auf internen Endpunkten anzeigen
    • Diesen Link nicht anzeigen
  6. Klicken Sie auf Speichern.

Geomap-Datenquelle

Geomaps und Trigger verweisen auf eine GeoIP-Datenbank, um den ungefähren Standort einer IP-Adresse zu ermitteln.

Ändern Sie die GeoIP-Datenbank

Sie können Ihre eigene GeoIP-Datenbank in das ExtraHop-System hochladen, um sicherzustellen, dass Sie über die neueste Version der Datenbank verfügen oder ob Ihre Datenbank interne IP-Adressen enthält, deren Standort nur Sie oder Ihr Unternehmen kennen.

Sie können eine Datenbankdatei im MaxMind-DB-Format (.mmdb) hochladen, die Details auf Stadtebene und Details auf Landesebene enthält.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Geomap-Datenquelle .
  3. klicken GeoIP-Datenbank.
  4. In der Datenbank auf Stadtebene Abschnitt, wählen Neue Datenbank hochladen.
  5. klicken Wählen Sie Datei und navigieren Sie zu der neuen Datenbankdatei auf Stadtebene auf Ihrem Computer.
  6. klicken Speichern.

Nächste Maßnahme

Weitere Informationen zu Geomaps finden Sie in den folgenden Ressourcen:

Einen IP-Standort überschreiben

Sie können fehlende oder falsche IP-Adressen in der GeoIP-Datenbank überschreiben. Sie können eine kommagetrennte Liste oder eine Liste mit Überschreibungen mit Tabulatoren in das Textfeld eingeben.

Jede Überschreibung muss einen Eintrag in den folgenden sieben Spalten enthalten:
  • IP-Adresse (eine einzelne IP-Adresse oder CIDR-Notation)
  • Breitengrad
  • Längengrad
  • Stadt
  • Bundesland oder Region
  • Name des Landes
  • ISO-Alpha-2-Ländercode

Sie können Elemente nach Bedarf bearbeiten und löschen, müssen jedoch sicherstellen, dass für jede der sieben Spalten Daten vorhanden sind. Weitere Informationen zu ISO-Ländercodes finden Sie unter https://www.iso.org/obp/ui/#search und klicken Ländervorwahlen.

  1. Unter Konfiguration des Systems, klicken Geomap-Datenquelle .
  2. klicken IP-Standort überschreiben.
  3. Geben Sie in das Textfeld eine tabulatorgetrennte oder kommagetrennte Liste von Überschreibungen im folgenden Format ein oder fügen Sie sie ein:
    IP address, latitude, longitude, city, state or region, country name, ISO
    alpha-2 country code

    Zum Beispiel:

    10.10.113.0/24, 38.907231, -77.036464, Washington, DC, United States, US
    10.10.225.25, 47.6204, -122.3491, Seattle, WA, United States, US
  4. klicken Speichern.
Um die Änderung zu überprüfen, rufen Sie die Geomaps-Oberfläche auf und fahren Sie mit der Maus über einen Standort, der in Ihren IP-Standortüberschreibungen enthalten ist.

Offene Datenströme

Durch die Konfiguration eines offenen Datenstroms können Sie die von Ihrem ExtraHop-System gesammelten Daten an ein externes Drittanbietersystem wie Syslog-Systeme, MongoDB-Datenbanken, HTTP-Server und Kafka-Server senden. Darüber hinaus können Sie Rohdaten an jeden externen Server senden, indem Sie das Ziel mit Port- und Protokollspezifikationen konfigurieren.

Sie können bis zu 16 offene Datenstromziele für jeden externen Systemtyp konfigurieren.

Wichtig:Nachdem Sie einen Open Data Stream (ODS) für ein externes System konfiguriert haben, müssen Sie einen Auslöser erstellen, der angibt, welche Daten über den Stream verwaltet werden sollen.

Ebenso sollten Sie beim Löschen eines offenen Datenstroms auch den zugehörigen Auslöser löschen, um zu vermeiden, dass Systemressourcen unnötig beansprucht werden.

Weitere Informationen finden Sie unter Offene Datenstromklassen in der ExtraHop Trigger API-Referenz .

Konfigurieren Sie ein HTTP-Ziel für einen offenen Datenstrom

Sie können Daten auf einem ExtraHop-System auf einen Remote-HTTP-Server exportieren, um sie langfristig zu archivieren und mit anderen Quellen zu vergleichen.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin
    Wiederholen Sie diese Schritte auf jeder Discover-Appliance in Ihrer Umgebung.
  2. In der Konfiguration des Systems Abschnitt, klicken Offene Datenströme.
  3. klicken Ziel hinzufügen.
  4. Aus dem Typ des Ziels Drop-down-Menü, wählen HTTP.
  5. In der Name Feld, geben Sie einen Namen ein, um das Ziel zu identifizieren.
  6. In der Gastgeber Feld, geben Sie den Hostnamen oder die IP-Adresse des Remote-HTTP-Servers ein.
  7. In der Hafen Feld, geben Sie die Portnummer des Remote-HTTP-Servers ein.
  8. Aus dem Typ Wählen Sie im Dropdownmenü eines der folgenden Protokolle aus:
    • HTTP
    • HTTPS
  9. Wenn Sie HTTPS ausgewählt haben, wählen Sie Zertifikatsüberprüfung überspringen um die Zertifikatsüberprüfung verschlüsselter Daten zu umgehen. Daten können durch vertrauenswürdige Zertifikate verifiziert werden, die Sie in das ExtraHop-System hochladen.
    Hinweis:Sichere Verbindungen zum HTTPS-ODS-Server können überprüft werden über vertrauenswürdige Zertifikate die Sie in das ExtraHop-System hochladen.
  10. Wählen Vielfältige Verbindungen um gleichzeitige Anfragen über mehrere Verbindungen zu ermöglichen, wodurch die Durchsatzgeschwindigkeit verbessert werden kann.
  11. In der Zusätzlicher HTTP-Header Feld, geben Sie einen zusätzlichen HTTP-Header ein.
    Das Format für den zusätzlichen Header ist Kopfzeile : Wert.
    Hinweis:In einem Auslöser konfigurierte Header haben Vorrang vor einem zusätzlichen Header. Zum Beispiel, wenn Zusätzlicher HTTP-Header Feld spezifiziert Inhaltstyp: Text/Plain aber ein Trigger-Skript für dasselbe ODS-Ziel spezifiziert Inhaltstyp: application/json , dann Inhaltstyp: application/json ist in der HTTP-Anfrage enthalten.
  12. Optional: Aus dem Authentifizierung Wählen Sie im Dropdownmenü die Art der Authentifizierung aus den folgenden Optionen aus.
    Wahl Beschreibung
    Grundlegend Authentifiziert sich über einen Benutzernamen und ein Passwort.
    Amazon AWS Authentifiziert sich über Amazon Web Services.
    Microsoft Azure-Speicher Authentifiziert sich über Microsoft Azure.
    Microsoft Azure Active Directory Authentifiziert sich über Microsoft Azure Active Directory (v1.0).
    Hinweis:Microsoft Identity Platform (v2.0) wird nicht unterstützt.
    Crowdstrike Authentifiziert sich über CrowdStrike.
  13. Wählen Verbindung über einen globalen Proxy herstellen um Anfragen zu senden über globaler Proxyserver für das ExtraHop-System konfiguriert.
  14. Optional: klicken Testen um eine Verbindung zwischen dem ExtraHop-System und dem Remote-HTTP-Server herzustellen und eine Testnachricht an den Server zu senden.
    Im Dialogfeld wird eine Meldung angezeigt, die angibt, ob die Verbindung erfolgreich war oder fehlgeschlagen ist. Wenn der Test fehlschlägt, bearbeiten Sie die Zielkonfiguration und testen Sie die Verbindung erneut.
  15. Optional: Senden Sie eine Testanforderung an den Remote-HTTP-Server.
    Die Anfrage dient nur zu Testzwecken; sie ist in keinem Triggerskript enthalten.
    1. Aus dem Methode Wählen Sie im Dropdownmenü eine der folgenden HTTP-Anforderungsmethoden aus:
      • LÖSCHEN
      • BEKOMMEN
      • KOPF
      • OPTIONEN
      • SETZEN
      • POSTEN
      • VERFOLGEN
    2. In der Optionen Feld, geben Sie die Parameter der HTTP-Anfrage im folgenden Format an:
          "headers": {},
          "payload": "",
          "path": "/"
      }

      Die Parameter sind wie folgt definiert:

      Kopfzeilen
      Die Header der HTTP-Anfrage. Sie müssen Header als Array angeben, auch wenn Sie nur einen Header angeben. Zum Beispiel:
      "headers": {"content-type":["application/json"]},
      Pfad
      Der Pfad, auf den die HTTP-Anfrage angewendet wird.
      Nutzlast
      Die Nutzlast der HTTP-Anfrage.
    3. klicken Testen um eine Verbindung zwischen dem ExtraHop-System und dem Remote-Server herzustellen und die Anfrage zu senden.
      Im Dialogfeld wird eine Meldung angezeigt, in der angegeben wird, ob die Anforderung erfolgreich war oder fehlgeschlagen ist, und alle angeforderten Inhalte werden angezeigt.
  16. klicken Speichern.

Nächste Maßnahme

Erstellen Sie einen Auslöser, der angibt, welche HTTP-Nachrichtendaten gesendet werden sollen, und der die Übertragung von Daten an das Ziel initiiert. Weitere Informationen finden Sie in der Remote.HTTP Klasse in der ExtraHop Trigger API-Referenz .

Ein Kafka-Target für einen offenen Datenstrom konfigurieren

Sie können Daten auf einem ExtraHop-System auf jeden Kafka-Server exportieren, um sie langfristig zu archivieren und mit anderen Quellen zu vergleichen.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin
    Wiederholen Sie diese Schritte auf jeder Discover-Appliance in Ihrer Umgebung.
  2. In der Konfiguration des Systems Abschnitt, klicken Offene Datenströme.
  3. klicken Ziel hinzufügen.
  4. Aus dem Typ des Ziels Drop-down-Menü, wählen Kafka.
  5. In der Name Feld, geben Sie einen Namen ein, um das Ziel zu identifizieren.
  6. Aus dem Kompression Wählen Sie in der Dropdownliste eine der folgenden Komprimierungsmethoden aus, die auf die übertragenen Daten angewendet werden:
    • Keine
    • GZIP
    • Bissig
  7. Aus dem Partitionsstrategie Wählen Sie in der Dropdownliste eine der folgenden Partitionierungsmethoden aus, die auf die übertragenen Daten angewendet werden:
    • Standard (Hash-Schlüssel)
    • Manuell
    • Zufällig
    • Round Robin
  8. Optional: Konfigurieren Sie die SASL/SCRAM-Authentifizierung.
    1. Aus dem Authentifizierung Drop-down-Menü, wählen SASL/SCRAM.
    2. In der Nutzername Feld, geben Sie den Namen des SASL/SCRAM-Benutzers ein.
    3. In der Passwort Feld, geben Sie das Passwort des SASL/SCRAM-Benutzers ein.
    4. Aus dem Hash-Algorithmus Wählen Sie im Dropdownmenü den Hash-Algorithmus für die SASL-Authentifizierung aus.
  9. Aus dem Protokoll Wählen Sie im Dropdownmenü eines der folgenden Protokolle aus, über das Daten übertragen werden sollen:
    • TCP
    • SSL/TLS
  10. Optional: Wenn Sie das ausgewählt haben SSL/TLS Protokoll, geben Sie die Zertifikatsoptionen an.
    1. Wenn der Kafka-Server eine Client-Authentifizierung erfordert, geben Sie ein TLS-Client-Zertifikat an, das an den Server gesendet werden soll, in der Client-Zertifikat Feld.
    2. Wenn Sie ein Client-Zertifikat angegeben haben, geben Sie den privaten Schlüssel des Zertifikats in der Kundenschlüssel Feld.
    3. Wenn Sie das Zertifikat des Kafka-Servers nicht verifizieren möchten, wählen Sie Überprüfung Server Serverzertifikats überspringen.
    4. Wenn Sie das Zertifikat des Kafka-Servers verifizieren möchten, das Zertifikat aber nicht von einer gültigen Zertifizierungsstelle (CA) signiert wurde, geben Sie vertrauenswürdige Zertifikate an, mit denen das Serverzertifikat verifiziert werden soll, in der CA-Zertifikate (optional) Feld. Geben Sie die Zertifikate im PEM-Format an. Wenn diese Option nicht angegeben ist, wird das Serverzertifikat anhand der integrierten Liste gültiger CA-Zertifikate validiert.
  11. Geben Sie mindestens einen Kafka-Broker an, der auch als Knoten in einem Kafka-Cluster bezeichnet wird und übertragene Daten empfangen kann.
    Hinweis:Sie können mehrere Broker hinzufügen, die Teil desselben Kafka-Clusters sind, um die Konnektivität sicherzustellen, falls ein einzelner Broker nicht verfügbar ist. Alle Broker müssen Teil desselben Cluster sein.
    1. In der Gastgeber Feld, geben Sie den Hostnamen oder die IP-Adresse des Kafka-Brokers ein.
    2. In der Hafen Feld, geben Sie die Portnummer des Kafka-Brokers ein.
    3. Klicken Sie auf das Plus (+) Symbol.
  12. Optional: klicken Testen um eine Verbindung zwischen dem ExtraHop-System und dem Remote-Kafka-Server herzustellen und eine Testnachricht an den Server zu senden.
    Im Dialogfeld wird eine Meldung angezeigt, die angibt, ob die Verbindung erfolgreich war oder fehlgeschlagen ist. Wenn der Test fehlschlägt, bearbeiten Sie die Zielkonfiguration und testen Sie die Verbindung erneut.
  13. klicken Speichern.

Nächste Maßnahme

Erstellen Sie einen Auslöser, der festlegt, welche Kafka-Nachrichtendaten gesendet werden sollen, und der die Übertragung von Daten an das Ziel initiiert. Weitere Informationen finden Sie in der Remote.Kafka Klasse in der ExtraHop Trigger API-Referenz .

Konfigurieren Sie ein MongoDB-Ziel für einen offenen Datenstrom

Sie können Daten auf einem ExtraHop-System in jedes System exportieren, das empfängt MongoDB Eingabe für die Langzeitarchivierung und den Vergleich mit anderen Quellen.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin
    Wiederholen Sie diese Schritte auf jeder Discover-Appliance in Ihrer Umgebung.
  2. In der Konfiguration des Systems Abschnitt, klicken Offene Datenströme.
  3. klicken Ziel hinzufügen.
  4. Aus dem Typ des Ziels Drop-down-Menü, wählen MongoDB.
  5. In der Name Feld, geben Sie einen Namen ein, um das Ziel zu identifizieren.
  6. In der Gastgeber Feld, geben Sie den Hostnamen oder die IP-Adresse des Remote-MongoDB-Servers ein.
  7. In der Hafen Feld, geben Sie die Portnummer des Remote-MongoDB-Servers ein.
  8. Wählen SSL/TLS-Verschlüsselung um übertragene Daten zu verschlüsseln.
  9. Wählen Zertifikatsüberprüfung überspringen um die Zertifikatsüberprüfung verschlüsselter Daten zu umgehen.
    Hinweis:Sichere Verbindungen zum MongoDB-Zielserver können überprüft werden über vertrauenswürdige Zertifikate die Sie in das ExtraHop-System hochladen.
  10. Optional: Fügen Sie Benutzer hinzu, die berechtigt sind, in eine MongoDB-Datenbank auf dem Zielserver zu schreiben.
    1. In der Datenbank Feld, geben Sie den Namen der MongoDB-Datenbank ein.
    2. In der Nutzername Feld, geben Sie den Benutzernamen des Benutzers ein.
    3. In der Passwort Feld, geben Sie das Passwort des Benutzers ein.
    4. Klicken Sie auf das Plus (+) Symbol.
  11. Optional: klicken Testen um eine Verbindung zwischen dem ExtraHop-System und dem Remote-MongoDB-Server herzustellen und eine Testnachricht an den Server zu senden.
    Im Dialogfeld wird eine Meldung angezeigt, die angibt, ob die Verbindung erfolgreich war oder fehlgeschlagen ist. Wenn der Test fehlschlägt, bearbeiten Sie die Zielkonfiguration und testen Sie die Verbindung erneut.
  12. klicken Speichern.

Nächste Maßnahme

Erstellen Sie einen Auslöser, der festlegt, welche MongoDB-Nachrichtendaten gesendet werden sollen, und der die Übertragung von Daten an das Ziel initiiert. Weitere Informationen finden Sie in der Remote.MongoDB Klasse in der ExtraHop Trigger API-Referenz .

Konfigurieren Sie ein Rohdatenziel für einen offenen Datenstrom

Sie können Rohdaten auf einem ExtraHop-System auf einen beliebigen Server exportieren, um sie langfristig zu archivieren und mit anderen Quellen zu vergleichen. Darüber hinaus können Sie eine Option zum Komprimieren der Daten über GZIP auswählen.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin
    Wiederholen Sie diese Schritte auf jeder Discover-Appliance in Ihrer Umgebung.
  2. In der Konfiguration des Systems Abschnitt, klicken Offene Datenströme.
  3. klicken Ziel hinzufügen.
  4. Aus dem Typ des Ziels Drop-down-Menü, wählen roh.
  5. In der Name Feld, geben Sie einen Namen ein, um das Ziel zu identifizieren.
  6. In der Gastgeber Feld, geben Sie den Hostnamen oder die IP-Adresse des Remote-Servers ein.
  7. In der Hafen Feld, geben Sie die Portnummer des Remoteservers ein.
  8. Aus dem Protokoll Wählen Sie im Dropdownmenü eines der folgenden Protokolle aus, über das Daten übertragen werden sollen:
    • TCP
    • UDP
  9. Optional: Aktivieren Sie die GZIP-Komprimierung der übertragenen Daten.
    1. Wählen GZIP-Komprimierung.
    2. Geben Sie für jedes der folgenden Felder einen Wert ein:
      Anzahl der Byte, nach denen GZIP aktualisiert werden soll
      Der Standardwert ist 64000 Byte.
      Anzahl der Sekunden, nach denen GZIP aktualisiert werden soll
      Der Standardwert ist 300 Sekunden.
  10. Optional: klicken Testen um eine Verbindung zwischen dem ExtraHop-System und dem Remote-Server herzustellen und eine Testnachricht an den Server zu senden.
    Im Dialogfeld wird eine Meldung angezeigt, die angibt, ob die Verbindung erfolgreich war oder fehlgeschlagen ist. Wenn der Test fehlschlägt, bearbeiten Sie die Zielkonfiguration und testen Sie die Verbindung erneut.
  11. klicken Speichern.

Nächste Maßnahme

Erstellen Sie einen Auslöser, der festlegt, welche Rohnachrichtendaten gesendet werden sollen, und der die Übertragung von Daten an das Ziel initiiert. Weitere Informationen finden Sie in der Remote.Raw Klasse in der ExtraHop Trigger API-Referenz .

Konfigurieren Sie ein Syslog-Ziel für einen offenen Datenstrom

Sie können Daten auf einem ExtraHop-System in jedes System exportieren, das Syslog-Eingaben empfängt (wie Splunk, ArcSight oder Q1 Labs), um sie langfristig zu archivieren und mit anderen Quellen zu vergleichen.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin
    Wiederholen Sie diese Schritte auf jeder Discover-Appliance in Ihrer Umgebung.
  2. In der Konfiguration des Systems Abschnitt, klicken Offene Datenströme.
  3. klicken Ziel hinzufügen.
  4. Aus dem Typ des Ziels Drop-down-Menü, wählen Syslog.
  5. In der Name Feld, geben Sie einen Namen ein, um das Ziel zu identifizieren.
  6. In der Gastgeber Feld, geben Sie den Hostnamen oder die IP-Adresse des Remote-Syslog-Servers ein.
  7. In der Hafen Feld, geben Sie die Portnummer des Remote-Syslog-Servers ein.
  8. Aus dem Protokoll Wählen Sie im Dropdownmenü eines der folgenden Protokolle aus, über das Daten übertragen werden sollen:
    • TCP
    • UDP
    • SSL/TLS
  9. Optional: Wählen Lokale Zeit um Syslog-Informationen zu senden mit Zeitstempel in der lokalen Zeitzone des ExtraHop-Systems. Wenn diese Option nicht ausgewählt ist, werden Zeitstempel in GMT gesendet.
  10. Optional: Wählen Rahmung mit Längenpräfix um die Anzahl der Byte in einer Nachricht dem Anfang jeder Nachricht voranzustellen. Wenn diese Option nicht ausgewählt ist, wird das Ende jeder Nachricht durch einen abschließenden Zeilenumbruch begrenzt.
  11. Optional: In der Mindestanzahl an Byte im Batch Feld, geben Sie die Mindestanzahl von Byte ein, die gleichzeitig an den Syslog-Server gesendet werden sollen.
  12. Optional: In der Gleichzeitige Verbindungen Feld, geben Sie die Anzahl der gleichzeitigen Verbindungen ein, über die Nachrichten gesendet werden sollen.
  13. Optional: Wenn Sie das ausgewählt haben SSL/TLS Protokoll, geben Sie die Zertifikatsoptionen an.
    1. Wenn der Syslog-Server eine Client-Authentifizierung erfordert, geben Sie ein TLS-Client-Zertifikat an, das an den Server gesendet werden soll, in der Client-Zertifikat Feld.
    2. Wenn Sie ein Client-Zertifikat angegeben haben, geben Sie den privaten Schlüssel des Zertifikats in der Kundenschlüssel Feld.
    3. Wenn Sie das Zertifikat des Syslog-Servers nicht überprüfen möchten, wählen Sie Überprüfung Server Serverzertifikats überspringen.
    4. Wenn Sie das Zertifikat des Syslog-Servers überprüfen möchten, das Zertifikat jedoch nicht von einer gültigen Zertifizierungsstelle (CA) signiert wurde, geben Sie vertrauenswürdige Zertifikate an, mit denen das Serverzertifikat verifiziert werden soll, in der CA-Zertifikate (optional) Feld. Geben Sie die Zertifikate im PEM-Format an. Wenn diese Option nicht angegeben ist, wird das Serverzertifikat anhand der integrierten Liste gültiger CA-Zertifikate validiert.
  14. Optional: klicken Testen um eine Verbindung zwischen dem ExtraHop-System und dem Remote-Syslog-Server herzustellen und eine Testnachricht an den Server zu senden.
    Im Dialogfeld wird eine Meldung angezeigt, die angibt, ob die Verbindung erfolgreich war oder fehlgeschlagen ist. Wenn der Test fehlschlägt, bearbeiten Sie die Zielkonfiguration und testen Sie die Verbindung erneut.
  15. klicken Speichern.

Nächste Maßnahme

Erstellen Sie einen Auslöser, der angibt, welche Syslog-Nachrichtendaten gesendet werden sollen, und der die Übertragung von Daten an das Ziel initiiert. Weitere Informationen finden Sie in der Remote.Syslog Klasse in der ExtraHop Trigger API-Referenz .

ODS-Einzelheiten

Die Detailseite des Open Data Stream (ODS) enthält Informationen über die Datenmenge, die an das ODS-Ziel gesendet wurde, und darüber, wie viele Fehler aufgetreten sind.

Hinweis:Die Seite mit ODS ODS-Details ist derzeit nur für HTTP-ODS-Ziele verfügbar.
Verbindungsversuche
Gibt an, wie oft das ExtraHop-System versucht hat, eine Verbindung zum ODS-Ziel herzustellen.
Verbindungsfehler
Die Anzahl der Fehler, die bei Verbindungsversuchen mit dem ODS-Ziel aufgetreten sind.
IPC-Fehler
Die Anzahl der Fehler, die bei der Datenübertragung zwischen Triggern und dem Exremote-Prozess aufgetreten sind. Wenn IPC-Fehler auftreten, wenden Sie sich an den ExtraHop-Support, um Hilfe zu erhalten.
An das Ziel gesendete Byte
Die Anzahl der Byte, die vom Exremote-Prozess an das ODS-Ziel weitergeleitet wurden.
An das Ziel gesendete Nachrichten
Die Anzahl der Nachrichten, die vom Exremote-Prozess an das ODS-Ziel weitergeleitet wurden.
Von Triggern gesendete Bytes
Die Anzahl der Byte, die auslösen, dass sie an den Exremote-Prozess gesendet und an das ODS-Ziel weitergeleitet werden.
Von Triggern gesendete Nachrichten
Die Anzahl der Nachrichten, die auslösen, dass sie an den Exremote-Prozess gesendet und an das ODS-Ziel weitergeleitet werden.
Von exremote verworfene Nachrichten
Die Anzahl der auslösenden Nachrichten, die an den Exremote-Prozess gesendet, aber nie an das ODS-Ziel weitergeleitet wurden.
Einzelheiten zum Fehler
Zeit
Der Zeitpunkt, zu dem der Fehler aufgetreten ist.
URL
Die URL des ODS-Ziels.
Status
Der vom ODS-Ziel zurückgegebene HTTP-Statuscode.
Header anfordern
Die Header der HTTP-Anfrage, die an das ODS-Ziel gesendet wurde.
Hauptteil der Anfrage
Der Hauptteil der HTTP-Anfrage, die an das ODS-Ziel gesendet wurde.
Antwort-Header
Die Header der HTTP-Antwort, die vom ODS-Ziel gesendet wurde.
Hauptteil der Antwort
Der Hauptteil der HTTP-Antwort, die vom ODS-Ziel gesendet wurde.

Tendenzen

Trendbasierte Warnmeldungen werden generiert, wenn eine überwachte Metrik von den normalen Trends abweicht, die vom ExtraHop-System beobachtet werden. Bei Bedarf können Sie alle konfigurierten Trends und trendbasierten Benachrichtigungen löschen.

  • klicken Trends zurücksetzen um alle Trenddaten aus dem ExtraHop-System zu löschen.

Einen Sensor oder eine Konsole sichern und wiederherstellen

Nachdem Sie Ihren ExtraHop konfiguriert haben Konsole und Sensor mit Anpassungen wie Bundles, Triggern und Dashboards oder administrativen Änderungen wie dem Hinzufügen neuer Benutzer empfiehlt ExtraHop, Ihre Einstellungen regelmäßig zu sichern, um die Wiederherstellung nach einem Systemausfall zu erleichtern.

Tägliche Backups werden automatisch im lokalen Datenspeicher gespeichert. Wir empfehlen jedoch, dass Sie manuell ein System-Backup erstellen, bevor Sie die Firmware aktualisieren oder bevor Sie eine größere Änderung an Ihrer Umgebung vornehmen (z. B. den Datenfeed zum Sensor ändern). Laden Sie dann die Sicherungsdatei herunter und speichern Sie sie an einem sicheren Ort.

Einen Sensor oder eine ECA-VM sichern

Erstellen Sie eine Systemsicherung und speichern Sie die Sicherungsdatei an einem sicheren Ort.

Wichtig:System-Backups enthalten vertrauliche Informationen, einschließlich SSL-Schlüssel. Wenn Sie eine Systemsicherung erstellen, stellen Sie sicher, dass Sie die Sicherungsdatei an einem sicheren Ort speichern.
Die folgenden Anpassungen und Ressourcen werden gespeichert, wenn Sie ein Backup erstellen.
  • Benutzeranpassungen wie Bundles, Trigger und Dashboards.
  • Konfigurationen, die anhand von Administrationseinstellungen vorgenommen wurden, z. B. lokal erstellte Benutzer und remote importierte Benutzergruppen, Einstellungen für die Ausführung von Konfigurationsdateien, SSL-Zertifikate und Verbindungen zu ExtraHop-Recordstores und Packetstores.
Die folgenden Anpassungen und Ressourcen werden nicht gespeichert, wenn Sie ein Backup erstellen oder zu einem neuen Ziel migrieren.
  • Lizenzinformationen für das System. Wenn Sie Einstellungen auf einem neuen Ziel wiederherstellen, müssen Sie das neue Ziel manuell lizenzieren.
  • Präzise Paketerfassung. Sie können gespeicherte Paketerfassungen manuell herunterladen, indem Sie die Schritte unter Paketerfassungen anzeigen und herunterladen.
  • Bei der Wiederherstellung einer ECA VM-Konsole, die über eine Tunnelverbindung von einem Sensor, der Tunnel muss neu eingerichtet werden, nachdem die Wiederherstellung abgeschlossen ist und alle Anpassungen an der Konsole dafür vorgenommen wurden Sensor muss manuell neu erstellt werden.
  • Vom Benutzer hochgeladene SSL-Schlüssel für die Entschlüsselung des Datenverkehrs.
  • Sichere Keystore-Daten, die Passwörter enthalten. Wenn Sie eine Sicherungsdatei auf demselben Ziel wiederherstellen, auf dem die Sicherung erstellt wurde, und der Keystore intakt ist, müssen Sie die Anmeldedaten nicht erneut eingeben. Wenn Sie jedoch eine Sicherungsdatei auf einem neuen Ziel wiederherstellen oder auf ein neues Ziel migrieren, müssen Sie die folgenden Anmeldedaten erneut eingeben:
    • Alle SNMP-Community-Zeichenfolgen, die für die SNMP-Abfrage von Flow-Netzwerken bereitgestellt werden.
    • Jedes Bind-Passwort, das für die Verbindung mit LDAP zur Fernauthentifizierung bereitgestellt wird.
    • Jedes Passwort, das für die Verbindung zu einem SMTP-Server bereitgestellt wird, für den eine SMTP-Authentifizierung erforderlich ist.
    • Jedes Passwort, das für die Verbindung zu einem externen Datenspeicher angegeben wird.
    • Jedes Passwort, das für den Zugriff auf externe Ressourcen über den konfigurierten globalen Proxy bereitgestellt wird.
    • Jedes Passwort, das für den Zugriff auf ExtraHop Cloud Services über den konfigurierten ExtraHop-Cloud-Proxy bereitgestellt wird.
    • Alle Authentifizierungsdaten oder Schlüssel, die zur Konfiguration von Open Data Stream-Zielen bereitgestellt werden.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Systemkonfiguration auf Sichern und Wiederherstellen.
  3. klicken System-Backup erstellen, und klicken Sie dann auf OK.
    Eine Liste der vom Benutzer gespeicherten und automatischen Backups wird angezeigt.
  4. Klicken Sie auf den Namen der neuen Backup-Datei, Benutzer gespeichert <timestamp> (neu). Die Sicherungsdatei mit der Dateierweiterung.exbk wird automatisch am Standard-Download-Speicherort für Ihren Browser gespeichert.

Einen Sensor oder eine Konsole aus einem System-Backup wiederherstellen

Sie können das ExtraHop-System anhand der vom Benutzer gespeicherten oder automatischen Backups wiederherstellen, die auf dem System gespeichert sind. Sie können zwei Arten von Wiederherstellungsvorgängen durchführen: Sie können nur Anpassungen (z. B. Änderungen an Benachrichtigungen, Dashboards, Triggern, benutzerdefinierten Metriken) wiederherstellen, oder Sie können sowohl Anpassungen als auch Systemressourcen wiederherstellen.

Dieses Verfahren beschreibt die Schritte, die erforderlich sind, um eine Sicherungsdatei auf demselben Sensor oder derselben Konsole wiederherzustellen, mit dem die Sicherungsdatei erstellt wurde. Wenn Sie die Einstellungen auf einen neuen Sensor oder eine neue Konsole migrieren möchten, finden Sie unter Einstellungen auf eine neue Konsole oder einen neuen Sensor übertragen.

Before you begin

Auf dem Ziel muss dieselbe Firmware-Version ausgeführt werden, die mit der ersten und zweiten Ziffer der Firmware übereinstimmt, die die Backup-Datei generiert hat. Wenn die Versionen nicht identisch sind, schlägt der Wiederherstellungsvorgang fehl.

Die folgende Tabelle zeigt Beispiele für unterstützte Wiederherstellungsvorgänge.

Quell-Firmware Ziel-Firmware Unterstützt
7,7,0 7.7.5 Ja
7,7,0 7.8.0 Nein
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Sichern und Wiederherstellen.
  3. klicken System-Backups anzeigen oder wiederherstellen.
  4. klicken Wiederherstellen neben dem Benutzer-Backup oder dem automatischen Backup, das Sie wiederherstellen möchten.
  5. Wählen Sie eine der folgenden Wiederherstellungsoptionen aus:
    Option Bezeichnung
    Systemanpassungen wiederherstellen Wählen Sie diese Option, wenn beispielsweise ein Dashboard versehentlich gelöscht wurde oder eine andere Benutzereinstellung wiederhergestellt werden muss. Alle Anpassungen, die nach der Erstellung der Sicherungsdatei vorgenommen wurden, werden bei der Wiederherstellung der Anpassungen nicht überschrieben.
    Systemanpassungen und Ressourcen wiederherstellen Wählen Sie diese Option, wenn Sie das System in dem Zustand wiederherstellen möchten, in dem es sich bei der Erstellung des Backups befand.
    Warnung:Alle Anpassungen, die nach der Erstellung der Sicherungsdatei vorgenommen wurden, werden überschrieben, wenn die Anpassungen und Ressourcen wiederhergestellt werden.
  6. klicken OK.
  7. Optional: Wenn du ausgewählt hast Systemanpassungen wiederherstellen, klicken Importprotokoll anzeigen um zu sehen, welche Anpassungen wiederhergestellt wurden.
  8. Starten Sie das System neu.
    1. Kehren Sie zu den Administrationseinstellungen zurück.
    2. Klicken Sie im Abschnitt Appliance-Einstellungen auf Herunterfahren oder Neustarten.
    3. In der Aktionen Spalte für die System Eintrag, Klick Neustarten.
    4. klicken Neustarten zur Bestätigung.

Einen Sensor oder eine Konsole aus einer Backup-Datei wiederherstellen

Dieses Verfahren beschreibt die Schritte, die erforderlich sind, um ein System aus einer Sicherungsdatei auf demselben Sensor oder derselben Konsole wiederherzustellen, die die Sicherungsdatei erstellt haben.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Sichern und Wiederherstellen.
  3. klicken Laden Sie die Sicherungsdatei auf das Wiederherstellungssystem hoch.
  4. Wählen Sie eine der folgenden Wiederherstellungsoptionen aus:
    Option Bezeichnung
    Systemanpassungen wiederherstellen Wählen Sie diese Option, wenn beispielsweise ein Dashboard versehentlich gelöscht wurde oder eine andere Benutzereinstellung wiederhergestellt werden muss. Alle Anpassungen, die nach der Erstellung der Sicherungsdatei vorgenommen wurden, werden bei der Wiederherstellung der Anpassungen nicht überschrieben.
    Systemanpassungen und Ressourcen wiederherstellen Wählen Sie diese Option, wenn Sie das System in dem Zustand wiederherstellen möchten, in dem es sich bei der Erstellung des Backups befand.
    Warnung:Alle Anpassungen, die nach der Erstellung der Sicherungsdatei vorgenommen wurden, werden überschrieben, wenn die Anpassungen und Ressourcen wiederhergestellt werden.
  5. Klicken Sie auf Datei auswählen und navigieren Sie zu einer Sicherungsdatei, die Sie zuvor gespeichert haben.
  6. klicken Wiederherstellen.
  7. Optional: Wenn du ausgewählt hast Systemanpassungen wiederherstellen, klicken Importprotokoll anzeigen um zu sehen, welche Anpassungen wiederhergestellt wurden.
  8. Starten Sie das System neu.
    1. Kehren Sie zu den Administrationseinstellungen zurück.
    2. Klicken Sie im Abschnitt Geräteeinstellungen auf Herunterfahren oder Neustarten.
    3. In der Aktionen Spalte für System Eintrag, Klick Neustarten.
    4. klicken Neustart zur Bestätigung.

Einstellungen auf eine neue Konsole oder einen neuen Sensor übertragen

Dieses Verfahren beschreibt die Schritte, die erforderlich sind, um eine Sicherungsdatei auf einer neuen Konsole wiederherzustellen oder Sensor. Nur Systemeinstellungen von Ihrer vorhandenen Konsole oder Sensor werden übertragen. Metriken auf dem lokalen Datenspeicher werden nicht übertragen.

Before you begin

  • Erstellen Sie eine Systemsicherung und speichern Sie die Sicherungsdatei an einem sicheren Ort.
  • Entferne die Quelle Sensor oder Konsole aus dem Netzwerk, bevor Einstellungen übertragen werden. Das Ziel und die Quelle können nicht gleichzeitig im Netzwerk aktiv sein.
    Wichtig:Trennen Sie keine Sensoren die bereits mit einer Konsole verbunden sind.
  • Bereitstellen und Register der Zielsensor oder die Zielkonsole.
    • Stellen Sie sicher, dass es sich bei dem Ziel um denselben Typ handelt Sensor oder Konsole (physisch oder virtuell) als Quelle.
    • Stellen Sie sicher, dass das Ziel genauso groß oder größer ist (maximaler Durchsatz auf dem Sensor; CPU-, RAM- und Festplattenkapazität auf der Konsole) wie die Quelle.
    • Stellen Sie sicher, dass das Ziel über eine Firmware-Version verfügt, die der Firmware-Version entspricht, mit der die Sicherungsdatei generiert wurde. Wenn die ersten beiden Ziffern der Firmware-Versionen nicht identisch sind, schlägt der Wiederherstellungsvorgang fehl.

      Die folgende Tabelle zeigt Beispiele für unterstützte Konfigurationen.

      Quell-Firmware Ziel-Firmware Unterstützt
      7,7,0 7,7,0 Ja
      7,7,0 7.7.5 Ja
      7.7.5 7,7,0 Nein
      7,7,0 7.6.0 Nein
      7,7,0 7.8.0 Nein
  • Nachdem Sie die Einstellungen auf eine Zielkonsole übertragen haben, müssen Sie alle manuell erneut verbinden Sensoren.
  • Bei der Übertragung von Einstellungen an eine Zielkonsole, die für eine Tunnelverbindung konfiguriert ist, zum Sensoren, wir empfehlen, dass Sie die Zielkonsole mit demselben Hostnamen und derselben IP-Adresse wie die Quellkonsole konfigurieren.
  1. Melden Sie sich bei den Administrationseinstellungen auf dem Zielsystem an über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Konfiguration des Systems Abschnitt, klicken Sichern und Wiederherstellen.
  3. klicken Laden Sie die Sicherungsdatei auf das Wiederherstellungssystem hoch.
  4. Wählen Systemanpassungen und Ressourcen wiederherstellen.
  5. klicken Wählen Sie Datei, navigieren Sie zur gespeicherten Sicherungsdatei, und klicken Sie dann auf Offen.
  6. klicken Wiederherstellen.
    Warnung:Wenn die Sicherungsdatei nicht mit dem lokalen Datenspeicher kompatibel ist, muss der Datenspeicher zurückgesetzt werden.
    Nach Abschluss der Wiederherstellung werden Sie vom System abgemeldet.
  7. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin und stellen Sie sicher, dass Ihre Anpassungen auf dem Zielsensor oder der Zielkonsole korrekt wiederhergestellt wurden.
    Hinweis:Wenn der Quellsensor oder die Konsole mit ExtraHop Cloud Services verbunden war, müssen Sie das Ziel manuell mit ExtraHop Cloud Services verbinden.
Schließen Sie die Sensoren wieder an die Konsole an
Wenn Sie Einstellungen auf eine neue Konsole übertragen haben, müssen Sie alle zuvor angeschlossenen Sensoren manuell wieder anschließen.

Before you begin

Wichtig:Wenn Ihre Konsole und Sensoren für eine Tunnelverbindung konfiguriert sind, empfehlen wir Ihnen, die Quell- und Zielkonsolen mit derselben IP-Adresse und demselben Hostnamen zu konfigurieren. Wenn Sie nicht dieselbe IP-Adresse und denselben Hostnamen festlegen können, überspringen Sie dieses Verfahren und stellen Sie eine neue Tunnelverbindung zur neuen IP-Adresse oder zum neuen Hostnamen der Konsole her.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Bereich Connected Appliance Administration unter ExtraHop Discover Settings auf Discover Appliances verwalten.
  3. In der Spalte Aktionen für die erste Sensor, klicken Erneut verbinden.


  4. Geben Sie das Passwort für den Setup-Benutzer des Sensor.
  5. klicken Verbinde.
  6. Wiederholen Sie die Schritte 3—5 für alle verbleibenden Verbindungsabbrüche Sensoren.
    Alle getrennten Sensoren sind jetzt online.

Einstellungen der Appliance

Sie können die folgenden Komponenten der ExtraHop-Appliance in der Einstellungen der Appliance Abschnitt.

Alle Geräte haben die folgenden Komponenten:

Konfiguration ausführen
Laden Sie die laufende Konfigurationsdatei herunter und ändern Sie sie.
Dienstleistungen
Aktivieren oder deaktivieren Sie die Web Shell, die Management-GUI, den SNMP-Dienst, den SSH-Zugriff und den SSL-Sitzungsschlüsselempfänger. Die Option SSL Session Key Receiver wird nur auf der Discover-Appliance angezeigt.
Firmware
Aktualisieren Sie die ExtraHop-Systemfirmware.
Systemzeit
Konfigurieren Sie die Systemzeit.
Herunterfahren oder Neustarten
Halten Sie die Systemdienste an und starten Sie sie neu.
Lizenz
Aktualisieren Sie die Lizenz, um Zusatzmodule zu aktivieren.
Festplatten
Stellt Informationen zu den Festplatten in der Appliance bereit.

Die folgenden Komponenten kommen nur auf den angegebenen Appliances vor:

Spitzname des Befehls
Weisen Sie der Command-Appliance einen Spitznamen zu. Diese Einstellung ist nur auf der Command-Appliance verfügbar.
Packetstore zurücksetzen
Löschen Sie alle Pakete, die auf der ExtraHop Trace-Appliance gespeichert sind. Die Packetstore zurücksetzen Die Seite wird nur auf der Trace-Appliance angezeigt.

Konfiguration ausführen

Die laufende Konfigurationsdatei gibt die Standardsystemkonfiguration an. Wenn Sie Systemeinstellungen ändern, müssen Sie die laufende Konfigurationsdatei speichern, um diese Änderungen nach einem Systemneustart beizubehalten.

Hinweis:Es wird nicht empfohlen, Konfigurationsänderungen am Code von der Bearbeitungsseite aus vorzunehmen. Sie können die meisten Systemänderungen über andere Seiten in den Administrationseinstellungen vornehmen.

Speichern Sie die Systemeinstellungen in der laufenden Konfigurationsdatei

Wenn Sie eine der Systemkonfigurationseinstellungen auf einem ExtraHop-System ändern, müssen Sie die Aktualisierungen bestätigen, indem Sie die laufende Konfigurationsdatei speichern. Wenn Sie die Einstellungen nicht speichern, gehen die Änderungen verloren, wenn Ihr ExtraHop-System neu gestartet wird.

Um Sie daran zu erinnern, dass sich die aktuelle Konfiguration geändert hat, erscheint (Ungespeicherte Änderungen) neben dem Link Running Config auf der Hauptseite mit den Administrationseinstellungen sowie Änderungen anzeigen und speichern Schaltfläche auf allen Seiten mit Verwaltungseinstellungen, wie unten gezeigt.

  1. klicken Änderungen anzeigen und speichern.
  2. Überprüfen Sie den Vergleich zwischen der alten laufenden Konfiguration und der aktuellen (nicht gespeicherten) laufenden Konfiguration, und wählen Sie dann eine der folgenden Optionen aus:
    • Wenn die Änderungen korrekt sind, klicken Sie auf Speichern.
    • Wenn die Änderungen nicht korrekt sind, klicken Sie auf Stornieren und machen Sie dann die Änderungen rückgängig, indem Sie auf Konfiguration zurücksetzen .

Bearbeiten Sie die laufende Konfiguration

Die ExtraHop-Administrationseinstellungen bieten eine Schnittstelle zum Anzeigen und Ändern des Codes , der die Standardsystemkonfiguration angibt. Zusätzlich zu den Änderungen an der laufenden Konfigurationsdatei über die Administrationseinstellungen können Änderungen auch an der Config wird ausgeführt Seite.

Hinweis:Es wird nicht empfohlen, auf der Seite „Bearbeiten" Konfigurationsänderungen am Code vorzunehmen. Sie können die meisten Systemänderungen über andere Administrationseinstellungen vornehmen.

Laden Sie die laufende Konfiguration als Textdatei herunter

Sie können die laufende Konfigurationsdatei auf Ihre Workstation herunterladen. Sie können diese Textdatei öffnen und lokal Änderungen daran vornehmen, bevor Sie diese Änderungen in das Config wird ausgeführt Fenster.

  1. Klicken Config wird ausgeführt.
  2. Klicken Konfiguration als Datei herunterladen.
Die aktuell ausgeführte Konfigurationsdatei wird als Textdatei in Ihr Standard-Download-Verzeichnis heruntergeladen.

ICMPv6-Nachrichten vom Typ „Destination Unreachable" deaktivieren

Sie können verhindern, dass das ExtraHop-System ICMPv6-Nachrichten vom Typ Destination Unreachable generiert. Möglicherweise möchten Sie ICMPv6-Nachrichten vom Typ Destination Unreachable aus Sicherheitsgründen gemäß RFC 4443 deaktivieren.

Um ICMPv6-Meldungen „Destination Unreachable" zu deaktivieren, müssen Sie die Running Configuration bearbeiten. Wir empfehlen jedoch, die Running Configuration-Datei nicht manuell zu bearbeiten, ohne dass Sie vom ExtraHop-Support dazu angewiesen werden. Wenn Sie die laufende Konfigurationsdatei manuell falsch bearbeiten, kann dies dazu führen, dass das System nicht mehr verfügbar ist oder keine Daten mehr erfasst werden. Sie können kontaktieren ExtraHop-Unterstützung.

Bestimmte ICMPv6-Echo-Antwortnachrichten deaktivieren

Sie können verhindern, dass das ExtraHop-System Echo-Antwortnachrichten als Antwort auf ICMPv6-Echoanforderungsnachrichten generiert, die an eine IPv6-Multicast- oder Anycast-Adresse gesendet werden. Möglicherweise möchten Sie diese Nachrichten deaktivieren, um unnötigen Netzwerkverkehr zu reduzieren.

Um bestimmte ICMPv6-Echo-Antwortnachrichten zu deaktivieren, müssen Sie die laufende Konfigurationsdatei bearbeiten. Wir empfehlen jedoch, die laufende Konfigurationsdatei nicht ohne Anweisung des ExtraHop-Supports manuell zu bearbeiten. Eine falsche manuelle Bearbeitung dieser Datei kann dazu führen, dass das System nicht mehr verfügbar ist oder keine Daten mehr erfasst werden. Sie können kontaktieren ExtraHop-Unterstützung .

Dienstleistungen

Diese Dienste werden im Hintergrund ausgeführt und führen Funktionen aus, für die keine Benutzereingaben erforderlich sind. Diese Dienste können über die Administrationseinstellungen gestartet und gestoppt werden.

Aktivieren oder deaktivieren Sie die Management-GUI
Die Management-GUI bietet browserbasierten Zugriff auf das ExtraHop-System. Standardmäßig ist dieser Dienst aktiviert, sodass ExtraHop-Benutzer über einen Webbrowser auf das ExtraHop-System zugreifen können. Wenn dieser Dienst deaktiviert ist, wird die Apache Web Server-Sitzung beendet und der gesamte browserbasierte Zugriff wird deaktiviert.
Warnung:Deaktivieren Sie diesen Dienst nur, wenn Sie ein erfahrener ExtraHop-Administrator sind und mit der ExtraHop-CLI vertraut sind.
SNMP-Dienst aktivieren oder deaktivieren
Aktivieren Sie den SNMP-Dienst auf dem ExtraHop-System, wenn Ihre Netzwerkgeräteüberwachungssoftware Informationen über das ExtraHop-System sammeln soll. Dieser Dienst ist standardmäßig deaktiviert.
  • Aktivieren Sie den SNMP-Dienst auf der Seite Dienste, indem Sie das Kontrollkästchen Deaktiviert aktivieren und dann auf Speichern. Nach der Aktualisierung der Seite wird das Kontrollkästchen Aktiviert angezeigt.
  • Den SNMP-Dienst konfigurieren und laden Sie die ExtraHop MIB-Datei herunter
SSH-Zugriff aktivieren oder deaktivieren
Der SSH-Zugriff ist standardmäßig aktiviert, damit sich Benutzer sicher an der ExtraHop-Befehlszeilenschnittstelle (CLI) anmelden können.
Hinweis:Der SSH-Dienst und der Management GUI Service können nicht gleichzeitig deaktiviert werden. Mindestens einer dieser Dienste muss aktiviert sein, um Zugriff auf das System zu gewähren.
Den SSL-Sitzungsschlüsselempfänger aktivieren oder deaktivieren (nur Sensor)
Sie müssen den Sitzungsschlüsselempfängerdienst über die Verwaltungseinstellungen aktivieren, bevor das ExtraHop-System Sitzungsschlüssel vom Sitzungsschlüsselweiterleiter empfangen und entschlüsseln kann. Standardmäßig ist dieser Dienst deaktiviert.
Hinweis:Wenn Sie dieses Kontrollkästchen nicht sehen und die SSL Decryption-Lizenz erworben haben, wenden Sie sich an ExtraHop-Unterstützung um Ihre Lizenz zu aktualisieren.

SNMP-Dienst

Konfigurieren Sie den SNMP-Dienst auf Ihrem ExtraHop-System, sodass Sie Ihre Netzwerkgeräteüberwachungssoftware so konfigurieren können, dass Informationen über Ihr ExtraHop-System über das Simple Network Management Protocol (SNMP) erfasst werden.

Beispielsweise können Sie Ihre Monitoring-Software so konfigurieren, dass sie bestimmt, wie viel freier Speicherplatz auf einem ExtraHop-System verfügbar ist, und eine Alarm senden, wenn das System zu über 95% voll ist. Importieren Sie die ExtraHop SNMP MIB-Datei in Ihre Monitoring-Software, um alle ExtraHop-spezifischen SNMP-Objekte zu überwachen. Sie können Einstellungen für SNMPv1/SNMPv2 und SNMPv3 konfigurieren

Konfigurieren Sie den SNMPv1- und SNMPv2-Dienst

Sie können den SNMPv1- und SNMPv2-Dienst auf Ihrem ExtraHop-System konfigurieren.

  1. Auf dem Dienstleistungen Seite, neben SNMP-Dienst , klicken Sie Konfiguriere.
  2. Konfigurieren Sie die folgenden Einstellungen, um den SNMPv1- und SNMPv2-Dienst zu aktivieren:
    Aktiviert
    Markieren Sie das Kontrollkästchen, um den SNMP-Dienst zu aktivieren.
    SNMPv1 und SNMPv2 aktiviert
    Markieren Sie das Kontrollkästchen, um den SNMPv1- und SNMPv2-Dienst zu aktivieren.
    SNMP-Gemeinschaft
    Geben Sie einen benutzerfreundlichen Namen für die SNMP-Community ein.
    SNMP-Systemkontakt
    Geben Sie einen gültigen Namen oder eine gültige E-Mail-Adresse für den SNMP-Systemkontakt ein.
    Standort des SNMP-Systems
    Geben Sie einen Standort für das SNMP-System ein.
  3. Klicken Sie Einstellungen speichern.

Nächste Maßnahme

Laden Sie die ExtraHop SNMP MIB-Datei von der Seite SNMP Service Configuration herunter.
Konfigurieren Sie den SNMPv3-Dienst

Sie können den SNMPv3-Dienst auf Ihrem ExtraHop-System konfigurieren. Das SNMPv3-Sicherheitsmodell bietet zusätzliche Unterstützung für Authentifizierung- und Datenschutzprotokolle.

  1. Auf dem Dienstleistungen Seite, neben SNMP-Dienst , klicken Konfiguriere.
  2. Konfigurieren Sie die folgenden Einstellungen, um den SNMPv3-Dienst zu aktivieren:
    SNMPv3 aktiviert
    Markieren Sie das Kontrollkästchen, um den SNMPv3-Dienst zu aktivieren.
    SNMPv3-Benutzername
    Geben Sie den Namen des Benutzers ein, der auf den SNMPv3-Dienst zugreifen kann.
    Authentifizierungs- und Datenschutzmodus
    Wählen Authentifizierung und Datenschutz oder Authentifizierung und kein Datenschutz aus der Dropdownliste. Wenn Sie wählen Authentifizierung und Datenschutz, müssen Sie auch das ausfüllen Datenschutz-Passwort Feld.
    Wichtig: ExtraHop-Systeme unterstützen die AES-128-Verschlüsselung für den Datenschutz von SNMPv3-Nachrichten.
    Passwort für die Authentifizierung
    Geben Sie ein Passwort für den Benutzer ein, um sich beim SNMPv3-Dienst zu authentifizieren.
    Authentifizierungsalgorithmus
    Wählen SHA-256 oder SHA-1 als Authentifizierungsprotokoll aus der Dropdownliste.
    Datenschutz-Passwort
    Geben Sie das Passwort zum Entschlüsseln von SNMPv3-Traps ein. Dieses Feld ist erforderlich, wenn Sie Authentifizierung und Datenschutz.
  3. klicken Einstellungen speichern.

Nächste Maßnahme

Laden Sie die ExtraHop SNMP MIB-Datei von der Seite SNMP Service Configuration herunter.

Firmware

Die Administrationseinstellungen bieten eine Schnittstelle zum Hochladen und Löschen der Firmware auf ExtraHop-Geräten. Die Firmware-Datei muss von dem Computer aus zugänglich sein, auf dem Sie das Upgrade durchführen werden.

Before you begin

Lesen Sie unbedingt die Versionshinweise für die Firmware-Version, die Sie installieren möchten. Die Versionshinweise enthalten Anleitungen zum Upgrade sowie bekannte Probleme, die sich auf kritische Workflows in Ihrem Unternehmen auswirken können.

Aktualisieren Sie die Firmware auf Ihrem ExtraHop-System

Das folgende Verfahren zeigt Ihnen, wie Sie Ihr ExtraHop-System auf die neueste Firmware-Version aktualisieren. Obwohl der Firmware-Upgrade-Prozess für alle ExtraHop-Appliances ähnlich ist, gibt es bei einigen Appliances zusätzliche Überlegungen oder Schritte, die Sie vor der Installation der Firmware in Ihrer Umgebung berücksichtigen müssen. Wenn Sie Hilfe bei Ihrem Upgrade benötigen, wenden Sie sich an den ExtraHop-Support.

Wichtig:Wenn die Einstellungsmigration während des Firmware-Upgrades fehlschlägt, werden die zuvor installierte Firmware-Version und die ExtraHop-Systemeinstellungen wiederhergestellt.
Checkliste vor dem Upgrade

Im Folgenden finden Sie einige wichtige Überlegungen und Anforderungen zur Aktualisierung von ExtraHop-Appliances.

  • Ein Systemhinweis erscheint auf Konsolen und Sensoren verbunden mit ExtraHop Cloud Services, wenn eine neue Firmware-Version verfügbar ist.
  • Stellen Sie sicher, dass Ihr Reveal (x) 360-System auf Version 1 aktualisiert wurde 9.2 vor dem Upgrade Ihres selbstverwalteten Sensoren.
  • Wenn Sie ein Upgrade von Firmware-Version 8.7 oder früher durchführen, wenden Sie sich an den ExtraHop-Support, um weitere Informationen zum Upgrade zu erhalten.
  • Wenn Sie mehrere Typen von ExtraHop-Appliances haben, müssen Sie diese in der folgenden Reihenfolge aktualisieren:
    1. Konsole
    2. Sensoren (EDA und Ultra)
    3. Plattenläden
    4. Geschäfte für Pakete
Hinweis:Ihr Browser läuft möglicherweise nach 5 Minuten Inaktivität ab. Aktualisieren Sie die Browserseite, wenn das Update unvollständig erscheint.

Wenn bei der Browsersitzung ein Timeout auftritt, bevor das ExtraHop-System den Aktualisierungsvorgang abschließen kann, können Sie die folgenden Verbindungstests durchführen, um den Status des Upgrade-Vorgangs zu überprüfen:

  • Pingen Sie die Appliance über die Kommandozeile einer anderen Appliance oder Client-Workstation an.
  • Rufen Sie in den Administrationseinstellungen auf einer Konsole den Status der Appliance auf Verbundene Geräte verwalten Seite.
  • Stellen Sie über die iDRAC-Schnittstelle eine Verbindung zur Appliance her.
Konsolen-Upgrades
  • Für umfangreiche Konsolenbereitstellungen (Verwaltung von 50.000 Geräten oder mehr) sollten Sie mindestens eine Stunde einplanen, um das Upgrade durchzuführen.
  • Die Firmware-Version der Konsole muss größer oder gleich der Firmware-Version aller angeschlossenen Geräte sein. Um die Funktionskompatibilität sicherzustellen, sollte auf allen angeschlossenen Geräten die Firmware-Version 8.7 oder höher ausgeführt werden.
Recordstore-Upgrades
  • Aktualisieren Sie Recordstores nicht auf eine Firmware-Version, die neuer ist als die Version, die auf den angeschlossenen Konsolen und Sensoren installiert ist.
  • Nach dem Upgrade der Konsole und Sensoren, deaktiviere die Datensatz von Datensätzen im Recordstore bevor Sie den Recordstore aktualisieren.
  • Sie müssen alle Recordstore-Knoten in einem Recordstore-Cluster aktualisieren. Der Cluster funktioniert nicht richtig, wenn die Knoten unterschiedliche Firmware-Versionen verwenden.
    Wichtig:Die Botschaft Could not determine ingest status on some nodes und Error erscheinen auf der Seite Cluster-Datenmanagement in den Verwaltungseinstellungen der aktualisierten Knoten, bis alle Knoten im Cluster aktualisiert sind. Diese Fehler werden erwartet und können ignoriert werden.
  • Sie müssen die Aufnahme von Datensätzen und die Neuzuweisung von Shards von der Cluster-Datenmanagement Seite, nachdem alle Knoten im Recordstore-Cluster aktualisiert wurden.
Packetstore-Upgrades
  • Aktualisieren Sie Packetstores nicht auf eine Firmware-Version, die neuer ist als die Version, die auf verbundenen Konsolen installiert ist, und Sensoren.
Aktualisieren Sie die Firmware auf einer Konsole und einem Sensor
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Einstellungen der Appliance Abschnitt, klicken Firmware.
  3. Aus dem Verfügbare Firmware Wählen Sie in der Dropdownliste die Firmware-Version aus, die Sie installieren möchten. Die empfohlene Version ist standardmäßig ausgewählt.
    Hinweis:Für Sensoren enthält die Liste nur Firmware-Versionen, die mit der Version kompatibel sind, die auf der angeschlossenen Konsole ausgeführt wird.
  4. klicken Downloaden und installieren.
Nach der erfolgreichen Installation des Firmware-Upgrades wird die ExtraHop-Appliance neu gestartet.
Aktualisieren Sie die Firmware in Plattenläden
  1. Laden Sie die Firmware für die Appliance von der ExtraHop Kundenportal auf deinen Computer.
  2. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  3. klicken Cluster-Datenmanagement.
  4. klicken Record Ingest deaktivieren.
  5. klicken Admin um zur Hauptverwaltungsseite zurückzukehren.
  6. klicken Firmware.
  7. klicken Aufrüsten.
  8. Wählen Sie auf der Seite Firmware aktualisieren eine der folgenden Optionen aus:
    • Um Firmware aus einer Datei hochzuladen, klicken Sie auf Wählen Sie Datei, navigiere zum .tar Datei, die Sie hochladen möchten, und klicken Sie Offen.
    • Um Firmware von einer URL hochzuladen, klicken Sie auf von URL abrufen stattdessen und geben Sie dann die URL in das Firmware-URL Feld.
  9. klicken Aufrüsten.
    Das ExtraHop-System initiiert das Firmware-Upgrade. Sie können den Fortschritt des Upgrades mit dem Aktualisierung Fortschrittsbalken. Die Appliance wird nach der Installation der Firmware neu gestartet.
  10. Wiederholen Sie die Schritte 6-9 auf allen verbleibenden Recordstore-Clusterknoten.

Nächste Maßnahme

Nachdem alle Knoten im Recordstore-Cluster aktualisiert wurden, aktivieren Sie die Datensatzaufnahme und die Shard-Neuzuweisung auf dem Cluster erneut. Sie müssen diese Schritte nur auf einem Datensatzspeicherknoten ausführen.
  1. Klicken Sie im Abschnitt Clustereinstellungen erkunden auf Cluster-Datenmanagement.
  2. klicken Record Ingest aktivieren.
  3. klicken Shard-Neuzuweisung aktivieren.
Aktualisieren Sie die Firmware in Packetstores
  1. Laden Sie die Firmware für die Appliance von der ExtraHop Kundenportal auf deinen Computer.
  2. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  3. klicken Aufrüsten.
  4. Wählen Sie auf der Seite Firmware aktualisieren eine der folgenden Optionen aus:
    • Um Firmware aus einer Datei hochzuladen, klicken Sie auf Wählen Sie Datei, navigiere zum .tar Datei, die Sie hochladen möchten, und klicken Sie Offen.
    • Um Firmware von einer URL hochzuladen, klicken Sie auf von URL abrufen stattdessen und geben Sie dann die URL in das Firmware-URL Feld.
  5. Optional: Wenn Sie das Gerät nach der Installation der Firmware nicht automatisch neu starten möchten, löschen Sie das Gerät nach der Installation automatisch neu starten Checkbox.
  6. klicken Aufrüsten.
    Das ExtraHop-System initiiert das Firmware-Upgrade. Sie können den Fortschritt des Upgrades mit dem Aktualisierung Fortschrittsbalken. Die Appliance wird nach der Installation der Firmware neu gestartet.
  7. Wenn Sie sich nicht dafür entschieden haben, die Appliance automatisch neu zu starten, klicken Sie auf Neustarten um das System neu zu starten.
    Nachdem das Firmware-Update erfolgreich installiert wurde, zeigt die ExtraHop-Appliance die Versionsnummer der neuen Firmware in den Administrationseinstellungen an.
Rüsten Sie angeschlossene Sensoren in Reveal (x) 360 auf

Administratoren können ein Upgrade durchführen Sensoren die mit Reveal (x) 360 verbunden sind.

Before you begin

  • Ihr Benutzerkonto muss über Rechte auf Reveal (x) 360 für System- und Zugriffsadministration oder Systemadministration verfügen.
Hier sind einige Überlegungen zur Aufrüstung von Sensoren:
  • Die Sensoren müssen mit den ExtraHop Cloud Services verbunden sein
  • Benachrichtigungen werden angezeigt, wenn eine neue Firmware-Version verfügbar ist
  • Sie können mehrere aktualisieren Sensoren zur gleichen Zeit
  1. Loggen Sie sich bei Reveal (x) 360 ein.
  2. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Sensorik.
    Sensoren, die für ein Upgrade in Frage kommen, zeigen einen Aufwärtspfeil in der Sensorversion Feld.
  3. Wählen Sie das Kontrollkästchen neben jedem Sensor die Sie aktualisieren möchten.
  4. In der Einzelheiten zum Sensor Bereich, wählen Sie die Firmware-Version aus dem Verfügbare Firmware Drop-down-Liste.

    In der Dropdownliste werden nur Versionen angezeigt, die mit den ausgewählten Versionen kompatibel sind Sensoren.

    Nur die ausgewählten Sensoren für die ein Firmware-Upgrade verfügbar ist, erscheinen im Fühler Bereich „Details".

  5. klicken Firmware installieren.

    Wenn das Upgrade abgeschlossen ist, Sensorversion Feld wurde mit der neuen Firmware-Version aktualisiert.

Systemzeit

Auf der Seite Systemzeit werden die aktuellen Zeiteinstellungen angezeigt, die für Ihr ExtraHop-System konfiguriert sind. Zeigen Sie die aktuellen Systemzeiteinstellungen, die Standardanzeigezeit für Benutzer und Details für konfigurierte NTP-Server an.

Die Systemzeit ist die Uhrzeit und das Datum, die von Diensten erfasst werden, die auf dem ExtraHop-System ausgeführt werden, um genaue Zeitberechnungen zu gewährleisten. Standardmäßig ist die Systemzeit auf dem Sensor oder der Konsole lokal konfiguriert. Für eine bessere Genauigkeit empfehlen wir, die Systemzeit über einen NTP-Zeitserver zu konfigurieren.

Bei der Datenerfassung muss die Systemzeit mit der Uhrzeit der angeschlossenen Sensoren übereinstimmen, um sicherzustellen , dass die Zeitstempel in geplanten Dashboard-Berichten, exportierten Dashboards und Diagrammmetriken korrekt und vollständig sind. Wenn Probleme mit der Zeitsynchronisierung auftreten, überprüfen Sie, ob die konfigurierte Systemzeit, externe Zeitserver oder NTP-Server korrekt sind. Setzen Sie die Systemzeit zurück oder NTP-Server synchronisieren wenn nötig

Die folgende Tabelle enthält Details zur aktuellen Systemzeitkonfiguration. klicken Zeit konfigurieren zu Systemzeiteinstellungen konfigurieren.

Detail Beschreibung
Zeitzone Zeigt die aktuell ausgewählte Zeitzone an.
Systemzeit Zeigt die aktuelle Systemzeit an.
Zeitserver Zeigt eine kommagetrennte Liste der konfigurierten Zeitserver an.

Standardanzeigezeit für Benutzer

Im Abschnitt Standardanzeigezeit für Benutzer wird die Uhrzeit angezeigt, die allen Benutzern im ExtraHop-System angezeigt wird, sofern ein Benutzer nicht manuell ändert ihre angezeigte Zeitzone.

Um die Standardanzeigezeit zu ändern, wählen Sie eine der folgenden Optionen aus, und klicken Sie dann auf Änderungen speichern:

  • Browserzeit
  • Systemzeit
  • UTC

NTP-Status

In der NTP-Statustabelle werden die aktuelle Konfiguration und der Status aller NTP-Server angezeigt, die die Systemuhr synchron halten. Die folgende Tabelle enthält Details zu jedem konfigurierten NTP-Server. klicken Jetzt synchronisieren um die aktuelle Systemzeit mit einem Remote-Server zu synchronisieren.

Fernbedienung Der Hostname oder die IP-Adresse des Remote-NTP-Servers, mit dem Sie die Synchronisierung konfiguriert haben.
st Die Schichtstufe, 0 bis 16.
t Die Art der Verbindung. Dieser Wert kann sein u für Unicast oder Manycast, b für Broadcast oder Multicast, l für die lokale Referenzuhr, s für symmetrischen Peer, A für einen Manycast-Server, B für einen Broadcast-Server oder M für einen Multicast-Server.
wenn Das letzte Mal, als der Server nach der Uhrzeit abgefragt wurde. Der Standardwert ist Sekunden oder m wird minutenlang angezeigt, h stundenlang und d tagelang.
Umfrage Wie oft der Server nach der Uhrzeit abgefragt wird, mit einem Minimum von 16 Sekunden bis einem Maximum von 36 Stunden.
erreichen Wert, der die Erfolgs- und Ausfallrate der Kommunikation mit dem Remoteserver Server. Erfolg bedeutet, dass das Bit gesetzt ist, Fehler bedeutet, dass das Bit nicht gesetzt ist. 377 ist der höchste Wert.
Verzögerung Die Roundtrip-Zeit (RTT) der ExtraHop-Appliance, die mit dem Remoteserver kommuniziert, in Millisekunden.
Offset Gibt an, wie weit die Uhr der ExtraHop-Appliance von der vom Server gemeldeten Uhrzeit entfernt ist. Der Wert kann positiv oder negativ sein und in Millisekunden angezeigt werden.
Jitter Gibt den Unterschied in Millisekunden zwischen zwei Stichproben an.

Systemzeit konfigurieren

Standardmäßig synchronisiert das ExtraHop-System die Systemzeit über die NTP-Server (Netzwerk Time Protokoll ) *.extrahop.pool.ntp.org. Wenn Ihre Netzwerkumgebung verhindert, dass das ExtraHop-System mit diesen Zeitservern kommuniziert, müssen Sie eine alternative Zeitserverquelle konfigurieren.

Before you begin

Wichtig:Konfigurieren Sie immer mehr als einen NTP-Server , um die Genauigkeit und Zuverlässigkeit der auf dem System gespeicherten Zeit zu erhöhen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Einstellungen der Appliance Abschnitt, klicken Systemzeit.
  3. klicken Zeit konfigurieren.
  4. Wählen Sie Ihre Zeitzone aus der Drop-down-Liste aus und klicken Sie dann auf Speichern und fortfahren.
  5. Auf dem Zeit-Setup Seite, wählen Sie eine der folgenden Optionen:
    • Zeit manuell einstellen
      Hinweis:Sie können die Uhrzeit für Sensoren, die von einer Konsole oder Reveal (x) 360 verwaltet werden, nicht manuell einstellen.
    • Zeit mit NTP-Server einstellen
  6. Wählen Zeit mit NTP-Server einstellen und dann klicken Wählen.
    Die ExtraHop-Zeitserver, 0.extrahop.pool.ntp.org, 1. extrahop.pool.ntp.org, 2. extrahop.pool.ntp.org, und 3. extrahop.pool.ntp.org erscheinen in den ersten vier Zeitserver standardmäßig Felder.
  7. Geben Sie die IP-Adresse oder den vollqualifizierten Domänenname (FQDN) für die Zeitserver in der Zeitserver Felder. Sie können bis zu neun Zeitserver haben.
    Hinweis:Nachdem Sie den fünften Zeitserver hinzugefügt haben, klicken Sie auf Server hinzufügen um bis zu vier zusätzliche Timer-Serverfelder anzuzeigen.
  8. klicken Erledigt.

Die NTP-Status Die Tabelle zeigt eine Liste von NTP-Servern, die die Systemuhr synchron halten. Um die aktuelle Systemzeit eines Remoteservers zu synchronisieren, klicken Sie auf Jetzt synchronisieren knopf.

Herunterfahren oder Neustarten

Die Administrationseinstellungen bieten eine Schnittstelle zum Anhalten, Herunterfahren und Neustarten des ExtraHop-Systems und seiner Systemkomponenten. Für jede ExtraHop-Systemkomponente enthält die Tabelle einen Zeitstempel , der die Startzeit anzeigt.

  • Starten Sie das System neu oder fahren Sie es herunter, um das ExtraHop-System anzuhalten oder herunterzufahren und neu zu starten.
  • Starten Sie den Bridge-Status neu (nur Sensor), um die ExtraHop-Bridge-Komponente neu zu starten.
  • Starten Sie Capture neu (nur Sensor), um die ExtraHop-Erfassungskomponente neu zu starten.
  • Starten Sie den Portalstatus neu, um das ExtraHop-Webportal neu zu starten.
  • Starten Sie die Dashboard-Berichte neu (nur Konsole), um die Komponente für geplante Dashboard-Berichte von ExtraHop neu zu starten.

Sensormigration

Sie können Ihre gespeicherten Metriken, Anpassungen und Systemressourcen auf Ihren vorhandenen physischen ExtraHop migrieren Sensor zu einem neuen Sensor.

Hilfe auf dieser Seite

Migrieren Sie einen ExtraHop-Sensor

Wenn Sie bereit sind, Ihr bestehendes zu aktualisieren Sensor, können Sie problemlos auf neue Hardware migrieren, ohne geschäftskritische Kennzahlen und zeitaufwändige Systemkonfigurationen zu verlieren.

Die folgenden Anpassungen und Ressourcen werden nicht gespeichert, wenn Sie ein Backup erstellen oder zu einem neuen Ziel migrieren.
  • Lizenzinformationen für das System. Wenn Sie Einstellungen auf einem neuen Ziel wiederherstellen, müssen Sie das neue Ziel manuell lizenzieren.
  • Präzise Paketerfassung. Sie können gespeicherte Paketerfassungen manuell herunterladen, indem Sie die Schritte unter Paketerfassungen anzeigen und herunterladen.
  • Bei der Wiederherstellung einer ECA VM-Konsole, die über eine Tunnelverbindung von einem Sensor, der Tunnel muss neu eingerichtet werden, nachdem die Wiederherstellung abgeschlossen ist und alle Anpassungen an der Konsole dafür vorgenommen wurden Sensor muss manuell neu erstellt werden.
  • Vom Benutzer hochgeladene SSL-Schlüssel für die Entschlüsselung des Datenverkehrs.
  • Sichere Keystore-Daten, die Passwörter enthalten. Wenn Sie eine Sicherungsdatei auf demselben Ziel wiederherstellen, auf dem die Sicherung erstellt wurde, und der Keystore intakt ist, müssen Sie die Anmeldedaten nicht erneut eingeben. Wenn Sie jedoch eine Sicherungsdatei auf einem neuen Ziel wiederherstellen oder auf ein neues Ziel migrieren, müssen Sie die folgenden Anmeldedaten erneut eingeben:
    • Alle SNMP-Community-Zeichenfolgen, die für die SNMP-Abfrage von Flow-Netzwerken bereitgestellt werden.
    • Jedes Bind-Passwort, das für die Verbindung mit LDAP zur Fernauthentifizierung bereitgestellt wird.
    • Jedes Passwort, das für die Verbindung zu einem SMTP-Server bereitgestellt wird, für den eine SMTP-Authentifizierung erforderlich ist.
    • Jedes Passwort, das für die Verbindung zu einem externen Datenspeicher angegeben wird.
    • Jedes Passwort, das für den Zugriff auf externe Ressourcen über den konfigurierten globalen Proxy bereitgestellt wird.
    • Jedes Passwort, das für den Zugriff auf ExtraHop Cloud Services über den konfigurierten ExtraHop-Cloud-Proxy bereitgestellt wird.
    • Alle Authentifizierungsdaten oder Schlüssel, die zur Konfiguration von Open Data Stream-Zielen bereitgestellt werden.
Bevor du anfängst
Wichtig:Wenn der Quellsensor über einen externen Datenspeicher verfügt und der Datenspeicher auf einem CIFS/SMB-Server konfiguriert ist, der eine Passwortauthentifizierung erfordert, wenden Sie sich an den ExtraHop-Support, um Sie bei der Migration zu unterstützen.
  • Quelle und Ziel Sensoren muss dieselbe Firmware-Version ausführen.
  • Nur zur gleichen Edition migrieren Sensoren, wie Reveal (x). Wenn Sie zwischen den Editionen migrieren müssen, wenden Sie sich an Ihr ExtraHop-Vertriebsteam, um Unterstützung zu erhalten.
  • Die Migration wird nur zwischen physischen Geräten unterstützt Sensoren. Virtuell Sensor Migrationen werden nicht unterstützt.
  • Die unterstützten Migrationspfade sind in den folgenden Tabellen aufgeführt.
Tabelle 3. Reveal (x) -Kompatibilitätsmatrix
Quelle Ziel
  VON 120 VON 620 VON 820 VON 920 VON 1020
VON 120 JA JA JA JA JA
VON 620 NEIN JA* JA JA JA
VON 820 NEIN NEIN JA* JA* JA
VON 920 NEIN NEIN NEIN JA* JA
VON 1020 NEIN NEIN NEIN NEIN JA*

*Migration wird nur unterstützt, wenn Quelle und Ziel Sensor wurden im Mai 2019 oder später hergestellt. Wenden Sie sich an den ExtraHop-Support, um die Kompatibilität zu überprüfen.

Tabelle 4. Kompatibilitätsmatrix für die Performance Edition
Quelle Ziel
  VON 620 VON 820 VON 920 VON 1020
EH3000 JA JA JA JA
EH6000 JA JA JA JA
EH8000 NEIN JA JA JA
VON 100 JA JA JA JA
VON 310 JA JA JA JA
VON 610 JA JA JA JA
VON 810 NEIN JA JA JA
VON 910 NEIN NEIN JA JA
VON 620 JA* JA JA JA
VON 820 NEIN JA* JA* JA
VON 920 NEIN NEIN JA* JA
VON 1020 NEIN NEIN NEIN JA*

* Migration wird nur unterstützt, wenn Quelle und Ziel Sensor wurden im Mai 2019 oder später hergestellt. Wenden Sie sich an den ExtraHop-Support, um die Kompatibilität zu überprüfen.

Bereiten Sie die Quelle- und Zielsensoren vor
  1. Folgen Sie den Anweisungen in der Leitfaden zur Bereitstellung damit Ihr Sensormodell den Zielsensor einsetzen kann.
  2. Registriere dich der Zielsensor.
  3. Stellen Sie sicher, dass das Ziel und die Quelle Sensor verwenden genau dieselbe Firmware-Version. Sie können aktuelle und vorherige Firmware von der ExtraHop Kundenportal.
  4. Wählen Sie eine der folgenden Netzwerkmethoden, um zum Ziel zu migrieren Sensor.
    • (Empfohlen) Um die Migration so schnell wie möglich abzuschließen, verbinden Sie die Sensoren direkt mit 10G-Managementschnittstellen.
    • Erstellen Sie eine Bond-Schnittstelle (optional) der verfügbaren 1G-Managementschnittstellen. Verbinden Sie mit den entsprechenden Netzwerkkabeln den oder die verfügbaren Anschlüsse am Quellsensor direkt mit ähnlichen Anschlüssen am Zielsensor. Die folgende Abbildung zeigt eine Beispielkonfiguration mit gebündelten 1G-Schnittstellen.

      Wichtig:Stellen Sie sicher, dass Ihre IP-Adresse und Subnetzkonfiguration auf beiden Sensoren den Verwaltungsdatenverkehr an Ihre Management-Workstation und den Migrationsverkehr an den Direktlink weiterleiten.
    • Migrieren Sie den Sensor über Ihr bestehendes Netzwerk. Die Quelle- und Zielsensoren müssen in der Lage sein, über Ihr Netzwerk miteinander zu kommunizieren. Beachten Sie , dass die Migration mit dieser Konfiguration erheblich länger dauern kann.
Erstellen Sie eine Bond-Schnittstelle (optional)

Folgen Sie den nachstehenden Anweisungen, um 1G-Schnittstellen zu verbinden. Durch die Erstellung einer Bond-Schnittstelle wird der Zeitaufwand für den Abschluss der Migration über 1G-Schnittstellen verringert.

  1. Im Bereich Netzwerkeinstellungen auf der Quelle Sensor, klicken Konnektivität.
  2. Klicken Sie im Abschnitt Bond-Interface-Einstellungen auf Bond-Schnittstelle erstellen.
  3. Wählen Sie im Bereich Mitglieder die Mitglieder der Bond-Schnittstelle aus, abhängig von Sensor Typ. Nehmen Sie die aktuelle Verwaltungsschnittstelle, normalerweise Schnittstelle 1 oder Schnittstelle 3, nicht in die Bond-Schnittstelle auf.
  4. Wählen Sie in der Dropdownliste Einstellungen übernehmen von eines der Mitglieder der neuen Bond-Schnittstelle aus.
  5. Wählen Sie als Anleihentyp Statisch.
  6. klicken Erstellen.
  7. Klicken Sie auf der Seite Konnektivität im Abschnitt Bond Interfaces auf Bond-Schnittstelle 1.
  8. Wählen Sie im Drop-down-Menü Schnittstellenmodus die Option Verwaltung.
  9. Geben Sie die IPv4-Adresse, die Netzmaske und das Gateway für Ihr Migrationsnetzwerk Netzwerk.
  10. klicken Speichern.
  11. Wiederholen Sie diesen Vorgang am Ziel Sensor.
Starten Sie die Migration

Der Abschluss der Migration kann mehrere Stunden dauern. Während dieser Zeit weder die Quelle noch das Ziel Sensor kann Daten sammeln. Der Migrationsprozess kann nicht angehalten oder abgebrochen werden.

  1. Loggen Sie sich in die Administrationseinstellungen der Quelle ein Sensor.
  2. In der Netzwerkeinstellungen Abschnitt, klicken Sie Konnektivität.
  3. Notieren Sie sich die IP-Adresse der Verwaltungsschnittstelle, der DNS-Server und aller statischen Routen. Sie werden diese Einstellungen auf dem Ziel konfigurieren, nachdem die Migration abgeschlossen ist.
  4. Klicken Sie im Abschnitt Geräteeinstellungen auf Appliance-Migration.
  5. In der Ziel-Appliance Feld, geben Sie die IP-Adresse der Schnittstelle ein, die Sie für die Migration auf dem Ziel konfiguriert haben.
  6. In der Benutzerpasswort einrichten Feld, geben Sie das Passwort des Setup-Benutzers auf dem Ziel ein. Das Standardkennwort ist die Systemseriennummer des Zielsensors.
  7. klicken Weiter.
  8. Stellen Sie auf der Seite „Fingerabdruck bestätigen" sicher, dass der Fingerabdruck, der auf dieser Seite angezeigt wird, genau mit dem Fingerabdruck übereinstimmt, der auf der Seite Fingerabdruck in den Verwaltungseinstellungen des Ziels angezeigt wird. Wenn die Fingerabdrücke nicht übereinstimmen, stellen Sie sicher, dass Sie den richtigen Hostnamen oder die richtige IP-Adresse des Ziels angegeben haben , die Sie in Schritt 5 eingegeben haben.
  9. klicken Migration starten.
    Warten Sie, bis die Erfolgsmeldung der Migration angezeigt wird. Dies kann mehrere Stunden dauern. Während der Migration ist auf das ExtraHop-System auf dem Ziel nicht zugegriffen werden kann. Wenn Sie versehentlich die Seite Appliance-Migrationsstatus auf der Quelle schließen, können Sie zurückkehren zu https://<source hostname>/admin/appliance_migration_status/ um die Migration weiter zu überwachen.

    Wenn die Migration aus irgendeinem Grund fehlschlägt, starten Sie die Migration neu. Wenn die Migration weiterhin fehlschlägt, wenden Sie sich an den ExtraHop-Support, um Unterstützung zu erhalten.

    Hinweis:Das Ziel wird nach Abschluss der Migration automatisch neu gestartet.
  10. klicken Herunterfahren um die Quelle auszuschalten.
    Wichtig:Um Sensor-ID-Konflikte zu vermeiden, schalten Sie den Quellsensor nicht ein, solange er mit demselben Netzwerk verbunden ist, in dem sich der Zielsensor befindet, es sei denn, Sie setzen den Sensor über das ExtraHop Rescue Media zurück.
Den Zielsensor konfigurieren

Wenn Sensor Das Netzwerk ist nicht über DHCP konfiguriert. Stellen Sie sicher, dass die Konnektivitätseinstellungen aktualisiert sind, einschließlich aller zugewiesenen IP-Adressen, DNS-Server und statischen Routen. Verbindungen zu ExtraHop Konsolen, Plattenläden und Packetstores auf der Quelle Sensor werden automatisch auf dem Ziel eingerichtet Sensor wenn die Netzwerkeinstellungen konfiguriert sind.

  1. Melden Sie sich bei den Administrationseinstellungen auf dem Ziel an Sensor.
  2. In der Netzwerkeinstellungen Abschnitt, klicken Sie Konnektivität.
  3. Klicken Sie im Abschnitt Schnittstellen auf die Verwaltungsschnittstelle (normalerweise Schnittstelle 1 oder Schnittstelle 3, je nach Sensor Modell).
  4. Geben Sie die IP-Adresse der Quelle ein Sensor im Feld IPv4-Adresse.
  5. Wenn statische Routen auf der Quelle konfiguriert wurden Sensor, klicken Routen bearbeiten, fügen Sie alle erforderlichen Routeninformationen hinzu, und klicken Sie dann auf Speichern.
  6. klicken Speichern um die Schnittstelleneinstellungen zu speichern.
  7. Wenn Sie Schnittstelleneinstellungen ändern mussten, um die Migration mit gebündelten Schnittstellen durchzuführen, stellen Sie sicher, dass die Schnittstellenmodi erwartungsgemäß konfiguriert sind.
  8. Stellen Sie alle zusätzlichen Einstellungen wieder her, die werden nicht automatisch wiederhergestellt.

Lizenz

Auf der Seite Lizenzverwaltung können Sie Lizenzen für Ihr ExtraHop-System einsehen und verwalten. Sie benötigen eine aktive Lizenz, um auf das ExtraHop-System zugreifen zu können, und Ihr System muss in der Lage sein, eine Verbindung zum ExtraHop-Lizenzserver herzustellen, um regelmäßige Updates und Check-ins über Ihren Lizenzstatus zu erhalten.

Weitere Informationen zu ExtraHop-Lizenzen finden Sie in der Häufig gestellte Fragen zur Lizenz.

Registrieren Sie Ihr ExtraHop-System

Dieses Handbuch enthält Anweisungen zum Anwenden eines neuen Produktschlüssels und zur Aktivierung aller von Ihnen gekauften Module. Sie müssen über Rechte auf dem ExtraHop-System verfügen, um auf die Administrationseinstellungen zugreifen zu können.

Registrieren Sie das Gerät

Before you begin

Hinweis:Wenn Sie einen Sensor oder eine Konsole registrieren, können Sie optional den Produktschlüssel eingeben, nachdem Sie die EULA akzeptiert und sich beim ExtraHop-System angemeldet haben ( https://<extrahop_ip_address>/).
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Lesen Sie die Lizenzvereinbarung, wählen Sie Ich stimme zu, und klicken Sie dann Einreichen.
  3. Geben Sie auf dem Anmeldebildschirm Folgendes ein Einrichten für den Benutzernamen.
  4. Wählen Sie für das Passwort eine der folgenden Optionen aus:
    • Geben Sie bei 1U- und 2U-Appliances die Seriennummer ein, die auf dem Etikett auf der Rückseite der Appliance aufgedruckt ist. Die Seriennummer finden Sie auch auf dem LCD-Display an der Vorderseite des Geräts in der Info Abschnitt.
    • Geben Sie für den EDA 1100 die Seriennummer ein, die im Appliance info Abschnitt des LCD-Menüs. Die Seriennummer ist auch auf der Unterseite des Geräts aufgedruckt.
    • Geben Sie für den EDA 1200 die Seriennummer ein, die auf der Rückseite des Geräts aufgedruckt ist.
    • Geben Sie für eine virtuelle Appliance in AWS die Instanz-ID ein. Dabei handelt es sich um die Zeichenfolge, die auf i- folgt (aber nicht auf i- selbst).
    • Geben Sie für eine virtuelle Appliance in GCP die Instanz-ID ein.
    • Geben Sie für alle anderen virtuellen Appliances Folgendes ein Standard.
  5. klicken Loggen Sie sich ein.
  6. In der Einstellungen der Appliance Abschnitt, klicken Lizenz.
  7. klicken Lizenz verwalten.
  8. Wenn Sie einen Produktschlüssel haben, klicken Sie auf Registrieren und geben Sie Ihren Produktschlüssel in das Feld ein.
    Hinweis:Wenn Sie eine Lizenzdatei vom ExtraHop Support erhalten haben, klicken Sie auf Lizenz verwalten, klicken Aktualisiere, fügen Sie dann den Inhalt der Datei in das Lizenz eingeben Feld. klicken Aktualisiere.
  9. klicken Registrieren.

Nächste Maßnahme

Haben Sie weitere Fragen zu ExtraHop Licensing Works? Sehen Sie die Häufig gestellte Fragen zur Lizenz.
Problembehandlung bei der Lizenzserverkonnektivität

Bei ExtraHop-Systemen, die für die Verbindung mit ExtraHop Cloud Services lizenziert und konfiguriert sind, erfolgt die Registrierung und Überprüfung über eine HTTPS-Anfrage an ExtraHop Cloud Services.

Wenn Ihr ExtraHop-System nicht oder noch nicht für ExtraHop Cloud Services lizenziert ist, versucht das System, das System über eine DNS-TXT-Anfrage für zu registrieren regions.hopcloud.extrahop.com und eine HTTPS-Anfrage an alle ExtraHop Cloud Services-Regionen. Wenn diese Anfrage fehlschlägt, versucht das System, über DNS-Serverport 53 eine Verbindung zum ExtraHop-Lizenzserver herzustellen. Das folgende Verfahren ist nützlich, um zu überprüfen, ob das ExtraHop-System über DNS mit dem Lizenzserver kommunizieren kann.

Öffnen Sie eine Terminalanwendung auf Ihrem Windows-, Linux- oder macOS-Client, der sich im selben Netzwerk wie Ihr ExtraHop-System befindet, und führen Sie den folgenden Befehl aus:
nslookup -type=NS d.extrahop.com
Wenn die Namensauflösung erfolgreich ist, wird eine Ausgabe ähnlich der folgenden angezeigt:
Non-authoritative answer:
d.extrahop.com  nameserver = ns0.use.d.extrahop.com.
d.extrahop.com  nameserver = ns0.usw.d.extrahop.com.
Wenn die Namensauflösung nicht erfolgreich ist, stellen Sie sicher, dass Ihr DNS-Server richtig konfiguriert ist, um nach
extrahop.com domäne.

Wenden Sie eine aktualisierte Lizenz an

Wenn Sie ein neues Protokollmodul, einen neuen Dienst oder eine neue Funktion erwerben, ist die aktualisierte Lizenz automatisch auf dem ExtraHop-System verfügbar. Sie müssen die aktualisierte Lizenz jedoch über die Administrationseinstellungen auf das System anwenden, damit die neuen Änderungen wirksam werden.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Appliance-Einstellungen auf Lizenz. Es wird eine Meldung über die Verfügbarkeit Ihrer neuen Lizenz angezeigt, wie in der folgenden Abbildung dargestellt.


  3. klicken Neue Lizenz beantragen. Der Aufnahmevorgang wird neu gestartet, was einige Minuten dauern kann.
    Hinweis:Wenn Ihre Lizenz nicht automatisch aktualisiert wird, Problembehandlung bei der Lizenzserverkonnektivität oder wenden Sie sich an den ExtraHop Support.

Eine Lizenz aktualisieren

Wenn ExtraHop Support Ihnen eine Lizenzdatei zur Verfügung stellt, können Sie diese Datei auf Ihrem Gerät installieren, um die Lizenz zu aktualisieren.

Hinweis:Wenn Sie den Produktschlüssel für Ihr Gerät aktualisieren möchten, müssen Sie registrieren Sie Ihr ExtraHop-System.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Einstellungen der Appliance Abschnitt, klicken Lizenz.
  3. klicken Lizenz verwalten.
  4. klicken Aktualisiere.
  5. In der Lizenz eingeben Textfeld, geben Sie die Lizenzinformationen für das Modul ein.
    Fügen Sie den Lizenztext ein, den Sie vom ExtraHop Support erhalten haben. Stellen Sie sicher, dass Sie den gesamten Text angeben, einschließlich des BEGIN und END Linien, wie im Beispiel unten gezeigt:
    -----BEGIN EXTRAHOP LICENSE-----
    serial=ABC123D;
    dossier=1234567890abcdef1234567890abcdef;
    mod_cifs=1;
    mod_nfs=1;
    mod_amf=0;
    live_capture=1;
    capture_upload=1;
    ...
    ssl_decryption=0;
    +++;
    ABCabcDE/FGHIjklm12nopqrstuvwXYZAB12345678abcde901abCD;
    12ABCDEFG1HIJklmnOP+1aA=;
    =abcd;
    -----END EXTRAHOP LICENSE-----
  6. klicken Aktualisiere.

Festplatten

Auf der Seite Festplatten wird eine Übersicht der Laufwerke im ExtraHop-System und deren Status angezeigt. Anhand dieser Informationen können Sie feststellen, ob Laufwerke installiert oder ausgetauscht werden müssen. Automatische Systemintegritätsprüfungen und E-Mail-Benachrichtigungen (falls aktiviert) können rechtzeitig darauf hinweisen, dass sich eine Festplatte in einem heruntergestuften Zustand befindet. Bei Systemintegritätsprüfungen werden Festplattenfehler oben auf der Einstellungsseite angezeigt.

Selbstverschlüsselnde Festplatten (SEDs)

Für Sensoren, die selbstverschlüsselnde Festplatten (SEDs) enthalten, ist Hardware Disk Encryption Status kann gesetzt werden auf Disabled oder Enabled. Dieser Status ist gesetzt auf Unsupported für Sensoren, die keine SEDs enthalten.

Diese Sensoren unterstützen SEDs:

  • VON 930
  • VON 1030
  • Intrusion Detection System 9380

Hinweise zur Konfiguration von SEDs finden Sie unter Selbstverschlüsselnde Festplatten konfigurieren.

ÜBERFALL

Für Informationen zur Konfiguration und Reparatur der RAID10-Funktionalität auf dem EDA 6200 Sensoren, siehe Upgrade von RAID 0 auf RAID 10.

Hilfe beim Austauschen einer RAID 0-Festplatte oder beim Installieren eines SSD-Laufwerks finden Sie in den folgenden Anweisungen. Die RAID 0-Anweisungen gelten für die folgenden Festplattentypen:

  • Datenspeicher
  • Paketerfassung
  • Firmware

Versuchen Sie nicht, das Laufwerk in Steckplatz 0 zu installieren oder auszutauschen, es sei denn, Sie werden vom ExtraHop-Support dazu aufgefordert.

Hinweis:Stellen Sie sicher, dass Ihr Gerät über einen RAID-Controller verfügt, bevor Sie das folgende Verfahren ausführen. Wenn Sie sich nicht sicher sind, kontaktieren Sie ExtraHop-Unterstützung. Eine dauerhaft beschädigte Festplatte kann mit diesem Verfahren möglicherweise nicht ausgetauscht werden.

Ersetzen Sie eine RAID 0-Festplatte

  1. Notieren Sie sich in der E-Mail-Benachrichtigung zur Systemintegrität, welcher Computer die problematische Festplatte hat.
  2. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  3. Klicken Sie im Abschnitt Appliance-Einstellungen auf Festplatten.
  4. Unter dem Abschnitt für den Festplattentyp (zum Beispiel Datenspeicher), suchen Sie die problematische Festplatte und notieren Sie sich die Steckplatznummer.
    klicken Details zur RAID-Festplatte um mehr Details anzuzeigen.
    Wichtig:Behalten Sie die ausgefallene Festplatte, bis die Daten erfolgreich auf die neue Festplatte kopiert wurden.
  5. Legen Sie eine identische Festplatte in einen verfügbaren Steckplatz ein.
    Das System erkennt die neue Festplatte und fügt eine neue Zeile (Disk Error Action) mit einem Link zum Ersetzen der defekten Festplatte hinzu.
  6. Überprüfen Sie die neuen Festplatteninformationen:
    • Unter Unbenutzte Festplatten Vergewissern Sie sich auf der Seite mit den Festplattendetails, dass die neue Festplatte dieselbe Größe, Geschwindigkeit und denselben Typ hat wie die Festplatte, die ersetzt wird.
    • Bewegen Sie den Mauszeiger über die alten und neuen Festplatten in der Drive Map. Auf der neuen Festplatte wird die Meldung angezeigt"Unconfigured(good), Spun Up."

  7. Klicken Sie unter dem Abschnitt für den Festplattentyp auf Durch Festplatte im Steckplatz #n ersetzen in der Aktion „Festplattenfehler" Reihe.

    Die Daten beginnen zu kopieren. In der Zeile „Kopierstatus" wird der Fortschritt angezeigt. Wenn Sie in der Drive Map mit der Maus über die Festplatte fahren, wird der Status angezeigt.

  8. Stellen Sie nach Abschluss des Kopiervorgangs sicher, dass der Kopiervorgang erfolgreich war:
    • Einstellungen Auf der Schaltfläche und auf der Einstellungsseite werden keine Fehlermeldungen mehr angezeigt.
    • Auf der Festplattenseite wird die alte Festplatte im Abschnitt Unbenutzte Festplatte angezeigt
  9. Entfernen Sie die alte Festplatte.

    In der Drive Map wird die neue Festplatte jetzt grün angezeigt.

Installieren Sie eine neue Paketerfassungsdiskette

  1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
    Wenn in der Laufwerksübersicht der Steckplatz, in dem die SSD installiert ist, rot angezeigt wird, müssen Sie die SSD austauschen.
  2. Stecken Sie das SSD-Laufwerk in den Steckplatz, in dem die vorherige SSD installiert war, und warten Sie, bis die LED am Laufwerk grün leuchtet.
  3. Aktualisieren Sie in den Administrationseinstellungen den Browser.

    In der Laufwerksübersicht wird der SSD-Steckplatz gelb angezeigt, da das Laufwerk nicht konfiguriert ist.

  4. Neben SSD-gestützte Paketerfassung, klicken Aktivieren.
  5. klicken OK um das Paketerfassungslaufwerk hinzuzufügen.

    Die Seite wird aktualisiert und die Drive Map zeigt die SSD grün an und der Status ändert sich zu Online, Spun Up.



Hinweis:Wenn das SSD-Laufwerk entfernt und wieder eingesetzt wird, können Sie es erneut aktivieren. Dieser Vorgang erfordert eine Neuformatierung der Festplatte, wodurch alle Daten gelöscht werden.

Spitzname der Konsole

Standardmäßig ist Ihr ExtraHop Konsole wird auf angeschlossenen Sensoren anhand seines Hostnamens identifiziert. Sie können jedoch optional einen benutzerdefinierten Namen konfigurieren, um Ihre Konsole.

Wählen Sie aus den folgenden Optionen, um den Anzeigenamen zu konfigurieren:

  • Wählen Benutzerdefinierten Spitznamen anzeigen und geben Sie den Namen in das Feld ein, das Sie für diese Konsole anzeigen möchten.
  • Wählen Hostnamen anzeigen um den für diese Konsole konfigurierten Hostnamen anzuzeigen.

PCAP konfigurieren

Mit der Paketerfassung können Sie Datenpakete aus Ihrem Netzwerkverkehr sammeln, speichern und abrufen. Sie können eine Paketerfassungsdatei zur Analyse in einem Drittanbieter-Tool wie Wireshark herunterladen. Pakete können überprüft werden, um Netzwerkprobleme zu diagnostizieren und zu lösen und um sicherzustellen , dass die Sicherheitsrichtlinien eingehalten werden.

Durch Hinzufügen einer Paketerfassungsdiskette zum ExtraHop Sensor, können Sie die an Ihr ExtraHop-System gesendeten Rohdaten speichern. Diese Festplatte kann zu Ihrer virtuellen Festplatte hinzugefügt werden Sensor oder eine SSD, die in Ihrem physischen Gerät installiert ist Sensor.

Diese Anweisungen gelten nur für ExtraHop-Systeme, die über eine Precision Paket Capture Disk verfügen. Informationen zum Speichern von Paketen auf einer ExtraHop PacketStore-Appliance finden Sie in der Anleitungen zur Bereitstellung von Packetstore.

Wichtig:Systeme mit selbstverschlüsselnden Festplatten (SEDs) können nicht für die Softwareverschlüsselung bei Paketerfassungen konfiguriert werden. Informationen zur Aktivierung der Sicherheit auf diesen Systemen finden Sie unter Selbstverschlüsselnde Festplatten konfigurieren.

Päckchen schneiden

Standardmäßig speichert der Packetstore ganze Pakete. Wenn Pakete noch nicht in Scheiben geschnitten sind, können Sie den Sensor so konfigurieren, dass er Pakete speichert, die auf eine feste Anzahl von Byte aufgeteilt sind, um den Datenschutz und das Lookback zu verbessern.

Weitere Informationen zur Konfiguration dieser Funktion in Ihrer laufenden Konfigurationsdatei erhalten Sie vom ExtraHop-Support.

PCAP aktivieren

Ihr ExtraHop-System muss für die PCAP lizenziert und mit einer dedizierten Speicherplatte konfiguriert sein. Körperlich Sensoren erfordern eine SSD-Speicherfestplatte und virtuelle Sensoren erfordern eine Festplatte, die auf Ihrem Hypervisor konfiguriert ist.

Before you begin

  • Stellen Sie sicher, dass Ihr ExtraHop-System für Packet Capture lizenziert ist, indem Sie sich bei den Administrationseinstellungen anmelden und auf Lizenz. Packet Capture ist unter Funktionen aufgeführt und Aktiviert sollte erscheinen.
Wichtig:Der Erfassungsvorgang wird neu gestartet, wenn Sie die Paketerfassungsdiskette aktivieren.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Appliance-Einstellungen auf Festplatten.
  3. Abhängig von deinem Sensor Typ- und Menüoptionen, konfigurieren Sie die folgenden Einstellungen.
    • Für physische Sensoren klicken Sie Aktivieren neben SSD Assisted Packet Capture, und klicken Sie dann auf OK.
    • Stellen Sie für virtuelle Sensoren sicher, dass running wird in der Spalte Status angezeigt und dass die Festplattengröße, die Sie für die PCAP konfiguriert haben, in der Spalte Größe angezeigt wird. klicken Aktivieren neben Triggered Packet Capture, und klicken Sie dann auf OK.

Nächste Maßnahme

Ihre Paketerfassungsdiskette ist jetzt aktiviert und bereit, Pakete zu speichern. klicken konfigurieren wenn Sie die Festplatte verschlüsseln oder konfigurieren möchten weltweite oder Präzisionspaket erfasst.

Verschlüsseln Sie die Paketerfassungsdiskette

Festplatten zur Paketerfassung können mit 256-Bit-AES-Verschlüsselung gesichert werden.

Hier sind einige wichtige Überlegungen, bevor Sie eine Paketerfassungsdiskette verschlüsseln:
  • Sie können eine Paketerfassungsdiskette nicht entschlüsseln, nachdem sie verschlüsselt wurde. Sie können die Verschlüsselung löschen, aber die Festplatte ist formatiert und alle Daten werden gelöscht.
  • Sie können eine verschlüsselte Festplatte sperren, um jeglichen Lese- oder Schreibzugriff auf gespeicherte Paketerfassungsdateien zu verhindern. Wenn das ExtraHop-System neu gestartet wird, werden verschlüsselte Festplatten automatisch gesperrt und bleiben gesperrt, bis sie mit der Passphrase entsperrt werden. Unverschlüsselte Festplatten können nicht gesperrt werden.
  • Sie können eine verschlüsselte Festplatte neu formatieren, aber alle Daten werden dauerhaft gelöscht. Sie können eine gesperrte Festplatte neu formatieren, ohne sie zuerst zu entsperren.
  • Sie können alle Systemdaten sicher löschen (oder das System löschen). Anweisungen finden Sie in der Medienleitfaden für ExtraHop Rescue.
Wichtig:Systeme mit selbstverschlüsselnden Festplatten (SEDs) können nicht für die Softwareverschlüsselung bei Paketerfassungen konfiguriert werden. Informationen zur Aktivierung der Sicherheit auf diesen Systemen finden Sie unter Selbstverschlüsselnde Festplatten konfigurieren.
  1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
  2. Wählen Sie auf der Seite Festplatten je nach Sensortyp eine der folgenden Optionen aus.
    • Für virtuelle Sensoren klicken Sie auf Konfigurieren neben Triggered Packet Capture.
    • Für physische Sensoren klicken Sie auf Konfigurieren neben SSD Assisted Packet Capture.
  3. Klicken Festplatte verschlüsseln.
  4. Geben Sie einen Festplattenverschlüsselungsschlüssel aus einer der folgenden Optionen an:
    • Geben Sie eine Passphrase in die Felder Passphrase und Bestätigen ein.
    • Klicken Wählen Sie Datei und wählen Sie eine Verschlüsselungsschlüsseldatei aus.
  5. Klicken Verschlüsseln.

Nächste Maßnahme

Sie können den Festplattenverschlüsselungsschlüssel ändern, indem Sie zur Seite Festplatten zurückkehren und auf Konfigurieren und dann Festplattenverschlüsselungsschlüssel ändern.

Formatieren Sie die Paketerfassungsdiskette

Sie können eine verschlüsselte Paketerfassungsdiskette so formatieren, dass alle Paketerfassungen dauerhaft entfernt werden. Durch das Formatieren einer verschlüsselten Festplatte wird die Verschlüsselung entfernt. Wenn Sie einen unverschlüsselten Paketerfassungsdatenträger formatieren möchten, müssen Sie den Datenträger entfernen und ihn dann erneut aktivieren.

Warnung:Diese Aktion kann nicht rückgängig gemacht werden.
  1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
  2. Wählen Sie auf der Seite Festplatten je nach Appliance-Plattform eine der folgenden Optionen aus.
    • Für virtuelle Sensoren klicken Sie konfigurieren neben Triggered Packet Capture.
    • Für physische Sensoren klicken Sie auf konfigurieren neben SSD Assisted Packet Capture.
  3. klicken Festplattenverschlüsselung löschen.
  4. klicken Format.

Entfernen Sie die Paketerfassungsdiskette

Wenn Sie eine Paketerfassungsdiskette ersetzen möchten, müssen Sie zuerst die Festplatte aus dem System entfernen. Wenn eine Paketerfassungsdiskette aus dem System entfernt wird, werden alle Daten auf der Festplatte dauerhaft gelöscht.

Um die Festplatte zu entfernen, muss eine Formatoption ausgewählt werden. Auf physischen Appliances können Sie die Festplatte nach Abschluss dieses Vorgangs sicher aus der Appliance entfernen.
  1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
  2. Wählen Sie auf der Seite Festplatten je nach Appliance-Plattform eine der folgenden Optionen aus.
    • Für virtuelle Appliances klicken Sie auf konfigurieren neben Triggered Packet Capture.
    • Für physische Geräte klicken Sie auf konfigurieren neben SSD Assisted Packet Capture.
  3. klicken Festplatte entfernen.
  4. Wählen Sie eine der folgenden Formatoptionen aus:
    • Schnelles Formatieren
    • Sicheres Löschen
  5. klicken entfernen.

Konfigurieren Sie eine globale PCAP

Eine globale PCAP sammelt jedes Paket, das an das ExtraHop-System gesendet wird, für die Dauer, die den Kriterien entspricht.

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Abschnitt Paketerfassungen auf Globale Paketerfassung.
  3. In der Starten Sie die globale Paketerfassung Abschnitt, füllen Sie die folgenden Felder aus. Sie müssen nur die gewünschten Kriterien für die Paketerfassung angeben:

    Name: Ein Name zur Identifizierung der PCAP.

    Max. Anzahl Pakete: Die maximale Anzahl von Paketen, die erfasst werden sollen.

    Max. Byte: Die maximale Anzahl von Byte, die erfasst werden sollen.

    Max. Dauer (Millisekunden): Die maximale Dauer der PCAP in Millisekunden. Wir empfehlen den Standardwert 1000 (1 Sekunde) oder eine Konfiguration von bis zu 60000 Millisekunden (1 Minute).

    Snaplen: Die maximale Anzahl von Byte, die pro Frame kopiert werden. Der Standardwert ist 96 Byte, aber Sie können diesen Wert auf eine Zahl zwischen 1 und 65535 setzen.

  4. klicken Start.
    Hinweis:Notieren Sie sich die Uhrzeit, zu der Sie mit der Erfassung beginnen, damit Sie die Pakete leichter finden können.
  5. klicken Stopp um die Paketerfassung zu beenden, bevor eine der Höchstgrenzen erreicht ist.
Laden Sie Ihre PCAP herunter.
  • Klicken Sie auf Reveal (x) Enterprise systems auf Pakete aus dem oberen Menü und dann klicken PCAP herunterladen.

    Um Ihre PCAP zu finden, klicken und ziehen Sie auf die Zeitleiste der Paketabfrage, um den Zeitraum auszuwählen, in dem Sie die PCAP gestartet haben.

  • Klicken Sie auf ExtraHop Performance-Systemen auf das Symbol Systemeinstellungen , klicken Die gesamte Verwaltung, und klicken Sie dann auf Paketerfassungen anzeigen und herunterladen im Abschnitt Packet Capture.

Konfigurieren Sie eine präzise PCAP

Präzise Paketerfassungen erfordern ExtraHop-Trigger, mit denen Sie nur die Pakete erfassen können, die Ihren Spezifikationen entsprechen. Trigger sind hochgradig anpassbarer benutzerdefinierter Code, der bei definierten Systemereignissen ausgeführt wird.

Before you begin

Die Paketerfassung muss auf Ihrem ExtraHop-System lizenziert und aktiviert sein.
Es wird empfohlen, dass Sie sich mit dem Schreiben von Triggern vertraut machen, bevor Sie eine präzise PCAP konfigurieren. Hier sind einige Ressourcen, die Ihnen helfen sollen, mehr über ExtraHop-Trigger zu erfahren:

Im folgenden Beispiel erfasst der Auslöser einen HTTP-Flow mit dem Namen HTTP host <hostname> und stoppt die Erfassung, nachdem maximal 10 Pakete gesammelt wurden.

  1. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Auslöser.
  2. klicken Erstellen.
  3. Geben Sie einen Namen für den Auslöser ein und wählen Sie die Ereignisse HTTP_REQUEST und HTTP_RESPONSE aus.
  4. Geben oder fügen Sie den folgenden Triggercode in den rechten Bereich ein.
    Flow.captureStart("HTTP host " + HTTP.host, {maxPackets: 10});
    
  5. Weisen Sie den Auslöser einem Gerät oder einer Gruppe von Geräten zu.
    Warnung:Das Ausführen von Triggern auf nicht benötigten Geräten und Netzwerken erschöpft die Systemressourcen. Minimiere die Auswirkungen auf die Leistung, indem du einen Auslöser nur den spezifischen Quellen zuweist, aus denen du Daten sammeln musst.
  6. Wählen Auslöser aktivieren.
  7. klicken Speichern.

Nächste Maßnahme

Laden Sie die Paketerfassungsdatei herunter.
  • Klicken Sie auf Reveal (x) Enterprise systems auf Rekorde aus dem oberen Menü. Wählen Erfassung von Paketen von der Art des Datensatzes Drop-down-Liste. Nachdem die mit Ihrer PCAP verknüpften Datensätze angezeigt wurden, klicken Sie auf das Paketsymbol , und klicken Sie dann auf PCAP herunterladen.
  • Klicken Sie auf ExtraHop Performance-Systemen auf das Symbol Systemeinstellungen , klicken Gesamte Verwaltung, und klicken Sie dann auf Paketerfassungen anzeigen und herunterladen im Abschnitt Packet Capture.

Paketerfassungen anzeigen und herunterladen

Wenn Sie Paketerfassungen auf einer virtuellen Festplatte oder auf einer SSD-Festplatte in Ihrem Sensor, können Sie diese Dateien auf der Seite „Paketerfassungen anzeigen" in den Administrationseinstellungen verwalten. Sehen Sie sich für Reveal (x) -Systeme und ExtraHop-Packetstores die Seite Pakete an.

Der Abschnitt Paketerfassungen anzeigen und herunterladen wird nur auf ExtraHop Performance-Systemen angezeigt. Auf Reveal (x) -Systemen werden präzise Paketerfassungsdateien gefunden, indem Datensätze nach dem Datensatztyp für die PCAP durchsucht werden.

  • klicken Einstellungen für die PCAP konfigurieren um gespeicherte Paketerfassungen nach der angegebenen Dauer (in Minuten) automatisch zu löschen.
  • Sehen Sie sich Statistiken über Ihre Paketerfassungsdiskette an.
  • Geben Sie Kriterien an, um Paketerfassungen zu filtern und die Anzahl der in der Paketerfassungsliste angezeigten Dateien zu begrenzen.
  • Wählen Sie eine Datei aus der Packet Capture-Liste aus und laden Sie die Datei herunter oder löschen Sie sie.
    Hinweis:Sie können keine einzelnen Paketerfassungsdateien aus Reveal (x) -Systemen löschen.

Plattenladen

Sie können vom ExtraHop-System geschriebene Datensätze auf Transaktionsebene an einen unterstützten Recordstore senden und diese Datensätze dann von der Datensatzseite oder der REST-API auf Ihrer Konsole abfragen und Sensoren.

Erfahre mehr über ExtraHop Records

Datensätze von ExtraHop an Google BigQuery senden

Sie können Ihr ExtraHop-System so konfigurieren, dass Datensätze auf Transaktionsebene zur Langzeitspeicherung an einen Google BigQuery-Server gesendet werden, und diese Datensätze dann vom ExtraHop-System und der ExtraHop-REST-API abfragen. Datensätze in BigQuery-Plattenspeichern laufen nach 90 Tagen ab.

Before you begin

  • Sie benötigen die BigQuery-Projekt-ID
  • Sie benötigen die Anmeldeinformationsdatei (JSON) von Ihrem BigQuery-Dienstkonto. Für das Dienstkonto sind die Rollen BigQuery Data Editor, BigQuery Data Viewer und BigQuery User erforderlich.
  • Für den Zugriff auf den ExtraHop Cloud Recordstore benötigen Sie Sensoren muss in der Lage sein, auf ausgehendes TCP 443 (HTTPS) zu diesen vollqualifizierten Domainnamen zuzugreifen:
    • bigquery.googleapis.com
    • bigquerystorage.googleapis.com
    • oauth2.googleapis.com
    • www.googleapis.com
    • www.mtls.googleapis.com
    • iamcredentials.googleapis.com

    Sie können auch die öffentlichen Leitlinien von Google zu folgenden Themen lesen Berechnung möglicher IP-Adressbereiche für googleapis.com.

  • Wenn Sie die BigQuery-Recordstore-Einstellungen mit der Google Cloud-Workload-Identitätsverbundauthentifizierung konfigurieren möchten, benötigen Sie die Konfigurationsdatei aus Ihrem Workload-Identitätspool.
    Hinweis:Der Workload-Identitätsanbieter muss so eingerichtet sein, dass er als Antwort auf eine Anfrage mit Client-Anmeldeinformationen ein vollständig gültiges OIDC-ID-Token bereitstellt. Weitere Informationen zum Workload-Identitätsverbund finden Sie unter https://cloud.google.com/iam/docs/workload-identity-federation.

Datensätze von ExtraHop an BigQuery senden

Führen Sie dieses Verfahren für alle angeschlossenen Sensoren und Konsolen durch.
Hinweis:Alle Trigger, die für das Senden von Datensätzen konfiguriert sind commitRecord zu einem ExtraHop-Recordstore werden automatisch zu BigQuery umgeleitet. Es ist keine weitere Konfiguration erforderlich.
Wichtig:Wenn Ihr ExtraHop-System über eine Konsole verfügt, konfigurieren Sie alle Geräte mit denselben Recordstore-Einstellungen oder derselben Übertragungsverwaltung, um die Einstellungen von der Konsole aus zu verwalten.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Bereich Datensätze auf Plattenladen.
  3. Wählen BigQuery als Recordstore aktivieren.
    Wichtig:Wenn Sie von einem verbundenen ExtraHop-Recordstore zu BigQuery migrieren, können Sie nicht mehr auf die im Recordstore gespeicherten Datensätze zugreifen.
  4. Geben Sie im Feld Projekt-ID die ID für Ihr BigQuery-Projekt ein. Die Projekt-ID finden Sie in der BigQuery-API-Konsole.
  5. Klicken Sie im Feld JSON-Anmeldeinformationsdatei auf Datei wählen und wählen Sie eine der folgenden Dateien aus:
    • Die Anmeldeinformationsdatei wurde von Ihrem BigQuery-Dienstkonto.

      Informationen zum Erstellen eines Dienstkontos und zum Generieren eines Dienstkontoschlüssels finden Sie in der Google Cloud-Dokumentation.

    Wichtig:Erstellen Sie Ihr Dienstkonto mit den folgenden BigQuery-Rollen:
    • BigQuery-Dateneditor
    • BigQuery-Datenviewer
    • BigQuery-Benutzer
    • Die Konfigurationsdatei aus Ihrem Workload-Identitätspool.
  6. Optional: Wenn Sie im vorherigen Schritt die Konfigurationsdatei aus Ihrem Workload-Identitätspool ausgewählt haben, wählen Sie Authentifizieren Sie sich über den lokalen Identitätsanbieter für Workload Identity Federation und geben Sie die Anmeldedaten Ihres Identitätsanbieters in die folgenden Felder ein:
    • Token-URL
    • Kunden-ID
    • Geheimer Kundenschlüssel
  7. klicken Verbindung testen um zu überprüfen, ob Ihr Sensor mit dem BigQuery-Server kommunizieren kann.
  8. klicken Speichern.
Nachdem Ihre Konfiguration abgeschlossen ist, können Sie nach gespeicherten Datensätzen im ExtraHop-System suchen, indem Sie auf Rekorde.
Wichtig:Ändern oder löschen Sie nicht die Tabelle in BigQuery, in der die Datensätze gespeichert sind. Durch das Löschen der Tabelle werden alle gespeicherten Datensätze gelöscht.
Recordstore-Einstellungen übertragen

Wenn du einen ExtraHop hast Konsole verbunden mit Ihren ExtraHop-Sensoren können Sie die Recordstore-Einstellungen auf dem Sensor konfigurieren und verwalten oder die Verwaltung der Einstellungen auf den Konsole. Durch die Übertragung und Verwaltung der Recordstore-Einstellungen auf der Konsole können Sie die Recordstore-Einstellungen über mehrere Sensoren hinweg auf dem neuesten Stand halten.

Die Recordstore-Einstellungen werden für verbundene Plattenläden von Drittanbietern konfiguriert und gelten nicht für den ExtraHop Recordstore.
  1. Loggen Sie sich in die Administrationseinstellungen auf der Sensor durch https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Bereich Datensätze auf Plattenladen.
  3. Aus dem Recordstore-Einstellungen Dropdownliste, wählen Sie die Command-Appliance aus und klicken Sie dann auf Übertragung.
    Wenn Sie sich später entscheiden, die Einstellungen auf dem zu verwalten Sensor, wählen dieses Discover-Gerät aus der Dropdownliste Recordstore-Einstellungen und klicken Sie dann auf Übertragung.

Aufzeichnungen von ExtraHop an Splunk senden

Sie können das ExtraHop-System so konfigurieren, dass Datensätze auf Transaktionsebene zur Langzeitspeicherung an einen Splunk-Server gesendet werden, und diese Datensätze dann vom ExtraHop-System und der ExtraHop-REST-API abfragen.

Before you begin

  • Sie benötigen Version 7.0.3 oder höher von Splunk Enterprise und ein Benutzerkonto mit Administratorrechte.
  • Sie müssen den Splunk HTTP Event Collector konfigurieren, bevor Ihr Splunk-Server ExtraHop-Datensätze empfangen kann . Sehen Sie die Splunk HTTP-Event-Collector Dokumentation für Anweisungen.
Hinweis:Alle Trigger, die für das Senden von Datensätzen konfiguriert sind commitRecord zu einem Recordstore werden automatisch zum Splunk-Server umgeleitet. Es ist keine weitere Konfiguration erforderlich.

Aufzeichnungen von ExtraHop an Splunk senden

Führen Sie dieses Verfahren auf allen verbundenen ExtraHop-Systemen durch.
Wichtig:Wenn Ihr ExtraHop-System eine Konsole oder Reveal (x) 360 umfasst, konfigurieren Sie alle Sensoren mit denselben Recordstore-Einstellungen oder derselben Übertragungsverwaltung, um Einstellungen von der Konsole oder Reveal (x) 360 aus zu verwalten.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Bereich Datensätze auf Plattenladen.
  3. Wählen Splunk als Recordstore aktivieren.
    Hinweis:Wenn Sie von einem verbundenen ExtraHop-Recordstore zu Splunk migrieren, können Sie nicht mehr auf die im Recordstore gespeicherten Datensätze zugreifen.
  4. Füllen Sie im Abschnitt Record Ingest Target die folgenden Felder aus:

    Splunk-Ingest-Host: Der Hostname oder die IP-Adresse Ihres Splunk-Servers.

    Port für den HTTP-Event-Collector: Der Port, über den der HTTP Event Collector Datensätze sendet.

    HTTP-Event-Collector-Token: Das Authentifizierungstoken, das Sie erstellt in Splunk für den HTTP Event Collector.

  5. Füllen Sie im Abschnitt Record Query Target die folgenden Felder aus:

    Splunk-Abfragehost: Der Hostname oder die IP-Adresse Ihres Splunk-Servers.

    REST-API-Port: Der Port, über den Datensatzabfragen gesendet werden sollen.

    Methode der Authentifizierung: Die Authentifizierungsmethode, die von Ihrer Version von Splunk abhängt.

    Für Splunk-Versionen nach 7.3.0 wählen Sie Authentifizieren Sie sich mit Token, und fügen Sie dann Ihr Splunk-Authentifizierungstoken ein. Anweisungen zum Erstellen eines Authentifizierungstokens finden Sie in der Splunk-Dokumentation .

    Für Splunk-Versionen vor 7.3.0 wählen Sie Authentifizieren Sie sich mit Benutzername und Passwort, und geben Sie dann Ihre Splunk-Anmeldeinformationen Anmeldedaten .

  6. Lösche das Überprüfung des Zertifikats erforderlich Kontrollkästchen, wenn für Ihre Verbindung kein gültiges SSL/TLS-Zertifikat erforderlich ist.
    Hinweis:Sichere Verbindungen zum Splunk-Server können verifiziert werden über vertrauenswürdige Zertifikate die Sie in das ExtraHop-System hochladen.
  7. Geben Sie im Feld Indexname den Namen des Splunk-Indexes ein, in dem Sie Datensätze speichern möchten.
    Der Standardindex auf Splunk heißt main, wir empfehlen jedoch, dass Sie einen separaten Index für Ihre ExtraHop-Datensätze erstellen und den Namen dieses Indexes eingeben. Anweisungen zum Erstellen eines Indexes finden Sie in der Splunk-Dokumentation.
  8. (zusätzlicher Sprung) Sensor nur) Klick Verbindung testen um zu überprüfen , ob das ExtraHop-System Ihren Splunk-Server erreichen kann.
  9. klicken Speichern.
Nachdem Ihre Konfiguration abgeschlossen ist, können Sie nach gespeicherten Datensätzen im ExtraHop-System suchen, indem Sie auf Rekorde aus dem oberen Menü.
Recordstore-Einstellungen übertragen

Wenn du einen ExtraHop hast Konsole verbunden mit Ihren ExtraHop-Sensoren können Sie die Recordstore-Einstellungen auf dem Sensor konfigurieren und verwalten oder die Verwaltung der Einstellungen auf den Konsole. Durch die Übertragung und Verwaltung der Recordstore-Einstellungen auf der Konsole können Sie die Recordstore-Einstellungen über mehrere Sensoren hinweg auf dem neuesten Stand halten.

Die Recordstore-Einstellungen werden für verbundene Plattenläden von Drittanbietern konfiguriert und gelten nicht für den ExtraHop Recordstore.
  1. Loggen Sie sich in die Administrationseinstellungen auf der Sensor durch https://<extrahop-hostname-or-IP-address>/admin.
  2. Klicken Sie im Bereich Datensätze auf Plattenladen.
  3. Aus dem Recordstore-Einstellungen Dropdownliste, wählen Sie die Command-Appliance aus und klicken Sie dann auf Übertragung.
    Wenn Sie sich später entscheiden, die Einstellungen auf dem zu verwalten Sensor, wählen dieses Discover-Gerät aus der Dropdownliste Recordstore-Einstellungen und klicken Sie dann auf Übertragung.

ExtraHop-Befehlseinstellungen

Die ExtraHop-Befehlseinstellungen Im Bereich des ExtraHop-Sensors können Sie einen ExtraHop-Sensor an eine Konsole anschließen. Abhängig von Ihrer Netzwerkkonfiguration können Sie eine Verbindung vom Sensor (Tunnelverbindung) oder von der Konsole (Direktverbindung) aus herstellen.

  • Wir empfehlen Ihnen, sich mit den Administrationseinstellungen auf Ihrem Computer anzumelden Konsole und stellen Sie eine direkte Verbindung zum Sensor her. Direkte Verbindungen werden hergestellt von Konsole über HTTPS auf Port 443 und benötigen keinen speziellen Zugriff. Eine Anleitung finden Sie unter Eine ExtraHop-Konsole mit einem ExtraHop-Sensor verbinden.
  • Wenn dein Sensor befindet sich hinter einer Firewall, Sie können daraus eine SSH-Tunnelverbindung herstellen Sensor zu deinem Konsole. Eine Anleitung finden Sie unter Über einen Sensor eine Verbindung zu einer Konsole herstellen.

Token generieren

Sie müssen ein Token auf einem generieren Sensor bevor Sie eine Verbindung zu einem herstellen können Konsole. Das Token gewährleistet eine sichere Verbindung und macht den Verbindungsprozess weniger anfällig für Machine-in-the-Middle-Angriffe (MITM).

klicken Token generieren und dann vervollständigen Sie die Konfiguration auf Ihrer Konsole.

Über einen Sensor eine Verbindung zu einer Konsole herstellen

Sie können den ExtraHop verbinden Sensor zu der Konsole durch einen SSH-Tunnel.

Wir empfehlen Ihnen, immer Sensoren direkt anschließen über die Konsole; in Netzwerkumgebungen, in denen eine direkte Verbindung von der Konsole aus aufgrund von Firewalls oder anderen Netzwerkeinschränkungen nicht möglich ist, kann jedoch eine Tunnelverbindung erforderlich sein. Nachdem Sie die Sensoren angeschlossen haben, können Sie die Sensoreigenschaften anzeigen und bearbeiten, einen Spitznamen zuweisen, die Firmware aktualisieren, den Lizenzstatus überprüfen und ein Diagnose-Supportpaket erstellen.

Before you begin

  • Sie können nur eine Verbindung zu einem herstellen Sensor das ist für dieselbe Systemedition lizenziert wie das Konsole. Zum Beispiel ein Konsole auf Reveal (x) kann Enterprise nur eine Verbindung herstellen mit Sensoren auf Reveal (x) Enterprise.
  1. Loggen Sie sich in die Administrationseinstellungen auf der Sensor.
  2. In der Einstellungen der ExtraHop-Konsole Abschnitt, klicken Konsolen verbinden.
  3. klicken Konsole verbinden und dann und dann konfiguriere die folgenden Felder:

    Gastgeber: Der Hostname oder die IP-Adresse der Konsole.

    Hinweis:Sie können keine link-lokale IPv6-Adresse angeben.

    Passwort einrichten: Das Passwort für den Setup-Benutzer auf der Konsole.

    Spitzname des Sensors (optional): Ein benutzerfreundlicher Name für den Sensor, der auf der Seite „Verbundene Geräte verwalten" angezeigt wird. Wenn kein Anzeigename konfiguriert ist, wird stattdessen der Hostname für den Sensor angezeigt.

    Konfiguration zurücksetzen: Wenn Sie das auswählen Konfiguration zurücksetzen Mit dieser Checkbox werden bestehende Sensoranpassungen wie Gerätegruppen, Alarme und Auslöser vom Sensor entfernt. Gesammelte Metriken wie Aufnahmen und Geräte werden nicht entfernt.

  4. klicken Verbinde.

Eine ExtraHop-Konsole mit einem ExtraHop-Sensor verbinden

Du kannst mehrere ExtraHop verwalten Sensoren von einem Konsole. Nachdem Sie das angeschlossen haben Sensoren, können Sie das ansehen und bearbeiten Sensor Eigenschaften, weisen Sie einen Spitznamen zu, aktualisieren Sie die Firmware, überprüfen Sie den Lizenzstatus und erstellen Sie ein Diagnose-Support-Paket.

Das Konsole stellt über HTTPS auf Port 443 eine direkte Verbindung zum Sensor her. Wenn es aufgrund von Firewalleinschränkungen in Ihrer Netzwerkumgebung nicht möglich ist, eine direkte Verbindung herzustellen, können Sie eine Verbindung zum Konsole durch eine getunnelte Verbindung vom ExtraHop-Sensor.
Video:Sehen Sie sich die entsprechende Schulung an: Eine Appliance mit einer Reveal (x) Enterprise Console (ECA) verbinden

Before you begin

Sie können nur eine Verbindung herstellen zu einem Sensor die für dieselbe Systemedition lizenziert ist wie die Konsole. Zum Beispiel ein Konsole auf Reveal (x) Enterprise kann nur eine Verbindung herstellen zu Sensoren auf Reveal (x) Enterprise.
Wichtig:Wir empfehlen dringend Konfiguration eines eindeutigen Hostnamens. Wenn sich die System-IP-Adresse ändert, kann die ExtraHop-Konsole die Verbindung zum System einfach über den Hostnamen wiederherstellen.

Generieren Sie ein Token auf dem Sensor

Generieren Sie ein Token auf dem Sensor, bevor Sie mit dem Verbindungsvorgang auf der Konsole beginnen.
  1. Loggen Sie sich in die Administrationseinstellungen auf der Sensor durch https://<extrahop-hostname-or-IP-address>/admin.
  2. In der ExtraHop-Befehlseinstellungen Abschnitt, klicken Sie Token generieren.
  3. Klicken Sie Token generieren.
  4. Kopieren Sie das Token und fahren Sie mit dem nächsten Verfahren fort.

Verbinden Sie die Konsole und die Sensoren

  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Verwaltung verbundener Appliances Abschnitt, klicken Sie Sensoren verwalten.
  3. In der ExtraHop-Sensor Abschnitt, klicken Sie Sensor anschließen.
  4. Geben Sie den Hostnamen oder die IP-Adresse des Sensor in das Feld Host.
  5. Klicken Sie Verbinden.
  6. Konfigurieren Sie die folgenden Felder:

    Token von ExtraHop Sensor: Das Token, das Sie auf dem Sensor generiert haben.

    Spitzname des Sensors (empfohlen): Ein freundlicher Name für das ExtraHop-System. Wenn kein Spitzname eingegeben wird, wird das System durch den Hostnamen identifiziert.

  7. Optional: Wählen Konfiguration zurücksetzen um bestehende Systemanpassungen wie Gerätegruppen, Alarme und Trigger aus dem ExtraHop-System zu entfernen. Gesammelte Messwerte wie Aufnahmen und Geräte werden nicht entfernt.
  8. Klicken Sie Verbinden.

Discover Appliances verwalten

Von der Command-Appliance aus können Sie verbundene Discover-Appliances anzeigen und einige Verwaltungsaufgaben verwalten.

Aktivieren Sie das Kontrollkästchen für eine oder mehrere verbundene Discover-Appliances. Wählen Sie dann eine der folgenden administrativen Aufgaben aus.

  • klicken Lizenz überprüfen um eine Verbindung zum ExtraHop-Lizenzserver herzustellen und den aktuellen Status für die ausgewählten Discover-Appliances abzurufen. Wenn Ihre Command-Appliance nicht auf Daten von einer verbundenen Discover-Appliance zugreifen kann, ist die Lizenz möglicherweise ungültig.
  • klicken Support-Skript ausführen und wählen Sie dann aus den folgenden Optionen:
    • klicken Standard-Support-Skript ausführen um Informationen über die ausgewählten Discover-Appliances zu sammeln. Sie können diese Diagnosedatei zur Analyse an den ExtraHop Support senden.
    • klicken Benutzerdefiniertes Support-Skript ausführen um eine Datei vom ExtraHop Support hochzuladen, die kleine Systemänderungen oder Verbesserungen bietet.
  • klicken Firmware aktualisieren um die ausgewählte Discover-Appliance zu aktualisieren. Sie können eine URL zur Firmware auf dem Kundenportal Website oder laden Sie die Firmware-Datei von Ihrem Computer hoch. Bei beiden Optionen empfehlen wir Ihnen dringend, die Firmware zu lesen Versionshinweise und der Anleitung zum Firmware-Upgrade.
  • klicken Deaktiviert oder Aktivieren um die Verbindung zwischen Discover- und Command-Appliances vorübergehend zu ändern. Wenn diese Verbindung deaktiviert ist, zeigt die Command-Appliance die Discover-Appliance nicht an und kann nicht auf die Discover-Appliance-Daten zugreifen.
  • klicken Gerät entfernen um ausgewählte Discover-Geräte dauerhaft zu trennen.

ExtraHop Recordstore-Einstellungen

Dieser Abschnitt enthält die folgenden Konfigurationseinstellungen für den ExtraHop Recordstore.

Verbinde die Konsole und die Sensoren mit ExtraHop Recordstores

Nachdem Sie einen ExtraHop-Recordstore bereitgestellt haben, müssen Sie eine Verbindung von allen ExtraHop herstellen Sensoren und die Konsole zu den Recordstore-Knoten, bevor Sie nach gespeicherten Datensätzen abfragen können.

Wichtig:Wenn Ihr Recordstore-Cluster konfiguriert ist mit Knoten nur für Manager, verbinden Sie nur die Sensoren und die Konsole mit den reinen Datenknoten. Stellen Sie keine Verbindung zu den Knoten her, die nur für Manager bestimmt sind.
  1. Loggen Sie sich in die Administrationseinstellungen auf der Konsole oder Sensor.
    Hinweis:Wenn die Recordstore-Verbindungen von einer Konsole aus verwaltet werden, müssen Sie dieses Verfahren von der Konsole aus und nicht von jedem Sensor aus ausführen.
  2. In der ExtraHop Recordstore-Einstellungen Abschnitt, klicken Verbinde Recordstores.
  3. klicken Neues hinzufügen.
  4. In der Knoten 1 Geben Sie in diesem Feld den Hostnamen oder die IP-Adresse einer beliebigen Explore-Appliance im Explore-Cluster ein.
    Hinweis:Fügen Sie Nur-Datenknoten nur hinzu, wenn der Cluster auch reine Manager-Knoten enthält.
  5. Klicken Sie für jeden zusätzlichen Recordstore-Knoten im Cluster auf Neues hinzufügen und geben Sie den individuellen Hostnamen oder die IP-Adresse in das entsprechende Feld ein Knoten Feld.


  6. klicken Speichern.
  7. Vergewissern Sie sich, dass der Fingerabdruck auf dieser Seite mit dem Fingerabdruck von Knoten 1 des Cluster übereinstimmt.
  8. In der Explore Setup-Passwort Feld, geben Sie das Passwort für Node 1 ein setup Benutzerkonto und klicken Sie dann auf Verbinde.
  9. Wenn die Cluster-Einstellungen gespeichert sind, klicken Sie auf Erledigt.
  10. Wenn die Recordstore-Einstellungen nicht von einer verbundenen Konsole verwaltet werden, wiederholen Sie diesen Vorgang auf der Konsole.

Trennen Sie den Recordstore

Um die Aufnahme von Datensätzen in den Recordstore zu stoppen, trennen Sie alle Recordstore-Knoten vom Konsole und Sensoren.

Hinweis:Wenn Recordstore-Verbindungen von einer Konsole verwaltet werden, können Sie dieses Verfahren nur auf der Konsole ausführen.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der ExtraHop Recordstore-Einstellungen Abschnitt, klicken Verbinde Recordstores.
  3. Klicken Sie auf das rote X neben jedem Knoten im Recordstore-Cluster.


  4. Klicken Speichern.

Explore-Appliances verwalten

Von der Command-Appliance aus können Sie verbundene Explore-Appliances anzeigen und einige Verwaltungsaufgaben verwalten.

Zeigen Sie Informationen zu verbundenen Explore-Appliances als einzelne Appliances oder als Teil eines Cluster an.

  • klicken Cluster entdecken im Feld Name, um die Cluster-Eigenschaften zu öffnen. Sie können einen benutzerdefinierten Spitznamen für die Explore-Appliance hinzufügen und die Cluster-ID anzeigen.
  • Klicken Sie auf einen beliebigen Knotennamen, um die Knoteneigenschaften zu öffnen. Durch Anklicken Admin-UI öffnen, können Sie auf die Administrationseinstellungen für die jeweilige Explore-Appliance zugreifen.
  • Zeigen Sie das Datum und die Uhrzeit an, zu der die Appliance zu dieser Command-Appliance hinzugefügt wurde.
  • Sehen Sie sich den Lizenzstatus Ihrer Appliances an.
  • Sehen Sie sich die Liste der Aktionen an, die Sie auf dieser Appliance ausführen können.
  • In der Spalte Job können Sie den Status aller laufenden Support-Skripte einsehen.

Wählen Sie den Explore-Cluster oder einen einzelnen Knoten im Cluster aus, indem Sie auf einen leeren Bereich in der Tabelle klicken, und wählen Sie dann eine der folgenden Verwaltungsaufgaben aus.

  • klicken Support-Skript ausführen und wählen Sie dann aus den folgenden Optionen:
    • Wählen Standard-Support-Skript ausführen um Informationen über die ausgewählte Explore-Appliance zu sammeln. Sie können diese Diagnosedatei zur Analyse an den ExtraHop Support senden.
    • Wählen Benutzerdefiniertes Support-Skript ausführen um eine Datei vom ExtraHop Support hochzuladen, die kleine Systemänderungen oder Verbesserungen bietet.
  • klicken Cluster entfernen um die ausgewählte Explore-Appliance dauerhaft zu trennen. Diese Option verhindert nur, dass Sie die administrativen Aufgaben auf dieser Seite von der Command-Appliance aus ausführen. Die Explore-Appliance bleibt mit Ihrer Discover-Appliance verbunden und sammelt weiterhin Datensätze.

Flow-Aufzeichnungen sammeln

Sie können automatisch alle Datenflussdatensätze sammeln und speichern. Dabei handelt es sich um Kommunikationsdaten auf Netzwerkebene zwischen zwei Geräten über ein IP-Protokoll. Wenn Sie diese Einstellung aktivieren, aber keine IP-Adressen oder Portbereiche hinzufügen, werden alle erkannten Flow-Datensätze erfasst. Die Konfiguration von Flow-Datensätzen für die automatische Erfassung ist ziemlich einfach und kann eine gute Möglichkeit sein, die Konnektivität zu Ihrem Recordstore zu testen.

Before you begin

Sie benötigen Zugriff auf ein ExtraHop-System mit Rechte für die System- und Zugriffsadministration.
  1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
  2. In der Aufzeichnungen Abschnitt, klicken Automatische Flussaufzeichnungen.
  3. Wählen Sie den Aktiviert Checkbox.
  4. In der Intervall für Veröffentlichungen Feld, geben Sie eine Zahl zwischen 60 und 21600 ein. Dieser Wert bestimmt, wie oft Datensätze aus einem aktiven Fluss an den Recordstore gesendet werden. Der Standardwert ist 1800 Sekunden.
  5. In der IP Adresse Feld, geben Sie eine einzelne IP-Adresse oder einen IP-Adressbereich im IPv4-, IPv6- oder CIDR-Format ein. Klicken Sie dann auf das grüne Plus (+) Symbol. (Sie können einen Eintrag entfernen, indem Sie auf das rote Löschen klicken (X) Symbol.)
  6. In der Portbereiche Feld, geben Sie einen einzelnen Port oder Portbereich ein. Klicken Sie dann auf das grüne Plus (+) Symbol.
  7. klicken Speichern.
    Flow-Datensätze, die Ihren Kriterien entsprechen, werden jetzt automatisch an Ihren konfigurierten Recordstore gesendet. Warten Sie einige Minuten, bis die Aufzeichnungen gesammelt wurden.
  8. Klicken Sie im ExtraHop-System auf Rekorde aus dem oberen Menü, und klicken Sie dann auf Aufzeichnungen ansehen um eine Abfrage zu starten.
    Wenn Sie keine Datensätze sehen, warten Sie ein paar Minuten und versuchen Sie es erneut. Wenn nach fünf Minuten keine Aufzeichnungen angezeigt werden, überprüfen Sie Ihre Konfiguration oder wenden Sie sich an ExtraHop-Unterstützung .

Status des ExtraHop Recordstore

Wenn Sie einen ExtraHop-Plattenladen Recordstore Ihrem verbunden haben Sensor oder Konsole, können Sie auf Informationen über den Recordstore zugreifen.

Die Tabelle auf dieser Seite enthält die folgenden Informationen zu allen verbundenen Datensatzspeichern.

Aktivität seit
Zeigt die Zeitstempel als die Plattensammlung begann. Dieser Wert wird automatisch alle 24 Stunden zurückgesetzt.
Datensatz gesendet
Zeigt die Anzahl der Datensätze an, die von einem an den Recordstore gesendet wurden Sensor.
I/O-Fehler
Zeigt die Anzahl der generierten Fehler an.
Warteschlange voll (Datensätze gelöscht)
Zeigt die Anzahl der gelöschten Datensätze an, wenn Datensätze schneller erstellt werden, als sie an den Recordstore gesendet werden können.

ExtraHop Packetstore-Einstellungen

ExtraHop Packetstores sammeln und speichern kontinuierlich unformatierte Paketdaten von Ihrem Sensoren. Verbinde den Sensor zum Packetstore, um mit dem Speichern von Paketen zu beginnen.

Sensoren und Konsole mit dem Packetstore verbinden

Bevor Sie Pakete abfragen können, müssen Sie eine Verbindung herstellen Konsole und alle Sensoren zum Packetstore.

An einen Sensor angeschlossen



Verbunden mit Sensor und Konsole



  1. Loggen Sie sich in die Administrationseinstellungen auf der Sensor.
  2. In der ExtraHop Trace-Einstellungen Abschnitt, klicken Trace Appliances verbinden.
  3. Geben Sie den Hostnamen oder die IP-Adresse des Packetstore in das Hostname der Appliance Feld.
  4. klicken Paar.
  5. Beachten Sie die Informationen in der Fingerabdruck Feld. Stellen Sie sicher, dass der auf dieser Seite aufgeführte Fingerabdruck mit dem Fingerabdruck des Packetstore übereinstimmt, der auf der Seite Fingerabdruck in den Administrationseinstellungen des Packetstore aufgeführt ist.
  6. Geben Sie das Passwort des Packetstore ein setup Benutzer in der Trace Setup-Passwort Feld.
  7. klicken Verbinde.
  8. Um weitere Packetstores zu verbinden, wiederholen Sie die Schritte 2 bis 7.
    Hinweis:Sie können einen Sensor an zwanzig oder weniger Paketspeicher anschließen, und Sie können eine Konsole an fünfzig oder weniger Paketspeicher anschließen.
  9. Wenn du eine hast Konsole, melden Sie sich in den Administrationseinstellungen auf der Konsole und wiederholen Sie die Schritte 3 bis 7 für alle Packetstores.

Trace-Appliances verwalten

Von der Command-Appliance aus können Sie verbundene Trace-Appliances anzeigen und einige Verwaltungsaufgaben verwalten.

Informationen über verbundene Trace-Appliances anzeigen.

  • klicken Cluster verfolgen im Feld Name, um die Cluster-Eigenschaften zu öffnen. Sie können einen benutzerdefinierten Spitznamen für die Trace-Appliance hinzufügen und die Cluster-ID anzeigen.
  • Klicken Sie auf eine Appliance, um die Eigenschaften anzuzeigen. Durch Anklicken Admin-UI öffnen, können Sie auf die Administrationseinstellungen für die jeweilige Trace-Appliance zugreifen.
  • Zeigen Sie das Datum und die Uhrzeit an, zu der die Appliance zu dieser Command-Appliance hinzugefügt wurde.
  • Sehen Sie sich den Lizenzstatus für Ihre Appliances an.
  • Sehen Sie sich die Liste der Aktionen an, die Sie auf dieser Appliance ausführen können.
  • In der Spalte Job können Sie den Status aller laufenden Support-Skripte einsehen.

Wählen Sie eine Trace-Appliance aus. Wählen Sie dann eine der folgenden administrativen Aufgaben aus.

  • klicken Support-Skript ausführen und wählen Sie dann aus den folgenden Optionen:
    • klicken Standard-Support-Skript ausführen um Informationen über die ausgewählte Trace-Appliance zu sammeln. Sie können diese Diagnosedatei zur Analyse an den ExtraHop Support senden.
    • klicken Benutzerdefiniertes Support-Skript ausführen um eine Datei vom ExtraHop Support hochzuladen, die kleine Systemänderungen oder -verbesserungen enthält.
  • klicken Firmware aktualisieren um die ausgewählte Trace-Appliance zu aktualisieren. Sie können eine URL zur Firmware auf dem Kundenportal Website oder laden Sie die Firmware-Datei von Ihrem Computer hoch. Bei beiden Optionen empfehlen wir Ihnen dringend, die Firmware zu lesen Versionshinweise und der Anleitung zum Firmware-Upgrade.
  • klicken Gerät entfernen um die gewählte Trace-Appliance dauerhaft zu trennen. Diese Option verhindert nur, dass Sie die administrativen Aufgaben auf dieser Seite von der Command-Appliance aus ausführen. Die Trace-Appliance bleibt mit Ihrer Discover-Appliance verbunden und sammelt weiterhin Pakete.

Anlage

Allgemeine Akronyme

In diesem Handbuch werden die folgenden gebräuchlichen Akronyme für Computer- und Netzwerkprotokolle verwendet.

Abkürzung Vollständiger Name
AAA Authentifizierung, Autorisierung und Abrechnung
AMF Format der Aktionsmeldung
CIFS Gemeinsames Internet-Dateisystem
CLI Befehlszeilenschnittstelle
CPU Zentrale Verarbeitungseinheit
DB Datenbank
DHCP Dynamisches Host-Konfigurationsprotokoll
DNS Domainnamensystem
ERSPAN Gekapselter RSPAN
FIX Austausch von Finanzinformationen
FTP FTP
HTTP Hypertext-Übertragungsprotokoll
IBMMQ IBM Nachrichtenorientierte Middleware
ICA Unabhängige Computerarchitektur
IP Internet-Protokoll
iSCSI Internet-Systemschnittstelle für kleine Computer
L2 Schicht 2
L3 Schicht 3
L7 Schicht 7
LDAP Lightweight Directory Access Protocol
MAC Medienzugriffskontrolle
MIB Informationsbasis für das Management
NFS NFS
NVRAM Nichtflüchtiger Direktzugriffsspeicher
RADIUS Dial-In-Benutzerdienst mit Remoteauthentifizierung
RPC Prozeduraufruf aus der Ferne
RPCAP Paketerfassung aus der Ferne
RSS Größe des Resident-Sets
SMPP Peer-to-Peer-Protokoll für Kurznachrichten
SMTP Einfaches Nachrichtenübertragungsprotokoll
SNMP Einfaches Netzwerkmanagement-Protokoll
SPAN Analysator für geschaltete Ports
SSD Solid-State-Laufwerk
SSH Sichere Shell
SSL Sicherer Socket-Layer
TACACS+ Terminal Access Controller Zutrittskontrollsystem Plus
TCP TCP
UI Benutzerschnittstelle
VLAN VLAN
VM Virtuelle Maschine

Cisco NetFlow-Geräte konfigurieren

Im Folgenden finden Sie Beispiele für die grundlegende Cisco-Router-Konfiguration für NetFlow. NetFlow wird pro Schnittstelle konfiguriert. Wenn NetFlow auf der Schnittstelle konfiguriert ist, IP-Paket Fluss Informationen werden auf den ExtraHop-Sensor exportiert.

Wichtig:NetFlow nutzt den SNMP ifIndex-Wert, um Eingangs- und Ausgangsschnittstelleninformationen in Flow-Datensätzen darzustellen. Um die Konsistenz der Schnittstellenberichte zu gewährleisten, aktivieren Sie die SNMP ifIndex-Persistenz auf Geräten, die NetFlow an den Sensor senden. Weitere Informationen zur Aktivierung der SNMP ifIndex-Persistenz auf Ihren Netzwerkgeräten finden Sie in der Konfigurationsanleitung des Geräteherstellers.

Weitere Informationen zur Konfiguration von NetFlow auf Cisco Switches finden Sie in der Dokumentation zu Ihrem Cisco Router oder auf der Cisco-Website unter www.cisco.com.

Konfigurieren Sie einen Exporter auf dem Cisco Nexus Switch

Definieren Sie einen Flow-Exporter, indem Sie das Exportformat angeben, Protokollund Ziel.

Melden Sie sich bei der Switch-Befehlszeilenschnittstelle an und führen Sie die folgenden Befehle aus:
  1. Rufen Sie den globalen Konfigurationsmodus auf:
    config t
  2. Erstellen Sie einen Flow-Exporter und wechseln Sie in den Flow-Exporter-Konfigurationsmodus.
    flow exporter <name>
    Zum Beispiel:
    flow exporter Netflow-Exporter-1
  3. (Optional) Geben Sie eine Beschreibung ein:
    description <string>
    Zum Beispiel:
    description Production-Netflow-Exporter
  4. Legen Sie die IPv4- oder IPv6-Zieladresse für den Exporter fest.
    destination <eda_mgmt_ip_address>
    Zum Beispiel:
    destination 192.168.11.2
  5. Geben Sie die Schnittstelle an, die benötigt wird, um das zu erreichen NetFlow Collector am konfigurierten Ziel.
    source <interface_type> <number>
    Zum Beispiel:
    source ethernet 2/2
  6. Geben Sie die NetFlow-Exportversion an:
    version 9

Konfiguration von Cisco Switches über Cisco IOS CLI

  1. Melden Sie sich bei der Cisco IOS-Befehlszeilenschnittstelle an und führen Sie die folgenden Befehle aus.
  2. Rufen Sie den globalen Konfigurationsmodus auf:
    config t
  3. Geben Sie die Schnittstelle an und wechseln Sie in den Schnittstellenkonfigurationsmodus.
    • Cisco Router der Serie 7500:
      interface <type> <slot>/<port-adapter>/<port>
      Zum Beispiel:
      interface fastethernet 0/1/0
    • Cisco Router der Serie 7200:
      interface <type> <slot>/<port>
      Zum Beispiel:
      interface fastethernet 0/1
  4. NetFlow aktivieren:
    ip route-cache flow
  5. NetFlow-Statistiken exportieren:
    ip flow-export <ip-address> <udp-port> version 5

    Wo <ip-address> ist die Management + Flow Target-Schnittstelle auf dem ExtraHop-System und <udp-port> ist die konfigurierte Collector-UDP-Portnummer.

Hilfe für Early-Access-Funktionen

Wenn Sie Hilfe zu dieser Early-Access-Funktion benötigen, wenden Sie sich an Ihren ExtraHop-Vertriebsmitarbeiter.

Last modified 2024-02-12