Configurer la capture de paquets

Votre système ExtraHop doit disposer d'une licence pour la capture de paquets et configuré avec un disque de stockage dédié. Physique capteurs nécessitent un disque de stockage SSD et les capteurs virtuels nécessitent un disque configuré sur votre hyperviseur.

1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
2. Dans le Paramètres de l'appliance section, cliquez sur Disques.
3. En fonction de votre sonde options de type et de menu, configurez les paramètres suivants.
   • Pour les capteurs physiques, cliquez Activer à côté de Capture de paquets assistée par SSD, puis cliquez sur OK..
   • Pour les capteurs virtuels, vérifiez que running apparaît dans la colonne État et que la taille de disque que vous avez configurée pour la capture de paquets apparaît dans la colonne Taille. Cliquez Activer à côté de Capture de paquets déclenchée, puis cliquez sur OK..

Les disques de capture de paquets peuvent être sécurisés à l'aide d'un chiffrement AES 256 bits.

1. Dans le Paramètres de l'appliance section, cliquez Disques.
2. Sur la page Disques, sélectionnez l'une des options suivantes en fonction de votre type de sonde.
   • Pour les capteurs virtuels, cliquez Configurez à côté de Triggered Packet Capture.
   • Pour les capteurs physiques, cliquez Configurez à côté de la capture de paquets assistée par SSD.
3. Cliquez Chiffrer le disque.
4. Spécifiez une clé de chiffrement de disque à l'aide de l'une des options suivantes :
   • Entrez une phrase secrète dans les champs Phrase secrète et Confirmer.
   • Cliquez Choisissez un fichier et sélectionnez un fichier de clé de chiffrement.
5. Cliquez Chiffrer.

Vous pouvez formater un disque de capture de paquets chiffré pour supprimer définitivement toutes les captures de paquets. Le formatage d'un disque chiffré supprime le chiffrement. Si vous souhaitez formater un disque de capture de paquets non chiffré, vous devez le retirer, puis le réactiver.

1. Dans le Paramètres de l'appareil section, cliquez Disques.
2. Sur la page Disques, choisissez l'une des options suivantes en fonction de la plate-forme de votre appliance.
   • Pour les capteurs virtuels, cliquez sur Configurez à côté de Triggered Packet Capture.
   • Pour les capteurs physiques, cliquez Configurez à côté de la capture de paquets assistée par SSD.
3. Cliquez Effacer le chiffrement du disque.
4. Cliquez Formater.

Si vous souhaitez remplacer un disque de capture de paquets, vous devez d'abord le retirer du système. Lorsqu'un disque de capture de paquets est retiré du système, toutes les données qu'il contient sont définitivement supprimées.

1. Dans le Paramètres de l'appareil section, cliquez Disques.
2. Sur la page Disques, choisissez l'une des options suivantes en fonction de la plate-forme de votre appliance.
   • Pour les appareils virtuels, cliquez sur Configurez à côté de Triggered Packet Capture.
   • Pour les appareils physiques, cliquez sur Configurez à côté de la capture de paquets assistée par SSD.
3. Cliquez Supprimer le disque.
4. Sélectionnez l'une des options de format suivantes :
   • Formatage rapide
   • Effacement sécurisé
5. Cliquez Supprimer.

Une PCAP globale collecte chaque paquet envoyé au système ExtraHop pendant la durée correspondant aux critères.

1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
2. Dans le Captures de paquets section, cliquez sur Capture globale de paquets.
   Lors de la configuration des captures de paquets, il vous suffit de spécifier les critères que vous souhaitez pour la capture de paquets.
3. Dans le Nom dans le champ, saisissez un nom pour identifier la capture de paquets.
4. Dans le Nombre maximum de paquets dans le champ, saisissez le nombre maximum de paquets à capturer.
5. Dans le Nombre maximum d'octets dans ce champ, saisissez le nombre maximum d'octets à capturer.
6. Dans le Durée maximale (millisecondes) champ, saisissez la durée maximale de la PCAP en millisecondes.
   ExtraHop recommande la valeur par défaut de 1000 (1 seconde). La valeur maximale est de 60 000 millisecondes (1 minute).
7. Dans le Snäplen champ, saisissez le nombre maximum d'octets copiés par image.
   La valeur par défaut est de 96 octets, mais vous pouvez définir cette valeur sur un nombre compris entre 1 et 65535.
8. Cliquez Démarrer.

   Conseil :

   Notez l'heure à laquelle vous commencez la capture pour faciliter la localisation des paquets.

9. Cliquez Arrête pour arrêter la capture de paquets avant que l'une des limites maximales ne soit atteinte.

Les captures de paquets précises nécessitent des déclencheurs ExtraHop, qui vous permettent de capturer uniquement les paquets qui répondent à vos spécifications. Les déclencheurs sont des codes définis par l'utilisateur hautement personnalisables qui s'exécutent sur des événements système définis.

1. Cliquez sur l'icône Paramètres système puis cliquez sur éléments déclencheurs.
2. Cliquez Créez.
3. Tapez un nom pour le déclencheur et sélectionnez les événements HTTP_REQUEST et HTTP_RESPONSE.
4. Tapez ou collez le code déclencheur suivant dans le volet droit.

   Flow.captureStart("HTTP host " + HTTP.host, {maxPackets: 10});
   

   Copier
5. Attribuez le déclencheur à un équipement ou à un groupe d'appareils.

   Avertissement :

   L'exécution de déclencheurs sur des appareils et des réseaux inutiles épuise les ressources du système. Minimisez l'impact sur les performances en affectant un déclencheur uniquement aux sources spécifiques auprès desquelles vous devez collecter des données .

6. Sélectionnez Activer le déclencheur.
7. Cliquez Enregistrer.