Guide de l'interface utilisateur d'administration

Présentation de l'interface utilisateur d'ExtraHop Admin

Le guide de l'interface utilisateur d'administration fournit des informations détaillées sur les caractéristiques d'administrateur et les fonctionnalités d'ExtraHop. capteurs et consoles. Ce guide fournit une vue d'ensemble de la navigation globale et des informations sur les contrôles, les champs et les options disponibles dans l' interface utilisateur.

Une fois que vous avez déployé votre sonde ou console, consultez le Liste de contrôle après le déploiement des capteurs et des consoles.
Vidéo :Consultez la formation associée : Interface utilisateur Reveal (x) Enterprise Administration

Vos commentaires sont importants pour nous. Merci de nous indiquer comment nous pouvons améliorer ce document. Envoyez vos commentaires ou suggestions à documentation@extrahop.com.

Les navigateurs suivants sont compatibles avec tous les systèmes ExtraHop. Appliquez les fonctionnalités d'accessibilité et de compatibilité fournies par votre navigateur pour accéder au contenu par le biais d'outils technologiques d'assistance.

  • Firefox
  • Google Chrome
  • Microsoft Edge
  • Safari
Important :Internet Explorer 11 n'est plus pris en charge. Nous vous recommandons d' installer la dernière version de tout navigateur compatible.

État et diagnostics

La section État et diagnostics fournit des statistiques sur l'état général de votre système ExtraHop.

Santé

La page Santé fournit un ensemble de mesures qui vous aident à surveiller le fonctionnement de votre système ExtraHop et permet au support ExtraHop de résoudre les erreurs système si nécessaire.

Système
Fournit les informations suivantes sur l'utilisation du processeur et du disque dur du système.
Utilisateur du processeur
Pourcentage d'utilisation du processeur associé à l'utilisateur du système ExtraHop.
Système CPU
Pourcentage d'utilisation du processeur associé au système ExtraHop.
CPU inactif
Pourcentage d'inactivité du processeur associé au système ExtraHop.
PROCESSEUR IO
Pourcentage d'utilisation du processeur associé aux fonctions d'E/S du système ExtraHop.
État du pont
Fournit les informations suivantes sur le composant de pont du système ExtraHop.
VM RSS
Le pont traite la mémoire physique en cours d'utilisation.
Données de machine virtuelle
Mémoire virtuelle utilisée pour le traitement Bridge.
Taille de la machine virtuelle
Le pont traite la totalité de la mémoire virtuelle utilisée.
Heure de début
Spécifie l'heure de début du composant de pont système ExtraHop.
État de la capture
Fournit les informations suivantes concernant l'état de capture réseau du système ExtraHop.
VM RSS
Mémoire physique du processus de capture réseau utilisée.
Données de machine virtuelle
Le processus de capture réseau utilise la mémoire virtuelle en tas.
Taille de la machine virtuelle
Mémoire virtuelle totale utilisée pour le processus de capture réseau.
Heure de début
Heure de début de la capture réseau ExtraHop.
État du service
Indique l'état des services du système ExtraHop.
ex-alerteurs
Durée d'exécution du service d'alerte du système ExtraHop.
étendre
Durée d'exécution du service de tendances du système ExtraHop.
exconfig
Durée d'exécution du service de configuration du système ExtraHop.
exportation
Durée d'exécution du service de portail Web du système ExtraHop.
exshell
Durée d'exécution du service shell du système ExtraHop.
Interfaces
Indique l'état des interfaces du système ExtraHop.
paquets RX
Le nombre de paquets reçus par l'interface spécifiée sur le système ExtraHop.
Erreurs RX
Le nombre d'erreurs de paquets reçus sur le paquet spécifié interface.
Gouttes RX
Le nombre de paquets reçus abandonnés par la commande spécifiée interface.
Paquets TX
Le nombre de paquets transmis par l'interface spécifiée sur le système ExtraHop.
Erreurs TX
Le nombre d'erreurs de paquets transmis sur le paquet spécifié interface.
TX Drops
Le nombre de paquets transmis abandonnés par la valeur spécifiée interface.
Octets RX
Le nombre d'octets reçus par l'interface spécifiée sur le Système ExtraHop.
Octets TX
Le nombre d'octets transmis par l'interface spécifiée sur le système ExtraHop.
Cloisons
Indique la mémoire allouée aux composants du système ExtraHop.
Nom
Les composants du système qui ont une partition mémoire dans la NVRAM.
Options
Les options de lecture-écriture pour les composants du système.
Taille
Taille de partition en gigaoctets allouée au composant du système.
Utilisation
Quantité de mémoire actuellement consommée par les composants du système, en quantité et en pourcentage de la partition totale.

Nombre et limite d'équipements actifs

Le graphique du nombre et des limites d'appareils actifs vous permet de vérifier si le nombre d' appareils actifs a dépassé la limite autorisée. Par exemple, un système ExtraHop avec une bande de 20 000 à 50 000 appareils est autorisé jusqu'à 50 000 appareils.

Cliquez Paramètres du système puis cliquez sur Toute l'administration. À partir du État et diagnostics section, cliquez sur Nombre et limite d'appareils actifs pour consulter le graphique.

Le graphique du nombre et des limites d'appareils actifs affiche les mesures suivantes :

  • La ligne rouge pointillée représente le limite d' équipements sous licence.
  • La ligne noire continue représente le 95e percentile des dispositifs actifs observés chaque jour au cours des 30 derniers jours.
  • Les barres bleues représentent le nombre maximum d'appareils actifs observés chaque jour au cours des 30 derniers jours.

Cette page affiche également les statistiques suivantes :

  • La limite d'équipements homologués pour la veille et les 30 derniers jours.
  • Le nombre d'appareils actifs observés la veille.
  • Le 95e percentile des dispositifs actifs observés au cours des 30 derniers jours.
  • Pourcentage d'utilisation de la limite d'équipement sous licence pour la veille et les 30 derniers jours. L'utilisation est le nombre d'équipements actifs divisé par la limite autorisée.

Tu peux créer une règle de notification système pour vous avertir si l'utilisation est proche (supérieure à 80 %) ou supérieure (supérieure à 100 %) de la limite d'équipement sous licence. Les pourcentages limites sont personnalisables lorsque vous créez une règle. Si vous constatez que vous approchez ou dépassez régulièrement la limite de votre licence, nous vous recommandons de travailler avec votre équipe commerciale pour passer à la prochaine plage de capacité disponible.

Journal d'audit

Le journal dqu`audit fournit des données sur le fonctionnement de votre système ExtraHop, ventilées par composant. Le journal d'audit répertorie tous les événements connus par horodateur, dans l'ordre chronologique inverse.

Si vous rencontrez un problème avec le système ExtraHop, consultez le journal daudit pour consulter les données de diagnostic détaillées afin de déterminer la cause du problème.

Envoyer les données du journal daudit à un serveur Syslog distant

Le journal daudit collecte des données sur le fonctionnement du système ExtraHop, ventilées par composant. Le journal stocké dans le système a une capacité de 10 000 entrées, et les entrées datant de plus de 90 jours sont automatiquement supprimées. Vous pouvez consulter ces entrées dans les paramètres d'administration ou envoyer les événements du journal daudit à un serveur Syslog à des fins de stockage à long terme, de surveillance et d'analyse avancée. Tous les événements enregistrés sont répertoriés dans le tableau ci-dessous.

Les étapes suivantes vous montrent comment configurer le système ExtraHop pour envoyer les données du journal daudit à un serveur Syslog distant.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section État et diagnostics, cliquez sur Journal d'audit.
  3. Cliquez Configurer les paramètres Syslog.
  4. Dans le champ Destination, saisissez l'adresse IP du serveur Syslog distant.
  5. Dans le menu déroulant Protocole, sélectionnez TCP ou UDP. Cette option spécifie le protocole par lequel les informations sont envoyées à votre serveur Syslog distant.
  6. Dans le champ Port, saisissez le numéro de port de votre serveur Syslog distant. Par défaut, cette valeur est définie sur 514.
  7. Cliquez Réglages de test pour vérifier que vos paramètres Syslog sont corrects. Si les paramètres sont corrects, vous devriez voir apparaître une entrée dans le fichier journal syslog sur le serveur syslog similaire à la suivante :
    Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1
  8. Cliquez Sauver.
  9. Facultatif : Modifiez le format des messages Syslog.
    Par défaut, les messages Syslog ne sont pas conformes à la RFC 3164 ou à la RFC 5424. Cependant, vous pouvez formater les messages Syslog pour qu'ils soient conformes en modifiant la configuration en cours .
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajouter une entrée sous auditlog_rsyslog où se trouve la clé rfc_compliant_format et la valeur est soit rfc5424 ou rfc3164.
      Le auditlog_rsyslog la section doit ressembler au code suivant :
          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }
    5. Cliquez Mise à jour.
    6. Cliquez Terminé.
  10. Facultatif : Modifiez le fuseau horaire référencé dans les horodatages Syslog.
    Par défaut, les horodatages Syslog font référence à l'heure UTC. Cependant, vous pouvez modifier les horodatages pour faire référence à l'heure du système ExtraHop en modifiant la configuration en cours d'exécution.
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajouter une entrée sous auditlog_rsyslog où se trouve la clé syslog_use_localtime et la valeur est true.
      Le auditlog_rsyslog la section doit ressembler au code suivant :
          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "syslog_use_localtime": true
          }
    5. Cliquez Mise à jour.
    6. Cliquez Terminé.

Que faire ensuite

Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez vos modifications de configuration en enregistrant le fichier de configuration en cours d'exécution.
Événements du journal d'audit

Les événements suivants sur un système ExtraHop génèrent une entrée dans le journal d'audit.

Catégorie Événement
Accords
  • Un accord EULA ou POC est conclu
API
  • Une clé d'API est créée
  • Une clé d'API est supprimée
  • Un utilisateur est créé.
  • Un utilisateur est modifié.
Migration des capteurs
  • Une migration de sonde est lancée
  • Une migration de sonde a réussi
  • Échec de la migration d'une sonde
Sessions du navigateur
  • Une session de navigateur spécifique est supprimée
  • Toutes les sessions du navigateur sont supprimées
Services dans le cloud
  • L'état d'une sonde connectée est récupéré
Console
  • Une sonde est connectée à une console
  • Une sonde se déconnecte d'une console
  • Un espace de stockage des enregistrements ou un magasin de paquets ExtraHop établit une connexion par tunnel avec une console .
  • Les informations de console sont définies
  • Un surnom de console est défini
  • Activer ou désactiver une sonde
  • La sonde est visualisée à distance
  • La licence d'une sonde est vérifiée par une console
  • La licence d'une sonde est définie par une console
Tableaux de bord
  • Un tableau de bord est créé
  • Un tableau de bord est renommé
  • Un tableau de bord est supprimé
  • Le permalien d'un tableau de bord, également appelé code court, est modifié
  • Les options de partage du tableau de bord sont modifiées
Banque de données
  • La configuration étendue de la banque de données est modifiée
  • La banque de données est réinitialisée
  • Une réinitialisation de la banque de données est terminée
  • Les personnalisations sont enregistrées
  • Les personnalisations sont restaurées
  • Les personnalisations sont supprimées
Détections
  • L'état de détection est mis à jour
  • Un responsable de la détection est mis à jour
  • Les notes de détection sont mises à jour
  • Un ticket externe est mis à jour
  • Une règle de réglage est créée
  • Une règle de réglage est supprimée
  • Une règle de réglage est modifiée
  • La description d'une règle de réglage est mise à jour
  • Une règle de réglage est activée
  • Une règle de réglage est désactivée
  • Une règle de réglage est étendue
Fichiers d'exception
  • Un fichier d'exception est supprimé
Enregistrements de l'espace de stockage des enregistrements ExtraHop
  • Tous les enregistrements de l'espace de stockage des enregistrements ExtraHop sont supprimés
cluster d'espace de stockage des enregistrements ExtraHop
  • Un nouvel espace de stockage des enregistrements ExtraHop est initialisé
  • Un nœud est ajouté à un cluster d'espaces de stockage des enregistrements ExtraHop
  • Un nœud est supprimé d'un espace de stockage des enregistrements ExtraHop
  • Un nœud rejoint un espace de stockage des enregistrements ExtraHop
  • Un nœud quitte un espace de stockage des enregistrements ExtraHop
  • Une sonde ou une console est connectée à un espace de stockage des enregistrements ExtraHop
  • Une sonde ou une console est déconnectée d'un espace de stockage des enregistrements ExtraHop
  • Un espace de stockage des enregistrements ExtraHop est supprimé ou manquant, mais pas via une interface compatible
Service de mise à jour ExtraHop
  • Une catégorie de détection est mise à jour
  • Une définition de détection est mise à jour
  • Un déclencheur de détection est mis à jour
  • Une définition de rançongiciel est mise à jour
  • Les métadonnées de détection sont mises à jour
  • Le contenu de détection étendu est mis à jour
Micrologiciel
  • Le firmware est mis à jour
Politiques mondiales
  • La politique globale pour le contrôle des modifications par groupes d'équipements est mise à jour
Intégrations
  • Une intégration est mise à jour
Licence
  • Une nouvelle licence statique est appliquée
  • La connectivité du serveur de licences est testée
  • Une clé de produit est enregistrée auprès du serveur de licences
  • Une nouvelle licence est appliquée
Connectez-vous au système ExtraHop
  • Une connexion réussit
  • Échec d'une connexion
Connectez-vous depuis l'API SSH ou REST
  • Une connexion réussit
  • Échec d'une connexion
Modules
  • Le contrôle d'accès au module NDR est activé
  • Le contrôle d'accès au module NPM est activé
Réseau
  • Une configuration d'interface réseau est modifiée
  • Le nom d'hôte ou DNS le réglage est modifié
  • Un itinéraire d'interface réseau est modifié
Capture hors ligne
  • Un fichier de capture hors ligne est chargé
PCAP
  • Un fichier de capture de paquets (PCAP) est téléchargé
Accès à distance
  • L'accès à distance pour l'équipe de support ExtraHop est activé
  • L'accès à distance pour l'équipe de support ExtraHop est désactivé
  • L'accès à distance pour ExtraHop Atlas Analysts est activé
  • L'accès à distance pour ExtraHop Atlas Analysts est désactivé
  • L'accès à distance pour le support ExtraHop est activé
  • L'accès à distance pour le support ExtraHop est désactivé
RPCAP
  • Une configuration RPCAP est ajoutée
  • Une configuration RPCAP est supprimée
Configuration en cours d'exécution
  • Le fichier de configuration en cours change
Fournisseur d'identité SAML
  • Un fournisseur d'identité est ajouté
  • Un fournisseur d'identité est modifié
  • Un fournisseur d'identité est supprimé
Connexion SAML
  • Une connexion réussit
  • Échec d'une connexion
Privilèges SAML
  • Un niveau de privilège est accordé
  • Un niveau de privilège est refusé
Décryptage SSL
  • Une clé de déchiffrement SSL est enregistrée
Clés de session SSL
  • Une clé de session PCAP est téléchargée
Compte d'assistance
  • Le compte d'assistance est désactivé
  • Le compte de support est activé
  • La clé SSH de support est régénérée
Script de support
  • Un script de support par défaut est en cours d'exécution
  • Le résultat d'un script de support antérieur est supprimé
  • Un script de support est chargé
Syslog
  • Les paramètres Syslog à distance sont mis à jour
État du système et du service
  • Le système démarre
  • Le système s'arrête
  • Le système est redémarré
  • Le processus de pont, de capture ou de portail est redémarré
  • Un service système est activé (tel que SNMP, web shell, gestion, SSH)
  • Un service système est désactivé (tel que SNMP, web shell, /management, SSH)
Heure du système
  • L'heure du système est réglée
  • L'heure du système est modifiée
  • L'heure du système est réglée à l'envers
  • Les serveurs NTP sont définis
  • Le fuseau horaire est défini
  • Une synchronisation NTP manuelle est demandée
Utilisateur du système
  • Un utilisateur est ajouté
  • Les métadonnées utilisateur sont modifiées
  • Un utilisateur est supprimé
  • Un mot de passe utilisateur est défini
  • Un utilisateur autre que setup l'utilisateur tente de modifier le mot de passe d'un autre utilisateur
  • Un mot de passe utilisateur est mis à jour
Briefings sur les menaces
  • Les informations sur les menaces sont archivées
  • Les informations sur les menaces sont rétablies
stockage des paquets ExtraHop
  • Un nouveau stockage des paquets ExtraHop est initialisé
  • Une sonde ou une console est connectée à un système de stockage des paquets ExtraHop.
  • Une sonde ou une console est déconnectée d'un stockage des paquets ExtraHop
  • Un stockage des paquets ExtraHop est réinitialisé
Tendances
  • Une tendance est réinitialisée
DÉCLENCHEURS
  • Un déclencheur est ajouté
  • Un déclencheur est modifié
  • Un déclencheur est supprimé
Groupes d'utilisateurs
  • Un groupe d'utilisateurs local est créé
  • Un groupe d'utilisateurs local est supprimé
  • Un groupe d'utilisateurs local est activé
  • Un groupe d'utilisateurs local est désactivé

Empreinte

Les empreintes digitales aident à protéger les appliances contre les attaques de type « machine in-the-middle » en fournissant un identifiant unique qui peut être vérifié lors de la connexion des appliances ExtraHop.

Lorsque vous connectez une appliance Explore ou Trace à une appliance Discover ou Command, assurez-vous que l'empreinte digitale affichée est exactement la même que celle indiquée sur la page de jointure ou de couplage.

Si les empreintes digitales ne correspondent pas, les communications entre les appareils ont peut-être été interceptées et modifiées.

Fichiers d'exceptions

Les fichiers d'exception sont un fichier de base contenant les données stockées en mémoire. Lorsque vous activez le paramètre Fichier d' exception, le fichier principal est écrit sur le disque si le système s'arrête ou redémarre de manière inattendue. Ce fichier peut aider le support ExtraHop à diagnostiquer le problème.

  • Cliquez Activer les fichiers d'exception ou Désactiver les fichiers d'exception pour activer ou désactiver l'enregistrement des fichiers d'exception.

Scripts d'assistance

Le support ExtraHop peut fournir un script d'assistance qui peut appliquer un paramètre spécial, apporter un petit ajustement au système ExtraHop ou fournir de l'aide pour l'assistance à distance ou les paramètres améliorés . Les paramètres d'administration vous permettent de télécharger et d'exécuter des scripts de support.

Exécutez le script de support par défaut

Le script de support par défaut recueille des informations sur l'état du système ExtraHop pour analyse par ExtraHop Support.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section État et diagnostics, cliquez sur Scripts d'assistance.
  3. Cliquez Exécuter le script de support par défaut.
  4. Cliquez Courir.
    Lorsque le script est terminé, Résultats du script de support la page apparaît.
  5. Cliquez sur le nom du package d'aide au diagnostic que vous souhaitez télécharger. Le fichier est enregistré dans l'emplacement de téléchargement par défaut de votre ordinateur.
    Envoyez ce fichier, généralement nommé diag-results-complete.expk, au support ExtraHop.

    Le .expk le fichier est crypté et son contenu n'est visible que par le support ExtraHop. Toutefois, vous pouvez télécharger le diag-results-complete.manifest fichier pour afficher la liste des fichiers collectés.

Exécuter un script de support personnalisé

Si vous recevez un script de support personnalisé de la part d'ExtraHop Support, suivez la procédure suivante pour apporter un petit ajustement au système ou appliquer des paramètres améliorés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le État et diagnostics section, cliquez sur Scripts d'assistance.
  3. Cliquez Exécuter un script de support personnalisé.
  4. Cliquez Choisissez un fichier, accédez au script d'assistance au diagnostic que vous souhaitez télécharger, puis cliquez sur Ouvrir.
  5. Cliquez Téléverser pour exécuter le fichier sur le système ExtraHop.
    Le support ExtraHop confirmera que le script de support a obtenu les résultats souhaités.

Réglages réseau

Le Réglages réseau cette section fournit les paramètres de configuration de votre système ExtraHop. Ces paramètres vous permettent de définir un nom d'hôte, de configurer des notifications et de gérer les connexions à votre système.

Connectez-vous aux services cloud ExtraHop

ExtraHop Cloud Services permet d'accéder aux services cloud ExtraHop via une connexion cryptée. Les services auxquels vous êtes connecté sont déterminés par votre licence système.

Une fois la connexion établie, les informations relatives aux services disponibles apparaissent sur la page ExtraHop Cloud Services.
  • Le service d'apprentissage automatique ExtraHop permet de détecter votre système ExtraHop. Dans Reveal (x) Enterprise, vous pouvez activer les détections de sécurité uniquement ou les détections de sécurité et de performance.
  • Les utilisateurs de Reveal (x) Enterprise peuvent envoyer des données au service d'apprentissage automatique en activant les services cloud ExtraHop dans les paramètres d'administration. Par exemple, le système peut envoyer des adresses IP externes en texte brut, des noms de domaine et des noms d'hôte associés à un comportement suspect détecté. Ce paramètre est activé par défaut dans Reveal (x) 360 et ne peut pas être désactivé. Consultez les FAQ sur l'analyse collective des menaces pour plus d'informations. Pour obtenir la liste complète des types de données envoyés au service d'apprentissage automatique ExtraHop et pour voir comment les données sont utilisées pour améliorer la détection des menaces, consultez la section Machine Learning du Présentation de la sécurité, de la confidentialité et de la confiance d'ExtraHop.
  • Le service de mise à jour ExtraHop permet de mettre à jour automatiquement les ressources du système ExtraHop, telles que les packages de rançongiciels.
  • L'accès à distance ExtraHop vous permet d'autoriser les membres de l'équipe du compte ExtraHop, les analystes de l'Atlas ExtraHop et le support ExtraHop à se connecter à votre système ExtraHop pour obtenir de l'aide à la configuration. Si vous vous êtes inscrit au service d'analyse distante Atlas, les analystes d'ExtraHop peuvent effectuer une analyse impartiale des données de votre réseau et établir des rapports sur les domaines de votre infrastructure informatique dans lesquels des améliorations peuvent être apportées. Consultez les FAQ sur l'accès à distance pour plus d'informations sur les utilisateurs d'accès à distance.
Vidéo :Consultez la formation associée : Connectez-vous aux services cloud ExtraHop

Before you begin

  • Les systèmes Reveal (x) 360 sont automatiquement connectés aux services cloud ExtraHop, mais vous devrez peut-être autoriser l'accès via des pare-feux réseau.
  • Vous devez appliquer la licence appropriée sur le système ExtraHop avant de pouvoir vous connecter aux services ExtraHop Cloud. Consultez les FAQ sur les licences pour plus d'informations.
  • Vous devez avoir configuré ou privilèges d'administration du système et des accès pour accéder aux paramètres d'administration.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres réseau, cliquez sur Services cloud ExtraHop.
  3. Cliquez Termes et conditions pour lire le contenu.
  4. Lisez les conditions générales, puis cochez la case.
  5. Cliquez Connectez-vous aux services cloud ExtraHop.
    Une fois que vous êtes connecté, la page est mise à jour pour afficher l'état et les informations de connexion de chaque service.
  6. Facultatif : Dans la section Service d'apprentissage automatique, cochez la case pour Contribuez au service d'apprentissage automatique pour l' analyse collective des menaces puis sélectionnez l'une des options suivantes :
    • Adresses IP externes
    • Adresses IP externes, domaines et noms d'hôtes
Si la connexion échoue, il se peut qu'il y ait un problème avec les règles de votre pare-feu.

Configurez vos règles de pare-feu

Si votre système ExtraHop est déployé dans un environnement doté d'un pare-feu, vous devez ouvrir l' accès aux services cloud ExtraHop. Pour les systèmes Reveal (x) 360 connectés à des systèmes autogérés capteurs, vous devez également ouvrir l'accès à l'ExtraHop Cloud Recordstore.

Accès ouvert aux services cloud

Pour accéder aux services cloud ExtraHop, votre capteurs doit être capable de résoudre les requêtes DNS pour*.extrahop.com et d'accéder au protocole TCP 443 (HTTPS) à partir de l'adresse IP correspondant à votre sonde licence :

  • 35.161.154.247 (Portland, États-Unis)
  • 54.66.242,25 (Sydney, Australie)
  • 52.59.110.168 (Francfort, Allemagne)
Accès ouvert au Cloud Recordstore

Pour accéder à l'ExtraHop Cloud Recordstore, votre capteurs doit être en mesure d' accéder au protocole TCP 443 (HTTPS) sortant à ces noms de domaine complets :

  • bigquery.googleapis.com
  • bigquerystorage.googleapis.com
  • oauth2.googleapis.com
  • www.googleapis.com
  • www.mtls.googleapis.com
  • iamcredentials.googleapis.com

Vous pouvez également consulter les conseils publics de Google à propos de calcul des plages d'adresses IP possibles pour googleapis.com.

Outre la configuration de l'accès à ces domaines, vous devez également configurer le paramètres globaux du serveur proxy.

Connectez-vous aux services cloud ExtraHop via un proxy

Si vous ne disposez pas d'une connexion Internet directe, vous pouvez essayer de vous connecter aux services cloud ExtraHop via un proxy explicite.

Before you begin

Vérifiez si votre fournisseur de proxy est configuré pour exécuter le protocole MITM (machine-in-the-middle) lors du tunneling SSH via HTTP CONNECT vers localhost:22. Les services cloud ExtraHop déploient un tunnel SSH interne crypté, de sorte que le trafic ne sera pas visible lors de l'inspection MITM. Nous vous recommandons de créer une exception de sécurité et de désactiver l' inspection MITM pour ce trafic.
Important :Si vous ne parvenez pas à désactiver MITM sur votre proxy, vous devez désactiver la validation des certificats dans le fichier de configuration du système ExtraHop en cours d'exécution. Pour plus d'informations, voir Contourner la validation des certificats.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Réglages réseau section, cliquez Connectivité.
  3. Cliquez Activer le proxy cloud ExtraHop.
  4. Entrez le nom d'hôte de votre serveur proxy, tel que hôte proxy.
  5. Tapez le port de votre serveur proxy, tel que 8080.
  6. Facultatif : Si nécessaire, saisissez un nom d'utilisateur et un mot de passe pour votre serveur proxy.
  7. Cliquez Sauver.

Contourner la validation des certificats

Certains environnements sont configurés de manière à ce que le trafic chiffré ne puisse pas quitter le réseau sans inspection par un équipement tiers. Cet équipement peut agir comme un point de terminaison SSL/TLS qui déchiffre et rechiffre le trafic avant d'envoyer les paquets aux services cloud ExtraHop.

Si un appareil se connecte aux services cloud ExtraHop via un serveur proxy et que la validation du certificat échoue, désactivez la validation du certificat et tentez à nouveau la connexion. La sécurité fournie par l'authentification et le chiffrement du système ExtraHop garantit que la communication entre les appareils et les services ExtraHop Cloud ne peut pas être interceptée.
Remarque :La procédure suivante nécessite de se familiariser avec la modification du fichier de configuration en cours d'exécution d'ExtraHop.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres de l'appliance section, cliquez Configuration en cours.
  3. Cliquez Modifier la configuration.
  4. Ajoutez la ligne suivante à la fin du fichier de configuration en cours d'exécution :
    "hopcloud": { "verify_outer_tunnel_cert": false }
  5. Cliquez Mise à jour.
  6. Cliquez Afficher et enregistrer les modifications.
  7. Vérifiez les modifications et cliquez Sauver.
  8. Cliquez Terminé.

Connectivité

La page Connectivité contient des commandes pour les connexions et les paramètres réseau de votre appliance.

État de l'interface
Sur les appliances physiques, un schéma des connexions d'interface apparaît, qui est mis à jour dynamiquement en fonction de l'état du port.
  • Le port Ethernet bleu est destiné à la gestion
  • Un port Ethernet noir indique qu'un port autorisé et activé est actuellement hors service
  • Un port Ethernet vert indique un port connecté actif
  • Un port Ethernet gris indique un port désactivé ou sans licence
Paramètres réseau
  • Cliquez Modifier les paramètres pour ajouter un nom d'hôte pour votre appliance ExtraHop ou pour ajouter des serveurs DNS.
Paramètres du proxy
  • Activez un proxy mondial pour se connecter à une appliance ExtraHop Command
  • Activez un proxy cloud pour vous connecter aux services cloud ExtraHop
Paramètres de l'interface Bond
  • Créez un interface de liaison pour relier plusieurs interfaces en une seule interface logique avec une seule adresse IP.
Interfaces
Consultez et configurez vos interfaces de gestion et de surveillance. Cliquez sur n'importe quelle interface pour afficher les options de réglage.
Paramètres Netskope

Configuration d'une interface

  1. Dans le Paramètres réseau section, cliquez sur Connectivité.
  2. Dans le Interfaces section, cliquez sur le nom de l'interface que vous souhaitez configurer.
  3. Sur le Paramètres réseau pour l'interface <interface number> page, sélectionnez l'une des options suivantes dans Mode d'interface menu déroulant :
    Option Descriptif
    Désactivé L'interface est désactivée.
    Surveillance (réception uniquement) Surveille le trafic réseau.
    Gestion Gère la sonde ExtraHop.
    Gestion + Cible de flux Gère la sonde ExtraHop et capture le trafic transféré depuis un réseau de flux.
    Remarque :Si vous activez NetFlow sur l'EDA 1100, vous devez désactiver l'interface 2. Ces capteurs ne peuvent pas traiter simultanément les données NetFlow et les données câblées.
    Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE Gère la sonde ExtraHop et capture le trafic transféré depuis un redirecteur de paquets, PERSAN*, VXLAN** ou GENEVE***.
    Alors que les interfaces de gestion et de capture 10 GbE de cette sonde peuvent exécuter des fonctions de gestion à des vitesses de 10 Gbit/s, le trafic de traitement tel que ERSPAN, VXLAN et GENEVE est limité à 1 Gbit/s.
    Conseil :Dans les environnements avec un routage asymétrique adjacent aux interfaces hautes performances, les réponses ping peuvent ne pas être renvoyées à l'expéditeur.
    Cible ERSPAN/VXLAN/GENEVE à haute performance Capture le trafic transféré depuis ERSPAN*, VXLAN** ou GENEVE***. Ce mode d'interface permet au port de gérer plus de 1 Gbit/s. Définissez ce mode d'interface si la sonde ExtraHop possède un port 10 GbE. Ce mode d'interface nécessite uniquement la configuration d'une adresse IPv4.
    *Le système ExtraHop prend en charge les implémentations ERSPAN suivantes :
    • ERSPAN Type I
    • ERSPAN Type II
    • ERSPAN Type III
    • Pontage Ethernet transparent. L'encapsulation de type ERSPAN est couramment utilisée dans les implémentations de commutateurs virtuels telles que VMware VDS et Open vSwitch.

    **Les paquets VXLAN (Virtual Extensible LAN) sont reçus sur le port UDP 4789.

    ***Les paquets GENEVE (Generic Network Virtualization Encapsulation) sont reçus sur le port UDP 6081. Pour configurer le trafic encapsulé GENEVE transféré depuis un équilibreur de charge AWS Gateway (GWLB) agissant en tant que cible de mise en miroir du trafic VPC, consultez Documentation AWS.

    Remarque :Pour les déploiements Amazon Web Services (AWS) avec une interface unique, vous devez sélectionner Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE pour Interface 1. Si vous configurez deux interfaces, vous devez sélectionner Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE pour Interface 1 et Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE pour Interface 2.
    Remarque :Pour les déploiements Azure, certaines instances exécutant d'anciennes cartes réseau peuvent ne pas prendre en charge le mode cible ERSPAN/VXLAN/GENEVE hautes performances.
  4. Facultatif : Sélectionnez une vitesse d'interface. Négociation automatique est sélectionnée par défaut, mais vous devez sélectionner manuellement une vitesse si celle-ci est prise en charge par votre sonde, votre émetteur-récepteur réseau et votre commutateur réseau.
    • Négociation automatique
    • 10 Gbit/s
    • 25 Gbit/s
    • 40 Gbit/s
    • 100 Gbit/s
    Important :Lorsque vous modifiez la vitesse de l'interface sur Négociation automatique, il se peut que vous deviez redémarrer la sonde avant que la modification ne prenne effet.
  5. Facultatif : Sélectionnez un type de correction d'erreur directe (FEC). Nous recommandons la négociation automatique, qui est optimale pour la plupart des environnements.

    Négociation automatique: Active automatiquement le RS-FEC ou le Firecode FEC ou désactive le FEC en fonction des capacités des interfaces connectées.

    RS-FEC: Active toujours Reed-Solomon FEC.

    Code de prévention des incendies: Active toujours Firecode (FC) FEC, également connu sous le nom de BaseR FEC.

    Désactivé: Désactive FEC.

  6. DHCPv4 est activé par défaut. Si votre réseau ne prend pas en charge le DHCP, vous pouvez désactiver DHCPv4 case à cocher pour désactiver le DHCP, puis saisissez une adresse IP statique, un masque réseau et une passerelle par défaut.
    Remarque :Une seule interface doit être configurée avec une passerelle par défaut. Configurer des itinéraires statiques si votre réseau nécessite un routage via plusieurs passerelles.
  7. Configurez le port de contrôle de santé TCP. Ce paramètre n'est configurable que sur des interfaces hautes performances et est requis lors de l'ingestion de trafic GENEVE depuis un équilibreur de charge AWS Gateway (GWLB). La valeur du numéro de port doit correspondre à la valeur configurée dans AWS. Pour plus d'informations, voir Transférer le trafic encapsulé à Geneve depuis un équilibreur de charge AWS Gateway.
  8. Facultatif : Activez IPv6.
    Pour plus d'informations sur la configuration d'IPv6, voir Activer IPv6 pour une interface.
  9. Facultatif : Ajoutez des itinéraires manuellement.
  10. Cliquez Enregistrer.
Débit de l'interface

Plus de houblon sonde les modèles EDA 6100, EDA 8100 et EDA 9100 sont optimisés pour capturer le trafic exclusivement sur les ports 10 GbE.

L'activation des interfaces 1 GbE pour surveiller le trafic peut avoir un impact sur les performances, en fonction de l'ExtraHop sonde. Bien que vous puissiez les optimiser capteurs pour capturer le trafic simultanément sur les ports 10 GbE et les trois ports 1 GbE non gérés, nous vous recommandons de contacter le support ExtraHop pour obtenir de l'aide afin d'éviter une réduction du débit.

Remarque :Les capteurs EDA 6200, EDA 8200, EDA 9200 et EDA 10200 ne sont pas susceptibles d'être réduits si vous activez des interfaces 1 GbE pour surveiller le trafic.
Capteur ExtraHop Débit Détails
À PARTIR DE 910 Débit standard de 40 Gbit/s Si les interfaces 1 GbE non destinées à la gestion sont désactivées, vous pouvez utiliser jusqu'à quatre des interfaces 10 GbE pour un débit combiné allant jusqu'à 40 Gbit/s.
À PARTIR DE 810 Débit standard de 20 Gbit/s Si les interfaces 1 GbE non destinées à la gestion sont désactivées, vous pouvez utiliser l'une des interfaces 10 GbE ou les deux pour un débit combiné allant jusqu'à 20 Gbit/s.
ÉD. 610 Débit standard de 10 Gbit/s Si les interfaces 1 GbE non destinées à la gestion sont désactivées, le débit combiné total maximal est de 10 Gbit/s.
ÉD. 310 Débit standard de 3 Gbit/s Pas d'interface 10 GbE
ÉD. 1100 Débit standard de 1 Gbit/s Pas d'interface 10 GbE
Définissez un itinéraire statique

Before you begin

Vous devez désactiver DHCPv4 avant de pouvoir ajouter une route statique.
  1. Sur le Interface d'édition page, assurez-vous que Adresse IPv4 et Masque de réseau les champs sont remplis et enregistrés, puis cliquez sur Modifier les itinéraires.
  2. Dans le Ajouter un itinéraire section, saisissez une plage d'adresses réseau en notation CIDR dans le Réseau champ et adresse IPv4 dans le Par IP champ, puis cliquez sur Ajouter.
  3. Répétez l'étape précédente pour chaque itinéraire que vous souhaitez ajouter.
  4. Cliquez Enregistrer.
Activer IPv6 pour une interface
  1. Dans le Réglages réseau section, cliquez Connectivité.
  2. Dans le Interfaces section, cliquez sur le nom de l'interface que vous souhaitez configurer.
  3. Sur le Paramètres réseau pour l'interface <interface number> page, sélectionnez Activer IPv6.
    Les options de configuration IPv6 apparaissent ci-dessous Activer IPv6.
  4. Facultatif : Configurez les adresses IPv6 pour l'interface.
    • Pour attribuer automatiquement des adresses IPv6 via DHCPv6, sélectionnez Activer DHCPv6.
      Remarque :Si cette option est activée, DHCPv6 sera utilisé pour configurer les paramètres DNS.
    • Pour attribuer automatiquement des adresses IPv6 par le biais de la configuration automatique d'adresses sans état, sélectionnez l'une des options suivantes dans le Configuration automatique des adresses sans état liste :
      Utiliser l'adresse MAC
      Configure l'appliance pour attribuer automatiquement des adresses IPv6 en fonction de l'adresse MAC de l'appliance.
      Utiliser une adresse privée stable
      Configure l'appliance pour attribuer automatiquement des adresses IPv6 privées qui ne sont pas basées sur des adresses matérielles. Cette méthode est décrite dans la RFC 7217.
    • Pour attribuer manuellement une ou plusieurs adresses IPv6 statiques, tapez les adresses dans Adresses IPv6 statiques champ.
  5. Pour permettre à l'appliance de configurer les informations du serveur DNS récursif (RDNSS) et de la liste de recherche DNS (DNSSL) en fonction des publicités du routeur, sélectionnez RDNSS/DNSSL.
  6. Cliquez Enregistrer.

serveur proxy mondial

Si la topologie de votre réseau nécessite un serveur proxy pour permettre à votre système ExtraHop de communiquer soit avec un console ou avec d'autres appareils extérieurs au réseau local, vous pouvez activer votre système ExtraHop pour qu'il se connecte à un serveur proxy que vous avez déjà sur votre réseau. La connectivité Internet n'est pas requise pour le serveur proxy global.

Remarque :Un seul serveur proxy global peut être configuré par système ExtraHop.

Renseignez les champs suivants et cliquez sur Enregistrer pour activer un proxy global.

Nom d'hôte : Le nom d'hôte ou l'adresse IP de votre serveur proxy global.

Port : Le numéro de port de votre serveur proxy mondial.

Nom d'utilisateur : Le nom d'un utilisateur qui dispose d'un accès privilégié à votre serveur proxy global.

Mot de passe : Le mot de passe de l'utilisateur spécifié ci-dessus.

Proxy ExtraHop Cloud

Si votre système ExtraHop ne dispose pas d'une connexion Internet directe, vous pouvez vous connecter à Internet via un serveur proxy spécialement conçu pour la connectivité des services ExtraHop Cloud. Un seul proxy peut être configuré par système.

Complétez les champs suivants et cliquez sur Enregistrer pour activer un proxy cloud.

Nom d'hôte : Le nom d'hôte ou l'adresse IP de votre serveur proxy cloud.

Port : Le numéro de port de votre serveur proxy cloud.

Nom d'utilisateur : Le nom d'un utilisateur autorisé à accéder à votre serveur proxy cloud.

Mot de passe : Le mot de passe de l'utilisateur indiqué ci-dessus.

Interfaces de liaison

Vous pouvez relier plusieurs interfaces de votre système ExtraHop en une seule interface logique dotée d'une adresse IP pour la bande passante combinée des interfaces membres. Les interfaces de liaison permettent d'augmenter le débit avec une seule adresse IP. Cette configuration est également connue sous le nom d'agrégation de liens, de canalisation de ports, de regroupement de liens, de liaison Ethernet/réseau/carte réseau ou d'association de cartes réseau. Les interfaces Bond ne peuvent pas être réglées en mode surveillance.

Remarque :Lorsque vous modifiez les paramètres de l'interface de liaison, vous perdez la connectivité à votre système ExtraHop. Vous devez modifier la configuration de votre commutateur réseau pour rétablir la connectivité. Les modifications requises dépendent de votre commutateur. Contactez le support ExtraHop pour obtenir de l'aide avant de créer une interface Bond.
  • La liaison n'est configurable que sur les interfaces Management ou Management +.
  • Canalisation portuaire sur les ports de surveillance du trafic est pris en charge par les capteurs ExtraHop.

Les interfaces choisies comme membres d'une interface de liaison ne sont plus configurables indépendamment et sont affichées comme Handicapé (membre obligataire) dans la section Interfaces de la page Connectivité. Une fois qu'une interface de liaison est créée, vous ne pouvez pas ajouter de membres supplémentaires ni supprimer des membres existants. L'interface de liaison doit être détruite et recréée.

Création d'une interface de liaison

Vous pouvez créer une interface de liaison avec au moins un membre d'interface et jusqu'à un nombre de membres disponibles pour la liaison.

  1. Cliquez Créer une interface Bond.
  2. Configurez les options suivantes :

    Membres: Cochez la case à côté de chaque interface que vous souhaitez inclure dans le collage. Seuls les ports actuellement disponibles pour l' adhésion obligataire apparaissent.

    Prendre les paramètres depuis: Sélectionnez l'interface contenant les paramètres que vous souhaitez appliquer à l'interface de liaison. Les paramètres de toutes les interfaces non sélectionnées seront perdus.

    Type de liaison: Spécifiez s'il faut créer une liaison statique ou une liaison dynamique via l'agrégation de liens IEEE 802.3ad (LACP).

    Politique de hachage: Spécifiez la politique de hachage. Le Couche 3+4 cette politique équilibre la distribution du trafic de manière plus uniforme entre les interfaces ; toutefois, cette politique n'est pas entièrement conforme aux normes 802.3ad. Le Couche 2+3 la politique équilibre le trafic de manière moins uniforme et est conforme aux normes 802.3ad.

  3. Cliquez Créez.
Actualisez la page pour afficher le Interfaces de liaison section. Tout membre de l'interface de liaison dont les paramètres n'ont pas été sélectionnés dans Prendre les paramètres depuis le menu déroulant est affiché sous la forme Handicapé ( membre obligataire) dans le Interfaces section.
Modifier les paramètres de l'interface Bond

Une fois qu'une interface de liaison est créée, vous pouvez modifier la plupart des paramètres comme si l' interface de liaison était une interface unique.

  1. Dans le Réglages réseau section, cliquez Connectivité.
  2. Dans le Interfaces de liaison section, cliquez sur l'interface de liaison que vous souhaitez modifier.
  3. Sur le Paramètres réseau pour Bond Interface <interface number> page, modifiez les paramètres suivants selon vos besoins :

    Membres : Les membres de l'interface de liaison. Les membres ne peuvent pas être modifiés après la création d'une interface de liaison. Si vous devez modifier les membres, vous devez détruire et recréer l'interface de liaison.

    Mode Bond: Spécifiez s'il faut créer une liaison statique ou une liaison dynamique via l'agrégation de liens IEEE 802.3ad (LACP).

    Mode d'interface : Le mode d'adhésion obligataire. Une interface de liaison peut être Gestion ou Objectif de gestion+RPCAP/ERSPAN uniquement.

    Activer DHCPv4 : Si DHCP est activé, une adresse IP pour l'interface de liaison est automatiquement obtenue.

    Politique de hachage: Spécifiez la politique de hachage. Le Couche 3+4 cette politique équilibre la distribution du trafic de manière plus uniforme entre les interfaces ; toutefois, elle n'est pas entièrement conforme aux normes 802.3ad. Le Couche 2+3 cette politique équilibre le trafic de manière moins uniforme ; toutefois, elle est conforme aux normes 802.3ad.

    Adresse IPv4 : L'adresse IP statique de l'interface de liaison. Ce paramètre n'est pas disponible si le DHCP est activé.

    Masque réseau : Masque réseau pour l'interface de liaison.

    Passerelle : L'adresse IP de la passerelle réseau.

    Itinéraires : Les routes statiques pour l'interface de liaison. Ce paramètre n'est pas disponible si le DHCP est activé.

    Activer IPv6 : Activez les options de configuration pour IPv6.

  4. Cliquez Enregistrer.
Détruire une interface de liaison

Lorsqu'une interface de liaison est détruite, les différents membres de l'interface de liaison retournent à la fonctionnalité d'interface indépendante. Une interface membre est sélectionnée pour conserver les paramètres d'interface de l'interface de liaison et toutes les autres interfaces membres sont désactivées. Si aucune interface membre n'est sélectionnée pour conserver les paramètres, ceux-ci sont perdus et toutes les interfaces membres sont désactivées.

  1. Dans le Réglages réseau section, cliquez Connectivité.
  2. Dans le Section des interfaces de liaison, cliquez sur le rouge X à côté de l'interface que vous souhaitez détruire.
  3. Sur le Détruire l'interface Bond <interface number>page, sélectionnez l'interface membre vers laquelle déplacer les paramètres de l'interface de liaison. Seule l'interface membre sélectionnée pour conserver les paramètres de l'interface de liaison reste active, et toutes les autres interfaces membres sont désactivées.
  4. Cliquez Détruire.

Réglages Netskope

Cette intégration vous permet de configurer les capteurs ExtraHop pour qu'ils ingèrent des paquets provenant de votre solution Netskope afin de détecter les menaces, de découvrir et de surveiller les appareils et d' avoir un aperçu du trafic.

Before you begin

Important :L'intégration de Reveal (x) avec Netskope Intelligent Security Service Edge (SSE) n'est actuellement disponible que pour les participants au programme Netskope Cloud TAP Early Access. Si vous souhaitez en savoir plus sur cette intégration et être averti dès qu'elle sera disponible au public, contactez l'équipe de votre compte ExtraHop.
  • Votre système Reveal (x) doit être connecté à une sonde ExtraHop avec la version 9.4 ou ultérieure du firmware.
  • Votre sonde ExtraHop doit être dédiée à l'ingestion de paquets Netskope uniquement.
  • Vous devez configurer au moins une interface sur votre sonde ExtraHop ; toutes les interfaces doivent spécifier un mode incluant l' encapsulation GENEVE.
  • Vous devez configurer le mode TAP dans votre environnement Netskope .
  1. Connectez-vous aux paramètres d'administration de la sonde via https ://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres réseau, cliquez sur Connectivité.
  3. Dans la section Paramètres Netskope, sélectionnez Activer l'ingestion de paquets Netskope .
  4. Cliquez Enregistrer.

Que faire ensuite

  • Sur la page Ressources, vous pouvez recherchez cette sonde pour visualiser le trafic et les détections observés à partir des données Netskope.
  • Connectez-vous aux paramètres d'administration sur le Reveal (x) Enterprise ou Révéler (x) 360 console pour vérifier l'état des capteurs intégrés à Netskope.

Réseaux Flow

Vous devez configurer l'interface réseau et les paramètres de port sur le système ExtraHop avant de pouvoir collecter des données NetFlow ou sFlow à partir de réseaux de flux distants (exportateurs de flux). Les réseaux Flow ne peuvent pas être configurés sur les systèmes Reveal (x) Enterprise. Le système ExtraHop prend en charge les technologies de flux suivantes : Cisco NetFlow version 5 (v5) et version 9 (v9), AppFlow, IPFIX et sFlow.

Outre la configuration du système ExtraHop, vous devez configurer vos périphériques réseau pour envoyer du trafic sFlow ou NetFlow. Reportez-vous à la documentation de votre fournisseur ou consultez un exemple Configurations Cisco dans l'annexe.

Collectez le trafic depuis les appareils NetFlow et sFlow

Vous devez configurer l'interface réseau et les paramètres de port sur le système ExtraHop avant de pouvoir collecter des données NetFlow ou sFlow à partir de réseaux de flux distants (exportateurs de flux). Les réseaux Flow ne peuvent pas être configurés sur les systèmes Reveal (x) Enterprise. Le système ExtraHop prend en charge les technologies de flux suivantes : Cisco NetFlow v5 et v9, AppFlow, IPFIX et sFlow.

Remarque :Pour plus d'informations sur l'appliance virtuelle de la sonde NetFlow EFC 1292v, voir Déployez le capteur NetFlow ExtraHop EFC 1292v.

Vous devez vous connecter en tant qu'utilisateur avec Privilèges d'administration du système et des accès pour effectuer les étapes suivantes.

Configurez l'interface sur votre système ExtraHop
Outre la configuration du système ExtraHop, vous devez configurer vos périphériques réseau pour envoyer du trafic sFlow ou NetFlow. Reportez-vous à la documentation de votre fournisseur ou consultez l' exemple Configurations Cisco à la fin de ce document. Notez que les pare-feux Cisco ASA avec NetFlow Secure Event Logging (NSEL) ne sont pas pris en charge.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans la section Interfaces, cliquez sur le nom de l'interface qui doit recevoir les données de flux.
  4. À partir du Mode d'interface liste déroulante, sélectionnez Gestion et objectif de flux.
    Remarque :L'EDA 1100v doit être configuré pour les données de flux ou pour les données filaires, car cette sonde ne peut pas traiter les données de flux et les données de fil simultanément. Si la sonde est configurée pour les données de flux, vous devez régler le port de surveillance sur Handicap.
  5. Si Activer DHCPv4 est sélectionné, cliquez Enregistrer.
    Sinon, configurez les paramètres réseau restants, puis cliquez sur Enregistrer.
Configuration du type de flux et du port UDP
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Dans le Paramètres réseau section, cliquez sur Réseaux de flux.
  3. Dans la section Ports, depuis le Port dans ce champ, saisissez le numéro de port UDP.
    Le port par défaut pour Net Flow est 2055, et le port par défaut pour sFlow est 6343. Vous pouvez ajouter des ports supplémentaires selon les besoins de votre environnement.
    Remarque :Les numéros de port doivent être 1024 ou plus
  4. À partir du Type de flux menu déroulant, sélectionnez NetFlow ou sFlow.
    Pour le trafic AppFlow, sélectionnez NetFlow.
  5. Cliquez sur l'icône plus (+) pour ajouter le port.
  6. Enregistrez le fichier de configuration en cours pour conserver vos modifications en cliquant sur Afficher et enregistrer les modifications en haut de la page Flow Networks.
  7. Cliquez Enregistrer.
Ajouter les réseaux de flux en attente

Vous pouvez désormais ajouter des réseaux de flux en attente.

Before you begin

Vous devez vous connecter en tant qu'utilisateur avec Privilèges d'administration du système et des accès pour effectuer les étapes suivantes.
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Dans le Paramètres réseau section, cliquez sur Réseaux de flux.
  3. Dans la section Réseaux de flux en attente, cliquez sur Ajouter un réseau Flow.
  4. Entrez un nom pour identifier ce réseau de flux dans le champ Flow Network ID.
  5. Sélectionnez le Enregistrements automatiques case à cocher pour envoyer des enregistrements de ce réseau de flux vers un espace de stockage des enregistrements connecté.
  6. Sélectionnez le Activer le sondage SNMP case à cocher pour activer le sondage SNMP.
  7. Si vous activez le sondage SNMP, sélectionnez l'une des options suivantes dans le menu déroulant des informations d'identification SNMP :
    • Hériter du CIDR. Si vous sélectionnez cette option, les informations d'identification SNMP sont appliquées en fonction des paramètres des informations d'identification SNMP partagées.
    • informations dapixidentification personnalisées. Sélectionnez v1, v2 ou v3 dans la liste déroulante des versions SNMP, puis configurez les paramètres restants pour le type de sondage spécifique.
  8. Cliquez Enregistrer.
Le réseau de flux apparaît dans le tableau des réseaux de flux approuvés. Si le réseau de flux n'apparaît pas, vous pouvez l'ajouter manuellement en cliquant sur Ajouter un réseau Flow dans le Réseaux de flux approuvés section et en complétant les informations comme décrit ci-dessus.
Afficher les réseaux de flux configurés

Après avoir configuré vos réseaux de flux, connectez-vous au système ExtraHop pour afficher les graphiques intégrés et modifier les paramètres et les configurations.

  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez Actifs, puis cliquez sur Réseaux.
  3. Cliquez sur la flèche déroulante à côté du nom du réseau de flux pour afficher la liste des interfaces de flux et leurs attributs.
  4. Cochez la case à côté du nom du réseau de flux ou de l'interface.
    Dans la barre supérieure, vous pouvez créer un graphique, attribuer un déclencheur, attribuer une alerte , renommer l'interface de flux et définir la vitesse de l'interface.
    Remarque :Chaque enregistrement NetFlow contient l'index d'interface (ifIndex) de l'interface de reporting. La table d'interface (ifTable) est ensuite interrogée par le système ExtraHop pour obtenir la vitesse de l'interface (ifSpeed).
  5. Cliquez sur le nom du réseau de flux ou sur le nom de l'interface de flux pour afficher les graphiques intégrés sur les pages de résumé.
    Dans les pages de résumé, vous pouvez cliquer sur les régions et les graphiques et les ajouter à un tableau de bord nouveau ou existant.

Configuration des appareils Cisco NetFlow

Les exemples suivants de configuration de base d'un routeur Cisco pour NetFlow. NetFlow est configuré pour chaque interface. Lorsque NetFlow est configuré sur l'interface, les informations de flux de paquets IP sont exportées vers le système ExtraHop.

Important :NetFlow tire parti de la valeur IFindex du SNMP pour représenter les informations d'interface d'entrée et de sortie dans les enregistrements de flux. Pour garantir la cohérence des rapports d'interface, activez la persistance SNMP iFindex sur les appareils qui envoient NetFlow au système ExtraHop. Pour plus d' informations sur la façon d'activer la persistance SNMP iFindex sur les périphériques de votre réseau, reportez-vous au guide de configuration fourni par le fabricant de l'équipement.

Pour plus d'informations sur la configuration de NetFlow sur les commutateurs Cisco, consultez la documentation de votre routeur Cisco ou le site Web de Cisco à l'adresse www.cisco.com.

Configuration d'un exportateur sur le commutateur Cisco Nexus

Définissez un exportateur de flux en spécifiant le format, le protocole et la destination d'exportation.

  1. Connectez-vous à l'interface de ligne de commande du commutateur et exécutez les commandes suivantes .
  2. Entrez en mode de configuration globale.
    config t
  3. Créez un exportateur de flux et passez en mode de configuration de l'exportateur de flux.
    flow exporter <name>
    Par exemple :
    flow exporter Netflow-Exporter-1
  4. (Facultatif) Entrez une description.
    description <string>
    Par exemple :
    description Production-Netflow-Exporter
  5. Définissez l'adresse IPv4 ou IPv6 de destination pour l'exportateur.
    destination <eda_mgmt_ip_address>
    Par exemple :
    destination 192.168.11.2
  6. Spécifiez l'interface nécessaire pour atteindre le collecteur NetFlow à la destination configurée .
    source <interface_type> <number>
    Par exemple :
    source ethernet 2/2
  7. Spécifiez la version d'exportation de NetFlow.
    version 9
Configuration des commutateurs Cisco par le biais de l'interface de ligne de commande Cisco IOS
  1. Connectez-vous à l'interface de ligne de commande Cisco IOS et exécutez les commandes suivantes .
  2. Entrez en mode de configuration globale.
    config t
  3. Spécifiez l'interface, puis passez en mode de configuration de l'interface.
    • Routeurs de la gamme Cisco 7500 :
      interface <type> <slot>/<port-adapter>/<port>
      Par exemple :
      interface fastethernet 0/1/0
    • Routeurs de la gamme Cisco 7200 :
      interface <type> <slot>/<port>
      Par exemple :
      interface fastethernet 0/1
  4. Activez NetFlow.
    ip route-cache flow
  5. Exportez les statistiques NetFlow, où <ip-address> est l'interface Management + Flow Target sur le système ExtraHop et <udp-port> est le numéro de port UDP du collecteur configuré.
    ip flow-export <ip-address> <udp-port> version 5

Configurez des informations d'identification SNMP partagées pour vos réseaux NetFlow ou sFlow

Si vous activez le sondage SNMP dans la configuration de votre réseau de flux, vous devez spécifier les informations d'identification qui vous permettent d'interroger l'équipement réseau. Les identifiants d'authentification SNMP s'appliquent à tous les réseaux de flux d'un bloc CIDR et sont automatiquement appliquées à chaque réseau de flux découvert, sauf si des informations d'identification personnalisées sont configurées.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Réglages réseau section, cliquez Réseaux Flow.
  3. Dans le Informations d'identification SNMP partagées section, cliquez Ajouter des informations d'identification SNMP.
  4. Tapez le bloc d'adresse CIDR IPv4 dans CIDR champ. Par exemple, tapez 10,0.0.0/8 pour correspondre à n'importe quelle adresse IP commençant par 10 ou 10,10,0/16 pour correspondre à n'importe quelle adresse IP commençant par 10.10. Vous ne pouvez pas configurer une adresse IP pour qu'elle corresponde à l'ensemble du trafic.
  5. Sélectionnez v1, v2c, ou v3 depuis le Version SNMP liste déroulante, puis complétez les champs restants.
  6. Cliquez Enregistrer.
Actualiser manuellement les informations SNMP
Vous pouvez interroger et récupérer des données à la demande auprès de l'agent SNMP sur un équipement de réseau de flux. Au lieu d'attendre qu'un sondage automatique soit effectué après chaque modification de configuration pour confirmer que la modification est correcte (le sondage automatique a lieu toutes les 24 heures), vous pouvez effectuer un sondage immédiatement.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la colonne Actions du réseau de flux approuvé, cliquez sur Sondage.
    Le système ExtraHop interroge les informations suivantes :
    • Nom système de l'agent SNMP. Cet identifiant est attribué par le SNMP au réseau de flux. ID : 1.3.6.1.2.1.1.5.0.
    • Le nom de chaque interface de l'agent SNMP. Ces identifiants concernent chaque interface de flux sur le réseau de flux. ID : 1.3.6.1.2.1.2.2.1.2.
    • Vitesse d'interface de chaque interface sur l'agent SNMP. ID : 1.3.6.1.2.1.2.2.1.5 et 1.3.6.1.2.1.31.1.1.1.15.

Notifications

Le système ExtraHop peut envoyer des notifications concernant les alertes configurées par e-mail, par des interruptions SNMP et par des exportations Syslog vers des serveurs distants. Si un groupe de notification par e-mail est spécifié, les e-mails sont envoyés aux groupes affectés à l'alerte.

Configuration des paramètres d'e-mail pour les notifications

Vous devez configurer un serveur de messagerie et un expéditeur avant que le système ExtraHop puisse envoyer des notifications d'alerte ou des rapports de tableau de bord planifiés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Réglages réseau section, cliquez Notifications.
  3. Cliquez Serveur de messagerie et expéditeur.
  4. Dans le Serveur SMTP dans ce champ, saisissez l'adresse IP ou le nom d'hôte du serveur de courrier SMTP sortant. Le serveur SMTP doit être le nom de domaine complet (FQDN) ou l'adresse IP d'un serveur de courrier sortant accessible depuis le système ExtraHop. Si le serveur DNS est défini, le serveur SMTP peut être un FQDN, sinon vous devez saisir une adresse IP.
  5. Dans le Port SMTP dans ce champ, saisissez le numéro de port pour les communications SMTP . Le port 25 est la valeur par défaut pour le protocole SMTP et le port 465 est la valeur par défaut pour le protocole SMTP crypté SSL/TLS.
  6. Sélectionnez l'une des méthodes de chiffrement suivantes dans la liste déroulante Chiffrement :
    • Aucune. La communication SMTP n'est pas cryptée.
    • SSL/TLS. Les communications SMTP sont cryptées via le protocole Secure Socket Layer/Transport Layer Security.
    • STARTTLS. Les communications SMTP sont cryptées via STARTTLS.
  7. Dans le Adresse de l'expéditeur de l'alerte dans ce champ, saisissez l'adresse e-mail de l'expéditeur de la notification.
    Remarque :L'adresse de l'expéditeur affichée peut être modifiée par le serveur SMTP. Lors de l'envoi via un serveur SMTP de Google, par exemple, l'adresse e-mail de l'expéditeur est remplacée par le nom d'utilisateur fourni pour l'authentification, au lieu de l'adresse de l'expéditeur initialement saisie.
  8. Facultatif : Sélectionnez le Valider les certificats SSL case à cocher pour activer la validation du certificat. Si vous sélectionnez cette option, le certificat du point de terminaison distant est validé par rapport aux chaînes de certificats racines spécifiées par le gestionnaire de certificats sécurisés. Notez que le nom d'hôte indiqué dans le certificat présenté par le serveur SMTP doit correspondre au nom d'hôte indiqué dans votre configuration SMTP, sinon la validation échouera. En outre, vous devez configurer les certificats auxquels vous souhaitez faire confiance sur la page Certificats sécurisés. Pour plus d' informations, voir Ajoutez un certificat fiable à votre système ExtraHop
  9. Dans le Adresse de l'expéditeur du rapport dans ce champ, saisissez l'adresse e-mail responsable de l'envoi du message. Ce champ n'est applicable que lors de l'envoi de rapports de tableau de bord planifiés depuis un appareil Command ou Reveal (x) 360.
  10. Sélectionnez le Activer l'authentification SMTP case à cocher, puis saisissez les informations d'identification du serveur SMTP dans le Nom d'utilisateur et Mot de passe champs.
  11. Facultatif : Cliquez Réglages du test, saisissez votre adresse e-mail, puis cliquez sur Envoyer. Vous devriez recevoir un e-mail avec le titre de l' objet ExtraHop Test Email.
  12. Cliquez Enregistrer.

Que faire ensuite

Après avoir confirmé que vos nouveaux paramètres fonctionnent comme prévu, conservez les modifications de configuration lors des événements de redémarrage et d'arrêt du système en enregistrant le fichier Running Config.

Configuration d'un groupe de notification par e-mail

Ajoutez une liste d'adresses e-mail à un groupe, puis sélectionnez le groupe lorsque vous configurez les paramètres d' e-mail pour une alerte ou un rapport de tableau de bord planifié. Bien que vous puissiez spécifier des adresses e-mail individuelles, les groupes d'e-mails constituent un moyen efficace de gérer votre liste de destinataires.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Notifications.
  3. Cliquez Groupes de notifications par e-mail.
  4. Cliquez Ajouter un groupe.
  5. Dans le Informations sur le groupe section, configurez les informations suivantes :

    Nom: Entrez un nom pour le groupe de messagerie.

    Notifications de santé du système: Cochez cette case si vous souhaitez envoyer des alertes de stockage système au groupe de messagerie. Ces alertes sont générées dans les conditions suivantes :

    • Un disque virtuel est dans un état dégradé.
    • Un disque physique est dans un état dégradé.
    • Le nombre d'erreurs d'un disque physique augmente.
    • Il manque une partition de disque nécessaire pour le microprogramme, la banque de données ou les données de capture de paquets.

  6. Dans le Adresses e-mail zone de texte, saisissez les adresses e-mail des destinataires qui devraient recevoir les e-mails envoyés à ce groupe. Les adresses e-mail peuvent être saisies une par ligne ou séparées par une virgule, un point-virgule ou un espace. Les adresses e-mail sont vérifiées uniquement pour [nom] @ [entreprise] . [domaine] validation du format. Cette zone de texte doit contenir au moins une adresse e-mail pour que le groupe soit valide.
  7. Cliquez Enregistrer.

Configurer les paramètres pour envoyer des notifications à un gestionnaire SNMP

L'état du réseau peut être surveillé via le protocole SNMP (Simple Network Management Protocol). Le SNMP collecte des informations en interrogeant les périphériques du réseau. Les appareils compatibles SNMP peuvent également envoyer des alertes aux stations de gestion SNMP. Les communautés SNMP définissent le groupe auquel appartiennent les appareils et les stations de gestion exécutant le protocole SNMP, qui spécifie l'endroit où les informations sont envoyées. Le nom de la communauté identifie le groupe.

Remarque :La plupart des organisations disposent d'un système bien établi pour collecter et afficher les interruptions SNMP dans un emplacement central qui peut être surveillé par leurs équipes opérationnelles. Par exemple, les interruptions SNMP sont envoyées à un gestionnaire SNMP et la console de gestion SNMP les affiche.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Notifications.
  3. En dessous Notifications, cliquez SNMP.
  4. Sur le Paramètres SNMP page, dans la Moniteur SNMP dans le champ, saisissez le nom d'hôte du récepteur SNMP trap .
    Séparez les différents noms d'hôtes par des virgules.
  5. Dans le Communauté SNMP dans le champ, saisissez le nom de la communauté SNMP.
  6. Dans le Port SNMP dans le champ, saisissez le numéro de port SNMP de votre réseau utilisé par l'agent SNMP pour répondre au port source sur le gestionnaire SNMP.
    Le port de réponse par défaut est 162.
  7. Facultatif : Cliquez Paramètres du test pour vérifier que vos paramètres SNMP sont corrects.
    Si les paramètres sont corrects, vous devriez voir apparaître une entrée dans le fichier journal SNMP du serveur SNMP similaire à cet exemple, où 192.0.2.0 est l'adresse IP de votre système ExtraHop et 192.0.2.255 est l' adresse IP du serveur SNMP :
    Une réponse similaire à cet exemple s'affiche :
    Connection from UDP: [192.0.2.0]:42164->[ 192.0.2.255]:162
  8. Cliquez Enregistrer.
Téléchargez la MIB SNMP ExtraHop

Le protocole SNMP ne fournit pas de base de données contenant les informations transmises par un réseau surveillé par SNMP. Les informations SNMP sont définies par des bases d'informations de gestion (MIB) tierces qui décrivent la structure des données collectées.

Vous pouvez télécharger le fichier MIB ExtraHop depuis les paramètres d'administration du système.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Accédez au Paramètres réseau section et cliquez Notifications.
  3. En dessous Notifications, cliquez SNMP.
  4. En dessous MIB SNMP, cliquez sur Télécharger ExtraHop SNMP MIB.
    Le fichier est généralement enregistré dans l'emplacement de téléchargement par défaut de votre navigateur.
Extraire l'OID de l'objet fournisseur ExtraHop

Avant de pouvoir surveiller un équipement à l'aide du SNMP, vous devez ID d'objet Sys, qui contient un OID correspondant à l' identité de l'équipement déclarée par le fournisseur.

L'ID d'objet fournisseur (OID) SNMP pour le système ExtraHop est iso.3.6.1.4.1.32015. Vous pouvez également extraire cette valeur avec snmpwalk.
  1. Connectez-vous à l'interface de ligne de commande de votre poste de travail de gestion.
  2. Extrayez l'OID, où adresse IP est l'adresse IP de votre système ExtraHop :
    Dans cet exemple, vous effectuez une requête avec ID d'objet Sys:

    snmpwalk -v 2c -c public < adresse IP> SNMPv2-MIB : :SysObjectID

    Une réponse similaire à cet exemple s'affiche :

    SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.32015
    Dans cet exemple, vous effectuez une requête à l'aide de l'OID :

    snmpwalk -v 2c -c public < adresse IP> 1.3.6.1.2.1.1.2

    Une réponse similaire à cet exemple s'affiche :

    SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.32015 

Envoyer des notifications système à un serveur Syslog distant

L'option d'exportation Syslog vous permet d'envoyer des alertes depuis un système ExtraHop vers n'importe quel système distant recevant une entrée Syslog pour un archivage à long terme et une corrélation avec d'autres sources.

Un seul serveur Syslog distant peut être configuré pour chaque système ExtraHop.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Réglages réseau section, cliquez Notifications.
  3. Dans le champ Destination, saisissez l'adresse IP du serveur Syslog distant.
  4. Dans le menu déroulant Protocole, sélectionnez TCP ou UDP. Cette option spécifie le protocole par lequel les informations seront envoyées à votre serveur Syslog distant.
  5. Dans le champ Port, saisissez le numéro de port de votre serveur Syslog distant. Par défaut, cette valeur est définie sur 514.
  6. Cliquez Paramètres de test pour vérifier que vos paramètres Syslog sont corrects. Si les paramètres sont corrects, vous devriez voir apparaître une entrée dans le fichier journal syslog sur le serveur syslog similaire à la suivante :
    Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1
  7. Cliquez Sauver.
  8. Facultatif : Modifiez le format des messages Syslog.
    Par défaut, les messages Syslog ne sont pas conformes à la RFC 3164 ou à la RFC 5424. Vous pouvez toutefois formater les messages Syslog pour les rendre conformes en modifiant le fichier de configuration en cours d'exécution.
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajouter une entrée sous syslog_notification où se trouve la clé rfc_compliant_format et la valeur est soit rfc5424 ou rfc3164.
      Le syslog_notification la section doit ressembler au code suivant :
          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }
    5. Cliquez Mise à jour.
    6. Cliquez Terminé.
  9. Facultatif : Modifiez le fuseau horaire référencé dans les horodatages Syslog.
    Par défaut, les horodatages Syslog font référence à l'heure UTC. Cependant, vous pouvez modifier les horodatages pour faire référence à l'heure du système ExtraHop en modifiant le fichier de configuration en cours d'exécution .
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajouter une entrée sous syslog_notification où se trouve la clé syslog_use_localtime et la valeur est true.
      Le syslog_notification la section doit ressembler au code suivant :
          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "syslog_use_localtime": true
          }
    5. Cliquez Mise à jour.
    6. Cliquez Terminé.

Que faire ensuite

Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez vos modifications de configuration lors des événements de redémarrage et d'arrêt du système en enregistrant le fichier de configuration en cours d'exécution.

Certificat SSL

Les certificats SSL fournissent une authentification sécurisée au système ExtraHop.

Vous pouvez désigner un certificat auto-signé pour l'authentification au lieu d'un certificat signé par une autorité de certification. Sachez toutefois qu'un certificat auto-signé génère une erreur dans le client navigateur, qui indique que l' autorité de certification signataire est inconnue. Le navigateur propose un ensemble de pages de confirmation pour approuver le certificat, même s'il est auto-signé. Les certificats auto-signés peuvent également dégrader les performances en empêchant la mise en cache dans certains navigateurs. Nous vous recommandons de créer une demande de signature de certificat depuis votre système ExtraHop et de télécharger le certificat signé à la place.

Important :Lors du remplacement d'un certificat SSL, le service du serveur Web est redémarré. Les connexions par tunnel entre les appliances Discover et les appliances Command sont perdues puis rétablies automatiquement.

Téléchargez un certificat SSL

Vous devez télécharger un fichier .pem qui inclut à la fois une clé privée et un certificat auto-signé ou un certificat d'autorité de certification.

Remarque :Le fichier .pem ne doit pas être protégé par mot de passe.
Remarque :Vous pouvez également automatiser cette tâche via l' API REST.
  1. Dans le Réglages réseau section, cliquez Certificat SSL.
  2. Cliquez Gérer les certificats pour développer la section.
  3. Cliquez Choisissez un fichier et accédez au certificat que vous souhaitez télécharger.
  4. Cliquez Ouvert.
  5. Cliquez Téléverser.

Générer un certificat auto-signé

  1. Dans le Paramètres réseau section, cliquez sur Certificat SSL.
  2. Cliquez Gérer les certificats pour développer la section.
  3. Cliquez Créez un certificat SSL auto-signé basé sur le nom d'hôte.
  4. Sur le Générer un certificat page, cliquez sur OK. pour générer le certificat SSL auto-signé.
    Remarque :Le nom d'hôte par défaut est extrahop.

Créez une demande de signature de certificat depuis votre système ExtraHop

Une demande de signature de certificat (CSR) est un bloc de texte codé qui est remis à votre autorité de certification (CA) lorsque vous demandez un certificat SSL. Le CSR est généré sur le système ExtraHop où le certificat SSL sera installé et contient des informations qui seront incluses dans le certificat, telles que le nom commun (nom de domaine), l'organisation, la localité et le pays. Le CSR contient également la clé publique qui sera incluse dans le certificat. Le CSR est créé avec la clé privée du système ExtraHop, créant ainsi une paire de clés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres réseau, cliquez sur Certificat SSL.
  3. Cliquez Gérer les certificats puis cliquez sur Exporter une demande de signature de certificat (CSR).
  4. Dans le Noms alternatifs du sujet section, saisissez le nom DNS du système ExtraHop. Vous pouvez ajouter plusieurs noms DNS et adresses IP à protéger par un seul certificat SSL.
  5. Dans le Objet section, complétez les champs suivants. Seul le Nom commun ce champ est obligatoire.
    Champ Descriptif Exemples
    Nom commun Le nom de domaine complet (FQDN) du système ExtraHop . Le FQDN doit correspondre à l'un des noms alternatifs du sujet. *.exemple.com

    discover.example.com

    Adresse e-mail Adresse e-mail du contact principal de votre organisation. webmaster@example.com
    Unité organisationnelle Division de votre organisation qui gère le certificat. Département informatique
    Organisation Le nom légal de votre organisation. Cette entrée ne doit pas être abrégée et doit inclure des suffixes tels que Inc, Corp ou LLC. Exemple, Inc.
    Localité/Ville La ville où se trouve votre organisation. Seattle
    État/province État ou province où se trouve votre organisation. Cette entrée ne doit pas être abrégée. Washington
    Code du pays Le code ISO à deux lettres du pays dans lequel se trouve votre organisation. NOUS
  6. Cliquez Exporter. Le fichier CSR est automatiquement téléchargé sur votre ordinateur.

Que faire ensuite

Envoyez le fichier CSR à votre autorité de certification (CA) pour faire signer le CSR. Lorsque vous recevez le certificat SSL de l'autorité de certification, retournez au Certificat SSL page dans les paramètres d'administration et téléchargez le certificat sur le système ExtraHop.
Conseil :Si votre organisation exige que le CSR contienne une nouvelle clé publique, générer un certificat auto-signé pour créer de nouvelles paires de clés avant de créer le CSR.

Certificats fiables

Les certificats fiables vous permettent de valider les cibles SMTP, LDAP, HTTPS ODS et MongoDB ODS, ainsi que les connexions à l'espace de stockage des enregistrements Splunk depuis votre système ExtraHop.

Ajoutez un certificat fiable à votre système ExtraHop

Votre système ExtraHop ne fait confiance qu'aux pairs qui présentent un certificat TLS (Transport Layer Security) signé par l'un des certificats système intégrés et par tout certificat que vous téléchargez. Les cibles SMTP, LDAP, HTTPS ODS et MongoDB ODS, ainsi que les connexions à l'espace de stockage des enregistrements Splunk peuvent être validées par le biais de ces certificats.

Before you begin

Vous devez vous connecter en tant qu'utilisateur disposant de privilèges d'installation ou d'administration du système et des accès pour ajouter ou supprimer des certificats sécurisés.
Lors du téléchargement d'un certificat sécurisé personnalisé, un chemin de confiance valide doit exister entre le certificat téléchargé et une racine autosignée fiable pour que le certificat soit totalement fiable. Téléchargez l'intégralité de la chaîne de certificats pour chaque certificat sécurisé ou (de préférence) assurez-vous que chaque certificat de la chaîne a été téléchargé dans le système de certificats sécurisés.
Important : Pour faire confiance aux certificats système intégrés et aux certificats téléchargés, vous devez également activer le chiffrement SSL/TLS ou STARTTLS et la validation des certificats lors de la configuration des paramètres du serveur externe.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Réglages réseau section, cliquez Certificats fiables.
  3. Facultatif : Le système ExtraHop est livré avec un ensemble de certificats intégrés. Sélectionnez Certificats du système de confiance si vous souhaitez faire confiance à ces certificats, puis cliquez sur Enregistrer.
  4. Pour ajouter votre propre certificat, cliquez sur Ajouter un certificat puis collez le contenu de la chaîne de certificats codée PEM dans Certificat champ
  5. Entrez un nom dans le Nom champ et cliquez Ajouter.

Paramètres d'accès

Dans la section Paramètres d'accès, vous pouvez modifier les mots de passe des utilisateurs, activer le compte d'assistance, gérer les utilisateurs locaux et les groupes d'utilisateurs, configurer l'authentification à distance et gérer l' accès aux API.

Politiques mondiales

Les administrateurs peuvent configurer des politiques globales qui s'appliquent à tous les utilisateurs qui accèdent au système.

Politique de mot de passe

  • Choisissez entre deux politiques de mot de passe : la politique de mot de passe par défaut de 5 caractères ou plus ou une politique de mot de passe stricte plus sécurisée comportant les restrictions suivantes :
    • 8 caractères ou plus
    • Caractères majuscules et minuscules
    • Au moins un chiffre
    • Au moins un symbole
    Remarque :Si vous sélectionnez une politique de mot de passe stricte de 8 caractères ou plus, les mots de passe expireront tous les 60 jours.

Contrôle de modification des groupes d'appareils

  • Contrôlez si les utilisateurs ont privilèges d'écriture limités peut créer et modifier des groupes d'équipements. Lorsque cette règle est sélectionnée, tous les utilisateurs à écriture limitée peuvent créer des groupes d'équipements et ajouter d'autres utilisateurs à écriture limitée en tant qu'éditeurs à leurs groupes d'équipements.

Tableau de bord par défaut

  • Spécifiez le tableau de bord que les utilisateurs voient lorsqu'ils se connectent au système. Seuls les tableaux de bord partagés avec tous les utilisateurs peuvent être définis par défaut global. Les utilisateurs peuvent annuler ce paramètre par défaut depuis le menu de commandes de n'importe quel tableau de bord.

Mots de passe

Les utilisateurs disposant de privilèges d'accès à la page Administration peuvent modifier le mot de passe des comptes utilisateurs locaux.

  • Sélectionnez n'importe quel utilisateur et modifiez son mot de passe
    • Vous ne pouvez modifier les mots de passe que pour les utilisateurs locaux. Vous ne pouvez pas modifier les mots de passe des utilisateurs authentifiés via LDAP ou d'autres serveurs d'authentification à distance.

Pour plus d'informations sur les privilèges accordés à des utilisateurs et à des groupes spécifiques de la page Administration, consultez Les utilisateurs section.

Modifier le mot de passe par défaut de l'utilisateur d'installation

Il est recommandé de modifier le mot de passe par défaut de l'utilisateur configuré sur le système ExtraHop après votre première connexion. Pour rappeler aux administrateurs d'effectuer cette modification, il y a un symbole bleu Changer le mot de passe bouton en haut de la page lorsque l'utilisateur de l'installation accède aux paramètres d'administration. Une fois le mot de passe utilisateur de configuration modifié, le bouton en haut de la page n'apparaît plus.

Remarque :Le mot de passe doit comporter au moins 5 caractères.
  1. Dans le Paramètres d'administration, cliquez sur le bleu Modifier le mot de passe par défaut bouton.
    La page Mot de passe s'affiche sans le menu déroulant pour les comptes. Le mot de passe changera uniquement pour l'utilisateur d'installation.
  2. Entrez le mot de passe par défaut dans Ancien mot de passe champ.
  3. Entrez le nouveau mot de passe dans Nouveau mot de passe champ.
  4. Entrez à nouveau le nouveau mot de passe dans Confirmer mot de passe champ.
  5. Cliquez Enregistrer.

Accès au support

Les comptes d'assistance permettent à l'équipe d'assistance ExtraHop d'aider les clients à résoudre les problèmes liés au système ExtraHop.

Ces paramètres ne doivent être activés que si l'administrateur du système ExtraHop demande une assistance pratique à l'équipe de support ExtraHop.

Générer une clé SSH

Générez une clé SSH pour permettre à ExtraHop Support de se connecter à votre système ExtraHop lorsque accès à distance est configuré via Services cloud ExtraHop.
  1. Dans le Paramètres d'accès section, cliquez Accès au support.
  2. Cliquez Générer une clé SSH.
  3. Cliquez Générer une clé SSH.
  4. Copiez la clé cryptée depuis la zone de texte et envoyez-la par e-mail à votre représentant ExtraHop.
  5. Cliquez Terminé.

Régénérer ou révoquer la clé SSH

Pour empêcher l'accès SSH au système ExtraHop avec une clé SSH existante, vous pouvez révoquer la clé SSH actuelle. Une nouvelle clé SSH peut également être régénérée si nécessaire.

  1. Dans le Paramètres d'accès section, cliquez Accès au support.
  2. Cliquez Générer une clé SSH.
  3. Choisissez l'une des options suivantes :
    • Cliquez Régénérer la clé SSH puis cliquez sur Régénérer.

      Copiez la clé cryptée depuis la zone de texte et envoyez-la par e-mail à votre représentant ExtraHop, puis cliquez sur Terminé.

    • Cliquez Révoquer la clé SSH pour empêcher l'accès SSH au système avec la clé actuelle.

Utilisateurs

La page Utilisateurs vous permet de contrôler l'accès local à l' appliance ExtraHop.

Utilisateurs et groupes d'utilisateurs

Les utilisateurs peuvent accéder au système ExtraHop de trois manières : via un ensemble de comptes utilisateur préconfigurés, via des comptes utilisateurs locaux configurés sur l'appliance ou via des comptes utilisateurs distants configurés sur des serveurs d'authentification existants, tels que LDAP, SAML, Radius et TACACS+.

Vidéo :Consultez les formations associées :
Utilisateurs locaux

Cette rubrique concerne les comptes locaux et par défaut. Voir Authentification à distance pour savoir comment configurer des comptes distants.

Les comptes suivants sont configurés par défaut sur les systèmes ExtraHop mais n'apparaissent pas dans la liste des noms de la page Utilisateurs. Ces comptes ne peuvent pas être supprimés et vous devez modifier le mot de passe par défaut lors de la connexion initiale.
installation
Ce compte fournit des privilèges complets de lecture et d'écriture du système à l' interface utilisateur basée sur le navigateur et à l'interface de ligne de commande (CLI) ExtraHop. Sur le plan physique capteurs, le mot de passe par défaut pour ce compte est le numéro de série inscrit sur le devant de l' appliance. Sur le virtuel capteurs, le mot de passe par défaut est default.
coquille
Le shell Le compte, par défaut, a accès aux commandes shell non administratives dans l'interface de ligne de commande ExtraHop. Sur les capteurs physiques, le mot de passe par défaut pour ce compte est le numéro de série inscrit sur le devant de l'appliance. Sur les capteurs virtuels, le mot de passe par défaut est default.
Remarque :Le mot de passe ExtraHop par défaut pour l'un ou l'autre des comptes lorsqu'il est déployé dans Amazon Web Services (AWS) et Google Cloud Platform (GCP) est l'ID d'instance de la machine virtuelle.
Authentification à distance

Le système ExtraHop prend en charge l'authentification à distance pour l'accès des utilisateurs. L'authentification à distance permet aux organisations dotées de systèmes d'authentification tels que LDAP (OpenLDAP ou Active Directory, par exemple) de permettre à tous leurs utilisateurs ou à un sous-ensemble de leurs utilisateurs de se connecter au système avec leurs informations dcredentiatives existantes.

L'authentification centralisée offre les avantages suivants :

  • Synchronisation du mot de passe utilisateur.
  • Création automatique de comptes ExtraHop pour les utilisateurs sans intervention de l'administrateur.
  • Gestion des privilèges ExtraHop en fonction des groupes d'utilisateurs.
  • Les administrateurs peuvent accorder l'accès à tous les utilisateurs connus ou restreindre l'accès en appliquant des filtres LDAP .
Utilisateurs distants

Si votre système ExtraHop est configuré pour l'authentification à distance SAML ou LDAP, vous pouvez créer un compte pour ces utilisateurs distants. La préconfiguration des comptes sur le système ExtraHop pour les utilisateurs distants vous permet de partager les personnalisations du système avec ces utilisateurs avant qu'ils ne se connectent.

Si vous choisissez de provisionner automatiquement les utilisateurs lorsque vous configurez l'authentification SAML, l'utilisateur est automatiquement ajouté à la liste des utilisateurs locaux lorsqu'il se connecte pour la première fois. Cependant, vous pouvez créer un compte utilisateur SAML distant sur le système ExtraHop lorsque vous souhaitez approvisionner un utilisateur distant avant que celui-ci ne se soit connecté au système. Les privilèges sont attribués à l'utilisateur par le fournisseur. Une fois l'utilisateur créé, vous pouvez l'ajouter aux groupes d'utilisateurs locaux.

Groupes d'utilisateurs

Les groupes d'utilisateurs vous permettent de gérer l'accès au contenu partagé par groupe plutôt que par utilisateur individuel. Les objets personnalisés tels que les cartes d'activités peuvent être partagés avec un groupe d'utilisateurs, et tout utilisateur ajouté au groupe y a automatiquement accès. Vous pouvez créer un groupe d'utilisateurs local, qui peut inclure des utilisateurs locaux et distants. Sinon, si votre système ExtraHop est configuré pour l'authentification à distance via LDAP, vous pouvez configurer les paramètres pour importer vos groupes d'utilisateurs LDAP.

  • Cliquez Créer un groupe d'utilisateurs pour créer un groupe local. Le groupe d'utilisateurs apparaît dans la liste. Ensuite, cochez la case à côté du nom du groupe d'utilisateurs et sélectionnez les utilisateurs dans Filtrer les utilisateurs... liste déroulante. Cliquez Ajouter des utilisateurs au groupe.
  • (LDAP uniquement) Cliquez sur Actualiser tous les groupes d'utilisateurs ou sélectionnez plusieurs groupes d' utilisateurs LDAP et cliquez sur Actualiser les utilisateurs dans les groupes.
  • Cliquez Réinitialiser le groupe d'utilisateurs pour supprimer tout le contenu partagé d'un groupe d'utilisateurs sélectionné. Si le groupe n'existe plus sur le serveur LDAP distant, il est supprimé de la liste des groupes d'utilisateurs.
  • Cliquez Activer le groupe d'utilisateurs ou Désactiver le groupe d'utilisateurs pour contrôler si un membre du groupe peut accéder au contenu partagé pour le groupe d'utilisateurs sélectionné.
  • Cliquez Supprimer le groupe d'utilisateurs pour supprimer le groupe d'utilisateurs sélectionné du système.
  • Consultez les propriétés suivantes pour les groupes d'utilisateurs répertoriés :
    Nom du groupe
    Affiche le nom du groupe. Pour afficher les membres du groupe, cliquez sur le nom du groupe.
    Type
    Affiche le type de groupe d'utilisateurs local ou distant.
    Membres
    Affiche le nombre d'utilisateurs du groupe.
    Contenu partagé
    Affiche le nombre d'objets créés par l'utilisateur qui sont partagés avec le groupe.
    État
    Indique si le groupe est activé ou désactivé sur le système. Lorsque le statut est Disabled, le groupe d'utilisateurs est considéré comme vide lors des vérifications d'adhésion ; toutefois, le groupe d'utilisateurs peut toujours être spécifié lors du partage de contenu.
    Membres actualisés (LDAP uniquement)
    Affiche le temps écoulé depuis que l'adhésion au groupe a été actualisée. Les groupes d'utilisateurs sont actualisés dans les conditions suivantes :
    • Une fois par heure, par défaut. Le réglage de l'intervalle de rafraîchissement peut être modifié sur le Authentification à distance > Paramètres LDAP page.
    • Un administrateur actualise un groupe en cliquant sur Actualiser tous les groupes d'utilisateurs ou Actualiser les utilisateurs du groupe, ou par programmation via l'API REST. Vous pouvez actualiser un groupe à partir du Groupe d'utilisateurs ou depuis la page Liste des membres page.
    • Un utilisateur distant se connecte au système ExtraHop pour la première fois.
    • Un utilisateur tente de charger un tableau de bord partagé auquel il n'a pas accès.
Privilèges utilisateur

Les administrateurs déterminent le niveau d'accès au module pour les utilisateurs du système ExtraHop.

Pour plus d'informations sur les privilèges utilisateur pour l'API REST, consultez le Guide de l'API REST.

Pour plus d'informations sur les privilèges des utilisateurs distants, consultez les guides de configuration pour LDAP, RAYON, SAML, et TACACS+.

Niveaux de privilèges

Définissez le niveau de privilège de votre utilisateur afin de déterminer les zones du système ExtraHop auxquelles il peut accéder.

Privilèges d'accès aux modules
Ces privilèges déterminent les fonctionnalités auxquelles les utilisateurs peuvent accéder dans le système ExtraHop. Les administrateurs peuvent accorder aux utilisateurs un accès basé sur les rôles à l'un ou à l'ensemble des modules Network Detection and Response (NDR), Network Performance and Monitoring (NPM) et Packet Forensics. Une licence de module est requise pour accéder aux fonctionnalités du module.
Accès au module NDR
Permet à l'utilisateur d'accéder à des fonctionnalités de sécurité telles que la détection des attaques, les enquêtes et les briefings sur les menaces.
Accès au module NPM
Permet à l'utilisateur d'accéder à des fonctionnalités de performance telles que la détection des opérations et la possibilité de créer des tableaux de bord personnalisés.
Accès aux paquets et aux clés de session
Permet à l'utilisateur de visualiser et de télécharger des paquets et des clés de session, des paquets uniquement ou des tranches de paquets uniquement.
Privilèges d'accès au système

Ces privilèges déterminent le niveau de fonctionnalité dont disposent les utilisateurs dans les modules auxquels l'accès leur a été accordé.

Pour Reveal (x) Enterprise, les utilisateurs disposant de privilèges d'accès au système et d'administration peuvent accéder à toutes les fonctionnalités, paquets et clés de session de leurs modules sous licence.

Pour Reveal (x) 360, les privilèges d'accès au système et d'administration, l'accès aux modules sous licence, aux paquets et aux clés de session doivent être attribués séparément. Reveal (x) 360 propose également un compte d'administration système supplémentaire qui accorde tous les privilèges du système, à l'exception de la possibilité de gérer les utilisateurs et l'accès aux API.

Le tableau suivant contient les fonctionnalités ExtraHop et leurs privilèges requis. Si aucune exigence de module n'est notée, la fonctionnalité est disponible à la fois dans les modules NDR et NDM.

  Administration des systèmes et des accès Administration du système (Reveal (x) 360 uniquement) Écriture complète Écriture limitée Rédaction personnelle Lecture seule complète Lecture seule restreinte
Cartes d'activités  
Créez, consultez et chargez des cartes d'activités partagées Y Y Y Y Y Y N
Enregistrer des cartes d'activité Y Y Y Y Y N N
Partagez des cartes d'activités Y Y Y Y N N N
Alertes Licence et accès au module NPM requis.
Afficher les alertes Y Y Y Y Y Y Y
Création et modification d'alertes Y Y Y N N N N
Priorités d'analyse  
Afficher la page Priorités d'analyse Y Y Y Y Y Y N
Ajouter et modifier des niveaux d'analyse pour les groupes Y Y Y N N N N
Ajouter des appareils à une liste de surveillance Y Y Y N N N N
Gestion des priorités de transfert Y Y Y N N N N
Lots  
Création d'un bundle Y Y Y N N N N
Téléchargez et appliquez un bundle Y Y Y N N N N
Afficher la liste des offres groupées Y Y Y Y Y Y N
Tableaux de bord Licence et accès au module NPM requis pour créer et modifier des tableaux de bord.
Afficher et organiser les tableaux de bord Y Y Y Y Y Y Y
Création et modification de tableaux de bord Y Y Y Y Y N N
Partagez des tableaux de bord Y Y Y Y N N N
Détections Licence et accès au module NDR nécessaires pour visualiser et régler les détections de sécurité et créer des enquêtes.

Licence et accès au module NPM requis pour afficher et régler les détections de performances.

Afficher les détections Y Y Y Y Y Y Y
Reconnaître les détections Y Y Y Y Y N N
Modifier l'état de détection et les notes Y Y Y Y N N N
Création et modification d'enquêtes Y Y Y Y N N N
Création et modification de règles d'exceptions Y Y Y N N N N
Groupes d'appareils Les administrateurs peuvent configurer Politique globale de contrôle des modifications des groupes d'appareils pour spécifier si les utilisateurs disposant de privilèges d'écriture limités peuvent créer et modifier des groupes d'équipements.
Création et modification de groupes d'équipements Y Y Y Y (Si la politique de privilèges globale est activée) N N N
Métriques  
Afficher les statistiques Y Y Y Y Y Y N
Règles de notification Licence et accès au module NDR requis pour créer et modifier des notifications pour les détections de sécurité et les briefings sur les menaces.

Licence et accès au module NPM requis pour créer et modifier des notifications pour les détections de performances.

Création et modification de règles de notification de détection Y Y Y N N N N
Création et modification des règles de notification des informations sur les menaces Y Y Y N N N N
Création et modification des règles de notification du système (Reveal (x) uniquement) Y Y N N N N N
Disques Disquaire requis.
Afficher les requêtes d'enregistrement Y Y Y Y Y Y N
Afficher les formats d'enregistrement Y Y Y Y Y Y N
Créer, modifier et enregistrer des requêtes d'enregistrement Y Y Y N N N N
Création, modification et enregistrement de formats d'enregistrement Y Y Y N N N N
Rapports de tableau de bord Console requise.
Créez, consultez et gérez des rapports planifiés Y Y Y Y N N N
Renseignements sur les menaces Licence et accès au module NDR requis.
Gérez les collections de menaces Y Y N N N N N
Afficher les renseignements sur les menaces Y Y Y Y Y Y N
éléments déclencheurs  
Création et modification de déclencheurs Y Y Y N N N N
Privilèges administratifs  
Accédez aux paramètres d'administration d'ExtraHop Y Y N N N N N
Connexion à d'autres appareils Y Y N N N N N
Gérer les autres appareils (console) Y Y N N N N N
Gérez les utilisateurs et l'accès aux API Y N N N N N N

Ajouter un compte utilisateur local

En ajoutant un compte utilisateur local, vous pouvez fournir aux utilisateurs un accès direct à votre système ExtraHop et restreindre leurs privilèges en fonction de leur rôle dans votre organisation.

Pour en savoir plus sur les comptes utilisateur du système par défaut, voir Utilisateurs locaux.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Utilisateurs.
  3. Cliquez Ajouter un utilisateur.
  4. Dans le Informations personnelles section, saisissez les informations suivantes :

    ID de connexion : Le nom d'utilisateur avec lequel les utilisateurs se connecteront à la sonde, qui ne peut contenir aucun espace. Par exemple, adalovelace.

    Nom complet : Nom d'affichage pour l'utilisateur, qui peut contenir des espaces. Par exemple, Ada Lovelace.

    Mot de passe : Le mot de passe de ce compte.

    Remarque :Sur les capteurs et les consoles, le mot de passe doit répondre aux critères spécifiés par politique de mot de passe globale. Sur les disquaires et les magasins de paquets ExtraHop, les mots de passe doivent comporter 5 caractères ou plus.

    Confirmer le mot de : Entrez à nouveau le mot de passe depuis le Mot de passe champ.

  5. Dans la section Type d'authentification, sélectionnez Local.
  6. Dans le Type d'utilisateur section, sélectionnez le type de privilèges pour l'utilisateur.
    • Les privilèges d'administration du système et des accès permettent un accès complet en lecture et en écriture au système ExtraHop, y compris les paramètres d'administration.
    • Les privilèges limités vous permettent de choisir parmi un sous-ensemble de privilèges et d' options.
    Remarque :Pour plus d'informations, consultez le Privilèges utilisateur section.
  7. Cliquez Enregistrer.
Conseil :
  • Pour modifier les paramètres d'un utilisateur, cliquez sur le nom d'utilisateur dans la liste pour afficher le Modifier page utilisateur.
  • Pour supprimer un compte utilisateur, cliquez sur le rouge X icône. Si vous supprimez un utilisateur d'un serveur d'authentification à distance, tel que LDAP, vous devez également supprimer l'entrée correspondant à cet utilisateur sur le système ExtraHop.

Ajouter un compte pour un utilisateur distant

Ajoutez un compte utilisateur pour les utilisateurs LDAP ou SAML lorsque vous souhaitez provisionner l'utilisateur distant avant que celui-ci ne se connecte au système ExtraHop. Une fois l'utilisateur ajouté au système, vous pouvez l'ajouter à des groupes locaux ou partager des éléments directement avec lui avant qu'il ne se connecte via le fournisseur LDAP ou SAML.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Utilisateurs.
  3. Cliquez Ajouter un utilisateur.
  4. Dans le Informations personnelles section, saisissez les informations suivantes :

    ID de connexion: L'adresse e-mail avec laquelle l'utilisateur se connecte à son fournisseur d'identité LDAP ou SSO SAML.

    Remarque :Seules les adresses e-mail en minuscules sont prises en charge pour les utilisateurs distants.

    Nom complet: Le prénom et le nom de famille de l'utilisateur.

  5. Dans le Type d'authentification section, sélectionnez télécommande.
  6. Cliquez Enregistrer.

Séances

Le système ExtraHop fournit des commandes pour afficher et supprimer les connexions utilisateur à l' interface Web. Le Séances la liste est triée par date d'expiration, qui correspond à la date d'établissement des sessions. Si une session expire ou est supprimée, l'utilisateur doit se reconnecter pour accéder à l'interface Web.

Authentification à distance

Le système ExtraHop prend en charge l'authentification à distance pour l'accès des utilisateurs. L'authentification à distance permet aux organisations dotées de systèmes d'authentification tels que LDAP (OpenLDAP ou Active Directory, par exemple) de permettre à tous leurs utilisateurs ou à un sous-ensemble de leurs utilisateurs de se connecter au système avec leurs informations dcredentiatives existantes.

L'authentification centralisée offre les avantages suivants :

  • Synchronisation du mot de passe utilisateur.
  • Création automatique de comptes ExtraHop pour les utilisateurs sans intervention de l'administrateur.
  • Gestion des privilèges ExtraHop en fonction des groupes d'utilisateurs.
  • Les administrateurs peuvent accorder l'accès à tous les utilisateurs connus ou restreindre l'accès en appliquant des filtres LDAP .

Configuration de l'authentification à distance via LDAP

Le système ExtraHop prend en charge le protocole LDAP (Lightweight Directory Access Protocol) pour l'authentification et l'autorisation. Au lieu de stocker les informations ddevicdentification de l'utilisateur localement, vous pouvez configurer votre système ExtraHop pour authentifier les utilisateurs à distance auprès d'un serveur LDAP existant. Notez que l'authentification LDAP ExtraHop ne demande que les comptes utilisateurs ; elle ne demande aucune autre entité susceptible de se trouver dans l'annuaire LDAP.

Before you begin

  • Cette procédure nécessite de connaître la configuration du LDAP.
  • Assurez-vous que chaque utilisateur fait partie d'un groupe doté d'autorisations spécifiques sur le serveur LDAP avant de commencer cette procédure.
  • Si vous souhaitez configurer des groupes LDAP imbriqués, vous devez modifier le fichier de configuration en cours d'exécution. Contacter Assistance ExtraHop pour obtenir de l'aide.

Lorsqu'un utilisateur tente de se connecter à un système ExtraHop, le système ExtraHop essaie de l' authentifier de la manière suivante :

  • Tente d'authentifier l'utilisateur localement.
  • Tente d'authentifier l'utilisateur via le serveur LDAP s'il n'existe pas localement et si le système ExtraHop est configuré pour l' authentification à distance avec LDAP.
  • Connecte l'utilisateur au système ExtraHop s'il existe et le mot de passe est validé localement ou via LDAP. Le mot de passe LDAP n'est pas stocké localement sur le système ExtraHop. Notez que vous devez saisir le nom d'utilisateur et le mot de passe dans le format pour lequel votre serveur LDAP est configuré. Le système ExtraHop transmet uniquement les informations au serveur LDAP.
  • Si l'utilisateur n'existe pas ou si un mot de passe incorrect est saisi, un message d'erreur apparaît sur la page de connexion.
Important :Si vous remplacez ultérieurement l'authentification LDAP par une autre méthode d'authentification à distance, les utilisateurs, les groupes d'utilisateurs et les personnalisations associées créés par le biais de l'authentification à distance sont supprimés. Les utilisateurs locaux ne sont pas concernés.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Authentification à distance.
  3. À partir du méthode d'authentification à distance liste déroulante, sélectionnez LDAP puis cliquez sur Poursuivre.
  4. Sur le Paramètres LDAP page, renseignez les champs d'informations du serveur suivants :
    1. Dans le Nom d'hôte dans ce champ, saisissez le nom d'hôte ou l' adresse IP du serveur LDAP. Si vous configurez un nom d'hôte, assurez-vous que l'entrée DNS du système ExtraHop est correctement configurée.
    2. Dans le Port dans ce champ, saisissez le numéro de port sur lequel le serveur LDAP écoute.
    3. À partir du Type de serveur liste déroulante, sélectionnez Posix ou Active Directory.
    4. Facultatif : Dans le Bind DN dans le champ, saisissez le DN de liaison. Le DN de liaison correspond aux informations ddevicdentification de l'utilisateur qui vous permettent de vous authentifier auprès du serveur LDAP pour effectuer la recherche d'utilisateurs. Le DN de liaison doit disposer d'un accès de liste au DN de base et à toute unité d'organisation, groupe ou compte utilisateur requis pour l'authentification LDAP . Si cette valeur n'est pas définie, une liaison anonyme est effectuée. Notez que les liaisons anonymes ne sont pas activées sur tous les serveurs LDAP .
    5. Facultatif : Dans le Bind Password dans le champ, saisissez le mot de passe de liaison. Le mot de passe de liaison est le mot de passe requis lors de l'authentification auprès du serveur LDAP en tant que DN de liaison spécifié ci-dessus. Si vous configurez une liaison anonyme, laissez ce champ vide. Dans certains cas, une liaison non authentifiée est possible, lorsque vous fournissez une valeur DN de liaison mais aucun mot de passe de liaison. Consultez votre administrateur LDAP pour connaître les paramètres appropriés .
    6. À partir du Chiffrement dans la liste déroulante, sélectionnez l'une des options de chiffrement suivantes.

      Aucune: Cette option spécifie les sockets TCP en texte clair. Tous les mots de passe sont envoyés sur le réseau en texte clair dans ce mode.

      LDAPS: Cette option spécifie le protocole LDAP intégré au protocole SSL.

      Démarrez TLS: Cette option spécifie le protocole TLS LDAP. (Le protocole SSL est négocié avant l'envoi des mots de passe.)

    7. Sélectionnez Valider les certificats SSL pour activer la validation des certificats. Si vous sélectionnez cette option, le certificat du point de terminaison distant est validé par rapport aux certificats racines tels que spécifiés par le gestionnaire de certificats sécurisés. Vous devez configurer les certificats auxquels vous souhaitez faire confiance sur la page Certificats sécurisés. Pour plus d'informations, voir Ajoutez un certificat fiable à votre système ExtraHop.
    8. Entrez une valeur temporelle dans le Intervalle d'actualisation champ ou laissez le paramètre par défaut de 1 heure. L'intervalle d'actualisation garantit que toutes les modifications apportées à l'accès des utilisateurs ou des groupes sur le serveur LDAP sont mises à jour sur le système ExtraHop.
  5. Configurez les paramètres utilisateur suivants :
    1. Entrez le DN de base dans le DN de base champ. Le DN de base est le point à partir duquel un serveur recherchera des utilisateurs. Le DN de base doit contenir tous les comptes utilisateurs qui auront accès au système ExtraHop. Les utilisateurs peuvent être des membres directs du DN de base ou être imbriqués dans une UO au sein du DN de base si Sous-arbre entier l'option est sélectionnée pour Étendue de la recherche spécifiée ci-dessous.
    2. Entrez un filtre de recherche dans le Filtre de recherche champ. Les filtres de recherche vous permettent de définir des critères de recherche lorsque vous recherchez des comptes utilisateurs dans l'annuaire LDAP.
      Important :Le système ExtraHop ajoute automatiquement des parenthèses pour encapsuler le filtre et n'analysera pas correctement ce paramètre si vous ajoutez des parenthèses manuellement. Ajoutez vos filtres de recherche à cette étape et à l'étape 5b, comme dans l'exemple suivant :
      cn=atlas*
      |(cn=EH-*)(cn=IT-*)
      De plus, si les noms de vos groupes incluent le caractère astérisque (*), celui-ci doit être évité en tant que
      \2a. Par exemple, si votre groupe possède un CN appelé test*group, tapez cn=test\2agroup dans le champ Filtre de recherche.
    3. À partir du Étendue de la recherche dans la liste déroulante, sélectionnez l'une des options suivantes. L'étendue de la recherche indique l'étendue de la recherche dans l'annuaire lors de la recherche d'entités utilisateur.

      Sous-arbre entier: Cette option recherche de manière récursive sous le nom distinctif du groupe pour les utilisateurs correspondants.

      Niveau unique: Cette option recherche uniquement les utilisateurs qui existent dans le DN de base, pas les sous-arborescences.

  6. Facultatif : Importez des groupes d'utilisateurs. Sélectionnez le Importer des groupes d'utilisateurs depuis le serveur LDAP case à cocher et configurez les paramètres suivants.
    Remarque :L'importation de groupes d'utilisateurs LDAP vous permet de partager des tableaux de bord avec ces groupes. Les groupes importés apparaissent sur la page Groupe d'utilisateurs dans les paramètres d'administration.
    1. Entrez le DN de base dans le DN de base champ. Le DN de base est le point à partir duquel un serveur recherchera des groupes d'utilisateurs. Le DN de base doit contenir tous les groupes d'utilisateurs qui auront accès au système ExtraHop. Les groupes d'utilisateurs peuvent être des membres directs du DN de base ou imbriqués au sein d'une UO au sein du DN de base si Sous-arbre entier l'option est sélectionnée pour le Étendue de la recherche spécifiée ci-dessous.
    2. Entrez un filtre de recherche dans le Filtre de recherche champ. Les filtres de recherche vous permettent de définir des critères de recherche lorsque vous recherchez des groupes d'utilisateurs dans l'annuaire LDAP.
      Important :Pour les filtres de recherche de groupe, le système ExtraHop filtre implicitement sur objectclass=group, et objectclass=group ne doit donc pas être ajouté à ce filtre.
    3. À partir du Étendue de la recherche dans la liste déroulante, sélectionnez l'une des options suivantes. L'étendue de la recherche indique l'étendue de la recherche dans l'annuaire lors de la recherche d'entités de groupes d'utilisateurs.

      Sous-arbre entier: Cette option recherche de manière récursive sous le DN de base pour les groupes d'utilisateurs correspondants.

      Niveau unique: Cette option recherche les groupes d'utilisateurs qui existent dans le DN de base ; elle ne recherche aucun sous-arbre.

  7. Cliquez Réglages du test. Si le test réussit, un message d'état apparaît en bas de la page. Si le test échoue, cliquez sur Afficher les détails pour voir la liste des erreurs. Vous devez corriger toutes les erreurs avant de continuer.
  8. Cliquez Enregistrer et continuer.
Configuration des privilèges utilisateur pour l'authentification à distance

Vous pouvez attribuer des privilèges d'utilisateur à des utilisateurs individuels sur votre système ExtraHop ou configurer et gérer des privilèges via votre serveur LDAP.

Lorsque vous attribuez des privilèges utilisateur via LDAP, vous devez remplir au moins un des champs de privilèges utilisateur disponibles. Ces champs nécessitent des groupes (et non des unités organisationnelles) prédéfinis sur votre serveur LDAP. Un compte utilisateur disposant d'un accès doit être membre direct d'un groupe spécifié. Les comptes d'utilisateurs qui ne sont pas membres d'un groupe spécifié ci-dessus n'y auront pas accès. Les groupes absents ne sont pas authentifiés sur le système ExtraHop.

Le système ExtraHop prend en charge les adhésions à des groupes Active Directory et POSIX. Pour Active Directory, memberOf est pris en charge. Pour POSIX, memberuid, posixGroups, groupofNames, et groupofuniqueNames sont pris en charge.

  1. Choisissez l'une des options suivantes dans le Options d'attribution de privilèges liste déroulante :
    • Obtenir le niveau de privilèges auprès d'un serveur distant

      Cette option attribue des privilèges via votre serveur d'authentification à distance. Vous devez remplir au moins l'un des champs de nom distinctif (DN) suivants.

      DN d'administration du système et des accès: Créez et modifiez tous les objets et paramètres du système ExtraHop, y compris les paramètres d'administration.

      DN d'écriture complet: Créez et modifiez des objets sur le système ExtraHop, sans inclure les paramètres d'administration.

      DN d'écriture limité: Créez, modifiez et partagez des tableaux de bord.

      Personal Write DN: Créez des tableaux de bord personnels et modifiez les tableaux de bord partagés avec l'utilisateur connecté.

      DN complet en lecture seule: Afficher les objets dans le système ExtraHop.

      DN en lecture seule restreint: Afficher les tableaux de bord partagés avec l'utilisateur connecté.

      DN d'accès aux tranches de paquets: Affichez et téléchargez les 64 premiers octets de paquets capturés via l'appliance ExtraHop Trace.

      DN d'accès aux paquets: Affichez et téléchargez les paquets capturés via l' appliance ExtraHop Trace.

      DN d'accès aux clés de paquet et de session: Affichez et téléchargez les paquets et toutes les clés de session SSL associées capturés via l'appliance ExtraHop Trace.

      DN d'accès au module NDR: Affichez, confirmez et masquez les détections de sécurité qui apparaissent dans le système ExtraHop.

      DN d'accès au module NPM: Affichez, confirmez et masquez les détections de performance qui apparaissent dans le système ExtraHop.

    • Les utilisateurs distants disposent d'un accès complet en écriture

      Cette option accorde aux utilisateurs distants un accès complet en écriture au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session SSL, l'accès au module NDR et l'accès au module NPM.

    • Les utilisateurs distants disposent d'un accès complet en lecture seule

      Cette option accorde aux utilisateurs distants un accès en lecture seule au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session SSL, l'accès au module NDR et l'accès au module NPM.

  2. Facultatif : Configurez l'accès aux paquets et aux clés de session. Sélectionnez l'une des options suivantes pour permettre aux utilisateurs distants de télécharger des captures de paquets et des clés de session SSL.
    • Pas d'accès
    • Tranches de paquets uniquement
    • Paquets uniquement
    • Paquets et clés de session
  3. Facultatif : Configurez l'accès aux modules NDR et NPM.
    • Pas d'accès
    • Accès complet
  4. Cliquez Enregistrer et terminer.
  5. Cliquez Terminé.

Configuration de l'authentification à distance via SAML

Vous pouvez configurer une authentification unique (SSO) sécurisée pour le système ExtraHop via un ou plusieurs fournisseurs d'identité SAML (Security Assertion Markup Language).

Vidéo :Consultez la formation associée : Authentification SSO

Lorsqu'un utilisateur se connecte à un système ExtraHop configuré en tant que fournisseur de services (SP) pour l'authentification SSO SAML, le système ExtraHop demande l'autorisation au fournisseur d'identité (IdP) approprié. Le fournisseur d'identité authentifie les informations dcredentiation de l'utilisateur, puis renvoie l'autorisation de l'utilisateur au système ExtraHop. L'utilisateur peut alors accéder au système ExtraHop.

Les guides de configuration pour des fournisseurs d'identité spécifiques sont liés ci-dessous. Si votre fournisseur ne figure pas dans la liste, appliquez les paramètres requis par le système ExtraHop à votre fournisseur d'identité.

Les fournisseurs d'identité doivent répondre aux critères suivants :
  • SAML 2.0
  • Supporte les flux de connexion initiés par le SP. Les flux de connexion initiés par l'IdP ne sont pas pris en charge.
  • Prise en charge des réponses SAML signées
  • Supporte la liaison de redirection HTTP

L'exemple de configuration présenté dans cette procédure permet d'accéder au système ExtraHop via des attributs de groupe.

Si votre fournisseur d'identité ne prend pas en charge les déclarations d'attributs de groupe, configurez les attributs utilisateur avec les privilèges appropriés pour l'accès aux modules, l'accès au système et l'analyse des paquets .

Activer l'authentification à distance SAML
Avertissement :Si votre système est déjà configuré avec une méthode d'authentification à distance, la modification de ces paramètres supprimera tous les utilisateurs et les personnalisations associées créées par cette méthode, et les utilisateurs distants ne pourront pas accéder au système. Les utilisateurs locaux ne sont pas concernés.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres d'accès, cliquez sur Authentification à distance.
  3. Sélectionnez SAML dans la liste déroulante de la méthode dveloppement d'authentification à distance, puis cliquez sur Continuer.
  • Cliquez Afficher les métadonnées SP pour afficher l' URL du service ACS (Assertion Consumer Service) et l'ID d'entité du système ExtraHop. Ces chaînes sont requises par votre fournisseur d'identité pour configurer l'authentification SSO. Vous pouvez également télécharger un fichier de métadonnées XML complet que vous pouvez importer dans la configuration de votre fournisseur d'identité.
    Remarque :L'URL ACS inclut le nom d'hôte configuré dans les paramètres réseau. Si l'URL ACS contient un nom d'hôte inaccessible, tel que le nom d'hôte du système par défaut extrahop, vous devez modifier l'URL lorsque vous ajoutez l' URL ACS à votre fournisseur d'identité et spécifier le nom de domaine complet (FQDN) du système ExtraHop.
  • Cliquez Ajouter un fournisseur d'identité pour ajouter les informations suivantes :

    Nom du fournisseur: Tapez un nom pour identifier votre fournisseur d'identité spécifique. Ce nom apparaît sur la page de connexion du système ExtraHop après Connectez-vous avec texte.

    ID d'entité: Collez l'ID d'entité fourni par votre fournisseur d'identité dans ce champ.

    URL SSO: Collez l'URL d'authentification unique fournie par votre fournisseur d'identité dans ce champ.

    Certificat public: Collez le certificat X.509 fourni par votre fournisseur d'identité dans ce champ.

    Provisionner automatiquement les utilisateurs: Lorsque cette option est sélectionnée, les comptes utilisateur ExtraHop sont automatiquement créés lorsque l' utilisateur se connecte via le fournisseur d'identité. Pour contrôler manuellement quels utilisateurs peuvent se connecter, décochez cette case et configurez manuellement les nouveaux utilisateurs distants via les paramètres d' administration d'ExtraHop ou l'API REST. Tout nom d'utilisateur distant créé manuellement doit correspondre au nom d'utilisateur configuré sur le fournisseur d'identité.

    Activer ce fournisseur d'identité: Cette option est sélectionnée par défaut et permet aux utilisateurs de se connecter au système ExtraHop. Pour empêcher les utilisateurs de se connecter via ce fournisseur d'identité, décochez la case.

    Attributs de privilèges utilisateur: Vous devez configurer les attributs de privilèges utilisateur pour que les utilisateurs puissent se connecter au système ExtraHop via un fournisseur d'identité. Les valeurs ne font pas la distinction entre majuscules et minuscules et peuvent inclure des espaces.

    Les noms et les valeurs des attributs de privilèges utilisateur doivent correspondre aux noms et aux valeurs que votre fournisseur d'identité inclut dans les réponses SAML, qui sont configurées lorsque vous ajoutez l' application ExtraHop à un fournisseur. Par exemple, dans Azure AD, vous configurez des noms de revendications et des valeurs de conditions de réclamation qui doivent correspondre aux noms et aux valeurs des attributs de privilèges utilisateur dans le système ExtraHop. Pour des exemples plus détaillés, consultez les rubriques suivantes :

    Remarque :Si un utilisateur correspond à plusieurs valeurs d'attributs, il bénéficie du privilège d'accès le plus permissif. Par exemple, si un utilisateur correspond à la fois aux valeurs d' écriture limitée et d'écriture complète, il bénéficie de privilèges d'écriture complète. Pour plus d' informations sur les niveaux de privilèges, consultez Utilisateurs et groupes d'utilisateurs.

    Accès au module NDR: Les attributs NDR permettent aux utilisateurs d'accéder aux fonctionnalités NDR.

    Accès au module NPM: Les attributs NPM permettent aux utilisateurs d'accéder aux fonctionnalités NPM.

    Accès aux paquets et aux clés de session: Les attributs des paquets et des clés de session permettent aux utilisateurs d'accéder aux paquets et aux clés de session. La configuration des paquets et des attributs de clé de session est facultative et requise uniquement lorsque vous disposez d'un stockage des paquets ExtraHop connecté.

Mappage des attributs utilisateur

Vous devez configurer l'ensemble d'attributs utilisateur suivant dans la section de mappage des attributs d'application de votre fournisseur d'identité. Ces attributs identifient l'utilisateur dans l'ensemble du système ExtraHop. Reportez-vous à la documentation de votre fournisseur d'identité pour connaître les noms de propriétés corrects lors du mappage des attributs.

Nom de l'attribut ExtraHop Nom convivial Catégorie Nom de l'attribut du fournisseur d'identité
urn:oid:0.9.2342.19200300.100.1.3 courrier Attribut standard Adresse e-mail principale
urn:oid:2.5.4.4 sn Attribut standard Nom de famille
urn:oid:2.5.4.42 Prénom Attribut standard Prénom


Déclarations d'attributs de groupe

Le système ExtraHop prend en charge les déclarations d'attributs de groupe pour associer facilement les privilèges des utilisateurs à tous les membres d'un groupe spécifique. Lorsque vous configurez l'application ExtraHop sur votre fournisseur d'identité, spécifiez un nom d'attribut de groupe. Ce nom est ensuite saisi dans le champ Nom de l'attribut lorsque vous configurez le fournisseur d'identité sur le système ExtraHop.



Si votre fournisseur d'identité ne prend pas en charge les déclarations d'attributs de groupe, configurez les attributs utilisateur avec les privilèges appropriés pour l'accès aux modules, l'accès au système et l'analyse des paquets .

Configurer l'authentification unique SAML avec Okta

Vous pouvez configurer votre système ExtraHop pour permettre aux utilisateurs de se connecter au système via le service de gestion des identités Okta.

Before you begin

  • Vous devez être familiarisé avec l'administration d'Okta. Ces procédures sont basées sur l'interface utilisateur Okta Classic. Si vous configurez Okta via la Developer Console, la procédure peut être légèrement différente.
  • Vous devez être familiarisé avec l'administration des systèmes ExtraHop.

Ces procédures vous obligent à copier-coller des informations entre le système ExtraHop et l'interface utilisateur Okta Classic. Il est donc utile d'ouvrir chaque système côte à côte.

Activez SAML sur le système ExtraHop
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres d'accès, cliquez sur Authentification à distance.
  3. Dans la liste déroulante des méthodes d'authentification à distance, sélectionnez SAML.
  4. Cliquez Poursuivre.
  5. Cliquez Afficher les métadonnées SP. Vous devrez copier l' URL ACS et l'ID d'entité pour les coller dans la configuration Okta lors de la procédure suivante.
Configurer les paramètres SAML dans Okta

Cette procédure vous oblige à copier-coller des informations entre les paramètres d'administration d'ExtraHop et l'interface utilisateur Okta Classic. Il est donc utile que chaque interface utilisateur soit ouverte côte à côte.

  1. Connectez-vous à Okta.
  2. Dans le coin supérieur droit de la page, modifiez l'affichage de Console pour développeurs pour Interface utilisateur classique.
  3. Dans le menu supérieur, cliquez sur Demandes.
  4. Cliquez Ajouter une application.
  5. Cliquez Créer une nouvelle application.
  6. À partir du Plateforme liste déroulante, sélectionnez Web.
  7. Pour le Méthode de connexion, sélectionnez SAML 2.0 .
  8. Cliquez Créez.
  9. Dans le Réglages généraux section, saisissez un nom unique dans le Appli champ de nom pour identifier le système ExtraHop.
  10. Facultatif : Configurez le Logo de l'application et Visibilité de l'application les champs requis pour votre environnement.
  11. Cliquez Suivant.
  12. Dans le Paramètres SAML sections, collez l'URL d'Assertion Consumer Service (ACS) du système ExtraHop dans le champ URL d'authentification unique d'Okta.
    Remarque :Vous devrez peut-être modifier manuellement l'URL ACS si l'URL contient un nom d'hôte inaccessible, tel que le nom d'hôte du système par défaut extrahop. Nous vous recommandons de spécifier le nom de domaine complet pour le système ExtraHop dans l'URL.
  13. Collez l'ID d'entité SP du système ExtraHop dans le URI d'audience (ID d'entité SP) champ dans Okta.
  14. À partir du Format du nom et de l'identifiant liste déroulante, sélectionnez Persistant.
  15. À partir du Nom utilisateur de l'application liste déroulante, sélectionnez un format de nom d'utilisateur.
  16. Dans le Déclarations d'attributs section, ajoutez les attributs suivants. Ces attributs identifient l'utilisateur dans l'ensemble du système ExtraHop.
    Nom Format du nom Valeur
    urn:oid:0.9.2342.19200300.100.1.3 Référence d'URI utilisateur.email
    urn:oid:2.5.4.4 Référence d'URI Nom de famille de l'utilisateur
    urn:oid:2.5.4.42 Référence d'URI Nom de l'utilisateur
  17. Dans le Déclaration d'attribut de groupe section, tapez une chaîne dans Nom champ et configurez un filtre. Vous spécifierez le nom de l'attribut du groupe lorsque vous configurerez les attributs de privilège utilisateur sur le système ExtraHop.
    La figure suivante montre un exemple de configuration.

  18. Cliquez Suivant puis cliquez sur Finir.
    Vous revenez à la page des paramètres de connexion.
  19. Dans la section Paramètres, cliquez sur Afficher les instructions de configuration.
    Une nouvelle fenêtre de navigateur s'ouvre et affiche les informations nécessaires à la configuration du système ExtraHop.
Assignez le système ExtraHop à des groupes Okta
Nous partons du principe que vous avez déjà configuré des utilisateurs et des groupes dans Okta. Si ce n'est pas le cas, consultez la documentation Okta pour ajouter de nouveaux utilisateurs et groupes.
  1. Dans le menu Répertoire, sélectionnez Groupes.
  2. Cliquez sur le nom du groupe.
  3. Cliquez Gérer les applications.
  4. Localisez le nom de l'application que vous avez configurée pour le système ExtraHop et cliquez sur Attribuer.
  5. Cliquez Terminé.
Ajouter les informations du fournisseur d'identité sur le système ExtraHop
  1. Retournez aux paramètres d'administration du système ExtraHop. Fermez la fenêtre de métadonnées du fournisseur de services si elle est toujours ouverte, puis cliquez sur Ajouter un fournisseur d'identité.
  2. Entrez un nom unique dans le champ Nom du fournisseur. Ce nom apparaît sur la page de connexion au système ExtraHop.


  3. Depuis Okta, copiez le URL d'authentification unique du fournisseur d'identité et collez-le dans le champ URL SSO du système ExtraHop.
  4. Depuis Okta, copiez le URL de l'émetteur du fournisseur d'identité et collez-le dans ID de l'entité champ sur le système ExtraHop.
  5. Depuis Okta, copiez le certificat X.509 et collez-le dans Certificat public champ sur le système ExtraHop.
  6. Choisissez la manière dont vous souhaitez approvisionner les utilisateurs à partir de l'une des options suivantes.
    • Sélectionnez Provisionner automatiquement les utilisateurs pour créer un nouveau compte utilisateur SAML distant sur le système ExtraHop lorsque l'utilisateur se connecte pour la première fois.
    • Décochez la case Approvisionnement automatique des utilisateurs et configurez manuellement les nouveaux utilisateurs distants via les paramètres d'administration ExtraHop ou l'API REST. Les niveaux d'accès et de privilège sont déterminés par la configuration utilisateur dans Okta.
  7. Le Activer ce fournisseur d'identité L'option est sélectionnée par défaut et permet aux utilisateurs de se connecter au système ExtraHop. Pour empêcher les utilisateurs de se connecter, décochez la case.
  8. Configurez les attributs de privilèges utilisateur. Vous devez configurer l'ensemble d'attributs utilisateur suivant avant que les utilisateurs puissent se connecter au système ExtraHop via un fournisseur d' identité. Les valeurs peuvent être définies par l'utilisateur ; elles doivent toutefois correspondre aux noms d'attributs inclus dans la réponse SAML de votre fournisseur d'identité. Les valeurs ne distinguent pas les majuscules et minuscules et peuvent inclure des espaces. Pour plus d' informations sur les niveaux de privilèges, voir Utilisateurs et groupes d'utilisateurs.
    Important :Vous devez spécifier le nom de l'attribut et configurer au moins une valeur d'attribut autre que Pas d'accès pour permettre aux utilisateurs de se connecter.
    Dans les exemples ci-dessous, le Nom de l'attribut le champ est l'attribut de groupe configuré lors de la création de l'application ExtraHop sur le fournisseur d'identité et le Valeurs d'attribut sont les noms de vos groupes d'utilisateurs. Si un utilisateur est membre de plusieurs groupes, il bénéficie du privilège d'accès le plus permissif.
  9. Configurez l'accès au module NDR.
  10. Configurez l'accès au module NPM.
  11. Facultatif : Configurez l'accès aux paquets et aux clés de session. Cette étape est facultative et n'est requise que si vous avez un stockage des paquets connecté et le module Packet Forensics.
  12. Cliquez Enregistrer.
  13. Enregistrez la configuration en cours.
Connectez-vous au système ExtraHop
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez Connectez-vous avec <provider name>.
  3. Connectez-vous à votre fournisseur à l'aide de votre adresse e-mail et de votre mot de passe. Vous êtes automatiquement dirigé vers la page d'aperçu d'ExtraHop.

Configurer l'authentification unique SAML avec Google

Vous pouvez configurer votre système ExtraHop pour permettre aux utilisateurs de se connecter au système via le service de gestion des identités de Google.

Before you begin

  • Vous devez être familiarisé avec l'administration de Google Admin.
  • Vous devez être familiarisé avec l'administration des systèmes ExtraHop.

Ces procédures vous obligent à copier-coller des informations entre le système ExtraHop et la console d'administration Google. Il est donc utile d'ouvrir chaque système côte à côte.

Activez SAML sur le système ExtraHop
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres d'accès, cliquez sur Authentification à distance.
  3. Dans la liste déroulante des méthodes d'authentification à distance, sélectionnez SAML.
  4. Cliquez Poursuivre.
  5. Cliquez Afficher les métadonnées SP.
  6. Copiez le URL ACS et ID de l'entité dans un fichier texte. Vous collerez ces informations dans la configuration de Google lors d'une procédure ultérieure.
Ajouter des attributs personnalisés pour l'utilisateur
  1. Connectez-vous à la console d'administration Google.
  2. Cliquez Utilisateurs.
  3. Cliquez sur l'icône Gérer les attributs personnalisés .
  4. Cliquez Ajouter un attribut personnalisé.
  5. Dans le champ Catégorie, tapez Hop supplémentaire.
  6. Facultatif : Tapez une description dans le Descriptif champ.
  7. Dans le Champs personnalisés section, entrez les informations suivantes.
    1. Dans le champ Nom, tapez niveau d'écriture.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible par le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  8. Activer l'accès au module NDR
    1. Dans le Nom champ, type niveau NDR.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible par le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  9. Activer l'accès au module NPM
    1. Dans le Nom champ, type niveau npm.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible par le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  10. Facultatif : Si vous avez connecté des magasins de paquets, activez l'accès aux paquets en configurant un champ personnalisé contenant les informations suivantes.
    1. Dans le Nom champ, type niveau des paquets.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible par le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  11. Cliquez Ajouter.
Ajouter les informations du fournisseur d'identité de Google au système ExtraHop
  1. Dans la console d'administration Google, cliquez sur l'icône du menu principal et sélectionnez Applis > Applications SAML.
  2. Cliquez sur le Activer l'authentification unique pour une application SAML icône .
  3. Cliquez CONFIGURER MA PROPRE APPLICATION PERSONNALISÉE.
  4. Sur le Informations sur l'IdP Google écran, cliquez sur le Télécharger bouton pour télécharger le certificat (GoogleIDPCertificate.pem).
  5. Retournez aux paramètres d'administration du système ExtraHop.
  6. Cliquez Ajouter un fournisseur d'identité.
  7. Entrez un nom unique dans le Nom du fournisseur champ. Ce nom apparaît sur la page de connexion au système ExtraHop.
  8. À partir du Informations sur l'IdP Google écran, copiez l'URL SSO et collez-la dans URL SSO champ sur l' appliance ExtraHop.
  9. À partir du Informations sur l'IdP Google écran, copiez l'identifiant de l'entité et collez-le dans le champ Identifiant de l'entité sur le système ExtraHop.
  10. Ouvrez le GoogleIDPCertificate dans un éditeur de texte, copiez le contenu et collez-le dans Certificat public champ sur le système ExtraHop.
  11. Choisissez la manière dont vous souhaitez approvisionner les utilisateurs à partir de l'une des options suivantes.
    • Sélectionnez Approvisionnement automatique des utilisateurs pour créer un nouveau compte utilisateur SAML distant sur le système ExtraHop lorsque l'utilisateur se connecte pour la première fois.
    • Effacez le Approvisionnement automatique des utilisateurs case à cocher et configurez manuellement les nouveaux utilisateurs distants via les paramètres d'administration ExtraHop ou l'API REST. Les niveaux d'accès et de privilège sont déterminés par la configuration utilisateur dans Google.
  12. Le Activer ce fournisseur d'identité L'option est sélectionnée par défaut et permet aux utilisateurs de se connecter au système ExtraHop. Pour empêcher les utilisateurs de se connecter, décochez la case.
  13. Configurez les attributs de privilèges utilisateur. Vous devez configurer l'ensemble d'attributs utilisateur suivant avant que les utilisateurs puissent se connecter au système ExtraHop via un fournisseur d' identité. Les valeurs peuvent être définies par l'utilisateur ; elles doivent toutefois correspondre aux noms d'attributs inclus dans la réponse SAML de votre fournisseur d'identité. Les valeurs ne distinguent pas les majuscules et minuscules et peuvent inclure des espaces. Pour plus d' informations sur les niveaux de privilèges, voir Utilisateurs et groupes d'utilisateurs..
    Important :Vous devez spécifier le nom de l'attribut et configurer au moins une valeur d'attribut autre que Pas d'accès pour permettre aux utilisateurs de se connecter.
    Dans l'exemple ci-dessous, le Nom de l'attribut le champ est l'attribut de l' application et le Valeur de l'attribut est le nom du champ utilisateur configuré lors de la création de l'application ExtraHop sur le fournisseur d'identité.
    Nom du champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0:writelevel
    Administration du système et des accès illimité
    Privilèges d'écriture complets écriture complète
    Privilèges d'écriture limités écriture limitée
    Privilèges d'écriture personnels écriture personnelle
    Privilèges complets en lecture seule full_readonly
    Privilèges de lecture seule restreints restricted_readonly
    Pas d'accès aucune
  14. Configurez l'accès au module NDR.
    Champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0:ndrlevel
    Accès complet complet
    Pas d'accès aucune
  15. Configurez l'accès au module NPM.
    Champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0:npmlevel
    Accès complet complet
    Pas d'accès aucune
  16. Facultatif : Configurez l'accès aux paquets et aux clés de session. La configuration des paquets et des attributs de clé de session est facultative et n'est requise que lorsque vous disposez d'un stockage des paquets connecté.
    Nom du champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0 : niveau des paquets
    Paquets et clés de session Complet_avec_clés
    Paquets uniquement complet
    Paquets (tranches uniquement) tranches
    Pas d'accès aucune
  17. Cliquez Enregistrer.
  18. Enregistrez la configuration en cours.
Ajouter les informations du fournisseur de services ExtraHop à Google
  1. Revenez à la console d'administration Google et cliquez sur Suivant sur le Informations sur l'Idp de Google page pour passer à l'étape 3 de 5.
  2. Entrez un nom unique dans Nom de l'application champ pour identifier le système ExtraHop. Chaque système ExtraHop pour lequel vous créez une application SAML a besoin d'un nom unique.
  3. Facultatif : Tapez une description pour cette application ou importez un logo personnalisé.
  4. Cliquez Suivant.
  5. Copiez le URL du service Assertion Consumer (ACS) depuis le système ExtraHop et collez-le dans URL DE L'ACS champ dans Google Admin.
    Remarque :Vous devrez peut-être modifier manuellement l'URL ACS si l'URL contient un nom d'hôte inaccessible, tel que le nom d'hôte du système par défaut extrahop. Nous vous recommandons de spécifier le nom de domaine complet pour le système ExtraHop dans l'URL.
  6. Copiez le ID de l'entité SP depuis le système ExtraHop et collez-le dans ID de l'entité champ dans Google Admin.
  7. Sélectionnez le Réponse signée case à cocher.
  8. Dans le Identifiant du nom section, laissez la valeur par défaut Informations de base et Courrier électronique principal paramètres inchangés.
  9. À partir du Format du nom et de l'identifiant liste déroulante, sélectionnez PERSISTANT.
  10. Cliquez Suivant.
  11. Sur le Cartographie des attributs écran, cliquez AJOUTER UN NOUVEAU MAPPAGE.
  12. Ajoutez les attributs suivants exactement comme indiqué. Les quatre premiers attributs sont obligatoires. Le packetslevel l'attribut est facultatif et n'est requis que si vous avez un stockage des paquets connecté. Si vous avez un stockage des paquets et que vous ne configurez pas le packetslevel attribut, les utilisateurs ne pourront pas afficher ou télécharger les captures de paquets dans le système ExtraHop.
    Attribut de l'application Catégorie Champ utilisateur
    urn:oid:0.9.2342.19200300.100.1.3 Informations de base Courrier électronique principal
    urn:oid:2.5.4.4 Informations de base Nom de famille
    urn:oid:2.5.4.42 Informations de base Prénom
    urn:extrahop:saml:2.0:writelevel Hop supplémentaire niveau d'écriture
    urn:extrahop:saml:2.0:ndrlevel Hop supplémentaire niveau NDR
    urn:extrahop:saml:2.0:npmlevel Hop supplémentaire niveau npm
    urn:extrahop:saml:2.0 : niveau des paquets Hop supplémentaire niveau des paquets
  13. Cliquez Finir puis cliquez sur OK..
  14. Cliquez Service d'édition.
  15. Sélectionnez À la portée de tous, puis cliquez sur Enregistrer.
Attribuer des privilèges aux utilisateurs
  1. Cliquez Utilisateurs pour revenir au tableau de tous les utilisateurs de vos unités organisationnelles.
  2. Cliquez sur le nom de l'utilisateur que vous souhaitez autoriser à se connecter au système ExtraHop.
  3. Dans le Informations sur l'utilisateur section, cliquez Informations sur l'utilisateur.
  4. Dans la section ExtraHop, cliquez sur niveau d'écriture et saisissez l'un des niveaux de privilège suivants.
    • illimité
    • écriture complète
    • écriture limitée
    • écriture personnelle
    • full_readonly
    • restricted_readonly
    • aucune
    Pour plus d'informations sur les privilèges des utilisateurs, voir Utilisateurs et groupes d'utilisateurs.
  5. Facultatif : Si vous avez ajouté packetslevel attribut ci-dessus, cliquez sur niveau des paquets et saisissez l'un des privilèges suivants.
    • complet
    • entier_avec_écriture
    • aucune
  6. Facultatif : Si vous avez ajouté detectionslevel attribut ci-dessus, cliquez sur niveau de détection et saisissez l'un des privilèges suivants.
    • complet
    • aucune
  7. Cliquez Enregistrer.
Connectez-vous au système ExtraHop
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez Connectez-vous avec <provider name>.
  3. Connectez-vous à votre fournisseur à l'aide de votre adresse e-mail et de votre mot de passe. Vous êtes automatiquement dirigé vers la page d'aperçu d'ExtraHop.

Configuration de l'authentification à distance via RADIUS

Le système ExtraHop prend en charge le service utilisateur RADIUS (Remote Authentication Dial In User Service) pour l'authentification à distance et l'autorisation locale uniquement. Pour l'authentification à distance, le système ExtraHop prend en charge les formats RADIUS non chiffrés et en texte brut.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Authentification à distance.
  3. À partir du méthode dPROCESSAUTHENTIFICATION À DISTANCE liste déroulante, sélectionnez RAYON puis cliquez sur Poursuivre.
  4. Sur le Ajouter un serveur RADIUS page, saisissez les informations suivantes :
    Hôte
    Le nom d'hôte ou l'adresse IP du serveur RADIUS. Assurez-vous que le DNS du système ExtraHop est correctement configuré si vous spécifiez un nom d' hôte.
    Secret
    Le secret partagé entre le système ExtraHop et le serveur RADIUS. Contactez votre administrateur RADIUS pour obtenir le secret partagé.
    Délai d'expiration
    Durée en secondes pendant laquelle le système ExtraHop attend une réponse du serveur RADIUS avant de tenter à nouveau la connexion .
  5. Cliquez Ajouter un serveur.
  6. Facultatif : Ajoutez des serveurs supplémentaires si nécessaire.
  7. Cliquez Enregistrer et terminer.
  8. À partir du Options d'attribution de privilèges dans la liste déroulante, choisissez l'une des options suivantes :
    • Les utilisateurs distants disposent d'un accès complet en écriture

      Cette option accorde aux utilisateurs distants un accès complet en écriture au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session SSL, l'accès au module NDR et l'accès au module NPM.

    • Les utilisateurs distants disposent d'un accès complet en lecture seule

      Cette option accorde aux utilisateurs distants un accès en lecture seule au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session SSL, l'accès au module NDR et l'accès au module NPM.

  9. Facultatif : Configurez l'accès aux paquets et aux clés de session. Sélectionnez l'une des options suivantes pour permettre aux utilisateurs distants de télécharger des captures de paquets et des clés de session SSL.
    • Pas d'accès
    • Tranches de paquets uniquement
    • Paquets uniquement
    • Paquets et clés de session
  10. Facultatif : Configurez l'accès aux modules NDR et NPM.
    • Pas d'accès
    • Accès complet
  11. Cliquez Enregistrer et terminer.
  12. Cliquez Terminé.

Configuration de l'authentification à distance via TACACS+

Le système ExtraHop prend en charge le Terminal Access Controller Access-Control System Plus (TACACS+) pour l'authentification et l'autorisation à distance.

Assurez-vous que chaque utilisateur à autoriser à distance dispose des Service ExtraHop configuré sur le serveur TACACS+ avant de commencer cette procédure.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Authentification à distance.
  3. À partir du méthode d'authentification à distance liste déroulante, sélectionnez TACACS+, puis cliquez sur Poursuivre.
  4. Sur le Ajouter un serveur TACACS+ page, saisissez les informations suivantes :

    Hôte : Le nom d'hôte ou l'adresse IP du serveur TACACS+. Assurez-vous que le DNS du système ExtraHop est correctement configuré si vous entrez un nom d'hôte.

    Secret : Le secret partagé entre le système ExtraHop et le serveur TACACS+ . Contactez votre administrateur TACACS+ pour obtenir le secret partagé.

    Remarque :Le secret ne peut pas inclure le signe numérique (#).

    Délai d'expiration : Durée en secondes pendant laquelle le système ExtraHop attend une réponse du serveur TACACS+ avant de tenter de se reconnecter.

  5. Cliquez Ajouter un serveur.
  6. Facultatif : Ajoutez des serveurs supplémentaires si nécessaire.
  7. Cliquez Enregistrer et terminer.
  8. À partir du Options d'attribution des autorisations dans la liste déroulante, choisissez l'une des options suivantes :
    • Obtenir le niveau de privilèges auprès d'un serveur distant

      Cette option permet aux utilisateurs distants d'obtenir des niveaux de privilèges auprès du serveur distant. Vous devez également configurer les autorisations sur le serveur TACACS+ .

    • Les utilisateurs distants disposent d'un accès complet en écriture

      Cette option accorde aux utilisateurs distants un accès complet en écriture au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session SSL, l'accès au module NDR et l'accès au module NPM.

    • Les utilisateurs distants disposent d'un accès complet en lecture seule

      Cette option accorde aux utilisateurs distants un accès en lecture seule au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session SSL, l'accès au module NDR et l'accès au module NPM.

  9. Facultatif : Configurez l'accès aux paquets et aux clés de session. Sélectionnez l'une des options suivantes pour permettre aux utilisateurs distants de télécharger des captures de paquets et des clés de session SSL.
    • Pas d'accès
    • Tranches de paquets uniquement
    • Paquets uniquement
    • Paquets et clés de session
  10. Facultatif : Configurez l'accès aux modules NDR et NPM.
    • Pas d'accès
    • Accès complet
  11. Cliquez Enregistrer et terminer.
  12. Cliquez Terminé.
Configuration du serveur TACACS+

Outre la configuration de l'authentification à distance sur votre système ExtraHop, vous devez configurer votre serveur TACACS+ avec deux attributs, l'un pour le service ExtraHop et l'autre pour le niveau d'autorisation. Si vous avez un stockage des paquets ExtraHop, vous pouvez éventuellement ajouter un troisième attribut pour la capture des paquets et l'enregistrement des clés de session.

  1. Connectez-vous à votre serveur TACACS+ et accédez au profil shell correspondant à votre configuration ExtraHop.
  2. Pour le premier attribut, ajoutez service.
  3. Pour la première valeur, ajoutez saut supplémentaire.
  4. Pour le deuxième attribut, ajoutez le niveau de privilège, tel que lire/écrire.
  5. Pour la deuxième valeur, ajoutez 1.
    Par exemple, la figure suivante montre extrahop attribut et niveau de privilège de readwrite.
    Voici un tableau des attributs, des valeurs et des descriptions d'autorisation disponibles :
    Attribut Valeur Description
    setup 1 Créez et modifiez tous les objets et paramètres du système ExtraHop et gérez l'accès des utilisateurs
    readwrite 1 Créez et modifiez tous les objets et paramètres du système ExtraHop, à l'exception des paramètres d'administration
    limited 1 Créez, modifiez et partagez des tableaux de bord
    readonly 1 Afficher les objets dans le système ExtraHop
    personal 1 Créez des tableaux de bord personnels pour eux-mêmes et modifiez les tableaux de bord partagés avec eux
    limited_metrics 1 Afficher les tableaux de bord partagés
    ndrfull 1 Afficher, confirmer et masquer les détections de sécurité
    npmfull 1 Afficher, reconnaître et masquer les détections de performances
    packetsfull 1 Afficher et télécharger les paquets stockés sur un magasin de paquets connecté.
    packetslicesonly 1 Affichez et téléchargez des tranches de paquets sur un magasin de paquets connecté.
    packetsfullwithkeys 1 Afficher et télécharger les paquets et les clés de session associées stockés dans un magasin de paquets connecté.
  6. Facultatif : Ajoutez l'attribut suivant pour permettre aux utilisateurs d'afficher, de confirmer et de masquer les détections de sécurité
    Attribut Valeur
    nerfull 1
  7. Facultatif : Ajoutez l'attribut suivant pour permettre aux utilisateurs d'afficher, de confirmer et de masquer les détections de performance qui apparaissent dans le système ExtraHop.
    Attribut Valeur
    npmfull 1
  8. Facultatif : Si vous avez un magasin de paquets ExtraHop, ajoutez un attribut pour permettre aux utilisateurs de télécharger des captures de paquets ou des captures de paquets avec les clés de session associées.
    Attribut Valeur Description
    tranches en paquets uniquement 1 Les utilisateurs, quel que soit leur niveau de privilège, peuvent consulter et télécharger les 64 premiers octets de paquets.
    paquets pleins 1 Les utilisateurs, quel que soit leur niveau de privilège, peuvent consulter et télécharger les paquets stockés dans un magasin de paquets connecté.
    packetslicesonly 1 Affichez et téléchargez des tranches de paquets sur un magasin de paquets connecté.
    paquets remplis de clés 1 Les utilisateurs, quel que soit leur niveau de privilège, peuvent consulter et télécharger les paquets et les clés de session associées stockés dans un magasin de paquets connecté.

Accès à l'API

La page d'accès à l'API vous permet de générer, de visualiser et de gérer l'accès aux clés d'API requises pour effectuer des opérations via l'API REST ExtraHop.

Gérer l'accès aux clés d'API

Les utilisateurs disposant de privilèges d'administration du système et des accès peuvent configurer s'ils peuvent générer des clés d'API pour le système ExtraHop. Vous pouvez autoriser uniquement les utilisateurs locaux à générer des clés, ou vous pouvez également désactiver complètement la génération de clés d'API.

Les utilisateurs doivent générer une clé d'API avant de pouvoir effectuer des opérations via l'API REST ExtraHop. Les clés ne peuvent être consultées que par l'utilisateur qui les a générées ou par les administrateurs système dotés de privilèges illimités. Une fois qu'un utilisateur a généré une clé d'API, il doit l'ajouter à ses en-têtes de demande.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Accès à l'API.
  3. Dans le Gérer l'accès aux API section, sélectionnez l'une des options suivantes :
    • Autoriser tous les utilisateurs à générer une clé d'API: Les utilisateurs locaux et distants peuvent générer des clés d'API.
    • Seuls les utilisateurs locaux peuvent générer une clé d'API: Les utilisateurs distants ne peuvent pas générer de clés d'API.
    • Aucun utilisateur ne peut générer de clé d'API: aucune clé d'API ne peut être générée par aucun utilisateur.
  4. Cliquez Enregistrer les paramètres.

Configurer le partage de ressources entre origines (CORS)

Partage de ressources entre origines (CORS) vous permet d'accéder à l'API REST ExtraHop au-delà des limites du domaine et à partir de pages Web spécifiées sans que la demande passe par un serveur proxy.

Vous pouvez configurer une ou plusieurs origines autorisées ou autoriser l'accès à l'API REST ExtraHop depuis n'importe quelle origine. Seuls les utilisateurs disposant de privilèges d'administration du système et de l'accès peuvent consulter et modifier les paramètres CORS.
  1. Dans le Paramètres d'accès section, cliquez sur Accès à l'API.
  2. Dans le Paramètres CORS section, spécifiez l'une des configurations d'accès suivantes.
    • Pour ajouter une URL spécifique, saisissez une URL d'origine dans la zone de texte, puis cliquez sur l'icône plus (+) ou appuyez sur ENTER.

      L'URL doit inclure un schéma, tel que HTTP ou HTTPS, et le nom de domaine exact. Vous ne pouvez pas ajouter de chemin, mais vous pouvez fournir un numéro de port.

    • Pour autoriser l'accès depuis n'importe quelle URL, sélectionnez Autoriser les requêtes d'API depuis n'importe quelle origine case à cocher.
      Remarque :Autoriser l'accès à l'API REST depuis n'importe quelle origine est moins sûr que de fournir une liste d' origines explicites.
  3. Cliquez Enregistrer les paramètres puis cliquez sur Terminé.

Génération d'une clé d'API

Vous devez générer une clé d'API avant de pouvoir effectuer des opérations via l' API REST ExtraHop. Les clés ne peuvent être consultées que par l'utilisateur qui les a générées ou par les utilisateurs disposant de privilèges d'administration du système et d'accès. Après avoir généré une clé d'API, ajoutez-la à vos en-têtes de demande ou à l'explorateur d'API REST ExtraHop.

Before you begin

Assurez-vous que le système ExtraHop est configuré pour permettre la génération de clés d'API.
  1. Dans le Paramètres d'accès section, cliquez Accès à l'API.
  2. Dans le Générer une clé d'API section, tapez une description pour la nouvelle clé, puis cliquez sur Générer.
  3. Faites défiler la page jusqu'à la section Clés d'API et copiez la clé d'API correspondant à votre description.
Vous pouvez coller la clé dans l'explorateur d'API REST ou l'ajouter à un en-tête de demande.

Niveaux de privilèges

Les niveaux de privilèges utilisateur déterminent les tâches système et d'administration ExtraHop que l'utilisateur peut effectuer via l'API REST ExtraHop.

Vous pouvez consulter les niveaux de privilèges des utilisateurs via granted_roles et effective_roles propriétés. Le granted_roles La propriété vous indique quels niveaux de privilèges sont explicitement accordés à l'utilisateur. Le effective_roles La propriété affiche tous les niveaux de privilèges d'un utilisateur, y compris ceux reçus en dehors du rôle accordé, par exemple via un groupe d'utilisateurs.

Le granted_roles et effective_roles les propriétés sont renvoyées par les opérations suivantes :

  • GET /utilisateurs
  • GET /users/ {nom d'utilisateur}

Le granted_roles et effective_roles les propriétés prennent en charge les niveaux de privilèges suivants. Notez que le type de tâches pour chaque système ExtraHop varie en fonction de la disponibilité ressources répertoriés dans l'explorateur d'API REST et dépendent des modules activés sur le système et des privilèges d'accès aux modules utilisateur.

Niveau de privilège Actions autorisées
« système » : « complet »
  • Activez ou désactivez la génération de clés API pour le système ExtraHop.
  • Générez une clé API.
  • Consultez les quatre derniers chiffres et la description de chaque clé API du système.
  • Supprimez les clés d'API de n'importe quel utilisateur.
  • Afficher et modifier le partage de ressources entre origines.
  • Effectuez toutes les tâches d'administration disponibles via l'API REST.
  • Effectuez n'importe quelle tâche système ExtraHop disponible via l'API REST.
« write » : « complet »
  • Générez votre propre clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez n'importe quelle tâche système ExtraHop disponible via l'API REST.
« write » : « limité »
  • Générez une clé API.
  • Afficher ou supprimer leur propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez toutes les opérations GET via l'API REST.
  • Effectuez des requêtes métriques et d'enregistrement.
« write » : « personnel »
  • Générez une clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez toutes les opérations GET via l'API REST.
  • Effectuez des requêtes métriques et d'enregistrement.
« metrics » : « complet »
  • Générez une clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez des requêtes métriques et d'enregistrement.
« metrics » : « restreint »
  • Générez une clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
« ndr » : « complet »
  • Afficher les détections de sécurité
  • Afficher et créer des enquêtes

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« ndr » : « aucun »
  • Pas d'accès au contenu du module NDR

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« npm » : « complet »
  • Afficher les détections de performances
  • Afficher et créer des tableaux de bord
  • Afficher et créer des alertes

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« npm » : « aucun »
  • Aucun accès au contenu du module NPM

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« paquets » : « pleins »
  • Consultez et téléchargez des paquets via GET /packets/search et POST /packets/search opérations.

Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« paquets » : « full_with_keys »
  • Consultez et téléchargez les paquets et les clés de session via GET /packets/search et POST /packets/search opérations.

Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« packets » : « slices_only »
  • Consultez et téléchargez les 64 premiers octets de paquets via GET /packets/search et POST /packets/search opérations.

Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »

Configuration du système

Dans le Configuration du système section, vous pouvez modifier les paramètres suivants.

Capturez
Configurez les paramètres de capture réseau. (Capteurs uniquement)
Banque de données
Configurez une banque de données étendue ou réinitialisez la banque de données locale. (Capteurs uniquement)
Dénomination des appareils
Configurez l'ordre de priorité lorsque plusieurs noms sont trouvés pour un équipement.
Sources inactives
Supprimez les appareils et les applications qui sont restés inactifs entre 1 et 90 jours des résultats de recherche.
Suivi de la détection
Choisissez si vous souhaitez suivre les enquêtes de détection à l'aide du système ExtraHop ou à partir d'un système de billetterie externe.
Recherche de terminaux
Configurez des liens vers un outil de recherche d'adresse IP externe pour les points de terminaison du système ExtraHop .
Source de données Geomap
Modifiez les informations dans les géolocalisations cartographiées.
Flux de données ouverts
Envoyez les données du journal à un système tiers, tel qu'un système Syslog, une base de données MongoDB ou un serveur HTTP. (Capteurs uniquement)
Tendances
Réinitialisez toutes les tendances et les alertes basées sur les tendances. (Capteurs uniquement).
Sauvegarde et restauration
Créez, consultez ou restaurez des sauvegardes du système.

Capture

La page Capture fournit des commandes permettant d'ajuster la manière dont le système ExtraHop collecte le trafic de votre réseau à des fins d'analyse.

Exclure les modules de protocole

Par défaut, tous les modules pris en charge sur le système ExtraHop sont inclus dans la capture, sauf si vous les excluez manuellement.

  1. Cliquez Configuration du système > Capturez.
  2. Cliquez Modules de protocole exclus.
  3. Ajouter Module à exclure.
  4. Sur le Sélectionnez le module de protocole à exclure page, à partir de Nom du module menu déroulant, sélectionnez le module que vous souhaitez exclure de la capture.
  5. Cliquez Ajouter.
  6. Sur le Modules de protocole exclus page, cliquez sur Redémarrer Capture.
  7. Une fois la capture redémarrée, cliquez sur OK..
Pour réinclure le module, cliquez sur la croix rouge pour le supprimer de la liste des modules actuellement exclus.

Exclure les adresses MAC

Ajoutez des filtres pour exclure des adresses MAC spécifiques ou le trafic des équipements du fournisseur de la capture réseau

  1. Dans le Configuration du système section, cliquez sur Capturez.
  2. Cliquez Filtres d'adresses MAC.
  3. Cliquez Ajouter un filtre.
  4. Dans le Adresse MAC dans le champ, saisissez l'adresse MAC à exclure.
  5. Dans le masque champ, tapez le masque pour indiquer le nombre de bits, de gauche à droite, que le filtre vérifie par rapport à l'adresse MAC.
  6. Cliquez Ajouter.
    Dans l'exemple suivant, l'adresse MAC complète est exclue de la capture :

    Adresse MAC: 60:98:2 D:B1:EC:42

    masque: FF:FF:FF:FF:FF:FF

    Dans cet exemple, seuls les 24 premiers bits sont évalués en vue de leur exclusion :

    Adresse MAC: 60:98:2 D:B1:EC:42

    masque: FF:FF:FF : 00:00:00

Pour réinclure une adresse MAC, cliquez sur Supprimer pour supprimer l' adresse de la liste.

Exclure une adresse IP ou une plage

Ajoutez des filtres pour exclure des adresses IP et des plages IP spécifiques de la capture réseau sur le système ExtraHop.

  1. Cliquez Configuration du système > Capturez.
  2. Cliquez Filtres d'adresses IP.
  3. Cliquez Ajouter un filtre.
  4. Sur le Filtres d'adresses IP page, entrez soit une adresse IP unique que vous souhaitez exclure, soit un masque d'adresse IP au format CIDR pour une plage d'adresses IP que vous souhaitez exclure.
  5. Cliquez Ajouter.
Pour réinclure une adresse IP ou une plage, cliquez sur Supprimer à côté du filtre pour chaque adresse.

Exclure un port

Ajoutez des filtres pour exclure le trafic provenant de ports spécifiques de la capture réseau sur le système ExtraHop.

  1. Dans le Configuration du système section, cliquez sur Capturez.
  2. Cliquez Filtres de port.
  3. Cliquez Ajouter un filtre.
  4. Sur le Ajouter un filtre de port page, saisissez le port que vous souhaitez exclure.
    • Pour spécifier un port source que vous souhaitez exclure, saisissez le numéro de port dans le Port source champ.
    • Pour spécifier le port de destination que vous souhaitez exclure, saisissez le numéro de port dans le Port de destination champ.
  5. À partir du Protocole IP dans la liste déroulante, sélectionnez le protocole que vous souhaitez exclure sur le port indiqué.
  6. Cliquez Ajouter.
Pour réinclure un port, cliquez sur Supprimer à côté du port.

Filtrage et déduplication

Reportez-vous au tableau suivant pour voir les effets du filtrage et de la déduplication sur les métriques, la capture de paquets et découverte des équipements. La déduplication est activée par défaut sur le système.

Paquet déposé par Filtre d'adresse MAC filtre d'adresse IP Filtre de port Dédoupage L2 Dédoublage L3
Métriques L2 du réseau VLAN Non collecté Non collecté Non fragmenté* : Non collecté

Fragmenté : collecté

Non collecté Recueilli
Métriques du réseau VLAN L3 Non collecté Non collecté Non fragmenté : Non collecté

Fragmenté : collecté

Non collecté Recueilli
Métriques L2/L3 de l'appareil Non collecté Non collecté Non fragmenté : Non collecté

Fragmenté, niveau supérieur : collecté

Fragmenté, détail : Non collecté

Non collecté Recueilli
Paquets PCAP globaux Capturé Capturé Capturé Capturé Capturé
Paquets PCAP de précision Non capturé Non capturé Non capturé Non capturé Capturé
Découverte des appareils L2 Aucune découverte Découverte Découverte -- --
Découverte des appareils L3 Aucune découverte Aucune découverte Non fragmenté : aucune découverte

Fragmenté : Découverte

-- --

*Pour les filtres de port, lorsque des fragments IP sont présents dans le flux de données, aucun numéro de port n'est déterminé lors du réassemblage des fragments. Le système ExtraHop peut collecter des métriques, capturer des paquets ou découvrir un équipement même si la règle de filtrage des ports l'interdit autrement.

Les doublons L2 sont des trames Ethernet identiques. Les trames dupliquées n'existent généralement pas sur le fil, mais sont un artefact de la configuration du flux de données. Les doublons L3 sont des trames qui ne diffèrent que par l'en-tête L2 et le TTL IP. Ces trames sont généralement le résultat d'un tapotement des deux côtés d'un routeur. Comme ces trames existent sur le réseau surveillé, elles sont comptées en L2 et L3 aux emplacements référencés ci-dessus. La déduplication L3 est ciblée sur les niveaux L4 et supérieurs, par exemple, pour éviter de considérer les doublons L3 comme des retransmissions TCP.

Classification des protocoles

La classification des protocoles repose sur des charges utiles spécifiques pour identifier les protocoles personnalisés sur des ports spécifiques. Ces protocoles sont des protocoles de couche 7 (couche application) situés au-dessus du protocole de couche 4 (TCP ou UDP). Ces applications ont leur propre protocole personnalisé et utilisent également le protocole TCP.

Le Classification des protocoles Cette page fournit une interface permettant d'exécuter les fonctions suivantes :

  • Répertoriez les applications et les ports pour les entités réseau suivantes :
    • Applications largement connues mappées à des ports non standard.
    • Applications réseau personnalisées et moins connues.
    • Applications anonymes avec trafic TCP et UDP (par exemple, TCP 1234).
  • Ajoutez un mappage protocole-application personnalisé qui inclut les informations suivantes :
    Nom
    Le nom du protocole spécifié par l'utilisateur.
    Protocole
    Le protocole de couche 4 sélectionné (TCP ou UDP).
    La source
    (Facultatif) Le port source spécifié. Le port 0 indique n'importe quel port source.
    Destination
    Port de destination ou plage de ports.
    Initiation souple
    Cochez cette case si vous souhaitez que le classificateur tente de classer la connexion sans la voir ouverte. ExtraHop recommande de sélectionner une initiation souple pour les flux de longue durée.

    Par défaut, le système ExtraHop utilise une classification des protocoles mal initiée, il tente donc de classer flux même après l' établissement de la connexion. Vous pouvez désactiver l'initiation automatique pour les ports qui ne transportent pas toujours le trafic du protocole (par exemple, le port générique 0).

  • Supprimez de la liste les protocoles portant le nom d'application et le mappage de port sélectionnés.

    Le nom et le port de l'application ne s'affichent pas dans le système ExtraHop ni dans les rapports basés sur toute capture de données future. L'équipement apparaîtra dans les rapports contenant des données historiques, s'il était actif et détectable au cours de la période indiquée.

  • Redémarrez la capture réseau.
    • Vous devez redémarrer la capture réseau avant que les modifications de classification du protocole ne prennent effet.
    • Les données de capture précédemment collectées sont préservées.

Le système ExtraHop reconnaît la plupart des protocoles sur leurs ports standard, à quelques exceptions près. Dans l'édition Performance, les protocoles suivants sont reconnus sur tous les ports :

  • AJP
  • DTLS
  • FIX
  • HTTP
  • HTTP2
  • IIOP
  • Java RMI
  • LDAP
  • RPC
  • SSH
  • SLL

Sur Reveal (x) 360, les protocoles suivants sont reconnus sur tous les ports :

  • ethminer
  • modèle getblock
  • RDP
  • RFB
  • Strate
  • LDAP
  • Java RMI
  • IIOP

Dans certains cas, si un protocole communique via un port non standard, il est nécessaire d'ajouter le port non standard sur la page Classification des protocoles. Dans ces cas, il est important de nommer correctement le port non standard. Le tableau ci-dessous répertorie les ports standard pour chacun des protocoles, ainsi que le nom du protocole qui doit être spécifié lors de l'ajout des numéros de port personnalisés sur la page Classification des protocoles.

Dans la plupart des cas, le nom que vous entrez est le même que le nom du protocole. Les exceptions les plus courantes à cette règle sont Oracle (où le nom du protocole est TNS) et Microsoft SQL (où le nom du protocole est TDS).

Si vous ajoutez un nom de protocole comportant plusieurs ports de destination, ajoutez la plage de ports complète séparée par un tiret (-). Par exemple, si votre protocole nécessite l'ajout des ports 1434, 1467 et 1489 pour le trafic de base de données, tapez 1434-1489 dans le Port de destination champ. Vous pouvez également ajouter chacun des trois ports dans trois classifications de protocole distinctes portant le même nom.

Nom canonique Nom du protocole Transport Port source par défaut Port de destination par défaut
ActiveMQ ActiveMQ TCP 0 61616
AJP AJP TCP 0 8009
CIFS CIFS TCP 0 139, 445
DB2 DB2 TCP 0 50000, 60000
DHCP DHCP TCP 68 67
Diamètre AAA TCP 0 3868
DICOM DICOM TCP 0 3868
DNS DNS TCP, UDP 0 53
FIX FIX TCP 0 0
FTP FTP TCP 0 21
DONNÉES FTP DONNÉES FTP TCP 0 20
HL7 HL7 TCP, UDP 0 2575
HTTPS HTTPS TCP 0 443
IBM MQ IBMMQ TCP, UDP 0 1414
ICA ICA TCP 0 1494, 2598
IKE IKE UDP 0 500
IMAP IMAP TCP 0 143
IMAPS IMAPS TCP 0 993
Informix Informix TCP 0 1526, 1585
IPSEC IPSEC TCP, UDP 0 1293
IPX IPX TCP, UDP 0 213
IRC IRC TCP 0 6660-6669
ISAKMP ISAKMP UDP 0 500
iSCSI iSCSI TCP 0 3260
Kerberos Kerberos TCP, UDP 0 88
LDAP LDAP TCP 0 389, 390, 3268
LLDP LLDP Niveau du lien S.O. S.O.
L2TP L2TP UDP 0 1701
Memcache Memcache TCP 0 11210, 11211
Modbus Modbus TCP 0 502
MongoDB MongoDB TCP 0 27017
Serveur MS SQL TDS TCP 0 1433
MSMQ MSMQ TCP 0 1801
MSRPC MSRPC TCP 0 135
MySQL MySQL TCP 0 3306
NetFlow NetFlow UDP 0 2055
NFS NFS TCP 0 2049
NFS NFS UDP 0 2049
NTP NTP UDP 0 123
OpenVPN OpenVPN UDP 0 1194
Oracle TNS TCP 0 1521
PCoIP PCoIP UDP 0 4172
POP3 POP3 TCP 0 143
POP3S POP3S TCP 0 995
PostgreSQL PostgreSQL TCP 0 5432
RAYON AAA TCP 0 1812, 1813
RAYON AAA UDP 0 1645, 1646, 1812, 1813
RDP RDP TCP 0 3389
Redis Redis TCP 0 6397
RFB RFB TCP 0 5900
SCCP SCCP TCP 0 2000
SIP SIP TCP 0 5060, 5061
SMPP SMPP TCP 0 2775
SMTP SMTP TCP 0 25
SNMP SNMP UDP 0 162
SSH SSH TCP 0 0
SLL SLL TCP 0 443
Sybase Sybase TCP 0 10200
Sybase IQ Sybase IQ TCP 0 2638
Syslog Syslog UDP 0 514
Telnet Telnet TCP 0 23
VNC VNC TCP 0 5900
WebSocket WebSocket TCP 0 80, 443
Optimisation de la diffusion de Windows Update Optimisation de la diffusion de Windows Update TCP 0 7860

Le nom spécifié dans la colonne Nom du protocole du tableau apparaît sur la page Classification des protocoles pour classer un protocole courant qui communique via des ports non standard.

Les protocoles du système ExtraHop qui ne figurent pas dans ce tableau sont les suivants :

HTTP
Le système ExtraHop classe le protocole HTTP sur tous les ports.
HTTP-AMF
Ce protocole s'exécute au-dessus du protocole HTTP et est automatiquement classé.

Les protocoles de ce tableau qui n'apparaissent pas dans le système ExtraHop sont les suivants :

DONNÉES FTP
Le système ExtraHop ne gère pas les données FTP-DATA sur les ports non standard.
LLDP
Comme il s'agit d'un protocole au niveau des liens, la classification basée sur les ports ne s'applique pas.
Ajouter une classification de protocole personnalisée

La procédure suivante décrit comment ajouter un élément personnalisé. protocole étiquettes de classification avec le protocole TDS (MS SQL Server) à titre d' exemple.

Par défaut, le système ExtraHop recherche le trafic TDS sur le port TCP 1533. Pour ajouter l'analyse TDS de MS SQL Server sur un autre port, procédez comme suit.

  1. Dans le Configuration du système section, cliquez Capture.
  2. Cliquez Classification des protocoles.
  3. Cliquez Ajouter un protocole.
  4. Sur le Classification des protocoles page, entrez les informations suivantes :
    Nom
    Dans le menu déroulant, sélectionnez Ajouter une étiquette personnalisée....
    Nom
    Entrez TDS pour le nom du protocole personnalisé.
    Protocole
    Dans le menu déroulant, sélectionnez un protocole L4 à associer au protocole personnalisé (TCP dans cet exemple).
    La source
    Le port source du protocole personnalisé. (La valeur par défaut de 0 indique n'importe quel port source.)
    Destination
    Port de destination pour le protocole personnalisé. Pour spécifier une plage de ports, placez un trait d'union entre le premier et le dernier port de la plage. Par exemple, 3400-4400.
    Initiation souple
    Cochez cette case si vous souhaitez que le classificateur tente de classer la connexion sans la voir ouverte. ExtraHop recommande de sélectionner une initiation souple pour les flux de longue durée .

    Par défaut, le système ExtraHop utilise une classification des protocoles mal initiée, il tente donc de classer flux même après l' établissement de la connexion. Vous pouvez désactiver l'initiation automatique pour les ports qui ne transportent pas toujours le trafic du protocole ( par exemple, le port générique 0).

  5. Cliquez Ajouter.
  6. Confirmez le changement de paramètre, puis cliquez sur Redémarrer la capture pour que la modification prenne effet. Cela interrompra brièvement la collecte de données.
  7. Après le redémarrage de la capture, un message de confirmation apparaît. Cliquez Terminé.
  8. Cette modification a été appliquée à la configuration en cours d'exécution. Lorsque vous enregistrez la modification apportée à la configuration en cours, elle sera réappliquée au redémarrage du système ExtraHop. Cliquez Afficher et enregistrer les modifications en haut de l' écran.
  9. Cliquez Enregistrer pour écrire la modification de la configuration par défaut.
  10. Une fois la configuration enregistrée, un message de confirmation apparaît. Cliquez Terminé.
Base de données les statistiques apparaissent désormais pour tous les appareils exécutant le TDS sur le port ajouté (dans cet exemple, 65000). Ce paramètre est appliqué à l'ensemble de la capture, il n'est donc pas nécessaire de l'ajouter par appareil.

Configurer Device Discovery

Le système ExtraHop peut découvrir et suivre les appareils par leur adresse MAC (L2 Discovery) ou par leur adresse IP (L3 Discovery). L2 Discovery offre l'avantage de suivre les métriques d'un équipement même si l'adresse IP est modifiée ou réattribuée par le biais d'une requête DHCP. Le système peut également détecter automatiquement les clients VPN.

Before you begin

Découvrez comment découverte d'équipements et Découverte de la L2 fonctionne dans le système ExtraHop. La modification de ces paramètres affecte la manière dont les métriques sont associées aux appareils.
Remarque :Les courtiers en paquets peuvent filtrer les demandes ARP. Le système ExtraHop s'appuie sur les requêtes ARP pour associer les adresses IP L3 aux adresses MAC L2.
Découvrez les appareils locaux

Si vous activez L3 Discovery, les appareils locaux sont suivis par leur adresse IP. Le système crée une entrée parent L2 pour l'adresse MAC et une entrée enfant L3 pour l'adresse IP. Au fil du temps, si l'adresse IP d'un équipement change, il est possible que vous ne voyiez qu'une seule entrée pour un parent L2 avec une adresse MAC avec plusieurs entrées enfant L3 avec des adresses IP différentes.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capture.
  3. Cliquez Découverte des appareils.
  4. Dans le Découverte des appareils locaux section, sélectionnez l'une des options suivantes :
    • Sélectionnez le Activer la découverte des équipements locaux case à cocher pour activer L3 Discovery.
    • Effacez le Activer la découverte des équipements locaux case à cocher pour activer L2 Discovery.
  5. Cliquez Enregistrer.
Découvrez les appareils distants par adresse IP

Vous pouvez configurer le système ExtraHop pour détecter automatiquement les appareils sur les sous-réseaux distants en ajoutant une plage d'adresses IP.

Remarque : Si votre système ExtraHop est configuré pour L2 Discovery et que vos appareils distants demandent des adresses IP via un agent de relais DHCP, vous pouvez suivre les appareils par leur adresse MAC et vous n'avez pas besoin de configurer Remote L3 Discovery. En savoir plus sur découverte d'équipements.
Considérations importantes concernant Remote L3 Discovery :
  • Les informations L2, telles que l'adresse MAC de l'équipement et le trafic L2, ne sont pas disponibles si l' équipement se trouve sur un réseau différent de celui surveillé par le système ExtraHop. Ces informations ne sont pas transmises par les routeurs et ne sont donc pas visibles par le système ExtraHop.
  • Soyez prudent lorsque vous spécifiez la notation CIDR. Un préfixe de sous-réseau /24 peut entraîner la découverte de 255 nouveaux appareils par le système ExtraHop. Un préfixe de sous-réseau /16 étendu peut entraîner la découverte de 65 535 nouveaux appareils, ce qui peut dépasser votre limite d'équipements.
  • Si une adresse IP est supprimée des paramètres Remote L3 Device Discovery, elle restera dans le système ExtraHop en tant qu'équipement L3 distant tant qu'il existe des flux actifs pour cette adresse IP ou jusqu'à ce que la capture soit redémarrée. Après un redémarrage, l'équipement est répertorié comme un équipement L3 distant inactif.

    Si la même adresse IP est ajoutée ultérieurement via le flux de données local, cet équipement L3 distant peut passer à un équipement L3 local, mais uniquement si le processus de capture est redémarré et que le paramètre Local Device Discovery est activé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capture.
  3. Cliquez Découverte des appareils.
  4. Dans la section Remote Device Discovery, tapez l'adresse IP dans le plages d'adresses IP champ. Vous pouvez spécifier une adresse IP ou une notation CIDR, telle que 192.168.0.0/24 pour un réseau IPv4 ou 2001:db8::/32 pour un réseau IPv6.
    Important :Chaque adresse IP distante communiquant activement qui correspond au bloc CIDR sera découverte en tant qu'équipement unique dans le système ExtraHop . La spécification de préfixes de sous-réseau étendus tels que /16 peut entraîner la découverte de milliers de périphériques, ce qui peut dépasser la limite de votre équipement.
  5. Cliquez sur l'icône verte représentant un plus (+) pour ajouter l'adresse IP. Vous pouvez ajouter une autre adresse IP ou une autre plage d'adresses IP en répétant les étapes 5 et 6.
Important :Le processus de capture doit être redémarré lors de la suppression de plages d'adresses IP avant que les modifications ne prennent effet. Nous vous recommandons de supprimer toutes les entrées avant de redémarrer le processus de capture. Il n'est pas nécessaire de redémarrer le processus de capture lors de l'ajout de plages d'adresses IP.
Découvrez les clients VPN

Activez la découverte des adresses IP internes associées aux appareils clients VPN.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capture.
  3. Cliquez Découverte des appareils.
  4. Dans le Découverte du client VPN section, sélectionnez l'une des options suivantes :
    • Sélectionnez le Activer la découverte des clients VPN case à cocher pour activer la découverte des clients VPN.
    • Effacez le Activer la découverte des clients VPN case à cocher pour désactiver la découverte des clients VPN.
  5. Cliquez Enregistrer.

Décryptage SSL

Le système ExtraHop prend en charge le décryptage en temps réel du trafic SSL à des fins d'analyse. Avant que le système puisse déchiffrer votre trafic, vous devez configurer le transfert des clés de session ou télécharger un certificat de serveur SSL et une clé privée. Le certificat du serveur et les clés privées sont téléchargés via une connexion HTTPS depuis un navigateur Web vers le système ExtraHop.

Remarque :Le trafic de votre serveur doit être crypté via l'un des ces suites de chiffrement prises en charge.
Aide sur cette page
Remarque :Le déchiffrement SSL nécessite une licence. Toutefois, si vous possédez une licence pour MS SQL, vous pouvez également télécharger un certificat SSL pour déchiffrer le trafic MS SQL à partir de ces paramètres.
Téléchargez un certificat PEM et une clé privée RSA
Conseil :Vous pouvez exporter une clé protégée par mot de passe à ajouter à votre système ExtraHop en exécutant la commande suivante sur un programme tel qu'OpenSSL :
openssl rsa -in yourcert.pem -out new.key
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capturez.
  3. Cliquez Déchiffrement SSL.
  4. Dans le Déchiffrement par clé privée section, cochez la case pour Exiger des clés privées.
  5. Cliquez Enregistrer.
  6. Dans la section Clés privées, cliquez sur Ajouter des clés.
  7. Dans le Ajouter un certificat PEM et une clé privée RSA section, entrez les informations suivantes :
    Nom
    Nom descriptif permettant d'identifier ce certificat et cette clé.
    Activé
    Décochez cette case si vous souhaitez désactiver ce certificat SSL.
    Certificat
    Le certificat de clé publique.
    Clé privée
    La clé privée RSA.
  8. Cliquez Ajouter.

Que faire ensuite

Ajoutez les protocoles chiffrés vous souhaitez déchiffrer avec ce certificat.
Téléchargez un fichier PKCS #12 /PFX

Les fichiers PKCS #12 /PFX sont archivés dans un conteneur sécurisé sur le système ExtraHop et contiennent des paires de clés publiques et privées, accessibles uniquement par mot de passe.

Conseil :Pour exporter des clés privées d'un KeyStore Java vers un fichier PKCS #12, exécutez la commande suivante sur votre serveur, où javakeystore.jks est le chemin de votre KeyStore Java :
keytool -importkeystore -srckeystore javakeystore.jks -destkeystore 
pkcs.p12 -srcstoretype jks -deststoretype pkcs12
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans le Décryptage par clé privée section, cochez la case pour Exiger des clés privées.
  5. Cliquez Enregistrer.
  6. Dans le Clés privées section, cliquez sur Ajouter des clés.
  7. Dans le Ajouter un fichier PKCS #12 /PFX avec mot de passe section, entrez les informations suivantes :
    Descriptif
    Nom descriptif permettant d'identifier ce certificat et cette clé.
    Activé
    Décochez cette case pour désactiver ce certificat SSL.
  8. À côté du fichier PKCS #12 /PFX, cliquez sur Choisissez un fichier.
  9. Accédez au fichier et sélectionnez-le, puis cliquez sur Ouvrir.
  10. Dans le champ Mot de passe, saisissez le mot de passe du fichier PKCS #12 /PFX.
  11. Cliquez Ajouter.
  12. Cliquez OK..

Que faire ensuite

Ajoutez les protocoles chiffrés vous souhaitez déchiffrer avec ce certificat.
Ajouter des protocoles chiffrés

Vous devez ajouter chaque protocole que vous souhaitez déchiffrer pour chaque certificat téléchargé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capture.
  3. Cliquez Déchiffrement SSL.
  4. Dans le Mappage du protocole au port par clé section, cliquez Ajouter un protocole.
  5. Sur le Ajouter un protocole crypté page, entrez les informations suivantes :
    Protocole
    Dans la liste déroulante, sélectionnez le protocole que vous souhaitez déchiffrer.
    Clé
    Dans la liste déroulante, sélectionnez une clé privée téléchargée.
    Port
    Entrez le port source du protocole. Par défaut, cette valeur est définie sur 443, ce qui indique le trafic HTTP. Spécifiez 0 pour déchiffrer tout le trafic du protocole.
  6. Cliquez Ajouter.
Ajouter un port global au mappage de protocoles

Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans la section Déchiffrement par clé privée, désactivez le Exiger des clés privées case à cocher.
  5. Dans la section Mappage global du protocole au port, cliquez sur Ajouter un protocole mondial.
  6. Dans la liste déroulante Protocole, sélectionnez le protocole pour le trafic que vous souhaitez déchiffrer.
  7. Dans le champ Port, saisissez le numéro du port. Tapez 0 pour ajouter tous les ports.
  8. Cliquez Ajouter.
Installez le redirecteur de clé de session ExtraHop sur un serveur Windows

Le Perfect Forward Secrecy (PFS) est une propriété des protocoles de communication sécurisés qui permet des échanges de clés de session totalement privés à court terme entre les clients et les serveurs. ExtraHop propose un logiciel de transfert de clés de session qui peut envoyer des clés de session au système ExtraHop pour le déchiffrement SSL/TLS. Communication entre le transitaire de clés et sonde est chiffré avec TLS 1.2 ou TLS 1.3, et il n'y a aucune limite au nombre de clés de session que le système ExtraHop peut recevoir.

Vous devez configurer le système ExtraHop pour le transfert de clés de session, puis installer le logiciel du redirecteur sur Fenêtres et Linux serveurs dont le trafic SSL/TLS doit être déchiffré.

Avant de commencer
  • Lisez à propos de Décryptage SSL/TLS et consultez la liste des suites de chiffrement prises en charge.
  • Assurez-vous que le système ExtraHop possède une licence pour le déchiffrement SSL et les secrets partagés SSL.
  • Assurez-vous que votre environnement de serveur est pris en charge par le logiciel de transfert de clés de session ExtraHop :
    • Package de sécurité Microsoft Secure Channel (Schannel)
    • Java SSL/TLS (versions Java 8 à 17). N'effectuez pas de mise à niveau vers cette version du redirecteur de clé de session si vous surveillez actuellement des environnements Java 6 ou Java 7. La version 7.9 du redirecteur de clé de session prend en charge Java 6 et Java 7 et est compatible avec le dernier firmware ExtraHop.
    • Bibliothèques OpenSSL (1.0.x et 1.1.x) liées dynamiquement. OpenSSL est uniquement pris en charge sur les systèmes Linux dotés des versions de noyau 4.4 et ultérieures et RHEL 7.6 et versions ultérieures.
  • Assurez-vous que le serveur sur lequel vous installez le redirecteur de clé de session fait confiance au certificat SSL de l'ExtraHop sonde.
  • Assurez-vous que vos règles de pare-feu autorisent le serveur surveillé à établir des connexions au port TCP 4873 de la sonde.
Important :Le système ExtraHop ne peut pas déchiffrer le trafic TDS chiffré par TLS via le transfert de clé de session. Au lieu de cela, vous pouvez télécharger un RSA clé privée.
  • Installez le redirecteur de clé de session sur un ou plusieurs serveurs Windows 2016 ou Windows 2019 qui exécutent des services SSL avec l'infrastructure SSL Windows native. OpenSSL sous Windows n'est actuellement pas pris en charge.
Important :Après avoir installé le logiciel de transfert de clé de session, les applications qui incluent des fonctionnalités SSL, telles que les agents EDR et les applications du Windows Store, peuvent ne pas fonctionner correctement.

Validez la compatibilité du redirecteur de clé de session dans votre environnement de test Windows avant de le déployer dans votre environnement de production.

Déchiffrement du trafic des applications Windows

Le trafic des applications Microsoft suivant peut être déchiffré à l'aide du redirecteur de clé de session.

  • Microsoft IIS
  • Microsoft PowerShell
  • Microsoft SQL Server
Installez le logiciel à l'aide de l'assistant d'installation
  1. Connectez-vous au serveur Windows.
  2. Télécharger la dernière version du logiciel de transfert de clés de session.
  3. Double-cliquez sur ExtraHopSessionKeyForwarder.exe fichier et cliquez Suivant.
  4. Si le système vous invite à autoriser l'exécution du programme d'installation avec des privilèges d'administrateur, cliquez sur OK..
  5. Cochez la case pour accepter les termes du contrat de licence, puis cliquez sur Suivant.
  6. Entrez le nom d'hôte ou l'adresse IP du sonde où vous souhaitez transférer les clés de session.
    Remarque :Vous pouvez transmettre les clés de session à plusieurs sondes en saisissant des noms d'hôtes séparés par des virgules. Par exemple :
    packet-sensor.example.com,ids-sensor.example.com
  7. Facultatif : Sélectionnez le Options avancées case à cocher. Acceptez la valeur de port d' écoute TCP par défaut de 598 (recommandé), ou saisissez une valeur de port personnalisée.
  8. Cliquez Installez.
  9. Lorsque l'installation est terminée, cliquez sur Terminer.
Option d'installation par ligne de commande

Les étapes suivantes vous indiquent comment installer le redirecteur de clé de session à partir d'une invite de commande Windows ou de Windows PowerShell.

  1. Connectez-vous au serveur Windows.
  2. Télécharger la dernière version du logiciel de transfert de clés de session.
  3. Exécutez la commande suivante :
    ExtraHopSessionKeyForwarderSetup.exe -q EDA_HOSTNAME="<hostname or IP address of sensor>"
    Remarque :Le -q L'option installe le redirecteur en mode non interactif, ce qui ne demande pas de confirmation. Vous pouvez omettre le -q option pour installer le redirecteur en mode interactif.
    Remarque :Vous pouvez spécifier plusieurs capteurs dans une liste séparée par des virgules. Par exemple, la commande suivante spécifie deux capteurs :
    ExtraHopSessionKeyForwarderSetup.exe EDA_HOSTNAME="packet-sensor.example.com,ids-sensor.example.com"

    Pour plus d'informations sur les options d'installation, voir Paramètres d'installation.

Activer le service de réception des clés de session SSL

Vous devez activer le service de réception des clés de session sur le système ExtraHop avant que le système puisse recevoir et déchiffrer les clés de session à partir du redirecteur de clé de session. Par défaut, ce service est désactivé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres de l'appliance, cliquez sur Des services.
  3. Sélectionnez le Récepteur de clé de session SSL case à cocher.
  4. Cliquez Enregistrer.
Ajouter un port global au mappage de protocoles

Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans la section Déchiffrement par clé privée, désactivez le Exiger des clés privées case à cocher.
  5. Dans la section Mappage global du protocole au port, cliquez sur Ajouter un protocole mondial.
  6. Dans la liste déroulante Protocole, sélectionnez le protocole pour le trafic que vous souhaitez déchiffrer.
  7. Dans le champ Port, saisissez le numéro du port. Tapez 0 pour ajouter tous les ports.
  8. Cliquez Ajouter.
Afficher les redirecteurs de clés de session connectés

Vous pouvez consulter les redirecteurs de clé de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clé de session SSL sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clé de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capture.
  3. Cliquez Secrets partagés SSL.
Valider le transfert des clés de session

Effectuez ces étapes pour vous assurer que l'installation a réussi et que le redirecteur de clés de session transmet les clés au système ExtraHop.

  1. Connectez-vous au serveur Windows.
  2. Ouvrez le composant logiciel enfichable Services MMC. Assurez-vous que les deux services, « ExtraHop Session Key Forwarder » et « ExtraHop Registry Service », affichent le statut « En cours d'exécution ».

  3. Si l'un des services n'est pas en cours d'exécution, résolvez le problème en effectuant les étapes suivantes.
    1. Ouvrez le composant logiciel enfichable Event Viewer MMC et accédez à Windows Logs > Application.
    2. Localisez les entrées les plus récentes pour la source ExtraHopAgent. Les causes courantes d'échec et les messages d'erreur associés sont répertoriés dans le Résoudre les problèmes liés aux messages d'erreur courants section ci-dessous.
  4. Si le composant logiciel enfichable Services et Observateur d'événements n'indique aucun problème, appliquez une charge de travail aux services surveillés et accédez au système ExtraHop pour vérifier que le déchiffrement secret fonctionne.
Lorsque le système ExtraHop reçoit des clés de session et les applique aux sessions déchiffrées, le compteur métrique Shared Secret (dans Applications > Toutes les activités > Sessions SSL décryptées) est incrémenté. Créez un graphique de tableau de bord avec cette métrique pour voir si la sonde reçoit correctement les clés de session des serveurs surveillés.

Vérifiez la configuration à partir de la ligne de commande

Dans les cas où vous pourriez rencontrer des problèmes de configuration, le binaire du redirecteur de clé de session inclut un mode de test auquel vous pouvez accéder depuis la ligne de commande pour tester votre configuration.

  1. Connectez-vous à votre serveur Windows.
  2. Ouvrez l'application Windows PowerShell.
  3. Effectuez un test de vérification en exécutant la commande suivante :
    & 'C:\Program Files\ExtraHop\extrahop-agent.exe' -t -server <eda hostname>

    <eda hostname> est le nom de domaine complet de la sonde à laquelle vous transmettez des secrets.

    Le résultat suivant devrait apparaître :

    <timestamp> Performing connectivity test
    <timestamp> No connectivity issues detected

    En cas de problème de configuration, des conseils de dépannage apparaissent dans le résultat pour vous aider à le corriger. Suivez les suggestions pour résoudre le problème, puis relancez le test.

  4. Vous pouvez éventuellement tester le remplacement du chemin du certificat et du nom du serveur en ajoutant les options suivantes à la commande ci-dessus.
    • Spécifiez cette option pour tester le certificat sans l'ajouter au magasin de certificats.

      -cert <file path to certificate>
    • Spécifiez cette option pour tester la connexion en cas de divergence entre le nom d'hôte du système ExtraHop connu par le redirecteur (SERVEUR) et le nom commun (CN) présenté dans le certificat SSL du système ExtraHop.

      -server-name-override <common name>
Principaux indicateurs de santé du système récepteur

Le système ExtraHop fournit des indicateurs clés sur les récepteurs que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités des principaux destinataires.

Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Type récepteur clé dans le champ de filtre pour afficher toutes les mesures de réception clés disponibles.

Conseil :Pour savoir comment créer un nouveau graphique de tableau de bord, voir Modifier un graphique à l'aide de l'explorateur de métriques.
Intégrez le redirecteur à l'application SSL basée sur Java
Le redirecteur de clés de session ExtraHop s'intègre aux applications Java via -javaagent option. Consultez les instructions spécifiques de votre application pour modifier l'environnement d'exécution Java afin d'inclure -javaagent option.

Par exemple, Apache Tomcat prend en charge la personnalisation des options Java dans les propriétés du gestionnaire de services Tomcat. Dans l'exemple suivant, ajouter -javaagent L'option de la section Options Java permet au moteur d'exécution Java de partager les secrets de session SSL avec le processus de transfert de clés, qui les transmet ensuite au système ExtraHop afin qu'ils puissent être déchiffrés.

-javaagent:C:\Program Files\ExtraHop\exagent.jar


Remarque :Si votre serveur exécute Java 17 ou une version ultérieure, vous devez également autoriser le module sun.security.ssl à accéder à tous les modules sans nom avec --add-opens option, comme illustré dans l' exemple suivant :
--add-opens java.base/sun.security.ssl=ALL-UNNAMED
Appendice
Résoudre les problèmes liés aux messages d'erreur courants

Les messages d'erreur sont enregistrés dans des fichiers journaux aux emplacements suivants, où TMP est la valeur de votre variable d'environnement TMP :

  • TMP\ExtraHopSessionKeyForwarderSetup.log
  • TMP\ExtraHopSessionKeyForwarderMsi.log

Le tableau suivant présente les messages d'erreur courants que vous pouvez résoudre. Si vous voyez une erreur différente ou si la solution proposée ne résout pas votre problème, contactez le support ExtraHop.

Message Cause Solution
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond Le serveur surveillé ne peut acheminer aucun trafic vers le sonde. Assurez-vous que les règles de pare-feu autorisent le serveur surveillé à établir des connexions vers le port TCP 4873 du sonde.
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it Le serveur surveillé peut acheminer le trafic vers sonde, mais le processus de réception n'écoute pas. Assurez-vous que sonde est concédé sous licence pour les fonctionnalités SSL Decryption et SSL Shared Secrets.
connect: x509: certificate signed by unknown authority Le serveur surveillé n'est pas en mesure de relier les sonde certificat auprès d'une autorité de certification (CA) de confiance. Assurez-vous que le magasin de certificats Windows associé au compte de l'ordinateur dispose d'autorités de certification racine approuvées qui établissent une chaîne de confiance pour le sonde.
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs Une adresse IP a été fournie en tant que EDA_HOSTNAME paramètre lors de l'installation du redirecteur, mais le certificat SSL présenté par la sonde n'inclut pas d'adresse IP en tant que nom alternatif du sujet (SAN). Choisissez l'une des trois solutions suivantes.
  • S'il existe un nom d'hôte auquel le serveur peut se connecter sonde avec, et ce nom d'hôte correspond au nom du sujet dans le sonde certificat, désinstallez et réinstallez le redirecteur, en spécifiant ce nom d'hôte comme valeur de EDA_HOSTNAME.
  • Si le serveur doit se connecter au sonde par adresse IP, désinstallez et réinstallez le redirecteur, en spécifiant le nom du sujet figurant dans le certificat de la sonde comme valeur de SERVERNAMEOVERRIDE.
  • Rééditez le sonde certificat incluant un nom alternatif de sujet IP (SAN) pour l'adresse IP donnée.
Désinstallez le logiciel

Si vous ne souhaitez plus installer le logiciel de transfert de clé de session ExtraHop, ou si l'un des paramètres d'installation d'origine a changé (nom d'hôte de la sonde ou certificat) et que vous devez réinstaller le logiciel avec de nouveaux paramètres, procédez comme suit :

Important :Vous devez redémarrer le serveur pour que les modifications de configuration soient prises en compte.
  1. Connectez-vous au serveur Windows.
  2. Facultatif : Si vous avez intégré le redirecteur de clé de session à Apache Tomcat, supprimez le -javaagent:C:\Program Files\ExtraHop\exagent.jar entrée depuis Tomcat pour empêcher l'arrêt du service Web.
  3. Choisissez l'une des options suivantes pour supprimer le logiciel :
    • Ouvrez le panneau de configuration et cliquez sur Désinstaller un programme. Sélectionnez Transmetteur de clés de session ExtraHop dans la liste, puis cliquez sur Désinstaller.
    • Ouvrez une invite de commande PowerShell et exécutez les commandes suivantes pour supprimer le logiciel et les entrées de registre associées :

      1. $app=Get-WMIObject -class win32_product | where-object {$_.name -eq "ExtraHop Session Key Forwarder"}
      2. $app.Uninstall()
  4. Cliquez Oui pour confirmer.
  5. Une fois le logiciel supprimé, cliquez sur Oui pour redémarrer le système
Paramètres d'installation

Vous pouvez spécifier les paramètres MSI suivants :

Paramètre d'installation MSI EDA_HOSTNAME
Entrée de registre HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\EDAHost
Descriptif Le sonde nom d'hôte ou adresse IP où les clés de session SSL seront envoyées.

Ce paramètre est obligatoire.

Paramètre d'installation MSI EDA_CERTIFICATEPATH
Entrée de registre N/A
Descriptif

Le serveur surveillé doit faire confiance à l'émetteur du sonde Certificat SSL via le magasin de certificats du serveur.

Dans certains environnements, sonde fonctionne avec le certificat auto-signé que le microprogramme ExtraHop génère lors de l'installation. Dans ce cas, le certificat doit être ajouté au magasin de certificats. Le EDA_CERTIFICATEPATH Ce paramètre permet d'importer un certificat codé PEM basé sur un fichier dans le magasin de certificats Windows lors de l'installation.

Si le paramètre n'est pas spécifié lors de l'installation et qu'un certificat auto-signé ou un autre certificat CA doit être placé manuellement dans le magasin de certificats, l' administrateur doit importer le certificat dans Certificats (compte d'ordinateur) > Autorités de certification racine de confiance sur le système surveillé.

Ce paramètre est facultatif si le serveur surveillé a été précédemment configuré pour faire confiance au certificat SSL du sonde via le magasin de certificats Windows.

Paramètre d'installation MSI SERVERNAMEOVERRIDE
Entrée de registre HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\ServerNameOverride
Descriptif

S'il y a un décalage entre sonde nom d'hôte connu par le redirecteur (EDA_HOSTNAME) et nom commun (CN) qui figure dans le certificat SSL du sonde, le transitaire doit alors être configuré avec le bon CN.

Ce paramètre est facultatif.

Nous vous recommandons de régénérer le certificat auto-signé SSL en fonction du nom d'hôte figurant dans la section Certificat SSL des paramètres d'administration au lieu de spécifier ce paramètre.
Paramètre d'installation MSI TCPLISTENPORT
Entrée de registre HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\TCPListenPort
Descriptif Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans TCPListenPort entrée. Nous avons recommandé de conserver la valeur par défaut de 598 pour ce port.

Ce paramètre est facultatif.

Suites de chiffrement SSL/TLS prises en charge

Le système ExtraHop peut déchiffrer le trafic SSL/TLS chiffré avec des suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.

Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.

Méthodes de déchiffrement
Le tableau ci-dessous fournit une liste des suites de chiffrement que le système ExtraHop peut décrypter ainsi que les options de déchiffrement prises en charge.
  • PFS+GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement grâce au transfert de clé de session et mappage global du protocole au port
  • Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement grâce au transfert de clé de session et au certificat et clé privée
  • Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale Nom (IANA) Nom (OpenSSL) Déchiffrement pris en charge
0x04 TLS_RSA_WITH_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Certificat RSA + Certificat
0x05 TLS_RSA_WITH_RC4_128_SHA RC4-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Certificat RSA + Certificat
0 x 16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA Certificat PFS + GPP PFS +
0 x 2 F TLS_RSA_WITH_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x33 TLS_DHE_RSA_WITH_AES_128_CBC_SHA DHE-RSA-AES128-SHA Certificat PFS + GPP PFS +
0x35 TLS_RSA_WITH_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x39 TLS_DHE_RSA_WITH_AES_256_CBC_SHA DHE-RSA-AES256-SHA Certificat PFS + GPP PFS +
0 x 3 C TLS_RSA_WITH_AES_128_CBC_SHA256 AES128-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0x3D TLS_RSA_WITH_AES_256_CBC_SHA256 AES256-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0x67 TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 Certificat PFS + GPP PFS +
0 x 6 B TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 Certificat PFS + GPP PFS +
0 x 9C TLS_RSA_WITH_AES_128_GCM_SHA256 AES128-GCM-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9D TLS_RSA_WITH_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9E TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 Certificat PFS + GPP PFS +
0 x 9F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 Certificat PFS + GPP PFS +
0x1301 TLS_AES_128_GCM_SHA255 TLS_AES_128_GCM_SHA255 Certificat PFS + GPP PFS +
0x1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 Certificat PFS + GPP PFS +
0x1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 Certificat PFS + GPP PFS +
0xC007 TLS_ECDHE_ECDSA_WITH_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS+GPP
0xC008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS+GPP
0xC009 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS+GPP
0xC00A TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS+GPP
0 x C011 TLS_ECDHE_RSA_WITH_RC4_128_SHA ECDHE-RSA-RC4-SHA Certificat PFS + GPP PFS +
0 x C012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA Certificat PFS + GPP PFS +
0 x C013 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA Certificat PFS + GPP PFS +
0 x C014 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA Certificat PFS + GPP PFS +
0xC023 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS+GPP
0xC024 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS+GPP
0 x C027 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 Certificat PFS + GPP PFS +
0 x C028 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 Certificat PFS + GPP PFS +
0xC02B TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS+GPP
0xC02C TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS+GPP
0xC02F TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 Certificat PFS + GPP PFS +
0xC030 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 Certificat PFS + GPP PFS +
0 x CCA8 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 Certificat PFS + GPP PFS +
0 x CCA9 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS+GPP
0 x CCAA TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 Certificat PFS + GPP PFS +
Exportez le fichier MSI depuis le fichier exécutable

Vous pouvez exporter le fichier MSI à partir du fichier exécutable pour prendre en charge un flux de travail d'installation personnalisé.

Ouvrez une invite de commande PowerShell et exécutez la commande suivante :
ExtraHopSessionKeyForwarderSetup.exe -e
Remarque :Vous pouvez ajouter <directory> à la -e paramètre pour enregistrer le .msi fichier dans un répertoire autre que le répertoire de travail actuel. Par exemple, la commande suivante enregistre le fichier dans install_dir annuaire :
ExtraHopSessionKeyForwarderSetup.exe -e install_dir
Installez le redirecteur de clé de session ExtraHop sur un serveur Linux

Le Perfect Forward Secrecy (PFS) est une propriété des protocoles de communication sécurisés qui permet des échanges de clés de session totalement privés à court terme entre les clients et les serveurs. ExtraHop propose un logiciel de transfert de clés de session qui peut envoyer des clés de session au système ExtraHop pour le déchiffrement SSL/TLS. Communication entre le transitaire de clés et sonde est chiffré avec TLS 1.2 ou TLS 1.3, et il n'y a aucune limite au nombre de clés de session que le système ExtraHop peut recevoir.

Vous devez configurer le système ExtraHop pour le transfert de clés de session, puis installer le logiciel du redirecteur sur Fenêtres et Linux serveurs dont le trafic SSL/TLS doit être déchiffré.

Avant de commencer
  • Lisez à propos de Décryptage SSL/TLS et consultez la liste des suites de chiffrement prises en charge.
  • Assurez-vous que le système ExtraHop possède une licence pour le déchiffrement SSL et les secrets partagés SSL.
  • Assurez-vous que votre environnement de serveur est pris en charge par le logiciel de transfert de clés de session ExtraHop :
    • Package de sécurité Microsoft Secure Channel (Schannel)
    • Java SSL/TLS (versions Java 8 à 17). N'effectuez pas de mise à niveau vers cette version du redirecteur de clé de session si vous surveillez actuellement des environnements Java 6 ou Java 7. La version 7.9 du redirecteur de clé de session prend en charge Java 6 et Java 7 et est compatible avec le dernier firmware ExtraHop.
    • Bibliothèques OpenSSL (1.0.x et 1.1.x) liées dynamiquement. OpenSSL est uniquement pris en charge sur les systèmes Linux dotés des versions de noyau 4.4 et ultérieures et RHEL 7.6 et versions ultérieures.
  • Assurez-vous que le serveur sur lequel vous installez le redirecteur de clé de session fait confiance au certificat SSL de l'ExtraHop sonde.
  • Assurez-vous que vos règles de pare-feu autorisent le serveur surveillé à établir des connexions au port TCP 4873 de la sonde.
Important :Le système ExtraHop ne peut pas déchiffrer le trafic TDS chiffré par TLS via le transfert de clé de session. Au lieu de cela, vous pouvez télécharger un RSA clé privée.
  • Installez le redirecteur de clé de session sur les distributions Linux RHEL, CentOS, Fedora ou Debian-Ubuntu. Le redirecteur de clé de session peut ne pas fonctionner correctement sur d'autres distributions.
  • Le redirecteur de clé de session n'a pas été testé de manière approfondie avec SELinux et risque de ne pas être compatible lorsqu'il est activé sur certaines distributions Linux.
Activer le service de réception des clés de session SSL

Vous devez activer le service de réception des clés de session sur le système ExtraHop avant que le système puisse recevoir et déchiffrer les clés de session à partir du redirecteur de clé de session. Par défaut, ce service est désactivé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Paramètres de l'appliance, cliquez sur Des services.
  3. Sélectionnez le Récepteur de clé de session SSL case à cocher.
  4. Cliquez Enregistrer.
Ajouter un port global au mappage de protocoles

Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans la section Déchiffrement par clé privée, désactivez le Exiger des clés privées case à cocher.
  5. Dans la section Mappage global du protocole au port, cliquez sur Ajouter un protocole mondial.
  6. Dans la liste déroulante Protocole, sélectionnez le protocole pour le trafic que vous souhaitez déchiffrer.
  7. Dans le champ Port, saisissez le numéro du port. Tapez 0 pour ajouter tous les ports.
  8. Cliquez Ajouter.
Installez le logiciel
Distributions basées sur les RPM
Conseil :Vous pouvez installer le redirecteur sans intervention de l'utilisateur en spécifiant variables d'environnement dans la commande d'installation.
  1. Connectez-vous à votre serveur Linux basé sur RPM.
  2. Télécharger la dernière version du logiciel de transfert de clés de session ExtraHop.
  3. Ouvrez une application de terminal et exécutez la commande suivante :
    sudo rpm --install <path to installer file>
  4. Ouvrez le script d'initialisation dans un éditeur de texte (vi ou vim, par exemple).
    sudo vi /opt/extrahop/etc/extrahop-key-forwarder.conf
  5. En fonction de la façon dont votre capteurs sont gérés, choisissez l'une des options suivantes :
    • Pour les capteurs autogérés, supprimez le symbole de hachage (#) avant le champ EDA_HOSTNAME et saisissez le nom de domaine complet de votre capteur, comme dans l'exemple suivant.
      EDA_HOSTNAME=discover.example.com
      Remarque :Vous pouvez transmettre les clés de session à plusieurs sondes en saisissant des noms d'hôtes séparés par des virgules. Par exemple :
      EDA_HOSTNAME=packet-sensor.example.com,ids-sensor.example.com
    • Pour les capteurs gérés par ExtraHop, supprimez le symbole de hachage (#) avant EDA_HOSTED_PLATFORM champ et type aws, comme dans l' exemple suivant.
      EDA_HOSTED_PLATFORM=aws
  6. Facultatif : Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans LOCAL_LISTENER_PORT champ. Nous vous recommandons de conserver la valeur par défaut de 598 pour ce port. Si vous modifiez le numéro de port, vous devez modifier -javaagent argument pour prendre en compte le nouveau port.
  7. Facultatif : Si vous préférez que Syslog écrive dans une installation différente de local3 pour les messages du journal du redirecteur de clés, vous pouvez modifier le SYSLOG champ.
    Pour une sonde autogérée, le contenu du extrahop-key-forwarder.conf le fichier doit ressembler à l' exemple suivant :
    #EDA_HOSTED_PLATFORM=aws
    EDA_HOSTNAME=sensor.example.com
    LOCAL_LISTENER_PORT=598
    SYSLOG=local3
    ADDITIONAL_ARGS=''
    
  8. Enregistrez le fichier et quittez l'éditeur de texte.
  9. Si votre serveur gère des conteneurs avec le runtime containerd, vous devez ajouter les paramètres suivants du /opt/extrahop/etc/extrahop-key-forwarder.conf configuration fichier :
    • -containerd-enable
    • -containerd-socket
    • -containerd-state
    • -containerd-state-rootfs-subdir

    Pour plus d'informations sur ces paramètres et d'autres paramètres facultatifs, voir Options du redirecteur des clés de session.

  10. Démarrez le extrahop-key-forwarder service :
    sudo service extrahop-key-forwarder start
Distributions Debian-Ubuntu
Conseil :Vous pouvez installer le redirecteur sans intervention de l'utilisateur en spécifiant variables d'environnement dans la commande d'installation.
  1. Connectez-vous à votre serveur Debian ou Ubuntu Linux.
  2. Télécharger la dernière version du logiciel de transfert de clés de session ExtraHop.
  3. Ouvrez une application de terminal et exécutez la commande suivante.
    sudo dpkg --install <path to installer file>
  4. En fonction de la façon dont votre capteurs sont gérés, choisissez l'une des options suivantes :
      1. Pour les personnes autogérées capteurs, sélectionnez direct puis appuyez sur ENTER.
      2. Tapez le nom de domaine complet ou l'adresse IP du système ExtraHop vers lequel les clés de session seront transmises, puis appuyez sur ENTER.
        Remarque :Vous pouvez transmettre les clés de session à plusieurs sondes en saisissant des noms d'hôtes séparés par des virgules. Par exemple :
        packet-sensor.example.com,ids-sensor.example.com
    • Pour les capteurs gérés par ExtraHop, sélectionnez hébergé puis appuyez sur ENTER.
  5. Si votre serveur gère des conteneurs avec le runtime containerd, vous devez ajouter les paramètres suivants du /opt/extrahop/etc/extrahop-key-forwarder.conf configuration fichier :
    • -containerd-enable
    • -containerd-socket
    • -containerd-state
    • -containerd-state-rootfs-subdir

    Pour plus d'informations sur ces paramètres et d'autres paramètres facultatifs, voir Options du redirecteur des clés de session.

  6. Assurez-vous que extrahop-key-forwarder le service a démarré :
    sudo service extrahop-key-forwarder status
    La sortie suivante doit apparaître :
    extrahop-key-forwarder.service - LSB: ExtraHop Session Key Forwarder
    Loaded: loaded (/etc/rc.d/init.d/extrahop-key-forwarder; bad; vendor preset: disabled)
    Active: active (running) since Tue 2018-04-10 10:55:47 PDT; 5s ago
    Si le service n'est pas actif, exécutez la commande suivante :
    sudo service extrahop-key-forwarder start
Intégrez le redirecteur à l'application SSL basée sur Java
Le redirecteur de clés de session ExtraHop s'intègre aux applications Java via -javaagent option. Consultez les instructions spécifiques de votre application pour modifier l'environnement d'exécution Java afin d'inclure -javaagent option.

Par exemple, de nombreux environnements Tomcat prennent en charge la personnalisation des options Java dans le /etc/default/tomcat7 dossier. Dans l'exemple suivant, ajouter -javaagent L'option de la ligne JAVA_OPTS permet au moteur d'exécution Java de partager les secrets de session SSL avec le processus de transfert de clés, qui les transmet ensuite au système ExtraHop afin qu'ils puissent être déchiffrés.

JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar

Si votre serveur exécute Java 17 ou une version ultérieure, vous devez également autoriser le module sun.security.ssl à accéder à tous les modules sans nom à l'aide de l'option --add-opens, comme illustré dans l'exemple suivant :

JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar --add-opens java.base/sun.security.ssl=ALL-UNNAMED
Validez et dépannez votre installation

Si votre serveur Linux dispose d'un accès réseau au système ExtraHop et que la configuration SSL du serveur approuve le certificat présenté par le système ExtraHop que vous avez spécifié lors de l'installation du redirecteur de clé de session, la configuration est terminée.

Dans les cas où vous pourriez rencontrer des problèmes avec la configuration, le binaire du redirecteur de clé de session inclut un mode de test auquel vous pouvez accéder depuis la ligne de commande pour tester votre configuration.

  1. Connectez-vous à votre serveur Linux.
  2. Pour valider votre installation, effectuez un premier test en exécutant la commande suivante :
    /opt/extrahop/sbin/extrahop-agent -t=true -server <eda hostname>

    Le résultat suivant devrait apparaître :

    <timestamp> Performing connectivity test
    <timestamp> No connectivity issues detected

    En cas de problème de configuration, des conseils de dépannage apparaissent dans le résultat pour vous aider à le corriger. Suivez les suggestions pour résoudre le problème, puis relancez le test.

  3. Vous pouvez éventuellement tester le remplacement du chemin du certificat et du nom du serveur en ajoutant les options suivantes à la commande ci-dessus.
    • Spécifiez cette option pour tester le certificat sans l'ajouter au magasin de certificats.

      -cert <file path to certificate>
    • Spécifiez cette option pour tester la connexion en cas de divergence entre le nom d'hôte du système ExtraHop connu par le redirecteur (SERVEUR) et le nom commun (CN) présenté dans le certificat SSL du système ExtraHop.

      -server-name-override <common name>
(Facultatif) Configurer un remplacement de nom de serveur

S'il existe une incompatibilité entre le nom d'hôte du système ExtraHop connu par le redirecteur (SERVEUR) et le nom commun (CN) présenté dans le certificat SSL du système ExtraHop, le redirecteur doit être configuré avec le CN correct.

Nous vous recommandons de régénérer le certificat SSL auto-signé en fonction du nom d'hôte indiqué dans la section Certificat SSL des paramètres d'administration au lieu de spécifier ce paramètre.
  1. Connectez-vous à votre serveur Linux.
  2. Ouvrez le fichier de configuration dans un éditeur de texte.
    vi /opt/extrahop/etc/extrahop-key-forwarder.conf
  3. Ajoutez un SERVER_NAME_OVERRIDE paramètre avec une valeur du nom trouvé dans le certificat SSL du système ExtraHop, similaire à l' exemple suivant :
    SERVER_NAME_OVERRIDE=altname.example.com
  4. Enregistrez le fichier et quittez l'éditeur de texte.
  5. Démarrez le extrahop-key-forwarder service.
    sudo service extrahop-key-forwarder start
Principaux indicateurs de santé du système récepteur

Le système ExtraHop fournit des indicateurs clés sur les récepteurs que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités des principaux destinataires.

Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Type récepteur clé dans le champ de filtre pour afficher toutes les mesures de réception clés disponibles.

Conseil :Pour savoir comment créer un nouveau graphique de tableau de bord, voir Modifier un graphique à l'aide de l'explorateur de métriques.
Afficher les redirecteurs de clés de session connectés

Vous pouvez consulter les redirecteurs de clé de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clé de session SSL sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clé de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capture.
  3. Cliquez Secrets partagés SSL.
Désinstallez le logiciel

Si vous ne souhaitez plus installer le logiciel de transfert de clé de session ExtraHop, procédez comme suit.

  1. Connectez-vous au serveur Linux.
  2. Ouvrez une application de terminal et choisissez l'une des options suivantes pour supprimer le logiciel.
    • Pour les serveurs basés sur le RPM, exécutez la commande suivante :
      sudo rpm --erase extrahop-key-forwarder
    • Pour les serveurs Debian et Ubuntu, exécutez la commande suivante :
      sudo apt-get --purge remove extrahop-key-forwarder

      Type Y à l'invite pour confirmer la suppression du logiciel, puis appuyez sur ENTER.

  3. Cliquez Oui pour confirmer.
  4. Une fois le logiciel supprimé, cliquez sur Oui pour redémarrer le système
Messages d'erreur courants

Les erreurs créées par le redirecteur de clé de session sont enregistrées dans le fichier journal du système Linux.

Un message Cause Solution
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond Le serveur surveillé ne peut acheminer aucun trafic vers sonde. Assurez-vous que les règles de pare-feu autorisent le serveur surveillé à établir des connexions au port TCP 4873 du sonde.
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it Le serveur surveillé peut acheminer le trafic vers sonde, mais le processus de réception n'écoute pas. Assurez-vous que sonde est licencié pour les fonctionnalités de déchiffrement SSL et de SSL Shared Secrets.
connect: x509: certificate signed by unknown authority Le serveur surveillé n'est pas en mesure d'enchaîner sonde certificat auprès d'une autorité de certification (CA) fiable. Assurez-vous que le magasin de certificats Linux du compte d'ordinateur dispose d'autorités de certification racine fiables qui établissent une chaîne de confiance pour le sonde.
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs Une adresse IP a été fournie en tant que SERVER paramètre lors de l'installation du redirecteur, mais le certificat SSL présenté par la sonde n'inclut pas d'adresse IP en tant que nom alternatif du sujet (SAN). Choisissez l'une des trois solutions suivantes.
  • Remplacez l'adresse IP du SERVER valeur dans le /etc/init.d/extrahop-key-forwarder fichier avec un nom d'hôte. Le nom d'hôte doit correspondre au nom du sujet indiqué dans le certificat de la sonde.
  • Si le serveur doit se connecter au sonde par adresse IP, désinstallez et réinstallez le redirecteur, en spécifiant le nom du sujet indiqué dans le certificat de sonde sous la forme de la valeur de server-name-override.
  • Rééditez le sonde certificat pour inclure un nom alternatif de sujet IP (SAN) pour l'adresse IP donnée.
Suites de chiffrement SSL/TLS prises en charge

Le système ExtraHop peut déchiffrer le trafic SSL/TLS chiffré avec des suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.

Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.

Méthodes de déchiffrement
Le tableau ci-dessous fournit une liste des suites de chiffrement que le système ExtraHop peut décrypter ainsi que les options de déchiffrement prises en charge.
  • PFS+GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement grâce au transfert de clé de session et mappage global du protocole au port
  • Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement grâce au transfert de clé de session et au certificat et clé privée
  • Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale Nom (IANA) Nom (OpenSSL) Déchiffrement pris en charge
0x04 TLS_RSA_WITH_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Certificat RSA + Certificat
0x05 TLS_RSA_WITH_RC4_128_SHA RC4-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Certificat RSA + Certificat
0 x 16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA Certificat PFS + GPP PFS +
0 x 2 F TLS_RSA_WITH_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x33 TLS_DHE_RSA_WITH_AES_128_CBC_SHA DHE-RSA-AES128-SHA Certificat PFS + GPP PFS +
0x35 TLS_RSA_WITH_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x39 TLS_DHE_RSA_WITH_AES_256_CBC_SHA DHE-RSA-AES256-SHA Certificat PFS + GPP PFS +
0 x 3 C TLS_RSA_WITH_AES_128_CBC_SHA256 AES128-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0x3D TLS_RSA_WITH_AES_256_CBC_SHA256 AES256-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0x67 TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 Certificat PFS + GPP PFS +
0 x 6 B TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 Certificat PFS + GPP PFS +
0 x 9C TLS_RSA_WITH_AES_128_GCM_SHA256 AES128-GCM-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9D TLS_RSA_WITH_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9E TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 Certificat PFS + GPP PFS +
0 x 9F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 Certificat PFS + GPP PFS +
0x1301 TLS_AES_128_GCM_SHA255 TLS_AES_128_GCM_SHA255 Certificat PFS + GPP PFS +
0x1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 Certificat PFS + GPP PFS +
0x1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 Certificat PFS + GPP PFS +
0xC007 TLS_ECDHE_ECDSA_WITH_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS+GPP
0xC008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS+GPP
0xC009 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS+GPP
0xC00A TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS+GPP
0 x C011 TLS_ECDHE_RSA_WITH_RC4_128_SHA ECDHE-RSA-RC4-SHA Certificat PFS + GPP PFS +
0 x C012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA Certificat PFS + GPP PFS +
0 x C013 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA Certificat PFS + GPP PFS +
0 x C014 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA Certificat PFS + GPP PFS +
0xC023 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS+GPP
0xC024 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS+GPP
0 x C027 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 Certificat PFS + GPP PFS +
0 x C028 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 Certificat PFS + GPP PFS +
0xC02B TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS+GPP
0xC02C TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS+GPP
0xC02F TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 Certificat PFS + GPP PFS +
0xC030 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 Certificat PFS + GPP PFS +
0 x CCA8 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 Certificat PFS + GPP PFS +
0 x CCA9 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS+GPP
0 x CCAA TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 Certificat PFS + GPP PFS +
Options du redirecteur des clés de session

Vous pouvez configurer le redirecteur de clé de session en modifiant le /opt/extrahop/etc/extrahop-key-forwarder.conf dossier.

Le tableau ci-dessous répertorie toutes les options configurables.
Important :Si vous ajoutez des options à extrahop-key-forwarder.conf qui n'ont pas de variables dédiées, ils doit se trouver dans ADDITIONAL_ARGS champ. Pour exemple :
ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so 
-libcrypto=/some/other/path/libcrypto.so"
Option Descriptif
-cert <path> Spécifie le chemin d'accès au certificat du serveur. Spécifiez uniquement ceci option si le certificat du serveur n'est pas signé par un certificat de confiance autorité.
-containerd-enable Permet l'énumération des conteneurs gérés avec le runtime containerd. Ce l'option est désactivée par défaut. Vous devez taper -containerd-enable pour activer le support conteneurisé.
-containerd-socket <string> Le chemin complet du fichier socket contenu.
-containerd-state <string> Le chemin complet du répertoire d'état du conteneur.
-containerd-state-rootfs-subdir <string> Le chemin relatif du rootfs sous-répertoire du conteneur annuaire de l'État.
-docker-enable Permet l'énumération des conteneurs Docker. Cette option est activée par par défaut. Vous devez taper -docker-enable=faux pour désactiver Docker soutien.
-docker-envoy <path> Spécifie des chemins Envoy supplémentaires dans les conteneurs Docker. Vous pouvez le spécifier option plusieurs fois.
-docker-go-binary <value> Spécifie les modèles globulaires permettant de rechercher les binaires Go dans les conteneurs Docker. Tu peux spécifiez cette option plusieurs fois.
-docker-libcrypto <path> Spécifie le chemin d'accès à libcrypto dans les conteneurs Docker. Vous pouvez le spécifier option plusieurs fois.
-envoy <path> Spécifie des chemins Envoy supplémentaires sur l'hôte. Vous pouvez spécifier cette option plusieurs fois.
-go-binary <value> Spécifie les modèles globulaires pour rechercher les binaires Go. Vous pouvez spécifier cette option plusieurs fois.
-hearbeat-interval Spécifie l'intervalle de temps en secondes entre les messages relatifs aux pulsations cardiaques. L'intervalle par défaut est de 30 secondes.
-host-mount-path <path> Spécifie le chemin sur lequel le système de fichiers hôte est monté lors de l'exécution de redirecteur de clé de session à l'intérieur d'un conteneur.
-hosted <platform> Spécifie que l'agent s'exécute sur la plateforme hébergée spécifiée. Le la plateforme est actuellement limitée à aws.
-ldconfig-cache <path> Spécifie le chemin d'accès au cache ldconfig, ld.so.cache. Le chemin par défaut est /etc/ld.so.cache. Vous pouvez spécifier cette option plusieurs fois.
-libcrypto <path> Spécifie le chemin d'accès à la bibliothèque OpenSSL, libcrypto. Vous pouvez spécifier cette option plusieurs fois si vous avez plusieurs installations d'OpenSSL.
-no-docker-envoy Désactive la prise en charge d'Envoy dans les conteneurs Docker.
-no-envoy Désactive le support Envoy sur l'hôte.
-openssl-discover Découvre automatiquement libcrypto implémentations. La valeur par défaut est « true ». Vous devez taper -openssl-discover=faux pour désactiver OpenSSL décryptage.
-pidfile <path> Spécifie le fichier dans lequel ce serveur enregistre son identifiant de processus (PAYÉ).
-port <value> Spécifie le port TCP sur lequel sonde est à l'écoute pour être transféré clés de session. Le port par défaut est 4873.
-server <string> Spécifie le nom de domaine complet de l'ExtraHop Discover appareil.
-server-name-override <value> Spécifie le nom du sujet tiré du sonde certificat. Spécifiez ceci option si ce serveur ne peut se connecter qu'au paquet sonde par adresse IP.
-syslog <facility> Spécifie la fonction envoyée par le redirecteur de clés. La valeur par défaut l'installation est local3.
-t Effectuez un test de connectivité. Vous devez taper -t = vrai pour exécutez avec cette option.
-tcp-listen-port <value> Spécifie le port TCP que le redirecteur de clé écoute clés de session transférées.
-username <string> Spécifie l'utilisateur sous lequel le redirecteur de clé de session s'exécute après le logiciel du transitaire est installé.
-v Activez la journalisation détaillée. Vous devez taper -v=true pour exécuter avec cette option.
Variables d'environnement Linux

Les variables d'environnement suivantes vous permettent d'installer le redirecteur de clé de session sans interaction avec l'utilisateur.

Variable Descriptif Exemple
EXTRAHOP_CONNECTION_MODE Spécifie le mode de connexion au récepteur de clé de session. Les options sont direct pour les capteurs autogérés et hébergé pour les capteurs gérés par ExtraHop. sudo EXTRAHOP_CONNECTION_MODE=hosted rpm --install extrahop-key-forwarder.x86_64.rpm
EXTRAHOP_EDA_HOSTNAME Spécifie le nom de domaine complet de l'autogéré sonde. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com dpkg --install extrahop-key-forwarder_amd64.deb
EXTRAHOP_LOCAL_LISTENER_PORT Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java. via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans LOCAL_LISTENER_PORT champ. Nous avons recommandé que ce port reste défini sur la valeur par défaut de 598. Si vous modifiez le numéro de port, vous devez modifier le -javaagent argument pour tenir compte du nouveau port. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_LOCAL_LISTENER_PORT=900 rpm --install extrahop-key-forwarder.x86_64.rpm
EXTRAHOP_SYSLOG Spécifie l'installation, ou le processus machine, qui a créé l'événement syslog. Le la fonction par défaut est local3, qui est un daemon système processus. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_SYSLOG=local1 dpkg --install extrahop-key-forwarder_amd64.deb
EXTRAHOP_ADDITIONAL_ARGS Spécifie des options supplémentaires pour le redirecteur de clés. sudo EXTRAHOP_CONNECTION_MODE=hosted EXTRAHOP_ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so libcrypto=/some/other/path/libcrypto.so" rpm --install extrahop-key-forwarder.x86_64.rpm
Suites de chiffrement SSL/TLS prises en charge

Le système ExtraHop peut déchiffrer le trafic SSL/TLS chiffré avec des suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.

Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.

Méthodes de déchiffrement
Le tableau ci-dessous fournit une liste des suites de chiffrement que le système ExtraHop peut décrypter ainsi que les options de déchiffrement prises en charge.
  • PFS+GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement grâce au transfert de clé de session et mappage global du protocole au port
  • Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement grâce au transfert de clé de session et au certificat et clé privée
  • Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale Nom (IANA) Nom (OpenSSL) Déchiffrement pris en charge
0x04 TLS_RSA_WITH_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Certificat RSA + Certificat
0x05 TLS_RSA_WITH_RC4_128_SHA RC4-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Certificat RSA + Certificat
0 x 16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA Certificat PFS + GPP PFS +
0 x 2 F TLS_RSA_WITH_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x33 TLS_DHE_RSA_WITH_AES_128_CBC_SHA DHE-RSA-AES128-SHA Certificat PFS + GPP PFS +
0x35 TLS_RSA_WITH_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x39 TLS_DHE_RSA_WITH_AES_256_CBC_SHA DHE-RSA-AES256-SHA Certificat PFS + GPP PFS +
0 x 3 C TLS_RSA_WITH_AES_128_CBC_SHA256 AES128-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0x3D TLS_RSA_WITH_AES_256_CBC_SHA256 AES256-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0x67 TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 Certificat PFS + GPP PFS +
0 x 6 B TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 Certificat PFS + GPP PFS +
0 x 9C TLS_RSA_WITH_AES_128_GCM_SHA256 AES128-GCM-SHA255 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9D TLS_RSA_WITH_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9E TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 Certificat PFS + GPP PFS +
0 x 9F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 Certificat PFS + GPP PFS +
0x1301 TLS_AES_128_GCM_SHA255 TLS_AES_128_GCM_SHA255 Certificat PFS + GPP PFS +
0x1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 Certificat PFS + GPP PFS +
0x1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 Certificat PFS + GPP PFS +
0xC007 TLS_ECDHE_ECDSA_WITH_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS+GPP
0xC008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS+GPP
0xC009 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS+GPP
0xC00A TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS+GPP
0 x C011 TLS_ECDHE_RSA_WITH_RC4_128_SHA ECDHE-RSA-RC4-SHA Certificat PFS + GPP PFS +
0 x C012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA Certificat PFS + GPP PFS +
0 x C013 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA Certificat PFS + GPP PFS +
0 x C014 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA Certificat PFS + GPP PFS +
0xC023 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS+GPP
0xC024 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS+GPP
0 x C027 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 Certificat PFS + GPP PFS +
0 x C028 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 Certificat PFS + GPP PFS +
0xC02B TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS+GPP
0xC02C TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS+GPP
0xC02F TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 Certificat PFS + GPP PFS +
0xC030 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 Certificat PFS + GPP PFS +
0 x CCA8 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 Certificat PFS + GPP PFS +
0 x CCA9 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS+GPP
0 x CCAA TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 Certificat PFS + GPP PFS +

Stockez les clés de session SSL sur les packetstores connectés

Lorsque le transfert de clés de session est configuré sur un système ExtraHop connecté à un magasin de paquets, le système ExtraHop peut stocker des clés de session cryptées avec les paquets collectés.

Before you begin

En savoir plus sur déchiffrer des paquets avec des clés stockées.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capture.
  3. Cliquez Stockage des clés de session SSL.
  4. Sélectionnez Activer le stockage des clés de session SSL.
  5. Cliquez Enregistrer.

Que faire ensuite

Pour plus d'informations sur le téléchargement des clés de session, voir Télécharger les clés de session avec captures de paquets.

Afficher les redirecteurs de clés de session connectés

Vous pouvez consulter les redirecteurs de clé de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clé de session SSL sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clé de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capture.
  3. Cliquez Secrets partagés SSL.

Déchiffrez le trafic de domaine à l'aide d'un contrôleur de domaine Windows

Le système ExtraHop peut être configuré pour récupérer et stocker les clés de domaine à partir d'un contrôleur de domaine. Lorsque le système observe un trafic chiffré correspondant aux clés stockées, tout le trafic crypté Kerberos du domaine est déchiffré pour les protocoles pris en charge. Le système synchronise uniquement les clés de déchiffrement Kerberos et NTLM et ne modifie aucune autre propriété du domaine.

Un contrôleur de domaine tel qu'Active Directory est une cible fréquente pour les attaquants, car une campagne d'attaque réussie génère des cibles de grande valeur. Les attaques critiques peuvent être masquées par le déchiffrement Kerberos ou NTLM, comme Golden Ticket, PrintNightmare et Bloodhound. Le déchiffrement de ce type de trafic peut fournir des informations plus détaillées pour les détections de sécurité.

Vous pouvez activer le déchiffrement sur un individu sonde ou via une intégration sur Reveal (x) 360.

Les conditions suivantes doivent être remplies pour le déchiffrement :

  • Vous devez disposer d'un contrôleur de domaine Active Directory (DC) qui n'est pas configuré en tant que contrôleur de domaine en lecture seule (RODC).
  • Seuls Windows Server 2016 et Windows Server 2019 sont pris en charge.
  • Un seul contrôleur de domaine peut être configuré sur sonde, ce qui signifie que vous pouvez déchiffrer le trafic d'un domaine par sonde.
  • Le système ExtraHop synchronise les clés d'un maximum de 50 000 comptes dans un domaine configuré . Si votre DC possède plus de 50 000 comptes, une partie du trafic ne sera pas déchiffrée.
  • Le système ExtraHop doit observer le trafic réseau entre le DC et les clients et serveurs connectés.
  • Le système ExtraHop doit pouvoir accéder au contrôleur de domaine via les ports suivants : TCP 88 (Kerberos), TCP 445 (SMB), TCP 135 (RPC) et ports TCP 49152-65535 (plage dynamique RPC).
Avertissement :Si vous activez ces paramètres, le système ExtraHop a accès à toutes les clés de compte du domaine Windows. Le système ExtraHop doit être déployé au même niveau de sécurité que le contrôleur de domaine. Voici quelques bonnes pratiques à prendre en compte :
  • Limiter strictement l'accès des utilisateurs finaux à capteurs qui sont configurés avec un accès au contrôleur de domaine. Idéalement, autorisez uniquement l'utilisateur final à accéder à un console.
  • Configurez capteurs avec un fournisseur d'identité doté de fonctionnalités d'authentification robustes, telles que l'authentification à deux facteurs ou multifacteurs.
  • Restreignez le trafic entrant et sortant à destination et en provenance du sonde uniquement pour ce qui est nécessaire.
  • Dans Active Directory, limitez le nombre de postes de travail d'ouverture de session pour que le compte communique uniquement avec le contrôleur de domaine avec lequel le système ExtraHop est configuré.
Connecter un contrôleur de domaine à une sonde

Before you begin

Vous devez disposer d'un compte utilisateur configuré ou privilèges d'administration du système et des accès sur la sonde.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capture.
  3. Cliquez Contrôleur de domaine.
  4. Sélectionnez le Activer la connexion au contrôleur de domaine case à cocher.
  5. Renseignez les champs suivants :

    Nom d'hôte: Le nom de domaine complet du contrôleur de domaine.

    Nom de l'ordinateur (SAMAccountName): Le nom du contrôleur de domaine.

    Nom du domaine: Le nom de domaine Kerberos du contrôleur de domaine.

    Nom d'utilisateur: Le nom d'un utilisateur membre du groupe d'administrateurs intégré pour le domaine (à ne pas confondre avec le groupe d'administrateurs de domaine). Pour éviter d' éventuelles erreurs de connexion, spécifiez un compte utilisateur créé après la création du contrôleur de domaine.

    Mot de passe: Le mot de passe de l'utilisateur privilégié.

  6. Cliquez Tester la connexion pour confirmer que la sonde peut communiquer avec le contrôleur de domaine.
  7. Cliquez Enregistrer.
Connecter un contrôleur de domaine à une sonde Reveal (x) 360

Before you begin

Votre compte utilisateur doit avoir privilèges sur Reveal (x) 360 pour l'administration des systèmes et des accès.
  1. Connectez-vous à Reveal (x) 360.
  2. Cliquez sur l'icône des paramètres système puis cliquez sur Intégrations.
  3. Cliquez sur le Déchiffrement du protocole Microsoft tuile.
  4. Renseignez les champs suivants pour spécifier les informations dcredentialisation du contrôleur de domaine Microsoft Active Directory que vous souhaitez connecter à une sonde Reveal (x) 360 :

    Nom d'hôte: Le nom de domaine complet du contrôleur de domaine.

    Nom de l'ordinateur (SAMAccountName): Le nom du contrôleur de domaine.

    Nom du domaine: Le nom de domaine Kerberos du contrôleur de domaine.

    Nom d'utilisateur: Le nom d'un utilisateur membre du groupe d'administrateurs intégré pour le domaine (à ne pas confondre avec le groupe d'administrateurs de domaine). Pour éviter d' éventuelles erreurs de connexion, spécifiez un compte utilisateur créé après la création du contrôleur de domaine.

    Mot de passe: Le mot de passe de l'utilisateur privilégié.

  5. Dans la liste déroulante, sélectionnez la sonde Reveal (x) 360 à laquelle le contrôleur de domaine doit se connecter. Un seul contrôleur de domaine peut être connecté à une sonde Reveal (x) 360.
  6. Cliquez Tester la connexion pour confirmer que la sonde peut communiquer avec le contrôleur de domaine.
  7. Cliquez Enregistrer.
Valider les paramètres de configuration

Pour vérifier que le système ExtraHop est capable de déchiffrer le trafic avec le contrôleur de domaine, créez un tableau de bord qui identifie les tentatives de déchiffrement réussies.

  1. Création d'un nouveau tableau de bord.
  2. Cliquez sur le widget graphique pour ajouter la source métrique.
  3. Cliquez Ajouter une source.
  4. Dans le champ Sources, saisissez le nom du sonde en communiquant avec un contrôleur de domaine, puis en sélectionnant sonde depuis la liste.
  5. Dans le champ Métriques, tapez DC dans le champ de recherche , puis sélectionnez État du déchiffrement assisté par DC - Tentatives de déchiffrement Kerberos réussies par SPN .
  6. Cliquez Enregistrer.
Le graphique affiche le nombre de tentatives de déchiffrement réussies.

Indicateurs de santé supplémentaires du système
Le système ExtraHop fournit des métriques que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités du déchiffrement assisté par DC.

Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Type Assisté par DC dans le champ du filtre pour afficher toutes les mesures de déchiffrement assisté par DC disponibles.



Importez des données externes dans votre système ExtraHop

L'API Open Data Context d'ExtraHop vous permet d'importer des données d'un hôte externe dans le tableau de session de votre ExtraHop sonde. Ces données sont ensuite accessibles pour créer des métriques personnalisées que vous pouvez ajouter aux graphiques ExtraHop, stocker dans des enregistrements sur un espace de stockage des enregistrements ou exporter vers un outil d'analyse externe.

Après avoir activé l'API Open Data Context sur votre sonde, vous pouvez importer des données en exécutant un script Python à partir d'un client Memcached sur un hôte externe. Ces données externes sont stockées dans des paires clé-valeur et sont accessibles en écrivant un déclencheur.

Par exemple, vous pouvez exécuter un script client memcached sur un hôte externe pour importer les données de charge du processeur dans la table de session de votre sonde. Vous pouvez ensuite écrire un déclencheur qui accède à la table de session et valide les données sous forme de métriques personnalisées.

Avertissement :La connexion entre l'hôte externe et le système ExtraHop n'est pas cryptée et ne doit pas transmettre d'informations sensibles.
Activer l'API Open Data Context

Vous devez activer l'API Open Data Context sur votre sonde avant de pouvoir recevoir des données d'un hôte externe.

Before you begin

  • Vous devez avoir configuré ou privilèges d'administration du système et des accès pour accéder à la page d'administration de votre système ExtraHop.
  • Si vous disposez d'un pare-feu, vos règles de pare-feu doivent autoriser les hôtes externes à accéder aux ports TCP et UDP spécifiés. Le numéro de port par défaut est 11211.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Capture.
  3. Cliquez API de contexte de données ouvertes.
  4. Cliquez Activer l'API Open Data Context.
  5. Configurez chaque protocole par lequel vous souhaitez autoriser les transmissions de données externes :
    Option Description
    TCP
    1. Sélectionnez le Port TCP activé case à cocher.
    2. Dans le Port TCP dans ce champ, saisissez le numéro de port qui recevra les données externes.
    UDP
    1. Sélectionnez le Port UDP activé case à cocher.
    2. Dans le Port UDP dans ce champ, saisissez le numéro de port qui recevra les données externes.
  6. Cliquez Enregistrer et redémarrer la capture.
    Important :La sonde ne collectera pas de mesures lors du redémarrage.
  7. Cliquez Terminé.
Écrire un script Python pour importer des données externes

Avant de pouvoir importer des données externes dans le tableau des sessions de votre sonde, vous devez écrire un script Python qui identifie votre sonde et contient les données que vous souhaitez importer dans le tableau de session. Le script est ensuite exécuté à partir d'un client Memcached sur l'hôte externe .

Cette rubrique fournit des conseils sur la syntaxe et les meilleures pratiques pour écrire le script Python. UN exemple de script complet est disponible à la fin de ce guide.

Before you begin

Assurez-vous que vous disposez d'un client Memcached sur la machine hôte externe. Vous pouvez installer n'importe quelle bibliothèque client Memcached standard, telle que http://libmemcached.org/ ou https://pypi.python.org/pypi/pymemcache. La sonde agit comme un serveur Memcached version 1.4.

Voici quelques considérations importantes concernant l'API Open Data Context :
  • L'API Open Data Context prend en charge la plupart des commandes memcached, telles que get, set, et increment.
  • Toutes les données doivent être insérées sous forme de chaînes lisibles par sonde. Certains clients Memcached tentent de stocker des informations de type dans les valeurs. Par exemple, la bibliothèque de cache de Python stocke les flottants sous forme de valeurs sélectionnées, ce qui entraîne des résultats non valides lors de l'appel Session.lookup dans les déclencheurs. La syntaxe Python suivante insère correctement un float sous forme de chaîne :
    mc.set("my_float", str(1.5))
  • Bien que la taille des valeurs de la table de session puisse être presque illimitée, l'ajout de valeurs importantes à la table de session peut entraîner une dégradation des performances. En outre, les métriques enregistrées dans la banque de données doivent être de 4 096 octets ou moins, et les valeurs de table surdimensionnées peuvent entraîner des métriques tronquées ou imprécises.
  • Les rapports statistiques de base sont pris en charge, mais les rapports statistiques détaillés par taille d' élément ou par préfixe clé ne sont pas pris en charge.
  • La définition de l'expiration des éléments lors de l'ajout ou de la mise à jour d'éléments est prise en charge, mais l' expiration groupée via flush la commande n'est pas prise en charge.
  • Les clés expirent toutes les 30 secondes. Par exemple, si une clé est configurée pour expirer dans 50 secondes, elle peut prendre de 50 à 79 secondes pour expirer.
  • Toutes les clés définies avec l'API Open Data Context sont exposées via SESSION_EXPIRE événement déclencheur lorsqu'ils expirent. Ce comportement contraste avec l'API Trigger, qui n'expose pas les clés arrivant à expiration via le SESSION_EXPIRE événement.
  1. Dans un éditeur Python, ouvrez un nouveau fichier.
  2. Ajoutez l'adresse IP de votre sonde et le numéro de port vers lequel le client memcached enverra les données, selon la syntaxe suivante :
    client = memcache.Client(["eda_ip_address:eda_port"])
  3. Ajoutez les données que vous souhaitez importer à la table de session via le memcached set commande, formatée en paires clé-valeur, similaire à la syntaxe suivante :
    client.set("some_key", "some_value")
  4. Enregistrez le fichier.
  5. Exécutez le script Python depuis le client memcached sur l'hôte externe.
Écrire un déclencheur pour accéder aux données importées

Vous devez écrire un déclencheur avant de pouvoir accéder aux données de la table de session.

Before you begin

Cette rubrique suppose une expérience de l'écriture de déclencheurs. Si les déclencheurs ne vous sont pas familiers, consultez les rubriques suivantes :
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez sur l'icône des paramètres système puis cliquez sur DÉCLENCHEURS.
  3. Cliquez Nouveau, puis cliquez sur Configuration onglet.
  4. Dans le Nom champ, saisissez un nom unique pour le déclencheur.
  5. Dans le Évènements champ, commencez à saisir le nom d'un événement, puis sélectionnez un événement dans la liste filtrée.
  6. Cliquez sur Rédacteur onglet.
  7. Dans le Script de déclenchement zone de texte, écrivez un script déclencheur qui accède aux données de la table de session et les applique. UN exemple de script complet est disponible à la fin de ce guide.
    Le script doit inclure Session.lookup méthode pour localiser une clé spécifiée dans la table de session et renvoyer la valeur correspondante.

    Par exemple, le code suivant recherche une clé spécifique dans la table de session pour renvoyer la valeur correspondante, puis valide la valeur dans une application sous forme de métrique personnalisée :

    var key_lookup = Session.lookup("some_key");
                    Application("My App").metricAddDataset("my_custom_metric",
                    key_lookup);
    Conseil :Vous pouvez également ajouter, modifier ou supprimer des paires clé-valeur dans le tableau de session à l'aide des méthodes décrites dans Session classe du Référence de l'API ExtraHop Trigger .
  8. Cliquez Enregistrer et fermer.

Que faire ensuite

Vous devez attribuer le déclencheur à un équipement ou à un groupe de dispositifs. Le déclencheur ne sera pas lancé tant qu'il n'aura pas été attribué.
Exemple d'API Open Data Context

Dans cet exemple, vous allez apprendre à vérifier le score de réputation et le risque potentiel des domaines qui communiquent avec les appareils de votre réseau. Tout d'abord, l'exemple de script Python vous montre comment importer des données de réputation de domaine dans la table de session de votre sonde. L'exemple de script déclencheur vous montre ensuite comment vérifier les adresses IP des événements DNS par rapport aux données de réputation de domaine importées et comment créer une métrique personnalisée à partir des résultats.

Exemple de script Python

Ce script Python contient une liste de 20 noms de domaine populaires et peut faire référence aux scores de réputation de domaine obtenus à partir d'une source telle que Outils de domaine.

Ce script est une API REST qui accepte une opération POST dont le corps est le nom de domaine. Lors d'une opération POST, le client memcached met à jour la table de session avec les informations de domaine .

#!/usr/bin/python
import flask
import flask_restful
import memcache
import sqlite3

top20 = { "google.com", "facebook.com", "youtube.com", "twitter.com",
          "microsoft.com", "wikipedia.org", "linkedin.com",
          "apple.com","adobe.com", "wordpress.org", "instagram.com",
          "wordpress.com", "vimeo.com", "blogspot.com", "youtu.be", 
          "pinterest.com", "yahoo.com", "goo.gl", "amazon.com", "bit.ly}

dnsnames = {}

mc = memcache.Client(['10.0.0.115:11211'])

for dnsname in top20:    
    dnsnames[dnsname] = 0.0    

dbc = sqlite3.Connection('./dnsreputation.db')
cur = dbc.cursor()
cur.execute('select dnsname, score from dnsreputation;')
for row in cur:
    dnsnames[row[0]] = row[1]
dbc.close()

app = flask.Flask(__name__)
api = flask_restful.Api(app)

class DnsReputation(flask_restful.Resource):    
    def post(self):        
        dnsname = flask.request.get_data()        
        #print dnsname        
        mc.set(dnsname, str(dnsnames.get(dnsname, 50.0)), 120)        
        return 'added to session table'

api.add_resource(DnsReputation, '/dnsreputation')

if __name__ == '__main__':     
     app.run(debug=True,host='0.0.0.0')
Exemple de script de déclencheur

Cet exemple de script de déclencheur canonise (ou convertit) les adresses IP renvoyées lors d'événements DNS en noms de domaine, puis vérifie le domaine et son score de réputation dans le tableau de session. Si la valeur du score est supérieure à 75, le déclencheur ajoute le domaine à un conteneur d'application appelé « DNSReputation » sous la forme d'une métrique détaillée appelée « Mauvaise réputation DNS ».

//Configure the following trigger settings:
//Name: DNSReputation
//Debugging: Enabled
//Events: DNS_REQUEST, DNS_RESPONSE

if (DNS.errorNum != 0 || DNS.qname == null 
    || DNS.qname.endsWith("in-addr.arpa") || DNS.qname.endsWith("local") 
    || DNS.qname.indexOf('.') == -1 ) {
    // error or null or reverse lookup, or lookup of local namereturn
    return;
}

//var canonicalname = DNS.qname.split('.').slice(-2).join('.');
var canonicalname = DNS.qname.substring(DNS.qname.lastIndexOf('.', DNS.qname.lastIndexOf('.')-1)+1)

//debug(canonicalname);


//Look for this DNS name in the session table
var score = Session.lookup(canonicalname)
if (score === null) {
    // Send to the service for lookup
    Remote.HTTP("dnsrep").post({path: "/dnsreputation", payload: canonicalname});
} else {
    debug(canonicalname + ':' +score);
    if (parseFloat(score) > 75) {
	 //Create an application in the ExtraHop system and add custom metrics
        //Note: The application is not displayed in the ExtraHop system after the 
	 //initial request, but is displayed after subsequent requests. 
        Application('DNSReputation').metricAddDetailCount('Bad DNS reputation', canonicalname + ':' + score, 1);
    }
}

Installation du redirecteur de paquets sur un serveur Linux

Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller pour transférer les paquets vers le système ExtraHop.

Les fichiers d'installation et les instructions du RPCAP sont disponibles sur le Téléchargements et ressources ExtraHop page Web.
Téléchargement et installation sur des systèmes basés sur RPM
  1. Téléchargez le fichier d'installation de RPCAP depuis l'ExtraHop Téléchargements et ressources page web.
  2. Installez le logiciel sur le serveur en exécutant la commande suivante :
    sudo rpm -i rpcapd-<extrahop_firmware_version>.x86_64.rpm
  3. Ouvrez et modifiez le rpcapd.ini fichier dans un éditeur de texte en exécutant l'une des commandes suivantes :
    vim /opt/extrahop/etc/rpcapd.ini
    nano /opt/extrahop/etc/rpcapd.ini
    Exemple de sortie :
    #ActiveClient = <TARGETIP>,<TARGETPORT>
    NullAuthPermit = YES
    UserName = rpcapd

    Remplacer <TARGETIP> avec l'adresse IP du système ExtraHop, et <TARGETPORT> avec 2003. De plus, décommentez la ligne en supprimant le signe numérique (#) au début de la ligne.

    Par exemple :
    ActiveClient = 10.10.10.10,2003
    NullAuthPermit = YES
    UserName = rpcapd
  4. Commencez à envoyer du trafic vers le système ExtraHop en exécutant la commande suivante :
    sudo /etc/init.d/rpcapd start
  5. Facultatif : Vérifiez que le système ExtraHop reçoit du trafic en exécutant la commande suivante :
    sudo service rpcapd status
Téléchargement et installation sur d'autres systèmes Linux
  1. Téléchargez le fichier d'installation RPCAP depuis l'ExtraHop Téléchargements et ressources page Web.
  2. Installez le logiciel sur le serveur en exécutant les commandes suivantes :
    1. Extrayez les fichiers du redirecteur de paquets du fichier d'archive :
      tar xf rpcapd-<extrahop_firmware_version>.tar.gz
    2. Passez au rpcapd répertoire :
      cd rpcapd
    3. Exécutez le script d'installation :
      sudo ./install.sh <extrahop_ip> 2003
  3. Facultatif : Vérifiez que le système ExtraHop reçoit du trafic en exécutant la commande suivante :
    sudo /etc/init.d/rpcapd status
Pour exécuter le logiciel sur des serveurs dotés de plusieurs interfaces, voir Surveillance de plusieurs interfaces sur un serveur Linux.
Téléchargement et installation sur des systèmes basés sur Debian

Pour télécharger et installer le redirecteur de paquets sur les systèmes basés sur Debian :

  1. Téléchargez le fichier d'installation RPCAP depuis l'ExtraHop Téléchargements et ressources page Web.
  2. Installez le logiciel sur le serveur en exécutant la commande suivante :
    sudo dpkg -i rpcapd_<extrahop_firmware_version>_amd64.deb
  3. À l'invite, entrez l'adresse IP du système ExtraHop, confirmez la connexion par défaut au port 2003 et appuyez sur ENTER.
  4. Facultatif : Vérifiez que le système ExtraHop reçoit du trafic en exécutant les commandes suivantes :
    sudo dpkg --get-selections | grep rpcapd
    
    sudo service rpcapd status
  5. Facultatif : Pour modifier l'adresse IP du système ExtraHop, le numéro de port ou les arguments du service, exécutez la commande suivante.
    sudo dpkg-reconfigure rpcapd

Installation du redirecteur de paquets sur un serveur Windows

Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller afin de transférer les paquets vers le système ExtraHop.

  1. Téléchargez le fichier d'installation du service RPCAP pour Windows depuis ExtraHop Téléchargements et ressources page Web.
  2. Double-cliquez sur le fichier pour démarrer le programme d'installation.
  3. Dans l'assistant, sélectionnez les composants à installer.
  4. Complétez le IP ExtraHop et Port ExtraHop champs et cliquez Suivant. Le port par défaut est 2003.
  5. Facultatif : Entrez des arguments supplémentaires dans la zone de texte et cliquez sur Suivant.
  6. Naviguez jusqu'au dossier de destination et sélectionnez-le pour installer le service RPCAP.
  7. Si le service RPCAP a déjà été installé, cliquez sur Oui pour supprimer le service précédent.
  8. Lorsque l'installation est terminée, cliquez sur Fermer.

Surveillance de plusieurs interfaces sur un serveur Linux

Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère les paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.

Pour modifier le fichier de configuration, procédez comme suit.

  1. Après avoir installé le redirecteur de paquets, ouvrez le fichier de configuration, /opt/extrahop/etc/rpcapd.ini.
    Le fichier de configuration contient ce texte ou un texte similaire :
    ActiveClient = 10.0.0.100,2003
    NullAuthPermit = YES
    UserName = rpcapd
    Remarque :Ne modifiez pas le NullAuthPermit ou UserName champs.
  2. Modifier l'existant ActiveClient ligne et créez un ActiveClient ligne pour chaque interface supplémentaire à surveiller. Spécifiez chaque interface par son nom d'interface ou son adresse IP.
    ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_name>

    ou

    ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_address>

    <interface_name> est le nom de l'interface à partir de laquelle vous souhaitez transférer des paquets, et <interface_address> est l'adresse IP de l' interface à partir de laquelle les paquets sont transférés. Le <interface_address> La variable peut être soit l' adresse IP elle-même, telle que 10.10.1.100, soit une spécification CIDR (adresse IP réseau/longueur du préfixe de sous-réseau) contenant l'adresse IP, telle que 10.10.1.0/24.

    Pour chaque ActiveClient ligne, le redirecteur de paquets transmet indépendamment les paquets depuis l'interface spécifiée dans la ligne.

    Voici un exemple de fichier de configuration spécifiant deux interfaces par leur nom :

    ActiveClient = 10.10.6.45, 2003, ifname=eth0
    ActiveClient = 10.10.6.45, 2003, ifname=eth1
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces par l'adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces à l'aide de spécifications CIDR qui contiennent l' adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
    NullAuthPermit = YES
    UserName = rpcapd
  3. Enregistrez le fichier de configuration. Veillez à enregistrer le fichier au format ASCII pour éviter les erreurs.
  4. Redémarrez le redirecteur de paquets en exécutant la commande suivante :
    sudo /etc/init.d/rpcapd restart
    Remarque :Pour réinstaller le redirecteur de paquets après avoir modifié le fichier de configuration, exécutez la commande d'installation et remplacez <extrahop_ip> et <extrahop_port> avec le –k drapeau afin de préserver le fichier de configuration modifié. Par exemple :
    sudo sh ./install-rpcapd.sh –k

Surveillance de plusieurs interfaces sur un serveur Windows

Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère les paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.

Pour modifier le fichier de configuration, procédez comme suit.

  1. Après avoir installé le redirecteur de paquets sur le serveur, ouvrez le fichier de configuration : C:\Program Files\rpcapd\rpcapd.ini
    Le fichier de configuration contient ce texte ou un texte similaire :
    ActiveClient = 10.0.0.100,2003
    NullAuthPermit = YES
    UserName = rpcapd
    Remarque :Ne modifiez pas le NullAuthPermit ou UserName champs.
  2. Modifiez la ligne ActiveClient existante et créez une ligne ActiveClient pour chaque interface supplémentaire à surveiller. Spécifiez chaque interface par son nom d'interface ou son adresse IP.
    ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_address>

    <interface_address> est l'adresse IP de l' interface à partir de laquelle les paquets sont transférés et <interface_address> peut être soit l'adresse IP elle-même, telle que 10.10.1.100, soit une spécification CIDR (adresse IP réseau/longueur du préfixe de sous-réseau) contenant l'adresse IP, telle que 10.10.1.0/24.

    ou

    ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_name>

    <interface_name> est le nom de l'interface à partir de laquelle les paquets sont transférés. Le nom est au format \Device\NPF_{<GUID>}, où <GUID> est l'identifiant global unique (GUID) de l'interface. Par exemple, si le GUID de l'interface est 2C2FC212-701D-42E6-9EAE-BEE969FEFB3F, le nom de l'interface est \Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}.

    Voici un exemple de fichier de configuration spécifiant deux interfaces avec l'adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces dont les spécifications CIDR contiennent l' adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces avec le nom de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
    ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{3C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
    NullAuthPermit = YES
    UserName = rpcapd
  3. Enregistrez le fichier de configuration (.ini). Veillez à enregistrer le fichier au format ASCII pour éviter les erreurs.
  4. Redémarrez le redirecteur de paquets en exécutant la commande suivante :
    restart-service rpcapd
    Remarque :Pour réinstaller le logiciel du redirecteur de paquets après avoir modifié le fichier de configuration, exécutez la commande d'installation et remplacez -RpcapIp et -RpcapPort avec le -KeepConfig indicateur pour conserver le fichier de configuration modifié. Par exemple :
    .\install-rpcapd.ps1 -MgmtIp <extrahop_ip> -KeepConfig

    ou

    .\install-rpcapd.ps1 –InputDir . -KeepConfig

Activer la décapsulation par superposition du réseau

L'encapsulation par superposition réseau enveloppe les paquets réseau standard vers l'extérieur protocole en-têtes pour exécuter des fonctions spécialisées, telles que le routage intelligent et la gestion réseau des machines virtuelles. La décapsulation par superposition réseau permet au système ExtraHop de supprimer ces en-têtes d'encapsulation externes, puis de traiter les paquets internes.

Remarque :L'activation de l'encapsulation de routage générique (GRE), de la virtualisation du réseau à l'aide de l' encapsulation de routage générique (NVGRE), de VXLAN et de la décapsulation GENEVE sur votre système ExtraHop peut augmenter le nombre de vos équipements à mesure que des périphériques virtuels sont découverts sur le réseau. La découverte de ces périphériques virtuels peut affecter les capacités d'Analyse avancée et d'analyse standard, et le traitement des métriques supplémentaires peut entraîner une dégradation des performances dans des cas extrêmes.

Les protocoles MPLS, TRILL et Cisco FabricPath sont automatiquement décapsulés par le système ExtraHop.

Activer la décapsulation GRE ou NVGRE
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capturez.
  3. Cliquez Décapsulation par superposition réseau.
  4. Dans le Réglages section, sélectionnez Activé case à cocher à côté de NVGRE ou GRE.
    Remarque :La sélection de GRE active également le NVGRE même si vous ne cochez pas la case NVGRE.
  5. Cliquez Enregistrer.
  6. Cliquez OK..
Activer la décapsulation VXLAN

VXLAN est un protocole de tunneling UDP configuré pour des ports de destination spécifiques. La décapsulation n'est pas tentée à moins que le port de destination d'un paquet ne corresponde au port de destination UDP ou aux ports répertoriés dans les paramètres de décapsulation VXLAN.

Pour configurer le système ExtraHop en tant que point de terminaison pour le trafic encapsulé dans VXLAN, voir Configuration d'une interface.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capturez.
  3. Cliquez Décapsulation par superposition réseau.
  4. Dans le Réglages section, sélectionnez le Activé case à cocher à côté de VXLAN.
  5. Dans le Port de destination UDP VXLAN dans ce champ, saisissez un numéro de port et cliquez sur le signe plus vert (+).
    Par défaut, port 4789 est ajouté à la liste des ports de destination UDP. Vous pouvez ajouter jusqu'à huit ports de destination.
  6. Cliquez Enregistrer.
  7. Cliquez OK..
Activer la décapsulation GENEVE
Pour configurer le système ExtraHop en tant que point de terminaison pour le trafic encapsulé par Geneve, voir Configuration d'une interface.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capturez.
  3. Cliquez Décapsulation par superposition réseau.
  4. Dans le Réglages section, sélectionnez Activé case à cocher à côté de GENEVE. Le port de destination par défaut est 6081.
  5. Cliquez Enregistrer.
  6. Cliquez OK..

Analyser un fichier de capture de paquets

Le mode de capture hors ligne permet aux administrateurs de télécharger et d'analyser un fichier de capture enregistré par un logiciel d'analyse de paquets, tel que Wireshark ou tcpdump, dans le système ExtraHop.

Voici quelques points importants à prendre en compte avant d'activer le mode de capture hors ligne :

  • Lorsque la capture est définie en mode hors ligne, la banque de données système est réinitialisée. Toutes les mesures enregistrées précédemment sont supprimées de la banque de données. Lorsque le système est configuré en mode en ligne, la banque de données est à nouveau réinitialisée.
  • En mode hors ligne, aucune métrique n'est collectée depuis l'interface de capture tant que le système n'est pas reconfiguré en mode en ligne.
  • Seuls les fichiers de capture au format pcap sont pris en charge. Les autres formats tels que pcpapng ne sont pas pris en charge.
Définissez le mode de capture hors ligne
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capturez.
  3. Cliquez Fichier de capture hors ligne.
  4. Sélectionnez Uploader puis cliquez sur Enregistrer.
  5. Cliquez OK. pour confirmer la réinitialisation de la banque de données.
    Le processus de capture est arrêté, l'état de capture est défini sur Hors ligne et toutes les données de la banque de données sont supprimées. Lorsque le système a mis la capture en mode hors ligne, le Fichier de capture hors ligne la page apparaît.
  6. Cliquez Choisissez un fichier, naviguez jusqu'au fichier de capture que vous souhaitez télécharger, sélectionnez-le, puis cliquez sur Ouvert.
  7. Cliquez Uploader.
    Le système ExtraHop affiche la page des résultats de capture hors ligne lorsque le fichier de capture est téléchargé avec succès.
  8. Cliquez Afficher les résultats pour analyser le fichier de capture de paquets comme vous le feriez lorsque le système est en mode capture en direct.
Remettre le système en mode Live Capture
  1. Dans le Configuration du système section, cliquez Capture (hors ligne).
  2. Cliquez Redémarrer la capture.
  3. Sélectionnez En direct, puis cliquez sur Enregistrer.
Le système supprime les mesures de performance collectées dans le fichier de capture précédent et prépare la banque de données pour une analyse en temps réel à partir de l'interface de capture.

Banque de données

Le système ExtraHop inclut une banque de données autonome en streaming pour stocker et récupérer les indicateurs de performance et de santé en temps réel. Cette banque de données locale contourne le système d'exploitation et accède directement aux périphériques en mode bloc sous-jacents, au lieu de passer par une base de données relationnelle classique.

Datastores locaux et étendus

Le système ExtraHop inclut une banque de données autonome en streaming pour stocker et récupérer les indicateurs de performance et de santé en temps réel. Cette banque de données locale contourne le système d'exploitation et accède directement aux périphériques en mode bloc sous-jacents, au lieu de passer par une base de données relationnelle classique.

La banque de données locale conserve les entrées de tous les appareils découverts par le système ExtraHop ainsi que les métriques de ces appareils. En stockant ces informations, le système ExtraHop est en mesure de fournir à la fois un accès rapide aux dernières captures du réseau et des informations historiques et basées sur les tendances sur les appareils sélectionnés.

Banque de données étendue

Le système ExtraHop peut se connecter à un équipement de stockage externe pour étendre votre stockage métrique. Par défaut, le système ExtraHop stocke localement les métriques rapides (30 secondes), moyennes (5 minutes) et lentes (1 heure). Cependant, vous pouvez stocker des métriques sur 5 minutes, 1 heure et 24 heures sur une banque de données étendue.

Pour stocker des métriques en externe, vous devez d'abord monter une banque de données externe, puis configurez le système ExtraHop pour stocker les données dans le répertoire monté. Vous pouvez monter une banque de données externe via NFS v4 (avec authentification Kerberos en option) ou CIFS (avec authentification facultative).

Notez que vous ne pouvez configurer qu'une seule banque de données étendue active à la fois pour collecter tous les cycles métriques configurés. Par exemple, si vous configurez votre banque de données étendue pour collecter des métriques sur 5 minutes, 1 heure et 24 heures, les trois cycles métriques sont stockés dans la même banque de données étendue . En outre, vous pouvez archiver une banque de données étendue et ces métriques sont disponibles pour les demandes en lecture seule provenant de plusieurs systèmes ExtraHop.

Voici quelques informations importantes à connaître sur la configuration d'une banque de données externe :

  • Si une banque de données étendue contient plusieurs fichiers dont les horodatages se chevauchent, les mesures seront incorrectes.
  • Si une banque de données étendue contient des métriques validées par un système ExtraHop exécutant une version ultérieure du microprogramme, le système doté de l'ancien microprogramme ne peut pas lire ces métriques.
  • Si une banque de données étendue devient inaccessible, le système ExtraHop met en mémoire tampon les métriques jusqu'à ce que la mémoire allouée soit pleine. Lorsque la mémoire est pleine, le système remplace les anciens blocs jusqu'à ce que la connexion soit rétablie. Lorsque le support se reconnecte, toutes les métriques stockées en mémoire sont écrites dans le support.
  • Si un fichier de banque de données étendu est perdu ou endommagé, les métriques contenues dans ce fichier sont perdues. Les autres fichiers de la banque de données étendue restent intacts.
  • Par mesure de sécurité, le système n'autorise pas l'accès au mot de passe en texte clair enregistré pour la banque de données.

Calculez la taille requise pour votre banque de données étendue

La banque de données étendue doit disposer de suffisamment d'espace pour contenir la quantité de données générée par le système ExtraHop. La procédure suivante explique comment calculer approximativement l'espace libre dont vous avez besoin pour votre banque de données étendue.

Before you begin

Familiarisez-vous avec ExtraHop concepts de banque de données.
Dans l'exemple suivant, nous vous montrons comment calculer la quantité d'espace de stockage requise pour 30 jours sur la base de mesures de 5 minutes.
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez sur le Réglages du système icône, puis cliquez sur État du système.
  3. Faites défiler la page vers le Flux de données section.
  4. Dans le Estimations rétrospectives des données métriques graphique, notez le Taux et aperçu estimatif pour chaque cycle métrique (ou période) que vous souhaitez stocker dans la banque de données externe. Les estimations sont basées sur des mesures écrites pendant l'intervalle de temps sélectionné.


  5. Calculez l'espace requis en appliquant la formule suivante : <rate> x <lookback_time>, puis convertissez la valeur en unités standard.
    Par exemple, dans la figure ci-dessus, le débit pour les métriques de 5 minutes est de 39,3 Ko/s.
    1. Convertissez le taux de quelques secondes en jours : 39.3 * 60 (seconds) * 60 (minutes) * 24 (hours) * 30 (days) = 101865600 KB pour 30 jours de rétrospective.
    2. Convertissez le débit de kilo-octets en mégaoctets : 101865600 / 1024 = 99478 MB pour 30 jours de rétrospective.
    3. Convertissez le débit de mégaoctets en gigaoctets :99478 / 1024 = 97 GB pour 30 jours de rétrospective.
    Pour stocker toutes les métriques de 5 minutes de ce système ExtraHop pendant 30 jours, vous avez besoin de 97 Go d'espace libre.

Configuration d'une banque de données CIFS ou NFS étendue

Les procédures suivantes vous montrent comment configurer une banque de données externe pour le système ExtraHop.

Pour configurer une banque de données étendue, vous devez suivre les étapes suivantes :
  • Vous devez d'abord monter le partage NFS ou CIFS dans lequel vous souhaitez stocker les données.
  • Pour NFS, configurez éventuellement l'authentification Kerberos avant d'ajouter le montage NFS.
  • Enfin, spécifiez le montage récemment ajouté comme banque de données active.
Ajouter un montage CIFS
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Banque de données.
  3. Dans le Paramètres étendus de la banque de données section, cliquez Configuration d'une banque de données étendue.
  4. Cliquez Ajouter un support.
  5. Cliquez Ajouter un montage CIFS.
  6. Sur le Configuration du montage CIFS page, entrez les informations suivantes :
    Nom de la monture
    Un nom pour le montage ; par exemple, EXDS_CIFS.
    Chemin de partage à distance
    Le chemin du partage au format suivant :
    \\host\mountpoint

    Par exemple :

    \\herring\extended-datastore
    Version pour PME
    Version SMB compatible avec votre serveur de fichiers.
    Domaine
    Le domaine du site.
  7. Si une protection par mot de passe est requise, procédez comme suit :
    1. À partir du Authentification menu déroulant, sélectionnez mot de passe.
    2. Dans le Utilisateur et Mot de passe dans les champs, saisissez un nom d'utilisateur et un mot de passe valides.
  8. Cliquez Enregistrer.
(Facultatif) Configurer Kerberos pour NFS
Vous devez configurer l'authentification Kerberos de votre choix avant d'ajouter un montage NFS.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Banque de données et personnalisations.
  3. Dans le Paramètres étendus de la banque de données section, cliquez Configuration d'une banque de données étendue.
  4. Cliquez Ajouter une configuration Kerberos, puis complétez les informations suivantes.
    1. Dans le Serveur d'administration dans ce champ, saisissez l'adresse IP ou le nom d'hôte du serveur Kerberos principal qui émet les tickets.
    2. Dans le Centre de distribution de clés (KDC) dans ce champ, saisissez l'adresse IP ou le nom d'hôte du serveur qui contient les clés.
    3. Dans le Royaume dans ce champ, saisissez le nom du domaine Kerberos pour votre configuration.
    4. Dans le Domaine dans ce champ, saisissez le nom du domaine Kerberos correspondant à votre configuration.
  5. Dans le Fichier Keytab section, cliquez Choisissez un fichier, sélectionnez un fichier keytab enregistré, puis cliquez sur Ouvert.
  6. Cliquez Téléverser.
Ajouter un montage NFS

Before you begin

  • Configurez toute authentification Kerberos applicable avant d'ajouter un montage NFS.
  • Autorisez l'accès en lecture/écriture à tous les utilisateurs du partage ou attribuez à l'utilisateur « extrahop » le propriétaire du partage et autorisez l'accès en lecture/écriture.
  • Vous devez disposer de la version 4 de NFS.
  1. Dans le Configuration du système section, cliquez Banque de données et personnalisations.
  2. Dans le Paramètres étendus de la banque de données section, cliquez Configuration d'une banque de données étendue.
  3. Cliquez Ajouter un montage NFSv4.
  4. Sur le Configurer le montage NFSv4 page, complétez les informations suivantes :
    1. Dans le champ Nom du montage, saisissez un nom pour le montage, tel que EXDS.
    2. Dans le champ Remote Share Point, saisissez le chemin du montage au format suivant : host:/mountpoint, tels que herring:/mnt/extended-datastore.
  5. Dans le menu déroulant Authentification, sélectionnez l'une des options suivantes :
    • Aucune, Sans authentification
    • Kerberos, Pour la sécurité de krb5.
    • Kerberos (authentification sécurisée et intégrité des données), pour la sécurité de krb5i.
    • Kerberos (authentification sécurisée, intégrité des données, confidentialité) , pour la sécurité krb5p
  6. Cliquez Enregistrer.
Spécifier un montage en tant que banque de données étendue active
Après avoir ajouté un montage CIFS ou NFS, définissez-le comme votre banque de données étendue active. N'oubliez pas qu'une seule banque de données peut collecter des métriques à la fois.
Remarque :Si vous décidez de stocker les métriques de 5 minutes et d'une heure sur la banque de données étendue, cette option entraîne la migration de toutes les métriques de 5 minutes et 1 heure collectées dans la banque de données du système ExtraHop local vers la banque de données étendue. La migration de métriques de 5 minutes et d'une heure vers une banque de données étendue laisse plus de place pour stocker des métriques de 30 secondes dans la banque de données locale, ce qui augmente la quantité de rétrospective en haute résolution disponible.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Banque de données et personnalisations.
  3. Dans le Paramètres étendus de la banque de données section, cliquez Configuration d'une banque de données étendue.
  4. À partir du Nom de la monture dans la liste déroulante, sélectionnez le nom du montage que vous souhaitez spécifier comme banque de données étendue.
  5. Dans le Répertoire des banques de données champ, saisissez le nom du répertoire de la banque de données. Le répertoire est automatiquement créé sur le point de montage par le système ExtraHop.
  6. À partir du Configurer en tant qu'options, sélectionnez Actif bouton radio.
  7. Dans le Taille de la banque de données champ, spécifiez la quantité maximale de données pouvant être stockées dans la banque de données.
  8. Cochez cette case pour stocker les mesures de 5 minutes et d'une heure sur la banque de données étendue. Les mesures sur 24 heures sont toujours stockées dans la banque de données étendue.
  9. Spécifiez s'il faut migrer les métriques existantes vers la banque de données étendue en sélectionnant l'une des options suivantes.
    • Pour migrer les métriques existantes, cliquez sur Déplacer les métriques existantes vers la banque de données étendue.
    • Pour conserver les métriques existantes dans la banque de données locale, cliquez sur Conservez les métriques existantes sur l' ExtraHop.
    Avertissement :Pendant la migration des données, le système ExtraHop arrête de collecter des données et les performances du système sont dégradées. Le processus de migration prend plus de temps dans les circonstances suivantes :
    • S'il y a une grande quantité de données à migrer
    • Si la connexion réseau à l'équipement NAS hébergeant la banque de données est lente
    • Si les performances d'écriture de l'équipement NAS hébergeant la banque de données sont lentes
  10. Sélectionnez Déplacer l'existant.
  11. Spécifiez ce que le système doit faire si la banque de données est pleine en sélectionnant l'une des options suivantes.
    • Pour remplacer les anciennes données lorsque la banque de données est pleine, cliquez sur Remplacer.
    • Pour arrêter de stocker de nouvelles métriques sur la banque de données étendue lorsque celle-ci est pleine, cliquez sur Arrête d'écrire.
  12. Cliquez Configurez.
  13. Une fois le stockage ajouté, le statut s'affiche Nominal.

Archiver une banque de données étendue pour un accès en lecture seule

En déconnectant une banque de données active d'un système ExtraHop, vous pouvez créer une archive en lecture seule des données de métriques stockées. N'importe quel nombre de systèmes ExtraHop peuvent lire à partir d'une banque de données archivée.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Banque de données et personnalisations.
  3. Dans le Paramètres étendus de la banque de données section, cliquez Configuration d'une banque de données étendue.
  4. Cliquez sur le nom du montage qui contient la banque de données que vous souhaitez archiver.
  5. Dans la ligne de cette banque de données, cliquez sur Déconnecter la banque de données étendue.
  6. Type OUI pour confirmer, puis cliquez sur OK..
La banque de données est déconnectée du système et marquée pour un accès en lecture seule. Attendez au moins dix minutes avant de connecter tout autre système ExtraHop à l' archive.
Connectez votre système ExtraHop à la banque de données archivée
Avertissement :Pour se connecter à une banque de données archivée, le système ExtraHop doit parcourir les données contenues dans la banque de données. En fonction de la quantité de données stockée dans la banque de données archivée, la connexion à la banque de données archivée peut prendre un certain temps. Lors de la connexion à la banque de données archivée, le système ne collecte pas de données et les performances du système sont dégradées. Le processus de connexion prend plus de temps dans les cas suivants :
  • S'il y a une grande quantité de données dans la banque de données
  • Si la connexion réseau à l'équipement NAS hébergeant la banque de données est lente
  • Si les performances de lecture de l'équipement NAS hébergeant la banque de données sont lentes
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système, cliquez Banque de données et personnalisations.
  3. Dans le Paramètres étendus de la banque de données section, cliquez Configuration d'une banque de données étendue.
  4. Cliquez sur le nom du montage qui contient la banque de données archivée.
  5. Dans le Répertoire des banques de données dans ce champ, saisissez le chemin du répertoire de la banque de données archivée.
  6. Cliquez Archive (lecture seule).
  7. Cliquez Configurez.
Votre base de données étendue est désormais une archive en lecture seule accessible par plusieurs systèmes ExtraHop.

Importer des métriques depuis une banque de données étendue

Si vous avez stocké des données métriques sur une banque de données étendue connectée à votre système ExtraHop, vous pouvez déplacer ces données lors d'une mise à niveau ou d'une réinitialisation de la banque de données.

Contacter Assistance ExtraHop si vous devez transférer des métriques depuis une banque de données étendue.

Réinitialisez la banque de données locale et supprimez toutes les métriques de l'équipement du système ExtraHop

Dans certaines circonstances, comme le déplacement d'un sonde d'un réseau à l'autre, vous devrez peut-être effacer les métriques dans les banques de données locales et étendues. La réinitialisation de la banque de données locale supprime toutes les mesures, les références, les analyses de tendances et les appareils découverts, et affecte toutes les personnalisations de votre système ExtraHop.

Avertissement :Cette procédure supprime les ID et les métriques des équipements du système ExtraHop.

Voici quelques considérations importantes concernant la réinitialisation de la banque de données locale :

  • Familiarisez-vous avec ExtraHop concepts de base de données.
  • Les personnalisations sont des modifications apportées aux paramètres par défaut du système, tels que les déclencheurs, les tableaux de bord, les alertes et les mesures personnalisées. Ces paramètres sont enregistrés dans un fichier sur le système. Ce fichier est également supprimé lors de la réinitialisation de la banque de données.
  • La procédure de réinitialisation inclut une option permettant d'enregistrer et de restaurer vos personnalisations.
  • La plupart des personnalisations sont appliquées aux appareils, qui sont identifiés par un identifiant sur le système. Lorsque la banque de données locale est réinitialisée, ces identifiants peuvent changer et toutes les attributions basées sur les appareils doivent être réattribuées aux appareils par leurs nouveaux identifiants.
  • Si les ID de vos équipements sont stockés dans la banque de données étendue et que cette banque de données est déconnectée lorsque la banque de données locale est réinitialisée, puis reconnectée ultérieurement, ces ID d'équipement sont restaurés dans la banque de données locale et vous n'avez pas besoin de réattribuer vos personnalisations restaurées.
  • La procédure de réinitialisation préserve les données historiques de comptage des équipements afin de maintenir la précision des mesures dans Nombre et limite d'appareils actifs graphique.
  • Les alertes configurées sont conservées dans le système, mais elles sont désactivées et doivent être activées et réappliquées au réseau, à l'équipement ou au groupe déquipements approprié. Les paramètres système et les comptes utilisateurs ne sont pas affectés.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Banque de données et personnalisations.
  3. Déconnectez votre banque de données étendue en suivant les étapes suivantes :
    1. Dans le Paramètres étendus de la banque de données section, cliquez sur Configuration de la banque de données étendue.
    2. Cliquez sur le nom du montage qui contient la banque de données que vous souhaitez déconnecter.
    3. Dans la ligne de cette banque de données, cliquez sur Déconnecter la banque de données étendue.
    4. Tapez OUI pour confirmer, puis cliquez sur OK..
  4. Retournez au Banque de données et personnalisations page.
  5. Dans le Paramètres de la banque de données locale section, cliquez sur Réinitialiser la banque de données.
  6. Sur le Réinitialiser la banque de données page, indiquez si vous souhaitez enregistrer les personnalisations avant de réinitialiser la banque de données.
    • Pour conserver les personnalisations actuelles après la réinitialisation de la banque de données, sélectionnez Enregistrer les personnalisations case à cocher.
    • Pour supprimer les personnalisations en cours après la réinitialisation de la banque de données, désactivez Enregistrer les personnalisations case à cocher.
  7. Tapez OUI dans la zone de texte de confirmation.
  8. Cliquez Réinitialiser la banque de données.
    Si vous avez choisi d'enregistrer vos personnalisations, une invite s'affiche avec une liste détaillée au bout d'une minute environ. Cliquez OK. pour restaurer les personnalisations enregistrées.

Résoudre les problèmes liés à la banque de données étendue

Pour consulter l'état de vos montages et de vos banques de données, et identifier les étapes de dépannage applicables, procédez comme suit.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la section Configuration du système, cliquez sur Banque de données et personnalisations .
  3. Dans la section Paramètres étendus de la banque de données, cliquez sur Configuration d'une banque de données étendue.
  4. Dans le tableau Extended Datastores, consultez l'entrée dans la colonne Status pour chaque montage ou banque de données. Le tableau suivant fournit des conseils sur chaque entrée et identifie les mesures applicables.
Tableau 1. Supports
État Descriptif Action de l'utilisateur
Monté La configuration de montage s'est déroulée correctement. Aucune n'est requise
NON MONTÉ La configuration du montage a échoué.
  • Vérifiez que les informations de configuration du montage sont exactes et orthographiées correctement.
  • Vérifiez que le système distant est disponible.
  • Vérifiez que le type et la version du serveur sont pris en charge.
  • Vérifiez les informations d'identification, si vous utilisez l'authentification.
NON LISIBLE Le support présente des autorisations ou des problèmes liés au réseau qui empêchent la lecture.
  • Vérifiez que les autorisations appropriées sont définies sur le partage.
  • Vérifiez la connexion au réseau et sa disponibilité.
AUCUN ESPACE DISPONIBLE