Guide de l'interface utilisateur d'administration
Présentation de l'interface utilisateur d'ExtraHop Admin
Le guide de l'interface utilisateur d'administration fournit des informations détaillées sur les caractéristiques d'administrateur et les fonctionnalités d'ExtraHop. capteurs et consoles. Ce guide fournit une vue d'ensemble de la navigation globale et des informations sur les contrôles, les champs et les options disponibles dans l' interface utilisateur.
Vidéo : | Consultez la formation associée : Interface utilisateur d'administration de RevealX Enterprise |
Vos commentaires sont importants pour nous. Merci de nous indiquer comment nous pouvons améliorer ce document. Envoyez vos commentaires ou suggestions à documentation@extrahop.com.
Navigateurs pris en charge
Les navigateurs suivants sont compatibles avec tous les systèmes ExtraHop. Appliquez les fonctionnalités d'accessibilité et de compatibilité fournies par votre navigateur pour accéder au contenu par le biais d'outils technologiques d'assistance.
- Firefox
- Google Chrome
- Microsoft Edge
- Safari
Important : | Internet Explorer 11 n'est plus pris en charge. Nous vous recommandons d' installer la dernière version de tout navigateur compatible. |
État et diagnostics
Le État et diagnostics La section fournit des statistiques sur l'état général de votre système ExtraHop.
Santé
Le Santé La page fournit un ensemble de mesures qui vous aident à surveiller le fonctionnement de votre système ExtraHop et permet au support ExtraHop de résoudre les erreurs système si nécessaire.
- Système
- Fournit les informations suivantes sur l'utilisation du processeur et du disque dur du système.
- Utilisateur du processeur
- Pourcentage d'utilisation du processeur associé à l'utilisateur du système ExtraHop.
- Système CPU
- Pourcentage d'utilisation du processeur associé au système ExtraHop.
- CPU inactif
- Pourcentage d'inactivité du processeur associé au système ExtraHop.
- PROCESSEUR IO
- Pourcentage d'utilisation du processeur associé aux fonctions d'E/S du système ExtraHop.
- État du pont
- Fournit les informations suivantes sur le composant de pont du système ExtraHop.
- VM RSS
- Le pont traite la mémoire physique en cours d'utilisation.
- Données de machine virtuelle
- Mémoire virtuelle utilisée pour le traitement Bridge.
- Taille de la machine virtuelle
- Le pont traite la totalité de la mémoire virtuelle utilisée.
- Heure de début
- Spécifie l'heure de début du composant de pont système ExtraHop.
- État de la capture
- Fournit les informations suivantes concernant l'état de capture réseau du système ExtraHop.
- VM RSS
- Mémoire physique du processus de capture réseau utilisée.
- Données de machine virtuelle
- Le processus de capture réseau utilise la mémoire virtuelle en tas.
- Taille de la machine virtuelle
- Mémoire virtuelle totale utilisée pour le processus de capture réseau.
- Heure de début
- Heure de début de la capture réseau ExtraHop.
- État du service
- Indique l'état des services du système ExtraHop.
- ex-alerteurs
- Durée d'exécution du service d'alerte du système ExtraHop.
- étendre
- Durée d'exécution du service de tendances du système ExtraHop.
- exconfig
- Durée d'exécution du service de configuration du système ExtraHop.
- exportation
- Durée d'exécution du service de portail Web du système ExtraHop.
- exshell
- Durée d'exécution du service shell du système ExtraHop.
- Interfaces
- Indique l'état des interfaces du système ExtraHop.
- paquets RX
- Le nombre de paquets reçus par l'interface spécifiée sur le système ExtraHop
- Erreurs RX
- Le nombre d'erreurs de paquets reçus sur le paquet spécifié interface.
- Gouttes RX
- Le nombre de paquets reçus abandonnés par la commande spécifiée interface.
- Paquets TX
- Le nombre de paquets transmis par l'interface spécifiée sur le système ExtraHop
- Erreurs TX
- Le nombre d'erreurs de paquets transmis sur le paquet spécifié interface.
- TX Drops
- Le nombre de paquets transmis abandonnés par la valeur spécifiée interface.
- Octets RX
- Le nombre d'octets reçus par l'interface spécifiée sur le Système ExtraHop
- Octets TX
- Le nombre d'octets transmis par l'interface spécifiée sur le système ExtraHop
- Cloisons
- Indique la mémoire allouée aux composants du système ExtraHop.
- Nom
- Les composants du système qui ont une partition mémoire dans la NVRAM.
- Options
- Les options de lecture-écriture pour les composants du système.
- Taille
- Taille de partition en gigaoctets allouée au composant du système.
- Utilisation
- Quantité de mémoire actuellement consommée par les composants du système, en quantité et en pourcentage de la partition totale.
Nombre et limite d'équipements actifs
Le graphique du nombre et des limites d'appareils actifs vous permet de vérifier si le nombre d' appareils actifs a dépassé la limite autorisée. Par exemple, un système ExtraHop avec une bande de 20 000 à 50 000 appareils est autorisé jusqu'à 50 000 appareils.
Cliquez Paramètres du système puis cliquez sur Toute l'administration. À partir du État et diagnostics section, cliquez sur Nombre et limite d'appareils actifs pour consulter le graphique.
Le graphique du nombre et des limites d'appareils actifs affiche les mesures suivantes :
- La ligne rouge pointillée représente le limite d' équipements sous licence.
- La ligne noire continue représente le 95e percentile des dispositifs actifs observés chaque jour au cours des 30 derniers jours.
- Les barres bleues représentent le nombre maximum d'appareils actifs observés chaque jour au cours des 30 derniers jours.
Cette page affiche également les statistiques suivantes :
- La limite d'équipements homologués pour la veille et les 30 derniers jours.
- Le nombre d'appareils actifs observés la veille.
- Le 95e percentile des dispositifs actifs observés au cours des 30 derniers jours.
- Pourcentage d'utilisation de la limite d'équipement sous licence pour la veille et les 30 derniers jours. L'utilisation est le nombre d'équipements actifs divisé par la limite autorisée.
Vous pouvez créer une règle de notification système pour vous avertir si l'utilisation est proche (dépasse 80%) or over (exceeds 100%) votre limite d'équipements sous licence. Les pourcentages limites sont personnalisables lorsque vous créez une règle. Si vous constatez que vous approchez ou dépassez constamment votre limite autorisée, nous vous recommandons de travailler avec votre équipe commerciale pour passer à la bande de capacité disponible suivante.
Vérifier le nombre d'équipements actifs
Vous pouvez consulter le graphique du nombre d'appareils actifs et des limites pour vérifier si le nombre d' appareils actifs a dépassé la limite autorisée.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- À partir du État et diagnostics section, cliquez sur Nombre et limite d'appareils actifs pour consulter le graphique.
Journal d'audit
Le journal dqu`audit fournit des données sur le fonctionnement de votre système ExtraHop, ventilées par composant. Le journal d'audit répertorie tous les événements connus par horodateur, dans l'ordre chronologique inverse.
Envoyer les données du journal d'audit à un serveur Syslog distant
Le journal dqu`audit collecte des données sur le fonctionnement du système ExtraHop, ventilées par composant. Le journal stocké sur le système a une capacité de 10 000 entrées, et les entrées datant de plus de 90 jours sont automatiquement supprimées. Vous pouvez consulter ces entrées dans les paramètres d'administration, ou vous pouvez envoyer les événements du journal d'audit à un serveur Syslog à des fins de stockage à long terme, de surveillance et d'analyse avancée. Tous les événements enregistrés sont répertoriés dans le tableau ci-dessous.
Les étapes suivantes vous montrent comment configurer le système ExtraHop pour envoyer les données du journal d'audit à un serveur Syslog distant.
Que faire ensuite
Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez vos modifications de configuration en enregistrant le fichier de configuration en cours d'exécution.Événements du journal d'audit
Les événements suivants sur un système ExtraHop génèrent une entrée dans le journal d'audit .
Catégorie | Événement |
---|---|
Accords |
|
API |
|
Migration des capteurs |
|
Sessions de navigateur |
|
Services dans le cloud |
|
Console |
|
Tableaux de bord |
|
Banque de données |
|
Détections |
|
Fichiers d'exceptions |
|
Enregistrements de l'espace de stockage des enregistrements ExtraHop |
|
cluster d'espace de stockage des enregistrements ExtraHop |
|
Service de mise à jour ExtraHop |
|
Micrologiciel |
|
Politiques mondiales |
|
Intégrations |
|
Licence |
|
Connectez-vous au système ExtraHop |
|
Connectez-vous à partir de l'API SSH ou REST |
|
Modules |
|
Réseau |
|
Capture hors ligne |
|
PCAP |
|
Accès à distance |
|
RPCAP |
|
Configuration en cours |
|
Fournisseur d'identité SAML |
|
Connexion SAML |
|
Privilèges SAML |
|
Étiquettes pour capteurs |
|
Décryptage SSL |
|
Clés de session SSL |
|
Compte d'assistance |
|
Script de support |
|
Syslog |
|
État du système et du service |
|
Heure du système |
|
Utilisateur du système |
|
Flux TAXII |
|
Exposés sur les menaces |
|
Stockage des paquets ExtraHop |
|
Tendances |
|
éléments déclencheurs |
|
Groupes d'utilisateurs |
|
Empreinte
Les empreintes digitales aident à protéger les appliances contre les attaques de type « machine in-the-middle » en fournissant un identifiant unique qui peut être vérifié lors de la connexion des appliances ExtraHop.
Lorsque vous connectez un espace de stockage des enregistrements ou un magasin de paquets ExtraHop à une sonde réseau d'analyse de paquets ou à une console, assurez-vous que l'empreinte digitale affichée est exactement la même que celle indiquée sur la page de jointure ou de couplage.
Si les empreintes digitales ne correspondent pas, les communications entre les appareils ont peut-être été interceptées et modifiées.
Fichiers d'exceptions
Les fichiers d'exception sont un fichier de base contenant les données stockées en mémoire. Lorsque vous activez le paramètre Fichier d' exception, le fichier principal est écrit sur le disque si le système s'arrête ou redémarre de manière inattendue. Ce fichier peut aider le support ExtraHop à diagnostiquer le problème.
Cliquez Activer les fichiers d'exception ou Désactiver les fichiers d'exception pour activer ou désactiver l'enregistrement des fichiers d'exception.
Scripts d'assistance
Le support ExtraHop peut fournir un script d'assistance qui peut appliquer un paramètre spécial, apporter un petit ajustement au système ExtraHop ou fournir de l'aide pour l'assistance à distance ou les paramètres améliorés . Les paramètres d'administration vous permettent de télécharger et d'exécuter des scripts de support.
Réglages réseau
Le Réglages réseau cette section fournit les paramètres de configuration de votre système ExtraHop. Ces paramètres vous permettent de définir un nom d'hôte, de configurer des notifications et de gérer les connexions à votre système.
Connectez-vous aux services cloud ExtraHop
ExtraHop Cloud Services permet d'accéder aux services cloud ExtraHop via une connexion cryptée.
Une fois la connexion établie, les informations relatives aux services disponibles apparaissent sur la page ExtraHop Cloud Services.
- En partageant des données avec le service d'apprentissage automatique ExtraHop, vous pouvez activer des fonctionnalités qui
améliorent le système ExtraHop et votre expérience utilisateur.
- Activez l'assistant de recherche AI pour trouver des appareils à l'aide d'instructions utilisateur en langage naturel, qui
sont partagées avec ExtraHop Cloud Services pour améliorer le produit. Consultez les FAQ sur l'assistant de recherche AI pour plus d'
informations. L'assistant de recherche AI ne peut actuellement pas être activé pour les
régions suivantes :
- Asie-Pacifique (Singapour, Sydney, Tokyo)
- Europe (Francfort, Paris)
- Adhérez à Expanded Threat Intelligence pour permettre au service d'apprentissage automatique d' examiner les données telles que les adresses IP et les noms d'hôtes par rapport aux renseignements sur les menaces fournis par CrowdStrike, aux terminaux inoffensifs et à d'autres informations sur le trafic réseau. Consultez les FAQ étendue sur les renseignements sur les menaces pour plus d' informations.
- Fournissez des données telles que les hachages de fichiers et les adresses IP externes à l' analyse collective des menaces afin d'améliorer la précision des détections. Consultez les FAQ sur l'analyse collective des menaces pour plus d' informations.
- Activez l'assistant de recherche AI pour trouver des appareils à l'aide d'instructions utilisateur en langage naturel, qui
sont partagées avec ExtraHop Cloud Services pour améliorer le produit. Consultez les FAQ sur l'assistant de recherche AI pour plus d'
informations. L'assistant de recherche AI ne peut actuellement pas être activé pour les
régions suivantes :
- Le service de mise à jour ExtraHop permet de mettre à jour automatiquement les ressources du système ExtraHop, telles que les packages de rançongiciels.
- L'accès à distance ExtraHop vous permet d'autoriser les membres de l'équipe chargée du compte ExtraHop et le support ExtraHop à se connecter à votre système ExtraHop pour obtenir de l'aide à la configuration. Consultez les FAQ sur l'accès à distance pour plus d'informations sur les utilisateurs d'accès à distance.
Vidéo : | Consultez la formation associée : Connectez-vous aux services cloud ExtraHop |
Before you begin
- Les systèmes RevealX 360 sont automatiquement connectés aux services cloud ExtraHop, mais il se peut que vous deviez autoriser l'accès via les pare-feux réseau.
- Vous devez appliquer la licence appropriée sur le système ExtraHop avant de pouvoir vous connecter aux services cloud ExtraHop. Consultez les FAQ sur les licences pour plus d'informations.
- Vous devez avoir configuré ou privilèges d'administration du système et des accès pour accéder aux paramètres d'administration.
Configurez les règles de votre pare-feu
Si votre système ExtraHop est déployé dans un environnement doté d'un pare-feu, vous devez ouvrir l' accès aux services cloud ExtraHop. Pour les systèmes RevealX 360 connectés à des systèmes autogérés capteurs, vous devez également ouvrir l'accès à l'espace de stockage des enregistrements basé sur le cloud inclus dans RevealX Standard Investigation
Accès ouvert aux services cloud
Pour accéder aux services cloud ExtraHop, votre capteurs doit être en mesure de résoudre les requêtes DNS pour *.extrahop.com et d'accéder au TCP 443 (HTTPS) à partir de l'adresse IP qui correspond à votre sonde licence :
- 35.161.154.247 (Portland, États-Unis)
- 54.66.242.25 (Sydney, Australie)
- 52.59.110.168 (Francfort, Allemagne)
Accès libre à RevealX 360 Standard Investigation
Pour accéder à RevealX 360 Standard Investigation, votre capteurs doit pouvoir accéder au protocole TCP 443 (HTTPS) sortant à ces noms de domaine complets :
- bigquery.googleapis.com
- bigquerystorage.googleapis.com
- oauth2.googleapis.com
- www.googleapis.com
- www.mtls.googleapis.com
- iamcredentials.googleapis.com
Vous pouvez également consulter les conseils publics de Google sur calcul des plages d'adresses IP possibles pour googleapis.com.
Outre la configuration de l'accès à ces domaines, vous devez également configurer le paramètres globaux du serveur proxy.
Connectez-vous aux services cloud ExtraHop via un proxy
Si vous ne disposez pas d'une connexion Internet directe, vous pouvez essayer de vous connecter à ExtraHop Cloud Services via un proxy explicite.
Before you begin
Vérifiez si votre fournisseur de proxy est configuré pour exécuter le machine-in-the-middle (MITM) lors de la tunnelisation de SSH via HTTP CONNECT vers localhost:22. ExtraHop Cloud Services déploie un tunnel SSH interne chiffré, de sorte que le trafic ne sera pas visible lors de l'inspection MITM. Nous vous recommandons de créer une exception de sécurité et de désactiver l' inspection MITM pour ce trafic.Important : | Si vous ne parvenez pas à désactiver MITM sur votre proxy, vous devez désactiver la validation des certificats dans le fichier de configuration exécutant le système ExtraHop. Pour plus d'informations, voir Contourner la validation des certificats. |
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Connectivité.
- Cliquez Activer le proxy cloud ExtraHop.
- Dans le Nom d'hôte dans le champ, saisissez le nom d'hôte de votre serveur proxy, tel que hôte proxy.
- Dans le Port dans le champ, saisissez le port de votre serveur proxy, tel que 8080.
- Facultatif : Si nécessaire, dans Nom d'utilisateur et Mot de passe champs, saisissez un nom d'utilisateur et un mot de passe pour votre serveur proxy.
- Cliquez Enregistrer.
Contourner la validation des certificats
Certains environnements sont configurés de telle sorte que le trafic chiffré ne puisse pas quitter le réseau sans inspection par un équipement tiers. Cet équipement peut agir comme un point de terminaison TLS qui déchiffre et rechiffre le trafic avant d'envoyer les paquets à ExtraHop Cloud Services.
Remarque : | La procédure suivante nécessite de vous familiariser avec la modification du fichier de configuration en cours d'exécution d'ExtraHop. |
Déconnexion des services cloud ExtraHop
Vous pouvez déconnecter un système ExtraHop des services cloud ExtraHop.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Services cloud ExtraHop .
- Dans le Connexion aux services cloud section, cliquez sur Déconnecter.
Gérer l'inscription aux services cloud ExtraHop
Si vous souhaitez déplacer une licence existante d'un système ExtraHop à un autre, vous pouvez gérer l'inscription au système depuis la page ExtraHop Cloud Services. La désinscription d'un système supprime toutes les données et analyses historiques du service d'apprentissage automatique du système et ne sera plus disponible.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Services cloud ExtraHop .
- Dans le Connexion aux services cloud section, cliquez sur Désinscrivez-vous.
Connectivité
Le Connectivité La page contient des commandes pour les connexions et les paramètres réseau de votre appliance.
- État de l'interface
- Sur les appliances physiques, un schéma des connexions d'interface apparaît, qui est mis à jour
dynamiquement en fonction de l'état du port.
- Le port Ethernet bleu est destiné à la gestion
- Un port Ethernet noir indique qu'un port autorisé et activé est actuellement hors service
- Un port Ethernet vert indique un port connecté actif
- Un port Ethernet gris indique un port désactivé ou sans licence
- Paramètres réseau
-
- Cliquez Modifier les paramètres pour ajouter un nom d'hôte pour votre appliance ExtraHop ou pour ajouter des serveurs DNS.
- Paramètres du proxy
-
- Activez un proxy mondial pour vous connecter à une console ExtraHop
- Activez un proxy cloud pour vous connecter aux services cloud ExtraHop
- Paramètres de l'interface Bond
-
- Créez un interface de liaison pour relier plusieurs interfaces en une seule interface logique avec une seule adresse IP.
- Interfaces
- Consultez et configurez vos interfaces de gestion et de surveillance. Cliquez sur n'importe quelle interface pour afficher les options de réglage.
- Paramètres d'ingestion de paquets
-
- Configurer la source des paquets ingérés par cette sonde. Vous pouvez activer la sonde pour qu'elle ingère des paquets provenant d'un flux direct ou des paquets transférés par un tiers.
Configuration d'une interface
Définir un itinéraire statique
Before you begin
Vous devez désactiver DHCPv4 avant de pouvoir ajouter une route statique.- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Connectivité.
- Dans le Interfaces section, cliquez sur le nom de l'interface que vous souhaitez configurer.
- Sur le Paramètres réseau pour l'interface <interface number> page, assurez-vous que Adresse IPv4 et Masque réseau les champs sont complets et enregistrés, puis cliquez sur Modifier les itinéraires.
- Dans le Ajouter un itinéraire section, saisissez une plage d'adresses réseau en notation CIDR dans le Réseau champ et adresse IPv4 dans le Par IP champ, puis cliquez sur Ajouter.
- Répétez l'étape précédente pour chaque itinéraire que vous souhaitez ajouter.
- Cliquez Enregistrer.
Débit de l'interface
Hop supplémentaire sonde les modèles EDA 6100, EDA 8100 et EDA 9100 sont optimisés pour capturer le trafic exclusivement sur les ports 10 GbE.
L'activation des interfaces 1 GbE pour surveiller le trafic peut avoir un impact sur les performances, en fonction de l'ExtraHop sonde. Bien que vous puissiez les optimiser capteurs pour capturer le trafic simultanément sur les ports 10 GbE et les trois ports 1 GbE non liés à la gestion, nous vous recommandons de contacter le support ExtraHop pour obtenir de l'aide afin d'éviter une réduction du débit.
Remarque : | Les capteurs EDA 6200, EDA 8200, EDA 9200 et EDA 10200 ne sont pas sensibles à une réduction du débit si vous activez des interfaces 1 GbE pour surveiller le trafic. |
Capteur ExtraHop | Débit | Détails |
---|---|---|
ANNÉE 9100 | Débit standard de 40 Gbit/s | Si les interfaces 1 GbE non liées à la gestion sont désactivées, vous pouvez utiliser jusqu'à quatre interfaces 10 GbE pour un débit combiné allant jusqu'à 40 Gbit/s. |
ÉD. 8100 | Débit standard de 20 Gbit/s | Si les interfaces 1 GbE non liées à la gestion sont désactivées, vous pouvez utiliser l'une des interfaces 10 GbE ou les deux pour un débit combiné allant jusqu'à 20 Gbit/s. |
ÉD. 6100 | Débit standard de 10 Gbit/s | Si les interfaces 1 GbE non liées à la gestion sont désactivées, le débit combiné total maximum est de 10 Gbit/s. |
ÉD. 3100 | Débit standard de 3 Gbit/s | Aucune interface 10 GbE |
ANNÉE 1100 | Débit standard de 1 Gbit/s | Aucune interface 10 GbE |
Débit du capteur pour plusieurs modules
Un peu de Hop supplémentaire sonde les modèles prennent en charge l'activation du module IDS, à condition que la sonde soit homologuée pour le module NDR. L'activation de l'IDS sur ces capteurs peut affecter le débit des capteurs.
Modèle de capteur ExtraHop | Assistance IDS | Débit sans IDS (Gbit/s) | Débit avec IDs (Gbit/s) |
---|---|---|---|
1200 | Non | 1 | N/A |
4200 | Non | 5 | N/A |
6200 | Oui | 10 | 4 |
8200 | Oui | 25 | 10 |
8320 | Oui | 25 | 25 |
9200 | Oui | 50 | 20 |
9300 | Oui | 50 | 30 |
10200 | Oui | 100 | 40 |
10300 | Oui | 100 | À DÉTERMINER |
serveur proxy mondial
Si la topologie de votre réseau nécessite un serveur proxy pour permettre à votre système ExtraHop de communiquer soit avec console ou avec d'autres appareils extérieurs au réseau local, vous pouvez activer votre système ExtraHop pour qu'il se connecte à un serveur proxy que vous avez déjà sur votre réseau. La connectivité Internet n'est pas requise pour le serveur proxy global.
Configurer un proxy global
Important : | Vous ne pouvez configurer qu'un seul serveur proxy global par système ExtraHop. |
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Connectivité.
- Dans le Paramètres du proxy section, cliquez sur Activer le proxy global.
- Dans le Nom d'hôte dans le champ, entrez le nom d'hôte ou l'adresse IP de votre serveur proxy mondial
- Dans le Port dans ce champ, entrez le numéro de port de votre serveur proxy.
- Dans le Nom d'utilisateur dans ce champ, entrez le nom d'un utilisateur disposant d'un accès privilégié à votre serveur proxy mondial.
- Dans le Mot de passe champ, entrez le mot de passe de l'utilisateur spécifié ci-dessus.
Proxy ExtraHop Cloud
Si votre système ExtraHop ne dispose pas d'une connexion Internet directe, vous pouvez vous connecter à Internet via un serveur proxy spécialement conçu pour la connectivité des services ExtraHop Cloud. Un seul proxy peut être configuré par système.
Complétez les champs suivants et cliquez sur Enregistrer pour activer un proxy cloud.
Nom d'hôte : Le nom d'hôte ou l'adresse IP de votre serveur proxy cloud.
Port : Le numéro de port de votre serveur proxy cloud.
Nom d'utilisateur : Le nom d'un utilisateur autorisé à accéder à votre serveur proxy cloud.
Mot de passe : Le mot de passe de l'utilisateur indiqué ci-dessus.
Interfaces de liaison
Vous pouvez relier plusieurs interfaces de votre système ExtraHop en une seule interface logique dotée d'une adresse IP pour la bande passante combinée des interfaces membres. Les interfaces de liaison permettent d'augmenter le débit avec une seule adresse IP. Cette configuration est également connue sous le nom d'agrégation de liens, de canalisation de ports, de regroupement de liens, de liaison Ethernet/réseau/carte réseau ou d'association de cartes réseau. Les interfaces Bond ne peuvent pas être réglées en mode surveillance.
Remarque : | Lorsque vous modifiez les paramètres de l'interface de liaison, vous perdez la connectivité à votre système ExtraHop. Vous devez modifier la configuration de votre commutateur réseau pour rétablir la connectivité. Les modifications requises dépendent de votre commutateur. Contactez le support ExtraHop pour obtenir de l'aide avant de créer une interface Bond. |
- La liaison n'est configurable que sur les interfaces Management ou Management +.
- Canalisation portuaire sur les ports de surveillance du trafic est pris en charge par les capteurs ExtraHop.
Les interfaces choisies comme membres d'une interface de liaison ne sont plus configurables indépendamment et sont affichées comme Handicapé (membre obligataire) dans la section Interfaces de la page Connectivité. Une fois qu'une interface de liaison est créée, vous ne pouvez pas ajouter de membres supplémentaires ni supprimer des membres existants. L'interface de liaison doit être détruite et recréée.
Création d'une interface de liaison
Vous pouvez créer une interface de liaison avec au moins un membre d'interface et un nombre maximum de membres disponibles pour la liaison.
Modifier les paramètres de l'interface de liaison
Une fois qu'une interface de liaison est créée, vous pouvez modifier la plupart des paramètres comme s'il s'agissait d'une interface unique.
Détruire une interface de liaison
Lorsqu'une interface de liaison est détruite, les membres d'interface distincts de l' interface de liaison retournent à une fonctionnalité d'interface indépendante. Une interface membre est sélectionnée pour conserver les paramètres de l'interface de liaison et toutes les autres interfaces membres sont désactivées. Si aucune interface membre n'est sélectionnée pour conserver les paramètres, ceux-ci sont perdus et toutes les interfaces membres sont désactivées.
Paramètres d'ingestion de paquets
Vous pouvez configurer une sonde ExtraHop pour ingérer des paquets provenant d'une source directe ou pour ingérer des paquets transférés par un tiers.
Before you begin
- Votre compte utilisateur doit avoir privilèges d'écriture complets ou supérieur sur RevealX Enterprise ou Privilèges d'administration du système et des accès sur RevealX 360.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Connectivité.
-
Dans le Paramètres d'ingestion de paquets section, sélectionnez l'une des options
suivantes :
Option Description Ingérer des paquets à partir du flux de trafic direct Disponible uniquement si vous configurer au moins une interface avec un mode incluant l' encapsulation GENEVE. Paquets d'ingestion transférés depuis Netskope Disponible uniquement si vous configurer au moins une interface avec un mode incluant l' encapsulation GENEVE. Consultez le guide d'intégration de Netskope pour RevealX Enterprise ou RevealX 360 pour configurer l'ingestion de paquets depuis votre solution Netskope.
Paquets d'ingestion transférés depuis Palo Alto Networks Prisma (RevealX Enterprise uniquement) Disponible uniquement si vous configurer une interface en mode Gestion uniquement et ne configurez aucune autre interface pour l'ingestion de paquets. Consultez les Guide d'intégration de Palo Alto Networks Prisma pour configurer l' ingestion de paquets depuis votre solution Prisma.
- Cliquez Enregistrer.
Réseaux de flux
Vous devez configurer l'interface réseau et les paramètres de port sur le système ExtraHop avant de pouvoir collecter des données NetFlow ou sFlow à partir de réseaux de flux distants (exportateurs de flux). Les réseaux de flux ne peuvent pas être configurés sur les systèmes RevealX Enterprise. Le système ExtraHop prend en charge les technologies de flux suivantes : Cisco NetFlow version 5 (v5) et version 9 (v9), AppFlow, IPFIX et sFlow.
Outre la configuration du système ExtraHop, vous devez configurer vos périphériques réseau pour envoyer du trafic sFlow ou NetFlow. Reportez-vous à la documentation de votre fournisseur ou consultez un exemple Configurations Cisco dans l'annexe.
Collectez le trafic depuis les appareils NetFlow et sFlow
Vous devez configurer l'interface réseau et les paramètres de port sur le système ExtraHop avant de pouvoir collecter des données NetFlow ou sFlow à partir de réseaux de flux distants (exportateurs de flux). Les réseaux de flux ne peuvent pas être configurés sur les systèmes RevealX Enterprise. Le système ExtraHop prend en charge les technologies de flux suivantes : Cisco NetFlow v5 et v9, AppFlow, IPFIX et sFlow.
Remarque : | Pour plus d'informations sur l'appliance virtuelle à sonde NetFlow EFC 1292v, voir Déployez le capteur NetFlow ExtraHop EFC 1292v. |
Vous devez vous connecter en tant qu'utilisateur avec Privilèges d'administration du système et des accès pour effectuer les étapes suivantes.
Configurez l'interface de votre système ExtraHop
Ajouter les réseaux de flux en attente
Vous pouvez désormais ajouter des réseaux de flux en attente.
Before you begin
Vous devez vous connecter en tant qu'utilisateur avec Privilèges d'administration du système et des accès pour effectuer les étapes suivantes.- Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
- Dans le Paramètres réseau section, cliquez sur Réseaux de flux.
- Dans le Réseaux de flux en attente section, cliquez sur Ajouter un réseau Flow.
- Dans le ID réseau Flow dans le champ, saisissez un nom pour identifier ce réseau de flux.
- Sélectionnez le Enregistrements automatiques case à cocher pour envoyer des enregistrements de ce réseau de flux vers un espace de stockage des enregistrements connecté.
- Sélectionnez le Activer le sondage SNMP case à cocher pour activer le sondage SNMP.
-
Si vous activez le sondage SNMP, sélectionnez l'une des options suivantes dans la liste déroulante des
informations dcessations d'identification SNMP :
- Hériter du CIDR. Si vous sélectionnez cette option, les informations d'identification SNMP sont appliquées en fonction des paramètres d'identification SNMP partagées.
- informations d_identification personnalisées. Sélectionnez v1, v2 ou v3 dans la liste déroulante des versions du SNMP, puis configurez les paramètres restants pour le type de sondage spécifique.
- Cliquez Enregistrer.
Configuration des appareils Cisco NetFlow
Les exemples suivants de configuration de base d'un routeur Cisco pour NetFlow. NetFlow est configuré pour chaque interface. Lorsque NetFlow est configuré sur l'interface, les informations de flux de paquets IP sont exportées vers le système ExtraHop.
Important : | NetFlow tire parti de la valeur IFindex du SNMP pour représenter les informations d'interface d'entrée et de sortie dans les enregistrements de flux. Pour garantir la cohérence des rapports d'interface, activez la persistance SNMP iFindex sur les appareils qui envoient NetFlow au système ExtraHop. Pour plus d' informations sur la façon d'activer la persistance SNMP iFindex sur les périphériques de votre réseau, reportez-vous au guide de configuration fourni par le fabricant de l'équipement. |
Pour plus d'informations sur la configuration de NetFlow sur les commutateurs Cisco, consultez la documentation de votre routeur Cisco ou le site Web de Cisco à l'adresse www.cisco.com.
Configurez des informations d'identification SNMP partagées pour vos réseaux NetFlow ou sFlow
Si vous activez l'interrogation SNMP dans la configuration de votre réseau de flux, vous devez spécifier les informations d'identification qui vous permettent d'interroger le périphérique réseau. Les identifiants d'authentification SNMP s'appliquent à tous les réseaux de flux d'un bloc CIDR et sont automatiquement appliqués à chaque réseau de flux découvert, sauf si des informations d'identification personnalisées sont configurées.
Actualiser manuellement les informations SNMP
Notifications
Le système ExtraHop peut envoyer des notifications concernant les alertes configurées par e-mail, par des interruptions SNMP et par des exportations Syslog vers des serveurs distants. Si un groupe de notification par e-mail est spécifié, les e-mails sont envoyés aux groupes affectés à l'alerte.
Configurer les paramètres de messagerie pour les notifications
Vous devez configurer un serveur de messagerie et un expéditeur pour que le système ExtraHop puisse envoyer des notifications d' alerte ou des rapports planifiés.
Que faire ensuite
Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez les modifications apportées à la configuration par le biais d'événements de redémarrage et d'arrêt du système en enregistrant le fichier de configuration en cours d'exécution.Configuration d'un groupe de notifications par e-mail
Ajoutez une liste d'adresses e-mail à un groupe, puis sélectionnez le groupe lorsque vous configurez les paramètres de messagerie pour une alerte ou un rapport programmé. Bien que vous puissiez spécifier des adresses e-mail individuelles, les groupes d'e-mails constituent un moyen efficace de gérer votre liste de destinataires.
Configurer les paramètres pour envoyer des notifications à un gestionnaire SNMP
L'état du réseau peut être surveillé via le protocole SNMP (Simple Network Management Protocol). Le SNMP collecte des informations en interrogeant les périphériques du réseau. Les appareils compatibles SNMP peuvent également envoyer des alertes aux stations de gestion SNMP. Les communautés SNMP définissent le groupe auquel appartiennent les appareils et les stations de gestion exécutant le protocole SNMP, qui spécifie l'endroit où les informations sont envoyées. Le nom de la communauté identifie le groupe.
Remarque : | La plupart des organisations disposent d'un système bien établi pour collecter et afficher les interruptions SNMP dans un emplacement central qui peut être surveillé par leurs équipes opérationnelles. Par exemple, les interruptions SNMP sont envoyées à un gestionnaire SNMP et la console de gestion SNMP les affiche. |
Téléchargez la MIB SNMP ExtraHop
Le protocole SNMP ne fournit pas de base de données contenant les informations transmises par un réseau surveillé par SNMP. Les informations SNMP sont définies par des bases d'informations de gestion (MIB) tierces qui décrivent la structure des données collectées.
Extraire l'OID de l'objet fournisseur ExtraHop
Avant de pouvoir surveiller un équipement à l'aide du SNMP, vous devez ID d'objet Sys, qui contient un OID correspondant à l' identité de l'équipement déclarée par le fournisseur.
Envoyer des notifications système à un serveur Syslog distant
L'option d'exportation Syslog vous permet d'envoyer des alertes depuis un système ExtraHop à tout système distant qui reçoit des entrées Syslog pour un archivage à long terme et une corrélation avec d'autres sources.
Que faire ensuite
Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez les modifications apportées à la configuration par le biais d'événements de redémarrage et d'arrêt du système en enregistrant le fichier de configuration en cours d'exécution.Certificat TLS
Les certificats TLS fournissent une authentification sécurisée au système ExtraHop.
Vous pouvez désigner un certificat auto-signé pour l'authentification au lieu d'un certificat signé par une autorité de certification. Sachez toutefois qu'un certificat auto-signé génère une erreur dans le client navigateur, qui indique que l' autorité de certification signataire est inconnue. Le navigateur propose un ensemble de pages de confirmation pour approuver le certificat, même s'il est auto-signé. Les certificats auto-signés peuvent également dégrader les performances en empêchant la mise en cache dans certains navigateurs. Nous vous recommandons de créer une demande de signature de certificat depuis votre système ExtraHop et de télécharger le certificat signé à la place.
Important : | Lors du remplacement d'un certificat TLS, le service du serveur Web est redémarré. Les connexions tunnelisées entre les capteurs ExtraHop et les consoles ExtraHop sont perdues puis rétablies automatiquement. |
Téléchargez un certificat TLS
Vous devez télécharger un fichier .pem contenant à la fois une clé privée et un certificat auto-signé ou un certificat d'autorité de certification.
Remarque : | Le fichier .pem ne doit pas être protégé par mot de passe. |
Remarque : | Vous pouvez également automatiser cette tâche via l' API REST. |
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Certificat TLS .
- Cliquez Gérer les certificats pour développer la section.
- Cliquez Choisissez un fichier et accédez au certificat que vous souhaitez télécharger.
- Cliquez Ouvrir.
- Cliquez Téléverser.
Créez une demande de signature de certificat depuis votre système ExtraHop
Une demande de signature de certificat (CSR) est un bloc de texte codé qui est transmis à votre autorité de certification (CA) lorsque vous demandez un certificat TLS. Le CSR est généré sur le système ExtraHop où le certificat TLS sera installé et contient des informations qui seront incluses dans le certificat, telles que le nom commun (nom de domaine), l'organisation, la localité et le pays. Le CSR contient également la clé publique qui sera incluse dans le certificat. Le CSR est créé avec la clé privée du système ExtraHop, formant une paire de clés.
Que faire ensuite
Envoyez le fichier CSR à votre autorité de certification (CA) pour faire signer le CSR. Lorsque vous recevez le certificat TLS de l'autorité de certification, retournez au Certificat TLS page dans les paramètres d'administration et téléchargez le certificat dans le système ExtraHop.Conseil : | Si votre organisation exige que le CSR contienne une nouvelle clé publique, générer un certificat auto-signé pour créer de nouvelles paires de clés avant de créer le CSR. |
Certificats fiables
Les certificats fiables vous permettent de valider les cibles SMTP, LDAP, HTTPS ODS et MongoDB ODS, ainsi que les connexions à l'espace de stockage des enregistrements Splunk depuis votre système ExtraHop.
Ajoutez un certificat fiable à votre système ExtraHop
Votre système ExtraHop ne fait confiance qu'aux homologues qui présentent un certificat TLS (Transport Layer Security) signé par l'un des certificats système intégrés et par tous les certificats que vous chargez. Les cibles SMTP, LDAP, HTTPS ODS et MongoDB ODS, ainsi que les connexions à l'espace de stockage des enregistrements Splunk peuvent être validées par le biais de ces certificats.
Before you begin
Vous devez vous connecter en tant qu'utilisateur disposant de privilèges d'installation ou de système et accéder à l'administration pour ajouter ou supprimer des certificats fiables.Important : | Pour faire confiance aux certificats système intégrés et à tous les certificats chargés, vous devez également activer le chiffrement TLS ou STARTTLS et la validation des certificats lors de la configuration des paramètres du serveur externe. |
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres réseau section, cliquez sur Certificats fiables.
- Facultatif : Si vous voulez faire confiance aux certificats intégrés inclus dans le système ExtraHop, sélectionnez Certificats du système de confiance, puis cliquez sur Enregistrer.
- Pour ajouter votre propre certificat, cliquez Ajouter un certificat puis dans Certificat champ, collez le contenu de la chaîne de certificats codée PEM.
- Dans le Nom dans le champ, saisissez un nom.
- Cliquez Ajouter.
Paramètres d'accès
Dans le Paramètres d'accès section, vous pouvez modifier les mots de passe des utilisateurs, activer le compte d'assistance, gérer les utilisateurs locaux et les groupes d'utilisateurs, configurer l' authentification à distance et gérer l'accès à l'API.
Politiques mondiales
Les administrateurs peuvent configurer des politiques globales qui s'appliquent à tous les utilisateurs qui accèdent au système.
Politique de mot de passe
- Choisissez entre deux politiques de mot de passe : la politique de mot de passe par défaut de 5
caractères ou plus ou une politique de mot de passe stricte et plus sécurisée qui comporte les
restrictions suivantes :
- 8 caractères ou plus
- Caractères majuscules et minuscules
- Au moins un chiffre
- Au moins un symbole
Remarque : Si vous sélectionnez une politique de mot de passe stricte de 8 caractères ou plus, les mots de passe expireront tous les 60 jours.
Contrôle d'édition des groupes d'appareils
- Contrôlez si les utilisateurs privilèges d'écriture limités peut créer et modifier des groupes d'équipements. Lorsque cette politique est sélectionnée, tous les utilisateurs à écriture limitée peuvent créer des groupes d'appareils et ajouter d'autres utilisateurs à écriture limitée en tant qu'éditeurs à leurs groupes d'appareils.
Tableau de bord par défaut
- Spécifiez le tableau de bord que les utilisateurs voient lorsqu'ils se connectent au système. Seuls les tableaux de bord partagés avec tous les utilisateurs peuvent être définis par défaut par défaut. Les utilisateurs peuvent modifier ce paramètre par défaut depuis le menu de commande de n'importe quel tableau de bord.
Mot de passe d'extraction de fichiers
- (module NDR uniquement) Spécifiez un mot de passe requis que vous pouvez partager avec les utilisateurs autorisés pour le décompresser fichiers extraits et téléchargés à partir d'une requête par paquet.
Mots de passe
Les utilisateurs disposant de privilèges d'accès à la page Administration peuvent modifier le mot de passe des comptes utilisateurs locaux.
- Sélectionnez n'importe quel utilisateur et modifiez son mot de passe
- Vous ne pouvez modifier les mots de passe que pour les utilisateurs locaux. Vous ne pouvez pas modifier les mots de passe des utilisateurs authentifiés via LDAP ou d'autres serveurs d'authentification à distance.
Pour plus d'informations sur les privilèges accordés à des utilisateurs et à des groupes spécifiques de la page Administration, consultez Les utilisateurs section.
Modifier le mot de passe par défaut de l'utilisateur chargé de l'installation
Il est recommandé de modifier le mot de passe par défaut de l'utilisateur configuré sur le système ExtraHop après votre première connexion. Pour rappeler aux administrateurs d'effectuer cette modification, il y a un bleu Changer le mot de passe bouton en haut de la page lorsque l'utilisateur chargé de l'installation accède aux paramètres d'administration. Une fois le mot de passe utilisateur de configuration modifié, le bouton en haut de la page n'apparaît plus.
Remarque : | Le mot de passe doit comporter au moins 5 caractères. |
Accès au support
Les comptes d'assistance permettent à l'équipe d'assistance ExtraHop d'aider les clients à résoudre les problèmes liés au système ExtraHop.
Ces paramètres ne doivent être activés que si l'administrateur du système ExtraHop demande une assistance pratique à l'équipe de support ExtraHop.
Générer une clé SSH
- Dans le Paramètres d'accès section, cliquez sur Accès au support.
- Cliquez Générer une clé SSH.
- Copiez la clé cryptée depuis la zone de texte et envoyez-la par e-mail à votre représentant ExtraHop.
- Cliquez Terminé.
Régénérer ou révoquer la clé SSH
Pour empêcher l'accès SSH au système ExtraHop avec une clé SSH existante, vous pouvez révoquer la clé SSH actuelle. Une nouvelle clé SSH peut également être régénérée si nécessaire.
- Dans le Paramètres d'accès section, cliquez Accès au support.
- Cliquez Générer une clé SSH.
-
Choisissez l'une des options suivantes :
- Cliquez Régénérer la clé SSH puis cliquez sur
Régénérer.
Copiez la clé cryptée depuis la zone de texte et envoyez-la par e-mail à votre représentant ExtraHop, puis cliquez sur Terminé.
- Cliquez Révoquer la clé SSH pour empêcher l'accès SSH au système avec la clé actuelle.
- Cliquez Régénérer la clé SSH puis cliquez sur
Régénérer.
Utilisateurs
La page Utilisateurs vous permet de contrôler l'accès local à l' appliance ExtraHop.
Utilisateurs et groupes d'utilisateurs
Les utilisateurs peuvent accéder au système ExtraHop de trois manières : via un ensemble de comptes utilisateur préconfigurés, via des comptes utilisateurs locaux configurés sur l'appliance ou via des comptes utilisateurs distants configurés sur des serveurs d'authentification existants, tels que LDAP, SAML, Radius et TACACS+.
Vidéo : | Consultez les formations associées : |
Utilisateurs locaux
Cette rubrique concerne les comptes locaux et par défaut. Voir Authentification à distance pour savoir comment configurer des comptes distants.
- installation
- Ce compte fournit des privilèges complets de lecture et d'écriture du système à l' interface utilisateur basée sur le navigateur et à l'interface de ligne de commande (CLI) ExtraHop. Sur le plan physique capteurs, le mot de passe par défaut pour ce compte est le numéro de série inscrit sur le devant de l' appliance. Sur le virtuel capteurs, le mot de passe par défaut est default.
- coquille
- Le shell Le compte, par défaut, a accès aux commandes shell non administratives dans l'interface de ligne de commande ExtraHop. Sur les capteurs physiques, le mot de passe par défaut pour ce compte est le numéro de série inscrit sur le devant de l'appliance. Sur les capteurs virtuels, le mot de passe par défaut est default.
Remarque : | Le mot de passe ExtraHop par défaut pour l'un ou l'autre des comptes lorsqu'il est déployé dans Amazon Web Services (AWS) et Google Cloud Platform (GCP) est l'ID d'instance de la machine virtuelle. |
Que faire ensuite
Authentification à distance
Le système ExtraHop prend en charge l'authentification à distance pour l'accès des utilisateurs. L'authentification à distance permet aux organisations dotées de systèmes d'authentification tels que LDAP (OpenLDAP ou Active Directory, par exemple) de permettre à tous leurs utilisateurs ou à un sous-ensemble de leurs utilisateurs de se connecter au système avec leurs informations dcredentiatives existantes.
L'authentification centralisée offre les avantages suivants :
- Synchronisation du mot de passe utilisateur.
- Création automatique de comptes ExtraHop pour les utilisateurs sans intervention de l'administrateur.
- Gestion des privilèges ExtraHop en fonction des groupes d'utilisateurs.
- Les administrateurs peuvent accorder l'accès à tous les utilisateurs connus ou restreindre l'accès en appliquant des filtres LDAP .
Utilisateurs distants
Si votre système ExtraHop est configuré pour l'authentification à distance SAML ou LDAP, vous pouvez créer un compte pour ces utilisateurs distants. La préconfiguration des comptes sur le système ExtraHop pour les utilisateurs distants vous permet de partager les personnalisations du système avec ces utilisateurs avant qu'ils ne se connectent.
Si vous choisissez de provisionner automatiquement les utilisateurs lorsque vous configurez l'authentification SAML, l'utilisateur est automatiquement ajouté à la liste des utilisateurs locaux lorsqu'il se connecte pour la première fois. Cependant, vous pouvez créer un compte utilisateur SAML distant sur le système ExtraHop lorsque vous souhaitez approvisionner un utilisateur distant avant que celui-ci ne se soit connecté au système. Les privilèges sont attribués à l'utilisateur par le fournisseur. Une fois l'utilisateur créé, vous pouvez l'ajouter aux groupes d'utilisateurs locaux.
Que faire ensuite
Groupes d'utilisateurs
Les groupes d'utilisateurs vous permettent de gérer l'accès au contenu partagé par groupe plutôt que par utilisateur individuel. Les objets personnalisés tels que les cartes d'activités peuvent être partagés avec un groupe d'utilisateurs, et tout utilisateur ajouté au groupe y a automatiquement accès. Vous pouvez créer un groupe d'utilisateurs local, qui peut inclure des utilisateurs locaux et distants. Sinon, si votre système ExtraHop est configuré pour l'authentification à distance via LDAP, vous pouvez configurer les paramètres pour importer vos groupes d'utilisateurs LDAP.
- Cliquez Créer un groupe d'utilisateurs pour créer un groupe local. Le groupe d'utilisateurs apparaît dans la liste. Ensuite, cochez la case à côté du nom du groupe d'utilisateurs et sélectionnez les utilisateurs dans Filtrer les utilisateurs... liste déroulante. Cliquez Ajouter des utilisateurs au groupe.
- (LDAP uniquement) Cliquez sur Actualiser tous les groupes d'utilisateurs ou sélectionnez plusieurs groupes d' utilisateurs LDAP et cliquez sur Actualiser les utilisateurs dans les groupes.
- Cliquez Réinitialiser le groupe d'utilisateurs pour supprimer tout le contenu partagé d'un groupe d'utilisateurs sélectionné. Si le groupe n'existe plus sur le serveur LDAP distant, il est supprimé de la liste des groupes d'utilisateurs.
- Cliquez Activer le groupe d'utilisateurs ou Désactiver le groupe d'utilisateurs pour contrôler si un membre du groupe peut accéder au contenu partagé pour le groupe d'utilisateurs sélectionné.
- Cliquez Supprimer le groupe d'utilisateurs pour supprimer le groupe d'utilisateurs sélectionné du système.
- Consultez les propriétés suivantes pour les groupes d'utilisateurs répertoriés :
- Nom du groupe
- Affiche le nom du groupe. Pour afficher les membres du groupe, cliquez sur le nom du groupe.
- Type
- Affiche le type de groupe d'utilisateurs local ou distant.
- Membres
- Affiche le nombre d'utilisateurs du groupe.
- Contenu partagé
- Affiche le nombre d'objets créés par l'utilisateur qui sont partagés avec le groupe.
- État
- Indique si le groupe est activé ou désactivé sur le système. Lorsque le statut est Disabled, le groupe d'utilisateurs est considéré comme vide lors des vérifications d'adhésion ; toutefois, le groupe d'utilisateurs peut toujours être spécifié lors du partage de contenu.
- Membres actualisés (LDAP uniquement)
- Affiche le temps écoulé depuis que l'adhésion au groupe a été actualisée. Les
groupes d'utilisateurs sont actualisés dans les conditions suivantes :
- Une fois par heure, par défaut. Le réglage de l'intervalle de rafraîchissement peut être modifié sur le page.
- Un administrateur actualise un groupe en cliquant sur Actualiser tous les groupes d'utilisateurs ou Actualiser les utilisateurs du groupe, ou par programmation via l'API REST. Vous pouvez actualiser un groupe à partir du Groupe d'utilisateurs ou depuis la page Liste des membres page.
- Un utilisateur distant se connecte au système ExtraHop pour la première fois.
- Un utilisateur tente de charger un tableau de bord partagé auquel il n'a pas accès.
Privilèges utilisateur
Les administrateurs déterminent le niveau d'accès au module pour les utilisateurs du système ExtraHop.
Pour plus d'informations sur les privilèges utilisateur pour l'API REST, consultez le Guide de l'API REST.
Pour plus d'informations sur les privilèges des utilisateurs distants, consultez les guides de configuration pour LDAP, RAYON, SAML, et TACACS+.
Niveaux de privilèges
Définissez le niveau de privilège de votre utilisateur afin de déterminer les zones du système ExtraHop auxquelles il peut accéder.
- Accès au module NDR
- Permet à l'utilisateur d'accéder à des fonctionnalités de sécurité telles que la détection des attaques, les enquêtes et les briefings sur les menaces.
- Accès au module NPM
- Permet à l'utilisateur d'accéder à des fonctionnalités de performance telles que la détection des opérations et la possibilité de créer des tableaux de bord personnalisés.
- Accès aux paquets et aux clés de session
- Permet à l'utilisateur de visualiser et de télécharger des paquets et des clés de session, des paquets uniquement, des en-têtes de paquets uniquement ou des tranches de paquets uniquement. Permet également à l'utilisateur d'extraire les fichiers associés aux paquets.
Ces privilèges déterminent le niveau de fonctionnalité dont disposent les utilisateurs dans les modules auxquels l'accès leur a été accordé.
Pour RevealX Enterprise, les utilisateurs disposant de privilèges d'accès au système et d' administration peuvent accéder à toutes les fonctionnalités, à tous les paquets et à toutes les clés de session de leurs modules sous licence.
Pour RevealX 360, les privilèges d'accès au système et d'administration, l'accès aux modules sous licence, aux paquets et aux clés de session doivent être attribués séparément. RevealX 360 propose également un compte d'administration système supplémentaire qui accorde tous les privilèges du système, à l'exception de la possibilité de gérer les utilisateurs et l'accès aux API.
Le tableau suivant contient les fonctionnalités d'ExtraHop et leurs privilèges requis. Si aucune exigence de module n'est notée, la fonctionnalité est disponible à la fois dans les modules NDR et NDM.
Administration des systèmes et des accès | Administration du système (RevealX 360 uniquement) | Écriture complète | Écriture limitée | Rédaction personnelle | Lecture seule complète | Lecture seule restreinte | |
---|---|---|---|---|---|---|---|
Cartes d'activités | |||||||
Créez, visualisez et chargez des cartes d'activités partagées | Y | Y | Y | Y | Y | Y | N |
Enregistrer des cartes d'activité | Y | Y | Y | Y | Y | N | N |
Partagez des cartes d'activités | Y | Y | Y | Y | N | N | N |
Alertes | Licence et accès au module NPM requis. | ||||||
Afficher les alertes | Y | Y | Y | Y | Y | Y | Y |
Création et modification d'alertes | Y | Y | Y | N | N | N | N |
Priorités d'analyse | |||||||
Afficher la page Priorités d'analyse | Y | Y | Y | Y | Y | Y | N |
Ajouter et modifier des niveaux d'analyse pour les groupes | Y | Y | Y | N | N | N | N |
Ajouter des appareils à une liste de surveillance | Y | Y | Y | N | N | N | N |
Gestion des priorités de transfert | Y | Y | Y | N | N | N | N |
Lots | |||||||
Création d'un bundle | Y | Y | Y | N | N | N | N |
Téléchargez et appliquez un bundle | Y | Y | Y | N | N | N | N |
Téléchargez un bundle | Y | Y | Y | Y | Y | N | N |
Afficher la liste des offres groupées | Y | Y | Y | Y | Y | Y | N |
Tableaux de bord | Licence et accès au module NPM requis pour créer et modifier des tableaux de bord. | ||||||
Afficher et organiser les tableaux de bord | Y | Y | Y | Y | Y | Y | Y |
Création et modification de tableaux de bord | Y | Y | Y | Y | Y | N | N |
Partagez des tableaux de bord | Y | Y | Y | Y | N | N | N |
Détections | Licence et accès au module NDR nécessaires
pour visualiser et régler les détections de sécurité et créer
des enquêtes. Licence et accès au module NPM requis pour afficher et régler les détections de performances. |
||||||
Afficher les détections | Y | Y | Y | Y | Y | Y | Y |
Reconnaître les détections | Y | Y | Y | Y | Y | N | N |
Modifier l'état de détection et les notes | Y | Y | Y | Y | N | N | N |
Création et modification d'enquêtes | Y | Y | Y | Y | N | N | N |
Création et modification de règles d'exceptions | Y | Y | Y | N | N | N | N |
Groupes d'appareils | Les administrateurs peuvent configurer le Politique globale de contrôle des modifications des groupes d'appareils pour spécifier si les utilisateurs disposant de privilèges d'écriture limités peuvent créer et modifier des groupes d'équipements. | ||||||
Création et modification de groupes d'équipements | Y | Y | Y | Y (Si la politique de privilèges globale est activée) | N | N | N |
Intégrations | RevealX 360 uniquement | ||||||
Configuration et modification des intégrations | Y | Y | N | N | N | N | N |
Métriques | |||||||
Afficher les statistiques | Y | Y | Y | Y | Y | Y | N |
Règles de notification | Licence et accès au module NDR requis
pour créer et modifier des notifications pour les détections de sécurité, le catalogue des détections de sécurité et les
briefings sur les menaces. Licence et accès au module NPM requis pour créer et modifier des notifications pour les détections de performances et le catalogue de détection des performances. |
||||||
Création et modification de règles de notification de détection | Y | Y | Y | N | N | N | N |
Création et modification de règles de notification de détection pour les intégrations SIEM (RevealX 360 uniquement) | Y | Y | N | N | N | N | N |
Création et modification des règles de notification du catalogue de détection | Y | Y | Y | N | N | N | N |
Création et modification des règles de notification des informations sur les menaces | Y | Y | Y | N | N | N | N |
Création et modification des règles de notification du système | Y | Y | N | N | N | N | N |
Disques | Disquaire requis. | ||||||
Afficher les requêtes d'enregistrement | Y | Y | Y | Y | Y | Y | N |
Afficher les formats d'enregistrement | Y | Y | Y | Y | Y | Y | N |
Créer, modifier et enregistrer des requêtes d'enregistrement | Y | Y | Y | N | N | N | N |
Création, modification et enregistrement de formats d'enregistrement | Y | Y | Y | N | N | N | N |
Rapports planifiés | Console requise. | ||||||
Créez, consultez et gérez des rapports planifiés | Y | Y | Y | Y | N | N | N |
Renseignements sur les menaces | Licence et accès au module NDR requis. | ||||||
Configuration des filtres de hachage de fichiers | Y | Y | N | N | N | N | N |
Gérez les collections de menaces | Y | Y | N | N | N | N | N |
Gérer les flux TAXII | Y | Y | N | N | N | N | N |
Afficher les renseignements sur les menaces | Y | Y | Y | Y | Y | Y | N |
éléments déclencheurs | |||||||
Création et modification de déclencheurs | Y | Y | Y | N | N | N | N |
Privilèges administratifs | |||||||
Accédez aux paramètres d'administration d'ExtraHop | Y | Y | N | N | N | N | N |
Connexion à d'autres appareils | Y | Y | N | N | N | N | N |
Gérer les autres appareils (console) | Y | Y | N | N | N | N | N |
Gérez les utilisateurs et l'accès aux API | Y | N | N | N | N | N | N |
Ajouter un compte utilisateur local
En ajoutant un compte utilisateur local, vous pouvez fournir aux utilisateurs un accès direct à votre système ExtraHop et restreindre leurs privilèges en fonction de leur rôle dans votre organisation.
Conseil : |
|
Ajouter un compte pour un utilisateur distant
Ajoutez un compte utilisateur pour les utilisateurs LDAP ou SAML lorsque vous souhaitez provisionner l'utilisateur distant avant que celui-ci ne se connecte au système ExtraHop. Une fois l'utilisateur ajouté au système, vous pouvez l'ajouter à des groupes locaux ou partager des éléments directement avec lui avant qu'il ne se connecte via le fournisseur LDAP ou SAML.
Séances
Le système ExtraHop fournit des commandes pour afficher et supprimer les connexions utilisateur à l' interface Web. Le Séances la liste est triée par date d'expiration, qui correspond à la date d'établissement des sessions. Si une session expire ou est supprimée, l'utilisateur doit se reconnecter pour accéder à l'interface Web.
Authentification à distance
Le système ExtraHop prend en charge l'authentification à distance pour l'accès des utilisateurs. L'authentification à distance permet aux organisations dotées de systèmes d'authentification tels que LDAP (OpenLDAP ou Active Directory, par exemple) de permettre à tous leurs utilisateurs ou à un sous-ensemble de leurs utilisateurs de se connecter au système avec leurs informations dcredentiatives existantes.
L'authentification centralisée offre les avantages suivants :
- Synchronisation du mot de passe utilisateur.
- Création automatique de comptes ExtraHop pour les utilisateurs sans intervention de l'administrateur.
- Gestion des privilèges ExtraHop en fonction des groupes d'utilisateurs.
- Les administrateurs peuvent accorder l'accès à tous les utilisateurs connus ou restreindre l'accès en appliquant des filtres LDAP .
Que faire ensuite
Configuration de l'authentification à distance via LDAP
Le système ExtraHop prend en charge le protocole LDAP (Lightweight Directory Access Protocol) pour l'authentification et l'autorisation. Au lieu de stocker localement les informations d_identification de l_utilisateur, vous pouvez configurer votre système ExtraHop pour authentifier les utilisateurs à distance auprès d'un serveur LDAP existant. Notez que l'authentification LDAP ExtraHop ne demande que les comptes utilisateurs ; elle n' interroge aucune autre entité susceptible de figurer dans l'annuaire LDAP.
Before you begin
- Cette procédure nécessite de connaître la configuration du LDAP.
- Assurez-vous que chaque utilisateur appartient à un groupe d'autorisations spécifique sur le serveur LDAP avant de commencer cette procédure .
- Si vous souhaitez configurer des groupes LDAP imbriqués, vous devez modifier le fichier de configuration en cours d'exécution. Contacter Assistance ExtraHop pour obtenir de l'aide.
Lorsqu'un utilisateur tente de se connecter à un système ExtraHop, le système ExtraHop essaie d' authentifier l'utilisateur de la manière suivante :
- Tente d'authentifier l'utilisateur localement.
- Tente d'authentifier l'utilisateur via le serveur LDAP s'il n'existe pas localement et si le système ExtraHop est configuré pour l'authentification à distance avec LDAP.
- Connecte l'utilisateur au système ExtraHop s'il existe et si le mot de passe est validé localement ou via LDAP. Le mot de passe LDAP n'est pas stocké localement sur le système ExtraHop. Notez que vous devez saisir le nom d'utilisateur et le mot de passe au format pour lequel votre serveur LDAP est configuré. Le système ExtraHop ne transmet les informations qu'au serveur LDAP.
- Si l'utilisateur n'existe pas ou si un mot de passe incorrect est saisi, un message d'erreur s'affiche sur la page de connexion.
Important : | Si vous modifiez ultérieurement l'authentification LDAP pour une autre méthode dauthentification à distance, les utilisateurs, les groupes d'utilisateurs et les personnalisations associées qui ont été créés par le biais de l'authentification à distance sont supprimés. Les utilisateurs locaux ne sont pas concernés. |
Configuration des privilèges utilisateur pour l'authentification à distance
Vous pouvez attribuer des privilèges d'utilisateur à des utilisateurs individuels sur votre système ExtraHop ou configurer et gérer des privilèges via votre serveur LDAP.
Le système ExtraHop prend en charge les appartenances aux groupes Active Directory et POSIX. Pour Active Directory, memberOf est pris en charge. Pour POSIX, memberuid, posixGroups, groupofNames, et groupofuniqueNames sont pris en charge.
-
Choisissez l'une des options suivantes dans
Options d'attribution de privilèges liste déroulante :
-
Obtenir le niveau de privilèges depuis un serveur distant
Cette option attribue des privilèges via votre serveur d'authentification à distance. Vous devez remplir au moins l'un des champs de nom distinctif (DN) suivants.
DN d'administration du système et des accès: Créez et modifiez tous les objets et paramètres du système ExtraHop, y compris les paramètres d'administration.
DN d'écriture complète: Créez et modifiez des objets sur le système ExtraHop, à l'exception des paramètres d' administration.
DN à écriture limitée: Créez, modifiez et partagez des tableaux de bord.
DN d'écriture personnel: Créez des tableaux de bord personnels et modifiez les tableaux de bord partagés avec l'utilisateur connecté.
DN complet en lecture seule: Afficher les objets dans le système ExtraHop.
DN en lecture seule restreint: Afficher les tableaux de bord partagés avec l'utilisateur connecté.
DN d'accès aux tranches de paquets: Affichez et téléchargez les 64 premiers octets de paquets capturés via l'appliance ExtraHop Trace.
DN d'accès aux paquets: Affichez et téléchargez les paquets capturés via l'appliance ExtraHop Trace .
DN d'accès aux clés de paquets et de session: Affichez et téléchargez les paquets et toutes les clés de session TLS associées capturées via l'appliance ExtraHop Trace.
DN d'accès au module NDR: Afficher, accuser réception et masquer les détections de sécurité qui apparaissent dans le système ExtraHop.
DN d'accès au module NPM: Affichez, confirmez et masquez les détections de performances qui apparaissent dans le système ExtraHop.
-
Les utilisateurs distants disposent d'un accès complet en écriture
Cette option accorde aux utilisateurs distants un accès complet en écriture au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.
-
Les utilisateurs distants disposent d'un accès complet en lecture seule
Cette option permet aux utilisateurs distants d'accéder en lecture seule au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.
-
Obtenir le niveau de privilèges depuis un serveur distant
- Facultatif :
Configurez l'accès aux paquets et aux clés de session. Sélectionnez l'une des options suivantes pour
permettre aux utilisateurs distants de télécharger des captures de paquets et des clés de session TLS.
- Pas d'accès
- Tranches en sachets uniquement
- Paquets uniquement
- Paquets et clés de session
- Facultatif :
Configurez l'accès aux modules NDR et NPM.
- Pas d'accès
- Accès complet
- Cliquez Enregistrer et terminer.
- Cliquez Terminé.
Configuration de l'authentification à distance via SAML
Vous pouvez configurer une authentification unique (SSO) sécurisée pour le système ExtraHop via un ou plusieurs fournisseurs d'identité SAML (Security Assertion Markup Language).
Vidéo : | Consultez la formation associée : Authentification SSO |
Lorsqu'un utilisateur se connecte à un système ExtraHop configuré en tant que fournisseur de services (SP) pour l'authentification SSO SAML, le système ExtraHop demande l'autorisation au fournisseur d'identité (IdP) approprié. Le fournisseur d'identité authentifie les informations dcredentiation de l'utilisateur, puis renvoie l'autorisation de l'utilisateur au système ExtraHop. L'utilisateur peut alors accéder au système ExtraHop.
Les guides de configuration pour des fournisseurs d'identité spécifiques sont liés ci-dessous. Si votre fournisseur ne figure pas dans la liste, appliquez les paramètres requis par le système ExtraHop à votre fournisseur d'identité.
Les fournisseurs d'identité doivent répondre aux critères suivants :
- SAML 2.0
- Supporte les flux de connexion initiés par le SP. Les flux de connexion initiés par l'IdP ne sont pas pris en charge.
- Prise en charge des réponses SAML signées
- Supporte la liaison de redirection HTTP
L'exemple de configuration présenté dans cette procédure permet d'accéder au système ExtraHop par le biais d'attributs de groupe.
Si votre fournisseur d'identité ne prend pas en charge les déclarations d'attributs de groupe, configurez les attributs utilisateur avec les privilèges appropriés pour l'accès aux modules, l'accès au système et l'analyse des paquets .
Activer l'authentification à distance SAML
Before you begin
Avertissement : | Si votre système est déjà configuré avec une méthode d'authentification à distance, la modification de ces paramètres supprimera tous les utilisateurs et les personnalisations associées créées via cette méthode, et les utilisateurs distants ne pourront pas accéder au système. Les utilisateurs locaux ne sont pas concernés. |
Mappage des attributs utilisateur
Vous devez configurer l'ensemble d'attributs utilisateur suivant dans la section de mappage des attributs d'application de votre fournisseur d'identité. Ces attributs identifient l'utilisateur dans l'ensemble du système ExtraHop. Reportez-vous à la documentation de votre fournisseur d'identité pour connaître les noms de propriétés corrects lors du mappage des attributs.
Nom de l'attribut ExtraHop | Nom convivial | Catégorie | Nom de l'attribut du fournisseur d'identité |
---|---|---|---|
urn:oid:0.9.2342.19200300.100.1.3 | courrier | Attribut standard | Adresse e-mail principale |
urn:oid:2.5.4.4 | sn | Attribut standard | Nom de famille |
urn:oid:2.5.4.42 | Nom donné | Attribut standard | Prénom |
Déclarations d'attributs de groupe
Le système ExtraHop prend en charge les déclarations d'attributs de groupe pour associer facilement les privilèges des utilisateurs à tous les membres d'un groupe spécifique. Lorsque vous configurez l'application ExtraHop sur votre fournisseur d'identité, spécifiez un nom d'attribut de groupe. Ce nom est ensuite saisi dans le Nom de l'attribut champ lorsque vous configurez le fournisseur d'identité sur le système ExtraHop.
Si votre fournisseur d'identité ne prend pas en charge les déclarations d'attributs de groupe, configurez les attributs utilisateur avec les privilèges appropriés pour l'accès aux modules, l'accès au système et l'analyse des paquets.
Configurer l'authentification unique SAML avec Okta
Vous pouvez configurer votre système ExtraHop pour permettre aux utilisateurs de se connecter au système via le service de gestion des identités Okta.
Before you begin
- Vous devez être familiarisé avec l'administration d'Okta. Ces procédures sont basées sur l'interface utilisateur Okta Classic. Si vous configurez Okta via la Developer Console, la procédure peut être légèrement différente.
- Vous devez être familiarisé avec l'administration des systèmes ExtraHop.
Ces procédures vous obligent à copier-coller des informations entre le système ExtraHop et l'interface utilisateur Okta Classic. Il est donc utile d'ouvrir chaque système côte à côte.
Configurer les paramètres SAML dans Okta
Cette procédure vous oblige à copier-coller des informations entre les paramètres d'administration d'ExtraHop et l'interface utilisateur Okta Classic. Il est donc utile d'ouvrir chaque interface utilisateur côte à côte.
Assignez le système ExtraHop à des groupes Okta
- Dans le menu Répertoire, sélectionnez Groupes.
- Cliquez sur le nom du groupe.
- Cliquez Gérer les applications.
- Localisez le nom de l'application que vous avez configurée pour le système ExtraHop et cliquez sur Attribuer.
- Cliquez Terminé.
Connectez-vous au système ExtraHop
- Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
- Cliquez Connectez-vous avec <provider name>.
- Connectez-vous à votre fournisseur à l'aide de votre adresse e-mail et de votre mot de passe. Vous êtes automatiquement dirigé vers la page d'aperçu d'ExtraHop.
Configurer l'authentification unique SAML avec Google
Vous pouvez configurer votre système ExtraHop pour permettre aux utilisateurs de se connecter au système via le service de gestion des identités de Google.
Before you begin
- Vous devez être familiarisé avec l'administration de Google Admin.
- Vous devez être familiarisé avec l'administration des systèmes ExtraHop.
Ces procédures vous obligent à copier-coller des informations entre le système ExtraHop et la console d'administration Google. Il est donc utile d'ouvrir chaque système côte à côte.
Ajouter des attributs personnalisés à l'utilisateur
- Connectez-vous à la console d'administration Google.
- Cliquez Utilisateurs.
- Cliquez sur l'icône Gérer les attributs personnalisés .
- Cliquez Ajouter un attribut personnalisé.
- Dans le Catégorie champ, type Hop supplémentaire.
- Facultatif : Dans le Descriptif champ, saisissez une description.
-
Dans le Champs personnalisés section, entrez les
informations suivantes :
- Dans le Nom champ, type niveau d'écriture.
- À partir du Type d'information liste déroulante, sélectionnez Texte.
- À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
- À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
-
Activez l'accès au module NDR :
- Dans le Nom champ, type niveau NDR.
- À partir du Type d'information liste déroulante, sélectionnez Texte.
- À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
- À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
-
Activez l'accès au module NPM :
- Dans le Nom champ, type niveau NPM.
- À partir du Type d'information liste déroulante, sélectionnez Texte.
- À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
- À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
- Facultatif :
Si vous avez connecté des magasins de paquets, activez l'accès aux paquets en configurant un
champ personnalisé :
- Dans le Nom champ, type niveau des paquets.
- À partir du Type d'information liste déroulante, sélectionnez Texte.
- À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
- À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
- Cliquez Ajouter.
Connectez-vous au système ExtraHop
- Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
- Cliquez Connectez-vous avec <provider name>.
- Connectez-vous à votre fournisseur à l'aide de votre adresse e-mail et de votre mot de passe. Vous êtes automatiquement dirigé vers la page d'aperçu d'ExtraHop.
Configuration de l'authentification à distance via RADIUS
Le système ExtraHop prend en charge le service d'authentification à distance (RADIUS) pour l'authentification à distance et l'autorisation locale uniquement. Pour l'authentification à distance, le système ExtraHop prend en charge les formats RADIUS et texte brut non chiffrés.
Configurer l'authentification à distance via TACACS+
Le système ExtraHop prend en charge le Terminal Access Controller Access-Control System Plus (TACACS+) pour l'authentification et l'autorisation à distance.
Configuration du serveur TACACS+
Outre la configuration de l'authentification à distance sur votre système ExtraHop, vous devez configurer votre serveur TACACS+ avec deux attributs, l'un pour le service ExtraHop et l'autre pour le niveau d'autorisation. Si vous disposez d'un système de stockage des paquets ExtraHop, vous pouvez éventuellement ajouter un troisième attribut pour la capture de paquets et la journalisation des clés de session.
Accès à l'API
La page d'accès à l'API vous permet de générer, de visualiser et de gérer l'accès aux clés d'API requises pour effectuer des opérations via l'API REST ExtraHop.
Gérer l'accès aux clés d'API
Les utilisateurs disposant de privilèges d'administration du système et des accès peuvent configurer s'ils peuvent générer des clés d'API pour le système ExtraHop. Vous pouvez autoriser uniquement les utilisateurs locaux à générer des clés, ou vous pouvez également désactiver complètement la génération de clés d'API.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres d'accès section, cliquez Accès à l'API.
-
Dans le Gérer l'accès aux API section, sélectionnez l'une des options
suivantes :
- Autoriser tous les utilisateurs à générer une clé d'API: Les utilisateurs locaux et distants peuvent générer des clés d'API.
- Seuls les utilisateurs locaux peuvent générer une clé d'API: Les utilisateurs distants ne peuvent pas générer de clés d'API.
- Aucun utilisateur ne peut générer de clé d'API: aucune clé d'API ne peut être générée par aucun utilisateur.
- Cliquez Enregistrer les paramètres.
Configurer le partage de ressources entre origines (CORS)
Partage de ressources entre origines (CORS) vous permet d'accéder à l'API REST ExtraHop au-delà des limites du domaine et à partir de pages Web spécifiées sans que la demande passe par un serveur proxy.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres d'accès section, cliquez sur Accès à l'API.
-
Dans le Paramètres CORS section, spécifiez l'une des configurations
d'accès suivantes.
- Pour ajouter une URL spécifique, saisissez une URL d'origine dans la zone de texte, puis
cliquez sur l'icône plus (+) ou appuyez sur ENTER.
L'URL doit inclure un schéma, tel que HTTP ou HTTPS, et le nom de domaine exact. Vous ne pouvez pas ajouter de chemin, mais vous pouvez fournir un numéro de port.
- Pour autoriser l'accès depuis n'importe quelle URL, sélectionnez Autoriser les requêtes d'API
depuis n'importe quelle origine case à cocher.
Remarque : Autoriser l'accès à l'API REST depuis n'importe quelle origine est moins sûr que de fournir une liste d' origines explicites.
- Pour ajouter une URL spécifique, saisissez une URL d'origine dans la zone de texte, puis
cliquez sur l'icône plus (+) ou appuyez sur ENTER.
- Cliquez Enregistrer les paramètres puis cliquez sur Terminé.
Générer une clé API
Vous devez générer une clé d'API avant de pouvoir effectuer des opérations via l' API REST ExtraHop. Les clés ne peuvent être consultées que par l'utilisateur qui les a générées ou par les utilisateurs disposant de privilèges d'administration du système et des accès. Après avoir généré une clé d'API, ajoutez-la à vos en-têtes de demande ou à l'explorateur d'API ExtraHop REST.
Before you begin
Assurez-vous que le système ExtraHop est configuré pour permettre la génération de clés d'API.- Dans le Paramètres d'accès section, cliquez sur Accès à l'API.
- Dans le Générer une clé API section, tapez la description de la nouvelle clé, puis cliquez sur Générez.
- Faites défiler l'écran vers le bas jusqu'à Clés d'API section et copiez la clé API qui correspond à votre description.
Niveaux de privilèges
Les niveaux de privilèges utilisateur déterminent les tâches système et d'administration ExtraHop que l'utilisateur peut effectuer via l'API REST ExtraHop.
Vous pouvez consulter les niveaux de privilèges des utilisateurs via granted_roles et effective_roles propriétés. Le granted_roles La propriété vous indique quels niveaux de privilèges sont explicitement accordés à l'utilisateur. Le effective_roles La propriété affiche tous les niveaux de privilèges d'un utilisateur, y compris ceux reçus en dehors du rôle accordé, par exemple via un groupe d'utilisateurs.
Le granted_roles et effective_roles les propriétés sont renvoyées par les opérations suivantes :
- GET /utilisateurs
- GET /users/ {nom d'utilisateur}
Le granted_roles et effective_roles les propriétés prennent en charge les niveaux de privilèges suivants. Notez que le type de tâches pour chaque système ExtraHop varie en fonction de la disponibilité ressources répertoriés dans l'explorateur d'API REST et dépendent des modules activés sur le système et des privilèges d'accès aux modules utilisateur.
Niveau de privilège | Actions autorisées |
---|---|
« système » : « complet » |
|
« write » : « complet » |
|
« write » : « limité » |
|
« write » : « personnel » |
|
« metrics » : « complet » |
|
« metrics » : « restreint » |
|
« ndr » : « complet » |
Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :
|
« ndr » : « aucun » |
Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :
|
« npm » : « complet » |
Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :
|
« npm » : « aucun » |
Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :
|
« paquets » : « pleins » |
Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :
|
« paquets » : « full_with_keys » |
Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :
|
« packets » : « slices_only » |
Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :
|
Configuration du système
Dans le Configuration du système section, vous pouvez modifier les paramètres suivants.
- Capturez
- Configurez les paramètres de capture réseau. (Capteurs uniquement)
- Banque de données
- Configurez une banque de données étendue ou réinitialisez la banque de données locale. (Capteurs uniquement)
- Dénomination des appareils
- Configurez l'ordre de priorité lorsque plusieurs noms sont trouvés pour un équipement.
- Sources inactives
- Supprimez les appareils et les applications qui sont restés inactifs entre 1 et 90 jours des résultats de recherche.
- Suivi de la détection
- Choisissez si vous souhaitez suivre les enquêtes de détection à l'aide du système ExtraHop ou à partir d'un système de billetterie externe.
- Recherche de terminaux
- Configurez des liens vers un outil de recherche d'adresse IP externe pour les points de terminaison du système ExtraHop .
- Source de données Geomap
- Modifiez les informations dans les géolocalisations cartographiées.
- Flux de données ouverts
- Envoyez les données du journal à un système tiers, tel qu'un système Syslog, une base de données MongoDB ou un serveur HTTP. (Capteurs uniquement)
- Tendances
- Réinitialisez toutes les tendances et les alertes basées sur les tendances. (Capteurs uniquement).
- Sauvegarde et restauration
- Créez, consultez ou restaurez des sauvegardes du système.
Capture
La page Capture fournit des commandes permettant d'ajuster la manière dont le système ExtraHop collecte le trafic de votre réseau à des fins d'analyse.
Exclure les modules de protocole
Par défaut, tous les modules pris en charge sur le système ExtraHop sont inclus dans la capture, sauf si vous les excluez manuellement.
- Cliquez .
- Cliquez Modules de protocole exclus.
- Ajouter Module à exclure.
- Sur le Sélectionnez le module de protocole à exclure page, à partir de la Nom du module dans la liste déroulante, sélectionnez le module que vous souhaitez exclure de la capture.
- Cliquez Ajouter.
- Sur le Modules de protocole exclus page, cliquez sur Redémarrer Capture.
- Une fois la capture redémarrée, cliquez sur OK..
Exclure les adresses MAC
Ajoutez des filtres pour exclure des adresses MAC spécifiques ou le trafic des équipements du fournisseur de la capture réseau
Exclure une adresse IP ou une plage
Ajoutez des filtres pour exclure des adresses IP et des plages IP spécifiques de la capture réseau sur le système ExtraHop.
- Cliquez .
- Cliquez Filtres d'adresses IP.
- Cliquez Ajouter un filtre.
- Sur le Filtres d'adresses IP page, saisissez soit une adresse IP unique que vous souhaitez exclure, soit un masque d'adresse IP au format CIDR pour une plage d'adresses IP que vous souhaitez exclure.
- Cliquez Ajouter.
Exclure un port
Ajoutez des filtres pour exclure le trafic provenant de ports spécifiques de la capture réseau sur le système ExtraHop.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Filtres de port.
- Cliquez Ajouter un filtre.
-
Sur le Ajouter un filtre de port page, saisissez le port que vous souhaitez
exclure.
- Pour spécifier un port source que vous souhaitez exclure, saisissez le numéro de port dans le Port source champ.
- Pour spécifier le port de destination que vous souhaitez exclure, saisissez le numéro de port dans le Port de destination champ.
- À partir du Protocole IP dans la liste déroulante, sélectionnez le protocole que vous souhaitez exclure sur le port indiqué.
- Cliquez Ajouter.
Filtrage et déduplication
Reportez-vous au tableau suivant pour voir les effets du filtrage et de la déduplication sur les métriques, la capture de paquets et découverte des équipements. La déduplication est activée par défaut sur le système.
Paquet déposé par | Filtre d'adresse MAC | filtre d'adresse IP | Filtre de port | Dédoupage L2 | Dédoublage L3 |
---|---|---|---|---|---|
Métriques L2 du réseau VLAN | Non collecté | Non collecté | Non fragmenté* : Non collecté Fragmenté : collecté |
Non collecté | Recueilli |
Métriques du réseau VLAN L3 | Non collecté | Non collecté | Non fragmenté : Non collecté Fragmenté : collecté |
Non collecté | Recueilli |
Métriques L2/L3 de l'appareil | Non collecté | Non collecté | Non fragmenté : Non collecté Fragmenté, niveau supérieur : collecté Fragmenté, détail : Non collecté |
Non collecté | Recueilli |
Paquets PCAP globaux | Capturé | Capturé | Capturé | Capturé | Capturé |
Paquets PCAP de précision | Non capturé | Non capturé | Non capturé | Non capturé | Capturé |
Découverte des appareils L2 | Aucune découverte | Découverte | Découverte | -- | -- |
Découverte des appareils L3 | Aucune découverte | Aucune découverte | Non fragmenté : aucune découverte Fragmenté : Découverte |
-- | -- |
*Pour les filtres de port, lorsque des fragments IP sont présents dans le flux de données, aucun numéro de port n'est déterminé lors du réassemblage des fragments. Le système ExtraHop peut collecter des métriques, capturer des paquets ou découvrir un équipement même si la règle de filtrage des ports l'interdit autrement.
Les doublons L2 sont des trames Ethernet identiques. Les trames dupliquées n'existent généralement pas sur le fil, mais sont un artefact de la configuration du flux de données. Les doublons L3 sont des trames qui ne diffèrent que par l'en-tête L2 et le TTL IP. Ces trames sont généralement le résultat d'un tapotement des deux côtés d'un routeur. Comme ces trames existent sur le réseau surveillé, elles sont comptées en L2 et L3 aux emplacements référencés ci-dessus. La déduplication L3 est ciblée sur les niveaux L4 et supérieurs, par exemple, pour éviter de considérer les doublons L3 comme des retransmissions TCP.
Classification des protocoles
La classification des protocoles repose sur des charges utiles spécifiques pour identifier les protocoles personnalisés sur des ports spécifiques. Ces protocoles sont des protocoles de couche 7 (couche d'application) situés au-dessus du protocole de couche 4 (TCP ou UDP). Ces applications disposent de leur propre protocole personnalisé et utilisent également le protocole TCP.
Le Classification des protocoles page fournit une interface permettant d'exécuter les fonctions suivantes :
- Répertoriez les applications et les ports pour les entités réseau suivantes :
- Applications largement connues qui sont mappées sur des ports non standard.
- Applications réseau personnalisées et moins connues.
- Applications sans nom avec trafic TCP et UDP (par exemple, TCP 1234).
- Ajoutez un mappage protocole-application personnalisé qui inclut les informations suivantes :
- Nom
- Le nom du protocole spécifié par l'utilisateur.
- Protocole
- Le protocole de couche 4 sélectionné (TCP ou UDP).
- Source
- (Facultatif) Le port source spécifié. Le port 0 indique n'importe quel port source.
- Destination
- Port de destination ou plage de ports.
- Initiation libre
- Cochez cette case si vous souhaitez que le classificateur tente de classer la connexion
sans qu'elle soit ouverte. ExtraHop recommande de sélectionner une initiation lâche pour les écoulements à
longue durée de vie.
Par défaut, le système ExtraHop utilise une classification de protocole mal initiée, il tente donc de classer flux même après l' établissement de la connexion. Vous pouvez désactiver l'initiation libre pour les ports qui ne transportent pas toujours le trafic du protocole (par exemple, le port générique 0).
- Supprimez de la liste les protocoles dont le nom d'application et le mappage de port ont été sélectionnés.
Le nom et le port de l' application ne s'affichent pas dans le système ExtraHop ni dans les rapports basés sur une saisie de données future. L'équipement apparaîtra dans les rapports contenant des données historiques, s'il était actif et détectable au cours de la période indiquée.
- Redémarrez la capture réseau.
- Vous devez redémarrer la capture réseau avant que les modifications de classification des protocoles ne prennent effet.
- Les données de capture précédemment collectées sont préservées.
Le système ExtraHop reconnaît la plupart des protocoles sur leurs ports standard, à quelques exceptions près. Dans l'édition Performance, les protocoles suivants sont reconnus sur tous les ports :
- AJP
- DTLS
- FIX
- HTTP
- HTTP2
- IIOP
- Java RMI
- LDAP
- RPC
- SSH
- TLS
Sur RevealX 360, les protocoles suivants sont reconnus sur tous les ports :
- ethminer
- modèle getblock
- RDP
- RFB
- Strate
- LDAP
- Java RMI
- IIOP
Dans certains cas, si un protocole communique via un port non standard, il est nécessaire d'ajouter le port non standard sur la page Classification des protocoles. Dans ces cas, il est important de nommer correctement le port non standard. Le tableau ci-dessous répertorie les ports standard pour chacun des protocoles, ainsi que le nom du protocole qui doit être spécifié lors de l'ajout des numéros de port personnalisés sur la page Classification des protocoles.
Dans la plupart des cas, le nom que vous saisissez est le même que le nom du protocole. Les exceptions les plus courantes à cette règle sont Oracle (où le nom du protocole est TNS) et Microsoft SQL (où le nom du protocole est TDS).
Si vous ajoutez un nom de protocole comportant plusieurs ports de destination, ajoutez l'ensemble de la plage de ports en les séparant par un tiret (-). Par exemple, si votre protocole nécessite l'ajout des ports 1434, 1467 et 1489 pour le trafic de base de données, tapez 1434 à 1489 dans le Port de destination champ. Vous pouvez également ajouter chacun des trois ports dans trois classifications de protocoles distinctes portant le même nom.
Nom canonique | Nom du protocole | Transport | Port source par défaut | Port de destination par défaut |
---|---|---|---|---|
ActiveMQ | ActiveMQ | TCP | 0 | 61616 |
AJP | AJP | TCP | 0 | 8009 |
DB2 | DB2 | TCP | 0 | 50000 et 60000 |
DHCP | DHCP | TCP | 68 | 67 |
Diamètre | AAA | TCP | 0 | 3868 |
DICOM | DICOM | TCP | 0 | 3868 |
DNS | DNS | TCP, UDP | 0 | 53 |
FIX | FIX | TCP | 0 | 0 |
FTP | FTP | TCP | 0 | 21 |
DONNÉES FTP | DONNÉES FTP | TCP | 0 | 20 |
HL7 | HL7 | TCP, UDP | 0 | 2575 |
HTTPS | HTTPS | TCP | 0 | 443 |
IBM MQ | IBMMQ | TCP, UDP | 0 | 1414 |
ICA | ICA | TCP | 0 | 1494 et 2598 |
VÉLO | VÉLO | UDP | 0 | 500 |
IMAP | IMAP | TCP | 0 | 143 |
IMAPS | IMAPS | TCP | 0 | 993 |
Informix | Informix | TCP | 0 | 1526 et 1585 |
IPSEC | IPSEC | TCP, UDP | 0 | 1293 |
IPX | IPX | TCP, UDP | 0 | 213 |
IRC | IRC | TCP | 0 | 6660-6669 |
ISAKMP | ISAKMP | UDP | 0 | 500 |
iSCSI | iSCSI | TCP | 0 | 3260 |
Kerberos | Kerberos | TCP, UDP | 0 | 88 |
LDAP | LDAP | TCP | 0 | 389, 390 et 3268 |
LLDP | LLDP | Niveau de lien | N/A | N/A |
L2TP | L2TP | UDP | 0 | 1701 |
Memcache | Memcache | TCP | 0 | 11210 et 11211 |
Modbus | Modbus | TCP | 0 | 502 |
MongoDB | MongoDB | TCP | 0 | 27017 |
Serveur MS SQL | TDS | TCP | 0 | 1433 |
MSMQ | MSMQ | TCP | 0 | 1801 |
MSRPC | MSRPC | TCP | 0 | 135 |
MySQL | MySQL | TCP | 0 | 3306 |
NetFlow | NetFlow | UDP | 0 | 2055 |
NFS | NFS | TCP | 0 | 2049 |
NFS | NFS | UDP | 0 | 2049 |
NTP | NTP | UDP | 0 | 123 |
OpenVPN | OpenVPN | UDP | 0 | 1194 |
Oracle | TNS | TCP | 0 | 1521 |
PCoIP | PCoIP | UDP | 0 | 4172 |
POP3 | POP3 | TCP | 0 | 143 |
POP3 | POP3 | TCP | 0 | 995 |
PostgreSQL | PostgreSQL | TCP | 0 | 5432 |
RAYON | AAA | TCP | 0 | 1812 et 1813 |
RAYON | AAA | UDP | 0 | 1645, 1646, 1812, 1813 |
RDP | RDP | TCP | 0 | 3389 |
Redis | Redis | TCP | 0 | 6397 |
RFB | RFB | TCP | 0 | 5900 |
PSCC | PSCC | TCP | 0 | 2000 |
SIP | SIP | TCP | 0 | 5060 et 5061 |
SMB | SMB | TCP | 0 | 139 et 445 |
SMPP | SMPP | TCP | 0 | 2775 |
SMTP | SMTP | TCP | 0 | 25 |
SNMP | SNMP | UDP | 0 | 162 |
SSH | SSH | TCP | 0 | 0 |
Sybase | Sybase | TCP | 0 | 10200 |
Sybase IQ | Sybase IQ | TCP | 0 | 2638 |
Syslog | Syslog | UDP | 0 | 514 |
Telnet | Telnet | TCP | 0 | 23 |
TLS | TLS | TCP | 0 | 443 |
VNC | VNC | TCP | 0 | 5900 |
WebSocket | WebSocket | TCP | 0 | 80 et 443 |
Optimisation de la diffusion de Windows Update | Optimisation de la diffusion de Windows Update | TCP | 0 | 7860 |
Le nom spécifié dans la colonne Nom du protocole du tableau apparaît sur la page Classification des protocoles pour classer un protocole courant qui communique via des ports non standard.
Les protocoles du système ExtraHop qui n'apparaissent pas dans ce tableau sont les suivants :
- HTTP
- Le système ExtraHop classe le HTTP sur tous les ports.
- HTTP-AMF
- Ce protocole s'exécute en plus du protocole HTTP et est automatiquement classé.
Les protocoles de ce tableau qui n'apparaissent pas dans le système ExtraHop sont les suivants :
- DONNÉES FTP
- Le système ExtraHop ne gère pas les données FTP-DATA sur les ports non standard.
- LLDP
- Comme il s'agit d'un protocole au niveau des liens, la classification basée sur les ports ne s'applique pas.
Ajouter une classification de protocole personnalisée
La procédure suivante décrit comment ajouter des éléments personnalisés protocole étiquettes de classification avec le protocole TDS (MS SQL Server) à titre d' exemple.
Par défaut, le système ExtraHop recherche le trafic TDS sur le port TCP 1433. Pour ajouter l'analyse TDS de MS SQL Server sur un autre port, procédez comme suit.
Configurer Device Discovery
Le système ExtraHop peut découvrir et suivre les appareils par leur adresse MAC (L2 Discovery) ou par leur adresse IP (L3 Discovery). L2 Discovery offre l'avantage de suivre les métriques d'un équipement même si l'adresse IP est modifiée ou réattribuée par le biais d'une requête DHCP. Le système peut également détecter automatiquement les clients VPN.
Before you begin
Découvrez comment découverte d'équipements et Découverte de la L2 fonctionne dans le système ExtraHop. La modification de ces paramètres affecte la manière dont les métriques sont associées aux appareils.Remarque : | Les courtiers en paquets peuvent filtrer les demandes ARP. Le système ExtraHop s'appuie sur les requêtes ARP pour associer les adresses IP L3 aux adresses MAC L2. |
Découvrez les appareils locaux
Si vous activez L3 Discovery, les appareils locaux sont suivis en fonction de leur adresse IP. Le système crée une entrée parent L2 pour l'adresse MAC et une entrée enfant L3 pour l'adresse IP. Au fil du temps, si l'adresse IP d'un équipement change, vous pouvez voir apparaître une seule entrée pour un parent L2 avec une adresse MAC avec plusieurs entrées L3 enfants avec des adresses IP différentes.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Découverte d'appareils.
-
Dans le Découverte d'appareils locaux section, sélectionnez l'une des options
suivantes :
- Sélectionnez le Activer la découverte des équipements locaux case à cocher pour activer L3 Discovery.
- Effacez le Activer la découverte des équipements locaux case à cocher pour activer L2 Discovery.
- Cliquez Enregistrer.
Découvrez les appareils distants par adresse IP
Vous pouvez configurer le système ExtraHop pour détecter automatiquement les appareils sur les sous-réseaux distants en ajoutant une plage d'adresses IP.
Remarque : | Si votre système ExtraHop est configuré pour L2 Discovery et que vos appareils distants demandent des adresses IP via un agent relais DHCP, vous pouvez suivre les appareils en fonction de leur adresse MAC et vous n'avez pas besoin de configurer Remote L3 Discovery. En savoir plus sur découverte d'équipements. |
- Les informations L2, telles que l'adresse MAC de l'équipement et le trafic L2, ne sont pas disponibles si l'équipement se trouve sur un réseau différent de celui surveillé par le système ExtraHop. Ces informations ne sont pas transmises par les routeurs et ne sont donc pas visibles pour le système ExtraHop.
- Soyez prudent lorsque vous spécifiez la notation CIDR. Un préfixe de sous-réseau /24 peut entraîner la découverte de 255 nouveaux périphériques par le système ExtraHop. Un préfixe de sous-réseau /16 étendu peut entraîner la découverte de 65 535 nouveaux périphériques, ce qui peut dépasser la limite de votre équipement.
- Si une adresse IP est supprimée des paramètres de découverte d'appareils L3 distants, elle sera conservée dans le système ExtraHop en tant qu'équipement L3 distant tant qu'il existe des flux actifs pour cette adresse IP ou jusqu'à ce
que la capture
soit redémarrée.
Après un redémarrage, l'équipement est répertorié comme un
équipement distant L3 inactif.
Si la même adresse IP est ajoutée ultérieurement via le flux de données local, cet équipement L3 distant peut passer à un équipement L3 local, mais uniquement si le processus de capture est redémarré et que le paramètre Local Device Discovery est activé.
Important : | Le processus de capture doit être redémarré lors de la suppression de plages d'adresses IP avant que les modifications ne prennent effet. Nous vous recommandons de supprimer toutes les entrées avant de redémarrer le processus de capture. Il n'est pas nécessaire de redémarrer le processus de capture lors de l'ajout de plages d'adresses IP. |
Découvrez les clients VPN
Activez la découverte des adresses IP internes associées aux appareils clients VPN.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capture.
- Cliquez Découverte d'appareils.
-
Dans le Découverte du client VPN section, sélectionnez l'une des options
suivantes :
- Sélectionnez le Activer la découverte des clients VPN case à cocher pour activer la découverte du client VPN.
- Effacez le Activer la découverte des clients VPN case à cocher pour désactiver la découverte des clients VPN.
- Cliquez Enregistrer.
Décryptage TLS
Le système ExtraHop prend en charge le déchiffrement en temps réel du trafic TLS à des fins d'analyse. Avant que le système puisse déchiffrer votre trafic, vous devez configurer le transfert de clé de session ou télécharger un certificat de serveur TLS et une clé privée. Le certificat de serveur et les clés privées sont chargés via une connexion HTTPS depuis un navigateur Web vers le système ExtraHop.
Remarque : | Le trafic de votre serveur doit être chiffré via l'un des ces suites de chiffrement prises en charge. |
Aide sur cette page
- Déchiffrez le trafic TLS grâce au transfert de clé de session sans clé privée.
- Décochez la case pour Exiger des clés privées.
- Installez le logiciel de transfert de clés de session sur votre Linux ou Fenêtres serveurs.
- Ajouter un port global au mappage de protocoles pour chaque protocole que vous souhaitez déchiffrer.
- Déchiffrez le trafic TLS en téléchargeant un certificat et une clé privée.
Remarque : | Le déchiffrement TLS nécessite une licence. Toutefois, si vous possédez une licence pour MS SQL, vous pouvez également télécharger un certificat TLS pour déchiffrer le trafic MS SQL à partir de ces paramètres. |
Téléchargez un certificat PEM et une clé privée RSA
Conseil : | Vous pouvez exporter une clé protégée par mot de passe à ajouter à votre système ExtraHop
en exécutant la commande suivante sur un programme tel qu'OpenSSL :
openssl rsa -in yourcert.pem -out new.key |
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Décryptage SSL.
- Dans le Décryptage par clé privée section, cochez la case pour Exiger des clés privées.
- Cliquez Enregistrer.
- Dans le Clés privées section, cliquez sur Ajouter des clés.
- Dans le Nom dans ce champ, saisissez un nom descriptif pour identifier ce certificat et cette clé.
- Effacez le Activé case à cocher si vous souhaitez désactiver ce certificat TLS.
- Dans le Certificat champ, collez le certificat de clé publique.
- Dans le Clé privée dans le champ, collez la clé privée RSA.
- Cliquez Ajouter.
Que faire ensuite
Ajoutez les protocoles chiffrés vous souhaitez déchiffrer avec ce certificat.Téléchargez un fichier PKCS #12 /PFX
Les fichiers PKCS #12 /PFX sont archivés dans un conteneur sécurisé sur le système ExtraHop et contiennent des paires de clés publiques et privées, accessibles uniquement par mot de passe.
Conseil : | Pour exporter des clés privées d'un KeyStore Java vers un fichier PKCS #12, exécutez la commande
suivante sur votre serveur, où javakeystore.jks est le
chemin de votre
KeyStore Java :keytool -importkeystore -srckeystore javakeystore.jks -destkeystore pkcs.p12 -srcstoretype jks -deststoretype pkcs12 |
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Décryptage SSL.
- Dans le Décryptage par clé privée section, cochez la case pour Exiger des clés privées.
- Cliquez Enregistrer.
- Dans le Clés privées section, cliquez sur Ajouter des clés.
- Dans le Ajouter un fichier PKCS #12 /PFX avec mot de passe section, dans le champ Description, saisissez un nom descriptif pour identifier ce certificat et cette clé.
- Effacez le Activé case à cocher si vous souhaitez désactiver ce certificat TLS.
- Pour Fichier PKCS #12 /PFX, cliquez Naviguez.
- Accédez au fichier et sélectionnez-le, puis cliquez sur Ouvrir.
- Dans le Mot de passe dans le champ, saisissez le mot de passe du fichier PKCS #12 /PFX.
- Cliquez Ajouter.
- Cliquez OK..
Que faire ensuite
Ajoutez les protocoles chiffrés vous souhaitez déchiffrer à l'aide de ce certificat.Ajouter des protocoles chiffrés
Vous devez ajouter chaque protocole que vous souhaitez déchiffrer pour chaque certificat téléchargé.
Ajouter un port global au mappage de protocoles
Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.
Installation du redirecteur de clés de session ExtraHop sur un serveur Windows
Le Perfect Forward Secrecy (PFS) est une propriété des protocoles de communication sécurisés qui permet des échanges de clés de session totalement privés à court terme entre les clients et les serveurs. ExtraHop propose un logiciel de transfert de clés de session qui peut envoyer des clés de session au système ExtraHop pour le déchiffrement TLS. Communication entre le transitaire de clés et sonde est chiffré avec TLS 1.2 ou TLS 1.3, et il n'y a aucune limite au nombre de clés de session que le système ExtraHop peut recevoir.
Remarque : | Pour plus d'informations sur la manière dont le flux de trafic ou les modifications apportées à la configuration peuvent affecter les capteurs, consultez les mesures de désynchronisation et de capture du taux de baisse dans le tableau de bord de l'état du système. |
Vous devez configurer le système ExtraHop pour le transfert des clés de session, puis installer le logiciel du redirecteur sur Fenêtres et Linux serveurs dont le trafic TLS doit être déchiffré.
Avant de commencer- Lisez à propos de Décryptage TLS et consultez la liste des suites de chiffrement prises en charge.
- Assurez-vous que le système ExtraHop possède une licence pour le déchiffrement TLS et les secrets partagés TLS.
- Assurez-vous que votre environnement de serveur est pris en charge par le logiciel de
redirection de clés de session ExtraHop :
- Package de sécurité Microsoft Secure Channel (Schannel)
- Java TLS (versions Java 8 à 17). N'effectuez pas de mise à niveau vers cette version du redirecteur de clé de session si vous surveillez actuellement des environnements Java 6 ou Java 7. La version 7.9 du redirecteur de clé de session prend en charge Java 6 et Java 7 et est compatible avec le dernier firmware ExtraHop.
- Bibliothèques OpenSSL (1.0.x et 1.1.x) liées dynamiquement. OpenSSL n'est pris en charge que sur les systèmes Linux dotés des versions de noyau 4.4 et ultérieures et RHEL 7.6 et versions ultérieures.
- Assurez-vous que le serveur sur lequel vous installez le redirecteur de clé de session approuve le certificat TLS de l'ExtraHop sonde.
- Assurez-vous que vos règles de pare-feu autorisent le serveur surveillé à établir des connexions au port TCP 4873 de la sonde.
Important : | Le système ExtraHop ne peut pas déchiffrer le trafic TDS chiffré par TLS via le transfert de clé de session. Au lieu de cela, vous pouvez télécharger un RSA clé privée. |
- Installez le redirecteur de clé de session sur un ou plusieurs serveurs Windows 2016 ou Windows 2019 qui exécutent des services TLS avec le framework TLS natif de Windows. OpenSSL sur Windows n'est actuellement pas pris en charge.
Important : | Après avoir installé le logiciel de transfert de clés de session, les applications qui
incluent des fonctionnalités compatibles TLS, telles que les agents EDR et les applications du Windows Store, peuvent ne pas fonctionner
correctement. Validez la compatibilité du redirecteur de clé de session dans votre environnement de test Windows avant de le déployer dans votre environnement de production. |
Installez le logiciel à l'aide de l'assistant d'installation
Les étapes suivantes vous indiquent comment installer le redirecteur de clé de session à partir d'une invite de commande Windows ou de Windows PowerShell.
Activer le service de réception de clés de session TLS
Vous devez activer le service de réception des clés de session sur le système ExtraHop pour que le système puisse recevoir et déchiffrer les clés de session depuis le redirecteur de clés de session. Par défaut, ce service est désactivé.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres de l'appliance section, cliquez sur Services.
- Sélectionnez le Récepteur de clé de session SSL case à cocher.
- Cliquez Enregistrer.
Ajouter un port global au mappage de protocoles
Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.
Afficher les redirecteurs de clés de session connectés
Vous pouvez consulter les redirecteurs de clés de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clés de session TLS sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clés de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Secrets partagés SSL.
Valider le transfert des clés de session
Effectuez ces étapes pour vous assurer que l'installation s'est bien déroulée et que le redirecteur de clés de session transmet les clés au système ExtraHop.
- Connectez-vous au serveur Windows.
-
Ouvrez le composant logiciel enfichable Services MMC. Assurez-vous que les deux services, « ExtraHop Session Key Forwarder » et «
ExtraHop Registry Service », affichent l'état « En cours d'exécution ».
-
Si l'un des services n'est pas en cours d'exécution, résolvez le problème
en suivant les étapes ci-dessous.
- Ouvrez le composant logiciel enfichable Event Viewer MMC et accédez à Windows Logs > Application.
- Localisez les entrées les plus récentes pour la source ExtraHopAgent. Les causes courantes d'échec et les messages d'erreur associés sont répertoriés dans le Résoudre les problèmes liés aux messages d'erreur courants section ci-dessous.
- Si le composant logiciel enfichable Services and Event Viewer n'indique aucun problème, appliquez une charge de travail aux services surveillés et accédez au système ExtraHop pour vérifier que le déchiffrement basé sur le secret fonctionne.
Si vous rencontrez des problèmes de configuration, le binaire du redirecteur de clé de session inclut un mode test auquel vous pouvez accéder depuis la ligne de commande pour tester votre configuration.
Principaux indicateurs de santé du système récepteur
Le système ExtraHop fournit des indicateurs clés sur les récepteurs que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités des principaux destinataires.
Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Type récepteur clé dans le champ de filtre pour afficher toutes les mesures de réception clés disponibles.
Conseil : | Pour savoir comment créer un nouveau graphique de tableau de bord, voir Modifier un graphique à l'aide de l'explorateur de métriques. |
Intégrez le redirecteur à l'application TLS basée sur Java
Par exemple, Apache Tomcat prend en charge la personnalisation des options Java dans les propriétés du gestionnaire de services Tomcat. Dans l'exemple suivant, ajouter le -javaagent L'option de la section Options Java permet au moteur d'exécution Java de partager les secrets de session TLS avec le processus de transfert de clés, qui les transmet ensuite au système ExtraHop afin qu'ils puissent être déchiffrés.
-javaagent:C:\Program Files\ExtraHop\exagent.jar
Remarque : | Si votre serveur exécute Java 17 ou une version ultérieure, vous devez également
autoriser le module sun.security.ssl à accéder à tous les modules anonymes avec le
--add-opens option, comme illustré dans l'
exemple suivant :--add-opens java.base/sun.security.ssl=ALL-UNNAMED |
Appendice
Les messages d'erreur sont enregistrés dans les fichiers journaux aux emplacements suivants, où TMP est la valeur de votre variable d'environnement TMP :
- TMP\ExtraHopSessionKeyForwarderSetup.log
- TMP\ExtraHopSessionKeyForwarderMsi.log
Le tableau suivant présente les messages d'erreur courants que vous pouvez résoudre. Si une autre erreur s'affiche ou si la solution proposée ne résout pas votre problème, contactez le support ExtraHop .
Message | Cause | Solution |
---|---|---|
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond | Le serveur surveillé ne peut acheminer aucun trafic vers sonde. | Assurez-vous que les règles de pare-feu autorisent le serveur surveillé à établir des connexions vers le port TCP 4873 du sonde. |
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it | Le serveur surveillé peut acheminer le trafic vers sonde, mais le processus de réception n'écoute pas. | Assurez-vous que sonde est concédé sous licence pour les fonctionnalités TLS Decryption et TLS Shared Secrets. |
connect: x509: certificate signed by unknown authority | Le serveur surveillé n'est pas en mesure de chaîner les sonde certificat auprès d'une autorité de certification (CA) de confiance. | Assurez-vous que le magasin de certificats Windows pour le compte d'ordinateur dispose d'autorités de certification racine fiables qui établissent une chaîne de confiance pour sonde. |
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs | Une adresse IP a été fournie en tant que EDA_HOSTNAME paramètre lors de l'installation du redirecteur, mais le certificat TLS présenté par la sonde n'inclut pas d'adresse IP en tant que nom alternatif du sujet (SAN). | Choisissez l'une des trois solutions suivantes.
|
|
||
|
Si vous ne souhaitez plus installer le logiciel de transfert de clé de session ExtraHop, ou si l'un des paramètres d'installation d'origine a changé (nom d'hôte de la sonde ou certificat) et que vous devez réinstaller le logiciel avec de nouveaux paramètres, procédez comme suit :
Important : | Vous devez redémarrer le serveur pour que les modifications de configuration soient prises en compte. |
- Connectez-vous au serveur Windows.
- Facultatif : Si vous avez intégré le redirecteur de clé de session à Apache Tomcat, supprimez le -javaagent:C:\Program Files\ExtraHop\exagent.jar entrée depuis Tomcat pour empêcher l'arrêt du service Web.
-
Choisissez l'une des options suivantes pour supprimer le logiciel :
- Ouvrez le panneau de configuration et cliquez sur Désinstaller un programme. Sélectionnez Transmetteur de clés de session ExtraHop dans la liste, puis cliquez sur Désinstaller.
-
Ouvrez une invite de commande PowerShell et exécutez les commandes suivantes pour supprimer le logiciel et les entrées de registre associées :
-
$app=Get-WMIObject -class win32_product | where-object {$_.name -eq "ExtraHop Session Key Forwarder"}
-
$app.Uninstall()
-
- Cliquez Oui pour confirmer.
- Une fois le logiciel supprimé, cliquez sur Oui pour redémarrer le système
Vous pouvez spécifier les paramètres MSI suivants :
Paramètre d'installation MSI | EDA_HOSTNAME |
Entrée de registre | HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\EDAHost |
Descriptif | Le sonde nom d'hôte ou adresse IP à laquelle les clés de
session TLS seront envoyées. Ce paramètre est obligatoire. |
Paramètre d'installation MSI | EDA_CERTIFICATEPATH |
Entrée de registre | N/A |
Descriptif |
Le serveur surveillé doit faire confiance à l'émetteur du sonde Certificat TLS via le magasin de certificats du serveur. Dans certains environnements, sonde fonctionne avec le certificat auto-signé généré par le firmware ExtraHop lors de l'installation. Dans ce cas, le certificat doit être ajouté au magasin de certificats. Le EDA_CERTIFICATEPATH Le paramètre permet d'importer un certificat codé PEM basé sur un fichier dans le magasin de certificats Windows lors de l'installation. Si le paramètre n'est pas spécifié lors de l'installation et qu'un certificat auto-signé ou un autre certificat CA doit être placé manuellement dans le magasin de certificats, l' administrateur doit importer le certificat dans Certificats (compte d'ordinateur) > Autorités de certification racine fiables sur le système surveillé. Ce paramètre est facultatif si le serveur surveillé a été précédemment configuré pour faire confiance au certificat TLS du sonde via le magasin de certificats Windows. |
Paramètre d'installation MSI | SERVERNAMEOVERRIDE |
Entrée de registre | HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\ServerNameOverride |
Descriptif |
S'il y a un décalage entre les sonde le nom d'hôte que le redirecteur connaît (EDA_HOSTNAME) et le nom commun (CN) qui est présenté dans le certificat TLS du sonde, le redirecteur doit être configuré avec le bon CN. Ce paramètre est facultatif. Nous vous recommandons de régénérer le certificat auto-signé TLS en fonction du nom d'hôte du Certificat TLS section des paramètres d'administration au lieu de spécifier ce paramètre. |
Paramètre d'installation MSI | TCPLISTENPORT |
Entrée de registre | HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\TCPListenPort |
Descriptif | Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java
via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans
TCPListenPort entrée. Nous vous recommandons de conserver la valeur par défaut
de 598 pour ce port. Ce paramètre est facultatif. |
Le système ExtraHop peut déchiffrer le trafic TLS chiffré à l'aide de suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.
Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.
- PFS + GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement avec transfert de clé de session et mappage global entre protocole et port
- Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement à l'aide du transfert de clé de session et du certificat et clé privée
- Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale | Nom (IANA) | Nom (OpenSSL) | Décryptage pris en charge |
---|---|---|---|
0x04 | TLS_RSA_AVEC_RC4_128_MD5 | RC4-MD5 | PFS + GPP PFS + Certificat RSA + Certificat |
0x05 | TLS_RSA_AVEC_RC4_128_SHA | RC4-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x0A | TLS_RSA_WITH_3DES_EDE_CBC_SHA | DES-CBC3-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x16 | TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA | EDH-RSA-DES-CBC3-SHA | PFS + GPP PFS + Certificat |
0x2F | TLS_RSA_WITH_AES_128_CBC_SHA | AES128-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x33 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA | DHE-RSA-AES128-SHA | PFS + GPP PFS + Certificat |
0x35 | TLS_RSA_WITH_AES_256_CBC_SHA | AES256-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x39 | TLS_DHE_RSA_WITH_AES_256_CBC_SHA | DHE-RSA-AES256-SHA | PFS + GPP PFS + Certificat |
0x3C | TLS_RSA_WITH_AES_128_CBC_SHA256 | AES128-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x3D | TLS_RSA_WITH_AES_256_CBC_SHA256 | AES256-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x67 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 | DHE-RSA-AES128-SHA256 | PFS + GPP PFS + Certificat |
0 x 6B | TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 | DHE-RSA-AES256-SHA256 | PFS + GPP PFS + Certificat |
0x9C | TLS_RSA_AVEC_AES_128_GCM_SHA256 | AES128-GCM-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x9D | TLS_RSA_AVEC_AES_256_GCM_SHA384 | AES256-GCM-SHA384 | PFS + GPP PFS + Certificat RSA + Certificat |
0 x 9 | TLS_DHE_RSA_AVEC_AES_128_GCM_SHA256 | DHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Certificat |
0 x 9 F | TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 | DHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Certificat |
0x1301 | TLS_AES_128_GCM_SHA255 | TLS_AES_128_GCM_SHA255 | PFS + GPP PFS + Certificat |
0x1302 | TLS_AES_256_GCM_SHA384 | TLS_AES_256_GCM_SHA384 | PFS + GPP PFS + Certificat |
0x1303 | TLS_CHACHA20_POLY1305_SHA256 | TLS_CHACHA20_POLY1305_SHA256 | PFS + GPP PFS + Certificat |
0 x C007 | TLS_ECDHE_ECDSA_AVEC_RC4_128_SHA | ECDHE-ECDSA-RC4-SHA | PFS + GPP |
0 x C008 | TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA | ECDHE-ECDSA-DES-CBC3-SHA | PFS + GPP |
0 x C009 | TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA | ECDHE-ECDSA-AES128-SHA | PFS + GPP |
0xC00A | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | ECDHE-ECDSA-AES256-SHA | PFS + GPP |
0 x C011 | TLS_ECDHE_RSA_AVEC_RC4_128_SHA | ECDHE-RSA-RC4-SHA | PFS + GPP PFS + Certificat |
0 x C012 | TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA | ECDHE-RSA-DES-CBC3-SHA | PFS + GPP PFS + Certificat |
0 x C013 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | ECDHE-RSA-AES128-SHA | PFS + GPP PFS + Certificat |
0 x C014 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA | ECDHE-RSA-AES256-SHA | PFS + GPP PFS + Certificat |
0 x C023 | TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA256 | ECDHE-ECDSA-AES128-SHA256 | PFS + GPP |
0 x C024 | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | ECDHE-ECDSA-AES256-SHA384 | PFS + GPP |
0 x C027 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | ECDHE-RSA-AES128-SHA256 | PFS + GPP PFS + Certificat |
0 x C028 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | ECDHE-RSA-AES256-SHA384 | PFS + GPP PFS + Certificat |
0xC02B | TLS_ECDHE_ECDSA_AVEC_AES_128_GCM_SHA256 | ECDHE-ECDSA-AES128-GCM-SHA256 | PFS + GPP |
0xC02C | TLS_ECDHE_ECDSA_AVEC_AES_256_GCM_SHA384 | ECDHE-ECDSA-AES256-GCM-SHA384 | PFS + GPP |
0xC02F | TLS_ECDHE_RSA_AVEC_AES_128_GCM_SHA256 | ECDHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Certificat |
0 x C030 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | ECDHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Certificat |
0 x CCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Certificat |
0 x CCA9 | TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-ECDSA-CHACHA20-POLY1305 | PFS + GPP |
0 x CCAA | TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | DHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Certificat |
Vous pouvez exporter le fichier MSI à partir du fichier exécutable pour prendre en charge un flux de travail d'installation personnalisé.
ExtraHopSessionKeyForwarderSetup.exe -e
Remarque : | Vous pouvez ajouter <directory> à
la -e paramètre pour enregistrer le .msi fichier
dans un répertoire autre que le répertoire de travail actuel. Par exemple, la commande
suivante enregistre le fichier dans install_dir
annuaire :ExtraHopSessionKeyForwarderSetup.exe -e install_dir |
Installez le redirecteur de clé de session ExtraHop sur un serveur Linux
Le Perfect Forward Secrecy (PFS) est une propriété des protocoles de communication sécurisés qui permet des échanges de clés de session totalement privés à court terme entre les clients et les serveurs. ExtraHop propose un logiciel de transfert de clés de session qui peut envoyer des clés de session au système ExtraHop pour le déchiffrement TLS. Communication entre le transitaire de clés et sonde est chiffré avec TLS 1.2 ou TLS 1.3, et il n'y a aucune limite au nombre de clés de session que le système ExtraHop peut recevoir.
Remarque : | Pour plus d'informations sur la manière dont le flux de trafic ou les modifications apportées à la configuration peuvent affecter les capteurs, consultez les mesures de désynchronisation et de capture du taux de baisse dans le tableau de bord de l'état du système. |
Vous devez configurer le système ExtraHop pour le transfert des clés de session, puis installer le logiciel du redirecteur sur Fenêtres et Linux serveurs dont le trafic TLS doit être déchiffré.
Avant de commencer- Lisez à propos de Décryptage TLS et consultez la liste des suites de chiffrement prises en charge.
- Assurez-vous que le système ExtraHop possède une licence pour le déchiffrement TLS et les secrets partagés TLS.
- Assurez-vous que votre environnement de serveur est pris en charge par le logiciel de
redirection de clés de session ExtraHop :
- Package de sécurité Microsoft Secure Channel (Schannel)
- Java TLS (versions Java 8 à 17). N'effectuez pas de mise à niveau vers cette version du redirecteur de clé de session si vous surveillez actuellement des environnements Java 6 ou Java 7. La version 7.9 du redirecteur de clé de session prend en charge Java 6 et Java 7 et est compatible avec le dernier firmware ExtraHop.
- Bibliothèques OpenSSL (1.0.x et 1.1.x) liées dynamiquement. OpenSSL n'est pris en charge que sur les systèmes Linux dotés des versions de noyau 4.4 et ultérieures et RHEL 7.6 et versions ultérieures.
- Assurez-vous que le serveur sur lequel vous installez le redirecteur de clé de session approuve le certificat TLS de l'ExtraHop sonde.
- Assurez-vous que vos règles de pare-feu autorisent le serveur surveillé à établir des connexions au port TCP 4873 de la sonde.
Important : | Le système ExtraHop ne peut pas déchiffrer le trafic TDS chiffré par TLS via le transfert de clé de session. Au lieu de cela, vous pouvez télécharger un RSA clé privée. |
- Installez le redirecteur de clé de session sur les distributions Linux RHEL, CentOS, Fedora ou Debian-Ubuntu. Le redirecteur de clé de session peut ne pas fonctionner correctement sur d'autres distributions.
- Le redirecteur de clé de session n'a pas été testé de manière approfondie avec SELinux et risque de ne pas être compatible lorsqu'il est activé sur certaines distributions Linux.
Activer le service de réception de clés de session TLS
Vous devez activer le service de réception des clés de session sur le système ExtraHop pour que le système puisse recevoir et déchiffrer les clés de session depuis le redirecteur de clés de session. Par défaut, ce service est désactivé.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Paramètres de l'appliance section, cliquez sur Services.
- Sélectionnez le Récepteur de clé de session SSL case à cocher.
- Cliquez Enregistrer.
Ajouter un port global au mappage de protocoles
Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.
Installez le logiciel
Conseil : | Vous pouvez installer le redirecteur sans intervention de l'utilisateur en spécifiant variables d'environnement dans la commande d'installation. |
Conseil : | Vous pouvez installer le redirecteur sans intervention de l'utilisateur en spécifiant variables d'environnement dans la commande d'installation. |
Par exemple, de nombreux environnements Tomcat prennent en charge la personnalisation des options Java dans /etc/default/tomcat7 dossier. Dans l'exemple suivant, ajouter -javaagent L'option sur la ligne JAVA_OPTS permet au moteur d'exécution Java de partager les secrets de session TLS avec le processus de transfert de clés, qui les transmet ensuite au système ExtraHop afin qu'ils puissent être déchiffrés.
JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar
Si votre serveur exécute Java 17 ou une version ultérieure, vous devez également autoriser le module sun.security.ssl à accéder à tous les modules sans nom à l'aide de l'option --add-opens, comme illustré dans l'exemple suivant :
JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar --add-opens java.base/sun.security.ssl=ALL-UNNAMED
Validez et dépannez votre installation
Si votre serveur Linux dispose d'un accès réseau au système ExtraHop et que la configuration TLS du serveur approuve le certificat présenté par le système ExtraHop que vous avez spécifié lors de l'installation du redirecteur de clé de session, la configuration est terminée.
Si vous rencontrez des problèmes de configuration, le binaire du redirecteur de clé de session inclut un mode test auquel vous pouvez accéder depuis la ligne de commande pour tester votre configuration.
En cas de non-concordance entre le nom d'hôte du système ExtraHop connu par le redirecteur (SERVER) et le nom commun (CN) présenté dans le certificat TLS du système ExtraHop, le redirecteur doit être configuré avec le bon CN.
Principaux indicateurs de santé du système récepteur
Le système ExtraHop fournit des indicateurs clés sur les récepteurs que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités des principaux destinataires.
Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Type récepteur clé dans le champ de filtre pour afficher toutes les mesures de réception clés disponibles.
Conseil : | Pour savoir comment créer un nouveau graphique de tableau de bord, voir Modifier un graphique à l'aide de l'explorateur de métriques. |
Afficher les redirecteurs de clés de session connectés
Vous pouvez consulter les redirecteurs de clés de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clés de session TLS sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clés de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Secrets partagés SSL.
Désinstallez le logiciel
Si vous ne souhaitez plus installer le logiciel de transfert de clé de session ExtraHop, procédez comme suit.
- Connectez-vous au serveur Linux.
-
Ouvrez une application de terminal et choisissez l'une des options suivantes pour supprimer
le logiciel.
- Pour les serveurs basés sur le RPM, exécutez la commande suivante :
sudo rpm --erase extrahop-key-forwarder
- Pour les serveurs Debian et Ubuntu, exécutez la
commande suivante :
sudo apt-get --purge remove extrahop-key-forwarder
Type Y à l'invite pour confirmer la suppression du logiciel, puis appuyez sur ENTER.
- Pour les serveurs basés sur le RPM, exécutez la commande suivante :
- Cliquez Oui pour confirmer.
- Une fois le logiciel supprimé, cliquez sur Oui pour redémarrer le système
Messages d'erreur courants
Les erreurs créées par le redirecteur de clé de session sont enregistrées dans le fichier journal du système Linux.
Message | Cause | Solution |
---|---|---|
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond | Le serveur surveillé ne peut acheminer aucun trafic vers sonde. | Assurez-vous que les règles de pare-feu autorisent le serveur surveillé à établir des connexions vers le port TCP 4873 du sonde. |
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it | Le serveur surveillé peut acheminer le trafic vers sonde, mais le processus de réception n'écoute pas. | Assurez-vous que sonde est concédé sous licence pour les fonctionnalités TLS Decryption et TLS Shared Secrets. |
connect: x509: certificate signed by unknown authority | Le serveur surveillé n'est pas en mesure de chaîner sonde certificat auprès d'une autorité de certification (CA) de confiance. | Assurez-vous que le magasin de certificats Linux pour le compte d'ordinateur dispose d'autorités de certification racine fiables qui établissent une chaîne de confiance pour sonde. |
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs | Une adresse IP a été fournie en tant que SERVER paramètre lors de l'installation du redirecteur, mais le certificat TLS présenté par la sonde n'inclut pas d'adresse IP en tant que nom alternatif du sujet (SAN). | Choisissez l'une des trois solutions suivantes.
|
|
||
|
Suites de chiffrement TLS prises en charge
Le système ExtraHop peut déchiffrer le trafic TLS chiffré à l'aide de suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.
Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.
- PFS + GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement avec transfert de clé de session et mappage global entre protocole et port
- Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement à l'aide du transfert de clé de session et du certificat et clé privée
- Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale | Nom (IANA) | Nom (OpenSSL) | Décryptage pris en charge |
---|---|---|---|
0x04 | TLS_RSA_AVEC_RC4_128_MD5 | RC4-MD5 | PFS + GPP PFS + Certificat RSA + Certificat |
0x05 | TLS_RSA_AVEC_RC4_128_SHA | RC4-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x0A | TLS_RSA_WITH_3DES_EDE_CBC_SHA | DES-CBC3-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x16 | TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA | EDH-RSA-DES-CBC3-SHA | PFS + GPP PFS + Certificat |
0x2F | TLS_RSA_WITH_AES_128_CBC_SHA | AES128-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x33 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA | DHE-RSA-AES128-SHA | PFS + GPP PFS + Certificat |
0x35 | TLS_RSA_WITH_AES_256_CBC_SHA | AES256-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x39 | TLS_DHE_RSA_WITH_AES_256_CBC_SHA | DHE-RSA-AES256-SHA | PFS + GPP PFS + Certificat |
0x3C | TLS_RSA_WITH_AES_128_CBC_SHA256 | AES128-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x3D | TLS_RSA_WITH_AES_256_CBC_SHA256 | AES256-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x67 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 | DHE-RSA-AES128-SHA256 | PFS + GPP PFS + Certificat |
0 x 6B | TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 | DHE-RSA-AES256-SHA256 | PFS + GPP PFS + Certificat |
0x9C | TLS_RSA_AVEC_AES_128_GCM_SHA256 | AES128-GCM-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x9D | TLS_RSA_AVEC_AES_256_GCM_SHA384 | AES256-GCM-SHA384 | PFS + GPP PFS + Certificat RSA + Certificat |
0 x 9 | TLS_DHE_RSA_AVEC_AES_128_GCM_SHA256 | DHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Certificat |
0 x 9 F | TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 | DHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Certificat |
0x1301 | TLS_AES_128_GCM_SHA255 | TLS_AES_128_GCM_SHA255 | PFS + GPP PFS + Certificat |
0x1302 | TLS_AES_256_GCM_SHA384 | TLS_AES_256_GCM_SHA384 | PFS + GPP PFS + Certificat |
0x1303 | TLS_CHACHA20_POLY1305_SHA256 | TLS_CHACHA20_POLY1305_SHA256 | PFS + GPP PFS + Certificat |
0 x C007 | TLS_ECDHE_ECDSA_AVEC_RC4_128_SHA | ECDHE-ECDSA-RC4-SHA | PFS + GPP |
0 x C008 | TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA | ECDHE-ECDSA-DES-CBC3-SHA | PFS + GPP |
0 x C009 | TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA | ECDHE-ECDSA-AES128-SHA | PFS + GPP |
0xC00A | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | ECDHE-ECDSA-AES256-SHA | PFS + GPP |
0 x C011 | TLS_ECDHE_RSA_AVEC_RC4_128_SHA | ECDHE-RSA-RC4-SHA | PFS + GPP PFS + Certificat |
0 x C012 | TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA | ECDHE-RSA-DES-CBC3-SHA | PFS + GPP PFS + Certificat |
0 x C013 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | ECDHE-RSA-AES128-SHA | PFS + GPP PFS + Certificat |
0 x C014 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA | ECDHE-RSA-AES256-SHA | PFS + GPP PFS + Certificat |
0 x C023 | TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA256 | ECDHE-ECDSA-AES128-SHA256 | PFS + GPP |
0 x C024 | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | ECDHE-ECDSA-AES256-SHA384 | PFS + GPP |
0 x C027 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | ECDHE-RSA-AES128-SHA256 | PFS + GPP PFS + Certificat |
0 x C028 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | ECDHE-RSA-AES256-SHA384 | PFS + GPP PFS + Certificat |
0xC02B | TLS_ECDHE_ECDSA_AVEC_AES_128_GCM_SHA256 | ECDHE-ECDSA-AES128-GCM-SHA256 | PFS + GPP |
0xC02C | TLS_ECDHE_ECDSA_AVEC_AES_256_GCM_SHA384 | ECDHE-ECDSA-AES256-GCM-SHA384 | PFS + GPP |
0xC02F | TLS_ECDHE_RSA_AVEC_AES_128_GCM_SHA256 | ECDHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Certificat |
0 x C030 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | ECDHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Certificat |
0 x CCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Certificat |
0 x CCA9 | TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-ECDSA-CHACHA20-POLY1305 | PFS + GPP |
0 x CCAA | TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | DHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Certificat |
Options du redirecteur de clé de session
Vous pouvez configurer le redirecteur de clé de session en modifiant le /opt/extrahop/etc/extrahop-key-forwarder.conf dossier.
Important : | Si vous ajoutez des options à
extrahop-key-forwarder.conf qui n'ont pas de variables dédiées, elles
doivent figurer dans le ADDITIONAL_ARGS champ. Par
exemple :ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so -libcrypto=/some/other/path/libcrypto.so" |
Option | Descriptif |
---|---|
-cert <path> | Spécifie le chemin d'accès au certificat de serveur. Spécifiez cette option uniquement si le certificat du serveur n'est pas signé par une autorité de certification fiable. |
-containerd-enable | Active l'énumération des conteneurs gérés avec le moteur d'exécution containerd. Cette option est désactivée par défaut. Vous devez taper -containerd-enable pour activer la prise en charge des conteneurs. |
-containerd-socket <string> | Le chemin complet du fichier socket conteneurd. |
-containerd-state <string> | Le chemin complet du répertoire d'état du conteneur. |
-containerd-state-rootfs-subdir <string> | Le chemin relatif du rootfs sous-répertoire du répertoire d'état du conteneur. |
-docker-enable | Active l'énumération des conteneurs Docker. Cette option est activée par défaut. Vous devez taper -docker-enable=false pour désactiver la prise en charge de Docker. |
-docker-envoy <path> | Spécifie des chemins Envoy supplémentaires dans les conteneurs Docker. Vous pouvez spécifier cette option plusieurs fois. |
-docker-go-binary <value> | Spécifie des modèles globaux pour rechercher des fichiers binaires Go dans les conteneurs Docker . Vous pouvez spécifier cette option plusieurs fois. |
-docker-libcrypto <path> | Spécifie le chemin d'accès à libcrypto dans les conteneurs Docker. Vous pouvez spécifier cette option plusieurs fois. |
-envoy <path> | Spécifie des chemins Envoy supplémentaires sur l'hôte. Vous pouvez spécifier cette option plusieurs fois. |
-go-binary <value> | Spécifie les modèles globulaires pour rechercher les fichiers binaires Go. Vous pouvez spécifier cette option plusieurs fois. |
-hearbeat-interval | Spécifie l'intervalle de temps en secondes entre les messages de pulsation cardiaque. L'intervalle par défaut est de 30 secondes. |
-host-mount-path <path> | Spécifie le chemin où le système de fichiers hôte est monté lors de l' exécution du redirecteur de clés de session dans un conteneur. |
-hosted <platform> | Spécifie que l'agent s'exécute sur la plate-forme hébergée spécifiée. La plateforme est actuellement limitée à aws. |
-ldconfig-cache <path> | Spécifie le chemin d'accès au cache ldconfig, ld.so.cache. Le chemin par défaut est /etc/ld.so.cache. Vous pouvez spécifier cette option plusieurs fois. |
-libcrypto <path> | Spécifie le chemin d'accès à la bibliothèque OpenSSL, libcrypto. Vous pouvez spécifier cette option plusieurs fois si vous avez plusieurs installations d'OpenSSL. |
-no-docker-envoy | Désactive la prise en charge d'Envoy dans les conteneurs Docker. |
-no-envoy | Désactive le support Envoy sur l'hôte. |
-openssl-discover | Découvre automatiquement libcrypto implémentations. La valeur par défaut est « true ». Vous devez taper -openssl-discover=faux pour désactiver le déchiffrement OpenSSL. |
-pidfile <path> | Spécifie le fichier dans lequel ce serveur enregistre son ID de processus (PID). |
-port <value> | Spécifie le port TCP sur lequel sonde est en train d'écouter les clés de session transférées. Le port par défaut est 4873. |
-server <string> | Spécifie le nom de domaine complet du paquet sonde. |
-server-name-override <value> | Spécifie le nom du sujet à partir du sonde certificat. Spécifiez cette option si ce serveur ne peut se connecter qu'au paquet sonde par adresse IP. |
-syslog <facility> | Spécifie la fonction envoyée par le redirecteur de clé. La fonctionnalité par défaut est local3. |
-t | Effectuez un test de connectivité. Vous devez taper -t = vrai pour exécuter avec cette option. |
-tcp-listen-port <value> | Spécifie le port TCP sur lequel le redirecteur de clés écoute les clés de session transférées. |
-username <string> | Spécifie l'utilisateur sous lequel le redirecteur de clé de session s'exécute après l'installation du logiciel du redirecteur. |
-v | Activez la journalisation détaillée. Vous devez taper -v=true pour exécuter avec cette option. |
Les variables d'environnement suivantes vous permettent d'installer le redirecteur de clé de session sans intervention de l'utilisateur.
Variable | Descriptif | Exemple |
---|---|---|
EXTRAHOP_CONNECTION_MODE | Spécifie le mode de connexion au récepteur de clé de session. Les options sont direct pour les capteurs autogérés et hébergé pour les capteurs gérés par ExtraHop. | sudo EXTRAHOP_CONNECTION_MODE=hosted rpm --install extrahop-key-forwarder.x86_64.rpm |
EXTRAHOP_EDA_HOSTNAME | Spécifie le nom de domaine complet de l'autogestion sonde. | sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com dpkg --install extrahop-key-forwarder_amd64.deb |
EXTRAHOP_LOCAL_LISTENER_PORT | Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans LOCAL_LISTENER_PORT champ. Nous vous recommandons de conserver la valeur par défaut de 598 pour ce port. Si vous modifiez le numéro de port, vous devez modifier le -javaagent argument pour prendre en compte le nouveau port. | sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_LOCAL_LISTENER_PORT=900 rpm --install extrahop-key-forwarder.x86_64.rpm |
EXTRAHOP_SYSLOG | Spécifie l'installation, ou le processus machine, qui a créé l'événement syslog. La fonctionnalité par défaut est local3, qui correspond aux processus du daemon système. | sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_SYSLOG=local1 dpkg --install extrahop-key-forwarder_amd64.deb |
EXTRAHOP_ADDITIONAL_ARGS | Spécifie des options supplémentaires de transfert de clés. | sudo EXTRAHOP_CONNECTION_MODE=hosted EXTRAHOP_ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so libcrypto=/some/other/path/libcrypto.so" rpm --install extrahop-key-forwarder.x86_64.rpm |
Suites de chiffrement TLS prises en charge
Le système ExtraHop peut déchiffrer le trafic TLS chiffré à l'aide de suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.
Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.
Méthodes de déchiffrement
- PFS + GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement avec transfert de clé de session et mappage global entre protocole et port
- Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement à l'aide du transfert de clé de session et du certificat et clé privée
- Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale | Nom (IANA) | Nom (OpenSSL) | Décryptage pris en charge |
---|---|---|---|
0x04 | TLS_RSA_AVEC_RC4_128_MD5 | RC4-MD5 | PFS + GPP PFS + Certificat RSA + Certificat |
0x05 | TLS_RSA_AVEC_RC4_128_SHA | RC4-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x0A | TLS_RSA_WITH_3DES_EDE_CBC_SHA | DES-CBC3-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x16 | TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA | EDH-RSA-DES-CBC3-SHA | PFS + GPP PFS + Certificat |
0x2F | TLS_RSA_WITH_AES_128_CBC_SHA | AES128-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x33 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA | DHE-RSA-AES128-SHA | PFS + GPP PFS + Certificat |
0x35 | TLS_RSA_WITH_AES_256_CBC_SHA | AES256-SHA | PFS + GPP PFS + Certificat RSA + Certificat |
0x39 | TLS_DHE_RSA_WITH_AES_256_CBC_SHA | DHE-RSA-AES256-SHA | PFS + GPP PFS + Certificat |
0x3C | TLS_RSA_WITH_AES_128_CBC_SHA256 | AES128-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x3D | TLS_RSA_WITH_AES_256_CBC_SHA256 | AES256-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x67 | TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 | DHE-RSA-AES128-SHA256 | PFS + GPP PFS + Certificat |
0 x 6B | TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 | DHE-RSA-AES256-SHA256 | PFS + GPP PFS + Certificat |
0x9C | TLS_RSA_AVEC_AES_128_GCM_SHA256 | AES128-GCM-SHA256 | PFS + GPP PFS + Certificat RSA + Certificat |
0x9D | TLS_RSA_AVEC_AES_256_GCM_SHA384 | AES256-GCM-SHA384 | PFS + GPP PFS + Certificat RSA + Certificat |
0 x 9 | TLS_DHE_RSA_AVEC_AES_128_GCM_SHA256 | DHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Certificat |
0 x 9 F | TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 | DHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Certificat |
0x1301 | TLS_AES_128_GCM_SHA255 | TLS_AES_128_GCM_SHA255 | PFS + GPP PFS + Certificat |
0x1302 | TLS_AES_256_GCM_SHA384 | TLS_AES_256_GCM_SHA384 | PFS + GPP PFS + Certificat |
0x1303 | TLS_CHACHA20_POLY1305_SHA256 | TLS_CHACHA20_POLY1305_SHA256 | PFS + GPP PFS + Certificat |
0 x C007 | TLS_ECDHE_ECDSA_AVEC_RC4_128_SHA | ECDHE-ECDSA-RC4-SHA | PFS + GPP |
0 x C008 | TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA | ECDHE-ECDSA-DES-CBC3-SHA | PFS + GPP |
0 x C009 | TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA | ECDHE-ECDSA-AES128-SHA | PFS + GPP |
0xC00A | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | ECDHE-ECDSA-AES256-SHA | PFS + GPP |
0 x C011 | TLS_ECDHE_RSA_AVEC_RC4_128_SHA | ECDHE-RSA-RC4-SHA | PFS + GPP PFS + Certificat |
0 x C012 | TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA | ECDHE-RSA-DES-CBC3-SHA | PFS + GPP PFS + Certificat |
0 x C013 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | ECDHE-RSA-AES128-SHA | PFS + GPP PFS + Certificat |
0 x C014 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA | ECDHE-RSA-AES256-SHA | PFS + GPP PFS + Certificat |
0 x C023 | TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA256 | ECDHE-ECDSA-AES128-SHA256 | PFS + GPP |
0 x C024 | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | ECDHE-ECDSA-AES256-SHA384 | PFS + GPP |
0 x C027 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | ECDHE-RSA-AES128-SHA256 | PFS + GPP PFS + Certificat |
0 x C028 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | ECDHE-RSA-AES256-SHA384 | PFS + GPP PFS + Certificat |
0xC02B | TLS_ECDHE_ECDSA_AVEC_AES_128_GCM_SHA256 | ECDHE-ECDSA-AES128-GCM-SHA256 | PFS + GPP |
0xC02C | TLS_ECDHE_ECDSA_AVEC_AES_256_GCM_SHA384 | ECDHE-ECDSA-AES256-GCM-SHA384 | PFS + GPP |
0xC02F | TLS_ECDHE_RSA_AVEC_AES_128_GCM_SHA256 | ECDHE-RSA-AES128-GCM-SHA256 | PFS + GPP PFS + Certificat |
0 x C030 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | ECDHE-RSA-AES256-GCM-SHA384 | PFS + GPP PFS + Certificat |
0 x CCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Certificat |
0 x CCA9 | TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-ECDSA-CHACHA20-POLY1305 | PFS + GPP |
0 x CCAA | TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | DHE-RSA-CHACHA20-POLY1305 | PFS + GPP PFS + Certificat |
Stockez les clés de session TLS dans les magasins de paquets connectés
Lorsque le transfert de clé de session est configuré sur un système ExtraHop connecté à un magasin de paquets, le système ExtraHop peut stocker des clés de session cryptées avec les paquets collectés.
Before you begin
En savoir plus sur déchiffrer des paquets avec des clés stockées.- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Stockage des clés de session SSL.
- Sélectionnez Activer le stockage des clés de session SSL.
- Cliquez Enregistrer.
Que faire ensuite
Pour plus d'informations sur le téléchargement des clés de session, voir Télécharger les clés de session avec captures de paquets.
Afficher les redirecteurs de clés de session connectés
Vous pouvez consulter les redirecteurs de clés de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clés de session TLS sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clés de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.
- Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
- Dans le Configuration du système section, cliquez sur Capturez.
- Cliquez Secrets partagés SSL.
Déchiffrez le trafic de domaine à l'aide d'un contrôleur de domaine Windows
Le système ExtraHop peut être configuré pour récupérer et stocker les clés de domaine d'un ou de plusieurs contrôleurs de domaine. Lorsque le système observe un trafic chiffré correspondant aux clés stockées, tout le trafic crypté Kerberos du domaine est déchiffré pour les protocoles pris en charge. Le système synchronise uniquement les clés de déchiffrement Kerberos et NTLM et ne modifie aucune autre propriété du domaine.
Un contrôleur de domaine tel qu'Active Directory est une cible fréquente pour les attaquants, car une campagne d'attaque réussie génère des cibles de grande valeur. Les attaques critiques peuvent être masquées par le déchiffrement Kerberos ou NTLM, comme Golden Ticket, PrintNightmare et Bloodhound. Le déchiffrement de ce type de trafic peut fournir des informations plus détaillées pour les détections de sécurité.
Vous pouvez activer le déchiffrement sur un individu sonde ou via une intégration sur RevealX 360. Vous pouvez ajouter plusieurs connexions de contrôleur de domaine à partir d'une sonde pour déchiffrer le trafic provenant de plusieurs domaines.
Les conditions suivantes doivent être remplies pour le déchiffrement :
- Vous devez disposer d'un contrôleur de domaine Active Directory (DC) qui n'est pas configuré en tant que contrôleur de domaine en lecture seule (RODC).
- Seuls Windows Server 2016, Windows Server 2019 et Windows Server 2022 sont pris en charge.
- Le système ExtraHop synchronise les clés d'un maximum de 50 000 comptes dans un domaine configuré. Si votre DC possède plus de 50 000 comptes, une partie du trafic ne sera pas déchiffrée.
- Le système ExtraHop doit observer le trafic réseau entre le contrôleur de domaine et les clients et serveurs connectés.
- Le système ExtraHop doit pouvoir accéder au contrôleur de domaine via les ports suivants : TCP 88 (Kerberos), TCP 445 (SMB), TCP 135 (RPC) et ports TCP 49152-65535 (plage dynamique RPC).
Avertissement : | Si vous activez ces paramètres, le système ExtraHop a accès à
toutes les clés de compte du domaine Windows. Le système ExtraHop doit être déployé au même niveau
de sécurité que le contrôleur de domaine. Voici quelques bonnes pratiques à prendre en
compte :
|
Connecter un contrôleur de domaine à une sonde
Before you begin
Vous devez disposer d'un compte utilisateur configuré ou privilèges d'administration du système et des accès sur la sonde.Que faire ensuite
- Cliquez Ajouter une connexion au contrôleur de domaine pour vous connecter à un autre contrôleur de domaine.
- Cliquez Modifier les informations d'identification des utilisateurs à partir d'une connexion enregistrée pour modifier les informations dcessaires associées à la connexion.
- Cliquez Supprimer la connexion pour supprimer toutes les informations dcessaires associées à la connexion et déconnecter le contrôleur de domaine de la sonde.
Connecter un contrôleur de domaine à une sonde RevealX 360
Before you begin
Votre compte utilisateur doit avoir privilèges sur RevealX 360 pour l'administration des systèmes et des accès.Que faire ensuite
- Cliquez Ajouter une connexion au contrôleur de domaine pour vous connecter à un autre contrôleur de domaine.
- Cliquez Modifier les informations d'identification des utilisateurs à partir d'une connexion enregistrée pour modifier les informations dcessaires associées à la connexion.
- Cliquez Supprimer les informations d'identification pour supprimer toutes les informations dcessaires associées à la connexion et déconnecter le contrôleur de domaine de la sonde.
Validez les paramètres de configuration
Pour vérifier que le système ExtraHop est capable de déchiffrer le trafic avec les contrôleurs de domaine configurés, accédez au tableau de bord intégré de Microsoft Protocol Decryption pour identifier les tentatives de déchiffrement réussies.
Chaque graphique du tableau de bord Microsoft Protocol Decryption contient des visualisations des données de déchiffrement Kerberos qui ont été générées via intervalle de temps sélectionné, organisé par région.
Le tableau de bord Microsoft Protocol Decryption est un tableau de bord système intégré que vous ne pouvez pas modifier, supprimer ou ajouter à une collection partagée. Cependant, vous pouvez copier un graphique depuis le tableau de bord Microsoft Protocol Decryption et ajoutez-le à tableau de bord personnalisé, ou vous pouvez faire une copie du tableau de bord et modifiez-le pour suivre les statistiques qui vous concernent.
Remarque : | Le tableau de bord Microsoft Protocol Decryption ne peut être consulté que sur une console. |
Les informations suivantes résument chaque région et ses graphiques.
- Tentatives de déchiffrement Kerberos
- Observez le nombre de tentatives de déchiffrement Kerberos dans votre environnement dans les graphiques suivants :
Tentatives de déchiffrement de Kerberos réussies: Nombre total de tentatives de déchiffrement Kerberos réussies et date à laquelle elles se sont produites.
Nombre total de tentatives réussies: Nombre total de tentatives de déchiffrement Kerberos réussies.
Tentatives de déchiffrement Kerberos infructueuses: Nombre total de tentatives de déchiffrement Kerberos infructueuses et date à laquelle elles se sont produites, répertoriées selon la raison de l'échec de la tentative.
Nombre total de tentatives infructueuses: Nombre total de tentatives de déchiffrement Kerberos infructueuses, répertoriées selon la raison de l'échec de la tentative.
- Détails du déchiffrement Kerberos ayant échoué
- Consultez les graphiques suivants pour en savoir plus sur les tentatives infructueuses de déchiffrement de Kerberos :
Noms principaux de serveurs non reconnus: Nombre total de tentatives de déchiffrement Kerberos qui ont échoué en raison d'un nom principal de serveur (SPN) non reconnu, répertorié par le SPN. Affiché sous forme de graphique en barres et de graphique en listes.
Clés Kerberos non valides: Nombre total de tentatives de déchiffrement Kerberos qui ont échoué en raison d'une clé Kerberos non valide, répertorié par le SPN qui a effectué la tentative. Affiché sous forme de graphique en barres et de graphique en listes.
Erreurs de déchiffrement Kerberos : Nombre total de tentatives de déchiffrement Kerberos qui ont échoué en raison d'une erreur, répertorié par le SPN qui a effectué la tentative. Affiché sous forme de graphique en barres et de graphique en listes.
- Détails du nom principal du serveur
- Dans les graphiques suivants, observez le SPN ayant effectué le plus de tentatives de déchiffrement avec Kerberos :
Principaux noms de serveurs: Les 50 meilleurs SPN ayant effectué des tentatives de déchiffrement avec Kerberos et les informations suivantes :
- Le nombre de tentatives de déchiffrement réussies.
- Le nombre de tentatives infructueuses dues à une clé Kerberos non valide.
- Le nombre de tentatives infructueuses dues à une erreur.
- Le nombre de tentatives infructueuses dues à un SPN non reconnu.
Autres indicateurs de santé du système
Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Tapez Assisté par courant continu dans le champ de filtre pour afficher toutes les mesures de déchiffrement assistées par courant continu disponibles.
Importez des données externes dans votre système ExtraHop
L'API Open Data Context d'ExtraHop vous permet d'importer des données d'un hôte externe dans le tableau de session de votre ExtraHop sonde. Ces données sont ensuite accessibles pour créer des métriques personnalisées que vous pouvez ajouter aux graphiques ExtraHop, stocker dans des enregistrements sur un espace de stockage des enregistrements ou exporter vers un outil d'analyse externe.
Après avoir activé l'API Open Data Context sur votre sonde, vous pouvez importer des données en exécutant un script Python à partir d'un client Memcached sur un hôte externe. Ces données externes sont stockées dans des paires clé-valeur et sont accessibles en écrivant un déclencheur.
Par exemple, vous pouvez exécuter un script client memcached sur un hôte externe pour importer les données de charge du processeur dans la table de session de votre sonde. Vous pouvez ensuite écrire un déclencheur qui accède à la table de session et valide les données sous forme de métriques personnalisées.
Avertissement : | La connexion entre l'hôte externe et le système ExtraHop n'est pas cryptée et ne doit pas transmettre d'informations sensibles. |
Activer l'API Open Data Context
Vous devez activer l'API Open Data Context sur votre sonde avant de pouvoir recevoir des données d'un hôte externe.
Before you begin
- Vous devez avoir configuré ou privilèges d'administration du système et des accès pour accéder à la page d'administration de votre système ExtraHop.
- Si vous disposez d'un pare-feu, vos règles de pare-feu doivent autoriser les hôtes externes à accéder aux ports TCP et UDP spécifiés. Le numéro de port par défaut est 11211.
Écrire un script Python pour importer des données externes
Avant de pouvoir importer des données externes dans le tableau des sessions de votre sonde, vous devez écrire un script Python qui identifie votre sonde et contient les données que vous souhaitez importer dans le tableau de session. Le script est ensuite exécuté à partir d'un client Memcached sur l'hôte externe .
Cette rubrique fournit des conseils sur la syntaxe et les meilleures pratiques pour écrire le script Python. UN exemple de script complet est disponible à la fin de ce guide.
Before you begin
Assurez-vous que vous disposez d'un client Memcached sur la machine hôte externe. Vous pouvez installer n'importe quelle bibliothèque client Memcached standard, telle que http://libmemcached.org/ ou https://pypi.python.org/pypi/pymemcache. La sonde agit comme un serveur Memcached version 1.4.
Voici quelques considérations importantes concernant l'API Open Data Context :- L'API Open Data Context prend en charge la plupart des commandes memcached, telles que get, set, et increment.
- Toutes les données doivent être insérées sous forme de chaînes lisibles par sonde. Certains clients
Memcached tentent de stocker des informations de type dans les valeurs. Par exemple,
la bibliothèque de cache de Python stocke les flottants sous forme de valeurs sélectionnées, ce qui entraîne des résultats non valides
lors de l'appel Session.lookup dans les déclencheurs. La syntaxe
Python suivante insère correctement un float sous forme de
chaîne :
mc.set("my_float", str(1.5))
- Bien que la taille des valeurs de la table de session puisse être presque illimitée, l'ajout de valeurs importantes à la table de session peut entraîner une dégradation des performances. En outre, les métriques enregistrées dans la banque de données doivent être de 4 096 octets ou moins, et les valeurs de table surdimensionnées peuvent entraîner des métriques tronquées ou imprécises.
- Les rapports statistiques de base sont pris en charge, mais les rapports statistiques détaillés par taille d' élément ou par préfixe clé ne sont pas pris en charge.
- La définition de l'expiration des éléments lors de l'ajout ou de la mise à jour d'éléments est prise en charge, mais l' expiration groupée via flush la commande n'est pas prise en charge.
- Les clés expirent toutes les 30 secondes. Par exemple, si une clé est configurée pour expirer dans 50 secondes, elle peut prendre de 50 à 79 secondes pour expirer.
- Toutes les clés définies avec l'API Open Data Context sont exposées via SESSION_EXPIRE événement déclencheur lorsqu'ils expirent. Ce comportement contraste avec l'API Trigger, qui n'expose pas les clés arrivant à expiration via le SESSION_EXPIRE événement.
Écrire un déclencheur pour accéder aux données importées
Vous devez écrire un déclencheur avant de pouvoir accéder aux données de la table de session.
Before you begin
Cette rubrique suppose une expérience de l'écriture de déclencheurs. Si les déclencheurs ne vous sont pas familiers, consultez les rubriques suivantes :Que faire ensuite
Vous devez attribuer le déclencheur à un équipement ou à un groupe de dispositifs. Le déclencheur ne sera pas lancé tant qu'il n'aura pas été attribué.Exemple d'API Open Data Context
Dans cet exemple, vous allez apprendre à vérifier le score de réputation et le risque potentiel des domaines qui communiquent avec les appareils de votre réseau. Tout d'abord, l'exemple de script Python vous montre comment importer des données de réputation de domaine dans la table de session de votre sonde. L'exemple de script déclencheur vous montre ensuite comment vérifier les adresses IP des événements DNS par rapport aux données de réputation de domaine importées et comment créer une métrique personnalisée à partir des résultats.
Exemple de script Python
Ce script Python contient une liste de 20 noms de domaine populaires et peut faire référence aux scores de réputation de domaine obtenus à partir d'une source telle que Outils de domaine.
Ce script est une API REST qui accepte une opération POST dont le corps est le nom de domaine. Lors d'une opération POST, le client memcached met à jour la table de session avec les informations de domaine .
#!/usr/bin/python import flask import flask_restful import memcache import sqlite3 top20 = { "google.com", "facebook.com", "youtube.com", "twitter.com", "microsoft.com", "wikipedia.org", "linkedin.com", "apple.com","adobe.com", "wordpress.org", "instagram.com", "wordpress.com", "vimeo.com", "blogspot.com", "youtu.be", "pinterest.com", "yahoo.com", "goo.gl", "amazon.com", "bit.ly} dnsnames = {} mc = memcache.Client(['10.0.0.115:11211']) for dnsname in top20: dnsnames[dnsname] = 0.0 dbc = sqlite3.Connection('./dnsreputation.db') cur = dbc.cursor() cur.execute('select dnsname, score from dnsreputation;') for row in cur: dnsnames[row[0]] = row[1] dbc.close() app = flask.Flask(__name__) api = flask_restful.Api(app) class DnsReputation(flask_restful.Resource): def post(self): dnsname = flask.request.get_data() #print dnsname mc.set(dnsname, str(dnsnames.get(dnsname, 50.0)), 120) return 'added to session table' api.add_resource(DnsReputation, '/dnsreputation') if __name__ == '__main__': app.run(debug=True,host='0.0.0.0')
Exemple de script de déclencheur
Cet exemple de script de déclencheur canonise (ou convertit) les adresses IP renvoyées lors d'événements DNS en noms de domaine, puis vérifie le domaine et son score de réputation dans le tableau de session. Si la valeur du score est supérieure à 75, le déclencheur ajoute le domaine à un conteneur d'application appelé « DNSReputation » sous la forme d'une métrique détaillée appelée « Mauvaise réputation DNS ».
//Configure the following trigger settings: //Name: DNSReputation //Debugging: Enabled //Events: DNS_REQUEST, DNS_RESPONSE if (DNS.errorNum != 0 || DNS.qname == null || DNS.qname.endsWith("in-addr.arpa") || DNS.qname.endsWith("local") || DNS.qname.indexOf('.') == -1 ) { // error or null or reverse lookup, or lookup of local namereturn return; } //var canonicalname = DNS.qname.split('.').slice(-2).join('.'); var canonicalname = DNS.qname.substring(DNS.qname.lastIndexOf('.', DNS.qname.lastIndexOf('.')-1)+1) //debug(canonicalname); //Look for this DNS name in the session table var score = Session.lookup(canonicalname) if (score === null) { // Send to the service for lookup Remote.HTTP("dnsrep").post({path: "/dnsreputation", payload: canonicalname}); } else { debug(canonicalname + ':' +score); if (parseFloat(score) > 75) { //Create an application in the ExtraHop system and add custom metrics //Note: The application is not displayed in the ExtraHop system after the //initial request, but is displayed after subsequent requests. Application('DNSReputation').metricAddDetailCount('Bad DNS reputation', canonicalname + ':' + score, 1); } }
Installation du redirecteur de paquets sur un serveur Linux
Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller pour transférer les paquets vers le système ExtraHop.
Téléchargement et installation sur d'autres systèmes Linux
Installation du redirecteur de paquets sur un serveur Windows
Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller afin de transférer des paquets vers le système ExtraHop.
Surveillance de plusieurs interfaces sur un serveur Linux
Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère les paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.
Pour modifier le fichier de configuration, procédez comme suit.
Surveillance de plusieurs interfaces sur un serveur Windows
Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère les paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.
Pour modifier le fichier de configuration, procédez comme suit.
Activer la désencapsulation de la superposition du réseau
L'encapsulation par superposition de réseau enveloppe les paquets réseau standard dans une enveloppe externe protocole en-têtes pour exécuter des fonctions spécialisées, telles que le routage intelligent et la gestion du réseau des machines virtuelles. La désencapsulation de la superposition réseau permet au système ExtraHop de supprimer ces en-têtes d'encapsulation externes, puis de traiter les paquets internes.
Remarque : | L'activation de l'encapsulation de routage générique (GRE), de la virtualisation du réseau à l'aide de l' encapsulation de routage générique (NVGRE), de VXLAN et de la décapsulation GENEVE sur votre système ExtraHop peut augmenter le nombre de vos équipements à mesure que des appareils virtuels sont découverts sur le réseau. La découverte de ces périphériques virtuels peut affecter la capacité d'Analyse avancée et d'Analyse standard et le traitement des métriques supplémentaires peut entraîner une dégradation des performances dans des cas extrêmes. |
Les protocoles MPLS, TRILL et Cisco FabricPath sont automatiquement décapsulés par le système ExtraHop.
Activer la désencapsulation VXLAN
VXLAN est un protocole de tunneling UDP configuré pour des ports de destination spécifiques. La décapsulation n'est pas tentée à moins que le port de destination d'un paquet ne corresponde au port de destination UDP ou aux ports répertoriés dans les paramètres de désencapsulation VXLAN.
Activer la décapsulation de GENEVE
Analyser un fichier de capture de paquets
Le mode de capture hors ligne permet aux administrateurs de télécharger et d'analyser un fichier de capture enregistré par un logiciel d'analyse de paquets, tel que Wireshark ou tcpdump, dans le système ExtraHop.
Voici quelques points importants à prendre en compte avant d'activer le mode de capture hors ligne :
- Lorsque la capture est définie en mode hors ligne, la banque de données système est réinitialisée. Toutes les mesures enregistrées précédemment sont supprimées de la banque de données. Lorsque le système est configuré en mode en ligne, la banque de données est à nouveau réinitialisée.
- En mode hors ligne, aucune métrique n'est collectée depuis l'interface de capture tant que le système n'est pas reconfiguré en mode en ligne.
- Seuls les fichiers de capture au format pcap sont pris en charge. Les autres formats tels que pcpapng ne sont pas pris en charge.
Nous vous remercions pour vos commentaires. Pouvons-nous vous contacter pour vous poser des questions complémentaires ?