PCAP konfigurieren

Ihr ExtraHop-System muss für die PCAP lizenziert und mit einer dedizierten Speicherplatte konfiguriert sein. Körperlich Sensoren erfordern eine SSD-Speicherfestplatte und virtuelle Sensoren erfordern eine Festplatte, die auf Ihrem Hypervisor konfiguriert ist.

1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
2. Klicken Sie im Abschnitt Appliance-Einstellungen auf Festplatten.
3. Abhängig von deinem Sensor Typ- und Menüoptionen, konfigurieren Sie die folgenden Einstellungen.
   • Für physische Sensoren klicken Sie Aktivieren neben SSD Assisted Packet Capture, und klicken Sie dann auf OK.
   • Stellen Sie für virtuelle Sensoren sicher, dass running wird in der Spalte Status angezeigt und dass die Festplattengröße, die Sie für die PCAP konfiguriert haben, in der Spalte Größe angezeigt wird. klicken Aktivieren neben Triggered Packet Capture, und klicken Sie dann auf OK.

Festplatten zur Paketerfassung können mit 256-Bit-AES-Verschlüsselung gesichert werden.

1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
2. Wählen Sie auf der Seite Festplatten je nach Sensortyp eine der folgenden Optionen aus.
   • Für virtuelle Sensoren klicken Sie auf Konfigurieren neben Triggered Packet Capture.
   • Für physische Sensoren klicken Sie auf Konfigurieren neben SSD Assisted Packet Capture.
3. Klicken Festplatte verschlüsseln.
4. Geben Sie einen Festplattenverschlüsselungsschlüssel aus einer der folgenden Optionen an:
   • Geben Sie eine Passphrase in die Felder Passphrase und Bestätigen ein.
   • Klicken Wählen Sie Datei und wählen Sie eine Verschlüsselungsschlüsseldatei aus.
5. Klicken Verschlüsseln.

Sie können eine verschlüsselte Paketerfassungsdiskette so formatieren, dass alle Paketerfassungen dauerhaft entfernt werden. Durch das Formatieren einer verschlüsselten Festplatte wird die Verschlüsselung entfernt. Wenn Sie einen unverschlüsselten Paketerfassungsdatenträger formatieren möchten, müssen Sie den Datenträger entfernen und ihn dann erneut aktivieren.

1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
2. Wählen Sie auf der Seite Festplatten je nach Appliance-Plattform eine der folgenden Optionen aus.
   • Für virtuelle Sensoren klicken Sie konfigurieren neben Triggered Packet Capture.
   • Für physische Sensoren klicken Sie auf konfigurieren neben SSD Assisted Packet Capture.
3. klicken Festplattenverschlüsselung löschen.
4. klicken Format.

Wenn Sie eine Paketerfassungsdiskette ersetzen möchten, müssen Sie zuerst die Festplatte aus dem System entfernen. Wenn eine Paketerfassungsdiskette aus dem System entfernt wird, werden alle Daten auf der Festplatte dauerhaft gelöscht.

1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
2. Wählen Sie auf der Seite Festplatten je nach Appliance-Plattform eine der folgenden Optionen aus.
   • Für virtuelle Appliances klicken Sie auf konfigurieren neben Triggered Packet Capture.
   • Für physische Geräte klicken Sie auf konfigurieren neben SSD Assisted Packet Capture.
3. klicken Festplatte entfernen.
4. Wählen Sie eine der folgenden Formatoptionen aus:
   • Schnelles Formatieren
   • Sicheres Löschen
5. klicken entfernen.

Eine globale PCAP sammelt jedes Paket, das an das ExtraHop-System gesendet wird, für die Dauer, die den Kriterien entspricht.

1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
2. Klicken Sie im Abschnitt Paketerfassungen auf Globale Paketerfassung.
3. In der Starten Sie die globale Paketerfassung Abschnitt, füllen Sie die folgenden Felder aus. Sie müssen nur die gewünschten Kriterien für die Paketerfassung angeben:

   Name: Ein Name zur Identifizierung der PCAP.

   Max. Anzahl Pakete: Die maximale Anzahl von Paketen, die erfasst werden sollen.

   Max. Byte: Die maximale Anzahl von Byte, die erfasst werden sollen.

   Max. Dauer (Millisekunden): Die maximale Dauer der PCAP in Millisekunden. Wir empfehlen den Standardwert 1000 (1 Sekunde) oder eine Konfiguration von bis zu 60000 Millisekunden (1 Minute).

   Snaplen: Die maximale Anzahl von Byte, die pro Frame kopiert werden. Der Standardwert ist 96 Byte, aber Sie können diesen Wert auf eine Zahl zwischen 1 und 65535 setzen.

4. klicken Start.

   Hinweis:

   Notieren Sie sich die Uhrzeit, zu der Sie mit der Erfassung beginnen, damit Sie die Pakete leichter finden können.

5. klicken Stopp um die Paketerfassung zu beenden, bevor eine der Höchstgrenzen erreicht ist.

Präzise Paketerfassungen erfordern ExtraHop-Trigger, mit denen Sie nur die Pakete erfassen können, die Ihren Spezifikationen entsprechen. Trigger sind hochgradig anpassbarer benutzerdefinierter Code, der bei definierten Systemereignissen ausgeführt wird.

1. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Auslöser.
2. klicken Erstellen.
3. Geben Sie einen Namen für den Auslöser ein und wählen Sie die Ereignisse HTTP_REQUEST und HTTP_RESPONSE aus.
4. Geben oder fügen Sie den folgenden Triggercode in den rechten Bereich ein.

   Flow.captureStart("HTTP host " + HTTP.host, {maxPackets: 10});
   

   Kopieren
5. Weisen Sie den Auslöser einem Gerät oder einer Gruppe von Geräten zu.

   Warnung:

   Das Ausführen von Triggern auf nicht benötigten Geräten und Netzwerken erschöpft die Systemressourcen. Minimiere die Auswirkungen auf die Leistung, indem du einen Auslöser nur den spezifischen Quellen zuweist, aus denen du Daten sammeln musst.

6. Wählen Auslöser aktivieren.
7. klicken Speichern.