Créez un déclencheur pour surveiller les réponses aux requêtes NTP monlist

Dans les étapes suivantes, vous allez configurer l'hôte, le port et le protocole pour la cible du flux de données ouvert.

1. Connectez-vous au système ExtraHop à partir duquel vous souhaitez envoyer des données avec un compte doté de privilèges d'administration du système et des accès.
2. Cliquez sur l'icône des paramètres système , puis cliquez sur Toute l'administration.
3. Dans la section Configuration du système, cliquez sur Flux de données ouverts.
4. Cliquez Ajouter une cible.
5. Sélectionnez Syslog à partir du Type de cible liste déroulante.
6. Dans le Nom champ, type Syslog NTP sauf s'il s'agit de la première cible Syslog que vous avez créée. Dans ce cas, la cible est automatiquement nommée « par défaut » et ne peut pas être renommée.
7. Dans le Hôte dans ce champ, saisissez l'adresse IP ou le nom d'hôte du serveur Syslog auquel vous souhaitez envoyer des données.
8. Dans le Port dans ce champ, saisissez le numéro de port auquel vous souhaitez envoyer des données.
9. Dans la liste des protocoles, sélectionnez UDP.

   Conseil :

   Cliquez Tester pour établir une connexion et envoyer un message de test du système ExtraHop au serveur Syslog distant.

10. Sélectionnez Local si vous souhaitez envoyer des informations Syslog avec des horodatages dans le fuseau horaire local du système ExtraHop. Dans le cas contraire, les horodatages sont envoyés en GMT.
11. Cliquez Enregistrer.
    La cible est ajoutée à la table Syslog sur la page Open Data Stream .

Dans les étapes suivantes, vous allez écrire un déclencheur qui indique les données à examiner à partir des réponses du serveur NTP et s'il convient de les envoyer à un serveur Syslog distant.

1. Cliquez sur le logo ExtraHop dans le coin supérieur gauche pour revenir au système ExtraHop .
2. Cliquez sur l'icône des paramètres système , puis cliquez sur DÉCLENCHEURS.
3. Cliquez Créez.
4. Dans le Nom champ, type Analyse la charge utile UDP pour les réponses NTP .
5. Cliquez Activer le journal de débogage pour activer le journal de débogage et les mesures de performance du déclencheur.
6. Dans le Évènements champ, sélectionnez UDP_PAYLOAD.
7. Cliquez Afficher les options avancées et spécifiez les paramètres de charge utile suivants pour rechercher le trafic NTP uniquement sur le port UDP 123 :
   1. Sélectionnez Exécuter le déclencheur sur tous les paquets UDP.
   2. Dans le Plage de ports de serveur Champ minimum, type 123.
   3. Dans le Plage de ports de serveur Champ maximal, type 123.
8. Dans le volet droit, ajoutez le code déclencheur suivant pour permettre l'accès à la charge utile de réponse du serveur NTP :

   //Capture the NTP server response
   let buf = Flow.server.payload;
   //Exit the trigger if the NTP server response cannot be captured
   if (buf === null) {
       return;
   }

   Copier
9. Ajoutez le code de déclencheur suivant au script existant pour spécifier les champs que le déclencheur doit extraire de l'en-tête de la charge utile et les champs à ignorer :

   //Define the format of the NTP response
   let fmt = ('B' + // Flags (LI, Version, Mode)
              'x' + // Auth + Seq (ignore)
              'x' + // Implementations (ignore)
              'B' + // Request code
              'B'); // Error

   Copier
10. Ajoutez le code déclencheur suivant au script existant pour extraire les champs de la charge utile :

    //Analyze the NTP response based on the defined format
    let values = buf.unpack(fmt);
    let mode = values[0] & 0x7;

    Copier
11. Ajoutez le code déclencheur suivant au script existant pour vérifier les valeurs des champs d'en-tête suivants :

    // Exit the trigger if the mode value is not 7.
    if (mode !== 7) {
        return;
    }
    let reqCode = values[1];
    
    //Save the last four bits of the error code as a variable
    let errorCode = values[2] >> 4;

    Copier

    Le mode, situé dans les trois derniers bits du champ, indique le mode de fonctionnement NTP. La valeur 7 indique que le serveur NTP répond à une commande en mode privé, qui inclut la commande monlist.

    Le champ du code de demande indique le type de demande. Une valeur de 20 ou 42 indique une demande monlist.

    Le champ du code d'erreur, situé dans les quatre derniers bits, indique le type d'erreur. La valeur 0 indique que la réponse n'est pas une erreur.

12. Ajoutez le code déclencheur suivant au script existant pour envoyer un message de niveau alerte au serveur Syslog distant si le serveur NTP répond à une commande monlist et si la réponse n'est pas une erreur.

    //Check that there is no error and that the monlist command has been run
    if ((errorCode === 0) && ((reqCode === 20) || (reqCode === 42))) {
        //If the monlist command has been run, send an alert level message with
        //the NTP server IP address to the Syslog server 
        Remote.Syslog('NTP Syslog').alert('monlist enabled on ' + Flow.server.ipaddr);
    }

    Copier

    Le déclencheur envoie des messages contenant l'adresse IP du serveur NTP au serveur Syslog distant que vous avez configuré précédemment. Si la cible que vous avez configurée a été automatiquement nommée, remplacez 'NTP Syslog' avec 'default' dans le code.

13. Ajoutez le code déclencheur suivant au script existant pour vérifier si le débogage est activé et envoyez la sortie spécifiée au journal de débogage.

    //Print the IP address, request code, and error code in the debug log
    debug('NTP Server ' + Flow.server.ipaddr +
          ' responded to mode 7 command ' + reqCode +
          ' with error code '  + errorCode + '.');

    Copier
14. Cliquez Enregistrer.

Avant que le déclencheur puisse examiner les charges utiles des réponses UDP, vous devez attribuer le déclencheur à au moins un équipement. Pour cette procédure pas à pas, vous allez attribuer le déclencheur aux serveurs NTP de votre réseau.

1. Cliquez Actifs depuis le menu supérieur.
2. Dans le volet de gauche, cliquez sur Appareils.
3. Dans le Nom colonne, recherchez au moins un serveur NTP et cochez la case.
4. Cliquez Assigner un déclencheur en haut de page.
5. Cliquez sur la case à cocher à côté du Analyse la charge utile UDP pour les réponses NTP déclencheur, puis cliquez sur Assigner des déclencheurs.