PCAP konfigurieren

Ihr ExtraHop-System muss für die PCAP lizenziert und mit einer dedizierten Speicherplatte konfiguriert sein. Körperlich Sensoren benötigen eine SSD-Speicherfestplatte und virtuelle Sensoren benötigen eine Festplatte, die auf Ihrem Hypervisor konfiguriert ist.

1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
2. In der Appliance-Einstellungen Abschnitt, klicken Festplatten.
3. Abhängig von deinem Sensor Typ- und Menüoptionen, konfigurieren Sie die folgenden Einstellungen.
   • Für physische Sensoren klicken Sie auf Aktiviere neben SSD Assisted Packet Capture, und klicken Sie dann auf OK.
   • Stellen Sie für virtuelle Sensoren sicher, dass running wird in der Spalte Status angezeigt und die Festplattengröße, die Sie für die PCAP konfiguriert haben, wird in der Spalte Größe angezeigt. Klicken Sie Aktiviere neben Ausgelöste Paketerfassung, und klicken Sie dann auf OK.

Festplatten zur Paketerfassung können mit 256-Bit-AES-Verschlüsselung gesichert werden.

1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
2. Wählen Sie auf der Seite Festplatten je nach Sensortyp eine der folgenden Optionen aus.
   • Für virtuelle Sensoren klicken Sie auf Konfigurieren neben Triggered Packet Capture.
   • Für physische Sensoren klicken Sie auf Konfigurieren neben SSD Assisted Packet Capture.
3. Klicken Festplatte verschlüsseln.
4. Geben Sie einen Festplattenverschlüsselungsschlüssel aus einer der folgenden Optionen an:
   • Geben Sie eine Passphrase in die Felder Passphrase und Bestätigen ein.
   • Klicken Wählen Sie Datei und wählen Sie eine Verschlüsselungsschlüsseldatei aus.
5. Klicken Verschlüsseln.

Sie können eine verschlüsselte Paketerfassungsdiskette so formatieren, dass alle Paketerfassungen dauerhaft entfernt werden. Durch das Formatieren einer verschlüsselten Festplatte wird die Verschlüsselung entfernt. Wenn Sie einen unverschlüsselten Paketerfassungsdatenträger formatieren möchten, müssen Sie den Datenträger entfernen und ihn dann erneut aktivieren.

1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
2. Wählen Sie auf der Seite Festplatten je nach Appliance-Plattform eine der folgenden Optionen aus.
   • Für virtuelle Sensoren klicken Sie konfigurieren neben Triggered Packet Capture.
   • Für physische Sensoren klicken Sie auf konfigurieren neben SSD Assisted Packet Capture.
3. klicken Festplattenverschlüsselung löschen.
4. klicken Format.

Wenn Sie eine Paketerfassungsdiskette ersetzen möchten, müssen Sie zuerst die Festplatte aus dem System entfernen. Wenn eine Paketerfassungsdiskette aus dem System entfernt wird, werden alle Daten auf der Festplatte dauerhaft gelöscht.

1. In der Einstellungen der Appliance Abschnitt, klicken Festplatten.
2. Wählen Sie auf der Seite Festplatten je nach Appliance-Plattform eine der folgenden Optionen aus.
   • Für virtuelle Appliances klicken Sie auf konfigurieren neben Triggered Packet Capture.
   • Für physische Geräte klicken Sie auf konfigurieren neben SSD Assisted Packet Capture.
3. klicken Festplatte entfernen.
4. Wählen Sie eine der folgenden Formatoptionen aus:
   • Schnelles Formatieren
   • Sicheres Löschen
5. klicken entfernen.

Eine globale PCAP erfasst jedes Paket, das an das ExtraHop-System gesendet wird, für die Dauer, die den Kriterien entspricht.

1. Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
2. In der Paketerfassung Abschnitt, klicken Globale Paketerfassung.
   Bei der Konfiguration der PCAP müssen Sie nur die gewünschten Kriterien für die Paketerfassung angeben.
3. In der Name Feld, geben Sie einen Namen ein, um die Paketerfassung zu identifizieren.
4. In der Max. Pakete Feld, geben Sie die maximale Anzahl der zu erfassenden Pakete ein.
5. In der Max. Byte Feld, geben Sie die maximale Anzahl der zu erfassenden Byte ein.
6. In der Max. Dauer (Millisekunden) Feld, geben Sie die maximale Dauer der PCAP in Millisekunden ein.
   ExtraHop empfiehlt den Standardwert 1000 (1 Sekunde). Der Maximalwert beträgt bis zu 60000 Millisekunden (1 Minute).
7. In der Schnappschuss Feld, geben Sie die maximale Anzahl der pro Frame kopierten Byte ein.
   Der Standardwert ist 96 Byte, aber Sie können diesen Wert auf eine Zahl zwischen 1 und 65535 setzen.
8. Klicken Sie Starten.

   Hinweis:

   Notieren Sie sich den Zeitpunkt, zu dem Sie mit der Erfassung beginnen, um das Auffinden der Pakete zu erleichtern.

9. Klicken Sie Stopp um die Paketerfassung zu stoppen, bevor eine der Höchstgrenzen erreicht wird.

Für präzise Paketerfassungen sind ExtraHop-Trigger erforderlich, mit denen Sie nur die Pakete erfassen können, die Ihren Spezifikationen entsprechen. Trigger sind hochgradig anpassbarer benutzerdefinierter Code, der bei definierten Systemereignissen ausgeführt wird.

1. Klicken Sie auf das Symbol Systemeinstellungen und klicken Sie dann Trigger.
2. klicken Erstellen.
3. Geben Sie einen Namen für den Auslöser ein und wählen Sie die Ereignisse HTTP_REQUEST und HTTP_RESPONSE aus.
4. Geben Sie den folgenden Triggercode in den rechten Bereich ein oder fügen Sie ihn ein.

   Flow.captureStart("HTTP host " + HTTP.host, {maxPackets: 10});
   

   Kopieren
5. Weisen Sie den Auslöser einem Gerät oder einer Gruppe von Geräten zu.

   Warnung:

   Das Ausführen von Triggern auf unnötigen Geräten und Netzwerken erschöpft die Systemressourcen. Minimieren Sie die Auswirkungen auf die Leistung, indem Sie einen Auslöser nur den spezifischen Quellen zuweisen, aus denen Sie Daten erheben müssen.

6. Wählen Auslöser aktivieren.
7. Klicken Sie Speichern.