Configurer la capture de paquets

Votre système ExtraHop doit disposer d'une licence pour la capture de paquets et être configuré avec un disque de stockage dédié. Physique capteurs nécessitent un disque de stockage SSD et les capteurs virtuels nécessitent un disque configuré sur votre hyperviseur.

1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
2. Dans la section Paramètres de l'appliance, cliquez sur Disques.
3. En fonction de votre sonde options de type et de menu, configurez les paramètres suivants.
   • Pour les capteurs physiques, cliquez Activer à côté de Capture de paquets assistée par SSD, puis cliquez sur OK..
   • Pour les capteurs virtuels, vérifiez que running apparaît dans la colonne État et que la taille du disque que vous avez configurée pour la capture de paquets apparaît dans la colonne Taille. Cliquez Activer à côté de Capture de paquets déclenchée, puis cliquez sur OK..

Les disques de capture de paquets peuvent être sécurisés à l'aide d'un chiffrement AES 256 bits.

1. Dans le Paramètres de l'appliance section, cliquez Disques.
2. Sur la page Disques, sélectionnez l'une des options suivantes en fonction de votre type de sonde.
   • Pour les capteurs virtuels, cliquez Configurez à côté de Triggered Packet Capture.
   • Pour les capteurs physiques, cliquez Configurez à côté de la capture de paquets assistée par SSD.
3. Cliquez Chiffrer le disque.
4. Spécifiez une clé de chiffrement de disque à l'aide de l'une des options suivantes :
   • Entrez une phrase secrète dans les champs Phrase secrète et Confirmer.
   • Cliquez Choisissez un fichier et sélectionnez un fichier de clé de chiffrement.
5. Cliquez Chiffrer.

Vous pouvez formater un disque de capture de paquets chiffré pour supprimer définitivement toutes les captures de paquets. Le formatage d'un disque chiffré supprime le chiffrement. Si vous souhaitez formater un disque de capture de paquets non chiffré, vous devez le retirer, puis le réactiver.

1. Dans le Paramètres de l'appareil section, cliquez Disques.
2. Sur la page Disques, choisissez l'une des options suivantes en fonction de la plate-forme de votre appliance.
   • Pour les capteurs virtuels, cliquez sur Configurez à côté de Triggered Packet Capture.
   • Pour les capteurs physiques, cliquez Configurez à côté de la capture de paquets assistée par SSD.
3. Cliquez Effacer le chiffrement du disque.
4. Cliquez Formater.

Si vous souhaitez remplacer un disque de capture de paquets, vous devez d'abord le retirer du système. Lorsqu'un disque de capture de paquets est retiré du système, toutes les données qu'il contient sont définitivement supprimées.

1. Dans le Paramètres de l'appareil section, cliquez Disques.
2. Sur la page Disques, choisissez l'une des options suivantes en fonction de la plate-forme de votre appliance.
   • Pour les appareils virtuels, cliquez sur Configurez à côté de Triggered Packet Capture.
   • Pour les appareils physiques, cliquez sur Configurez à côté de la capture de paquets assistée par SSD.
3. Cliquez Supprimer le disque.
4. Sélectionnez l'une des options de format suivantes :
   • Formatage rapide
   • Effacement sécurisé
5. Cliquez Supprimer.

Une capture globale de paquets collecte chaque paquet envoyé au système ExtraHop pendant la durée correspondant aux critères.

1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
2. Dans la section Captures de paquets, cliquez sur Capture globale de paquets.
3. Dans le Démarrer la capture globale des paquets section, complétez les champs suivants. Il vous suffit de spécifier les critères que vous souhaitez pour la capture de paquets :

   Nom: Nom permettant d'identifier la capture du paquet.

   Nombre maximum de paquets: Le nombre maximal de paquets à capturer.

   Nombre maximum d'octets: Le nombre maximal d'octets à capturer.

   Durée maximale (millisecondes): Durée maximale de la capture du paquet en millisecondes. Nous recommandons la valeur par défaut de 1 000 (1 seconde) ou de configurer jusqu'à 60 000 millisecondes (1 minute).

   Snaplen: Le nombre maximal d'octets copiés par trame. La valeur par défaut est de 96 octets, mais vous pouvez définir cette valeur sur un nombre compris entre 1 et 65535.

4. Cliquez Démarrer.

   Conseil :

   Notez l'heure à laquelle vous commencez la capture afin de localiser plus facilement les paquets.

5. Cliquez Arrête pour arrêter la capture du paquet avant que l'une des limites maximales ne soit atteinte.

Les captures de paquets de précision nécessitent des déclencheurs ExtraHop, qui vous permettent de capturer uniquement les paquets qui répondent à vos spécifications. Les déclencheurs sont du code défini par l'utilisateur hautement personnalisable qui s'exécute sur des événements système définis.

1. Cliquez sur l'icône des paramètres système puis cliquez sur DÉCLENCHEURS.
2. Cliquez Créez.
3. Entrez le nom du déclencheur et sélectionnez les événements HTTP_REQUEST et HTTP_RESPONSE.
4. Tapez ou collez le code déclencheur suivant dans le volet droit.

   Flow.captureStart("HTTP host " + HTTP.host, {maxPackets: 10});
   

   Copier
5. Assignez le déclencheur à un équipement ou à un groupe d'appareils.

   Avertissement :

   L'exécution de déclencheurs sur des appareils et des réseaux inutiles épuise les ressources du système. Minimisez l'impact sur les performances en affectant un déclencheur uniquement aux sources spécifiques auprès desquelles vous devez collecter des données .

6. Sélectionnez Activer le déclencheur.
7. Cliquez Enregistrer.