Optimierungsregeln migrieren

1. Rufen Sie die Metadaten der Optimierungsregel aus dem Quellsystem ab.
   1. Navigieren Sie in einem Browser zum REST API Explorer.
      Die URL ist der Hostname oder die IP-Adresse Ihres Sensor oder Konsole, gefolgt von /api/v1/explore/. Wenn Ihr Hostname beispielsweise seattle-eda ist, lautet die URL https://seattle-eda/api/v1/explore/.
   2. klicken API-Schlüssel eingeben und fügen Sie dann Ihren API-Schlüssel ein oder geben Sie ihn in das API-Schlüssel Feld.
   3. klicken Autorisieren und dann klicken Schliessen.
   4. klicken Erkennungen.
   5. klicken GET /detections/rules/hiding.
   6. klicken Probiere es aus.
   7. klicken Anfrage senden.
   8. Kopieren Sie im Feld Antworttext das JSON-Objekt, das die Optimierungsregel darstellt, die Sie kopieren möchten.
2. Erstellen Sie die Optimierungsregel auf dem Zielsystem neu.
   1. Navigieren Sie in einem Browser zum REST API Explorer.
   2. klicken API-Schlüssel eingeben und fügen Sie dann Ihren API-Schlüssel ein oder geben Sie ihn in das API-Schlüssel Feld.
   3. klicken Autorisieren und dann klicken Schliessen.
   4. klicken Erkennungen.
   5. klicken POST /entdeckungen/regeln/verstecken.
   6. klicken Probiere es aus.
   7. Fügen Sie das JSON-Objekt, das Sie aus der Quelle kopiert haben, in das Textfeld ein Sensor oder Konsole.

      Der Eintrag sollte dem folgenden Text ähneln:

      {
          "id": 1,
          "enabled": false,
          "detection_type": "cifs_round_trip_time",
          "offender": {
            "object_type": "device",
            "object_id": 123
          },
          "victim": {
            "object_type": "device",
            "object_id": 321
          },
          "author": "example_user",
          "create_time": 1615588932838,
          "expiration": 1615675096000,
          "detections_hidden": 0
      }

      Kopieren

      Hinweis:

      Wenn der description oder properties Feld ist auf Null gesetzt null, müssen Sie diese Felder aus dem JSON entfernen, bevor Sie die Anfrage senden.

   8. klicken Anfrage senden.
3. Optional: Deaktivieren Sie die Tuning-Regel auf dem Zielsystem.

   Wenn die Optimierungsregel auf dem Quellsystem deaktiviert war, wird dies durch das aktivierte Feld angezeigt, das auf gesetzt ist false, setzen Sie das Feld enabled auf dem Zielsystem auf False.

   1. Navigieren Sie in einem Browser zum REST API Explorer.
   2. klicken API-Schlüssel eingeben und fügen Sie dann Ihren API-Schlüssel ein oder geben Sie ihn in das API-Schlüssel Feld.
   3. klicken Autorisieren und dann klicken Schliessen.
   4. klicken Erkennungen.
   5. klicken PATCH /Erkennungen/Regeln/Ausblenden.
   6. klicken Probiere es aus.
   7. Fügen Sie in das Textfeld den folgenden JSON-Code ein:

      {
          "enabled": false
      }

      Kopieren
   8. klicken Anfrage senden.

Das ExtraHop GitHub-Repository enthält ein Python-Beispielskript, das alle Tuning-Regeln auf einer ECA-VM zu Reveal (x) 360 migriert.

1. Gehe zum ExtraHop Codebeispiele GitHub-Repository und laden Sie das herunter migrate_detection_hiding/migrate_detection_hiding.py Datei auf Ihrem lokalen Computer.
2. Öffnen Sie in einem Texteditor den migrate_detection_hiding.py archivieren und ersetzen Sie die folgenden Konfigurationsvariablen durch Informationen aus Ihrer Umgebung:

   QUELLE_HOST: Der Hostname der ECA-VM, von der Sie Tuning-Regeln migrieren

   QUELLE_API_KEY: Der API-SCHLÜSSEL auf der ECA-VM, von der Sie Tuning-Regeln migrieren

   ZIELHOST: Der Hostname der Reveal (x) 360-API, zu der Sie Tuning-Regeln migrieren. Dieser Hostname wird auf der Reveal (x) 360 API Access-Seite unter API-Endpunkt angezeigt. Der Hostname enthält nicht die /oauth2/token.

   ZIEL-ID: Die ID der REST-API-Anmeldeinformationen für Reveal (x) 360

   TARGET_SECRET: Das Geheimnis der REST-API-Anmeldeinformationen für Reveal (x) 360

3. Führen Sie den folgenden Befehl aus:

   python3 migrate_detection_hiding.py

   Kopieren

   Wenn Tuning-Regeln Teilnehmergeräte oder Gerätegruppen anhand einer ID spezifizieren, versucht das Skript, die IDs der entsprechenden Teilnehmer auf Reveal (x) 360 zu finden, indem es nach Geräte-IP-Adressen und Gerätegruppennamen sucht.

   Wenn das Skript die IDs für gleichwertige Teilnehmer auf Reveal (x) 360 nicht finden kann, fordert das Skript Sie auf, die anderen Regeln zu migrieren, für die entsprechende Teilnehmer gefunden wurden. Um fortzufahren, geben Sie y und drücken Sie ENTER.

   Hinweis:

   Wenn das Skript eine Fehlermeldung zurückgibt, dass die Überprüfung des SSL-Zertifikats fehlgeschlagen ist, stellen Sie sicher, dass Ihrem Sensor oder Ihrer Konsole wurde ein vertrauenswürdiges Zertifikat hinzugefügt. Alternativ können Sie das hinzufügen verify=False Option zur Umgehung der Zertifikatsüberprüfung. Diese Methode ist jedoch nicht sicher und wird nicht empfohlen. Der folgende Code sendet eine HTTP GET-Anfrage ohne Zertifikatsüberprüfung: requests.get(url, headers=headers, verify=False) Kopieren

Das ExtraHop GitHub-Repository enthält ein Python-Beispielskript, das alle Optimierungsregeln von einer ECA-VM auf eine andere ECA-VM migriert.

1. Gehe zum GitHub-Repository mit ExtraHop-Codebeispielen und laden Sie das herunter migrate_detection_hiding/migrate_detection_hiding_enterprise.py Datei auf Ihrem lokalen Computer.
2. Öffnen Sie in einem Texteditor migrate_detection_hiding_enterprise.py archivieren und ersetzen Sie die folgenden Konfigurationsvariablen durch Informationen aus Ihrer Umgebung:

   QUELLHOST: Der Hostname der ECA-VM, von der Sie die Tuning-Regeln migrieren

   QUELL-API-SCHLÜSSEL: Der API-SCHLÜSSEL auf der ECA-VM, von der Sie die Tuning-Regeln migrieren

   ZIELHOST: Der Hostname der ECA-VM, auf die Sie die Tuning-Regeln migrieren

   TARGET_API_KEY: Der API-SCHLÜSSEL auf der ECA-VM, auf die Sie die Tuning-Regeln migrieren

3. Führen Sie den folgenden Befehl aus:

   python3 migrate_detection_hiding_enterprise.py

   Kopieren

   Wenn Abstimmung Optimierungsregeln Teilnehmergeräte oder Gerätegruppen anhand einer ID angegeben werden, versucht das Skript, die IDs der entsprechenden Teilnehmer auf der ECA-Ziel-VM zu finden, indem es nach Geräte-IP-Adressen und Gerätegruppennamen sucht.

   Wenn das Skript die IDs für äquivalente Teilnehmer auf der ECA-Ziel-VM nicht finden kann, fordert das Skript Sie auf, die anderen Regeln zu migrieren, für die äquivalente Teilnehmer gefunden wurden. Um fortzufahren, geben Sie y und drücken Sie die EINGABETASTE.

   Hinweis:

   Wenn das Skript eine Fehlermeldung zurückgibt, dass die Überprüfung des SSL-Zertifikats fehlgeschlagen ist, stellen Sie sicher, dass Ihrem Sensor oder Ihrer Konsole wurde ein vertrauenswürdiges Zertifikat hinzugefügt. Alternativ können Sie das hinzufügen verify=False Option zur Umgehung der Zertifikatsüberprüfung. Diese Methode ist jedoch nicht sicher und wird nicht empfohlen. Der folgende Code sendet eine HTTP GET-Anfrage ohne Zertifikatsüberprüfung: requests.get(url, headers=headers, verify=False) Kopieren