Leitfaden für die Admin-Benutzeroberfläche
Einführung in die ExtraHop Admin-Benutzeroberfläche
Der Admin-UI-Leitfaden enthält detaillierte Informationen zu den Administratorfunktionen und -funktionen von ExtraHop. Sensoren und Konsolen. Dieses Handbuch bietet einen Überblick über die globale Navigation und Informationen zu den Steuerelementen, Feldern und Optionen, die in der gesamten Benutzeroberfläche verfügbar sind.
Video: | Sehen Sie sich die entsprechende Schulung an: RevealX Enterprise Administrationsoberfläche |
Wir schätzen Ihr Feedback. Bitte teilen Sie uns mit, wie wir dieses Dokument verbessern können. Senden Sie Ihre Kommentare oder Vorschläge an documentation@extrahop.com.
Unterstützte Browser
Die folgenden Browser sind mit allen ExtraHop-Systemen kompatibel. Wenden Sie die von Ihrem Browser bereitgestellten Barrierefreiheits- und Kompatibilitätsfunktionen an, um über technische Hilfsmittel auf Inhalte zuzugreifen.
- Firefox
- Google Chrome
- Microsoft Edge
- Safari
Wichtig: | Internet Explorer 11 wird nicht mehr unterstützt. Wir empfehlen Ihnen, die neueste Version aller unterstützten Browser zu installieren. |
Status und Diagnose
Das Status und Diagnose Der Abschnitt enthält Kennzahlen zum allgemeinen Zustand Ihres ExtraHop-Systems.
Gesundheit
Das Gesundheit Diese Seite bietet eine Sammlung von Metriken, die Ihnen helfen, den Betrieb Ihres ExtraHop-Systems zu überwachen, und ermöglicht es dem ExtraHop-Support, bei Bedarf Systemfehler zu beheben.
- System
- Meldet die folgenden Informationen zur CPU-Auslastung und zur Festplatte des Systems.
- CPU-Benutzer
- Der Prozentsatz der CPU-Auslastung, der dem ExtraHop-Systembenutzer zugeordnet ist.
- CPU-System
- Der Prozentsatz der CPU-Auslastung im Zusammenhang mit dem ExtraHop-System.
- CPU im Leerlauf
- Der Prozentsatz der CPU-Leerlaufzeit, der dem ExtraHop-System zugeordnet ist.
- CPU-IO
- Der Prozentsatz der CPU-Auslastung, der mit den I/O-Funktionen des ExtraHop-Systems verbunden ist.
- Status der Brücke
- Meldet die folgenden Informationen über die ExtraHop-System-Bridge-Komponente.
- VM RSS
- Der verwendete physische Speicher des Bridge-Prozesses.
- VM-Daten
- Der Bridge-Prozess speichert virtuellen Speicher, der gerade verwendet wird.
- VM-Größe
- Der Bridge-Prozess verarbeitet den gesamten verwendeten virtuellen Speicher.
- Startzeit
- Gibt die Startzeit für die ExtraHop-System-Bridge-Komponente an.
- Status erfassen
- Meldet die folgenden Informationen zum Netzwerkaufzeichnungsstatus des ExtraHop-Systems.
- VM RSS
- Der verwendete physische Speicher des Netzwerkaufzeichnungsprozesses.
- VM-Daten
- Der Netzwerkaufzeichnungsprozess heapt den verwendeten virtuellen Speicher.
- VM-Größe
- Der gesamte verwendete virtuelle Speicher des Netzwerkaufzeichnungsprozesses.
- Startzeit
- Die Startzeit für die ExtraHop-Netzwerkerfassung.
- Status des Dienstes
- Meldet den Status der ExtraHop-Systemdienste.
- Exalarme
- Die Zeitdauer, in der der ExtraHop-Systemwarnungsdienst ausgeführt wurde.
- ausdehnen
- Die Zeitdauer, in der der ExtraHop-Systemtrend-Service ausgeführt wurde.
- exconfig
- Die Zeit, in der der ExtraHop-Systemkonfigurationsdienst ausgeführt wurde.
- exportale
- Die Zeit, in der der Webportaldienst des ExtraHop-Systems ausgeführt wurde.
- Exshell
- Die Zeitdauer, in der der ExtraHop-System-Shell-Service ausgeführt wurde.
- Schnittstellen
- Meldet den Status der ExtraHop-Systemschnittstellen.
- RX-Pakete
- Die Anzahl der Pakete, die von der angegebenen Schnittstelle empfangen wurden das ExtraHop-System.
- RX-Fehler
- Die Anzahl der empfangenen Paketfehler auf dem angegebenen Schnittstelle.
- RX Drops
- Die Anzahl der empfangenen Pakete, die durch den angegebenen Wert gelöscht wurden Schnittstelle.
- TX-Pakete
- Die Anzahl der Pakete, die von der angegebenen Schnittstelle übertragen werden auf dem ExtraHop-System.
- TX-Fehler
- Die Anzahl der übertragenen Paketfehler auf dem angegebenen Schnittstelle.
- TX Drops
- Die Anzahl der übertragenen Pakete, die durch den angegebenen Wert gelöscht wurden Schnittstelle.
- RX-Bytes
- Die Anzahl der Byte, die von der angegebenen Schnittstelle auf dem ExtraHop-System.
- TX-Bytes
- Die Anzahl der Byte, die von der angegebenen Schnittstelle übertragen werden das ExtraHop-System.
- Partitionen
- Meldet den Speicher, der Systemkomponenten für das ExtraHop-System zugewiesen wurde.
- Name
- Die Systemkomponenten, die eine Speicherpartition im NVRAM haben.
- Optionen
- Die Lese- und Schreiboptionen für die Systemkomponenten.
- Größe
- Die Partitionsgröße in Gigabyte, die der Systemkomponente zugewiesen ist.
- Auslastung
- Die Menge an Arbeitsspeicher, die derzeit von den Systemkomponenten verbraucht wird, als Menge und als Prozentsatz der gesamten Partition.
Anzahl und Limit der aktiven Gerät
Anhand des Diagramms Anzahl und Limit der aktiven Gerät können Sie überwachen, ob die Anzahl Ihrer aktiven Geräte das lizenzierte Limit überschritten hat. Beispielsweise sind für ein ExtraHop-System mit einem Frequenzband von 20.000 bis 50.000 Geräten bis zu 50.000 Geräte zulässig.
Klicken Sie Systemeinstellungen und klicken Sie dann Die gesamte Verwaltung. Aus dem Status und Diagnose Abschnitt, klicken Sie Anzahl und Limit der aktiven Geräte um das Diagramm anzusehen.
Das Diagramm „Anzahl und Limit aktiver Geräte" zeigt die folgenden Metriken an:
- Die gestrichelte rote Linie steht für Limit für lizenzierte Gerät.
- Die durchgezogene schwarze Linie steht für das 95. Perzentil der aktiven Geräte, die in den letzten 30 Tagen täglich beobachtet wurden.
- Die blauen Balken stellen die maximale Anzahl aktiver Geräte dar, die in den letzten 30 Tagen täglich beobachtet wurden.
Auf dieser Seite werden auch die folgenden Metriken angezeigt:
- Das lizenzierte Gerätelimit für den Vortag und die letzten 30 Tage.
- Die Anzahl der am Vortag beobachteten aktiven Geräte.
- Das 95. Perzentil der in den letzten 30 Tagen beobachteten aktiven Geräte.
- Der Nutzungsprozentsatz des lizenzierten Gerätelimits für den Vortag und die letzten 30 Tage. Die Nutzung ist die Anzahl der aktiven Gerät geteilt durch das lizenzierte Limit.
Sie können eine Systembenachrichtigungsregel erstellen, die Sie warnt, wenn sich die Auslastung der lizenzierten Geräte dem Limit nähert (über 80%) or over (exceeds 100%). Die prozentualen Grenzwerte können bei der Erstellung einer Regel angepasst werden. Wenn Sie feststellen, dass Sie sich ständig dem lizenzierten Limit nähern oder es überschreiten, empfehlen wir Ihnen, mit Ihrem Vertriebsteam zusammenzuarbeiten, um in den nächsten verfügbaren Kapazitätsbereich zu wechseln.
Anzahl der aktiven Gerät überprüfen
Sie können das Diagramm „Anzahl aktiver Gerät und Limit" anzeigen, um zu überwachen, ob die Anzahl Ihrer aktiven Geräte das lizenzierte Limit überschritten hat.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- Aus dem Status und Diagnose Abschnitt, klicken Anzahl und Limit der aktiven Geräte um das Diagramm anzusehen.
Audit-Protokoll
Das Audit-Log enthält Daten über den Betrieb Ihres ExtraHop-Systems, aufgeschlüsselt nach Komponenten. Das Audit-Log listet alle bekannten Ereignisse nach Zeitstempel in umgekehrter chronologischer Reihenfolge auf.
Audit-Log-Daten an einen Remote-Syslog-Server senden
Das Audit-Log sammelt Daten über den Betrieb des ExtraHop-Systems, aufgeschlüsselt nach Komponenten. Das auf dem System gespeicherte Protokoll hat eine Kapazität von 10.000 Einträgen, und Einträge, die älter als 90 Tage sind, werden automatisch entfernt. Sie können diese Einträge in den Verwaltungseinstellungen einsehen oder die Audit-Log-Ereignisse zur Langzeitspeicherung, Überwachung und erweiterten Analyse an einen Syslog-Server senden. Alle protokollierten Ereignisse sind in der folgenden Tabelle aufgeführt.
Die folgenden Schritte zeigen Ihnen, wie Sie das ExtraHop-System so konfigurieren, dass Audit-Log-Daten an einen Remote-Syslog-Server gesendet werden.
Nächste Maßnahme
Nachdem Sie bestätigt haben, dass Ihre neuen Einstellungen wie erwartet funktionieren, behalten Sie Ihre Konfigurationsänderungen bei, indem Sie die laufende Konfigurationsdatei speichern.Audit-Log-Ereignisse
Die folgenden Ereignisse auf einem ExtraHop-System generieren einen Eintrag im Audit-Log.
Kategorie | Ereignis |
---|---|
Vereinbarungen |
|
API |
|
Sensormigration |
|
Browsersitzungen |
|
Cloud-Dienste |
|
Konsole |
|
Armaturenbretter |
|
Datenspeicher |
|
Erkennungen |
|
Ausnahmedateien |
|
ExtraHop Recordstore Records |
|
ExtraHop-Recordstore-Cluster |
|
ExtraHop Aktualisierungsservice |
|
Firmware |
|
Globale Richtlinien |
|
Integrationen |
|
Lizenz |
|
Loggen Sie sich in das ExtraHop-System ein |
|
Loggen Sie sich über SSH oder REST API ein |
|
Module |
|
Netzwerk |
|
Offline-Erfassung |
|
PCAP |
|
Fernzugriff |
|
RPCAP |
|
Konfiguration ausführen |
|
SAML-Identitätsanbieter |
|
SAML-Anmeldung |
|
SAML-Rechte |
|
Sensor-Tags |
|
SSL-Entschlüsselung |
|
SSL-Sitzungsschlüssel |
|
Kundendienst-Konto |
|
Unterstützungsskript |
|
Syslog |
|
System- und Servicestatus |
|
Systemzeit |
|
Systembenutzer |
|
TAXII-Feeds |
|
Informationsgespräche über Bedrohungen |
|
ExtraHop Packetstore |
|
Tendenzen |
|
Trigger |
|
Benutzergruppen |
|
Fingerabdruck
Fingerabdrücke helfen dabei, Appliances vor Machine-in-the-Middle-Angriffen zu schützen, indem sie eine eindeutige Kennung bereitstellen, die beim Verbinden von ExtraHop-Appliances verifiziert werden kann.
Wenn Sie einen ExtraHop-Recordstore oder Packetstore mit einem Paketsensor oder einer Konsole verbinden, stellen Sie sicher, dass der angezeigte Fingerabdruck genau dem Fingerabdruck entspricht, der auf der Join- oder Pairing-Seite angezeigt wird.
Wenn die Fingerabdrücke nicht übereinstimmen, wurde die Kommunikation zwischen den Geräten möglicherweise abgefangen und verändert.
Ausnahmedateien
Ausnahmedateien sind eine Kerndatei der im Speicher gespeicherten Daten. Wenn Sie die Einstellung Ausnahmedatei aktivieren, wird die Kerndatei auf die Festplatte geschrieben, wenn das System unerwartet stoppt oder neu gestartet wird. Diese Datei kann dem ExtraHop Support helfen, das Problem zu diagnostizieren.
Klicken Sie Ausnahmedateien aktivieren oder Ausnahmedateien deaktivieren um das Speichern von Ausnahmedateien zu aktivieren oder zu deaktivieren.
Unterstützungsskripte
ExtraHop Support stellt möglicherweise ein Support-Skript bereit, das eine spezielle Einstellung anwenden, eine kleine Anpassung am ExtraHop-System vornehmen oder Hilfe beim Fernsupport oder bei erweiterten Einstellungen bieten kann. Die Administrationseinstellungen ermöglichen es Ihnen, Support-Skripte hochzuladen und auszuführen.
Netzwerk-Einstellungen
Die Netzwerk-Einstellungen Dieser Abschnitt enthält Konfigurationseinstellungen für Ihr ExtraHop-System. Mit diesen Einstellungen können Sie einen Hostnamen festlegen, Benachrichtigungen konfigurieren und Verbindungen zu Ihrem System verwalten.
Stellen Sie eine Verbindung zu ExtraHop Cloud Services her
ExtraHop Cloud Services bietet Zugriff auf die Cloud-basierten Dienste von ExtraHop über eine verschlüsselte Verbindung.
Nachdem die Verbindung hergestellt wurde, werden Informationen zu den verfügbaren Diensten auf der Seite ExtraHop Cloud Services angezeigt.
- Durch das Teilen von Daten mit dem ExtraHop Machine Learning Service können Sie Funktionen aktivieren, die das ExtraHop-System und Ihre Benutzererfahrung
verbessern.
- Aktivieren Sie den AI-Suchassistenten, um Geräte mit Benutzeraufforderungen in natürlicher Sprache zu finden, die zur Produktverbesserung mit ExtraHop Cloud Services geteilt
werden. Sehen Sie die Häufig gestellte Fragen zum AI-Suchassistenten für weitere
Informationen. AI Search Assistant kann derzeit nicht für die folgenden
Regionen aktiviert werden:
- Asien-Pazifik (Singapur, Sydney, Tokio)
- Europa (Frankfurt, Paris)
- Melden Sie sich für Expanded Threat Intelligence an, damit der Machine Learning Service Daten wie IP-Adressen und Hostnamen anhand der von CrowdStrike bereitgestellten Bedrohungsinformationen, gutartigen Endpunkten und anderen Informationen zum Netzwerkverkehr überprüfen kann. Sehen Sie die Häufig gestellte Fragen zu erweiterten Bedrohungsinformationen für weitere Informationen.
- Tragen Sie Daten wie Datei-Hashes und externe IP-Adressen zur Collective Threat Analysis bei, um die Erkennungsgenauigkeit zu verbessern. Sehen Sie die Häufig gestellte Fragen zur kollektiven Gefahrenanalyse für weitere Informationen.
- Aktivieren Sie den AI-Suchassistenten, um Geräte mit Benutzeraufforderungen in natürlicher Sprache zu finden, die zur Produktverbesserung mit ExtraHop Cloud Services geteilt
werden. Sehen Sie die Häufig gestellte Fragen zum AI-Suchassistenten für weitere
Informationen. AI Search Assistant kann derzeit nicht für die folgenden
Regionen aktiviert werden:
- Der ExtraHop Update Service ermöglicht automatische Aktualisierungen von Ressourcen auf dem ExtraHop-System, wie z. B. Ransomware-Paketen.
- Mit ExtraHop Remote Access können Sie Mitgliedern des ExtraHop-Account-Teams und dem ExtraHop-Support erlauben, sich mit Ihrem ExtraHop-System zu verbinden, um Hilfe bei der Konfiguration zu erhalten. Sehen Sie die Häufig gestellte Fragen zum Fernzugriff für weitere Informationen über Benutzer mit Fernzugriff.
Video: | Sehen Sie sich die entsprechende Schulung an: Stellen Sie eine Verbindung zu ExtraHop Cloud Services her |
Before you begin
- RevealX 360-Systeme werden automatisch mit ExtraHop Cloud Services verbunden. Möglicherweise müssen Sie jedoch Zugriff über Netzwerkfirewalls zulassen.
- Sie müssen die entsprechende Lizenz auf dem ExtraHop-System anwenden, bevor Sie eine Verbindung zu ExtraHop Cloud Services herstellen können. Sehen Sie die Häufig gestellte Fragen zur Lizenz für weitere Informationen.
- Sie müssen eingerichtet haben oder System- und Zugriffsadministrationsrechte um auf die Administrationseinstellungen zuzugreifen.
Konfigurieren Sie Ihre Firewallregeln
Wenn Ihr ExtraHop-System in einer Umgebung mit einer Firewall eingesetzt wird, müssen Sie den Zugriff auf ExtraHop Cloud Services öffnen. Für RevealX 360-Systeme, die mit selbstverwalteten Systemen verbunden sind Sensoren, müssen Sie auch den Zugriff auf den Cloud-basierten Recordstore öffnen, der in RevealX Standard Investigation enthalten ist
Offener Zugang zu Cloud-Diensten
Für den Zugriff auf ExtraHop Cloud Services ist Ihr Sensoren muss in der Lage sein, DNS-Abfragen für*.extrahop.com aufzulösen und von der IP-Adresse, die Ihrer entspricht, auf TCP 443 (HTTPS) zuzugreifen Sensor Lizenz:
- 35.161.154.247 (Portland, VEREINIGTE STAATEN VON AMERIKA)
- 54.66.242.25 (Sydney, Australien)
- 52.59.110.168 (Frankfurt, Deutschland)
Offener Zugang zu RevealX 360 Standard Investigation
Für den Zugriff auf RevealX 360 Standard Investigation ist Ihr Sensoren muss in der Lage sein, auf ausgehendes TCP 443 (HTTPS) auf diese vollständig qualifizierten Domainnamen zuzugreifen:
- bigquery.googleapis.com
- bigquerystorage.googleapis.com
- oauth2.googleapis.com
- www.googleapis.com
- www.mtls.googleapis.com
- iamcredentials.googleapis.com
Sie können auch die öffentlichen Leitlinien von Google zu folgenden Themen lesen: Berechnung möglicher IP-Adressbereiche für googleapis.com.
Zusätzlich zur Konfiguration des Zugriffs auf diese Domänen müssen Sie auch die globale Proxyserver-Einstellungen.
Stellen Sie über einen Proxy eine Verbindung zu ExtraHop Cloud Services her
Wenn Sie keine direkte Internetverbindung haben, können Sie versuchen, über einen expliziten Proxy eine Verbindung zu ExtraHop Cloud Services herzustellen.
Before you begin
Überprüfen Sie, ob Ihr Proxyanbieter so konfiguriert ist, dass er Machine-in-the-Middle (MITM) ausführt, wenn SSH über HTTP CONNECT zu localhost:22 getunnelt wird. ExtraHop Cloud Services stellt einen verschlüsselten inneren SSH-Tunnel bereit, sodass der Datenverkehr für die MITM-Inspektion nicht sichtbar ist. Wir empfehlen, eine Sicherheitsausnahme zu erstellen und die MITM-Inspektion für diesen Verkehr zu deaktivieren.Wichtig: | Wenn Sie MITM auf Ihrem Proxy nicht deaktivieren können, müssen Sie die Zertifikatsvalidierung in der Konfigurationsdatei des ExtraHop-Systems deaktivieren. Weitere Informationen finden Sie unter Zertifikatsvalidierung umgehen. |
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken Konnektivität.
- klicken ExtraHop Cloud Proxy aktivieren.
- In der Hostname Feld, geben Sie den Hostnamen für Ihren Proxyserver ein, z. B. Proxyhost.
- In der Hafen Feld, geben Sie den Port für Ihren Proxyserver ein, z. B. 8080.
- Optional: Falls erforderlich, in der Nutzername und Passwort Felder, geben Sie einen Benutzernamen und ein Passwort für Ihren Proxyserver ein.
- Klicken Sie Speichern.
Zertifikatsvalidierung umgehen
Einige Umgebungen sind so konfiguriert, dass verschlüsselter Datenverkehr das Netzwerk nicht verlassen kann, ohne von einem Drittanbietergerät überprüft zu werden. Dieses Gerät kann als TLS-Endpunkt fungieren, der den Datenverkehr entschlüsselt und erneut verschlüsselt, bevor die Pakete an ExtraHop Cloud Services gesendet werden.
Hinweis: | Für das folgende Verfahren müssen Sie mit der Änderung der laufenden ExtraHop-Konfigurationsdatei vertraut sein. |
Trennen Sie die Verbindung zu den ExtraHop Cloud Services
Sie können ein ExtraHop-System von den ExtraHop Cloud Services trennen.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken ExtraHop Cloud-Dienste.
- In der Verbindung zu Cloud-Diensten Abschnitt, klicken Sie Trennen.
Registrierung für ExtraHop Cloud Services verwalten
Wenn Sie eine bestehende Lizenz von einem ExtraHop-System auf ein anderes übertragen möchten, können Sie die Systemregistrierung auf der Seite ExtraHop Cloud Services verwalten. Durch die Aufhebung der Registrierung eines Systems werden alle Daten und historischen Analysen für den Machine Learning Service aus dem System gelöscht und sind nicht mehr verfügbar.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken ExtraHop Cloud-Dienste.
- In der Verbindung zu Cloud-Diensten Abschnitt, klicken Abmelden.
Konnektivität
Das Konnektivität Die Seite enthält Steuerelemente für Ihre Appliance-Verbindungen und Netzwerkeinstellungen.
- Status der Schnittstelle
- Auf physischen Appliances wird ein Diagramm der Schnittstellenverbindungen angezeigt, das basierend auf dem Portstatus
dynamisch aktualisiert wird.
- Der blaue Ethernet-Port dient der Verwaltung
- Ein schwarzer Ethernet-Port weist auf einen lizenzierten und aktivierten Port hin, der derzeit ausgefallen ist
- Ein grüner Ethernet-Port weist auf einen aktiven, verbundenen Port hin
- Ein grauer Ethernet-Port weist auf einen deaktivierten oder nicht lizenzierten Port hin
- Netzwerkeinstellungen
-
- Klicken Sie Einstellungen ändern um einen Hostnamen für Ihre ExtraHop-Appliance hinzuzufügen oder DNS-Server hinzuzufügen.
- Proxy-Einstellungen
-
- Aktiviere eine globaler Proxy um eine Verbindung zu einer ExtraHop-Konsole herzustellen
- Aktiviere eine Cloud-Proxy um eine Verbindung zu ExtraHop Cloud Services herzustellen
- Einstellungen für die Bond-Schnittstelle
-
- Erstellen Sie eine Bond-Schnittstelle um mehrere Schnittstellen zu einer logischen Schnittstelle mit einer einzigen IP-Adresse zu verbinden.
- Schnittstellen
- Sehen Sie sich Ihre Verwaltungs- und Überwachungsschnittstellen an und konfigurieren Sie sie. Klicken Sie auf eine beliebige Schnittstelle, um die Einstellungsoptionen anzuzeigen.
- Einstellungen für die Paketaufnahme
-
- Konfigurieren Sie die Quelle der Pakete, die von diesem Sensor aufgenommen werden. Sie können den Sensor so einrichten, dass er Pakete aus einem direkten Feed oder Pakete, die von einem Drittanbieter weitergeleitet wurden, aufnimmt.
Eine Schnittstelle konfigurieren
Stellen Sie eine statische Route ein
Before you begin
Sie müssen DHCPv4 deaktivieren, bevor Sie eine statische Route hinzufügen können.- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken Konnektivität.
- In der Schnittstellen Abschnitt, klicken Sie auf den Namen der Schnittstelle, die Sie konfigurieren möchten.
- Auf dem Netzwerkeinstellungen für die Schnittstelle <interface number> Seite, stellen Sie sicher, dass die IPv4-Adresse und Netzmaske Die Felder sind vollständig und gespeichert und klicken Sie auf Routen bearbeiten.
- In der Route hinzufügen Abschnitt, geben Sie einen Netzwerkadressbereich in CIDR-Notation in das Netzwerk Feld und IPv4-Adresse im Über IP Feld und dann klicken Hinzufügen.
- Wiederholen Sie den vorherigen Schritt für jede Route, die Sie hinzufügen möchten.
- Klicken Sie Speichern.
Schnittstellendurchsatz
ExtraHop Sensor Die Modelle EDA 6100, EDA 8100 und EDA 9100 sind für die Erfassung des Datenverkehrs ausschließlich an 10-GbE-Ports optimiert.
Die Aktivierung der 1-GbE-Schnittstellen für die Überwachung des Datenverkehrs kann sich je nach ExtraHop auf die Leistung auswirken Sensor. Sie können diese zwar optimieren Sensoren Um den Datenverkehr gleichzeitig an den 10-GbE-Anschlüssen und den drei nicht verwaltbaren 1-GbE-Ports zu erfassen, empfehlen wir Ihnen, sich an den ExtraHop-Support zu wenden, um Unterstützung zu erhalten, um einen verringerten Durchsatz zu vermeiden.
Hinweis: | Die Sensoren EDA 6200, EDA 8200, EDA 9200 und EDA 10200 sind nicht anfällig für einen reduzierten Durchsatz, wenn Sie 1-GbE-Schnittstellen für die Überwachung des Datenverkehrs aktivieren. |
ExtraHop-Sensor | Durchsatz | Einzelheiten |
---|---|---|
SEIT 1900 | Standarddurchsatz von 40 Gbit/s | Wenn die nicht verwaltbaren 1-GbE-Schnittstellen deaktiviert sind, können Sie bis zu vier der 10-GbE-Schnittstellen für einen kombinierten Durchsatz von bis zu 40 Gbit/s verwenden. |
SEIT 1800 | Standarddurchsatz von 20 Gbit/s | Wenn die nicht verwaltbaren 1-GbE-Schnittstellen deaktiviert sind, können Sie entweder eine oder beide der 10-GbE-Schnittstellen für einen kombinierten Durchsatz von bis zu 20 Gbit/s verwenden. |
AB 6100 | Standarddurchsatz von 10 Gbit/s | Wenn die nicht verwaltbaren 1-GbE-Schnittstellen deaktiviert sind, beträgt der maximale kombinierte Gesamtdurchsatz 10 Gbit/s. |
SEIT 3100 | Standarddurchsatz von 3 Gbit/s | Keine 10GbE-Schnittstelle |
SEIT 1100 | Standarddurchsatz von 1 Gbit/s | Keine 10GbE-Schnittstelle |
Sensordurchsatz für mehrere Module
Etwas ExtraHop Sensor Modelle unterstützen die Aktivierung des IDS-Moduls, sofern der Sensor für das NDR-Modul lizenziert ist. Die Aktivierung von Intrusion Detection System auf diesen Sensoren kann sich auf den Sensordurchsatz auswirken.
ExtraHop Sensormodell | IDS-Unterstützung | Durchsatz ohne Intrusion Detection System (Gbit/s) | Durchsatz mit Intrusion Detection System (Gbit/s) |
---|---|---|---|
1200 | Nein | 1 | N/A |
4200 | Nein | 5 | N/A |
6200 | Ja | 10 | 4 |
8200 | Ja | 25 | 10 |
8320 | Ja | 25 | 25 |
9200 | Ja | 50 | 20 |
9300 | Ja | 50 | 30 |
10200 | Ja | 100 | 40 |
10300 | Ja | 100 | TBD |
Globaler Proxyserver
Wenn Ihre Netzwerktopologie einen Proxyserver benötigt, damit Ihr ExtraHop-System entweder mit einem Konsole oder mit anderen Geräten außerhalb des lokalen Netzwerks können Sie Ihr ExtraHop-System so einrichten, dass es eine Verbindung zu einem Proxyserver herstellt, den Sie bereits in Ihrem Netzwerk haben. Für den globalen Proxyserver ist keine Internetverbindung erforderlich.
Einen globalen Proxy konfigurieren
Wichtig: | Sie können nur einen globalen Proxyserver pro ExtraHop-System konfigurieren. |
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken Konnektivität.
- In der Proxy-Einstellungen Abschnitt, klicken Sie Globalen Proxy aktivieren.
- In der Hostname Feld, geben Sie den Hostnamen oder die IP-Adresse für Ihren globalen Proxyserver ein
- In der Hafen In diesem Feld geben Sie die Portnummer für Ihren Proxyserver ein.
- In der Nutzername Geben Sie in dieses Feld den Namen eines Benutzers ein, der privilegierten Zugriff auf Ihren globalen Proxyserver hat.
- In der Passwort Feld, geben Sie das Passwort für den oben angegebenen Benutzer ein.
ExtraHop Cloud-Proxy
Wenn Ihr ExtraHop-System nicht über eine direkte Internetverbindung verfügt, können Sie über einen Proxy-Server, der speziell für die Konnektivität von ExtraHop-Cloud-Diensten vorgesehen ist, eine Verbindung zum Internet herstellen . Pro System kann nur ein Proxy konfiguriert werden.
Füllen Sie die folgenden Felder aus und klicken Sie auf Speichern um einen Cloud-Proxy zu aktivieren.
Hostname : Der Hostname oder die IP-Adresse für Ihren Cloud-Proxyserver.
Hafen : Die Portnummer für Ihren Cloud-Proxyserver.
Nutzername : Der Name eines Benutzers, der Zugriff auf Ihren Cloud-Proxyserver hat.
Passwort : Das Passwort für den oben angegebenen Benutzer.
Bond-Schnittstellen
Sie können mehrere Schnittstellen auf Ihrem ExtraHop-System zu einer einzigen logischen Schnittstelle verbinden, die eine IP-Adresse für die kombinierte Bandbreite der Mitgliedsschnittstellen hat. Verbindungsschnittstellen ermöglichen einen größeren Durchsatz mit einer einzigen IP-Adresse. Diese Konfiguration wird auch als Link-Aggregation, Port-Channeling, Linkbündelung, Ethernet-/Netzwerk-/NIC-Bonding oder NIC-Teaming bezeichnet. Bond-Schnittstellen können nicht in den Überwachungsmodus versetzt werden.
Hinweis: | Wenn Sie die Einstellungen der Bond-Schnittstelle ändern, verlieren Sie die Konnektivität zu Ihrem ExtraHop-System. Sie müssen Änderungen an Ihrer Netzwerk-Switch-Konfiguration vornehmen, um die Konnektivität wiederherzustellen. Die erforderlichen Änderungen hängen von Ihrem Switch ab. Wenden Sie sich an den ExtraHop-Support, um Unterstützung zu erhalten, bevor Sie eine Bond-Schnittstelle erstellen. |
- Bonding ist nur auf Management- oder Management +-Schnittstellen konfigurierbar.
- Port-Channeling auf den ExtraHop-Sensoren werden keine Anschlüsse zur Verkehrsüberwachung unterstützt.
Schnittstellen, die als Mitglieder einer Bond-Schnittstelle ausgewählt wurden, sind nicht mehr unabhängig konfigurierbar und werden angezeigt als Deaktiviert (Bond-Mitglied) im Abschnitt Schnittstellen der Seite Konnektivität. Nachdem eine Bond-Schnittstelle erstellt wurde, können Sie keine weiteren Mitglieder hinzufügen oder vorhandene Mitglieder löschen. Die Bond-Schnittstelle muss zerstört und neu erstellt werden.
Erstellen Sie eine Bond-Schnittstelle
Sie können eine Bond-Schnittstelle mit mindestens einem Schnittstellenelement und bis zu der Anzahl von Elementen erstellen, die für das Bonding verfügbar sind.
Ändern Sie die Einstellungen für die Bond-Schnittstelle
Nachdem eine Bond-Schnittstelle erstellt wurde, können Sie die meisten Einstellungen so ändern, als ob die Bond-Schnittstelle eine einzelne Schnittstelle wäre.
Zerstöre eine Bond-Schnittstelle
Wenn eine Bond-Schnittstelle zerstört wird, kehren die einzelnen Schnittstellenelemente der Bond-Schnittstelle zur unabhängigen Schnittstellenfunktionalität zurück. Eine Mitgliedsschnittstelle wird ausgewählt, um die Schnittstelleneinstellungen für die Bond-Schnittstelle beizubehalten, und alle anderen Mitgliedsschnittstellen sind deaktiviert. Wenn keine Mitgliedsoberfläche ausgewählt wird, um die Einstellungen beizubehalten, gehen die Einstellungen verloren und alle Mitgliedsoberflächen werden deaktiviert.
Einstellungen für die Paketaufnahme
Sie können einen ExtraHop-Sensor so konfigurieren, dass er Pakete aus einem direkten Feed oder Pakete aufnimmt, die von einem Drittanbieter weitergeleitet wurden.
Before you begin
- Ihr Benutzerkonto muss volle Schreibrechte oder höher auf RevealX Enterprise oder System- und Zugriffsadministrationsrechte auf RevealX 360.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken Konnektivität.
-
In der Einstellungen für die Paketaufnahme Abschnitt, wählen Sie eine der
folgenden Optionen:
Option Bezeichnung Pakete aus dem direkten Traffic-Feed aufnehmen Nur verfügbar, wenn du mindestens eine Schnittstelle konfigurieren mit einem Modus, der GENEVE-Kapselung beinhaltet. Von Netskope weitergeleitete Pakete aufnehmen Nur verfügbar, wenn du mindestens eine Schnittstelle konfigurieren mit einem Modus, der GENEVE-Kapselung beinhaltet. Weitere Informationen finden Sie im Netskope-Integrationsleitfaden für RevealX Enterprise oder RevealX 360 um die Paket von Ihrer Netskope-Lösung aus zu konfigurieren.
Von Palo Alto Networks Prisma weitergeleitete Pakete aufnehmen (nur RevealX Enterprise) Nur verfügbar, wenn du nur eine Schnittstelle im Verwaltungsmodus konfigurieren und konfigurieren Sie keine anderen Schnittstellen für die Paketaufnahme. Sehen Sie die Palo Alto Networks Prisma Integrationsleitfaden um die Paket von Ihrer Prisma-Lösung aus zu konfigurieren.
- Klicken Sie Speichern.
Flow-Netzwerke
Sie müssen die Netzwerkschnittstelle und die Porteinstellungen auf dem ExtraHop-System konfigurieren, bevor Sie NetFlow- oder sFlow-Daten aus Remote-Flow-Netzwerken (Flow-Exportern) sammeln können. Flow-Netzwerke können auf RevealX Enterprise-Systemen nicht konfiguriert werden. Das ExtraHop-System unterstützt die folgenden Flow-Technologien: Cisco NetFlow Version 5 (v5) und Version 9 (v9), AppFlow, IPFIX und sFlow.
Zusätzlich zur Konfiguration des ExtraHop-Systems müssen Sie Ihre Netzwerkgeräte so konfigurieren, dass sie sFlow- oder NetFlow-Verkehr senden. Schlagen Sie in der Dokumentation Ihres Anbieters nach oder sehen Sie sich ein Beispiel an Cisco-Konfigurationen im Anhang.
Erfassen Sie den Datenverkehr von NetFlow- und sFlow-Geräten
Sie müssen die Netzwerkschnittstelle und die Porteinstellungen auf dem ExtraHop-System konfigurieren, bevor Sie NetFlow- oder sFlow-Daten aus Remote-Flow-Netzwerken (Flow-Exportern) sammeln können. Flow-Netzwerke können auf RevealX Enterprise-Systemen nicht konfiguriert werden. Das ExtraHop-System unterstützt die folgenden Flow-Technologien: Cisco NetFlow v5 und v9, AppFlow, IPFIX und sFlow.
Hinweis: | Informationen zur virtuellen EFC 1292v NetFlow-Sensor-Appliance finden Sie unter Stellen Sie den ExtraHop EFC 1292v NetFlow Sensor bereit. |
Sie müssen sich als Benutzer anmelden mit System- und Zugriffsadministrationsrechte um die folgenden Schritte abzuschließen.
Konfigurieren Sie die Schnittstelle auf Ihrem ExtraHop-System
Fügen Sie die ausstehenden Flow-Netzwerke hinzu
Sie können jetzt ausstehende Flow-Netzwerke hinzufügen.
Before you begin
Sie müssen sich als Benutzer anmelden mit System- und Zugriffsadministrationsrechte um die folgenden Schritte abzuschließen.- Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
- In der Netzwerkeinstellungen Abschnitt, klicken Flow-Netzwerke.
- In der Ausstehende Flow-Netzwerke Abschnitt, klicken Flow-Netzwerk hinzufügen.
- In der Flow-Netzwerk-ID Feld, geben Sie einen Namen ein, um dieses Flussnetz zu identifizieren.
- Wählen Sie die Automatische Aufzeichnungen Kontrollkästchen, um Datensätze aus diesem Flussnetz an einen verbundenen Recordstore zu senden.
- Wählen Sie die SNMP-Polling aktivieren Checkbox, um SNMP-Polling zu aktivieren.
-
Wenn Sie SNMP-Polling aktivieren, wählen Sie eine der folgenden Optionen aus der Dropdownliste
SNMP-Anmeldeinformationen aus:
- Von CIDR erben. Wenn Sie diese Option auswählen, werden die SNMP-Anmeldeinformationen auf der Grundlage der Einstellungen für gemeinsame SNMP-Anmeldeinformationen angewendet.
- Benutzerdefinierte Anmeldedaten. Wählen Sie v1, v2 oder v3 aus der Dropdownliste SNMP-Version aus, und konfigurieren Sie dann die verbleibenden Einstellungen für den spezifischen Abfragetyp.
- Klicken Sie Speichern.
Cisco NetFlow-Geräte konfigurieren
Die folgenden Beispiele für die grundlegende Cisco-Router-Konfiguration für NetFlow. NetFlow wird pro Schnittstelle konfiguriert. Wenn NetFlow auf der Schnittstelle konfiguriert ist, werden IP-Paketflussinformationen in das ExtraHop-System exportiert.
Wichtig: | NetFlow nutzt den SNMP ifIndex-Wert, um Eingangs- und Ausgangsschnittstelleninformationen in Flow-Datensätzen darzustellen. Um die Konsistenz der Schnittstellenberichte zu gewährleisten, aktivieren Sie die SNMP ifIndex-Persistenz auf Geräten, die NetFlow an das ExtraHop-System senden. Weitere Informationen zur Aktivierung der SNMP ifIndex-Persistenz auf Ihren Netzwerkgeräten finden Sie in der vom Gerätehersteller bereitgestellten Konfigurationsanleitung. |
Weitere Informationen zur Konfiguration von NetFlow auf Cisco Switches finden Sie in der Dokumentation zu Ihrem Cisco Router oder auf der Cisco-Website unter www.cisco.com.
Richten Sie gemeinsame SNMP-Anmeldeinformationen für Ihre NetFlow- oder sFlow-Netzwerke ein
Wenn Sie SNMP-Polling in Ihrer Flow-Netzwerkkonfiguration aktivieren, müssen Sie die Anmeldedaten angeben, mit denen Sie das Netzwerkgerät abfragen können. Die SNMP-Authentifizierungsdaten gelten für alle Flow-Netzwerke in einem CIDR-Block und werden automatisch auf jedes erkannte Flussnetz angewendet, sofern keine benutzerdefinierten Anmeldedaten konfiguriert sind.
SNMP-Informationen manuell aktualisieren
Benachrichtigungen
Das ExtraHop-System kann Benachrichtigungen über konfigurierte Warnmeldungen per E-Mail, SNMP-Traps und Syslog-Exporten an Remoteserver senden. Wenn eine E-Mail-Benachrichtigungsgruppe angegeben ist, werden E-Mails an die Gruppen gesendet, die der Alarm zugewiesen sind.
E-Mail-Einstellungen für Benachrichtigungen konfigurieren
Sie müssen einen E-Mail-Server und einen Absender konfigurieren, bevor das ExtraHop-System Warnmeldungen oder geplante Berichte senden kann.
Nächste Maßnahme
Nachdem Sie bestätigt haben, dass Ihre neuen Einstellungen erwartungsgemäß funktionieren, speichern Sie Ihre Konfigurationsänderungen durch Systemneustart- und Shutdown-Ereignisse, indem Sie die laufende Konfigurationsdatei speichern.Konfigurieren Sie eine E-Mail-Benachrichtigungsgruppe
Fügen Sie einer Gruppe eine Liste mit E-Mail-Adressen hinzu und wählen Sie dann die Gruppe aus, wenn Sie die E-Mail-Einstellungen für eine Alarm oder einen geplanten Bericht konfigurieren. Sie können zwar einzelne E-Mail-Adressen angeben, E-Mail-Gruppen sind jedoch eine effektive Methode, um Ihre Empfängerliste zu verwalten.
Konfigurieren Sie die Einstellungen, um Benachrichtigungen an einen SNMP-Manager zu senden
Der Zustand des Netzwerk kann über das Simple Network Management Protocol (SNMP) überwacht werden. SNMP sammelt Informationen, indem es Geräte im Netzwerk abfragt. SNMP-fähige Geräte können auch Warnmeldungen an SNMP-Managementstationen senden. SNMP-Communities definieren die Gruppe , zu der Geräte und Verwaltungsstationen, auf denen SNMP ausgeführt wird, gehören, was angibt, wohin Informationen gesendet werden. Der Community-Name identifiziert die Gruppe.
Hinweis: | Die meisten Organisationen verfügen über ein etabliertes System zur Erfassung und Anzeige von SNMP-Traps an einem zentralen Ort, der von ihren Betriebsteams überwacht werden kann. Beispielsweise werden SNMP-Traps an einen SNMP-Manager gesendet, und die SNMP-Managementkonsole zeigt sie an. |
Laden Sie die ExtraHop SNMP MIB herunter
SNMP stellt keine Datenbank mit Informationen bereit, die ein SNMP-überwachtes Netzwerk meldet. SNMP-Informationen werden durch MIBs (Management Information Bases) von Drittanbietern definiert, die die Struktur der gesammelten Daten beschreiben.
Extrahieren Sie die ExtraHop-Lieferantenobjekt-OID
Bevor Sie ein Gerät mit SNMP überwachen können, benötigen Sie den Sysobject-ID, das eine OID enthält, bei der es sich um die vom Hersteller gemeldete Identität des Gerät handelt.
Systembenachrichtigungen an einen Remote-Syslog-Server senden
Mit der Syslog-Exportoption können Sie Warnmeldungen von einem ExtraHop-System an jedes Remote-System senden, das Syslog-Eingaben zur Langzeitarchivierung und Korrelation mit anderen Quellen empfängt.
Nächste Maßnahme
Nachdem Sie bestätigt haben, dass Ihre neuen Einstellungen erwartungsgemäß funktionieren, speichern Sie Ihre Konfigurationsänderungen durch Systemneustart- und Shutdown-Ereignisse, indem Sie die laufende Konfigurationsdatei speichern.TLS-Zertifikat
TLS-Zertifikate bieten eine sichere Authentifizierung für das ExtraHop-System.
Sie können ein selbstsigniertes Zertifikat für die Authentifizierung anstelle eines von einer Zertifizierungsstelle signierten Zertifikats angeben. Beachten Sie jedoch, dass ein selbstsigniertes Zertifikat einen Fehler in der Client Browser, der meldet, dass die signierende Zertifizierungsstelle unbekannt ist. Der Browser stellt eine Reihe von Bestätigungsseiten bereit, um dem Zertifikat zu vertrauen, auch wenn das Zertifikat selbst signiert ist. Selbstsignierte Zertifikate können auch die Leistung beeinträchtigen, da sie das Zwischenspeichern in einigen Browsern verhindern. Wir empfehlen Ihnen, eine Anfrage zur Zertifikatsignierung von Ihrem ExtraHop-System aus zu erstellen und stattdessen das signierte Zertifikat hochzuladen.
Wichtig: | Beim Ersetzen eines TLS-Zertifikats wird der Webserverdienst neu gestartet. Die getunnelten Verbindungen von ExtraHop-Sensoren zu den ExtraHop-Konsolen gehen verloren, werden dann aber automatisch wiederhergestellt. |
Laden Sie ein TLS-Zertifikat hoch
Sie müssen eine PEM-Datei hochladen, die sowohl einen privaten Schlüssel als auch entweder ein selbstsigniertes Zertifikat oder ein Zertifikat einer Zertifizierungsstelle enthält.
Hinweis: | Die PEM-Datei darf nicht passwortgeschützt sein. |
Hinweis: | Du kannst auch automatisiere diese Aufgabe über die REST-API. |
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken TLS-Zertifikat.
- klicken Zertifikate verwalten um den Abschnitt zu erweitern.
- klicken Wählen Sie Datei und navigieren Sie zu dem Zertifikat, das Sie hochladen möchten.
- klicken Offen.
- klicken Upload.
Erstellen Sie eine Anfrage zur Zertifikatsignierung von Ihrem ExtraHop-System
Eine Certificate Signing Request (CSR) ist ein verschlüsselter Textblock, der Ihrer Zertifizierungsstelle (CA) zur Verfügung gestellt wird, wenn Sie ein TLS-Zertifikat beantragen. Die CSR wird auf dem ExtraHop-System generiert, auf dem das TLS-Zertifikat installiert wird, und enthält Informationen , die in das Zertifikat aufgenommen werden, wie z. B. den allgemeinen Namen (Domänenname), die Organisation, den Ort und das Land. Die CSR enthält auch den öffentlichen Schlüssel, der im Zertifikat enthalten sein wird. Die CSR wird mit dem privaten Schlüssel aus dem ExtraHop-System erstellt, wodurch ein Schlüsselpaar entsteht.
Nächste Maßnahme
Senden Sie die CSR-Datei an Ihre Zertifizierungsstelle (CA), um die CSR signieren zu lassen. Wenn Sie das TLS-Zertifikat von der CA erhalten haben, kehren Sie zur TLS-Zertifikat Seite in den Administrationseinstellungen und laden Sie das Zertifikat in das ExtraHop-System hoch.Hinweis: | Wenn Ihre Organisation verlangt, dass der CSR einen neuen öffentlichen Schlüssel enthält, ein selbstsigniertes Zertifikat generieren um neue Schlüsselpaare zu erstellen, bevor die CSR erstellt wird. |
Vertrauenswürdige Zertifikate
Mit vertrauenswürdigen Zertifikaten können Sie SMTP-, LDAP-, HTTPS- ODS- und MongoDB-ODS-Ziele sowie Splunk-Recordstore-Verbindungen von Ihrem ExtraHop-System aus validieren.
Fügen Sie Ihrem ExtraHop-System ein vertrauenswürdiges Zertifikat hinzu
Ihr ExtraHop-System vertraut nur Peers, die ein Transport Layer Security (TLS) -Zertifikat vorlegen, das von einem der integrierten Systemzertifikate und allen von Ihnen hochgeladenen Zertifikaten signiert ist. SMTP-, LDAP-, HTTPS-ODS- und MongoDB-ODS-Ziele sowie Splunk-Recordstore-Verbindungen können mithilfe dieser Zertifikate validiert werden.
Before you begin
Sie müssen sich als Benutzer mit Setup- oder Systemberechtigungen anmelden und auf Administratorrechte zugreifen , um vertrauenswürdige Zertifikate hinzuzufügen oder zu entfernen.Wichtig: | Um den integrierten Systemzertifikaten und allen hochgeladenen Zertifikaten zu vertrauen, müssen Sie bei der Konfiguration der Einstellungen für den externen Server auch die TLS- oder STARTTLS-Verschlüsselung und die Zertifikatsvalidierung aktivieren. |
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Netzwerkeinstellungen Abschnitt, klicken Sie Vertrauenswürdige Zertifikate.
- Optional: Wenn Sie den im ExtraHop-System enthaltenen integrierten Zertifikaten vertrauen möchten, wählen Sie Vertrauenssystem-Zertifikate, und klicken Sie dann auf Speichern.
- Um Ihr eigenes Zertifikat hinzuzufügen, klicken Sie auf Zertifikat hinzufügen und dann in der Zertifikat Feld, fügen Sie den Inhalt der PEM-kodierten Zertifikatskette ein.
- In der Name Feld, geben Sie einen Namen ein.
- Klicken Sie Hinzufügen.
Auf Einstellungen zugreifen
In der Auf Einstellungen zugreifen In diesem Abschnitt können Sie Benutzerkennwörter ändern, das Support-Konto aktivieren, lokale Benutzer und Benutzergruppen verwalten, die Fernauthentifizierung konfigurieren und den API-Zugriff verwalten.
Globale Richtlinien
Administratoren können globale Richtlinien konfigurieren, die für alle Benutzer gelten, die auf das System zugreifen.
Passwort-Richtlinie
- Wählen Sie zwischen zwei Passwortrichtlinien: der standardmäßigen Passwortrichtlinie mit 5 oder mehr
Zeichen oder einer strengeren Passwortrichtlinie mit den folgenden
Einschränkungen:
- 8 oder mehr Zeichen
- Groß- und Kleinbuchstaben
- Mindestens eine Zahl
- Mindestens ein Symbol
Hinweis: Wenn Sie die strikte Passwortrichtlinie mit 8 oder mehr Zeichen wählen, laufen Passwörter alle 60 Tage ab.
Steuerung zum Bearbeiten von Gerätegruppen
- Steuern Sie, ob Benutzer mit eingeschränkte Schreibrechte kann Gerätegruppen erstellen und bearbeiten. Wenn diese Richtlinie ausgewählt ist, können alle Benutzer mit eingeschränktem Schreibzugriff Gerätegruppen erstellen und andere Benutzer mit eingeschränktem Schreibzugriff als Redakteure zu ihren Gerätegruppen hinzufügen.
Standard-Dashboard
- Geben Sie das Dashboard an, das Benutzer sehen, wenn sie sich am System anmelden. Nur Dashboards, die mit allen Benutzern geteilt werden, können als globaler Standard festgelegt werden. Benutzer können diese Standardeinstellung überschreiben. über das Befehlsmenü eines beliebigen Dashboard.
Passwort für Dateiextraktion
- (Nur NDR-Modul) Geben Sie ein erforderliches Passwort an, das Sie mit zugelassenen Benutzern zum Entpacken teilen können Dateien, die aus einer Paketabfrage extrahiert und heruntergeladen wurden.
Passwörter
Benutzer mit Rechten für die Administrationsseite können das Passwort für lokale Benutzerkonten ändern.
- Wählen Sie einen beliebigen Benutzer aus und ändern Sie sein Passwort
- Sie können nur Passwörter für lokale Benutzer ändern. Sie können die Passwörter für Benutzer, die über LDAP oder andere Remote-Authentifizierungsserver authentifiziert wurden, nicht ändern.
Weitere Informationen zu Rechten für bestimmte Benutzer und Gruppen der Administrationsseite finden Sie in der Nutzer Abschnitt.
Ändern Sie das Standardkennwort für den Setup-Benutzer
Es wird empfohlen, das Standardkennwort für den Setup-Benutzer auf dem ExtraHop-System zu ändern, nachdem Sie sich zum ersten Mal angemeldet haben. Um Administratoren daran zu erinnern, diese Änderung vorzunehmen, gibt es ein blaues Passwort ändern Schaltfläche oben auf der Seite, während der Setup-Benutzer auf die Administrationseinstellungen zugreift. Nachdem das Setup-Benutzerkennwort geändert wurde, wird die Schaltfläche oben auf der Seite nicht mehr angezeigt.
Hinweis: | Das Passwort muss mindestens 5 Zeichen lang sein. |
Zugang zum Support
Support-Konten bieten dem ExtraHop-Supportteam Zugriff, um Kunden bei der Behebung von Problemen mit dem ExtraHop-System zu unterstützen.
Diese Einstellungen sollten nur aktiviert werden, wenn der ExtraHop-Systemadministrator das ExtraHop-Supportteam um praktische Unterstützung bittet.
SSH-Schlüssel generieren
- In der Auf Einstellungen zugreifen Abschnitt, klicken Zugriff auf den Support.
- klicken SSH-Schlüssel generieren.
- Kopieren Sie den verschlüsselten Schlüssel aus dem Textfeld und senden Sie den Schlüssel per E-Mail an Ihren ExtraHop-Vertreter.
- Klicken Sie Erledigt.
Den SSH-Schlüssel neu generieren oder widerrufen
Um den SSH-Zugriff auf das ExtraHop-System mit einem vorhandenen SSH-Schlüssel zu verhindern, können Sie den aktuellen SSH-Schlüssel widerrufen. Ein neuer SSH-Schlüssel kann bei Bedarf auch neu generiert werden.
- In der Zugriffs-Einstellungen Abschnitt, klicken Zugang zum Support.
- klicken SSH-Schlüssel generieren.
-
Wählen Sie eine der folgenden Optionen:
- klicken SSH-Schlüssel neu generieren und dann klicken
Regenerieren.
Kopieren Sie den verschlüsselten Schlüssel aus dem Textfeld und senden Sie den Schlüssel per E-Mail an Ihren ExtraHop-Ansprechpartner. Klicken Sie dann auf Erledigt.
- klicken SSH-Schlüssel widerrufen um den SSH-Zugriff auf das System mit dem aktuellen Schlüssel zu verhindern.
- klicken SSH-Schlüssel neu generieren und dann klicken
Regenerieren.
Nutzer
Auf der Seite Benutzer können Sie den lokalen Zugriff auf die ExtraHop-Appliance steuern.
Benutzer und Benutzergruppen
Benutzer können auf drei Arten auf das ExtraHop-System zugreifen: über eine Reihe vorkonfigurierter Benutzerkonten, über lokale Benutzerkonten, die auf der Appliance konfiguriert sind, oder über Remote-Benutzerkonten, die auf vorhandenen Authentifizierungsservern wie LDAP, SAML, Radius und TACACS+ konfiguriert sind.
Video: | Sehen Sie sich die entsprechenden Schulungen an: |
Lokale Benutzer
In diesem Thema geht es um Standard- und lokale Konten. siehe Fernauthentifizierung um zu lernen, wie man Remote-Konten konfiguriert.
- Einrichten
- Dieses Konto bietet volle System-Lese- und Schreibrechte für die browserbasierte Benutzeroberfläche und die ExtraHop-Befehlszeilenschnittstelle (CLI). Auf physischem Sensoren, das Standardkennwort für dieses Konto ist die Service-Tag-Nummer auf der Vorderseite der Appliance. Auf virtuellem Sensoren, das Standardpasswort ist default.
- Schale
- Die shell Das Konto hat standardmäßig Zugriff auf nicht administrative Shell-Befehle in der ExtraHop-CLI. Bei physischen Sensoren ist das Standardkennwort für dieses Konto die Service-Tag-Nummer auf der Vorderseite der Appliance. Bei virtuellen Sensoren lautet das Standardkennwort default.
Hinweis: | Das standardmäßige ExtraHop-Passwort für eines der Konten, wenn es in Amazon Web Services (AWS) und Google Cloud Platform (GCP) bereitgestellt wird, ist die Instanz-ID der virtuellen Maschine. |
Nächste Maßnahme
Fernauthentifizierung
Das ExtraHop-System unterstützt die Fernauthentifizierung für den Benutzerzugriff. Mithilfe der Remoteauthentifizierung können Unternehmen, die über Authentifizierungssysteme wie LDAP (z. B. OpenLDAP oder Active Directory) verfügen, allen oder einem Teil ihrer Benutzer die Möglichkeit geben, sich mit ihren vorhandenen Anmeldedaten am System anzumelden.
Die zentralisierte Authentifizierung bietet die folgenden Vorteile:
- Synchronisation von Benutzerkennwörtern.
- Automatische Erstellung von ExtraHop-Konten für Benutzer ohne Administratoreingriff.
- Verwaltung von ExtraHop-Privilegien auf der Grundlage von Benutzergruppen.
- Administratoren können allen bekannten Benutzern Zugriff gewähren oder den Zugriff einschränken, indem sie LDAP-Filter anwenden.
Entfernte Benutzer
Wenn Ihr ExtraHop-System für die SAML- oder LDAP-Fernauthentifizierung konfiguriert ist, können Sie ein Konto für diese Remote-Benutzer erstellen. Durch die Vorkonfiguration von Konten auf dem ExtraHop-System für Remote-Benutzer können Sie Systemanpassungen mit diesen Benutzern teilen, bevor sie sich anmelden.
Wenn Sie sich bei der Konfiguration der SAML-Authentifizierung für die automatische Bereitstellung von Benutzern entscheiden, wird der Benutzer bei der ersten Anmeldung automatisch zur Liste der lokalen Benutzer hinzugefügt. Sie können jedoch ein SAML-Remotebenutzerkonto auf dem ExtraHop-System erstellen, wenn Sie einen Remote-Benutzer bereitstellen möchten, bevor sich dieser Benutzer am System angemeldet hat. Rechte werden dem Benutzer vom Anbieter zugewiesen. Nachdem der Benutzer erstellt wurde, können Sie ihn zu lokalen Benutzergruppen hinzufügen.
Nächste Maßnahme
Benutzergruppen
Benutzergruppen ermöglichen es Ihnen, den Zugriff auf gemeinsam genutzte Inhalte nach Gruppen statt nach einzelnen Benutzern zu verwalten. Benutzerdefinierte Objekte wie Activity Maps können mit einer Benutzergruppe geteilt werden, und jeder Benutzer, der der Gruppe hinzugefügt wird, hat automatisch Zugriff. Sie können eine lokale Benutzergruppe erstellen, die Remote- und lokale Benutzer umfassen kann. Wenn Ihr ExtraHop-System für die Fernauthentifizierung über LDAP konfiguriert ist, können Sie alternativ Einstellungen für den Import Ihrer LDAP-Benutzergruppen konfigurieren.
- klicken Benutzergruppe erstellen um eine lokale Gruppe zu erstellen. Die Benutzergruppe wird in der Liste angezeigt. Aktivieren Sie dann das Kontrollkästchen neben dem Namen der Benutzergruppe und wählen Sie Benutzer aus der Benutzer filtern... Drop-down-Liste. klicken Benutzer zur Gruppe hinzufügen.
- (nur LDAP) Klicken Sie Alle Benutzergruppen aktualisieren oder wählen Sie mehrere LDAP-Benutzergruppen aus und klicken Sie auf Benutzer in Gruppen aktualisieren.
- klicken Benutzergruppe zurücksetzen um alle geteilten Inhalte aus einer ausgewählten Benutzergruppe zu entfernen. Wenn die Gruppe auf dem Remote-LDAP-Server nicht mehr existiert, wird die Gruppe aus der Benutzergruppenliste entfernt.
- klicken Benutzergruppe aktivieren oder Benutzergruppe deaktivieren um zu kontrollieren, ob ein Gruppenmitglied auf geteilte Inhalte für die ausgewählte Benutzergruppe zugreifen kann.
- klicken Benutzergruppe löschen um die ausgewählte Benutzergruppe aus dem System zu entfernen.
- Sehen Sie sich die folgenden Eigenschaften für aufgelistete Benutzergruppen an:
- Name der Gruppe
- Zeigt den Namen der Gruppe an. Um die Mitglieder der Gruppe anzuzeigen, klicken Sie auf den Gruppennamen.
- Typ
- Zeigt Lokal oder Remote als Art der Benutzergruppe an.
- Mitglieder
- Zeigt die Anzahl der Benutzer in der Gruppe an.
- Geteilter Inhalt
- Zeigt die Anzahl der vom Benutzer erstellten Objekte an, die mit der Gruppe gemeinsam genutzt werden.
- Status
- Zeigt an, ob die Gruppe auf dem System aktiviert oder deaktiviert ist. Wenn der Status ist Disabled, wird die Benutzergruppe bei der Durchführung von Mitgliedschaftsprüfungen als leer betrachtet. Die Benutzergruppe kann jedoch weiterhin angegeben werden, wenn Inhalte geteilt werden.
- Mitglieder aktualisiert (nur LDAP)
- Zeigt die Zeit an, die seit der Aktualisierung der Gruppenmitgliedschaft vergangen ist.
Benutzergruppen werden unter den folgenden Bedingungen aktualisiert:
- Standardmäßig einmal pro Stunde. Die Einstellung für das Aktualisierungsintervall kann auf der Seite.
- Ein Administrator aktualisiert eine Gruppe, indem er auf Alle Benutzergruppen aktualisieren oder Benutzer in der Gruppe aktualisieren, oder programmgesteuert über die REST-API. Sie können eine Gruppe aktualisieren über Benutzergruppe Seite oder aus dem Liste der Mitglieder Seite.
- Ein Remote-Benutzer meldet sich zum ersten Mal beim ExtraHop-System an.
- Ein Benutzer versucht, ein geteiltes Dashboard zu laden, auf das er keinen Zugriff hat.
Benutzerrechte
Administratoren bestimmen die Modulzugriffsebene für Benutzer im ExtraHop-System.
Informationen zu Benutzerberechtigungen für die REST-API finden Sie in der REST-API-Leitfaden.
Informationen zu Remote-Benutzerrechten finden Sie in den Konfigurationsanleitungen für LDAP, RADIUS, SAML, und TACACS+.
Privilegienstufen
Legen Sie die Berechtigungsstufe fest, auf die Ihr Benutzer zugreifen kann, um zu bestimmen, auf welche Bereiche des ExtraHop-Systems er zugreifen kann.
- Zugriff auf das NDR-Modul
- Ermöglicht dem Benutzer den Zugriff auf Sicherheitsfunktionen wie Angriffserkennungen, Untersuchungen und Bedrohungsinformationen.
- Zugriff auf das NPM-Modul
- Ermöglicht dem Benutzer den Zugriff auf Leistungsfunktionen wie Betriebserkennungen und die Möglichkeit, benutzerdefinierte Dashboards zu erstellen.
- Zugriff auf Pakete und Sitzungsschlüssel
- Ermöglicht dem Benutzer, Pakete und Sitzungsschlüssel, nur Pakete, nur Paket-Header oder nur Paket-Slices anzuzeigen und herunterzuladen. Ermöglicht dem Benutzer auch das Extrahieren von Dateien, die Paketen zugeordnet sind.
Diese Rechte bestimmen den Funktionsumfang, über den Benutzer in den Modulen verfügen, für die ihnen Zugriff gewährt wurde.
Für RevealX Enterprise können Benutzer mit Systemzugriffs- und Administratorrechten auf alle Funktionen, Pakete und Sitzungsschlüssel für ihre lizenzierten Module zugreifen.
Für RevealX 360 müssen Systemzugriffs- und Administratorrechte sowie der Zugriff auf lizenzierte Module, Pakete und Sitzungsschlüssel separat zugewiesen werden. RevealX 360 bietet auch ein zusätzliches Systemadministrationskonto, das alle Systemberechtigungen gewährt, mit Ausnahme der Möglichkeit, Benutzer und API-Zugriff zu verwalten.
Die folgende Tabelle enthält ExtraHop-Funktionen und die erforderlichen Rechte. Wenn keine Modulanforderung angegeben ist, ist die Funktion sowohl im NDR- als auch im NDM-Modul verfügbar.
System- und Zugriffsverwaltung | Systemadministration (nur RevealX 360) | Vollständiges Schreiben | Eingeschränktes Schreiben | Persönliches Schreiben | Vollständig schreibgeschützt | Eingeschränkter Schreibschutz | |
---|---|---|---|---|---|---|---|
Karten der Aktivitäten | |||||||
Karten für gemeinsame Aktivitäten erstellen, anzeigen und laden | Y | Y | Y | Y | Y | Y | N |
Aktivitätskarten speichern | Y | Y | Y | Y | Y | N | N |
Aktivitätskarten teilen | Y | Y | Y | Y | N | N | N |
Warnmeldungen | NPM-Modullizenz und Zugriff erforderlich. | ||||||
Warnmeldungen anzeigen | Y | Y | Y | Y | Y | Y | Y |
Benachrichtigungen erstellen und ändern | Y | Y | Y | N | N | N | N |
Analyse-Prioritäten | |||||||
Seite „Analyseprioritäten" anzeigen | Y | Y | Y | Y | Y | Y | N |
Analyseebenen für Gruppen hinzufügen und ändern | Y | Y | Y | N | N | N | N |
Geräte zu einer Beobachtungsliste hinzufügen | Y | Y | Y | N | N | N | N |
Verwaltung der Transferprioritäten | Y | Y | Y | N | N | N | N |
Bündel | |||||||
Ein Paket erstellen | Y | Y | Y | N | N | N | N |
Laden Sie ein Paket hoch und wenden Sie es an | Y | Y | Y | N | N | N | N |
Laden Sie ein Paket herunter | Y | Y | Y | Y | Y | N | N |
Liste der Bundles anzeigen | Y | Y | Y | Y | Y | Y | N |
Armaturenbretter | Zum Erstellen und Ändern von Dashboards sind eine NPM-Modullizenz und -zugriff erforderlich . | ||||||
Dashboards anzeigen und organisieren | Y | Y | Y | Y | Y | Y | Y |
Dashboards erstellen und ändern | Y | Y | Y | Y | Y | N | N |
Dashboards teilen | Y | Y | Y | Y | N | N | N |
Erkennungen | NDR-Modullizenz und Zugriff sind erforderlich
, um Sicherheitserkennungen anzuzeigen und zu optimieren und Untersuchungen durchzuführen.
Zum Anzeigen und Optimieren von Leistungserkennungen sind eine NPM-Modullizenz und -zugriff erforderlich. |
||||||
Erkennungen anzeigen | Y | Y | Y | Y | Y | Y | Y |
Erkennungen bestätigen | Y | Y | Y | Y | Y | N | N |
Erkennungsstatus und Hinweise ändern | Y | Y | Y | Y | N | N | N |
Untersuchungen erstellen und ändern | Y | Y | Y | Y | N | N | N |
Tuning-Regeln erstellen und ändern | Y | Y | Y | N | N | N | N |
Gerätegruppen | Administratoren können das konfigurieren Globale Richtlinie „Gerätegruppe bearbeiten" um anzugeben , ob Benutzer mit eingeschränkten Schreibrechten Gerätegruppen erstellen und bearbeiten können. | ||||||
Gerätegruppen erstellen und ändern | Y | Y | Y | Y (Wenn die globale Rechterichtlinie aktiviert ist) | N | N | N |
Integrationen | Nur RevealX 360 | ||||||
Integrationen konfigurieren und ändern | Y | Y | N | N | N | N | N |
Metriken | |||||||
Metriken anzeigen | Y | Y | Y | Y | Y | Y | N |
Regeln für Benachrichtigungen | NDR-Modullizenz und Zugriff sind erforderlich
, um Benachrichtigungen für Sicherheitserkennungen,
Sicherheitserkennungskataloge und Bedrohungsinformationen zu erstellen und zu ändern. NPM-Modullizenz und Zugriff sind erforderlich, um Benachrichtigungen für Leistungserkennungen und den Leistungserkennungskatalog zu erstellen und zu ändern. |
||||||
Regeln für Erkennungsbenachrichtigungen erstellen und ändern | Y | Y | Y | N | N | N | N |
Regeln für Erkennungsbenachrichtigungen für SIEM-Integrationen erstellen und ändern (nur RevealX 360) | Y | Y | N | N | N | N | N |
Benachrichtigungsregeln für den Erkennungskatalog erstellen und ändern | Y | Y | Y | N | N | N | N |
Benachrichtigungsregeln Bedrohungsübersicht erstellen und ändern | Y | Y | Y | N | N | N | N |
Regeln für Systembenachrichtigungen erstellen und ändern | Y | Y | N | N | N | N | N |
Rekorde | Recordstore erforderlich. | ||||||
Datensatzabfragen anzeigen | Y | Y | Y | Y | Y | Y | N |
Aufzeichnungsformate anzeigen | Y | Y | Y | Y | Y | Y | N |
Datensatzabfragen erstellen, ändern und speichern | Y | Y | Y | N | N | N | N |
Datensatzformate erstellen, ändern und speichern | Y | Y | Y | N | N | N | N |
Geplante Berichte | Konsole erforderlich. | ||||||
Geplante Berichte erstellen, anzeigen und verwalten | Y | Y | Y | Y | N | N | N |
Bedrohungsinformationen | NDR-Modullizenz und Zugriff erforderlich. | ||||||
Datei-Hashing-Filter konfigurieren | Y | Y | N | N | N | N | N |
Bedrohungssammlungen verwalten | Y | Y | N | N | N | N | N |
TAXII-Feeds verwalten | Y | Y | N | N | N | N | N |
Bedrohungsinformationen anzeigen | Y | Y | Y | Y | Y | Y | N |
Trigger | |||||||
Trigger erstellen und ändern | Y | Y | Y | N | N | N | N |
Administratorrechte | |||||||
Greifen Sie auf die ExtraHop-Administrationseinstellungen zu | Y | Y | N | N | N | N | N |
Stellen Sie eine Verbindung zu anderen Geräten her | Y | Y | N | N | N | N | N |
Andere Appliances verwalten (Konsole) | Y | Y | N | N | N | N | N |
Benutzer und API-Zugriff verwalten | Y | N | N | N | N | N | N |
Lokales Benutzerkonto hinzufügen
Indem Sie ein lokales Benutzerkonto hinzufügen, können Sie Benutzern direkten Zugriff auf Ihr ExtraHop-System gewähren und ihre Rechte entsprechend ihrer Rolle in Ihrer Organisation einschränken.
Hinweis: |
|
Konto für einen Remote-Benutzer hinzufügen
Fügen Sie ein Benutzerkonto für LDAP- oder SAML-Benutzer hinzu, wenn Sie den Remote-Benutzer bereitstellen möchten, bevor sich dieser Benutzer beim ExtraHop-System anmeldet. Nachdem der Benutzer zum System hinzugefügt wurde, können Sie ihn zu lokalen Gruppen hinzufügen oder Elemente direkt mit ihm teilen, bevor er sich über den LDAP- oder SAML-Anbieter anmeldet.
Sessions
Das ExtraHop-System bietet Steuerelemente zum Anzeigen und Löschen von Benutzerverbindungen zur Weboberfläche. Die Sessions Die Liste ist nach dem Ablaufdatum sortiert, das dem Datum entspricht, an dem die Sitzungen eingerichtet wurden. Wenn eine Sitzung abläuft oder gelöscht wird, muss sich der Benutzer erneut anmelden, um auf die Weboberfläche zuzugreifen.
Fernauthentifizierung
Das ExtraHop-System unterstützt die Fernauthentifizierung für den Benutzerzugriff. Mithilfe der Remoteauthentifizierung können Unternehmen, die über Authentifizierungssysteme wie LDAP (z. B. OpenLDAP oder Active Directory) verfügen, allen oder einem Teil ihrer Benutzer die Möglichkeit geben, sich mit ihren vorhandenen Anmeldedaten am System anzumelden.
Die zentralisierte Authentifizierung bietet die folgenden Vorteile:
- Synchronisation von Benutzerkennwörtern.
- Automatische Erstellung von ExtraHop-Konten für Benutzer ohne Administratoreingriff.
- Verwaltung von ExtraHop-Privilegien auf der Grundlage von Benutzergruppen.
- Administratoren können allen bekannten Benutzern Zugriff gewähren oder den Zugriff einschränken, indem sie LDAP-Filter anwenden.
Nächste Maßnahme
Konfigurieren Sie die Fernauthentifizierung über LDAP
Das ExtraHop-System unterstützt das Lightweight Directory Access Protocol (LDAP) zur Authentifizierung und Autorisierung. Anstatt Benutzeranmeldedaten lokal zu speichern, können Sie Ihr ExtraHop-System so konfigurieren, dass Benutzer remote mit einem vorhandenen LDAP-Server authentifiziert werden. Beachten Sie, dass die ExtraHop-LDAP-Authentifizierung nur Benutzerkonten abfragt; sie fragt keine anderen Entitäten ab, die sich möglicherweise im LDAP-Verzeichnis befinden.
Before you begin
- Für dieses Verfahren müssen Sie mit der Konfiguration von LDAP vertraut sein.
- Stellen Sie sicher, dass sich jeder Benutzer in einer berechtigungsspezifischen Gruppe auf dem LDAP-Server befindet, bevor Sie mit diesem Verfahren beginnen.
- Wenn Sie verschachtelte LDAP-Gruppen konfigurieren möchten, müssen Sie die Datei Running Configuration ändern. Kontakt ExtraHop-Unterstützung für Hilfe.
Wenn ein Benutzer versucht, sich bei einem ExtraHop-System anzumelden, versucht das ExtraHop-System, den Benutzer auf folgende Weise zu authentifizieren:
- Versucht, den Benutzer lokal zu authentifizieren.
- Versucht, den Benutzer über den LDAP-Server zu authentifizieren, wenn der Benutzer nicht lokal existiert und wenn das ExtraHop-System für die Fernauthentifizierung mit LDAP konfiguriert ist.
- Meldet den Benutzer im ExtraHop-System an, wenn der Benutzer existiert und das Passwort entweder lokal oder über LDAP validiert wurde. Das LDAP-Passwort wird nicht lokal auf dem ExtraHop-System gespeichert. Beachten Sie, dass Sie den Benutzernamen und das Passwort in dem Format eingeben müssen, für das Ihr LDAP-Server konfiguriert ist. Das ExtraHop-System leitet die Informationen nur an den LDAP-Server weiter.
- Wenn der Benutzer nicht existiert oder ein falsches Passwort eingegeben wurde, erscheint eine Fehlermeldung auf der Anmeldeseite.
Wichtig: | Wenn Sie die LDAP-Authentifizierung zu einem späteren Zeitpunkt auf eine andere Methode der Fernauthentifizierung umstellen, werden die Benutzer, Benutzergruppen und zugehörigen Anpassungen, die über die Remote-Authentifizierung erstellt wurden, entfernt. Lokale Benutzer sind nicht betroffen. |
Nächste Maßnahme
Benutzerrechte für die Fernauthentifizierung konfigurierenBenutzerrechte für die Fernauthentifizierung konfigurieren
Sie können einzelnen Benutzern in Ihrem ExtraHop-System Benutzerrechte zuweisen oder Rechte über Ihren LDAP-Server konfigurieren und verwalten.
Das ExtraHop-System unterstützt sowohl Active Directory- als auch POSIX-Gruppenmitgliedschaften. Für Active Directory memberOf wird unterstützt. Für POSIX memberuid, posixGroups, groupofNames, und groupofuniqueNames werden unterstützt.
-
Wählen Sie eine der folgenden Optionen aus dem
Optionen für die Zuweisung von Rechten Dropdownliste:
-
Berechtigungsstufe vom Remoteserver abrufen
Diese Option weist Rechte über Ihren Remote-Authentifizierungsserver zu. Sie müssen mindestens eines der folgenden Distinguished Name (DN) -Felder ausfüllen.
System- und Zugriffsverwaltung DN: Erstellen und ändern Sie alle Objekte und Einstellungen auf dem ExtraHop-System, einschließlich der Administrationseinstellungen.
Vollständiger Schreib-DN: Erstellen und ändern Sie Objekte auf dem ExtraHop-System, ohne die Administrationseinstellungen.
Eingeschränkte Schreib-DN: Erstellen, ändern und teilen Sie Dashboards.
Persönliches Schreiben DN: Erstellen Sie persönliche Dashboards und ändern Sie Dashboards, die mit dem angemeldeten Benutzer geteilt werden.
Vollständiger schreibgeschützter DN: Objekte im ExtraHop-System anzeigen.
Eingeschränkter schreibgeschützter DN: Sehen Sie sich Dashboards an, die mit dem angemeldeten Benutzer geteilt wurden.
Packet Slices Access DN: Zeigen Sie die ersten 64 Byte an Paketen an, die über die ExtraHop Trace-Appliance erfasst wurden, und laden Sie sie herunter.
Paketzugriffs-DN: Über die ExtraHop Trace-Appliance erfasste Pakete anzeigen und herunterladen.
Paket- und Sitzungsschlüssel Access DN: Pakete und alle zugehörigen TLS-Sitzungsschlüssel, die über die ExtraHop Trace-Appliance erfasst wurden, anzeigen und herunterladen.
NDR-Modulzugriff DN: Sicherheitserkennungen, die im ExtraHop-System erscheinen, anzeigen, bestätigen und ausblenden.
NPM-Modulzugriffs-DN: Leistungserkennungen, die im ExtraHop-System angezeigt werden, anzeigen, bestätigen und ausblenden.
-
Remote-Benutzer haben vollen Schreibzugriff
Diese Option gewährt Remote-Benutzern vollen Schreibzugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, TLS-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.
-
Remote-Benutzer haben vollen Lesezugriff
Diese Option gewährt Remote-Benutzern schreibgeschützten Zugriff auf das ExtraHop-System. Darüber hinaus können Sie zusätzlichen Zugriff für Paketdownloads, TLS-Sitzungsschlüssel, NDR-Modulzugriff und NPM-Modulzugriff gewähren.
-
Berechtigungsstufe vom Remoteserver abrufen
- Optional:
Konfigurieren Sie den Zugriff auf Paket und Sitzungsschlüssel. Wählen Sie eine der folgenden Optionen, um
Remote-Benutzern das Herunterladen von Paketerfassungen und TLS-Sitzungsschlüsseln zu ermöglichen.
- Kein Zugriff
- Nur Paketsegmente
- Nur Pakete
- Pakete und Sitzungsschlüssel
- Optional:
Konfigurieren Sie den NDR- und NPM-Modulzugriff.
- Kein Zugriff
- Voller Zugriff
- Klicken Sie Speichern und fertig.
- Klicken Sie Erledigt.
Konfigurieren Sie die Fernauthentifizierung über SAML
Sie können die sichere SSO-Authentifizierung (Single Sign-On) für das ExtraHop-System über einen oder mehrere SAML-Identitätsanbieter (Security Assertion Markup Language) konfigurieren.
Video: | Sehen Sie sich die entsprechende Schulung an: SSO-Authentifizierung |
Wenn sich ein Benutzer bei einem ExtraHop-System anmeldet, das als Service Provider (SP) für die SAML-SSO-Authentifizierung konfiguriert ist, fordert das ExtraHop-System die Autorisierung vom entsprechenden Identity Provider ( IdP) an. Der Identitätsanbieter authentifiziert die Anmeldedaten des Benutzers und gibt dann die Autorisierung für den Benutzer an das ExtraHop-System zurück. Der Benutzer kann dann auf das ExtraHop-System zugreifen.
Die Konfigurationsleitfäden für bestimmte Identitätsanbieter sind unten verlinkt. Wenn Ihr Anbieter nicht aufgeführt ist, wenden Sie die vom ExtraHop-System erforderlichen Einstellungen auf Ihren Identitätsanbieter an.
Identitätsanbieter müssen die folgenden Kriterien erfüllen:
- SAML 2.0
- Unterstützt SP-initiierte Anmeldeabläufe. IDP-initiierte Anmeldeabläufe werden nicht unterstützt.
- Unterstützt signierte SAML-Antworten
- Unterstützt HTTP-Redirect-Binding
Die Beispielkonfiguration in diesem Verfahren ermöglicht den Zugriff auf das ExtraHop-System über Gruppenattribute.
Wenn Ihr Identitätsanbieter keine Gruppenattributanweisungen unterstützt, konfigurieren Sie Benutzerattribute mit den entsprechenden Rechten für Modulzugriff, Systemzugriff und Paketforensik.
SAML-Remoteauthentifizierung aktivieren
Before you begin
Warnung: | Wenn Ihr System bereits mit einer Fernauthentifizierungsmethode konfiguriert ist, werden durch das Ändern dieser Einstellungen alle Benutzer und zugehörigen Anpassungen entfernt, die mit dieser Methode erstellt wurden, und Remotebenutzer können nicht auf das System zugreifen. Lokale Benutzer sind nicht betroffen. |
Zuordnung von Benutzerattributen
Sie müssen den folgenden Satz von Benutzerattributen im Abschnitt zur Zuordnung von Anwendungsattributen auf Ihrem Identitätsanbieter konfigurieren. Diese Attribute identifizieren den Benutzer im gesamten ExtraHop-System. Die richtigen Eigenschaftsnamen beim Zuordnen von Attributen finden Sie in der Dokumentation Ihres Identitätsanbieters.
ExtraHop-Attributname | Freundlicher Name | Kategorie | Attributname des Identitätsanbieters |
---|---|---|---|
urn:oid:0.9.2342.19200300.100.1.3 | Post | Standardattribut | Primäre E-Mail-Adresse |
urn:oid:2.5.4.4 | sn | Standardattribut | Nachname |
urn:oid:2.5.4.42 | Vorgegebener Name | Standardattribut | Vorname |
Attributaussagen gruppieren
Das ExtraHop-System unterstützt Anweisungen zu Gruppenattributen, um Benutzerberechtigungen einfach allen Mitgliedern einer bestimmten Gruppe zuzuordnen. Wenn Sie die ExtraHop-Anwendung auf Ihrem Identitätsanbieter konfigurieren, geben Sie einen Gruppenattributnamen an. Dieser Name wird dann in das Name des Attributs Feld, wenn Sie den Identity Provider auf dem ExtraHop-System konfigurieren.
Wenn Ihr Identitätsanbieter keine Gruppenattributanweisungen unterstützt, konfigurieren Sie Benutzerattribute mit den entsprechenden Rechten für Modulzugriff, Systemzugriff und Paketforensik.
SAML-Single-Sign-On mit Okta konfigurieren
Sie können Ihr ExtraHop-System so konfigurieren, dass sich Benutzer über den Okta Identity Management Service beim System anmelden können.
Before you begin
- Sie sollten mit der Verabreichung von Okta vertraut sein. Diese Verfahren basieren auf der Okta Classic-Benutzeroberfläche. Wenn Sie Okta über die Developer Console konfigurieren, ist das Verfahren möglicherweise etwas anders.
- Sie sollten mit der Verwaltung von ExtraHop-Systemen vertraut sein.
Bei diesen Verfahren müssen Sie Informationen zwischen dem ExtraHop-System und der Okta Classic-Benutzeroberfläche kopieren und einfügen. Daher ist es hilfreich, jedes System nebeneinander zu öffnen .
SAML-Einstellungen in Okta konfigurieren
Bei diesem Verfahren müssen Sie Informationen zwischen den ExtraHop-Administrationseinstellungen und der Okta Classic-Benutzeroberfläche kopieren und einfügen. Daher ist es hilfreich, wenn alle Benutzeroberflächen nebeneinander geöffnet sind.
Weisen Sie das ExtraHop-System Okta-Gruppen zu
- Wählen Sie im Menü Verzeichnis Gruppen.
- Klicken Sie auf den Gruppennamen.
- klicken Apps verwalten.
- Suchen Sie den Namen der Anwendung, die Sie für das ExtraHop-System konfiguriert haben, und klicken Sie auf Zuweisen.
- klicken Erledigt.
Loggen Sie sich in das ExtraHop-System ein
- Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
- klicken Loggen Sie sich ein mit <provider name>.
- Melden Sie sich mit Ihrer E-Mail-Adresse und Ihrem Passwort bei Ihrem Anbieter an. Sie werden automatisch zur ExtraHop-Übersichtsseite weitergeleitet.
SAML-Single-Sign-On mit Google konfigurieren
Sie können Ihr ExtraHop-System so konfigurieren, dass sich Nutzer über den Google-Identitätsverwaltungsdienst beim System anmelden können.
Before you begin
- Sie sollten mit der Verwaltung von Google Admin vertraut sein.
- Sie sollten mit der Verwaltung von ExtraHop-Systemen vertraut sein.
Bei diesen Verfahren müssen Sie Informationen zwischen dem ExtraHop-System und der Google Admin-Konsole kopieren und einfügen. Daher ist es hilfreich, jedes System nebeneinander zu öffnen.
Benutzerdefinierte Benutzerattribute hinzufügen
- Loggen Sie sich in die Google Admin-Konsole ein.
- Klicken Sie Nutzer.
- Klicken Sie auf das Symbol Benutzerdefinierte Attribute verwalten .
- Klicken Sie Benutzerdefiniertes Attribut hinzufügen.
- In der Kategorie Feld, Typ ExtraHop.
- Optional: In der Beschreibung Feld, geben Sie eine Beschreibung ein.
-
In der Benutzerdefinierte Felder Abschnitt, geben Sie die folgenden
Informationen ein:
- In der Name Feld, Typ Level schreiben.
- Aus dem Art der Information Dropdownliste, wählen Text.
- Aus dem Sichtbarkeit Dropdownliste, wählen Sichtbar für Domain.
- Aus dem Anzahl der Werte Dropdownliste, wählen Einzelner Wert.
-
Aktivieren Sie den Zugriff auf das NDR-Modul:
- In der Name Feld, Typ ndr-Niveau.
- Aus dem Art der Information Dropdownliste, wählen Text.
- Aus dem Sichtbarkeit Dropdownliste, wählen Sichtbar für Domain.
- Aus dem Anzahl der Werte Dropdownliste, wählen Einzelner Wert.
-
Aktivieren Sie den NPM-Modulzugriff:
- In der Name Feld, Typ npm-Ebene.
- Aus dem Art der Information Dropdownliste, wählen Text.
- Aus dem Sichtbarkeit Dropdownliste, wählen Sichtbar für Domain.
- Aus dem Anzahl der Werte Dropdownliste, wählen Einzelner Wert.
- Optional:
Wenn Sie Paketspeicher verbunden haben, aktivieren Sie den Paketzugriff, indem Sie ein
benutzerdefiniertes Feld konfigurieren:
- In der Name Feld, Typ Paketebene.
- Aus dem Art der Information Dropdownliste, wählen Text.
- Aus dem Sichtbarkeit Dropdownliste, wählen Sichtbar für Domain.
- Aus dem Anzahl der Werte Dropdownliste, wählen Einzelner Wert.
- Klicken Sie Hinzufügen.
Loggen Sie sich in das ExtraHop-System ein
- Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
- klicken Loggen Sie sich ein mit <provider name>.
- Melden Sie sich mit Ihrer E-Mail-Adresse und Ihrem Passwort bei Ihrem Anbieter an. Sie werden automatisch zur ExtraHop-Übersichtsseite weitergeleitet.
Konfigurieren Sie die Fernauthentifizierung über RADIUS
Das ExtraHop-System unterstützt den Remote Authentifizierung Dial In User Service (RADIUS) nur für Fernauthentifizierung und lokale Autorisierung. Für die Fernauthentifizierung unterstützt das ExtraHop-System unverschlüsselte RADIUS- und Klartext-Formate.
Konfigurieren Sie die Fernauthentifizierung über TACACS+
Das ExtraHop-System unterstützt das Terminal Access Controller Access-Control System Plus (TACACS+) für die Fernauthentifizierung und Autorisierung.
Konfigurieren Sie den TACACS+-Server
Zusätzlich zur Konfiguration der Fernauthentifizierung auf Ihrem ExtraHop-System müssen Sie Ihren TACACS+-Server mit zwei Attributen konfigurieren, eines für den ExtraHop-Dienst und eines für die Berechtigungsstufe. Wenn Sie einen ExtraHop-Paketstore haben, können Sie optional ein drittes Attribut für die PCAP und Sitzungsschlüsselprotokollierung hinzufügen.
API-Zugriff
Auf der Seite API-Zugriff können Sie den Zugriff auf die API-Schlüssel generieren, anzeigen und verwalten, die für die Ausführung von Vorgängen über die ExtraHop REST API erforderlich sind.
API-Schlüsselzugriff verwalten
Benutzer mit System- und Zugriffsadministrationsrechten können konfigurieren, ob Benutzer API-Schlüssel für das ExtraHop-System generieren können. Sie können nur lokalen Benutzern erlauben, Schlüssel zu generieren, oder Sie können die API-Schlüsselgenerierung auch vollständig deaktivieren.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Auf Einstellungen zugreifen Abschnitt, klicken API-Zugriff.
-
In der API-Zugriff verwalten Abschnitt, wählen Sie eine der
folgenden Optionen aus:
- Allen Benutzern erlauben, einen API-Schlüssel zu generieren: Lokale und entfernte Benutzer können API-Schlüssel generieren.
- Nur lokale Benutzer können einen API-Schlüssel generieren: Remote-Benutzer können keine API-Schlüssel generieren.
- Kein Benutzer kann einen API-Schlüssel generieren: Es können keine API-Schlüssel von jedem Benutzer generiert werden.
- klicken Einstellungen speichern.
Cross-Origin Resource Sharing (CORS) konfigurieren
Quellübergreifende gemeinsame Nutzung von Ressourcen (CORS) ermöglicht Ihnen den Zugriff auf die ExtraHop REST-API über Domänengrenzen und von bestimmten Webseiten aus, ohne dass die Anfrage über einen Proxyserver übertragen werden muss.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Auf Einstellungen zugreifen Abschnitt, klicken API-Zugriff.
-
In der CORS-Einstellungen Abschnitt, geben Sie eine der folgenden
Zugriffskonfigurationen an.
- Um eine bestimmte URL hinzuzufügen, geben Sie eine Quell-URL in das Textfeld ein und
klicken Sie dann auf das Pluszeichen (+) oder drücken Sie die EINGABETASTE.
Die URL muss ein Schema enthalten, z. B. HTTP oder HTTPS, und der genaue Domänenname. Sie können keinen Pfad anhängen, Sie können jedoch eine Portnummer angeben.
- Um den Zugriff von einer beliebigen URL aus zu ermöglichen, wählen Sie die Erlaube API-Anfragen
von jedem Ursprung Ankreuzfeld.
Hinweis: Das Zulassen des REST-API-Zugriffs von einem beliebigen Ursprung aus ist weniger sicher als das Bereitstellen einer Liste expliziter Ursprünge.
- Um eine bestimmte URL hinzuzufügen, geben Sie eine Quell-URL in das Textfeld ein und
klicken Sie dann auf das Pluszeichen (+) oder drücken Sie die EINGABETASTE.
- Klicken Sie Einstellungen speichern und klicken Sie dann Erledigt.
Generieren Sie einen API-Schlüssel
Sie müssen einen API-Schlüssel generieren, bevor Sie Operationen über die ExtraHop REST-API ausführen können. Schlüssel können nur von dem Benutzer eingesehen werden, der den Schlüssel generiert hat, oder von Benutzern mit System - und Zugriffsadministrationsrechten. Nachdem Sie einen API-Schlüssel generiert haben, fügen Sie den Schlüssel zu Ihren Anforderungsheadern oder dem ExtraHop REST API Explorer hinzu.
Before you begin
Stellen Sie sicher, dass das ExtraHop-System konfiguriert, um die Generierung von API-Schlüsseln zu ermöglichen.- In der Auf Einstellungen zugreifen Abschnitt, klicken Sie API-Zugriff.
- In der Generieren Sie einen API-Schlüssel Abschnitt, geben Sie eine Beschreibung für den neuen Schlüssel ein, und klicken Sie dann auf Generieren.
- Scrollen Sie nach unten zum API-Schlüssel Abschnitt und kopieren Sie den API-Schlüssel , der Ihrer Beschreibung entspricht.
Privilegienstufen
Die Benutzerberechtigungsstufen bestimmen, welche ExtraHop-System- und Verwaltungsaufgaben der Benutzer über die ExtraHop-REST-API ausführen kann.
Sie können die Berechtigungsstufen für Benutzer über das granted_roles und effective_roles Eigenschaften. Das granted_roles Diese Eigenschaft zeigt Ihnen, welche Rechtestufen dem Benutzer explizit gewährt werden. Das effective_roles Diese Eigenschaft zeigt Ihnen alle Berechtigungsstufen für einen Benutzer an, einschließlich derer, die Sie außerhalb der erteilten Rolle erhalten haben, z. B. über eine Benutzergruppe.
Das granted_roles und effective_roles Eigenschaften werden durch die folgenden Operationen zurückgegeben:
- GET /users
- GET /users/ {username}
Das granted_roles und effective_roles Eigenschaften unterstützen die folgenden Berechtigungsstufen. Beachten Sie, dass die Art der Aufgaben für jedes ExtraHop-System je nach Verfügbarkeit variiert Ressourcen sind im REST API Explorer aufgeführt und hängen von den Modulen ab, die für die System- und Benutzermodulzugriffsrechte aktiviert sind.
Privilegienstufe | Zulässige Aktionen |
---|---|
„system": „voll" |
|
„write": „voll" |
|
„write": „begrenzt" |
|
„write": „persönlich" |
|
„Metriken": „voll" |
|
„metrics": „eingeschränkt" |
|
„ndr": „voll" |
Dies ist ein Modulzugriffsrecht, das einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:
|
„ndr": „keiner" |
Dies ist ein Modulzugriffsrecht, das einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:
|
„npm": „voll" |
Dies ist ein Modulzugriffsrecht, das einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:
|
„npm": „keine" |
Dies ist ein Modulzugriffsrecht, das einem Benutzer zusätzlich zu einer der folgenden Systemzugriffsberechtigungsstufen gewährt werden kann:
|
„Pakete": „voll" |
Dies ist eine Zusatzberechtigung, die einem Benutzer mit einer der folgenden Berechtigungsstufen gewährt werden kann:
|
„Pakete": „voll_mit_Schlüsseln" |
Dies ist eine Zusatzberechtigung, die einem Benutzer mit einer der folgenden Berechtigungsstufen gewährt werden kann:
|
„Pakete": „slices_only" |
Dies ist eine Zusatzberechtigung, die einem Benutzer mit einer der folgenden Berechtigungsstufen gewährt werden kann:
|
Konfiguration des Systems
In der Konfiguration des Systems In diesem Abschnitt können Sie die folgenden Einstellungen ändern.
- Erfassen
- Konfigurieren Sie die Netzwerkaufzeichnungseinstellungen. (Nur Sensoren)
- Datenspeicher
- Konfigurieren Sie einen erweiterten Datenspeicher oder setzen Sie den lokalen Datenspeicher zurück. (Nur Sensoren)
- Benennung von Geräten
- Konfigurieren Sie die Rangfolge, wenn mehrere Namen für ein Gerät gefunden werden.
- Inaktive Quellen
- Entfernen Sie Geräte und Anwendungen, die zwischen 1 und 90 Tagen inaktiv waren, aus den Suchergebnissen.
- Erkennungsverfolgung
- Wählen Sie aus, ob die Erkennungsuntersuchungen mit dem ExtraHop-System oder von einem externen Ticketsystem aus verfolgt werden sollen.
- Endpunktsuche
- Konfigurieren Sie Links zu einem externen IP-Adress-Suchtool für Endpunkte im ExtraHop-System .
- Geomap-Datenquelle
- Ändern Sie die Informationen in kartierten Geolokationen.
- Datenströme öffnen
- Senden Sie Protokolldaten an ein Drittanbietersystem, z. B. ein Syslog-System, eine MongoDB-Datenbank oder einen HTTP-Server. (Nur Sensoren)
- Tendenzen
- Setze alle Trends und trendbasierten Benachrichtigungen zurück. (Nur Sensoren).
- Sichern und Wiederherstellen
- System-Backups erstellen, anzeigen oder wiederherstellen.
Erfassen
Die Capture-Seite bietet Steuerelemente, mit denen Sie einstellen können, wie das ExtraHop-System Ihren Netzwerkverkehr zur Analyse erfasst.
Protokollmodule ausschließen
Standardmäßig sind alle unterstützten Module auf dem ExtraHop-System in der Erfassung enthalten, sofern Sie sie nicht manuell ausschließen.
- Klicken Sie .
- Klicken Sie Ausgeschlossene Protokollmodule.
- Hinzufügen Auszuschließendes Modul.
- Auf dem Wählen Sie das auszuschließende Protokollmodul aus Seite, von der Name des Moduls Wählen Sie in der Dropdownliste das Modul aus, das Sie von der Erfassung ausschließen möchten .
- Klicken Sie Hinzufügen.
- Auf dem Ausgeschlossene Protokollmodule Seite, klicken Capture neu starten.
- Nachdem die Aufnahme neu gestartet wurde, klicken Sie auf OK.
MAC-Adressen ausschließen
Fügen Sie Filter hinzu, um bestimmte MAC-Adressen oder den Geräteverkehr eines Anbieters von der Netzwerkerfassung auszuschließen
Eine IP-Adresse oder einen Bereich ausschließen
Fügen Sie Filter hinzu, um bestimmte IP-Adressen und IP-Bereiche von der Netzwerkerfassung auf dem ExtraHop-System auszuschließen.
- klicken .
- klicken IP-Adressfilter.
- klicken Filter hinzufügen.
- Auf dem IP-Adressfilter Seite, geben Sie entweder eine einzelne IP-Adresse ein, die Sie ausschließen möchten, oder eine IP-Adressmaske im CIDR-Format für einen Bereich von IP-Adressen, den Sie ausschließen möchten.
- Klicken Sie Hinzufügen.
Einen Port ausschließen
Fügen Sie Filter hinzu, um den Datenverkehr von bestimmten Ports von der Netzwerkerfassung auf dem ExtraHop-System auszuschließen.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- Klicken Sie Port-Filter.
- Klicken Sie Filter hinzufügen.
-
Auf dem Portfilter hinzufügen Seite, geben Sie den Port ein, den Sie
ausschließen möchten.
- Um einen Quellport anzugeben, den Sie ausschließen möchten, geben Sie die Portnummer in das Quellport Feld.
- Um einen Zielport anzugeben, den Sie ausschließen möchten, geben Sie die Portnummer in das Zielhafen Feld.
- Aus dem IP-Protokoll Wählen Sie in der Dropdownliste das Protokoll aus, das Sie auf dem angegebenen Port ausschließen möchten.
- Klicken Sie Hinzufügen.
Filterung und Datendeduplikation
In der folgenden Tabelle finden Sie die Auswirkungen von Filterung und Datendeduplikation auf Metriken, PCAP und Geräteerkennung. Die Deduplizierung ist auf dem System standardmäßig aktiviert.
Paket gelöscht von | MAC-Adressfilter | IP-Adressfilter | Anschlussfilter | L2-Deduplizierung | L3-Deduplizierung |
---|---|---|---|---|---|
Netzwerk-VLAN L2-Metriken | Nicht gesammelt | Nicht gesammelt | Nicht fragmentiert*: Nicht gesammelt Fragmentiert: Gesammelt |
Nicht gesammelt | Gesammelt |
Netzwerk-VLAN L3-Metriken | Nicht gesammelt | Nicht gesammelt | Nicht fragmentiert: Nicht gesammelt Fragmentiert: Gesammelt |
Nicht gesammelt | Gesammelt |
L2/L3-Metriken für Geräte | Nicht gesammelt | Nicht gesammelt | Nicht fragmentiert: Nicht gesammelt Fragmentiert, auf oberster Ebene: Gesammelt Fragmentiert, Detail: Nicht gesammelt |
Nicht gesammelt | Gesammelt |
Globale PCAP-Pakete | Gefangen | Gefangen | Gefangen | Gefangen | Gefangen |
Precision PCAP-Pakete | Nicht erfasst | Nicht erfasst | Nicht erfasst | Nicht erfasst | Gefangen |
L2-Geräteerkennung | Keine Entdeckung | Entdeckung | Entdeckung | -- | -- |
L3-Geräteerkennung | Keine Entdeckung | Keine Entdeckung | Nicht fragmentiert: Keine Entdeckung Fragmentiert: Discovery |
-- | -- |
*Wenn bei Portfiltern IP-Fragmente im Datenfeed vorhanden sind, wird bei der erneuten Zusammenstellung des Fragments keine Portnummer bestimmt. Das ExtraHop-System sammelt möglicherweise Messwerte, erfasst Pakete oder erkennt ein Gerät, auch wenn die Port-Filterregel dies andernfalls ausschließt.
L2-Duplikate sind identische Ethernet-Frames. Die doppelten Frames sind normalerweise nicht auf der Leitung vorhanden, sondern sind ein Artefakt der Datenfeed-Konfiguration. L3-Duplikate sind Frames, die sich nur im L2-Header und IP-TTL unterscheiden. Diese Frames entstehen normalerweise durch Tippen auf beiden Seiten eines Routers. Da diese Frames im überwachten Netzwerk vorhanden sind, werden sie an den oben genannten Orten auf L2 und L3 gezählt. Die L3-Deduplizierung ist beispielsweise auf L4 und höher ausgerichtet, um zu vermeiden, dass die L3-Duplikate als TCP-Neuübertragungen gezählt werden.
Klassifizierung des Protokolls
Die Protokollklassifizierung basiert auf bestimmten Nutzlasten, um benutzerdefinierte Protokolle über bestimmte Ports zu identifizieren. Bei diesen Protokollen handelt es sich um Layer-7-Protokolle (Anwendungsebene), die über dem Layer-4-Protokoll (TCP oder UDP) liegen. Diese Anwendungen haben ihr eigenes benutzerdefiniertes Protokoll und verwenden auch das TCP-Protokoll.
Das Klassifizierung des Protokolls Seite bietet eine Schnittstelle zur Ausführung der folgenden Funktionen:
- Listet Anwendungen und Ports für die folgenden Netzwerkentitäten auf:
- Allgemein bekannte Anwendungen, die nicht standardmäßigen Ports zugeordnet sind.
- Weniger bekannte und benutzerdefinierte Netzwerkanwendungen.
- Unbenannte Anwendungen mit TCP- und UDP-Verkehr (z. B. TCP 1234).
- Fügen Sie eine benutzerdefinierte Protokoll-Anwendungs-Zuordnung hinzu, die die folgenden Informationen enthält:
- Name
- Der vom Benutzer angegebene Protokollname.
- Protokoll
- Das gewählte Layer-4-Protokoll (TCP oder UDP).
- Quelle
- (Optional) Der angegebene Quellport. Port 0 gibt einen beliebigen Quellport an.
- Reiseziel
- Der Zielport oder der Bereich von Anschlüssen.
- Lose Initiation
- Wählen Sie dieses Kontrollkästchen, wenn der Klassifikator versuchen soll, die Verbindung zu kategorisieren,
ohne dass die Verbindung geöffnet ist. ExtraHop empfiehlt, für
langlebige Abläufe eine lockere Initiierung zu wählen.
Standardmäßig verwendet das ExtraHop-System eine lose initiierte Protokollklassifizierung und versucht daher, zu klassifizieren Flüsse auch nachdem die Verbindung initiiert wurde. Sie können die lose Initiierung für Ports deaktivieren, die nicht immer den Protokollverkehr übertragen (z. B. den Platzhalterport 0).
- Löschen Sie Protokolle mit dem ausgewählten Anwendungsnamen und der Portzuordnung aus der Liste.
Der Name und der Port der Anwendung werden weder im ExtraHop-System noch in Berichten angezeigt, die auf zukünftigen Datenerfassungen basieren. Das Gerät erscheint in Berichten mit historischen Daten, wenn das Gerät innerhalb des gemeldeten Zeitraums aktiv und auffindbar war.
- Starten Sie die Netzwerkaufnahme neu.
- Sie müssen die Netzwerkaufzeichnung neu starten, bevor Änderungen an der Protokollklassifizierung wirksam werden.
- Zuvor gesammelte Erfassungsdaten werden beibehalten.
Das ExtraHop-System erkennt die meisten Protokolle an ihren Standardports mit einigen Ausnahmen. In der Performance Edition werden die folgenden Protokolle an jedem Port erkannt:
- AJP
- DTLS
- FIX
- HTTP
- HTTP2
- IIOP
- Java-RMI
- LDAP
- RPC
- SSH
- TLS
Auf RevealX 360 werden die folgenden Protokolle an jedem Port erkannt:
- Ethminer
- Blockvorlage abrufen
- RDP
- RFB
- Schicht
- LDAP
- Java-RMI
- IIOP
Wenn ein Protokoll über einen nicht standardmäßigen Port kommuniziert, ist es in einigen Fällen erforderlich, den nicht standardmäßigen Port auf der Seite „Protokollklassifizierung" hinzuzufügen. In diesen Fällen ist es wichtig, den nicht standardmäßigen Port richtig zu benennen. In der folgenden Tabelle sind die Standardports für jedes der Protokolle zusammen mit dem Protokollnamen aufgeführt, der beim Hinzufügen der benutzerdefinierten Portnummern auf der Seite „Protokollklassifizierung" angegeben werden muss.
In den meisten Fällen ist der von Ihnen eingegebene Name mit dem Namen des Protokoll identisch. Die häufigsten Ausnahmen von dieser Regel sind Oracle (wo der Protokollname TNS ist) und Microsoft SQL (wo der Protokollname TDS ist).
Wenn Sie einen Protokollnamen hinzufügen, der mehrere Zielports hat, fügen Sie den gesamten Portbereich hinzu, getrennt durch einen Bindestrich (-). Wenn Ihr Protokoll beispielsweise das Hinzufügen der Ports 1434, 1467 und 1489 für den Datenbankverkehr erfordert, geben Sie 1434-1489 in der Zielhafen Feld. Fügen Sie alternativ jeden der drei Ports in drei separaten Protokollklassifizierungen mit demselben Namen hinzu.
Kanonischer Name | Name des Protokolls | Verkehr | Standard-Quellport | Standard-Zielport |
---|---|---|---|---|
ActiveMQ | ActiveMQ | TCP | 0 | 61616 |
AJP | AJP | TCP | 0 | 8009 |
DB2 | DB2 | TCP | 0 | 50000, 60000 |
DHCP | DHCP | TCP | 68 | 67 |
Durchmesser | AAA | TCP | 0 | 3868 |
DICOM | DICOM | TCP | 0 | 3868 |
DNS | DNS | TCP, UDP | 0 | 53 |
FIX | FIX | TCP | 0 | 0 |
FTP | FTP | TCP | 0 | 21 |
FTP-DATEN | FTP-DATEN | TCP | 0 | 20 |
HL7 | HL7 | TCP, UDP | 0 | 2575 |
HTTPS | HTTPS | TCP | 0 | 443 |
IBM MQ | IBMMQ | TCP, UDP | 0 | 1414 |
ICA | ICA | TCP | 0 | 1494, 2598 |
IKE | IKE | UDP | 0 | 500 |
IMAP | IMAP | TCP | 0 | 143 |
IMAPS | IMAPS | TCP | 0 | 993 |
Informix | Informix | TCP | 0 | 1526, 1585 |
IPSEC | IPSEC | TCP, UDP | 0 | 1293 |
IPX | IPX | TCP, UDP | 0 | 213 |
IRC | IRC | TCP | 0 | 6660-6669 |
ISAKMP | ISAKMP | UDP | 0 | 500 |
iSCSI | iSCSI | TCP | 0 | 3260 |
Kerberos | Kerberos | TCP, UDP | 0 | 88 |
LDAP | LDAP | TCP | 0 | 389, 390, 3268 |
LLDP | LLDP | Link-Ebene | N/A | N/A |
L2TP | L2TP | UDP | 0 | 1701 |
Memcache | Memcache | TCP | 0 | 11210, 11211 |
Modbus | Modbus | TCP | 0 | 502 |
MongoDB | MongoDB | TCP | 0 | 27017 |
MS SQL Server | TDS | TCP | 0 | 1433 |
MSMQ | MSMQ | TCP | 0 | 1801 |
MSRPC | MSRPC | TCP | 0 | 135 |
MySQL | MySQL | TCP | 0 | 3306 |
NetFlow | NetFlow | UDP | 0 | 2055 |
NFS | NFS | TCP | 0 | 2049 |
NFS | NFS | UDP | 0 | 2049 |
NTP | NTP | UDP | 0 | 123 |
OpenVPN | OpenVPN | UDP | 0 | 1194 |
Orakel | TNS | TCP | 0 | 1521 |
PCoIP | PCoIP | UDP | 0 | 4172 |
POP3 | POP3 | TCP | 0 | 143 |
POP 3 | POP 3 | TCP | 0 | 995 |
PostgreSQL | PostgreSQL | TCP | 0 | 5432 |
RADIUS | AAA | TCP | 0 | 1812, 1813 |
RADIUS | AAA | UDP | 0 | 1645, 1646, 1812, 1813 |
RDP | RDP | TCP | 0 | 3389 |
Redis | Redis | TCP | 0 | 6397 |
RFB | RFB | TCP | 0 | 5900 |
SCCP | SCCP | TCP | 0 | 2000 |
SIP | SIP | TCP | 0 | 5060, 5061 |
SMB | SMB | TCP | 0 | 139, 445 |
SMPP | SMPP | TCP | 0 | 2775 |
SMTP | SMTP | TCP | 0 | 25 |
SNMP | SNMP | UDP | 0 | 162 |
SSH | SSH | TCP | 0 | 0 |
Sybase | Sybase | TCP | 0 | 10200 |
Sybase IQ | Sybase IQ | TCP | 0 | 2638 |
Syslog | Syslog | UDP | 0 | 514 |
Telnet | Telnet | TCP | 0 | 23 |
TLS | TLS | TCP | 0 | 443 |
VNC | VNC | TCP | 0 | 5900 |
WebSocket | WebSocket | TCP | 0 | 80, 443 |
Optimierung der Windows Update-Bereitstellung | Optimierung der Windows Update-Bereitstellung | TCP | 0 | 7860 |
Der in der Spalte Protokollname der Tabelle angegebene Name wird auf der Seite „ Protokollklassifizierung" angezeigt, um ein allgemeines Protokoll zu klassifizieren, das über nicht standardmäßige Ports kommuniziert.
Zu den Protokollen im ExtraHop-System, die in dieser Tabelle nicht aufgeführt sind, gehören die folgenden:
- HTTP
- Das ExtraHop-System klassifiziert HTTP auf allen Ports.
- HTTP-AMF
- Dieses Protokoll läuft auf HTTP und wird automatisch klassifiziert.
Zu den Protokollen in dieser Tabelle, die nicht im ExtraHop-System erscheinen, gehören die folgenden:
- FTP-DATEN
- Das ExtraHop-System verarbeitet keine FTP-DATEN auf nicht standardmäßigen Ports.
- LLDP
- Da es sich um ein Protokoll auf Linkebene handelt, gilt die portbasierte Klassifizierung nicht.
Fügen Sie eine benutzerdefinierte Protokollklassifizierung hinzu
Das folgende Verfahren beschreibt, wie Sie benutzerdefinierte hinzufügen Protokoll Klassifizierungsetiketten mit dem TDS-Protokoll (MS SQL Server) als Beispiel.
Standardmäßig sucht das ExtraHop-System auf dem TCP-Port 1433 nach TDS-Verkehr. Gehen Sie wie folgt vor, um MS SQL Server TDS-Parsing auf einem anderen Port hinzuzufügen.
Geräteerkennung konfigurieren
Das ExtraHop-System kann Geräte anhand ihrer MAC-Adresse (L2 Discovery) oder anhand ihrer IP-Adressen (L3 Discovery) erkennen und verfolgen. L2 Discovery bietet den Vorteil, dass Messwerte für ein Gerät auch dann verfolgt werden können, wenn die IP-Adresse durch eine DHCP-Anfrage geändert oder neu zugewiesen wird. Das System kann VPN-Clients auch automatisch erkennen.
Before you begin
Erfahre wie Geräteerkennung und L2-Entdeckung funktioniert im ExtraHop-System. Das Ändern dieser Einstellungen wirkt sich darauf aus, wie Metriken mit Geräten verknüpft werden.Hinweis: | Paketbroker können ARP-Anfragen filtern. Das ExtraHop-System stützt sich auf ARP-Anfragen, um L3-IP-Adressen mit L2-MAC-Adressen zu verknüpfen. |
Entdecken Sie lokale Geräte
Wenn Sie L3 Discovery aktivieren, werden lokale Geräte anhand ihrer IP-Adresse verfolgt. Das System erstellt einen übergeordneten L2-Eintrag für die MAC-Adresse und einen untergeordneten L3-Eintrag für die IP-Adresse. Wenn sich die IP-Adresse für ein Gerät im Laufe der Zeit ändert, wird möglicherweise ein einziger Eintrag für ein L2-Elternteil mit einer MAC-Adresse mit mehreren untergeordneten L3-Einträgen mit unterschiedlichen IP-Adressen angezeigt.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- Klicken Sie Gerätesuche.
-
In der Lokale Gerätesuche Abschnitt, wählen Sie aus den
folgenden Optionen:
- Wählen Sie die Lokale Geräteerkennung aktivieren Kontrollkästchen , um L3 Discovery zu aktivieren.
- Löschen Sie das Lokale Geräteerkennung aktivieren Kontrollkästchen , um L2 Discovery zu aktivieren.
- Klicken Sie Speichern.
Ermitteln Sie Remote-Geräte anhand der IP-Adresse
Sie können das ExtraHop-System so konfigurieren, dass Geräte in Remote-Subnetzen automatisch erkannt werden, indem Sie eine Reihe von IP-Adressen hinzufügen.
Hinweis: | Wenn Ihr ExtraHop-System für L2 Discovery konfiguriert ist und Ihre Remote-Geräte IP-Adressen über einen DHCP-Relay-Agenten anfordern, können Sie Geräte anhand ihrer MAC-Adresse verfolgen, und Sie müssen Remote L3 Discovery nicht konfigurieren. Erfahre mehr über Geräteerkennung. |
- L2-Informationen wie die MAC-Adresse des Geräts und der L2-Verkehr sind nicht verfügbar, wenn sich das Gerät in einem anderen Netzwerk befindet als dem, das vom ExtraHop-System überwacht wird. Diese Informationen werden nicht von Routern weitergeleitet und sind daher für das ExtraHop-System nicht sichtbar.
- Seien Sie vorsichtig, wenn Sie die CIDR-Notation angeben. Ein /24-Subnetzpräfix kann dazu führen , dass 255 neue Geräte vom ExtraHop-System entdeckt werden. Ein breites /16-Subnetzpräfix kann dazu führen, dass 65.535 neue Geräte entdeckt werden, was Ihr Gerätelimit überschreiten könnte.
- Wenn eine IP-Adresse aus den Remote L3 Gerät Discovery-Einstellungen entfernt wird, bleibt die
IP-Adresse im ExtraHop-System als Remote-L3-Gerät bestehen, solange aktive Datenflüsse für diese IP-Adresse
existieren oder bis die Erfassung neu gestartet wird.
Nach einem Neustart wird das Gerät als inaktives
Remote-L3-Gerät aufgeführt.
Wenn dieselbe IP-Adresse später über den lokalen Datenfeed hinzugefügt wird, kann dieses entfernte L3-Gerät zu einem lokalen L3-Gerät wechseln, jedoch nur, wenn der Erfassungsvorgang neu gestartet und die Einstellung Local Device Discovery aktiviert ist.
Wichtig: | Der Erfassungsvorgang muss beim Entfernen von IP-Adressbereichen neu gestartet werden, bevor die Änderungen wirksam werden. Wir empfehlen, alle Einträge zu löschen, bevor Sie den Erfassungsvorgang neu starten. Der Erfassungsvorgang muss beim Hinzufügen von IP-Adressbereichen nicht neu gestartet werden. |
Entdecken Sie VPN-Clients
Ermöglichen Sie die Erkennung interner IP-Adressen, die VPN-Clientgeräten zugeordnet sind.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- Klicken Sie Gerätesuche.
-
In der VPN-Client-Erkennung Abschnitt, wählen Sie aus den
folgenden Optionen:
- Wählen Sie die VPN-Client-Erkennung aktivieren Kontrollkästchen , um die VPN-Client-Erkennung zu aktivieren.
- Löschen Sie das VPN-Client-Erkennung aktivieren Kontrollkästchen, um die VPN-Client-Erkennung zu deaktivieren.
- Klicken Sie Speichern.
TLS-Entschlüsselung
Das ExtraHop-System unterstützt die Echtzeit-Entschlüsselung von TLS-Verkehr zur Analyse. Bevor das System Ihren Datenverkehr entschlüsseln kann, müssen Sie die Weiterleitung von Sitzungsschlüsseln konfigurieren oder ein TLS-Serverzertifikat und einen privaten Schlüssel hochladen. Das Serverzertifikat und die privaten Schlüssel werden über eine HTTPS-Verbindung von einem Webbrowser auf das ExtraHop-System hochgeladen.
Hinweis: | Ihr Serververkehr muss mit einem von verschlüsselt werden diese unterstützten Cipher Suites. |
Hilfe auf dieser Seite
- Entschlüsseln Sie den TLS-Verkehr mit Sitzungsschlüsselweiterleitung ohne private Schlüssel.
- Deaktivieren Sie das Kontrollkästchen für Private Schlüssel erforderlich.
- Installieren Sie die Sitzungsschlüsselweiterleitungssoftware auf Ihrem Linux oder Windows Server.
- Einen globalen Port zur Protokollzuordnung hinzufügen für jedes Protokoll, das Sie entschlüsseln möchten.
- Entschlüsseln Sie den TLS-Verkehr, indem Sie ein Zertifikat und einen privaten Schlüssel hochladen.
Hinweis: | Für die TLS-Entschlüsselung ist eine Lizenz erforderlich. Wenn Sie jedoch eine Lizenz für MS SQL haben, können Sie auch ein TLS-Zertifikat hochladen, um den MS SQL-Verkehr aus diesen Einstellungen zu entschlüsseln. |
Laden Sie ein PEM-Zertifikat und einen privaten RSA-Schlüssel hoch
Hinweis: | Sie können einen kennwortgeschützten Schlüssel exportieren, um ihn Ihrem ExtraHop-System hinzuzufügen,
indem Sie den folgenden Befehl in einem Programm wie OpenSSL ausführen:
openssl rsa -in yourcert.pem -out new.key |
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- klicken SSL-Entschlüsselung.
- In der Entschlüsselung des privaten Schlüssels Abschnitt, wählen Sie das Kontrollkästchen für Private Schlüssel erforderlich.
- Klicken Sie Speichern.
- In der Private Schlüssel Abschnitt, klicken Schlüssel hinzufügen.
- In der Name Feld, geben Sie einen beschreibenden Namen zur Identifizierung dieses Zertifikats und Schlüssels ein.
- Löschen Sie das Aktiviert Checkbox, wenn Sie dieses TLS-Zertifikat deaktivieren möchten.
- In der Zertifikat Feld, fügen Sie das Public-Key-Zertifikat ein.
- In der Privater Schlüssel Feld, fügen Sie den privaten RSA-Schlüssel ein.
- Klicken Sie Hinzufügen.
Nächste Maßnahme
Fügen Sie die verschlüsselten Protokolle hinzu Sie möchten mit diesem Zertifikat entschlüsseln.Laden Sie eine PKCS #12 /PFX-Datei hoch
PKCS #12 /PFX-Dateien werden in einem sicheren Container auf dem ExtraHop-System archiviert und enthalten sowohl öffentliche als auch private Schlüsselpaare, auf die nur mit einem Passwort zugegriffen werden kann.
Hinweis: | Um private Schlüssel aus einem Java KeyStore in eine PKCS #12 -Datei zu exportieren, führen Sie den
folgenden Befehl auf Ihrem Server aus, wobei javakeystore.jks ist der
Pfad Ihres
Java-KeyStores:keytool -importkeystore -srckeystore javakeystore.jks -destkeystore pkcs.p12 -srcstoretype jks -deststoretype pkcs12 |
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Sie Erfassen.
- Klicken Sie SSL-Entschlüsselung.
- In der Entschlüsselung des privaten Schlüssels Abschnitt, wählen Sie das Kontrollkästchen für Private Schlüssel erforderlich.
- Klicken Sie Speichern.
- In der Private Schlüssel Abschnitt, klicken Sie Schlüssel hinzufügen.
- In der PKCS #12 /PFX-Datei mit Passwort hinzufügen Abschnitt, geben Sie im Feld Beschreibung einen beschreibenden Namen zur Identifizierung dieses Zertifikats und Schlüssels ein.
- Löschen Sie das Aktiviert Checkbox, wenn Sie dieses TLS-Zertifikat deaktivieren möchten.
- Für PKCS #12 /PFX-Datei, klicken Sie Stöbern.
- Navigieren Sie zu der Datei, wählen Sie sie aus und klicken Sie dann auf Offen.
- In der Passwort Feld, geben Sie das Passwort für die PKCS #12 /PFX-Datei ein.
- Klicken Sie Hinzufügen.
- Klicken Sie OK.
Nächste Maßnahme
Fügen Sie die verschlüsselten Protokolle hinzu Sie möchten mit diesem Zertifikat entschlüsseln.Verschlüsselte Protokolle hinzufügen
Sie müssen jedes Protokoll, das Sie entschlüsseln möchten, für jedes hochgeladene Zertifikat hinzufügen.
Einen globalen Port zur Protokollzuordnung hinzufügen
Fügen Sie jedes Protokoll für den Datenverkehr hinzu, den Sie mit Ihren Sitzungsschlüsselweiterleitungen entschlüsseln möchten.
Installieren Sie den ExtraHOP Session Key Forwarder auf einem Windows-Server
Perfect Forward Secrecy (PFS) ist eine Eigenschaft sicherer Kommunikationsprotokolle, die den kurzfristigen, vollständig privaten Austausch von Sitzungsschlüsseln zwischen Clients und Servern ermöglichen. ExtraHop bietet eine Software zur Weiterleitung von Sitzungsschlüsseln an, die Sitzungsschlüssel zur TLS-Entschlüsselung an das ExtraHop-System senden kann. Kommunikation zwischen dem Key Spediteur und dem Sensor ist mit TLS 1.2 oder TLS 1.3 verschlüsselt, und die Anzahl der Sitzungsschlüssel, die das ExtraHop-System empfangen kann, ist unbegrenzt.
Hinweis: | Weitere Informationen darüber, wie sich der Traffic-Feed oder Änderungen an der Konfiguration auf Sensoren auswirken könnten, finden Sie in den Metriken für Desynchronisierung und Erfassung der Drop-Rate in der Systemstatus-Dashboard. |
Sie müssen das ExtraHop-System für die Weiterleitung von Sitzungsschlüsseln konfigurieren und dann die Forwarder-Software auf dem Windows und Linux Server mit dem TLS-Verkehr, den Sie entschlüsseln möchten.
Bevor du anfängst- Lesen Sie über TLS-Entschlüsselung und überprüfen Sie die Liste von unterstützte Cipher Suites.
- Stellen Sie sicher, dass das ExtraHop-System für TLS Decryption und TLS Shared Secrets lizenziert ist.
- Stellen Sie sicher, dass Ihre Serverumgebung von der ExtraHop Session Key
Forwarder-Software unterstützt wird:
- Microsoft Secure Channel (Schannel) -Sicherheitspaket
- Java TLS (Java-Versionen 8 bis 17). Führen Sie kein Upgrade auf diese Version des Session Key Forwarders durch, wenn Sie derzeit Java 6- oder Java 7-Umgebungen überwachen. Version 7.9 des Session Key Forwarders unterstützt Java 6 und Java 7 und ist mit der neuesten ExtraHop-Firmware kompatibel.
- Dynamisch verknüpfte OpenSSL-Bibliotheken (1.0.x und 1.1.x). OpenSSL wird nur auf Linux-Systemen mit den Kernelversionen 4.4 und höher sowie RHEL 7.6 und höher unterstützt.
- Stellen Sie sicher, dass der Server, auf dem Sie den Session Key Forwarder installieren, dem TLS-Zertifikat des ExtraHop vertraut Sensor.
- Stellen Sie sicher, dass Ihre Firewallregeln zulassen, dass vom überwachten Server Verbindungen zum TCP-Port 4873 auf dem Sensor initiiert werden.
Wichtig: | Das ExtraHop-System kann den TLS-verschlüsselten TDS-Verkehr nicht durch Weiterleitung von Sitzungsschlüsseln entschlüsseln. Stattdessen können Sie ein RSA hochladen privater Schlüssel. |
- Installieren Sie den Session Key Forwarder auf einem oder mehreren Windows 2016- oder Windows 2019-Servern, auf denen TLS-basierte Dienste mit dem nativen Windows TLS-Framework ausgeführt werden. OpenSSL unter Windows wird derzeit nicht unterstützt.
Wichtig: | Nach der Installation der Sitzungsschlüsselweiterleitungssoftware funktionieren Anwendungen, die TLS-fähige Funktionen
enthalten, wie EDR-Agenten und Windows Store-Anwendungen, möglicherweise nicht richtig.
Überprüfen Sie die Kompatibilität des Session Key Forwarders in Ihrer Windows-Testumgebung, bevor Sie ihn in Ihrer Produktionsumgebung bereitstellen. |
Installieren Sie die Software mit dem Installationsassistenten
Die folgenden Schritte zeigen Ihnen, wie Sie die Sitzungsschlüsselweiterleitung über eine Windows-Eingabeaufforderung oder Windows PowerShell installieren.
Aktivieren Sie den TLS-Sitzungsschlüsselempfängerdienst
Sie müssen den Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktivieren, bevor das System Sitzungsschlüssel vom Sitzungsschlüssel-Forwarder empfangen und entschlüsseln kann. Standardmäßig ist dieser Dienst deaktiviert.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Appliance-Einstellungen Abschnitt, klicken Sie Dienstleistungen.
- Wählen Sie die Empfänger für SSL-Sitzungsschlüssel Ankreuzfeld.
- Klicken Sie Speichern.
Einen globalen Port zur Protokollzuordnung hinzufügen
Fügen Sie jedes Protokoll für den Datenverkehr hinzu, den Sie mit Ihren Sitzungsschlüsselweiterleitungen entschlüsseln möchten.
Schlüsselweiterleitungen verbundener Sitzungen anzeigen
Sie können kürzlich verbundene Sitzungsschlüsselweiterleitungen anzeigen, nachdem Sie die Sitzungsschlüsselweiterleitung auf Ihrem Server installiert und den TLS-Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktiviert haben. Beachten Sie, dass auf dieser Seite nur Sitzungsschlüsselweiterleitungen angezeigt werden, die in den letzten Minuten eine Verbindung hergestellt haben, nicht alle Sitzungsschlüsselweiterleitungen, die derzeit verbunden sind.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- klicken Geteilte SSL-Geheimnisse.
Weiterleitung des Sitzungsschlüssels validieren
Gehen Sie wie folgt vor, um sicherzustellen, dass die Installation erfolgreich war und der Session Key Forwarder die Schlüssel an das ExtraHop-System weiterleitet.
- Melden Sie sich beim Windows-Server an.
-
Öffnen Sie das MMC-Snap-In Services. Stellen Sie sicher, dass beide Dienste, „ExtraHop Session Key Forwarder"
und „ExtraHop Registry Service", den Status „Wird ausgeführt" anzeigen.
-
Wenn einer der Dienste nicht ausgeführt wird, beheben Sie das Problem,
indem Sie die folgenden Schritte ausführen.
- Öffnen Sie das MMC-Snap-In der Ereignisanzeige und navigieren Sie zu Windows-Protokolle > Anwendung.
- Suchen Sie die neuesten Einträge für die ExtraHopAgent-Quelle. Häufige Fehlerursachen und die zugehörigen Fehlermeldungen sind in der Beheben Sie häufig auftretende Fehlermeldungen Abschnitt unten.
- Wenn das Snap-In „Dienste" und die Ereignisanzeige keine Probleme anzeigen, wenden Sie eine Arbeitslast auf die überwachten Dienste an und überprüfen Sie im ExtraHop-System, ob die geheime Entschlüsselung funktioniert.
In Fällen, in denen Sie möglicherweise Probleme mit der Konfiguration haben, enthält die Binärdatei für die Sitzungsschlüsselweiterleitung einen Testmodus, auf den Sie über die Kommandozeile zugreifen können, um Ihre Konfiguration zu testen.
Wichtige Kennzahlen zum Zustand des Empfängersystems
Das ExtraHop-System bietet wichtige Empfängermetriken, die Sie zu einem Dashboard-Diagramm hinzufügen können, um den Zustand und die Funktionalität der wichtigsten Empfänger zu überwachen.
Um eine Liste der verfügbaren Messwerte anzuzeigen, klicken Sie auf das Symbol Systemeinstellungen und dann klicken Metrischer Katalog. Typ Schlüsselempfänger im Filterfeld, um alle verfügbaren wichtigen Empfängermetriken anzuzeigen.
Hinweis: | Informationen zum Erstellen eines neuen Dashboard-Diagramms finden Sie unter Ein Diagramm mit dem Metric Explorer bearbeiten. |
Integrieren Sie den Forwarder in die Java-basierte TLS-Anwendung
Beispielsweise unterstützt Apache Tomcat die Anpassung von Java-Optionen in den Eigenschaften des Tomcat Service Managers. Im folgenden Beispiel fügen Sie -javaagent Die Option für den Abschnitt Java-Optionen bewirkt, dass die Java-Laufzeitumgebung die Geheimnisse der TLS-Sitzung mit dem Key-Forwarder-Prozess teilt, der die Geheimnisse dann an das ExtraHop-System weiterleitet, damit die Geheimnisse entschlüsselt werden können.
-javaagent:C:\Program Files\ExtraHop\exagent.jar
Hinweis: | Wenn auf Ihrem Server Java 17 oder höher ausgeführt wird, müssen Sie dem sun.security.ssl-Modul auch den
Zugriff auf alle unbenannten Module mit dem
--add-opens Option, wie im folgenden
Beispiel gezeigt:--add-opens java.base/sun.security.ssl=ALL-UNNAMED |
Anlage
Fehlermeldungen werden in Protokolldateien an den folgenden Speicherorten gespeichert, wobei TMP der Wert Ihrer TMP-Umgebungsvariablen ist:
- TMP\ExtraHopSessionKeyForwarderSetup.log
- TMP\ExtraHopSessionKeyForwarderMsi.log
Die folgende Tabelle enthält häufig auftretende Fehlermeldungen, die Sie beheben können. Wenn Sie einen anderen Fehler sehen oder die vorgeschlagene Lösung Ihr Problem nicht löst, wenden Sie sich an den ExtraHop Support.
Nachricht | Ursache | Lösung |
---|---|---|
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond | Der überwachte Server kann keinen Datenverkehr an den weiterleiten Sensor. | Stellen Sie sicher, dass die Firewallregeln das Initiieren von Verbindungen durch den überwachten Server zum TCP-Port 4873 auf dem Sensor. |
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it | Der überwachte Server kann den Verkehr an den weiterleiten Sensor, aber der Empfangsvorgang hört nicht zu. | Stellen Sie sicher, dass Sensor ist sowohl für die Funktionen TLS Decryption als auch TLS Shared Secrets lizenziert. |
connect: x509: certificate signed by unknown authority | Der überwachte Server ist nicht in der Lage, die zu verketten Sensor Zertifikat für eine vertrauenswürdige Zertifizierungsstelle (CA). | Stellen Sie sicher, dass der Windows-Zertifikatspeicher für das Computerkonto über vertrauenswürdige Stammzertifizierungsstellen verfügt, die eine Vertrauenskette für das Sensor. |
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs | Eine IP-Adresse wurde als angegeben EDA_HOSTNAME Parameter bei der Installation des Forwarders, aber das vom Sensor vorgelegte TLS-Zertifikat enthält keine IP-Adresse als Subject Alternate Name (SAN). | Wählen Sie aus den folgenden drei Lösungen.
|
|
||
|
Wenn Sie nicht mehr möchten, dass die ExtraHop-Sitzungsschlüsselweiterleitungssoftware installiert wird, oder wenn sich einer der ursprünglichen Installationsparameter geändert hat (Sensor-Hostname oder Zertifikat) und Sie die Software mit neuen Parametern neu installieren müssen, gehen Sie wie folgt vor:
Wichtig: | Sie müssen den Server neu starten, damit die Konfigurationsänderungen wirksam werden. |
- Loggen Sie sich auf dem Windows-Server ein.
- Optional: Wenn Sie den Sitzungsschlüssel-Forwarder in Apache Tomcat integriert haben, entfernen Sie den -javaagent:C:\Program Files\ExtraHop\exagent.jar Eintrag von Tomcat, um zu verhindern, dass der Webservice gestoppt wird.
-
Wählen Sie eine der folgenden Optionen, um die Software zu entfernen:
- Öffnen Sie das Control Panel und klicken Sie auf Deinstalliere ein Programm. Wählen ExtraHop-Sitzungsschlüsselweiterleitung aus der Liste und klicken Sie dann auf Deinstallation.
-
Öffnen Sie eine PowerShell-Eingabeaufforderung und führen Sie die folgenden Befehle aus, um die Software und die zugehörigen Registrierungseinträge zu entfernen:
-
$app=Get-WMIObject -class win32_product | where-object {$_.name -eq "ExtraHop Session Key Forwarder"}
-
$app.Uninstall()
-
- Klicken Ja zur Bestätigung.
- Nachdem die Software entfernt wurde, klicken Sie auf Ja um das System neu zu starten
Sie können die folgenden MSI-Parameter angeben:
MSI-Installationsparameter | EDA_HOSTNAME |
Eintrag in die Registrierung | HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\EDAHost |
Beschreibung | Das Sensor Hostname oder IP-Adresse, an die
TLS-Sitzungsschlüssel gesendet werden. Dieser Parameter ist erforderlich. |
MSI-Installationsparameter | EDA_CERTIFICATEPATH |
Eintrag in die Registrierung | N/A |
Beschreibung |
Der überwachte Server muss dem Aussteller des vertrauen Sensor TLS-Zertifikat über den Zertifikatsspeicher des Servers. In einigen Umgebungen ist der Sensor arbeitet mit dem selbstsignierten Zertifikat , das die ExtraHop-Firmware bei der Installation generiert. In diesem Fall muss das Zertifikat zum Zertifikatsspeicher hinzugefügt werden. Das EDA_CERTIFICATEPATH Mit diesem Parameter kann ein dateibasiertes PEM-kodiertes Zertifikat bei der Installation in den Windows-Zertifikatsspeicher importiert werden. Wenn der Parameter bei der Installation nicht angegeben wird und ein selbstsigniertes oder anderes CA-Zertifikat manuell im Zertifikatsspeicher abgelegt werden muss, muss der Administrator das Zertifikat auf dem überwachten System unter Zertifikate (Computerkonto) > Vertrauenswürdige Stammzertifizierungsstellen importieren. Dieser Parameter ist optional, wenn der überwachte Server zuvor so konfiguriert wurde, dass er dem TLS-Zertifikat des Sensor über den Windows-Zertifikatsspeicher. |
MSI-Installationsparameter | SERVERNAMEOVERRIDE |
Eintrag in die Registrierung | HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\ServerNameOverride |
Beschreibung |
Wenn es eine Diskrepanz zwischen dem Sensor Hostname, den der Forwarder kennt (EDA_HOSTNAME) und der allgemeine Name (CN), der im TLS-Zertifikat des Sensor, dann muss der Forwarder mit dem richtigen CN konfiguriert werden. Dieser Parameter ist optional. Wir empfehlen, dass Sie das selbstsignierte TLS-Zertifikat auf der Grundlage des Hostnamens aus dem TLS-Zertifikat Abschnitt der Administrationseinstellungen, anstatt diesen Parameter anzugeben. |
MSI-Installationsparameter | TCPLISTENPORT |
Eintrag in die Registrierung | HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\TCPListenPort |
Beschreibung | Der Key Forwarder empfängt Sitzungsschlüssel lokal aus der Java-Umgebung
über einen TCP-Listener auf localhost (127.0.0.1) und den in der
TCPListenPort Eintrag. Wir empfehlen, für diesen Port
die Standardeinstellung 598 beizubehalten. Dieser Parameter ist optional. |
Das ExtraHop-System kann TLS-Verkehr entschlüsseln, der mit PFS- oder RSA-Cipher-Suites verschlüsselt wurde. Alle unterstützten Cipher-Suites können entschlüsselt werden, indem der Session Key Forwarder auf einem Server installiert und das ExtraHop-System konfiguriert wird.
Cipher Suites für RSA können den Datenverkehr auch mit einem Zertifikat und einem privaten Schlüssel entschlüsseln — mit oder ohne Sitzungsschlüsselweiterleitung.
- PFS + GPP: das ExtraHop-System kann diese Verschlüsselungssammlungen mit Sitzungsschlüsselweiterleitung entschlüsseln und Zuordnung von globalem Protokoll zu Port
- PFS + Zertifikat: Das ExtraHop-System kann diese Cipher-Suites mit Sitzungsschlüsselweiterleitung entschlüsseln und Zertifikat und privater Schlüssel
- RSA + Zertifikat: das ExtraHop-System kann diese Cipher-Suites ohne Weiterleitung des Sitzungsschlüssels entschlüsseln, solange Sie die Datei hochgeladen haben Zertifikat und privater Schlüssel
Hex-Wert | Vorname (IANA) | Nome (OpenSSL) | Unterstützte Entschlüsselung |
---|---|---|---|
0 x 04 | TLS_RSA_MIT_RC4_128_MD5 | RC4-MD5 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 05 | TLS_RSA_MIT_RC4_128_SHA | RC4-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 0A | TLS_RSA_MIT_3DES_EDE_CBC_SHA | DES-CBC3-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 16 | TLS_DHE_RSA_MIT_3DES_EDE_CBC_SHA | EDH-RSA-DES-CBC3-SHA | PFS + GPP PFS + Zertifikat |
0x2F | TLS_RSA_MIT_AES_128_CBC_SHA | AES128-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 33 | TLS_DHE_RSA_MIT_AES_128_CBC_SHA | DHE-RSA-AES128-SHA | PFS + GPP PFS + Zertifikat |
0x35 | TLS_RSA_MIT_AES_256_CBC_SHA | AES256-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x39 | TLS_DHE_RSA_MIT_AES_256_CBC_SHA | DHE-RSA-AES256-SHA | PFS + GPP PFS + Zertifikat |
0x3C | TLS_RSA_MIT_AES_128_CBC_SHA256 | AES128-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x3D | TLS_RSA_MIT_AES_256_CBC_SHA256 | AES256-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x67 | TLS_DHE_RSA_MIT_AES_128_CBC_SHA256 | DHE-RSA-AES128-SHA256 | PFS + GPP PFS + Zertifikat |
0x6 B | TLS_DHE_RSA_MIT_AES_256_CBC_SHA256 | DHE-RSA-AES256-SHA256 | PFS + GPP PFS + Zertifikat |
0x9C | TLS_RSA_MIT_AES_128_GCM_SHA256 | AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x9D | TLS_RSA_MIT_AES_256_GCM_SHA384 | AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x9E | TLS_DHE_RSA_MIT_AES_128_GCM_SHA256 | DHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat |
0x9F | TLS_DHE_RSA_MIT_AES_256_GCM_SHA384 | DHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat |
0 x 1301 | TLS_AES_128_GCM_SHA256 | TLS_AES_128_GCM_SHA256 | PFS + GPP PFS + Zertifikat |
0 x 1302 | TLS_AES_256_GCM_SHA384 | TLS_AES_256_GCM_SHA384 | PFS + GPP PFS + Zertifikat |
0 x 1303 | TLS_CHACHA20_POLY1305_SHA256 | TLS_CHACHA20_POLY1305_SHA256 | PFS + GPP PFS + Zertifikat |
0xC007 | TLS_ECDHE_ECDSA_MIT_RC4_128_SHA | ECDHE-ECDSA-RC4-SHA | PFS + GPP |
0xC008 | TLS_ECDHE_ECDSA_MIT_3DES_EDE_CBC_SHA | ECDHE-ECDSA-DES-CBC3-SHA | PFS + GPP |
0xC009 | TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA | ECDHE-ECDSA-AES128-SHA | PFS + GPP |
0xC00A | TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA | ECDHE-ECDSA-AES256-SHA | PFS + GPP |
0xC011 | TLS_ECDHE_RSA_MIT_RC4_128_SHA | ECDHE-RSA-RC4-SHA | PFS + GPP PFS + Zertifikat |
0xC012 | TLS_ECDHE_RSA_MIT_3DES_EDE_CBC_SHA | ECDHE-RSA-DES-CBC3-SHA | PFS + GPP PFS + Zertifikat |
0xC013 | TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA | ECDHE-RSA-AES128-SHA | PFS + GPP PFS + Zertifikat |
0xC014 | TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA | ECDHE-RSA-AES256-SHA | PFS + GPP PFS + Zertifikat |
0xC023 | TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA256 | ECDHE-ECDSA-AES128-SHA256 | PFS + GPP |
0xC024 | TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA384 | ECDHE-ECDSA-AES256-SHA384 | PFS + GPP |
0xC027 | TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA256 | ECDHE-RSA-AES128-SHA256 | PFS + GPP PFS + Zertifikat |
0xC028 | TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA384 | ECDHE-RSA-AES256-SHA384 | PFS + GPP PFS + Zertifikat |
0xC02B | TLS_ECDHE_ECDSA_MIT_AES_128_GCM_SHA256 | ECDHE-ECDSA-AES128-GCM-SHA256 | PFS + GPP |
0xC02C | TLS_ECDHE_ECDSA_MIT_AES_256_GCM_SHA384 | ECDHE-ECDSA-AES256-GCM-SHA384 | PFS + GPP |
0xC02F | TLS_ECDHE_RSA_MIT_AES_128_GCM_SHA256 | ECDHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat |
0xC030 | TLS_ECDHE_RSA_MIT_AES_256_GCM_SHA384 | ECDHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat |
0xCCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Zertifikat |
0xCCA9 | TLS_ECDHE_ECDSA_MIT_CHACHA20_POLY1305_SHA256 | ECDHE-ECDSA-CHACHA20-POLY1305 | PFS + GPP |
0xCCAA | TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | DHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Zertifikat |
Sie können die MSI-Datei aus der ausführbare Datei exportieren, um einen benutzerdefinierten Installationsablauf zu unterstützen.
ExtraHopSessionKeyForwarderSetup.exe -e
Hinweis: | Sie können anhängen <directory>
zum -e Parameter zum Speichern des .msi Datei
in ein anderes Verzeichnis als das aktuelle Arbeitsverzeichnis. Mit dem
folgenden Befehl wird die Datei beispielsweise im install_dir
Verzeichnis:ExtraHopSessionKeyForwarderSetup.exe -e install_dir |
Installieren Sie den ExtraHop Session Key Forwarder auf einem Linux-Server
Perfect Forward Secrecy (PFS) ist eine Eigenschaft sicherer Kommunikationsprotokolle, die den kurzfristigen, vollständig privaten Austausch von Sitzungsschlüsseln zwischen Clients und Servern ermöglichen. ExtraHop bietet eine Software zur Weiterleitung von Sitzungsschlüsseln an, die Sitzungsschlüssel zur TLS-Entschlüsselung an das ExtraHop-System senden kann. Kommunikation zwischen dem Key Spediteur und dem Sensor ist mit TLS 1.2 oder TLS 1.3 verschlüsselt, und die Anzahl der Sitzungsschlüssel, die das ExtraHop-System empfangen kann, ist unbegrenzt.
Hinweis: | Weitere Informationen darüber, wie sich der Traffic-Feed oder Änderungen an der Konfiguration auf Sensoren auswirken könnten, finden Sie in den Metriken für Desynchronisierung und Erfassung der Drop-Rate in der Systemstatus-Dashboard. |
Sie müssen das ExtraHop-System für die Weiterleitung von Sitzungsschlüsseln konfigurieren und dann die Forwarder-Software auf dem Windows und Linux Server mit dem TLS-Verkehr, den Sie entschlüsseln möchten.
Bevor du anfängst- Lesen Sie über TLS-Entschlüsselung und überprüfen Sie die Liste von unterstützte Cipher Suites.
- Stellen Sie sicher, dass das ExtraHop-System für TLS Decryption und TLS Shared Secrets lizenziert ist.
- Stellen Sie sicher, dass Ihre Serverumgebung von der ExtraHop Session Key
Forwarder-Software unterstützt wird:
- Microsoft Secure Channel (Schannel) -Sicherheitspaket
- Java TLS (Java-Versionen 8 bis 17). Führen Sie kein Upgrade auf diese Version des Session Key Forwarders durch, wenn Sie derzeit Java 6- oder Java 7-Umgebungen überwachen. Version 7.9 des Session Key Forwarders unterstützt Java 6 und Java 7 und ist mit der neuesten ExtraHop-Firmware kompatibel.
- Dynamisch verknüpfte OpenSSL-Bibliotheken (1.0.x und 1.1.x). OpenSSL wird nur auf Linux-Systemen mit den Kernelversionen 4.4 und höher sowie RHEL 7.6 und höher unterstützt.
- Stellen Sie sicher, dass der Server, auf dem Sie den Session Key Forwarder installieren, dem TLS-Zertifikat des ExtraHop vertraut Sensor.
- Stellen Sie sicher, dass Ihre Firewallregeln zulassen, dass vom überwachten Server Verbindungen zum TCP-Port 4873 auf dem Sensor initiiert werden.
Wichtig: | Das ExtraHop-System kann den TLS-verschlüsselten TDS-Verkehr nicht durch Weiterleitung von Sitzungsschlüsseln entschlüsseln. Stattdessen können Sie ein RSA hochladen privater Schlüssel. |
- Installieren Sie den Session Key Forwarder auf RHEL-, CentOS-, Fedora- oder Debian-Ubuntu-Linux-Distributionen. Die Sitzungsschlüsselweiterleitung funktioniert auf anderen Distributionen möglicherweise nicht richtig.
- Der Session Key Forwarder wurde nicht ausführlich mit SELinux getestet und ist möglicherweise nicht kompatibel, wenn er auf einigen Linux-Distributionen aktiviert ist.
Aktivieren Sie den TLS-Sitzungsschlüsselempfängerdienst
Sie müssen den Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktivieren, bevor das System Sitzungsschlüssel vom Sitzungsschlüssel-Forwarder empfangen und entschlüsseln kann. Standardmäßig ist dieser Dienst deaktiviert.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Appliance-Einstellungen Abschnitt, klicken Sie Dienstleistungen.
- Wählen Sie die Empfänger für SSL-Sitzungsschlüssel Ankreuzfeld.
- Klicken Sie Speichern.
Einen globalen Port zur Protokollzuordnung hinzufügen
Fügen Sie jedes Protokoll für den Datenverkehr hinzu, den Sie mit Ihren Sitzungsschlüsselweiterleitungen entschlüsseln möchten.
Installieren Sie die Software
Hinweis: | Sie können den Forwarder ohne Benutzerinteraktion installieren, indem Sie Folgendes angeben Umgebungsvariablen im Installationsbefehl. |
Hinweis: | Sie können den Forwarder ohne Benutzerinteraktion installieren, indem Sie Folgendes angeben Umgebungsvariablen im Installationsbefehl. |
Beispielsweise unterstützen viele Tomcat-Umgebungen die Anpassung von Java-Optionen in der /etc/default/tomcat7 Datei. Im folgenden Beispiel fügen Sie -javaagent Die Option in der Zeile JAVA_OPTS bewirkt, dass die Java-Laufzeitumgebung die Geheimnisse der TLS-Sitzung mit dem Key-Forwarder-Prozess teilt, der die Geheimnisse dann an das ExtraHop-System weiterleitet, damit die Geheimnisse entschlüsselt werden können.
JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar
Wenn auf Ihrem Server Java 17 oder höher ausgeführt wird, müssen Sie dem Modul sun.security.ssl auch den Zugriff auf alle unbenannten Module mit der Option --add-opens ermöglichen, wie im folgenden Beispiel gezeigt:
JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar --add-opens java.base/sun.security.ssl=ALL-UNNAMED
Überprüfen Sie Ihre Installation und beheben Sie Fehler
Wenn Ihr Linux-Server Netzwerkzugriff auf das ExtraHop-System hat und die Server-TLS-Konfiguration dem Zertifikat des ExtraHop-Systems vertraut, das Sie bei der Installation des Sitzungsschlüsselweiterleiters angegeben haben, ist die Konfiguration abgeschlossen.
In Fällen, in denen Sie möglicherweise Probleme mit der Konfiguration haben, enthält die Binärdatei für die Sitzungsschlüsselweiterleitung einen Testmodus, auf den Sie über die Befehlszeile zugreifen können, um Ihre Konfiguration zu testen .
Wenn der Hostname des ExtraHop-Systems, den der Forwarder kennt (SERVER), und dem Common Name (CN), der im TLS-Zertifikat des ExtraHop-Systems angegeben ist, nicht übereinstimmt, muss der Forwarder mit dem richtigen CN konfiguriert werden.
Wichtige Kennzahlen zum Zustand des Empfängersystems
Das ExtraHop-System bietet wichtige Empfängermetriken, die Sie zu einem Dashboard-Diagramm hinzufügen können, um den Zustand und die Funktionalität der wichtigsten Empfänger zu überwachen.
Um eine Liste der verfügbaren Messwerte anzuzeigen, klicken Sie auf das Symbol Systemeinstellungen und dann klicken Metrischer Katalog. Typ Schlüsselempfänger im Filterfeld, um alle verfügbaren wichtigen Empfängermetriken anzuzeigen.
Hinweis: | Informationen zum Erstellen eines neuen Dashboard-Diagramms finden Sie unter Ein Diagramm mit dem Metric Explorer bearbeiten. |
Schlüsselweiterleitungen verbundener Sitzungen anzeigen
Sie können kürzlich verbundene Sitzungsschlüsselweiterleitungen anzeigen, nachdem Sie die Sitzungsschlüsselweiterleitung auf Ihrem Server installiert und den TLS-Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktiviert haben. Beachten Sie, dass auf dieser Seite nur Sitzungsschlüsselweiterleitungen angezeigt werden, die in den letzten Minuten eine Verbindung hergestellt haben, nicht alle Sitzungsschlüsselweiterleitungen, die derzeit verbunden sind.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- klicken Geteilte SSL-Geheimnisse.
Deinstalliere die Software
Wenn Sie die ExtraHop Session Key Forwarder-Software nicht mehr installieren möchten, führen Sie die folgenden Schritte aus.
- Melden Sie sich beim Linux-Server an.
-
Öffnen Sie eine Terminalanwendung und wählen Sie eine der folgenden Optionen, um
die Software zu entfernen.
- Führen Sie für RPM-basierte Server den folgenden
Befehl aus:
sudo rpm --erase extrahop-key-forwarder
- Führen Sie für Debian- und Ubuntu-Server den folgenden
Befehl aus:
sudo apt-get --purge remove extrahop-key-forwarder
Typ Y wenn Sie aufgefordert werden, das Entfernen der Software zu bestätigen, und drücken Sie dann die EINGABETASTE.
- Führen Sie für RPM-basierte Server den folgenden
Befehl aus:
- klicken Ja zur Bestätigung.
- Nachdem die Software entfernt wurde, klicken Sie auf Ja um das System neu zu starten
Allgemeine Fehlermeldungen
Fehler, die vom Sitzungsschlüssel-Forwarder verursacht wurden, werden in der Linux-Systemprotokolldatei protokolliert.
Nachricht | Ursache | Lösung |
---|---|---|
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond | Der überwachte Server kann keinen Datenverkehr an den weiterleiten Sensor. | Stellen Sie sicher, dass die Firewallregeln das Initiieren von Verbindungen durch den überwachten Server zum TCP-Port 4873 auf dem Sensor. |
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it | Der überwachte Server kann den Verkehr an den weiterleiten Sensor, aber der Empfangsvorgang hört nicht zu. | Stellen Sie sicher, dass Sensor ist sowohl für die Funktionen TLS Decryption als auch TLS Shared Secrets lizenziert. |
connect: x509: certificate signed by unknown authority | Der überwachte Server ist nicht in der Lage, die zu verketten Sensor Zertifikat für eine vertrauenswürdige Zertifizierungsstelle (CA). | Stellen Sie sicher, dass der Linux-Zertifikatsspeicher für das Computerkonto über vertrauenswürdige Stammzertifizierungsstellen verfügt, die eine Vertrauenskette für den Sensor. |
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs | Eine IP-Adresse wurde als angegeben SERVER Parameter bei der Installation des Forwarders, aber das vom Sensor vorgelegte TLS-Zertifikat enthält keine IP-Adresse als Subject Alternate Name (SAN). | Wählen Sie aus den folgenden drei Lösungen.
|
|
||
|
Unterstützte TLS-Verschlüsselungssammlungen
Das ExtraHop-System kann TLS-Verkehr entschlüsseln, der mit PFS- oder RSA-Cipher-Suites verschlüsselt wurde. Alle unterstützten Cipher-Suites können entschlüsselt werden, indem der Session Key Forwarder auf einem Server installiert und das ExtraHop-System konfiguriert wird.
Cipher Suites für RSA können den Datenverkehr auch mit einem Zertifikat und einem privaten Schlüssel entschlüsseln — mit oder ohne Sitzungsschlüsselweiterleitung.
- PFS + GPP: das ExtraHop-System kann diese Verschlüsselungssammlungen mit Sitzungsschlüsselweiterleitung entschlüsseln und Zuordnung von globalem Protokoll zu Port
- PFS + Zertifikat: Das ExtraHop-System kann diese Cipher-Suites mit Sitzungsschlüsselweiterleitung entschlüsseln und Zertifikat und privater Schlüssel
- RSA + Zertifikat: das ExtraHop-System kann diese Cipher-Suites ohne Weiterleitung des Sitzungsschlüssels entschlüsseln, solange Sie die Datei hochgeladen haben Zertifikat und privater Schlüssel
Hex-Wert | Vorname (IANA) | Nome (OpenSSL) | Unterstützte Entschlüsselung |
---|---|---|---|
0 x 04 | TLS_RSA_MIT_RC4_128_MD5 | RC4-MD5 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 05 | TLS_RSA_MIT_RC4_128_SHA | RC4-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 0A | TLS_RSA_MIT_3DES_EDE_CBC_SHA | DES-CBC3-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 16 | TLS_DHE_RSA_MIT_3DES_EDE_CBC_SHA | EDH-RSA-DES-CBC3-SHA | PFS + GPP PFS + Zertifikat |
0x2F | TLS_RSA_MIT_AES_128_CBC_SHA | AES128-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 33 | TLS_DHE_RSA_MIT_AES_128_CBC_SHA | DHE-RSA-AES128-SHA | PFS + GPP PFS + Zertifikat |
0x35 | TLS_RSA_MIT_AES_256_CBC_SHA | AES256-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x39 | TLS_DHE_RSA_MIT_AES_256_CBC_SHA | DHE-RSA-AES256-SHA | PFS + GPP PFS + Zertifikat |
0x3C | TLS_RSA_MIT_AES_128_CBC_SHA256 | AES128-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x3D | TLS_RSA_MIT_AES_256_CBC_SHA256 | AES256-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x67 | TLS_DHE_RSA_MIT_AES_128_CBC_SHA256 | DHE-RSA-AES128-SHA256 | PFS + GPP PFS + Zertifikat |
0x6 B | TLS_DHE_RSA_MIT_AES_256_CBC_SHA256 | DHE-RSA-AES256-SHA256 | PFS + GPP PFS + Zertifikat |
0x9C | TLS_RSA_MIT_AES_128_GCM_SHA256 | AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x9D | TLS_RSA_MIT_AES_256_GCM_SHA384 | AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x9E | TLS_DHE_RSA_MIT_AES_128_GCM_SHA256 | DHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat |
0x9F | TLS_DHE_RSA_MIT_AES_256_GCM_SHA384 | DHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat |
0 x 1301 | TLS_AES_128_GCM_SHA256 | TLS_AES_128_GCM_SHA256 | PFS + GPP PFS + Zertifikat |
0 x 1302 | TLS_AES_256_GCM_SHA384 | TLS_AES_256_GCM_SHA384 | PFS + GPP PFS + Zertifikat |
0 x 1303 | TLS_CHACHA20_POLY1305_SHA256 | TLS_CHACHA20_POLY1305_SHA256 | PFS + GPP PFS + Zertifikat |
0xC007 | TLS_ECDHE_ECDSA_MIT_RC4_128_SHA | ECDHE-ECDSA-RC4-SHA | PFS + GPP |
0xC008 | TLS_ECDHE_ECDSA_MIT_3DES_EDE_CBC_SHA | ECDHE-ECDSA-DES-CBC3-SHA | PFS + GPP |
0xC009 | TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA | ECDHE-ECDSA-AES128-SHA | PFS + GPP |
0xC00A | TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA | ECDHE-ECDSA-AES256-SHA | PFS + GPP |
0xC011 | TLS_ECDHE_RSA_MIT_RC4_128_SHA | ECDHE-RSA-RC4-SHA | PFS + GPP PFS + Zertifikat |
0xC012 | TLS_ECDHE_RSA_MIT_3DES_EDE_CBC_SHA | ECDHE-RSA-DES-CBC3-SHA | PFS + GPP PFS + Zertifikat |
0xC013 | TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA | ECDHE-RSA-AES128-SHA | PFS + GPP PFS + Zertifikat |
0xC014 | TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA | ECDHE-RSA-AES256-SHA | PFS + GPP PFS + Zertifikat |
0xC023 | TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA256 | ECDHE-ECDSA-AES128-SHA256 | PFS + GPP |
0xC024 | TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA384 | ECDHE-ECDSA-AES256-SHA384 | PFS + GPP |
0xC027 | TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA256 | ECDHE-RSA-AES128-SHA256 | PFS + GPP PFS + Zertifikat |
0xC028 | TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA384 | ECDHE-RSA-AES256-SHA384 | PFS + GPP PFS + Zertifikat |
0xC02B | TLS_ECDHE_ECDSA_MIT_AES_128_GCM_SHA256 | ECDHE-ECDSA-AES128-GCM-SHA256 | PFS + GPP |
0xC02C | TLS_ECDHE_ECDSA_MIT_AES_256_GCM_SHA384 | ECDHE-ECDSA-AES256-GCM-SHA384 | PFS + GPP |
0xC02F | TLS_ECDHE_RSA_MIT_AES_128_GCM_SHA256 | ECDHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat |
0xC030 | TLS_ECDHE_RSA_MIT_AES_256_GCM_SHA384 | ECDHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat |
0xCCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Zertifikat |
0xCCA9 | TLS_ECDHE_ECDSA_MIT_CHACHA20_POLY1305_SHA256 | ECDHE-ECDSA-CHACHA20-POLY1305 | PFS + GPP |
0xCCAA | TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | DHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Zertifikat |
Optionen für die Weiterleitung von Sitzungsschlüsseln
Sie können den Session Key Forwarder konfigurieren, indem Sie den /opt/extrahop/etc/extrahop-key-forwarder.conf Datei.
Wichtig: | Wenn Sie Optionen hinzufügen
extrahop-key-forwarder.conf die keine dedizierten Variablen haben, sie
müssen sich in der ADDITIONAL_ARGS Feld. Zum
Beispiel:ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so -libcrypto=/some/other/path/libcrypto.so" |
Option | Beschreibung |
---|---|
-cert <path> | Gibt den Pfad zum Serverzertifikat an. Geben Sie diese Option nur an, wenn das Serverzertifikat nicht von einer vertrauenswürdigen Zertifizierungsstelle signiert wurde. |
-containerd-enable | Aktiviert die Aufzählung von Containern, die mit der Containerd-Laufzeit verwaltet werden. Diese Option ist standardmäßig deaktiviert. Sie müssen eingeben -containerd-enable um die Containerd-Unterstützung zu aktivieren. |
-containerd-socket <string> | Der vollständige Pfad der enthaltenen Socket-Datei. |
-containerd-state <string> | Der vollständige Pfad des Containerd-State-Verzeichnisses. |
-containerd-state-rootfs-subdir <string> | Der relative Pfad des rootfs Unterverzeichnis des Containerd-State-Verzeichnisses. |
-docker-enable | Aktiviert die Aufzählung von Docker-Containern. Diese Option ist standardmäßig aktiviert. Sie müssen eingeben -docker-enable=falsch um die Docker-Unterstützung zu deaktivieren. |
-docker-envoy <path> | Gibt zusätzliche Envoy-Pfade innerhalb von Docker-Containern an. Sie können diese Option mehrfach angeben. |
-docker-go-binary <value> | Gibt Glob-Muster an, um Go-Binärdateien in Docker-Containern zu finden. Sie können diese Option mehrfach angeben. |
-docker-libcrypto <path> | Gibt den Pfad zu libcrypto in Docker-Containern an. Sie können diese Option mehrfach angeben. |
-envoy <path> | Gibt zusätzliche Envoy-Pfade auf dem Host an. Sie können diese Option mehrfach angeben. |
-go-binary <value> | Gibt Glob-Muster an, um Go-Binärdateien zu finden. Sie können diese Option mehrfach angeben. |
-hearbeat-interval | Gibt das Zeitintervall in Sekunden zwischen Heartbeat-Nachrichten an. Das Standardintervall beträgt 30 Sekunden. |
-host-mount-path <path> | Gibt den Pfad an, in dem das Host-Dateisystem gemountet wird, wenn die Sitzungsschlüsselweiterleitung in einem Container ausgeführt wird. |
-hosted <platform> | Gibt an, dass der Agent auf der angegebenen gehosteten Plattform ausgeführt wird. Die Plattform ist derzeit beschränkt auf aws. |
-ldconfig-cache <path> | Gibt den Pfad zum ldconfig-Cache an, ld.so.cache. Der Standardpfad ist /etc/ld.so.cache. Sie können diese Option mehrfach angeben. |
-libcrypto <path> | Gibt den Pfad zur OpenSSL-Bibliothek an, libcrypto. Sie können diese Option mehrfach angeben, wenn Sie mehrere Installationen von OpenSSL haben. |
-no-docker-envoy | Deaktiviert die Envoy-Unterstützung in Docker-Containern. |
-no-envoy | Deaktiviert die Envoy-Unterstützung auf dem Host. |
-openssl-discover | Erkennt automatisch libcrypto Implementierungen. Der Standardwert ist „true". Sie müssen eingeben -openssl-discover=falsch um die OpenSSL-Entschlüsselung zu deaktivieren. |
-pidfile <path> | Gibt die Datei an, in der dieser Server seine Prozess-ID (PID) aufzeichnet. |
-port <value> | Gibt den TCP-Port an, den der Sensor lauscht auf weitergeleitete Sitzungsschlüssel. Der Standardport ist 4873. |
-server <string> | Gibt den vollqualifizierten Domänenname des Paket an. Sensor. |
-server-name-override <value> | Gibt den Betreffnamen aus dem Sensor Zertifikat. Geben Sie diese Option an , wenn dieser Server nur eine Verbindung zu dem Paket herstellen kann Sensor nach IP-Adresse. |
-syslog <facility> | Gibt die Einrichtung an, die vom Schlüsselweiterleiter gesendet wurde. Die Standardeinrichtung ist local3. |
-t | Führen Sie einen Konnektivitätstest durch. Sie müssen eingeben -t=wahr um mit dieser Option zu laufen. |
-tcp-listen-port <value> | Gibt den TCP-Port an, auf dem die Schlüsselweiterleitung auf weitergeleitete Sitzungsschlüssel wartet. |
-username <string> | Gibt den Benutzer an, unter dem der Sitzungsschlüssel-Forwarder nach der Installation der Forwarder-Software ausgeführt wird. |
-v | Aktivieren Sie die ausführliche Protokollierung. Sie müssen eingeben -v=true um mit dieser Option zu laufen. |
Die folgenden Umgebungsvariablen ermöglichen es Ihnen, den Session Key Forwarder ohne Benutzerinteraktion zu installieren.
Variabel | Beschreibung | Beispiel |
---|---|---|
EXTRAHOP_CONNECTION_MODE | Gibt den Verbindungsmodus zum Sitzungsschlüsselempfänger an. Optionen sind richten für selbstverwaltete Sensoren und gehostet für von ExtraHop verwaltete Sensoren. | sudo EXTRAHOP_CONNECTION_MODE=hosted rpm --install extrahop-key-forwarder.x86_64.rpm |
EXTRAHOP_EDA_HOSTNAME | Gibt den vollqualifizierten Domänenname des Selbstverwalters an Sensor. | sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com dpkg --install extrahop-key-forwarder_amd64.deb |
EXTRAHOP_LOCAL_LISTENER_PORT | Der Key Forwarder empfängt Sitzungsschlüssel lokal aus der Java-Umgebung über einen TCP-Listener auf localhost (127.0.0.1) und den in der LOCAL_LISTENER_PORT Feld. Wir empfehlen, für diesen Port die Standardeinstellung 598 beizubehalten . Wenn Sie die Portnummer ändern, müssen Sie die ändern -javaagent Argument, um den neuen Port zu berücksichtigen. | sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_LOCAL_LISTENER_PORT=900 rpm --install extrahop-key-forwarder.x86_64.rpm |
EXTRAHOP_SYSLOG | Gibt die Einrichtung oder den Maschinenprozess an, der das Syslog-Ereignis erstellt hat. Die Standardeinrichtung ist local3, das sind Systemdaemon-Prozesse. | sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_SYSLOG=local1 dpkg --install extrahop-key-forwarder_amd64.deb |
EXTRAHOP_ADDITIONAL_ARGS | Gibt zusätzliche Optionen für die Schlüsselweiterleitung an. | sudo EXTRAHOP_CONNECTION_MODE=hosted EXTRAHOP_ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so libcrypto=/some/other/path/libcrypto.so" rpm --install extrahop-key-forwarder.x86_64.rpm |
Unterstützte TLS-Verschlüsselungssammlungen
Das ExtraHop-System kann TLS-Verkehr entschlüsseln, der mit PFS- oder RSA-Cipher-Suites verschlüsselt wurde. Alle unterstützten Cipher-Suites können entschlüsselt werden, indem der Session Key Forwarder auf einem Server installiert und das ExtraHop-System konfiguriert wird.
Cipher Suites für RSA können den Datenverkehr auch mit einem Zertifikat und einem privaten Schlüssel entschlüsseln — mit oder ohne Sitzungsschlüsselweiterleitung.
Entschlüsselungsmethoden
- PFS + GPP: das ExtraHop-System kann diese Verschlüsselungssammlungen mit Sitzungsschlüsselweiterleitung entschlüsseln und Zuordnung von globalem Protokoll zu Port
- PFS + Zertifikat: Das ExtraHop-System kann diese Cipher-Suites mit Sitzungsschlüsselweiterleitung entschlüsseln und Zertifikat und privater Schlüssel
- RSA + Zertifikat: das ExtraHop-System kann diese Cipher-Suites ohne Weiterleitung des Sitzungsschlüssels entschlüsseln, solange Sie die Datei hochgeladen haben Zertifikat und privater Schlüssel
Hex-Wert | Vorname (IANA) | Nome (OpenSSL) | Unterstützte Entschlüsselung |
---|---|---|---|
0 x 04 | TLS_RSA_MIT_RC4_128_MD5 | RC4-MD5 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 05 | TLS_RSA_MIT_RC4_128_SHA | RC4-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 0A | TLS_RSA_MIT_3DES_EDE_CBC_SHA | DES-CBC3-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 16 | TLS_DHE_RSA_MIT_3DES_EDE_CBC_SHA | EDH-RSA-DES-CBC3-SHA | PFS + GPP PFS + Zertifikat |
0x2F | TLS_RSA_MIT_AES_128_CBC_SHA | AES128-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0 x 33 | TLS_DHE_RSA_MIT_AES_128_CBC_SHA | DHE-RSA-AES128-SHA | PFS + GPP PFS + Zertifikat |
0x35 | TLS_RSA_MIT_AES_256_CBC_SHA | AES256-SHA | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x39 | TLS_DHE_RSA_MIT_AES_256_CBC_SHA | DHE-RSA-AES256-SHA | PFS + GPP PFS + Zertifikat |
0x3C | TLS_RSA_MIT_AES_128_CBC_SHA256 | AES128-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x3D | TLS_RSA_MIT_AES_256_CBC_SHA256 | AES256-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x67 | TLS_DHE_RSA_MIT_AES_128_CBC_SHA256 | DHE-RSA-AES128-SHA256 | PFS + GPP PFS + Zertifikat |
0x6 B | TLS_DHE_RSA_MIT_AES_256_CBC_SHA256 | DHE-RSA-AES256-SHA256 | PFS + GPP PFS + Zertifikat |
0x9C | TLS_RSA_MIT_AES_128_GCM_SHA256 | AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x9D | TLS_RSA_MIT_AES_256_GCM_SHA384 | AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat RSA + Zertifikat |
0x9E | TLS_DHE_RSA_MIT_AES_128_GCM_SHA256 | DHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat |
0x9F | TLS_DHE_RSA_MIT_AES_256_GCM_SHA384 | DHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat |
0 x 1301 | TLS_AES_128_GCM_SHA256 | TLS_AES_128_GCM_SHA256 | PFS + GPP PFS + Zertifikat |
0 x 1302 | TLS_AES_256_GCM_SHA384 | TLS_AES_256_GCM_SHA384 | PFS + GPP PFS + Zertifikat |
0 x 1303 | TLS_CHACHA20_POLY1305_SHA256 | TLS_CHACHA20_POLY1305_SHA256 | PFS + GPP PFS + Zertifikat |
0xC007 | TLS_ECDHE_ECDSA_MIT_RC4_128_SHA | ECDHE-ECDSA-RC4-SHA | PFS + GPP |
0xC008 | TLS_ECDHE_ECDSA_MIT_3DES_EDE_CBC_SHA | ECDHE-ECDSA-DES-CBC3-SHA | PFS + GPP |
0xC009 | TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA | ECDHE-ECDSA-AES128-SHA | PFS + GPP |
0xC00A | TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA | ECDHE-ECDSA-AES256-SHA | PFS + GPP |
0xC011 | TLS_ECDHE_RSA_MIT_RC4_128_SHA | ECDHE-RSA-RC4-SHA | PFS + GPP PFS + Zertifikat |
0xC012 | TLS_ECDHE_RSA_MIT_3DES_EDE_CBC_SHA | ECDHE-RSA-DES-CBC3-SHA | PFS + GPP PFS + Zertifikat |
0xC013 | TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA | ECDHE-RSA-AES128-SHA | PFS + GPP PFS + Zertifikat |
0xC014 | TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA | ECDHE-RSA-AES256-SHA | PFS + GPP PFS + Zertifikat |
0xC023 | TLS_ECDHE_ECDSA_MIT_AES_128_CBC_SHA256 | ECDHE-ECDSA-AES128-SHA256 | PFS + GPP |
0xC024 | TLS_ECDHE_ECDSA_MIT_AES_256_CBC_SHA384 | ECDHE-ECDSA-AES256-SHA384 | PFS + GPP |
0xC027 | TLS_ECDHE_RSA_MIT_AES_128_CBC_SHA256 | ECDHE-RSA-AES128-SHA256 | PFS + GPP PFS + Zertifikat |
0xC028 | TLS_ECDHE_RSA_MIT_AES_256_CBC_SHA384 | ECDHE-RSA-AES256-SHA384 | PFS + GPP PFS + Zertifikat |
0xC02B | TLS_ECDHE_ECDSA_MIT_AES_128_GCM_SHA256 | ECDHE-ECDSA-AES128-GCM-SHA256 | PFS + GPP |
0xC02C | TLS_ECDHE_ECDSA_MIT_AES_256_GCM_SHA384 | ECDHE-ECDSA-AES256-GCM-SHA384 | PFS + GPP |
0xC02F | TLS_ECDHE_RSA_MIT_AES_128_GCM_SHA256 | ECDHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Zertifikat |
0xC030 | TLS_ECDHE_RSA_MIT_AES_256_GCM_SHA384 | ECDHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Zertifikat |
0xCCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Zertifikat |
0xCCA9 | TLS_ECDHE_ECDSA_MIT_CHACHA20_POLY1305_SHA256 | ECDHE-ECDSA-CHACHA20-POLY1305 | PFS + GPP |
0xCCAA | TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | DHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Zertifikat |
Speichern Sie TLS-Sitzungsschlüssel in verbundenen Paketspeichern
Wenn die Weiterleitung von Sitzungsschlüsseln auf einem ExtraHop-System konfiguriert ist, das mit einem Packetstore verbunden ist, kann das ExtraHop-System verschlüsselte Sitzungsschlüssel zusammen mit den gesammelten Paketen speichern.
Before you begin
Erfahre mehr über Entschlüsseln von Paketen mit gespeicherten Schlüsseln.- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- Klicken Sie Speicher für SSL-Sitzungsschlüssel.
- Wählen SSL-Sitzungsschlüsselspeicher aktivieren.
- Klicken Sie Speichern.
Nächste Maßnahme
Weitere Hinweise zum Herunterladen von Sitzungsschlüsseln finden Sie unter Laden Sie Sitzungsschlüssel mit Paket herunter.
Schlüsselweiterleitungen verbundener Sitzungen anzeigen
Sie können kürzlich verbundene Sitzungsschlüsselweiterleitungen anzeigen, nachdem Sie die Sitzungsschlüsselweiterleitung auf Ihrem Server installiert und den TLS-Sitzungsschlüsselempfängerdienst auf dem ExtraHop-System aktiviert haben. Beachten Sie, dass auf dieser Seite nur Sitzungsschlüsselweiterleitungen angezeigt werden, die in den letzten Minuten eine Verbindung hergestellt haben, nicht alle Sitzungsschlüsselweiterleitungen, die derzeit verbunden sind.
- Loggen Sie sich in die Administrationseinstellungen des ExtraHop-Systems ein über https://<extrahop-hostname-or-IP-address>/admin.
- In der Konfiguration des Systems Abschnitt, klicken Erfassen.
- klicken Geteilte SSL-Geheimnisse.
Entschlüsseln Sie den Domänenverkehr mit einem Windows-Domänencontroller
Das ExtraHop-System kann so konfiguriert werden, dass Domänenschlüssel von einem oder mehreren Domänencontrollern abgerufen und gespeichert werden. Wenn das System verschlüsselten Verkehr beobachtet, der den gespeicherten Schlüsseln entspricht, wird der gesamte Kerberos-verschlüsselte Verkehr in der Domäne für unterstützte Protokolle entschlüsselt. Das System synchronisiert nur Kerberos- und NTLM-Entschlüsselungsschlüssel und ändert keine anderen Eigenschaften in der Domäne.
Ein Domänencontroller wie Active Directory ist ein häufiges Ziel von Angreifern, da eine erfolgreiche Angriffskampagne hochwertige Ziele hervorbringt. Kritische Angriffe wie Golden Ticket, PrintNightmare und Bloodhound können durch Kerberos- oder NTLM-Entschlüsselung verdeckt werden. Die Entschlüsselung dieser Art von Datenverkehr kann tiefere Einblicke in Sicherheitserkennungen liefern.
Sie können die Entschlüsselung für eine Person aktivieren Sensor oder durch eine Integration auf RevealX 360. Sie können mehr als eine Domänencontroller-Verbindung von einem Sensor hinzufügen, um den Datenverkehr von mehreren Domänen zu entschlüsseln.
Für die Entschlüsselung müssen die folgenden Anforderungen erfüllt sein:
- Sie müssen über einen Active Directory Directory-Domänencontroller (DC) verfügen, der nicht als schreibgeschützter Domänencontroller (RODC) konfiguriert ist.
- Nur Windows Server 2016, Windows Server 2019 und Windows Server 2022 werden unterstützt.
- Das ExtraHop-System synchronisiert Schlüssel für bis zu 50.000 Konten in einer konfigurierten Domain. Wenn Ihr DC mehr als 50.000 Konten hat, wird ein Teil des Datenverkehrs nicht entschlüsselt.
- Das ExtraHop-System muss den Netzwerkverkehr zwischen dem DC und den angeschlossenen Clients und Servern beobachten.
- Das ExtraHop-System muss über die folgenden Ports auf den Domänencontroller zugreifen können: TCP 88 (Kerberos), TCP 445 (SMB), TCP 135 (RPC) und TCP-Ports 49152-65535 (RPC-Dynamikbereich).
Warnung: | Wenn Sie diese Einstellungen aktivieren, erhält das ExtraHop-System Zugriff auf
alle Kontoschlüssel in der Windows-Domäne. Das ExtraHop-System sollte auf derselben Sicherheitsstufe wie
der Domänencontroller bereitgestellt werden. Hier sind einige bewährte Methoden, die Sie
berücksichtigen sollten:
|
Einen Domänencontroller an einen Sensor anschließen
Before you begin
Sie benötigen ein Benutzerkonto bei Setup oder System- und Zugriffsadministrationsrechte auf dem Sensor.Nächste Maßnahme
- Klicken Sie Domänencontroller-Verbindung hinzufügen um eine Verbindung zu einem anderen Domänencontroller herzustellen.
- Klicken Sie Benutzeranmeldedaten ändern von einer gespeicherten Verbindung, um die mit der Verbindung verknüpften Anmeldedaten zu ändern.
- Klicken Sie Verbindung entfernen um alle mit der Verbindung verknüpften Anmeldedaten zu löschen und den Domänencontroller vom Sensor zu trennen.
Verbinden Sie einen Domänencontroller mit einem RevealX 360-Sensor
Before you begin
Ihr Benutzerkonto muss Privilegien auf RevealX 360 für System- und Zugriffsadministration.Nächste Maßnahme
- klicken Domänencontroller-Verbindung hinzufügen um eine Verbindung zu einem anderen Domänencontroller herzustellen.
- klicken Benutzeranmeldedaten ändern von einer gespeicherten Verbindung, um die mit der Verbindung verknüpften Anmeldedaten zu ändern.
- klicken Anmeldeinformationen löschen um alle mit der Verbindung verknüpften Anmeldedaten zu löschen und den Domänencontroller vom Sensor zu trennen.
Überprüfen Sie die Konfigurationseinstellungen
Um zu überprüfen, ob das ExtraHop-System in der Lage ist, Datenverkehr mit konfigurierten Domänencontrollern zu entschlüsseln, rufen Sie das integrierte Microsoft Protocol Decryption Dashboard auf, um erfolgreiche Entschlüsselungsversuche zu identifizieren.
Jedes Diagramm im Microsoft Protocol Decryption-Dashboard enthält Visualisierungen der Kerberos-Entschlüsselungsdaten, die über den ausgewähltes Zeitintervall, nach Region organisiert.
Das Microsoft Protocol Decryption-Dashboard ist ein integriertes System-Dashboard, das Sie nicht bearbeiten, löschen oder einer gemeinsam genutzten Sammlung hinzufügen können. Sie können jedoch ein Diagramm kopieren aus dem Microsoft Protocol Decryption-Dashboard und fügen Sie es zu einem benutzerdefiniertes Dashboard, oder du kannst eine Kopie des Dashboard erstellen und bearbeiten Sie es, um Kennzahlen zu überwachen, die für Sie relevant sind.
Hinweis: | Das Microsoft Protocol Decryption-Dashboard kann nur auf einer Konsole angezeigt werden. |
Die folgenden Informationen fassen jede Region und ihre Diagramme zusammen.
- Kerberos-Entschlüsselungsversuche
- Beachten Sie die Anzahl der Kerberos-Entschlüsselungsversuche in Ihrer Umgebung in den
folgenden Diagrammen:
Erfolgreiche Kerberos-Entschlüsselungsversuche: Gesamtzahl der erfolgreichen Kerberos-Entschlüsselungsversuche und deren Zeitpunkt.
Gesamtzahl erfolgreicher Versuche: Gesamtzahl der erfolgreichen Kerberos-Entschlüsselungsversuche.
Erfolglose Kerberos-Entschlüsselungsversuche: Gesamtzahl der erfolglosen Kerberos-Entschlüsselungsversuche und deren Zeitpunkt, aufgeführt nach dem Grund, warum der Versuch fehlgeschlagen ist.
Gesamtzahl erfolgloser Versuche: Gesamtzahl der erfolglosen Kerberos-Entschlüsselungsversuche, aufgelistet nach dem Grund, warum der Versuch fehlgeschlagen ist.
- Details zur erfolglosen Kerberos-Entschlüsselung
- Beachten Sie die Details zu erfolglosen Kerberos-Entschlüsselungsversuchen in den folgenden Diagrammen:
Unbekannte Serverprinzipalnamen: Gesamtzahl der Kerberos-Entschlüsselungsversuche, die aufgrund eines unbekannten Serverprinzipalnamens (SPN) fehlgeschlagen sind, aufgeführt im SPN. Wird als Balkendiagramm und Listendiagramm angezeigt.
Ungültige Kerberos-Schlüssel: Gesamtzahl der Kerberos-Entschlüsselungsversuche, die aufgrund eines ungültigen Kerberos-Schlüssels fehlgeschlagen sind, aufgeführt im SPN, der den Versuch unternommen hat. Wird als Balkendiagramm und Listendiagramm angezeigt.
Kerberos-Entschlüsselungsfehler : Gesamtzahl der Kerberos-Entschlüsselungsversuche, die aufgrund eines Fehlers fehlgeschlagen sind, aufgeführt im SPN, der den Versuch unternommen hat. Wird als Balkendiagramm und Listendiagramm angezeigt.
- Einzelheiten zum Serverprinzipalnamen
- Beachten Sie in den folgenden Diagrammen den wichtigsten SPN, der Kerberos-Entschlüsselungsversuche unternommen hat:
Die wichtigsten Serverprinzipalnamen: Die 50 wichtigsten SPNs, die Kerberos-Entschlüsselungsversuche unternommen haben, und die folgenden Details:
- Die Anzahl erfolgreicher Entschlüsselungsversuche.
- Die Anzahl der erfolglosen Versuche aufgrund eines ungültigen Kerberos-Schlüssels.
- Die Anzahl der erfolglosen Versuche aufgrund eines Fehlers.
- Die Anzahl der erfolglosen Versuche aufgrund eines unbekannten SPN.
Zusätzliche Metriken zur Systemintegrität
Um eine Liste der verfügbaren Metriken anzuzeigen, klicken Sie auf das Symbol Systemeinstellungen und klicken Sie dann Metrischer Katalog. Typ DC-unterstützt im Filterfeld, um alle verfügbaren DC-unterstützten Entschlüsselungsmetriken anzuzeigen.
Importieren Sie externe Daten in Ihr ExtraHop-System
Die ExtraHop Open Data Context API ermöglicht es Ihnen, Daten von einem externen Host in die Sitzungstabelle auf Ihrem ExtraHop zu importieren. Sensor. Auf diese Daten kann dann zugegriffen werden, um benutzerdefinierte Messwerte zu erstellen , die Sie zu ExtraHop-Diagrammen hinzufügen, in Datensätzen in einem Recordstore speichern oder in ein externes Analysetool exportieren können.
Nachdem Sie die Open Data Context API auf Ihrem aktiviert haben Sensor, können Sie Daten importieren, indem Sie ein Python-Skript von einem Memcache-Client auf einem externen Host ausführen. Diese externen Daten werden in Schlüssel-Wert-Paaren gespeichert und können durch Schreiben eines Auslöser abgerufen werden.
Sie könnten beispielsweise ein Memcached-Client-Skript auf einem externen Host ausführen, um CPU-Lastdaten in die Sitzungstabelle auf Ihrem Sensor. Anschließend können Sie einen Auslöser schreiben, der auf die Sitzungstabelle zugreift und die Daten als benutzerdefinierte Metriken festschreibt.
Warnung: | Die Verbindung zwischen dem externen Host und dem ExtraHop-System ist nicht verschlüsselt und sollte keine vertraulichen Informationen übertragen. |
Aktivieren Sie die Open Data Context API
Sie müssen die Open Data Context API auf Ihrem aktivieren Sensor bevor es Daten von einem externen Host empfangen kann.
Before you begin
- Sie müssen eingerichtet haben oder System- und Zugriffsadministrationsrechte um auf die Administrationsseite Ihres ExtraHop-Systems zuzugreifen.
- Wenn Sie über eine Firewall verfügen, müssen Ihre Firewallregeln externen Hosts den Zugriff auf die angegebenen TCP- und UDP-Ports ermöglichen. Die Standard-Portnummer ist 11211.
Schreiben Sie ein Python-Skript, um externe Daten zu importieren
Bevor Sie externe Daten in die Sitzungstabelle auf Ihrem importieren können Sensor, Sie müssen ein Python-Skript schreiben, das Ihre identifiziert Sensor und enthält die Daten, die Sie in die Sitzungstabelle importieren möchten. Das Skript wird dann von einem Memcache-Client auf dem externen Host ausgeführt.
Dieses Thema enthält Anleitungen zur Syntax und bewährte Methoden für das Schreiben des Python-Skripts. Ein vollständiges Skriptbeispiel ist am Ende dieses Handbuchs verfügbar.
Before you begin
Stellen Sie sicher, dass Sie einen Memcached-Client auf dem externen Host-Computer haben. Sie können jede Standard-Memcached-Clientbibliothek installieren, z. B. http://libmemcached.org/ oder https://pypi.python.org/pypi/pymemcache. Der Sensor fungiert als Memcached-Server der Version 1.4.
Hier sind einige wichtige Überlegungen zur Open Data Context API:- Die Open Data Context API unterstützt die meisten Memcached-Befehle, wie get, set, und increment.
- Alle Daten müssen als Zeichenketten eingefügt werden, die lesbar sind für Sensor. Einige
Memcached-Clients versuchen, Typinformationen in den Werten zu speichern.
Die Python-Memcache-Bibliothek speichert beispielsweise Floats als ausgewählte Werte, die beim Aufrufen zu ungültigen
Ergebnissen führen Session.lookup in Auslösern. Die folgende
Python-Syntax fügt einen Float korrekt als
Zeichenfolge ein:
mc.set("my_float", str(1.5))
- Obwohl die Größe von Sitzungstabellenwerten nahezu unbegrenzt sein kann, kann das Festschreiben großer Werte in die Sitzungstabelle zu Leistungseinbußen führen. Darüber hinaus müssen Metriken, die an den Datenspeicher übergeben werden, 4096 Byte oder weniger groß sein, und zu große Tabellenwerte können zu verkürzten oder ungenauen Metriken führen.
- Einfache Statistikberichte werden unterstützt, detaillierte Statistikberichte nach Elementgröße oder Schlüsselpräfix werden jedoch nicht unterstützt.
- Das Festlegen des Ablaufs von Artikeln beim Hinzufügen oder Aktualisieren von Artikeln wird unterstützt, aber das Massenablaufdatum wird über die flush Befehl wird nicht unterstützt.
- Schlüssel laufen in 30-Sekunden-Intervallen ab. Wenn ein Schlüssel beispielsweise so eingestellt ist, dass er in 50 Sekunden abläuft, kann es zwischen 50 und 79 Sekunden dauern, bis er abläuft.
- Alle mit der Open Data Context API festgelegten Schlüssel werden über die verfügbar gemacht SESSION_EXPIRE lösen ein Ereignis aus, wenn sie ablaufen. Dieses Verhalten steht im Gegensatz zur Trigger-API, die ablaufende Schlüssel nicht über die SESSION_EXPIRE Ereignis.
Schreiben Sie einen Auslöser für den Zugriff auf importierte Daten
Sie müssen einen Auslöser schreiben, bevor Sie auf die Daten in der Sitzungstabelle zugreifen können.
Before you begin
In diesem Thema wird Erfahrung mit dem Schreiben von Triggern vorausgesetzt. Wenn Sie mit Triggern nicht vertraut sind, schauen Sie sich die folgenden Themen an:Nächste Maßnahme
Sie müssen den Auslöser einem Gerät oder einer Gerätegruppe zuweisen. Der Auslöser wird erst ausgeführt, wenn er zugewiesen wurde.Beispiel für eine Open Data Context API
In diesem Beispiel erfahren Sie, wie Sie den Reputationswert und das potenzielle Risiko von Domains überprüfen, die mit Geräten in Ihrem Netzwerk kommunizieren. Zunächst zeigt Ihnen das Python-Beispielskript, wie Sie Domain-Reputationsdaten in die Sitzungstabelle auf Ihrem importieren Sensor. Anschließend zeigt Ihnen das Beispiel-Triggerskript, wie Sie IP-Adressen bei DNS-Ereignissen mit den importierten Domain-Reputationsdaten vergleichen und wie Sie aus den Ergebnissen eine benutzerdefinierte Metrik erstellen.
Beispiel für ein Python-Skript
Dieses Python-Skript enthält eine Liste von 20 beliebten Domainnamen und kann auf Domain-Reputationswerte verweisen, die aus einer Quelle wie Domain-Tools.
Dieses Skript ist eine REST-API, die eine POST-Operation akzeptiert, bei der der Hauptteil der Domänenname ist. Bei einem POST-Vorgang aktualisiert der Memcached-Client die Sitzungstabelle mit den Domäneninformationen.
#!/usr/bin/python import flask import flask_restful import memcache import sqlite3 top20 = { "google.com", "facebook.com", "youtube.com", "twitter.com", "microsoft.com", "wikipedia.org", "linkedin.com", "apple.com","adobe.com", "wordpress.org", "instagram.com", "wordpress.com", "vimeo.com", "blogspot.com", "youtu.be", "pinterest.com", "yahoo.com", "goo.gl", "amazon.com", "bit.ly} dnsnames = {} mc = memcache.Client(['10.0.0.115:11211']) for dnsname in top20: dnsnames[dnsname] = 0.0 dbc = sqlite3.Connection('./dnsreputation.db') cur = dbc.cursor() cur.execute('select dnsname, score from dnsreputation;') for row in cur: dnsnames[row[0]] = row[1] dbc.close() app = flask.Flask(__name__) api = flask_restful.Api(app) class DnsReputation(flask_restful.Resource): def post(self): dnsname = flask.request.get_data() #print dnsname mc.set(dnsname, str(dnsnames.get(dnsname, 50.0)), 120) return 'added to session table' api.add_resource(DnsReputation, '/dnsreputation') if __name__ == '__main__': app.run(debug=True,host='0.0.0.0')
Beispiel für ein Trigger-Skript
Dieses Beispiel-Triggerskript kanonisiert (oder konvertiert) IP-Adressen, die bei DNS-Ereignissen zurückgegeben werden, in Domänennamen und sucht dann in der Sitzungstabelle nach der Domain und ihrem Reputationswert. Wenn der Punktewert größer als 75 ist, fügt der Auslöser die Domain einem Anwendungscontainer mit dem Namen „DNSReputation" als Detail-Metrik namens „Bad DNS reputation" hinzu.
//Configure the following trigger settings: //Name: DNSReputation //Debugging: Enabled //Events: DNS_REQUEST, DNS_RESPONSE if (DNS.errorNum != 0 || DNS.qname == null || DNS.qname.endsWith("in-addr.arpa") || DNS.qname.endsWith("local") || DNS.qname.indexOf('.') == -1 ) { // error or null or reverse lookup, or lookup of local namereturn return; } //var canonicalname = DNS.qname.split('.').slice(-2).join('.'); var canonicalname = DNS.qname.substring(DNS.qname.lastIndexOf('.', DNS.qname.lastIndexOf('.')-1)+1) //debug(canonicalname); //Look for this DNS name in the session table var score = Session.lookup(canonicalname) if (score === null) { // Send to the service for lookup Remote.HTTP("dnsrep").post({path: "/dnsreputation", payload: canonicalname}); } else { debug(canonicalname + ':' +score); if (parseFloat(score) > 75) { //Create an application in the ExtraHop system and add custom metrics //Note: The application is not displayed in the ExtraHop system after the //initial request, but is displayed after subsequent requests. Application('DNSReputation').metricAddDetailCount('Bad DNS reputation', canonicalname + ':' + score, 1); } }
Installieren Sie den Paket Forwarder auf einem Linux-Server
Sie müssen die Paketweiterleitungssoftware auf jedem Server installieren, der überwacht werden soll, um Pakete an das ExtraHop-System weiterzuleiten.
Downloaden und auf anderen Linux-Systemen installieren
Installieren Sie den Paket Forwarder auf einem Windows-Server
Sie müssen die Paketweiterleitungssoftware auf jedem zu überwachenden Server installieren, um Pakete an das ExtraHop-System weiterzuleiten.
Überwachung mehrerer Schnittstellen auf einem Linux-Server
Für Server mit mehreren Schnittstellen können Sie den Paketweiterleiter so konfigurieren, dass er Pakete von einer bestimmten Schnittstelle oder von mehreren Schnittstellen weiterleitet, indem Sie seine Konfigurationsdatei auf dem Server bearbeiten.
Gehen Sie wie folgt vor, um die Konfigurationsdatei zu bearbeiten.
Überwachung mehrerer Schnittstellen auf einem Windows-Server
Für Server mit mehreren Schnittstellen können Sie den Paketweiterleiter so konfigurieren, dass er Pakete von einer bestimmten Schnittstelle oder von mehreren Schnittstellen weiterleitet, indem Sie seine Konfigurationsdatei auf dem Server bearbeiten.
Gehen Sie wie folgt vor, um die Konfigurationsdatei zu bearbeiten.
Netzwerk-Overlay-Dekapselung aktivieren
Die Netzwerk-Overlay-Kapselung umhüllt Standard-Netzwerkpakete in äußere Protokoll Header für spezielle Funktionen wie intelligentes Routing und Netzwerkmanagement virtueller Maschinen. Die Netzwerk-Overlay-Dekapselung ermöglicht es dem ExtraHop-System, diese äußeren Kapselungsheader zu entfernen und dann die inneren Pakete zu verarbeiten.
Hinweis: | Wenn Sie Generic Routing Encapsulation (GRE), Netzwerkvirtualisierung mit Generic Routing Encapsulation (NVGRE), VXLAN und GENEVE-Entkapselung auf Ihrem ExtraHop-System aktivieren, können Sie die Anzahl Ihrer Gerät erhöhen, da virtuelle Geräte im Netzwerk erkannt werden. Die Erkennung dieser virtuellen Geräte kann die Kapazität von Erweiterte Analyse und Standard Analysis beeinträchtigen, und die zusätzliche Verarbeitung von Metriken kann in extremen Fällen zu Leistungseinbußen führen. |
MPLS-, TRILL- und Cisco FabricPath-Protokolle werden automatisch vom ExtraHop-System entkapselt.
VXLAN-Dekapselung aktivieren
VXLAN ist ein UDP-Tunneling-Protokoll, das für bestimmte Zielports konfiguriert ist. Eine Entkapselung wird nur versucht, wenn der Zielport in einem Paket mit dem oder den UDP-Zielports übereinstimmt, die in den VXLAN-Dekapselungseinstellungen aufgeführt sind.
GENEVE-Entkapselung aktivieren
Analysieren Sie eine Paketerfassungsdatei
Der Offline-Erfassungsmodus ermöglicht es Administratoren, eine mit einer Paketanalyse-Software wie Wireshark oder tcpdump aufgezeichnete Capture-Datei in das ExtraHop-System hochzuladen und zu analysieren.
Hier sind einige wichtige Überlegungen, bevor Sie den Offline-Aufnahmemodus aktivieren:
- Wenn die Erfassung in den Offline-Modus versetzt wird, wird der Systemdatenspeicher zurückgesetzt. Alle zuvor aufgezeichneten Metriken werden aus dem Datenspeicher gelöscht. Wenn das System in den Online-Modus versetzt wird, wird der Datenspeicher erneut zurückgesetzt.
- Im Offline-Modus werden keine Metriken von der Erfassungsoberfläche erfasst, bis das System wieder in den Online-Modus versetzt wird.
- Es werden nur Erfassungsdateien im PCAP-Format unterstützt. Andere Formate wie pcpapng werden nicht unterstützt.
Stellen Sie den Offline-Aufnahmemodus ein
Bringen Sie das System in den Live-Aufnahmemodus zurück
- In der Konfiguration des Systems Abschnitt, klicken Aufnehmen (offline).
- klicken Capture neu starten.
- Wählen Lebe, und klicken Sie dann auf Speichern.
Datenspeicher
Das ExtraHop-System umfasst einen eigenständigen Streaming-Datenspeicher zum Speichern und Abrufen von Leistungs- und Integritätskennzahlen in Echtzeit. Dieser lokale Datenspeicher umgeht das Betriebssystem und greift direkt auf die zugrunde liegenden Blockgeräte zu, anstatt eine herkömmliche relationale Datenbank zu verwenden.
Lokale und erweiterte Datenspeicher
Das ExtraHop-System umfasst einen eigenständigen Streaming-Datenspeicher zum Speichern und Abrufen von Leistungs- und Gesundheitsmetriken in Echtzeit. Dieser lokale Datenspeicher umgeht das Betriebssystem und greift direkt auf die zugrunde liegenden Blockgeräte zu, anstatt eine herkömmliche relationale Datenbank zu verwenden.
Der lokale Datenspeicher verwaltet Einträge für alle vom ExtraHop-System erkannten Geräte sowie Metriken für diese Geräte. Durch das Speichern dieser Informationen ist das ExtraHop-System in der Lage, sowohl schnellen Zugriff auf die neueste Netzwerkaufnahme als auch auf historische und trendbasierte Informationen zu ausgewählten Geräten zu ermöglichen.
Erweiterter Datenspeicher
Das ExtraHop-System kann eine Verbindung zu einem externen Speichergerät herstellen, um Ihren Metrik Speicher zu erweitern. Standardmäßig speichert das ExtraHop-System schnelle (30 Sekunden), mittlere (5 Minuten) und langsame (1 Stunde) Messwerte lokal. Sie können jedoch Messwerte für 5 Minuten, 1 Stunde und 24 Stunden in einem erweiterten Datenspeicher speichern.
Um Metriken extern zu speichern, müssen Sie zuerst Mounten Sie einen externen Datenspeicher, und konfigurieren Sie dann das ExtraHop-System so, dass Daten im bereitgestellten Verzeichnis gespeichert werden. Sie können einen externen Datenspeicher über NFS v4 (mit optionaler Kerberos-Authentifizierung) oder SMB (mit optionaler Authentifizierung) mounten.
Beachten Sie, dass Sie jeweils nur einen aktiven erweiterten Datenspeicher konfigurieren können, um alle konfigurierten Metrikzyklen zu erfassen. Wenn Sie Ihren erweiterten Datenspeicher beispielsweise so k
Danke für deine Rückmeldung. Dürfen wir Sie kontaktieren, um weitere Fragen zu stellen?