Erstellen Sie einen Auslöser, um Antworten auf NTP-Monlist-Anfragen zu überwachen

In den folgenden Schritten konfigurieren Sie den Host, den Port und das Protokoll für das offene Datenstromziel.

1. Melden Sie sich bei dem ExtraHop-System, von dem Sie Daten senden möchten, mit einem Konto an , das über System- und Zugriffsadministrationsrechte verfügt.
2. Klicken Sie auf das Symbol Systemeinstellungen , und klicken Sie dann auf Die gesamte Verwaltung.
3. Klicken Sie im Abschnitt Systemkonfiguration auf Offene Datenströme.
4. klicken Ziel hinzufügen.
5. Wählen Syslog aus dem Typ des Ziels Drop-down-Liste.
6. In der Name Feld, Typ NTP-Syslog es sei denn, dies ist das erste Syslog-Ziel, das Sie erstellt haben. In diesem Fall erhält das Ziel automatisch den Namen „Standard" und kann nicht umbenannt werden.
7. In der Gastgeber Feld, geben Sie die IP-Adresse oder den Hostnamen des Syslog-Servers ein, an den Sie Daten senden möchten.
8. In der Hafen Feld, geben Sie die Portnummer ein, an die Sie Daten senden möchten.
9. Wählen Sie aus der Protokollliste UDP.

   Hinweis:

   klicken Testen um eine Verbindung herzustellen und eine Testnachricht vom ExtraHop-System an den Remote-Syslog-Server zu senden.

10. Wählen Lokal wenn Sie Syslog-Informationen mit Zeitstempeln in der lokalen Zeitzone des ExtraHop-Systems senden möchten. Andernfalls werden Zeitstempel in GMT gesendet.
11. klicken Speichern.
    Das Ziel wird der Syslog-Tabelle auf der Seite Open Data Stream hinzugefügt.

In den folgenden Schritten schreiben Sie einen Auslöser, der angibt, welche Daten aus NTP-Serverantworten untersucht werden sollen und ob die Daten an einen Remote-Syslog-Server gesendet werden sollen.

1. Klicken Sie auf das ExtraHop-Logo in der oberen linken Ecke, um zum ExtraHop-System zurückzukehren.
2. Klicken Sie auf das Symbol Systemeinstellungen , und klicken Sie dann Auslöser.
3. klicken Erstellen.
4. In der Name Feld, Typ UDP-Nutzlast für NTP-Antworten analysieren.
5. klicken Debug-Log aktivieren um das Debug-Log zu aktivieren und Leistungsmetriken Auslöser.
6. In der Ereignisse Feld, wählen UDP_PAYLOAD.
7. klicken Erweiterte Optionen anzeigen und geben Sie die folgenden Payload-Einstellungen an, um nur auf UDP-Port 123 nach NTP-Verkehr zu suchen:
   1. Wählen Auslöser für alle UDP-Pakete ausführen.
   2. In der Server-Portbereich Hauptfeld, Typ 123.
   3. In der Server-Portbereich Maximales Feld, Typ 123.
8. Fügen Sie im rechten Bereich den folgenden Triggercode hinzu, um den Zugriff auf die NTP-Serverantwortpayload zu ermöglichen:

   //Capture the NTP server response
   let buf = Flow.server.payload;
   //Exit the trigger if the NTP server response cannot be captured
   if (buf === null) {
       return;
   }

   Kopieren
9. Fügen Sie dem vorhandenen Skript den folgenden Triggercode hinzu, um anzugeben, welche Felder der Auslöser aus dem Header der Payload extrahiert und welche Felder ignoriert werden sollen:

   //Define the format of the NTP response
   let fmt = ('B' + // Flags (LI, Version, Mode)
              'x' + // Auth + Seq (ignore)
              'x' + // Implementations (ignore)
              'B' + // Request code
              'B'); // Error

   Kopieren
10. Fügen Sie dem vorhandenen Skript den folgenden Triggercode hinzu, um die Felder aus der Payload zu extrahieren:

    //Analyze the NTP response based on the defined format
    let values = buf.unpack(fmt);
    let mode = values[0] & 0x7;

    Kopieren
11. Fügen Sie dem vorhandenen Skript den folgenden Triggercode hinzu, um die Werte der folgenden Header-Felder zu überprüfen:

    // Exit the trigger if the mode value is not 7.
    if (mode !== 7) {
        return;
    }
    let reqCode = values[1];
    
    //Save the last four bits of the error code as a variable
    let errorCode = values[2] >> 4;

    Kopieren

    Der Modus, der sich in den letzten drei Bits des Feldes befindet, gibt den NTP-Betriebsmodus an. Ein Wert von 7 gibt an, dass der NTP-Server auf einen Befehl im privaten Modus reagiert, zu dem auch der Befehl monlist gehört.

    Das Feld Anforderungscode gibt den Anforderungstyp an. Ein Wert von 20 oder 42 gibt eine Monlist-Anfrage an.

    Das Fehlercodefeld, das sich in den letzten vier Bits befindet, gibt den Fehlertyp an. Ein Wert von 0 gibt an, dass die Antwort kein Fehler ist.

12. Fügen Sie dem vorhandenen Skript den folgenden Triggercode hinzu, um eine Meldung auf Warnstufe an den Remote-Syslog-Server zu senden, wenn der NTP-Server auf einen monlist-Befehl reagiert und die Antwort kein Fehler ist.

    //Check that there is no error and that the monlist command has been run
    if ((errorCode === 0) && ((reqCode === 20) || (reqCode === 42))) {
        //If the monlist command has been run, send an alert level message with
        //the NTP server IP address to the Syslog server 
        Remote.Syslog('NTP Syslog').alert('monlist enabled on ' + Flow.server.ipaddr);
    }

    Kopieren

    Der Auslöser sendet Nachrichten, die die IP-Adresse des NTP-Servers enthalten, an den Remote-Syslog-Server, den Sie zuvor konfiguriert haben. Wenn das von Ihnen konfigurierte Ziel automatisch benannt wurde, ersetzen Sie 'NTP Syslog' mit 'default' im Code.

13. Fügen Sie dem vorhandenen Skript den folgenden Triggercode hinzu, um zu überprüfen, ob das Debuggen aktiviert ist, und senden Sie die angegebene Ausgabe an das Debug-Log.

    //Print the IP address, request code, and error code in the debug log
    debug('NTP Server ' + Flow.server.ipaddr +
          ' responded to mode 7 command ' + reqCode +
          ' with error code '  + errorCode + '.');

    Kopieren
14. klicken Speichern.

Bevor der Auslöser UDP-Antwortnutzlasten untersuchen kann, müssen Sie den Auslöser mindestens einem Gerät zuweisen. In dieser exemplarischen Vorgehensweise weisen Sie den Auslöser NTP-Servern in Ihrem Netzwerk zu.

1. klicken Vermögenswerte aus dem oberen Menü.
2. Klicken Sie im linken Bereich auf Geräte.
3. In der Name Spalte, suchen Sie mindestens einen NTP-Server und aktivieren Sie das Kontrollkästchen.
4. klicken Trigger zuweisen oben auf der Seite.
5. Klicken Sie auf das Kästchen neben dem UDP-Nutzlast für NTP-Antworten analysieren Auslöser und dann klicken Trigger zuweisen.