Guide de l'interface utilisateur d'administration

Présentation de l'interface utilisateur d'ExtraHop Admin

Le guide de l'interface utilisateur d'administration fournit des informations détaillées sur les caractéristiques d'administrateur et les fonctionnalités d'ExtraHop. capteurs et consoles. Ce guide fournit une vue d'ensemble de la navigation globale et des informations sur les contrôles, les champs et les options disponibles dans l' interface utilisateur.

Une fois que vous avez déployé votre sonde ou console, consultez le Liste de contrôle après le déploiement des capteurs et des consoles.
Vidéo :Consultez la formation associée : Interface utilisateur d'administration de RevealX Enterprise

Vos commentaires sont importants pour nous. Merci de nous indiquer comment nous pouvons améliorer ce document. Envoyez vos commentaires ou suggestions à documentation@extrahop.com.

Les navigateurs suivants sont compatibles avec tous les systèmes ExtraHop. Appliquez les fonctionnalités d'accessibilité et de compatibilité fournies par votre navigateur pour accéder au contenu par le biais d'outils technologiques d'assistance.

  • Firefox
  • Google Chrome
  • Microsoft Edge
  • Safari
Important :Internet Explorer 11 n'est plus pris en charge. Nous vous recommandons d' installer la dernière version de tout navigateur compatible.

État et diagnostics

Le État et diagnostics La section fournit des statistiques sur l'état général de votre système ExtraHop.

Santé

Le Santé La page fournit un ensemble de mesures qui vous aident à surveiller le fonctionnement de votre système ExtraHop et permet au support ExtraHop de résoudre les erreurs système si nécessaire.

Système
Fournit les informations suivantes sur l'utilisation du processeur et du disque dur du système.
Utilisateur du processeur
Pourcentage d'utilisation du processeur associé à l'utilisateur du système ExtraHop.
Système CPU
Pourcentage d'utilisation du processeur associé au système ExtraHop.
CPU inactif
Pourcentage d'inactivité du processeur associé au système ExtraHop.
PROCESSEUR IO
Pourcentage d'utilisation du processeur associé aux fonctions d'E/S du système ExtraHop.
État du pont
Fournit les informations suivantes sur le composant de pont du système ExtraHop.
VM RSS
Le pont traite la mémoire physique en cours d'utilisation.
Données de machine virtuelle
Mémoire virtuelle utilisée pour le traitement Bridge.
Taille de la machine virtuelle
Le pont traite la totalité de la mémoire virtuelle utilisée.
Heure de début
Spécifie l'heure de début du composant de pont système ExtraHop.
État de la capture
Fournit les informations suivantes concernant l'état de capture réseau du système ExtraHop.
VM RSS
Mémoire physique du processus de capture réseau utilisée.
Données de machine virtuelle
Le processus de capture réseau utilise la mémoire virtuelle en tas.
Taille de la machine virtuelle
Mémoire virtuelle totale utilisée pour le processus de capture réseau.
Heure de début
Heure de début de la capture réseau ExtraHop.
État du service
Indique l'état des services du système ExtraHop.
ex-alerteurs
Durée d'exécution du service d'alerte du système ExtraHop.
étendre
Durée d'exécution du service de tendances du système ExtraHop.
exconfig
Durée d'exécution du service de configuration du système ExtraHop.
exportation
Durée d'exécution du service de portail Web du système ExtraHop.
exshell
Durée d'exécution du service shell du système ExtraHop.
Interfaces
Indique l'état des interfaces du système ExtraHop.
paquets RX
Le nombre de paquets reçus par l'interface spécifiée sur le système ExtraHop
Erreurs RX
Le nombre d'erreurs de paquets reçus sur le paquet spécifié interface.
Gouttes RX
Le nombre de paquets reçus abandonnés par la commande spécifiée interface.
Paquets TX
Le nombre de paquets transmis par l'interface spécifiée sur le système ExtraHop
Erreurs TX
Le nombre d'erreurs de paquets transmis sur le paquet spécifié interface.
TX Drops
Le nombre de paquets transmis abandonnés par la valeur spécifiée interface.
Octets RX
Le nombre d'octets reçus par l'interface spécifiée sur le Système ExtraHop
Octets TX
Le nombre d'octets transmis par l'interface spécifiée sur le système ExtraHop
Cloisons
Indique la mémoire allouée aux composants du système ExtraHop.
Nom
Les composants du système qui ont une partition mémoire dans la NVRAM.
Options
Les options de lecture-écriture pour les composants du système.
Taille
Taille de partition en gigaoctets allouée au composant du système.
Utilisation
Quantité de mémoire actuellement consommée par les composants du système, en quantité et en pourcentage de la partition totale.

Nombre et limite d'équipements actifs

Le graphique du nombre et des limites d'appareils actifs vous permet de vérifier si le nombre d' appareils actifs a dépassé la limite autorisée. Par exemple, un système ExtraHop avec une bande de 20 000 à 50 000 appareils est autorisé jusqu'à 50 000 appareils.

Cliquez Paramètres du système puis cliquez sur Toute l'administration. À partir du État et diagnostics section, cliquez sur Nombre et limite d'appareils actifs pour consulter le graphique.

Le graphique du nombre et des limites d'appareils actifs affiche les mesures suivantes :

  • La ligne rouge pointillée représente le limite d' équipements sous licence.
  • La ligne noire continue représente le 95e percentile des dispositifs actifs observés chaque jour au cours des 30 derniers jours.
  • Les barres bleues représentent le nombre maximum d'appareils actifs observés chaque jour au cours des 30 derniers jours.

Cette page affiche également les statistiques suivantes :

  • La limite d'équipements homologués pour la veille et les 30 derniers jours.
  • Le nombre d'appareils actifs observés la veille.
  • Le 95e percentile des dispositifs actifs observés au cours des 30 derniers jours.
  • Pourcentage d'utilisation de la limite d'équipement sous licence pour la veille et les 30 derniers jours. L'utilisation est le nombre d'équipements actifs divisé par la limite autorisée.

Vous pouvez créer une règle de notification système pour vous avertir si l'utilisation est proche (dépasse 80%) or over (exceeds 100%) votre limite d'équipements sous licence. Les pourcentages limites sont personnalisables lorsque vous créez une règle. Si vous constatez que vous approchez ou dépassez constamment votre limite autorisée, nous vous recommandons de travailler avec votre équipe commerciale pour passer à la bande de capacité disponible suivante.

Vérifier le nombre d'équipements actifs

Vous pouvez consulter le graphique du nombre d'appareils actifs et des limites pour vérifier si le nombre d' appareils actifs a dépassé la limite autorisée.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. À partir du État et diagnostics section, cliquez sur Nombre et limite d'appareils actifs pour consulter le graphique.

Journal d'audit

Le journal dqu`audit fournit des données sur le fonctionnement de votre système ExtraHop, ventilées par composant. Le journal d'audit répertorie tous les événements connus par horodateur, dans l'ordre chronologique inverse.

Si vous rencontrez un problème avec le système ExtraHop, consultez le journal daudit pour consulter les données de diagnostic détaillées afin de déterminer la cause du problème.

Envoyer les données du journal d'audit à un serveur Syslog distant

Le journal dqu`audit collecte des données sur le fonctionnement du système ExtraHop, ventilées par composant. Le journal stocké sur le système a une capacité de 10 000 entrées, et les entrées datant de plus de 90 jours sont automatiquement supprimées. Vous pouvez consulter ces entrées dans les paramètres d'administration, ou vous pouvez envoyer les événements du journal d'audit à un serveur Syslog à des fins de stockage à long terme, de surveillance et d'analyse avancée. Tous les événements enregistrés sont répertoriés dans le tableau ci-dessous.

Les étapes suivantes vous montrent comment configurer le système ExtraHop pour envoyer les données du journal d'audit à un serveur Syslog distant.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le État et diagnostics section, cliquez sur Journal d'audit.
  3. Cliquez Configuration des paramètres Syslog.
  4. Dans le Destination dans le champ, saisissez l'adresse IP du serveur Syslog distant.
  5. À partir du Protocole dans la liste déroulante, sélectionnez l'une des options suivantes :
    • TCP
    • TLS
    • UDP
    Cette option spécifie le protocole par lequel les informations sont envoyées à votre serveur Syslog distant.
    Remarque :Si vous sélectionnez TLS, le système ExtraHop doit vérifier l'identité du serveur Syslog en validant le certificat TLS du serveur. Tu peux configurer le système ExtraHop pour qu'il fasse confiance à l'autorité de certification (CA) qui a signé le certificat du serveur Syslog dans les paramètres d'administration.
  6. Dans le Port dans le champ, saisissez le numéro de port de votre serveur Syslog distant.
    La valeur par défaut est 514.
  7. Cliquez Paramètres du test pour vérifier que vos paramètres Syslog sont corrects.
    Si les paramètres sont corrects, une entrée similaire à la suivante devrait apparaître dans le fichier journal Syslog du serveur Syslog :
    Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1
  8. Cliquez Enregistrer.
  9. Facultatif : Modifiez le format des messages Syslog :
    Par défaut, les messages Syslog ne sont pas conformes à la RFC 3164 ou à la RFC 5424. Cependant, vous pouvez formater les messages Syslog pour qu'ils soient conformes en modifiant la configuration en cours .
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajoutez une entrée sous auditlog_rsyslog où se trouve la clé rfc_compliant_format et la valeur est soit rfc5424 ou rfc3164.
      Le auditlog_rsyslog la section doit ressembler au code suivant :
          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }
    5. Cliquez Mettre à jour.
    6. Cliquez Terminé.
  10. Facultatif : Modifiez le fuseau horaire référencé dans les horodatages Syslog :
    Par défaut, les horodatages Syslog font référence à l'heure UTC. Cependant, vous pouvez modifier les horodatages pour faire référence à l'heure du système ExtraHop en modifiant la configuration en cours.
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajoutez une entrée sous auditlog_rsyslog, où la clé est syslog_use_localtime et la valeur est true.
      Le auditlog_rsyslog la section doit ressembler au code suivant :
          "auditlog_rsyslog": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "syslog_use_localtime": true
          }
    5. Cliquez Mettre à jour.
    6. Cliquez Terminé.

Que faire ensuite

Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez vos modifications de configuration en enregistrant le fichier de configuration en cours d'exécution.
Événements du journal d'audit

Les événements suivants sur un système ExtraHop génèrent une entrée dans le journal d'audit .

Catégorie Événement
Accords
  • Un accord EULA ou POC est conclu pour
API
  • Une clé API est créée
  • Une clé API est supprimée
  • Un utilisateur est créé.
  • Un utilisateur est modifié.
Migration des capteurs
  • La migration d'une sonde est lancée
  • Une migration de sonde a réussi
  • La migration d'une sonde a échoué
Sessions de navigateur
  • Une session de navigateur spécifique est supprimée
  • Toutes les sessions du navigateur sont supprimées
Services dans le cloud
  • L'état d'une sonde connectée est récupéré
Console
  • Une sonde se connecte à une console
  • Une sonde se déconnecte d'une console
  • Un espace de stockage des enregistrements ou des paquets ExtraHop établit une connexion par tunnel avec une console.
  • Les informations de la console sont définies
  • Un surnom de console est défini
  • Activer ou désactiver une sonde
  • La sonde est visualisée à distance
  • La licence d'une sonde est vérifiée par une console
  • La licence d'une sonde est définie par une console
Tableaux de bord
  • Un tableau de bord est créé
  • Un tableau de bord est renommé
  • Un tableau de bord est supprimé
  • Le lien permanent d'un tableau de bord, également appelé code court, est modifié
  • Les options de partage du tableau de bord sont modifiées
Banque de données
  • La configuration étendue de la banque de données est modifiée
  • La banque de données est réinitialisée
  • Une réinitialisation de la banque de données est terminée
  • Les personnalisations sont enregistrées
  • Les personnalisations sont restaurées
  • Les personnalisations sont supprimées
Détections
  • Un état de détection est mis à jour
  • Un responsable de la détection est mis à jour
  • Les notes de détection sont mises à jour
  • Un ticket externe est mis à jour
  • Une règle de réglage est créée
  • Une règle de réglage est supprimée
  • Une règle de réglage est modifiée
  • La description d'une règle de réglage est mise à jour
  • Une règle de réglage est activée
  • Une règle de réglage est désactivée
  • Une règle de réglage est étendue
Fichiers d'exceptions
  • Un fichier d'exception est supprimé
Enregistrements de l'espace de stockage des enregistrements ExtraHop
  • Tous les enregistrements de l'espace de stockage des enregistrements ExtraHop sont supprimés
cluster d'espace de stockage des enregistrements ExtraHop
  • Un nouveau nœud d'espace de stockage des enregistrements ExtraHop est initialisé
  • Un nœud est ajouté à un espace de stockage des enregistrements ExtraHop
  • Un nœud est supprimé d'un espace de stockage des enregistrements ExtraHop
  • Un nœud rejoint un cluster d'espace de stockage des enregistrements ExtraHop
  • Un nœud quitte un cluster d'espace de stockage des enregistrements ExtraHop
  • Une sonde ou une console est connectée à un espace de stockage des enregistrements ExtraHop
  • Une sonde ou une console est déconnectée d'un espace de stockage des enregistrements ExtraHop
  • Un nœud d'espace de stockage des enregistrements ExtraHop est supprimé ou manquant, mais pas via une interface prise en charge
Service de mise à jour ExtraHop
  • Une catégorie de détection est mise à jour
  • Une définition de détection est mise à jour
  • Un déclencheur de détection est mis à jour
  • Une définition de rançongiciel est mise à jour
  • Les métadonnées de détection sont mises à jour
  • Le contenu de détection étendu est mis à jour
Micrologiciel
  • Le firmware est mis à jour
Politiques mondiales
  • La politique globale pour le contrôle d'édition des groupes dveloppements est mise à jour
Intégrations
  • Une intégration est mise à jour
Licence
  • Une nouvelle licence statique est appliquée
  • La connectivité du serveur de licences est testée
  • Une clé de produit est enregistrée auprès du serveur de licences
  • Une nouvelle licence est appliquée
Connectez-vous au système ExtraHop
  • Une connexion a réussi
  • Une connexion échoue
Connectez-vous à partir de l'API SSH ou REST
  • Une connexion a réussi
  • Une connexion échoue
Modules
  • Le contrôle d'accès au module NDR est activé
  • Le contrôle d'accès au module NPM est activé
Réseau
  • Une configuration d'interface réseau est modifiée
  • Le nom d'hôte ou DNS le réglage est modifié
  • Un itinéraire d'interface réseau est modifié
Capture hors ligne
  • Un fichier de capture hors ligne est chargé
PCAP
  • Un fichier de capture de paquets (PCAP) est téléchargé
Accès à distance
  • L'accès à distance pour l'équipe d'assistance ExtraHop est activé
  • L'accès à distance pour l'équipe d'assistance d'ExtraHop est désactivé
  • L'accès à distance pour l'assistance ExtraHop est activé
  • L'accès à distance pour l'assistance ExtraHop est désactivé
RPCAP
  • Une configuration RPCAP est ajoutée
  • Une configuration RPCAP est supprimée
Configuration en cours
  • Le fichier de configuration en cours d'exécution est modifié
Fournisseur d'identité SAML
  • Un fournisseur d'identité est ajouté
  • Un fournisseur d'identité est modifié
  • Un fournisseur d'identité est supprimé
Connexion SAML
  • Une connexion a réussi
  • Une connexion échoue
Privilèges SAML
  • Un niveau de privilège est accordé
  • Un niveau de privilège est refusé
Étiquettes pour capteurs
  • Une étiquette de sonde est créée
  • Une étiquette de sonde est modifiée
  • L'étiquette d'une sonde est supprimée
  • Les étiquettes d'une sonde sont modifiées
Décryptage SSL
  • Une clé de déchiffrement TLS est enregistrée
Clés de session SSL
  • Une clé de session PCAP est téléchargée
Compte d'assistance
  • Le compte d'assistance est désactivé
  • Le compte d'assistance est activé
  • La clé SSH de support est régénérée
Script de support
  • Un script de support par défaut est en cours d'exécution
  • Le résultat d'un script de support antérieur est supprimé
  • Un script de support est téléchargé
Syslog
  • Les paramètres Syslog à distance sont mis à jour
État du système et du service
  • Le système démarre
  • Le système s'arrête
  • Le système est redémarré
  • Le processus de pont, de capture ou de portail est redémarré
  • Un service système est activé (tel que SNMP, web shell, gestion, SSH)
  • Un service système est désactivé (tel que SNMP, web shell, /management, SSH)
Heure du système
  • L'heure du système est réglée
  • L'heure du système est modifiée
  • L'heure du système est réglée à l'envers
  • Les serveurs NTP sont configurés
  • Le fuseau horaire est réglé
  • Une synchronisation NTP manuelle est demandée
Utilisateur du système
  • Un utilisateur est ajouté
  • Les métadonnées de l'utilisateur sont modifiées
  • Un utilisateur est supprimé
  • Un mot de passe utilisateur est défini
  • Un utilisateur autre que setup l'utilisateur tente de modifier le mot de passe d'un autre utilisateur
  • Le mot de passe d'un utilisateur est mis à jour
Flux TAXII
  • Un flux TAXII est ajouté
  • Un flux TAXII est modifié
  • Un flux TAXII est supprimé
Exposés sur les menaces
  • Les informations sur les menaces sont archivées
  • Un briefing sur les menaces est rétabli
Stockage des paquets ExtraHop
  • Un nouveau stockage des paquets ExtraHop est initialisé
  • Une sonde ou une console est connectée à un système de stockage des paquets ExtraHop
  • Une sonde ou une console est déconnectée d'un stockage des paquets ExtraHop
  • Un stockage des paquets ExtraHop est réinitialisé
Tendances
  • Une tendance est rétablie
éléments déclencheurs
  • Un déclencheur est ajouté
  • Un déclencheur est modifié
  • Un déclencheur est supprimé
Groupes d'utilisateurs
  • Un groupe d'utilisateurs local est créé
  • Un groupe d'utilisateurs local est supprimé
  • Un groupe d'utilisateurs local est activé
  • Un groupe d'utilisateurs local est désactivé

Empreinte

Les empreintes digitales aident à protéger les appliances contre les attaques de type « machine in-the-middle » en fournissant un identifiant unique qui peut être vérifié lors de la connexion des appliances ExtraHop.

Lorsque vous connectez un espace de stockage des enregistrements ou un magasin de paquets ExtraHop à une sonde réseau d'analyse de paquets ou à une console, assurez-vous que l'empreinte digitale affichée est exactement la même que celle indiquée sur la page de jointure ou de couplage.

Si les empreintes digitales ne correspondent pas, les communications entre les appareils ont peut-être été interceptées et modifiées.

Fichiers d'exceptions

Les fichiers d'exception sont un fichier de base contenant les données stockées en mémoire. Lorsque vous activez le paramètre Fichier d' exception, le fichier principal est écrit sur le disque si le système s'arrête ou redémarre de manière inattendue. Ce fichier peut aider le support ExtraHop à diagnostiquer le problème.

Cliquez Activer les fichiers d'exception ou Désactiver les fichiers d'exception pour activer ou désactiver l'enregistrement des fichiers d'exception.

Scripts d'assistance

Le support ExtraHop peut fournir un script d'assistance qui peut appliquer un paramètre spécial, apporter un petit ajustement au système ExtraHop ou fournir de l'aide pour l'assistance à distance ou les paramètres améliorés . Les paramètres d'administration vous permettent de télécharger et d'exécuter des scripts de support.

Exécuter le script de support par défaut

Le script de support par défaut rassemble des informations sur l'état du système ExtraHop à des fins d'analyse par ExtraHop Support.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le État et diagnostics section, cliquez sur Scripts d'assistance.
  3. Cliquez Exécuter le script de support par défaut.
  4. Cliquez Courez.
    Une fois le script terminé, Résultats du script de support la page s'affiche.
  5. Cliquez sur le nom du package d'assistance au diagnostic que vous souhaitez télécharger.
    Le fichier est enregistré dans l'emplacement de téléchargement par défaut de votre ordinateur.
    Envoyer ce fichier, généralement nommé diag-results-complete.expk, au support ExtraHop.

    Le .expk le fichier est crypté et son contenu n'est visible que par le support ExtraHop. Cependant, vous pouvez télécharger le diag-results-complete.manifest fichier pour afficher la liste des fichiers collectés.

Exécuter un script de support personnalisé

Si vous recevez un script de support personnalisé de la part d'ExtraHop Support, suivez la procédure suivante pour apporter un petit ajustement au système ou appliquer des paramètres améliorés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le État et diagnostics section, cliquez sur Scripts d'assistance.
  3. Cliquez Exécuter un script de support personnalisé.
  4. Cliquez Choisissez un fichier, accédez au script d'assistance au diagnostic que vous souhaitez télécharger, puis cliquez sur Ouvrir.
  5. Cliquez Téléverser pour exécuter le fichier sur le système ExtraHop.
    Le support ExtraHop confirmera que le script de support a obtenu les résultats souhaités.

Réglages réseau

Le Réglages réseau cette section fournit les paramètres de configuration de votre système ExtraHop. Ces paramètres vous permettent de définir un nom d'hôte, de configurer des notifications et de gérer les connexions à votre système.

Connectez-vous aux services cloud ExtraHop

ExtraHop Cloud Services permet d'accéder aux services cloud ExtraHop via une connexion cryptée.

Votre licence système détermine les services disponibles pour votre console ExtraHop ou votre sonde ExtraHop. Une seule licence ne peut être appliquée qu'à une seule appliance ou machine virtuelle (VM) à la fois. Si vous souhaitez réaffecter une licence d'une appliance ou d'une machine virtuelle à une autre, vous pouvez gérer l'inscription au système depuis la page ExtraHop Cloud Services.

Une fois la connexion établie, les informations relatives aux services disponibles apparaissent sur la page ExtraHop Cloud Services.

  • En partageant des données avec le service d'apprentissage automatique ExtraHop, vous pouvez activer des fonctionnalités qui améliorent le système ExtraHop et votre expérience utilisateur.
    • Activez l'assistant de recherche AI pour trouver des appareils à l'aide d'instructions utilisateur en langage naturel, qui sont partagées avec ExtraHop Cloud Services pour améliorer le produit. Consultez les FAQ sur l'assistant de recherche AI pour plus d' informations. L'assistant de recherche AI ne peut actuellement pas être activé pour les régions suivantes :
      • Asie-Pacifique (Singapour, Sydney, Tokyo)
      • Europe (Francfort, Paris)
    • Adhérez à Expanded Threat Intelligence pour permettre au service d'apprentissage automatique d' examiner les données telles que les adresses IP et les noms d'hôtes par rapport aux renseignements sur les menaces fournis par CrowdStrike, aux terminaux inoffensifs et à d'autres informations sur le trafic réseau. Consultez les FAQ étendue sur les renseignements sur les menaces pour plus d' informations.
    • Fournissez des données telles que les hachages de fichiers et les adresses IP externes à l' analyse collective des menaces afin d'améliorer la précision des détections. Consultez les FAQ sur l'analyse collective des menaces pour plus d' informations.
  • Le service de mise à jour ExtraHop permet de mettre à jour automatiquement les ressources du système ExtraHop, telles que les packages de rançongiciels.
  • L'accès à distance ExtraHop vous permet d'autoriser les membres de l'équipe chargée du compte ExtraHop et le support ExtraHop à se connecter à votre système ExtraHop pour obtenir de l'aide à la configuration. Consultez les FAQ sur l'accès à distance pour plus d'informations sur les utilisateurs d'accès à distance.
Vidéo :Consultez la formation associée : Connectez-vous aux services cloud ExtraHop

Before you begin

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Services cloud ExtraHop .
  3. Cliquez Termes et conditions pour lire le contenu.
  4. Lisez les conditions générales, puis cochez la case.
  5. Cliquez Connectez-vous aux services cloud ExtraHop.
    Une fois que vous êtes connecté, la page est mise à jour pour afficher l'état et les informations de connexion de chaque service.
  6. Facultatif : Dans le Service d'apprentissage automatique section, sélectionnez une ou plusieurs fonctionnalités améliorées :
    • Activez AI Search Assistant en sélectionnant J'accepte d'activer l'assistant de recherche AI et d'envoyer des recherches en langage naturel à ExtraHop Cloud Services . (Module NDR requis)
    • Activez des renseignements étendus sur les menaces en sélectionnant J'accepte d' envoyer des adresses IP, des noms de domaine, des noms d'hôtes, des hachages de fichiers et des URL à ExtraHop Cloud Services .
    • Activez l'analyse collective des menaces en sélectionnant J'accepte de fournir des noms de domaine, des noms d'hôtes, des hachages de fichiers et des adresses IP externes aux services cloud ExtraHop.
Si la connexion échoue, il se peut qu'il y ait un problème avec les règles de votre pare-feu.

Configurez les règles de votre pare-feu

Si votre système ExtraHop est déployé dans un environnement doté d'un pare-feu, vous devez ouvrir l' accès aux services cloud ExtraHop. Pour les systèmes RevealX 360 connectés à des systèmes autogérés capteurs, vous devez également ouvrir l'accès à l'espace de stockage des enregistrements basé sur le cloud inclus dans RevealX Standard Investigation

Accès ouvert aux services cloud

Pour accéder aux services cloud ExtraHop, votre capteurs doit être en mesure de résoudre les requêtes DNS pour *.extrahop.com et d'accéder au TCP 443 (HTTPS) à partir de l'adresse IP qui correspond à votre sonde licence :

  • 35.161.154.247 (Portland, États-Unis)
  • 54.66.242.25 (Sydney, Australie)
  • 52.59.110.168 (Francfort, Allemagne)
Accès libre à RevealX 360 Premium Investigation

Pour accéder à RevealX 360 Premium Investigation, votre capteurs doit être en mesure d'accéder au protocole TCP 443 (HTTPS) sortant à des noms de domaine complets spécifiques.

Les capteurs situés aux États-Unis doivent pouvoir accéder à ces noms de domaine :

  • eh.oem-2-1.logscale.us-2.crowdstrike.com
  • eh.oem-2-2.logscale.us-2.crowdstrike.com

Les capteurs situés dans l'Union européenne doivent pouvoir accéder à ce nom de domaine :

  • eh.oem-2-3.logscale.eu-1.crowdstrike.com

Outre la configuration de l'accès à ces domaines, vous devez également configurer le paramètres globaux du serveur proxy.

Accès libre à RevealX 360 Standard Investigation

Pour accéder à RevealX 360 Standard Investigation, votre capteurs doit pouvoir accéder au protocole TCP 443 (HTTPS) sortant à ces noms de domaine complets :

  • bigquery.googleapis.com
  • bigquerystorage.googleapis.com
  • oauth2.googleapis.com
  • www.googleapis.com
  • www.mtls.googleapis.com
  • iamcredentials.googleapis.com

Vous pouvez également consulter les conseils publics de Google sur calcul des plages d'adresses IP possibles pour googleapis.com.

Outre la configuration de l'accès à ces domaines, vous devez également configurer le paramètres globaux du serveur proxy.

Connectez-vous aux services cloud ExtraHop via un proxy

Si vous ne disposez pas d'une connexion Internet directe, vous pouvez essayer de vous connecter à ExtraHop Cloud Services via un proxy explicite.

Before you begin

Vérifiez si votre fournisseur de proxy est configuré pour exécuter le machine-in-the-middle (MITM) lors de la tunnelisation de SSH via HTTP CONNECT vers localhost:22. ExtraHop Cloud Services déploie un tunnel SSH interne chiffré, de sorte que le trafic ne sera pas visible lors de l'inspection MITM. Nous vous recommandons de créer une exception de sécurité et de désactiver l' inspection MITM pour ce trafic.
Important :Si vous ne parvenez pas à désactiver MITM sur votre proxy, vous devez désactiver la validation des certificats dans le fichier de configuration exécutant le système ExtraHop. Pour plus d'informations, voir Contourner la validation des certificats.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Cliquez Activer le proxy cloud ExtraHop.
  4. Dans le Nom d'hôte dans le champ, saisissez le nom d'hôte de votre serveur proxy, tel que hôte proxy.
  5. Dans le Port dans le champ, saisissez le port de votre serveur proxy, tel que 8080.
  6. Facultatif : Si nécessaire, dans Nom d'utilisateur et Mot de passe champs, saisissez un nom d'utilisateur et un mot de passe pour votre serveur proxy.
  7. Cliquez Enregistrer.

Contourner la validation des certificats

Certains environnements sont configurés de telle sorte que le trafic chiffré ne puisse pas quitter le réseau sans inspection par un équipement tiers. Cet équipement peut agir comme un point de terminaison TLS qui déchiffre et rechiffre le trafic avant d'envoyer les paquets à ExtraHop Cloud Services.

Si un système se connecte à ExtraHop Cloud Services via un serveur proxy et que la validation du certificat échoue, désactivez la validation du certificat et tentez de nouveau la connexion. La sécurité fournie par l'authentification et le chiffrement du système ExtraHop garantit que les communications entre les systèmes et les services ExtraHop Cloud ne peuvent pas être interceptées.
Remarque :La procédure suivante nécessite de vous familiariser avec la modification du fichier de configuration en cours d'exécution d'ExtraHop.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres de l'appliance section, cliquez sur Configuration en cours d'exécution.
  3. Cliquez Modifier la configuration.
  4. Ajoutez la ligne suivante à la fin du fichier de configuration en cours d'exécution :
    "hopcloud": { "verify_outer_tunnel_cert": false }
  5. Cliquez Mettre à jour.
  6. Cliquez Afficher et enregistrer les modifications.
  7. Passez en revue les modifications.
  8. Cliquez Enregistrer.
  9. Cliquez Terminé.

Déconnexion des services cloud ExtraHop

Vous pouvez déconnecter un système ExtraHop des services cloud ExtraHop.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Services cloud ExtraHop .
  3. Dans le Connexion aux services cloud section, cliquez sur Déconnecter.

Gérer l'inscription aux services cloud ExtraHop

Si vous souhaitez déplacer une licence existante d'un système ExtraHop à un autre, vous pouvez gérer l'inscription au système depuis la page ExtraHop Cloud Services. La désinscription d'un système supprime toutes les données et analyses historiques du service d'apprentissage automatique du système et ne sera plus disponible.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Services cloud ExtraHop .
  3. Dans le Connexion aux services cloud section, cliquez sur Désinscrivez-vous.

Connectivité

Le Connectivité La page contient des commandes pour les connexions et les paramètres réseau de votre appliance.

État de l'interface
Sur les appliances physiques, un schéma des connexions d'interface apparaît, qui est mis à jour dynamiquement en fonction de l'état du port.
  • Le port Ethernet bleu est destiné à la gestion
  • Un port Ethernet noir indique qu'un port autorisé et activé est actuellement hors service
  • Un port Ethernet vert indique un port connecté actif
  • Un port Ethernet gris indique un port désactivé ou sans licence
Paramètres réseau
  • Cliquez Modifier les paramètres pour ajouter un nom d'hôte pour votre appliance ExtraHop ou pour ajouter des serveurs DNS.
Paramètres du proxy
  • Activez un proxy mondial pour vous connecter à une console ExtraHop
  • Activez un proxy cloud pour vous connecter aux services cloud ExtraHop
Paramètres de l'interface Bond
  • Créez un interface de liaison pour relier plusieurs interfaces en une seule interface logique avec une seule adresse IP.
Interfaces
Consultez et configurez vos interfaces de gestion et de surveillance. Cliquez sur n'importe quelle interface pour afficher les options de réglage.
Paramètres d'ingestion de paquets

Configuration d'une interface

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Interfaces section, cliquez sur le nom de l'interface que vous souhaitez configurer.
  4. Sur le Paramètres réseau pour l'interface <interface number> page, à partir de la Mode d'interface dans la liste déroulante, sélectionnez l'une des options suivantes :
    Désactivé
    L'interface est désactivée.
    Surveillance (réception uniquement)
    Surveille le trafic réseau.
    Gestion
    Gère la sonde ExtraHop.
    Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE
    Gère la sonde ExtraHop et capture le trafic transféré depuis un redirecteur de paquets, PERSAN*, VXLAN** ou GENEVE***.
    Alors que les interfaces de gestion et de capture 10 GbE de cette sonde peuvent exécuter des fonctions de gestion à des vitesses de 10 Gbit/s, le trafic de traitement tel que ERSPAN, VXLAN et GENEVE est limité à 1 Gbit/s.
    Conseil :Dans les environnements avec un routage asymétrique adjacent aux interfaces hautes performances, les réponses ping peuvent ne pas être renvoyées à l'expéditeur.
    Cible ERSPAN/VXLAN/GENEVE à haute performance
    Capture le trafic transféré depuis ERSPAN *, VXLAN** ou GENEVE***. Ce mode d'interface permet au port de gérer plus de 1 Gbit/s. Définissez ce mode d'interface si la sonde ExtraHop possède un port 10 GbE. Ce mode d'interface nécessite uniquement la configuration d'une adresse IPv4.
    * Le système ExtraHop prend en charge les implémentations ERSPAN suivantes :
    • ERSPAN Type I
    • ERSPAN Type II
    • ERSPAN Type III
    • Pontage Ethernet transparent. L'encapsulation de type ERSPAN est couramment utilisée dans les implémentations de commutateurs virtuels telles que VMware VDS et Open vSwitch.

    **Les paquets VXLAN (Virtual Extensible LAN) sont reçus sur le port UDP 4789.

    ***Les paquets GENEVE (Generic Network Virtualization Encapsulation) sont reçus sur le port UDP 6081. Pour configurer le trafic encapsulé GENEVE transféré depuis un équilibreur de charge AWS Gateway (GWLB) agissant en tant que cible de mise en miroir du trafic VPC, consultez Documentation AWS.

    Remarque :Pour les déploiements Amazon Web Services (AWS) avec une interface unique, vous devez sélectionner Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE pour Interface 1. Si vous configurez deux interfaces, vous devez sélectionner Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE pour Interface 1 et Gestion + cible RPCAP/ERSPAN/VXLAN/GENEVE pour Interface 2.
    Remarque :Pour les déploiements Azure, certaines instances exécutant d'anciennes cartes réseau peuvent ne pas prendre en charge le mode cible ERSPAN/VXLAN/GENEVE hautes performances.
  5. Facultatif : Sélectionnez une vitesse d'interface.
    Négociation automatique est sélectionné par défaut ; toutefois, vous devez sélectionner manuellement une vitesse si celle-ci est prise en charge par votre sonde, votre émetteur-récepteur réseau et votre commutateur réseau.
    • Négociation automatique
    • 10 Gbit/s
    • 25 Gbit/s
    • 40 Gbit/s
    • 100 Gbit/s
    Important :Lorsque vous modifiez la vitesse de l'interface sur Négociation automatique, il se peut que vous deviez redémarrer la sonde avant que la modification ne prenne effet.
  6. Facultatif : Sélectionnez un type de correction d'erreur directe (FEC).
    Nous recommandons la négociation automatique, qui est optimale pour la plupart des environnements.

    Négociation automatique: Active automatiquement le RS-FEC ou le Firecode FEC ou désactive le FEC en fonction des capacités des interfaces connectées.

    RS-FEC: Active toujours Reed-Solomon FEC.

    Firecode: Active toujours Firecode (FC) FEC, également connu sous le nom de BaseR FEC.

    Désactivé: Désactive FEC.

  7. Configurez DCHP.
    DHCPv4 est activé par défaut. Si votre réseau ne prend pas en charge le DHCP, vous pouvez désactiver le DHCPv4 case à cocher pour désactiver le DHCP, puis saisissez une adresse IP statique, un masque réseau et une passerelle par défaut.
    Remarque :Une seule interface doit être configurée avec une passerelle par défaut. Configurer des itinéraires statiques si votre réseau nécessite un routage via plusieurs passerelles.
  8. Configurez le port de contrôle de santé TCP.
    Ce paramètre n'est configurable que sur des interfaces hautes performances et est requis lors de l'ingestion de trafic GENEVE depuis un équilibreur de charge AWS Gateway (GWLB). La valeur du numéro de port doit correspondre à la valeur configurée dans AWS. Pour plus d'informations, voir Transférer le trafic encapsulé à Geneve depuis un équilibreur de charge AWS Gateway.
  9. Facultatif : Activez IPv6.
    Pour plus d'informations sur la configuration d'IPv6, voir Activer IPv6 pour une interface.
  10. Facultatif : Ajoutez des itinéraires manuellement.
  11. Cliquez Enregistrer.
Définir un itinéraire statique

Before you begin

Vous devez désactiver DHCPv4 avant de pouvoir ajouter une route statique.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Interfaces section, cliquez sur le nom de l'interface que vous souhaitez configurer.
  4. Sur le Paramètres réseau pour l'interface <interface number> page, assurez-vous que Adresse IPv4 et Masque réseau les champs sont complets et enregistrés, puis cliquez sur Modifier les itinéraires.
  5. Dans le Ajouter un itinéraire section, saisissez une plage d'adresses réseau en notation CIDR dans le Réseau champ et adresse IPv4 dans le Par IP champ, puis cliquez sur Ajouter.
  6. Répétez l'étape précédente pour chaque itinéraire que vous souhaitez ajouter.
  7. Cliquez Enregistrer.
Activer IPv6 pour une interface
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Interfaces section, cliquez sur le nom de l'interface que vous souhaitez configurer.
  4. Sur le Paramètres réseau pour l'interface <interface number> page, sélectionnez Activer IPv6.
    Les options de configuration IPv6 apparaissent ci-dessous Activer IPv6.
  5. Facultatif : Configurez les adresses IPv6 pour l'interface.
    • Pour attribuer automatiquement des adresses IPv6 via DHCPv6, sélectionnez Activer DHCPv6.
      Remarque :Si cette option est activée, DHCPv6 sera utilisé pour configurer les paramètres DNS.
    • Pour attribuer automatiquement des adresses IPv6 par le biais de la configuration automatique des adresses sans état, à partir du Configuration automatique des adresses sans état dans la liste déroulante, sélectionnez l'une des options suivantes :
      Utiliser l'adresse MAC
      Configure l'appliance pour attribuer automatiquement des adresses IPv6 en fonction de l'adresse MAC de l'appliance.
      Utiliser une adresse privée stable
      Configure l'appliance pour attribuer automatiquement des adresses IPv6 privées qui ne sont pas basées sur des adresses matérielles. Cette méthode est décrite dans la RFC 7217.
    • Pour attribuer manuellement une ou plusieurs adresses IPv6 statiques, saisissez les adresses dans Adresses IPv6 statiques champ.
  6. Pour permettre à l'appliance de configurer les informations du serveur DNS récursif (RDNSS) et de la liste de recherche DNS (DNSSL) en fonction des publicités du routeur, sélectionnez RDNSS/DNSSL.
  7. Cliquez Enregistrer.

Débit de l'interface

Hop supplémentaire sonde les modèles EDA 6100, EDA 8100 et EDA 9100 sont optimisés pour capturer le trafic exclusivement sur les ports 10 GbE.

L'activation des interfaces 1 GbE pour surveiller le trafic peut avoir un impact sur les performances, en fonction de l'ExtraHop sonde. Bien que vous puissiez les optimiser capteurs pour capturer le trafic simultanément sur les ports 10 GbE et les trois ports 1 GbE non liés à la gestion, nous vous recommandons de contacter le support ExtraHop pour obtenir de l'aide afin d'éviter une réduction du débit.

Remarque :Les capteurs EDA 6200, EDA 8200, EDA 9200 et EDA 10200 ne sont pas sensibles à une réduction du débit si vous activez des interfaces 1 GbE pour surveiller le trafic.
Capteur ExtraHop Débit Détails
ANNÉE 9100 Débit standard de 40 Gbit/s Si les interfaces 1 GbE non liées à la gestion sont désactivées, vous pouvez utiliser jusqu'à quatre interfaces 10 GbE pour un débit combiné allant jusqu'à 40 Gbit/s.
ÉD. 8100 Débit standard de 20 Gbit/s Si les interfaces 1 GbE non liées à la gestion sont désactivées, vous pouvez utiliser l'une des interfaces 10 GbE ou les deux pour un débit combiné allant jusqu'à 20 Gbit/s.
ÉD. 6100 Débit standard de 10 Gbit/s Si les interfaces 1 GbE non liées à la gestion sont désactivées, le débit combiné total maximum est de 10 Gbit/s.
ÉD. 3100 Débit standard de 3 Gbit/s Aucune interface 10 GbE
ANNÉE 1100 Débit standard de 1 Gbit/s Aucune interface 10 GbE

Débit du capteur pour plusieurs modules

Un peu de Hop supplémentaire sonde les modèles prennent en charge l'activation du module IDS, à condition que la sonde soit homologuée pour le module NDR. L'activation de l'IDS sur ces capteurs peut affecter le débit des capteurs.

Modèle de capteur ExtraHop Assistance IDS Débit sans IDS (Gbit/s) Débit avec IDs (Gbit/s)
1200 Non 1 N/A
4200 Non 5 N/A
6200 Oui 10 4
8200 Oui 25 10
8320 Oui 25 25
9200 Oui 50 20
9300 Oui 50 30
10200 Oui 100 40
10300 Oui 100 À DÉTERMINER

serveur proxy mondial

Si la topologie de votre réseau nécessite un serveur proxy pour permettre à votre système ExtraHop de communiquer soit avec console ou avec d'autres appareils extérieurs au réseau local, vous pouvez activer votre système ExtraHop pour qu'il se connecte à un serveur proxy que vous avez déjà sur votre réseau. La connectivité Internet n'est pas requise pour le serveur proxy global.

Configurer un proxy global
Important :Vous ne pouvez configurer qu'un seul serveur proxy global par système ExtraHop.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Paramètres du proxy section, cliquez sur Activer le proxy global.
  4. Dans le Nom d'hôte dans le champ, entrez le nom d'hôte ou l'adresse IP de votre serveur proxy mondial
  5. Dans le Port dans ce champ, entrez le numéro de port de votre serveur proxy.
  6. Dans le Nom d'utilisateur dans ce champ, entrez le nom d'un utilisateur disposant d'un accès privilégié à votre serveur proxy mondial.
  7. Dans le Mot de passe champ, entrez le mot de passe de l'utilisateur spécifié ci-dessus.

Proxy ExtraHop Cloud

Si votre système ExtraHop ne dispose pas d'une connexion Internet directe, vous pouvez vous connecter à Internet via un serveur proxy spécialement conçu pour la connectivité des services ExtraHop Cloud. Un seul proxy peut être configuré par système.

Complétez les champs suivants et cliquez sur Enregistrer pour activer un proxy cloud.

Nom d'hôte : Le nom d'hôte ou l'adresse IP de votre serveur proxy cloud.

Port : Le numéro de port de votre serveur proxy cloud.

Nom d'utilisateur : Le nom d'un utilisateur autorisé à accéder à votre serveur proxy cloud.

Mot de passe : Le mot de passe de l'utilisateur indiqué ci-dessus.

Interfaces de liaison

Vous pouvez relier plusieurs interfaces de votre système ExtraHop en une seule interface logique dotée d'une adresse IP pour la bande passante combinée des interfaces membres. Les interfaces de liaison permettent d'augmenter le débit avec une seule adresse IP. Cette configuration est également connue sous le nom d'agrégation de liens, de canalisation de ports, de regroupement de liens, de liaison Ethernet/réseau/carte réseau ou d'association de cartes réseau. Les interfaces Bond ne peuvent pas être réglées en mode surveillance.

Remarque :Lorsque vous modifiez les paramètres de l'interface de liaison, vous perdez la connectivité à votre système ExtraHop. Vous devez modifier la configuration de votre commutateur réseau pour rétablir la connectivité. Les modifications requises dépendent de votre commutateur. Contactez le support ExtraHop pour obtenir de l'aide avant de créer une interface Bond.
  • La liaison n'est configurable que sur les interfaces Management ou Management +.
  • Canalisation portuaire sur les ports de surveillance du trafic est pris en charge par les capteurs ExtraHop.

Les interfaces choisies comme membres d'une interface de liaison ne sont plus configurables indépendamment et sont affichées comme Handicapé (membre obligataire) dans la section Interfaces de la page Connectivité. Une fois qu'une interface de liaison est créée, vous ne pouvez pas ajouter de membres supplémentaires ni supprimer des membres existants. L'interface de liaison doit être détruite et recréée.

Création d'une interface de liaison

Vous pouvez créer une interface de liaison avec au moins un membre d'interface et un nombre maximum de membres disponibles pour la liaison.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Paramètres de l'interface Bond section, cliquez sur Créer une interface Bond.
  4. Cochez la case à côté de chaque interface que vous souhaitez inclure dans la liaison.
    Seuls les ports actuellement disponibles pour l'adhésion à Bond apparaissent.
  5. À partir du Prendre les paramètres depuis dans la liste déroulante, sélectionnez l' interface contenant les paramètres que vous souhaitez appliquer à l'interface de liaison.
    Les paramètres de toutes les interfaces non sélectionnées seront perdus.
  6. Pour Type d'obligation, sélectionnez l'une des options suivantes :
    • Statique, ce qui crée une liaison statique.
    • 802.3ad (LACP), qui crée une liaison dynamique via l'agrégation de liens IEEE 802.3ad (LACP).
  7. À partir du Politique de hachage dans la liste déroulante, sélectionnez l'une des options suivantes :
    • Couche 3+4 politique, qui équilibre la répartition du trafic de manière plus uniforme entre les interfaces ; toutefois, cette politique n'est pas entièrement conforme aux normes 802.3ad.
    • Couche 2+3 politique, qui équilibre le trafic de manière moins uniforme et est conforme aux normes 802.3ad.
  8. Cliquez Créez.
Actualisez la page pour afficher Interfaces de liaison section. Tout membre de l'interface de liaison dont les paramètres n'ont pas été sélectionnés dans Extraire les paramètres de la liste déroulante s'affiche comme Handicapé ( membre obligataire) dans le Interfaces section.
Modifier les paramètres de l'interface de liaison

Une fois qu'une interface de liaison est créée, vous pouvez modifier la plupart des paramètres comme s'il s'agissait d'une interface unique.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Interfaces de liaison section, cliquez sur l'interface de liaison que vous souhaitez modifier.
  4. Sur le Paramètres réseau pour l'interface Bond <numéro d'interface> page, modifiez les paramètres suivants selon vos besoins :

    Membres : Les membres de l'interface de liaison. Les membres ne peuvent pas être modifiés après la création d'une interface de liaison. Si vous devez modifier les membres, vous devez détruire et recréer l'interface de liaison.

    Mode Bond: Spécifiez s'il faut créer une liaison statique ou une liaison dynamique via l'agrégation de liens IEEE 802.3ad (LACP).

    Mode d'interface : Mode d'adhésion obligataire. Une interface de liaison peut être Gestion ou GESTION+RPCAP/ERSPAN Target uniquement.

    Activer DHCPv4 : Si DHCP est activé, une adresse IP pour l'interface de liaison est automatiquement obtenue.

    Politique de hachage: Spécifiez la politique de hachage. Le Couche 3+4 La politique équilibre la répartition du trafic de manière plus uniforme entre les interfaces ; toutefois, elle n'est pas entièrement conforme aux normes 802.3ad. Le Couche 2+3 La politique équilibre le trafic de manière moins uniforme ; elle est toutefois conforme aux normes 802.3ad.

    Adresse IPv4 : L'adresse IP statique de l'interface de liaison. Ce paramètre n'est pas disponible si le DHCP est activé.

    Masque de réseau : Le masque réseau de l'interface de liaison.

    Passerelle : L'adresse IP de la passerelle réseau.

    Routes : Les routes statiques pour l'interface de liaison. Ce paramètre n'est pas disponible si le DHCP est activé.

    Activer IPv6 : Activez les options de configuration pour IPv6.

  5. Cliquez Enregistrer.
Détruire une interface de liaison

Lorsqu'une interface de liaison est détruite, les membres d'interface distincts de l' interface de liaison retournent à une fonctionnalité d'interface indépendante. Une interface membre est sélectionnée pour conserver les paramètres de l'interface de liaison et toutes les autres interfaces membres sont désactivées. Si aucune interface membre n'est sélectionnée pour conserver les paramètres, ceux-ci sont perdus et toutes les interfaces membres sont désactivées.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Section « Interfaces de liaison », cliquez sur le bouton rouge X à côté de l'interface que vous souhaitez détruire.
  4. Sur le Détruisez l'interface de Bond < numéro d'interface> page, sélectionnez l'interface membre vers laquelle vous souhaitez déplacer les paramètres de l'interface de liaison.
    Seule l'interface membre sélectionnée pour conserver les paramètres de l'interface de liaison reste active et toutes les autres interfaces membres sont désactivées.
  5. Cliquez Détruire.

Paramètres d'ingestion de paquets

Vous pouvez configurer une sonde ExtraHop pour ingérer des paquets provenant d'une source directe ou pour ingérer des paquets transférés par un tiers.

Before you begin

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Paramètres d'ingestion de paquets section, sélectionnez l'une des options suivantes :
    Option Description
    Ingérer des paquets à partir du flux de trafic direct Disponible uniquement si vous configurer au moins une interface avec un mode incluant l' encapsulation GENEVE.
    Paquets d'ingestion transférés depuis Netskope Disponible uniquement si vous configurer au moins une interface avec un mode incluant l' encapsulation GENEVE.

    Consultez le guide d'intégration de Netskope pour RevealX Enterprise ou RevealX 360 pour configurer l'ingestion de paquets depuis votre solution Netskope.

    Paquets d'ingestion transférés depuis Palo Alto Networks Prisma (RevealX Enterprise uniquement) Disponible uniquement si vous configurer une interface en mode Gestion uniquement et ne configurez aucune autre interface pour l'ingestion de paquets.

    Consultez les Guide d'intégration de Palo Alto Networks Prisma pour configurer l' ingestion de paquets depuis votre solution Prisma.

  4. Cliquez Enregistrer.

Réseaux de flux

Vous devez configurer l'interface réseau et les paramètres de port sur le système ExtraHop avant de pouvoir collecter des données NetFlow ou sFlow à partir de réseaux de flux distants (exportateurs de flux). Les réseaux de flux ne peuvent pas être configurés sur les systèmes RevealX Enterprise. Le système ExtraHop prend en charge les technologies de flux suivantes : Cisco NetFlow version 5 (v5) et version 9 (v9), AppFlow, IPFIX et sFlow.

Outre la configuration du système ExtraHop, vous devez configurer vos périphériques réseau pour envoyer du trafic sFlow ou NetFlow. Reportez-vous à la documentation de votre fournisseur ou consultez un exemple Configurations Cisco dans l'annexe.

Collectez le trafic depuis les appareils NetFlow et sFlow

Vous devez configurer l'interface réseau et les paramètres de port sur le système ExtraHop avant de pouvoir collecter des données NetFlow ou sFlow à partir de réseaux de flux distants (exportateurs de flux). Les réseaux de flux ne peuvent pas être configurés sur les systèmes RevealX Enterprise. Le système ExtraHop prend en charge les technologies de flux suivantes : Cisco NetFlow v5 et v9, AppFlow, IPFIX et sFlow.

Remarque :Pour plus d'informations sur l'appliance virtuelle à sonde NetFlow EFC 1292v, voir Déployez le capteur NetFlow ExtraHop EFC 1292v.

Vous devez vous connecter en tant qu'utilisateur avec Privilèges d'administration du système et des accès pour effectuer les étapes suivantes.

Configurez l'interface de votre système ExtraHop
Outre la configuration du système ExtraHop, vous devez configurer vos périphériques réseau pour envoyer du trafic sFlow ou NetFlow. Reportez-vous à la documentation de votre fournisseur ou consultez l' exemple Configurations Cisco à la fin de ce document. Notez que les pare-feux Cisco ASA dotés de la fonction NetFlow Secure Event Logging (NSEL) ne sont pas pris en charge.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Connectivité.
  3. Dans le Interfaces section, cliquez sur le nom de l'interface qui doit recevoir les données de flux.
  4. À partir du Mode d'interface liste déroulante, sélectionnez Gestion + Cible de flux.
    Remarque :L'EDA 1100v doit être configuré pour les données de flux ou les données filaires car cette sonde ne peut pas traiter simultanément les données de flux et les données de fil. Si la sonde est configurée pour les données de flux, vous devez régler le port de surveillance sur Désactivé.
  5. Si Activer DHCPv4 est sélectionné, cliquez sur Enregistrer.
    Sinon, configurez les autres paramètres réseau, puis cliquez sur Enregistrer.
Configurer le type de flux et le port UDP
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Dans le Paramètres réseau section, cliquez sur Réseaux de flux.
  3. Dans le Ports section, dans la Port dans ce champ, saisissez le numéro de port UDP.
    Le port par défaut pour Net Flow est 2055, et le port par défaut pour sFlow est 6343. Vous pouvez ajouter des ports supplémentaires selon les besoins de votre environnement.
    Remarque :Les numéros de port doivent être de 1024 ou plus
  4. À partir du Type de flux liste déroulante, sélectionnez NetFlow ou flux S.
    Pour le trafic AppFlow, sélectionnez NetFlow.
  5. Cliquez sur l'icône plus (+) pour ajouter le port.
  6. Enregistrez le fichier de configuration en cours pour conserver vos modifications en cliquant sur Afficher et enregistrer les modifications en haut de la page Flow Networks.
  7. Cliquez Enregistrer.
Ajouter les réseaux de flux en attente

Vous pouvez désormais ajouter des réseaux de flux en attente.

Before you begin

Vous devez vous connecter en tant qu'utilisateur avec Privilèges d'administration du système et des accès pour effectuer les étapes suivantes.
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Dans le Paramètres réseau section, cliquez sur Réseaux de flux.
  3. Dans le Réseaux de flux en attente section, cliquez sur Ajouter un réseau Flow.
  4. Dans le ID réseau Flow dans le champ, saisissez un nom pour identifier ce réseau de flux.
  5. Sélectionnez le Enregistrements automatiques case à cocher pour envoyer des enregistrements de ce réseau de flux vers un espace de stockage des enregistrements connecté.
  6. Sélectionnez le Activer le sondage SNMP case à cocher pour activer le sondage SNMP.
  7. Si vous activez le sondage SNMP, sélectionnez l'une des options suivantes dans la liste déroulante des informations dcessations d'identification SNMP :
    • Hériter du CIDR. Si vous sélectionnez cette option, les informations d'identification SNMP sont appliquées en fonction des paramètres d'identification SNMP partagées.
    • informations d_identification personnalisées. Sélectionnez v1, v2 ou v3 dans la liste déroulante des versions du SNMP, puis configurez les paramètres restants pour le type de sondage spécifique.
  8. Cliquez Enregistrer.
Le réseau de flux apparaît dans le tableau Réseaux de flux approuvés. Si vous ne voyez pas le réseau de flux, vous pouvez l'ajouter manuellement en cliquant Ajouter un réseau Flow dans le Réseaux de flux approuvés section et en complétant les informations comme décrit ci-dessus.
Afficher les réseaux de flux configurés

Après avoir configuré vos réseaux de flux, connectez-vous au système ExtraHop pour afficher les graphiques intégrés et modifier les paramètres et les configurations.

  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez Actifs, puis cliquez sur Réseaux.
  3. Cliquez sur la flèche déroulante à côté du nom du réseau de flux pour afficher la liste des interfaces de flux et leurs attributs.
  4. Cochez la case à côté du nom du réseau de flux ou de l'interface.
    Dans la barre supérieure, vous pouvez créer un graphique, attribuer un déclencheur, attribuer une alerte , renommer l'interface de flux et définir la vitesse de l'interface.
    Remarque :Chaque enregistrement NetFlow contient l'index d'interface (ifIndex) de l'interface de reporting. La table d'interface (ifTable) est ensuite interrogée par le système ExtraHop pour obtenir la vitesse de l'interface (ifSpeed).
  5. Cliquez sur le nom du réseau de flux ou sur le nom de l'interface de flux pour afficher les graphiques intégrés sur les pages de résumé.
    Dans les pages de résumé, vous pouvez cliquer sur les régions et les graphiques et les ajouter à un tableau de bord nouveau ou existant.

Configuration des appareils Cisco NetFlow

Les exemples suivants de configuration de base d'un routeur Cisco pour NetFlow. NetFlow est configuré pour chaque interface. Lorsque NetFlow est configuré sur l'interface, les informations de flux de paquets IP sont exportées vers le système ExtraHop.

Important :NetFlow tire parti de la valeur IFindex du SNMP pour représenter les informations d'interface d'entrée et de sortie dans les enregistrements de flux. Pour garantir la cohérence des rapports d'interface, activez la persistance SNMP iFindex sur les appareils qui envoient NetFlow au système ExtraHop. Pour plus d' informations sur la façon d'activer la persistance SNMP iFindex sur les périphériques de votre réseau, reportez-vous au guide de configuration fourni par le fabricant de l'équipement.

Pour plus d'informations sur la configuration de NetFlow sur les commutateurs Cisco, consultez la documentation de votre routeur Cisco ou le site Web de Cisco à l'adresse www.cisco.com.

Configuration d'un exportateur sur le commutateur Cisco Nexus

Définissez un exportateur de flux en spécifiant le format, le protocole et la destination d'exportation.

  1. Connectez-vous à l'interface de ligne de commande du commutateur et exécutez les commandes suivantes .
  2. Entrez en mode de configuration globale.
    config t
  3. Créez un exportateur de flux et passez en mode de configuration de l'exportateur de flux.
    flow exporter <name>
    Par exemple :
    flow exporter Netflow-Exporter-1
  4. (Facultatif) Entrez une description.
    description <string>
    Par exemple :
    description Production-Netflow-Exporter
  5. Définissez l'adresse IPv4 ou IPv6 de destination pour l'exportateur.
    destination <eda_mgmt_ip_address>
    Par exemple :
    destination 192.168.11.2
  6. Spécifiez l'interface nécessaire pour atteindre le collecteur NetFlow à la destination configurée .
    source <interface_type> <number>
    Par exemple :
    source ethernet 2/2
  7. Spécifiez la version d'exportation de NetFlow.
    version 9
Configuration des commutateurs Cisco par le biais de l'interface de ligne de commande Cisco IOS
  1. Connectez-vous à l'interface de ligne de commande Cisco IOS et exécutez les commandes suivantes .
  2. Entrez en mode de configuration globale.
    config t
  3. Spécifiez l'interface, puis passez en mode de configuration de l'interface.
    • Routeurs de la gamme Cisco 7500 :
      interface <type> <slot>/<port-adapter>/<port>
      Par exemple :
      interface fastethernet 0/1/0
    • Routeurs de la gamme Cisco 7200 :
      interface <type> <slot>/<port>
      Par exemple :
      interface fastethernet 0/1
  4. Activez NetFlow.
    ip route-cache flow
  5. Exportez les statistiques NetFlow, où <ip-address> est l'interface Management + Flow Target sur le système ExtraHop et <udp-port> est le numéro de port UDP du collecteur configuré.
    ip flow-export <ip-address> <udp-port> version 5

Configurez des informations d'identification SNMP partagées pour vos réseaux NetFlow ou sFlow

Si vous activez l'interrogation SNMP dans la configuration de votre réseau de flux, vous devez spécifier les informations d'identification qui vous permettent d'interroger le périphérique réseau. Les identifiants d'authentification SNMP s'appliquent à tous les réseaux de flux d'un bloc CIDR et sont automatiquement appliqués à chaque réseau de flux découvert, sauf si des informations d'identification personnalisées sont configurées.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Réseaux de flux.
  3. Dans le Informations d'identification SNMP partagées section, cliquez sur Ajouter des informations d'identification SNMP.
  4. Dans le CIDR dans le champ, saisissez le bloc d'adresse CIDR IPv4.
    Par exemple, tapez 10,0,0,0/8 pour correspondre à n'importe quelle adresse IP commençant par 10 ou 10,10,0,0/16 pour correspondre à n'importe quelle adresse IP commençant par 10.10. Vous ne pouvez pas configurer une adresse IP qui corresponde à l'ensemble du trafic.
  5. À partir du Version SNMP liste déroulante, sélectionnez v1, v2c, ou v3.
  6. Configurez des champs supplémentaires spécifiques à la version SNMP sélectionnée :
    • Si vous avez sélectionné v1 ou v2c, dans Chaîne communautaire dans le champ, saisissez le nom de la communauté.
    • Si vous avez sélectionné la version 3, complétez les champs suivants, le cas échéant :
      Nom de sécurité
      Tapez le nom d'utilisateur fourni pour l'authentification. Ce champ est obligatoire.
      Niveau de sécurité
      Sélectionnez le modèle et le niveau de sécurité SNMPv3 parmi l'une des options suivantes :
      • AuthPriv - Supporte un utilisateur SNMPv3 avec authentification et chiffrement
      • AuthNoPriv - Supporte un utilisateur SNMPv3 avec authentification uniquement et sans chiffrement
      • NoAuthNoPriv - Supporte un utilisateur SNMPv3 sans authentification ni chiffrement
      Type d'authentification
      Sélectionnez le type d'authentification parmi l'une des options suivantes :
      • MD5
      • SHA
      Clé d'authentification
      Tapez le mot de passe ou le résumé d'authentification de l'utilisateur.
      Type de confidentialité
      Sélectionnez la norme de chiffrement des données parmi l'une des options suivantes :
      • AES
      • DES
      Clé de confidentialité
      Tapez la clé de chiffrement pour l'utilisateur.
  7. Cliquez Enregistrer.

Actualiser manuellement les informations SNMP

Vous pouvez interroger et récupérer des données à la demande auprès de l'agent SNMP sur un équipement de réseau de flux. Au lieu d'attendre que le sondage automatique se produise après chaque modification de configuration pour confirmer que le changement est correct (un sondage automatique a lieu toutes les 24 heures), vous pouvez effectuer un sondage immédiatement.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans la colonne Actions du réseau de flux approuvé, cliquez sur Sondage.
    Le système ExtraHop interroge les informations suivantes :
    • Nom système de l'agent SNMP. Cet identifiant est attribué par SNMP au réseau de flux. COUVERCLE : 1.3.6.1.2.1.1.5.0.
    • Le nom d'interface de chaque interface de l'agent SNMP. Ces identifiants concernent chaque interface de flux du réseau de flux. Identifiant : 1.3.6.1.2.1.2.2.1.2.
    • Vitesse d'interface de chaque interface de l'agent SNMP. Identifiant : 1.3.6.1.2.1.2.2.1.5 et 1.3.6.1.2.1.31.1.1.1.15.

Notifications

Le système ExtraHop peut envoyer des notifications concernant les alertes configurées par e-mail, par des interruptions SNMP et par des exportations Syslog vers des serveurs distants. Si un groupe de notification par e-mail est spécifié, les e-mails sont envoyés aux groupes affectés à l'alerte.

Configurer les paramètres de messagerie pour les notifications

Vous devez configurer un serveur de messagerie et un expéditeur pour que le système ExtraHop puisse envoyer des notifications d' alerte ou des rapports planifiés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Notifications.
  3. Cliquez Serveur de messagerie et expéditeur.
  4. Dans le Serveur SMTP dans le champ, saisissez l'adresse IP ou le nom d'hôte du serveur de messagerie SMTP sortant.
    Le serveur SMTP est le nom de domaine complet (FQDN) ou l'adresse IP d'un serveur de messagerie sortant accessible depuis le système ExtraHop. Si le serveur DNS est configuré, le serveur SMTP peut être un nom de domaine complet, sinon vous devez saisir une adresse IP.
  5. Dans le Port SMTP dans le champ, saisissez le numéro de port pour la communication SMTP .
    Le port 25 est la valeur par défaut pour le SMTP et le port 465 est la valeur par défaut pour le SMTP crypté TLS.
  6. À partir du Chiffrement dans la liste déroulante, sélectionnez l'une des méthodes de chiffrement suivantes :
    Aucune
    La communication SMTP n'est pas cryptée.
    TLS
    Les communications SMTP sont cryptées via le protocole Secure Socket Layer/Transport Layer Security.
    STARTTLS
    La communication SMTP est cryptée via STARTTLS.
  7. Dans le Adresse de l'expéditeur de l'alerte dans ce champ, saisissez l'adresse e-mail de l'expéditeur de la notification.
    Remarque :L'adresse de l'expéditeur affichée peut être modifiée par le serveur SMTP. Lors d'un envoi via un serveur SMTP de Google, par exemple, l'e-mail de l'expéditeur est remplacé par le nom d'utilisateur fourni pour l'authentification, au lieu de l'adresse d'expéditeur saisie initialement.
  8. Facultatif : Sélectionnez le Valider les certificats SSL case à cocher pour activer la validation du certificat.
    Si vous sélectionnez cette option, le certificat du point de terminaison distant est validé par rapport aux chaînes de certificats racine spécifiées par le gestionnaire de certificats de confiance. Notez que le nom d'hôte spécifié dans le certificat présenté par le serveur SMTP doit correspondre au nom d'hôte spécifié dans votre configuration SMTP, faute de quoi la validation échouera. En outre, vous devez configurer les certificats auxquels vous souhaitez faire confiance sur la page Certificats fiables. Pour plus d'informations, voir Ajoutez un certificat fiable à votre système ExtraHop.
  9. Dans le Adresse de l'expéditeur du rapport dans ce champ, saisissez l'adresse e-mail responsable de l'envoi du message.
    Ce champ s'applique uniquement lors de l'envoi de rapports planifiés depuis une console ExtraHop ou RevealX 360.
  10. Sélectionnez le Activer l'authentification SMTP case à cocher.
  11. Dans le Nom d'utilisateur et Mot de passe dans les champs, saisissez les informations d'identification de configuration du serveur SMTP.
  12. Facultatif : Cliquez Paramètres du test, saisissez votre adresse e-mail, puis cliquez sur Envoyer.
    Vous devriez recevoir un e-mail avec le titre de l'objet ExtraHop Test Email.
  13. Cliquez Enregistrer.

Que faire ensuite

Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez les modifications apportées à la configuration par le biais d'événements de redémarrage et d'arrêt du système en enregistrant le fichier de configuration en cours d'exécution.

Configuration d'un groupe de notifications par e-mail

Ajoutez une liste d'adresses e-mail à un groupe, puis sélectionnez le groupe lorsque vous configurez les paramètres de messagerie pour une alerte ou un rapport programmé. Bien que vous puissiez spécifier des adresses e-mail individuelles, les groupes d'e-mails constituent un moyen efficace de gérer votre liste de destinataires.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Notifications.
  3. Cliquez Groupes de notifications par e-mail.
  4. Cliquez Ajouter un groupe.
  5. Dans le Informations sur le groupe section, configurez les informations suivantes :

    Nom: Entrez le nom du groupe de messagerie.

    Notifications de santé du système: Cochez cette case si vous souhaitez que le groupe de messagerie reçoive des alertes système générées dans des conditions telles que :

    • Un disque virtuel est dans un état dégradé.
    • Un disque physique est dans un état dégradé ou présente un nombre d' erreurs croissant.
    • Il manque une partition de disque nécessaire pour le microprogramme, la banque de données ou les données de capture de paquets.
    • Un équipement n'a pas pu se reconnecter à ExtraHop Cloud Services.
    • Une licence a expiré ou arrive bientôt à expiration.
    • Une sauvegarde des personnalisations et des ressources a échoué.

  6. Dans le Adresses e-mail zone de texte, saisissez les adresses e-mail des destinataires qui doivent recevoir les e-mails envoyés à ce groupe. Les adresses e-mail peuvent être saisies une par ligne ou séparées par une virgule, un point-virgule ou un espace. Les adresses e-mail sont vérifiées uniquement pour [nom] @ [entreprise] . [domaine] validation du format. Cette zone de texte doit contenir au moins une adresse e-mail pour que le groupe soit valide.
  7. Cliquez Enregistrer.

Configurer les paramètres pour envoyer des notifications à un gestionnaire SNMP

L'état du réseau peut être surveillé via le protocole SNMP (Simple Network Management Protocol). Le SNMP collecte des informations en interrogeant les périphériques du réseau. Les appareils compatibles SNMP peuvent également envoyer des alertes aux stations de gestion SNMP. Les communautés SNMP définissent le groupe auquel appartiennent les appareils et les stations de gestion exécutant le protocole SNMP, qui spécifie l'endroit où les informations sont envoyées. Le nom de la communauté identifie le groupe.

Remarque :La plupart des organisations disposent d'un système bien établi pour collecter et afficher les interruptions SNMP dans un emplacement central qui peut être surveillé par leurs équipes opérationnelles. Par exemple, les interruptions SNMP sont envoyées à un gestionnaire SNMP et la console de gestion SNMP les affiche.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Notifications.
  3. En dessous Notifications, cliquez SNMP.
  4. Sur le Paramètres SNMP page, dans la Moniteur SNMP dans le champ, saisissez le nom d'hôte du récepteur SNMP trap .
    Séparez les différents noms d'hôtes par des virgules.
  5. Dans le Communauté SNMP dans le champ, saisissez le nom de la communauté SNMP.
  6. Dans le Port SNMP dans le champ, saisissez le numéro de port SNMP de votre réseau utilisé par l'agent SNMP pour répondre au port source sur le gestionnaire SNMP.
    Le port de réponse par défaut est 162.
  7. Facultatif : Cliquez Paramètres du test pour vérifier que vos paramètres SNMP sont corrects.
    Si les paramètres sont corrects, vous devriez voir apparaître une entrée dans le fichier journal SNMP du serveur SNMP similaire à cet exemple, où 192.0.2.0 est l'adresse IP de votre système ExtraHop et 192.0.2.255 est l' adresse IP du serveur SNMP :
    Une réponse similaire à cet exemple s'affiche :
    Connection from UDP: [192.0.2.0]:42164->[ 192.0.2.255]:162
  8. Cliquez Enregistrer.
Téléchargez la MIB SNMP ExtraHop

Le protocole SNMP ne fournit pas de base de données contenant les informations transmises par un réseau surveillé par SNMP. Les informations SNMP sont définies par des bases d'informations de gestion (MIB) tierces qui décrivent la structure des données collectées.

Vous pouvez télécharger le fichier MIB ExtraHop depuis les paramètres d'administration du système.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Accédez au Paramètres réseau section et cliquez Notifications.
  3. En dessous Notifications, cliquez SNMP.
  4. En dessous MIB SNMP, cliquez sur Télécharger ExtraHop SNMP MIB.
    Le fichier est généralement enregistré dans l'emplacement de téléchargement par défaut de votre navigateur.
Extraire l'OID de l'objet fournisseur ExtraHop

Avant de pouvoir surveiller un équipement à l'aide du SNMP, vous devez ID d'objet Sys, qui contient un OID correspondant à l' identité de l'équipement déclarée par le fournisseur.

L'ID d'objet fournisseur (OID) SNMP pour le système ExtraHop est iso.3.6.1.4.1.32015. Vous pouvez également extraire cette valeur avec snmpwalk.
  1. Connectez-vous à l'interface de ligne de commande de votre poste de travail de gestion.
  2. Extrayez l'OID, où adresse IP est l'adresse IP de votre système ExtraHop :
    Dans cet exemple, vous effectuez une requête avec ID d'objet Sys:

    snmpwalk -v 2c -c public < adresse IP> SNMPv2-MIB : :SysObjectID

    Une réponse similaire à cet exemple s'affiche :

    SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.32015
    Dans cet exemple, vous effectuez une requête à l'aide de l'OID :

    snmpwalk -v 2c -c public < adresse IP> 1.3.6.1.2.1.1.2

    Une réponse similaire à cet exemple s'affiche :

    SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.32015 

Envoyer des notifications système à un serveur Syslog distant

L'option d'exportation Syslog vous permet d'envoyer des alertes depuis un système ExtraHop à tout système distant qui reçoit des entrées Syslog pour un archivage à long terme et une corrélation avec d'autres sources.

Un seul serveur Syslog distant peut être configuré pour chaque système ExtraHop.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Notifications.
  3. Dans le Destination dans le champ, saisissez l'adresse IP du serveur Syslog distant.
  4. À partir du Protocole liste déroulante, sélectionnez TCP ou UDP.
    Cette option spécifie le protocole par lequel les informations seront envoyées à votre serveur Syslog distant.
  5. Dans le Port dans le champ, saisissez le numéro de port de votre serveur Syslog distant.
    La valeur par défaut est 514.
  6. Cliquez Paramètres du test pour vérifier que vos paramètres Syslog sont corrects.
    Si les paramètres sont corrects, une entrée similaire à la suivante devrait apparaître dans le fichier journal Syslog du serveur Syslog :
    Jul 27 21:54:56 extrahop name="ExtraHop Test" event_id=1
  7. Cliquez Enregistrer.
  8. Facultatif : Modifiez le format des messages Syslog.
    Par défaut, les messages Syslog ne sont pas conformes à la RFC 3164 ou à la RFC 5424. Vous pouvez toutefois formater les messages Syslog pour qu'ils soient conformes en modifiant le fichier de configuration en cours d'exécution.
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajoutez une entrée sous syslog_notification, où la clé est rfc_compliant_format et la valeur est soit rfc5424 ou rfc3164.
      Le syslog_notification la section doit ressembler au code suivant :
          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "rfc_compliant_format": "rfc5424"
          }
    5. Cliquez Mettre à jour.
    6. Cliquez Terminé.
  9. Facultatif : Modifiez le fuseau horaire référencé dans les horodatages Syslog.
    Par défaut, les horodatages Syslog font référence à l'heure UTC. Vous pouvez toutefois modifier les horodatages pour faire référence à l'heure du système ExtraHop en modifiant le fichier de configuration en cours d'exécution .
    1. Cliquez Administrateur.
    2. Cliquez Configuration en cours d'exécution (modifications non enregistrées).
    3. Cliquez Modifier la configuration.
    4. Ajoutez une entrée sous syslog_notification où se trouve la clé syslog_use_localtime et la valeur est true.
      Le syslog_notification la section doit ressembler au code suivant :
          "syslog_notification": {
              "syslog_destination": "192.168.0.0",
              "syslog_ipproto": "udp",
              "syslog_port": 514,
              "syslog_use_localtime": true
          }
    5. Cliquez Mettre à jour.
    6. Cliquez Terminé.

Que faire ensuite

Après avoir vérifié que vos nouveaux paramètres fonctionnent comme prévu, conservez les modifications apportées à la configuration par le biais d'événements de redémarrage et d'arrêt du système en enregistrant le fichier de configuration en cours d'exécution.

Certificat TLS

Les certificats TLS fournissent une authentification sécurisée au système ExtraHop.

Vous pouvez désigner un certificat auto-signé pour l'authentification au lieu d'un certificat signé par une autorité de certification. Sachez toutefois qu'un certificat auto-signé génère une erreur dans le client navigateur, qui indique que l' autorité de certification signataire est inconnue. Le navigateur propose un ensemble de pages de confirmation pour approuver le certificat, même s'il est auto-signé. Les certificats auto-signés peuvent également dégrader les performances en empêchant la mise en cache dans certains navigateurs. Nous vous recommandons de créer une demande de signature de certificat depuis votre système ExtraHop et de télécharger le certificat signé à la place.

Important :Lors du remplacement d'un certificat TLS, le service du serveur Web est redémarré. Les connexions tunnelisées entre les capteurs ExtraHop et les consoles ExtraHop sont perdues puis rétablies automatiquement.

Téléchargez un certificat TLS

Vous devez télécharger un fichier .pem contenant à la fois une clé privée et un certificat auto-signé ou un certificat d'autorité de certification.

Remarque :Le fichier .pem ne doit pas être protégé par mot de passe.
Remarque :Vous pouvez également automatiser cette tâche via l' API REST.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Certificat TLS .
  3. Cliquez Gérer les certificats pour développer la section.
  4. Cliquez Choisissez un fichier et accédez au certificat que vous souhaitez télécharger.
  5. Cliquez Ouvrir.
  6. Cliquez Téléverser.

Générer un certificat auto-signé

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Certificat TLS .
  3. Cliquez Gérer les certificats pour développer la section.
  4. Cliquez Créez un certificat SSL auto-signé basé sur le nom d'hôte.
  5. Sur le Générer un certificat page, cliquez sur OK. pour générer le certificat auto-signé TLS.
    Remarque :Le nom d'hôte par défaut est extrahop.

Créez une demande de signature de certificat depuis votre système ExtraHop

Une demande de signature de certificat (CSR) est un bloc de texte codé qui est transmis à votre autorité de certification (CA) lorsque vous demandez un certificat TLS. Le CSR est généré sur le système ExtraHop où le certificat TLS sera installé et contient des informations qui seront incluses dans le certificat, telles que le nom commun (nom de domaine), l'organisation, la localité et le pays. Le CSR contient également la clé publique qui sera incluse dans le certificat. Le CSR est créé avec la clé privée du système ExtraHop, formant une paire de clés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Certificat TLS .
  3. Cliquez Gérer les certificats puis cliquez sur Exporter une demande de signature de certificat (CSR).
  4. Dans le Noms alternatifs du sujet section, saisissez le nom DNS du système ExtraHop.
    Vous pouvez ajouter plusieurs noms DNS et adresses IP à protéger par un seul certificat TLS.
  5. Dans le Sujet section, complétez les champs suivants.
    Seul le Nom commun le champ est obligatoire.
    Champ Descriptif Exemples
    Nom commun Le nom de domaine complet (FQDN) du système ExtraHop. Le nom de domaine complet doit correspondre à l'un des noms alternatifs du sujet. *.exemple.com

    découvrir.exemple.com

    Adresse e-mail Adresse e-mail du contact principal de votre organisation. webmaster@example.com
    Unité organisationnelle Division de votre organisation qui gère le certificat. Département informatique
    Organisation Le nom légal de votre organisation. Cette entrée ne doit pas être abrégée et doit inclure des suffixes tels que Inc, Corp ou LLC. Exemple, Inc.
    Localité/Ville La ville où se trouve votre organisation. Seattle
    État/province L'État ou la province où se trouve votre organisation. Cette entrée ne doit pas être abrégée. Washington
    Code du pays Le code ISO à deux lettres du pays dans lequel se trouve votre organisation. NOUS
  6. Cliquez Exporter.
    Le fichier CSR est automatiquement téléchargé sur votre ordinateur.

Que faire ensuite

Envoyez le fichier CSR à votre autorité de certification (CA) pour faire signer le CSR. Lorsque vous recevez le certificat TLS de l'autorité de certification, retournez au Certificat TLS page dans les paramètres d'administration et téléchargez le certificat dans le système ExtraHop.
Conseil :Si votre organisation exige que le CSR contienne une nouvelle clé publique, générer un certificat auto-signé pour créer de nouvelles paires de clés avant de créer le CSR.

Certificats fiables

Les certificats fiables vous permettent de valider les cibles SMTP, LDAP, HTTPS ODS et MongoDB ODS, ainsi que les connexions à l'espace de stockage des enregistrements Splunk depuis votre système ExtraHop.

Ajoutez un certificat fiable à votre système ExtraHop

Votre système ExtraHop ne fait confiance qu'aux homologues qui présentent un certificat TLS (Transport Layer Security) signé par l'un des certificats système intégrés et par tous les certificats que vous chargez. Les cibles SMTP, LDAP, HTTPS ODS et MongoDB ODS, ainsi que les connexions à l'espace de stockage des enregistrements Splunk peuvent être validées par le biais de ces certificats.

Before you begin

Vous devez vous connecter en tant qu'utilisateur disposant de privilèges d'installation ou de système et accéder à l'administration pour ajouter ou supprimer des certificats fiables.
Lorsque vous chargez un certificat sécurisé personnalisé, un chemin de confiance valide doit exister entre le certificat téléchargé et une racine auto-signée approuvée pour que le certificat soit totalement fiable. Téléchargez l'intégralité de la chaîne de certificats pour chaque certificat sécurisé ou (de préférence) assurez-vous que chaque certificat de la chaîne a été téléchargé vers le système de certificats fiables.
Important : Pour faire confiance aux certificats système intégrés et à tous les certificats chargés, vous devez également activer le chiffrement TLS ou STARTTLS et la validation des certificats lors de la configuration des paramètres du serveur externe.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres réseau section, cliquez sur Certificats fiables.
  3. Facultatif : Si vous voulez faire confiance aux certificats intégrés inclus dans le système ExtraHop, sélectionnez Certificats du système de confiance, puis cliquez sur Enregistrer.
  4. Pour ajouter votre propre certificat, cliquez Ajouter un certificat puis dans Certificat champ, collez le contenu de la chaîne de certificats codée PEM.
  5. Dans le Nom dans le champ, saisissez un nom.
  6. Cliquez Ajouter.

Paramètres d'accès

Dans le Paramètres d'accès section, vous pouvez modifier les mots de passe des utilisateurs, activer le compte d'assistance, gérer les utilisateurs locaux et les groupes d'utilisateurs, configurer l' authentification à distance et gérer l'accès à l'API.

Politiques mondiales

Les administrateurs peuvent configurer des politiques globales qui s'appliquent à tous les utilisateurs qui accèdent au système.

Politique de mot de passe

  • Choisissez entre deux politiques de mot de passe : la politique de mot de passe par défaut de 5 caractères ou plus ou une politique de mot de passe stricte et plus sécurisée qui comporte les restrictions suivantes :
    • 8 caractères ou plus
    • Caractères majuscules et minuscules
    • Au moins un chiffre
    • Au moins un symbole
    Remarque :Si vous sélectionnez une politique de mot de passe stricte de 8 caractères ou plus, les mots de passe expireront tous les 60 jours.

Contrôle d'édition des groupes d'appareils

  • Contrôlez si les utilisateurs privilèges d'écriture limités peut créer et modifier des groupes d'équipements. Lorsque cette politique est sélectionnée, tous les utilisateurs à écriture limitée peuvent créer des groupes d'appareils et ajouter d'autres utilisateurs à écriture limitée en tant qu'éditeurs à leurs groupes d'appareils.

Tableau de bord par défaut

  • Spécifiez le tableau de bord que les utilisateurs voient lorsqu'ils se connectent au système. Seuls les tableaux de bord partagés avec tous les utilisateurs peuvent être définis par défaut par défaut. Les utilisateurs peuvent modifier ce paramètre par défaut depuis le menu de commande de n'importe quel tableau de bord.

Mot de passe d'extraction de fichiers

Mots de passe

Les utilisateurs disposant de privilèges d'accès à la page Administration peuvent modifier le mot de passe des comptes utilisateurs locaux.

  • Sélectionnez n'importe quel utilisateur et modifiez son mot de passe
    • Vous ne pouvez modifier les mots de passe que pour les utilisateurs locaux. Vous ne pouvez pas modifier les mots de passe des utilisateurs authentifiés via LDAP ou d'autres serveurs d'authentification à distance.

Pour plus d'informations sur les privilèges accordés à des utilisateurs et à des groupes spécifiques de la page Administration, consultez Les utilisateurs section.

Modifier le mot de passe par défaut de l'utilisateur chargé de l'installation

Il est recommandé de modifier le mot de passe par défaut de l'utilisateur configuré sur le système ExtraHop après votre première connexion. Pour rappeler aux administrateurs d'effectuer cette modification, il y a un bleu Changer le mot de passe bouton en haut de la page lorsque l'utilisateur chargé de l'installation accède aux paramètres d'administration. Une fois le mot de passe utilisateur de configuration modifié, le bouton en haut de la page n'apparaît plus.

Remarque :Le mot de passe doit comporter au moins 5 caractères.
  1. Dans le Paramètres d'administration, cliquez sur le bleu Modifier le mot de passe par défaut bouton.
    La page Mot de passe s'affiche sans la liste déroulante des comptes. Le mot de passe sera modifié uniquement pour l'utilisateur chargé de l'installation.
  2. Dans le Ancien mot de passe dans ce champ, saisissez le mot de passe par défaut.
  3. Dans le Nouveau mot de passe dans le champ, saisissez le nouveau mot de passe.
  4. Dans le Confirmer le mot de dans le champ, saisissez à nouveau le nouveau mot de passe.
  5. Cliquez Enregistrer.

Accès au support

Les comptes d'assistance permettent à l'équipe d'assistance ExtraHop d'aider les clients à résoudre les problèmes liés au système ExtraHop.

Ces paramètres ne doivent être activés que si l'administrateur du système ExtraHop demande une assistance pratique à l'équipe de support ExtraHop.

Générer une clé SSH

Générez une clé SSH pour permettre à ExtraHop Support de se connecter à votre système ExtraHop lorsque accès à distance est configuré via Services cloud ExtraHop.
  1. Dans le Paramètres d'accès section, cliquez sur Accès au support.
  2. Cliquez Générer une clé SSH.
  3. Copiez la clé cryptée depuis la zone de texte et envoyez-la par e-mail à votre représentant ExtraHop.
  4. Cliquez Terminé.

Régénérer ou révoquer la clé SSH

Pour empêcher l'accès SSH au système ExtraHop avec une clé SSH existante, vous pouvez révoquer la clé SSH actuelle. Une nouvelle clé SSH peut également être régénérée si nécessaire.

  1. Dans le Paramètres d'accès section, cliquez Accès au support.
  2. Cliquez Générer une clé SSH.
  3. Choisissez l'une des options suivantes :
    • Cliquez Régénérer la clé SSH puis cliquez sur Régénérer.

      Copiez la clé cryptée depuis la zone de texte et envoyez-la par e-mail à votre représentant ExtraHop, puis cliquez sur Terminé.

    • Cliquez Révoquer la clé SSH pour empêcher l'accès SSH au système avec la clé actuelle.

Utilisateurs

La page Utilisateurs vous permet de contrôler l'accès local à l' appliance ExtraHop.

Utilisateurs et groupes d'utilisateurs

Les utilisateurs peuvent accéder au système ExtraHop de trois manières : via un ensemble de comptes utilisateur préconfigurés, via des comptes utilisateurs locaux configurés sur l'appliance ou via des comptes utilisateurs distants configurés sur des serveurs d'authentification existants, tels que LDAP, SAML, Radius et TACACS+.

Vidéo :Consultez les formations associées :
Utilisateurs locaux

Cette rubrique concerne les comptes locaux et par défaut. Voir Authentification à distance pour savoir comment configurer des comptes distants.

Les comptes suivants sont configurés par défaut sur les systèmes ExtraHop mais n'apparaissent pas dans la liste des noms de la page Utilisateurs. Ces comptes ne peuvent pas être supprimés et vous devez modifier le mot de passe par défaut lors de la connexion initiale.
installation
Ce compte fournit des privilèges complets de lecture et d'écriture du système à l' interface utilisateur basée sur le navigateur et à l'interface de ligne de commande (CLI) ExtraHop. Sur le plan physique capteurs, le mot de passe par défaut pour ce compte est le numéro de série inscrit sur le devant de l' appliance. Sur le virtuel capteurs, le mot de passe par défaut est default.
coquille
Le shell Le compte, par défaut, a accès aux commandes shell non administratives dans l'interface de ligne de commande ExtraHop. Sur les capteurs physiques, le mot de passe par défaut pour ce compte est le numéro de série inscrit sur le devant de l'appliance. Sur les capteurs virtuels, le mot de passe par défaut est default.
Remarque :Le mot de passe ExtraHop par défaut pour l'un ou l'autre des comptes lorsqu'il est déployé dans Amazon Web Services (AWS) et Google Cloud Platform (GCP) est l'ID d'instance de la machine virtuelle.
Authentification à distance

Le système ExtraHop prend en charge l'authentification à distance pour l'accès des utilisateurs. L'authentification à distance permet aux organisations dotées de systèmes d'authentification tels que LDAP (OpenLDAP ou Active Directory, par exemple) de permettre à tous leurs utilisateurs ou à un sous-ensemble de leurs utilisateurs de se connecter au système avec leurs informations dcredentiatives existantes.

L'authentification centralisée offre les avantages suivants :

  • Synchronisation du mot de passe utilisateur.
  • Création automatique de comptes ExtraHop pour les utilisateurs sans intervention de l'administrateur.
  • Gestion des privilèges ExtraHop en fonction des groupes d'utilisateurs.
  • Les administrateurs peuvent accorder l'accès à tous les utilisateurs connus ou restreindre l'accès en appliquant des filtres LDAP .
Utilisateurs distants

Si votre système ExtraHop est configuré pour l'authentification à distance SAML ou LDAP, vous pouvez créer un compte pour ces utilisateurs distants. La préconfiguration des comptes sur le système ExtraHop pour les utilisateurs distants vous permet de partager les personnalisations du système avec ces utilisateurs avant qu'ils ne se connectent.

Si vous choisissez de provisionner automatiquement les utilisateurs lorsque vous configurez l'authentification SAML, l'utilisateur est automatiquement ajouté à la liste des utilisateurs locaux lorsqu'il se connecte pour la première fois. Cependant, vous pouvez créer un compte utilisateur SAML distant sur le système ExtraHop lorsque vous souhaitez approvisionner un utilisateur distant avant que celui-ci ne se soit connecté au système. Les privilèges sont attribués à l'utilisateur par le fournisseur. Une fois l'utilisateur créé, vous pouvez l'ajouter aux groupes d'utilisateurs locaux.

Groupes d'utilisateurs

Les groupes d'utilisateurs vous permettent de gérer l'accès au contenu partagé par groupe plutôt que par utilisateur individuel. Les objets personnalisés tels que les cartes d'activités peuvent être partagés avec un groupe d'utilisateurs, et tout utilisateur ajouté au groupe y a automatiquement accès. Vous pouvez créer un groupe d'utilisateurs local, qui peut inclure des utilisateurs locaux et distants. Sinon, si votre système ExtraHop est configuré pour l'authentification à distance via LDAP, vous pouvez configurer les paramètres pour importer vos groupes d'utilisateurs LDAP.

  • Cliquez Créer un groupe d'utilisateurs pour créer un groupe local. Le groupe d'utilisateurs apparaît dans la liste. Ensuite, cochez la case à côté du nom du groupe d'utilisateurs et sélectionnez les utilisateurs dans Filtrer les utilisateurs... liste déroulante. Cliquez Ajouter des utilisateurs au groupe.
  • (LDAP uniquement) Cliquez sur Actualiser tous les groupes d'utilisateurs ou sélectionnez plusieurs groupes d' utilisateurs LDAP et cliquez sur Actualiser les utilisateurs dans les groupes.
  • Cliquez Réinitialiser le groupe d'utilisateurs pour supprimer tout le contenu partagé d'un groupe d'utilisateurs sélectionné. Si le groupe n'existe plus sur le serveur LDAP distant, il est supprimé de la liste des groupes d'utilisateurs.
  • Cliquez Activer le groupe d'utilisateurs ou Désactiver le groupe d'utilisateurs pour contrôler si un membre du groupe peut accéder au contenu partagé pour le groupe d'utilisateurs sélectionné.
  • Cliquez Supprimer le groupe d'utilisateurs pour supprimer le groupe d'utilisateurs sélectionné du système.
  • Consultez les propriétés suivantes pour les groupes d'utilisateurs répertoriés :
    Nom du groupe
    Affiche le nom du groupe. Pour afficher les membres du groupe, cliquez sur le nom du groupe.
    Type
    Affiche le type de groupe d'utilisateurs local ou distant.
    Membres
    Affiche le nombre d'utilisateurs du groupe.
    Contenu partagé
    Affiche le nombre d'objets créés par l'utilisateur qui sont partagés avec le groupe.
    État
    Indique si le groupe est activé ou désactivé sur le système. Lorsque le statut est Disabled, le groupe d'utilisateurs est considéré comme vide lors des vérifications d'adhésion ; toutefois, le groupe d'utilisateurs peut toujours être spécifié lors du partage de contenu.
    Membres actualisés (LDAP uniquement)
    Affiche le temps écoulé depuis que l'adhésion au groupe a été actualisée. Les groupes d'utilisateurs sont actualisés dans les conditions suivantes :
    • Une fois par heure, par défaut. Le réglage de l'intervalle de rafraîchissement peut être modifié sur le Authentification à distance > Paramètres LDAP page.
    • Un administrateur actualise un groupe en cliquant sur Actualiser tous les groupes d'utilisateurs ou Actualiser les utilisateurs du groupe, ou par programmation via l'API REST. Vous pouvez actualiser un groupe à partir du Groupe d'utilisateurs ou depuis la page Liste des membres page.
    • Un utilisateur distant se connecte au système ExtraHop pour la première fois.
    • Un utilisateur tente de charger un tableau de bord partagé auquel il n'a pas accès.
Privilèges utilisateur

Les administrateurs déterminent le niveau d'accès au module pour les utilisateurs du système ExtraHop.

Pour plus d'informations sur les privilèges utilisateur pour l'API REST, consultez le Guide de l'API REST.

Pour plus d'informations sur les privilèges des utilisateurs distants, consultez les guides de configuration pour LDAP, RAYON, SAML, et TACACS+.

Niveaux de privilèges

Définissez le niveau de privilège de votre utilisateur afin de déterminer les zones du système ExtraHop auxquelles il peut accéder.

Privilèges d'accès aux modules
Ces privilèges déterminent les fonctionnalités auxquelles les utilisateurs peuvent accéder dans le système ExtraHop. Les administrateurs peuvent accorder aux utilisateurs un accès basé sur les rôles à l'un ou à l'ensemble des modules Network Detection and Response (NDR), Network Performance and Monitoring (NPM) et Packet Forensics. Une licence de module est requise pour accéder aux fonctionnalités du module.
Accès au module NDR
Permet à l'utilisateur d'accéder à des fonctionnalités de sécurité telles que la détection des attaques, les enquêtes et les briefings sur les menaces.
Accès au module NPM
Permet à l'utilisateur d'accéder à des fonctionnalités de performance telles que la détection des opérations et la possibilité de créer des tableaux de bord personnalisés.
Accès aux paquets et aux clés de session
Permet à l'utilisateur de visualiser et de télécharger des paquets et des clés de session, des paquets uniquement, des en-têtes de paquets uniquement ou des tranches de paquets uniquement. Permet également à l'utilisateur d'extraire les fichiers associés aux paquets.
Privilèges d'accès au système

Ces privilèges déterminent le niveau de fonctionnalité dont disposent les utilisateurs dans les modules auxquels l'accès leur a été accordé.

Pour RevealX Enterprise, les utilisateurs disposant de privilèges d'accès au système et d' administration peuvent accéder à toutes les fonctionnalités, à tous les paquets et à toutes les clés de session de leurs modules sous licence.

Pour RevealX 360, les privilèges d'accès au système et d'administration, l'accès aux modules sous licence, aux paquets et aux clés de session doivent être attribués séparément. RevealX 360 propose également un compte d'administration système supplémentaire qui accorde tous les privilèges du système, à l'exception de la possibilité de gérer les utilisateurs et l'accès aux API.

Le tableau suivant contient les fonctionnalités d'ExtraHop et leurs privilèges requis. Si aucune exigence de module n'est notée, la fonctionnalité est disponible à la fois dans les modules NDR et NDM.

  Administration des systèmes et des accès Administration du système (RevealX 360 uniquement) Écriture complète Écriture limitée Rédaction personnelle Lecture seule complète Lecture seule restreinte
Cartes d'activités  
Créez, visualisez et chargez des cartes d'activités partagées Y Y Y Y Y Y N
Enregistrer des cartes d'activité Y Y Y Y Y N N
Partagez des cartes d'activités Y Y Y Y N N N
Alertes Licence et accès au module NPM requis.
Afficher les alertes Y Y Y Y Y Y Y
Création et modification d'alertes Y Y Y N N N N
Priorités d'analyse  
Afficher la page Priorités d'analyse Y Y Y Y Y Y N
Ajouter et modifier des niveaux d'analyse pour les groupes Y Y Y N N N N
Ajouter des appareils à une liste de surveillance Y Y Y N N N N
Gestion des priorités de transfert Y Y Y N N N N
Lots  
Création d'un bundle Y Y Y N N N N
Téléchargez et appliquez un bundle Y Y Y N N N N
Téléchargez un bundle Y Y Y Y Y N N
Afficher la liste des offres groupées Y Y Y Y Y Y N
Tableaux de bord Licence et accès au module NPM requis pour créer et modifier des tableaux de bord.
Afficher et organiser les tableaux de bord Y Y Y Y Y Y Y
Création et modification de tableaux de bord Y Y Y Y Y N N
Partagez des tableaux de bord Y Y Y Y N N N
Détections Licence et accès au module NDR nécessaires pour visualiser et régler les détections de sécurité et créer des enquêtes.

Licence et accès au module NPM requis pour afficher et régler les détections de performances.

Afficher les détections Y Y Y Y Y Y Y
Reconnaître les détections Y Y Y Y Y N N
Modifier l'état de détection et les notes Y Y Y Y N N N
Création et modification d'enquêtes Y Y Y Y N N N
Création et modification de règles d'exceptions Y Y Y N N N N
Groupes d'appareils Les administrateurs peuvent configurer le Politique globale de contrôle des modifications des groupes d'appareils pour spécifier si les utilisateurs disposant de privilèges d'écriture limités peuvent créer et modifier des groupes d'équipements.
Création et modification de groupes d'équipements Y Y Y Y (Si la politique de privilèges globale est activée) N N N
Intégrations RevealX 360 uniquement
Configuration et modification des intégrations Y Y N N N N N
Métriques  
Afficher les statistiques Y Y Y Y Y Y N
Règles de notification Licence et accès au module NDR requis pour créer et modifier des notifications pour les détections de sécurité, le catalogue des détections de sécurité et les briefings sur les menaces.

Licence et accès au module NPM requis pour créer et modifier des notifications pour les détections de performances et le catalogue de détection des performances.

Création et modification de règles de notification de détection Y Y Y N N N N
Création et modification de règles de notification de détection pour les intégrations SIEM (RevealX 360 uniquement) Y Y N N N N N
Création et modification des règles de notification du catalogue de détection Y Y Y N N N N
Création et modification des règles de notification des informations sur les menaces Y Y Y N N N N
Création et modification des règles de notification du système Y Y N N N N N
Disques Disquaire requis.
Afficher les requêtes d'enregistrement Y Y Y Y Y Y N
Afficher les formats d'enregistrement Y Y Y Y Y Y N
Créer, modifier et enregistrer des requêtes d'enregistrement Y Y Y N N N N
Création, modification et enregistrement de formats d'enregistrement Y Y Y N N N N
Rapports planifiés Console requise.
Créez, consultez et gérez des rapports planifiés Y Y Y Y N N N
Renseignements sur les menaces Licence et accès au module NDR requis.
Configuration des filtres de hachage de fichiers Y Y N N N N N
Gérez les collections de menaces Y Y N N N N N
Gérer les flux TAXII Y Y N N N N N
Afficher les renseignements sur les menaces Y Y Y Y Y Y N
éléments déclencheurs  
Création et modification de déclencheurs Y Y Y N N N N
Privilèges administratifs  
Accédez aux paramètres d'administration d'ExtraHop Y Y N N N N N
Connexion à d'autres appareils Y Y N N N N N
Gérer les autres appareils (console) Y Y N N N N N
Gérez les utilisateurs et l'accès aux API Y N N N N N N

Ajouter un compte utilisateur local

En ajoutant un compte utilisateur local, vous pouvez fournir aux utilisateurs un accès direct à votre système ExtraHop et restreindre leurs privilèges en fonction de leur rôle dans votre organisation.

Pour en savoir plus sur les comptes utilisateur système par défaut, voir Utilisateurs locaux.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Utilisateurs.
  3. Cliquez Ajouter un utilisateur.
  4. Dans le Informations personnelles section, dans le champ Identifiant de connexion, saisissez le nom d'utilisateur avec lequel les utilisateurs se connecteront à la sonde, qui ne doit pas contenir d'espaces.
    Par exemple, dentelle adalovelac.
  5. Dans le champ Nom complet, saisissez le nom d'affichage de l'utilisateur.
    Le nom peut contenir des espaces. Par exemple, Ada Lovelace.
  6. Dans le champ Mot de passe, saisissez le mot de passe de ce compte.
    Remarque :Sur les capteurs et les consoles, le mot de passe doit répondre aux critères spécifiés par politique de mot de passe globale. Sur les magasins d'enregistrements et de paquets ExtraHop, les mots de passe doivent comporter 5 caractères ou plus.
  7. Dans le champ Confirmer le mot de passe, saisissez à nouveau le mot de passe dans Mot de passe champ.
  8. Dans le Type d'authentification section, sélectionnez Local.
  9. Dans le Type d'utilisateur section, sélectionnez le type de privilèges pour l'utilisateur.
    • Les privilèges d'administration du système et des accès permettent un accès complet en lecture et en écriture au système ExtraHop, y compris aux paramètres d'administration.
    • Les privilèges limités vous permettent de choisir parmi un sous-ensemble de privilèges et d' options.
    Remarque :Pour plus d'informations, consultez le Privilèges utilisateur section.
  10. Cliquez Enregistrer.
Conseil :
  • Pour modifier les paramètres d'un utilisateur, cliquez sur le nom d'utilisateur dans la liste pour faire apparaître le Modifier page utilisateur.
  • Pour supprimer un compte utilisateur, cliquez sur le bouton rouge X icône. Si vous supprimez un utilisateur d'un serveur d'authentification distant, tel que LDAP, vous devez également supprimer l'entrée correspondant à cet utilisateur sur le système ExtraHop.

Ajouter un compte pour un utilisateur distant

Ajoutez un compte utilisateur pour les utilisateurs LDAP ou SAML lorsque vous souhaitez provisionner l'utilisateur distant avant que celui-ci ne se connecte au système ExtraHop. Une fois l'utilisateur ajouté au système, vous pouvez l'ajouter à des groupes locaux ou partager des éléments directement avec lui avant qu'il ne se connecte via le fournisseur LDAP ou SAML.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Utilisateurs.
  3. Cliquez Ajouter un utilisateur.
  4. Dans le Informations personnelles section, saisissez les informations suivantes :

    ID de connexion: L'adresse e-mail avec laquelle l'utilisateur se connecte à son fournisseur d'identité LDAP ou SSO SAML.

    Remarque :Seules les adresses e-mail en minuscules sont prises en charge pour les utilisateurs distants.

    Nom complet: Le prénom et le nom de famille de l'utilisateur.

  5. Dans le Type d'authentification section, sélectionnez télécommande.
  6. Cliquez Enregistrer.

Séances

Le système ExtraHop fournit des commandes pour afficher et supprimer les connexions utilisateur à l' interface Web. Le Séances la liste est triée par date d'expiration, qui correspond à la date d'établissement des sessions. Si une session expire ou est supprimée, l'utilisateur doit se reconnecter pour accéder à l'interface Web.

Authentification à distance

Le système ExtraHop prend en charge l'authentification à distance pour l'accès des utilisateurs. L'authentification à distance permet aux organisations dotées de systèmes d'authentification tels que LDAP (OpenLDAP ou Active Directory, par exemple) de permettre à tous leurs utilisateurs ou à un sous-ensemble de leurs utilisateurs de se connecter au système avec leurs informations dcredentiatives existantes.

L'authentification centralisée offre les avantages suivants :

  • Synchronisation du mot de passe utilisateur.
  • Création automatique de comptes ExtraHop pour les utilisateurs sans intervention de l'administrateur.
  • Gestion des privilèges ExtraHop en fonction des groupes d'utilisateurs.
  • Les administrateurs peuvent accorder l'accès à tous les utilisateurs connus ou restreindre l'accès en appliquant des filtres LDAP .

Configuration de l'authentification à distance via LDAP

Le système ExtraHop prend en charge le protocole LDAP (Lightweight Directory Access Protocol) pour l'authentification et l'autorisation. Au lieu de stocker localement les informations d_identification de l_utilisateur, vous pouvez configurer votre système ExtraHop pour authentifier les utilisateurs à distance auprès d'un serveur LDAP existant. Notez que l'authentification LDAP ExtraHop ne demande que les comptes utilisateurs ; elle n' interroge aucune autre entité susceptible de figurer dans l'annuaire LDAP.

Before you begin

  • Cette procédure nécessite de connaître la configuration du LDAP.
  • Assurez-vous que chaque utilisateur appartient à un groupe d'autorisations spécifique sur le serveur LDAP avant de commencer cette procédure .
  • Si vous souhaitez configurer des groupes LDAP imbriqués, vous devez modifier le fichier de configuration en cours d'exécution. Contacter Assistance ExtraHop pour obtenir de l'aide.

Lorsqu'un utilisateur tente de se connecter à un système ExtraHop, le système ExtraHop essaie d' authentifier l'utilisateur de la manière suivante :

  • Tente d'authentifier l'utilisateur localement.
  • Tente d'authentifier l'utilisateur via le serveur LDAP s'il n'existe pas localement et si le système ExtraHop est configuré pour l'authentification à distance avec LDAP.
  • Connecte l'utilisateur au système ExtraHop s'il existe et si le mot de passe est validé localement ou via LDAP. Le mot de passe LDAP n'est pas stocké localement sur le système ExtraHop. Notez que vous devez saisir le nom d'utilisateur et le mot de passe au format pour lequel votre serveur LDAP est configuré. Le système ExtraHop ne transmet les informations qu'au serveur LDAP.
  • Si l'utilisateur n'existe pas ou si un mot de passe incorrect est saisi, un message d'erreur s'affiche sur la page de connexion.
Important :Si vous modifiez ultérieurement l'authentification LDAP pour une autre méthode dauthentification à distance, les utilisateurs, les groupes d'utilisateurs et les personnalisations associées qui ont été créés par le biais de l'authentification à distance sont supprimés. Les utilisateurs locaux ne sont pas concernés.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Authentification à distance.
  3. À partir du méthode dʼauthentification à distance liste déroulante, sélectionnez LDAP puis cliquez sur Continuer.
  4. Sur le Paramètres LDAP page, complétez les champs d' informations sur le serveur suivants :
    1. Dans le Nom d'hôte dans le champ, saisissez le nom d'hôte ou l'adresse IP du serveur LDAP. Si vous configurez un nom d'hôte, assurez-vous que l'entrée DNS du système ExtraHop est correctement configurée.
    2. Dans le Port dans le champ, saisissez le numéro de port sur lequel le serveur LDAP écoute.
    3. À partir du Type de serveur liste déroulante, sélectionnez Posix ou Active Directory.
    4. Facultatif : Dans le Lier le DN dans le champ, saisissez le DN de liaison. Le DN de liaison est constitué des informations dʼidentification de lʼutilisateur qui vous permettent de vous authentifier auprès du serveur LDAP pour effectuer la recherche des utilisateurs. Le DN de liaison doit disposer d'un accès par liste au DN de base et à toute unité d'organisation, à tout groupe ou à tout compte utilisateur requis pour l'authentification LDAP . Si cette valeur n'est pas définie, une liaison anonyme est effectuée. Notez que les liaisons anonymes ne sont pas activées sur tous les serveurs LDAP.
    5. Facultatif : Dans le Mot de passe de liaison dans le champ, saisissez le mot de passe de liaison. Le mot de passe de liaison est le mot de passe requis lors de l'authentification auprès du serveur LDAP en tant que DN de liaison spécifié ci-dessus. Si vous configurez une liaison anonyme, laissez ce champ vide. Dans certains cas, une liaison non authentifiée est possible, lorsque vous fournissez une valeur de DN de liaison mais aucun mot de passe de liaison. Consultez votre administrateur LDAP pour connaître les paramètres appropriés .
    6. À partir du Chiffrement dans la liste déroulante, sélectionnez l'une des options de chiffrement suivantes.

      Aucune: Cette option spécifie les sockets TCP en texte clair. Dans ce mode, tous les mots de passe sont envoyés sur le réseau en texte clair.

      LDAPS: Cette option spécifie le protocole LDAP encapsulé dans le protocole TLS.

      Démarrer TLS: Cette option spécifie le protocole TLS LDAP. (Le protocole TLS est négocié avant l'envoi de tout mot de passe.)

    7. Sélectionnez Valider les certificats SSL pour activer la validation des certificats. Si vous sélectionnez cette option, le certificat du point de terminaison distant est validé par rapport aux certificats racine, comme spécifié par le gestionnaire de certificats de confiance. Vous devez configurer les certificats auxquels vous souhaitez faire confiance sur la page Certificats sécurisés. Pour plus d'informations, voir Ajoutez un certificat fiable à votre système ExtraHop.
    8. Dans le Intervalle de rafraîchissement dans ce champ, saisissez une valeur de temps ou laissez le réglage par défaut de 1 heure.
      L'intervalle d'actualisation garantit que toutes les modifications apportées à l' accès des utilisateurs ou des groupes sur le serveur LDAP sont mises à jour sur le système ExtraHop.
  5. Configurez les paramètres utilisateur suivants :
    1. Dans le DN de base dans le champ, saisissez le nom distinctif (DN) de base.
      Le DN de base est le point à partir duquel un serveur recherche des utilisateurs. Le DN de base doit contenir tous les comptes utilisateurs qui auront accès au système ExtraHop. Les utilisateurs peuvent être membres directs du DN de base ou être imbriqués dans une unité d'organisation au sein du DN de base si Sous-arbre entier l'option est sélectionnée pour Champ de recherche spécifié ci-dessous.
    2. Dans le Filtre de recherche champ, saisissez un filtre de recherche.
      Les filtres de recherche vous permettent de définir des critères de recherche lorsque vous recherchez des comptes utilisateurs dans l'annuaire LDAP.
      Important :Le système ExtraHop ajoute automatiquement des parenthèses pour envelopper le filtre et n'analysera pas correctement ce paramètre si vous ajoutez des parenthèses manuellement. Ajoutez vos filtres de recherche à cette étape et à l'étape 5b, comme dans l'exemple suivant :
      cn=atlas*
      |(cn=EH-*)(cn=IT-*)
      De plus, si les noms de vos groupes comportent un astérisque (*), celui-ci doit être supprimé car
      \2a. Par exemple, si votre groupe possède un CN appelé test*group, tapez cn=test\2agroup dans le champ Filtre de recherche.
    3. À partir du Champ de recherche dans la liste déroulante, sélectionnez l'une des options suivantes.
      L'étendue de recherche spécifie l'étendue de la recherche dans l'annuaire lors de la recherche d'entités utilisateur.

      Sous-arbre entier: Cette option recherche de manière récursive le DN du groupe pour les utilisateurs correspondants.

      Niveau unique: Cette option recherche uniquement les utilisateurs qui existent dans le DN de base, pas les sous-arbres.

  6. Facultatif : Pour importer des groupes d'utilisateurs, sélectionnez Importer des groupes d'utilisateurs depuis le serveur LDAP case à cocher et configurez les paramètres suivants.
    Remarque :L'importation de groupes d'utilisateurs LDAP vous permet de partager des tableaux de bord avec ces groupes. Les groupes importés apparaissent sur la page Groupes d'utilisateurs dans les paramètres d'administration.
    1. Dans le DN de base champ, saisissez le DN de base.
      Le DN de base est le point à partir duquel un serveur recherche des groupes d'utilisateurs. Le DN de base doit contenir tous les groupes d'utilisateurs qui auront accès au système ExtraHop. Les groupes d'utilisateurs peuvent être membres directs du DN de base ou imbriqués dans une unité d'organisation au sein du DN de base si Sous-arbre entier l'option est sélectionnée pour Champ de recherche spécifié ci-dessous.
    2. Dans le Filtre de recherche dans ce champ, saisissez un filtre de recherche.
      Les filtres de recherche vous permettent de définir des critères de recherche lorsque vous recherchez des groupes d'utilisateurs dans l'annuaire LDAP.
      Important :Pour les filtres de recherche de groupe, le système ExtraHop filtre implicitement sur le objectclass=group, et objectclass=group ne doit donc pas être ajouté à ce filtre.
    3. À partir du Champ de recherche dans la liste déroulante, sélectionnez l'une des options suivantes.
      L'étendue de recherche spécifie l'étendue de la recherche dans l'annuaire lors de la recherche d'entités de groupes d'utilisateurs.

      Sous-arbre entier: Cette option recherche de manière récursive le DN de base pour les groupes d'utilisateurs correspondants.

      Niveau unique: Cette option recherche les groupes d'utilisateurs qui existent dans le DN de base, mais pas les sous-arbres.

  7. Cliquez Paramètres du test.
    Si le test réussit, un message d'état apparaît en bas de la page. Si le test échoue, cliquez sur Afficher les détails pour afficher la liste des erreurs. Vous devez corriger toutes les erreurs avant de continuer.
  8. Cliquez Enregistrer et continuer.
Configuration des privilèges utilisateur pour l'authentification à distance

Vous pouvez attribuer des privilèges d'utilisateur à des utilisateurs individuels sur votre système ExtraHop ou configurer et gérer des privilèges via votre serveur LDAP.

Lorsque vous attribuez des privilèges utilisateur via LDAP, vous devez remplir au moins un des champs de privilèges utilisateur disponibles. Ces champs nécessitent des groupes (et non des unités organisationnelles) qui sont prédéfinis sur votre serveur LDAP. Un compte utilisateur avec accès doit être membre direct d'un groupe spécifié. Les comptes utilisateurs qui ne sont pas membres d'un groupe spécifié ci-dessus n'y auront pas accès. Les groupes absents ne sont pas authentifiés sur le système ExtraHop.

Le système ExtraHop prend en charge les appartenances aux groupes Active Directory et POSIX. Pour Active Directory, memberOf est pris en charge. Pour POSIX, memberuid, posixGroups, groupofNames, et groupofuniqueNames sont pris en charge.

  1. Choisissez l'une des options suivantes dans Options d'attribution de privilèges liste déroulante :
    • Obtenir le niveau de privilèges depuis un serveur distant

      Cette option attribue des privilèges via votre serveur d'authentification à distance. Vous devez remplir au moins l'un des champs de nom distinctif (DN) suivants.

      DN d'administration du système et des accès: Créez et modifiez tous les objets et paramètres du système ExtraHop, y compris les paramètres d'administration.

      DN d'écriture complète: Créez et modifiez des objets sur le système ExtraHop, à l'exception des paramètres d' administration.

      DN à écriture limitée: Créez, modifiez et partagez des tableaux de bord.

      DN d'écriture personnel: Créez des tableaux de bord personnels et modifiez les tableaux de bord partagés avec l'utilisateur connecté.

      DN complet en lecture seule: Afficher les objets dans le système ExtraHop.

      DN en lecture seule restreint: Afficher les tableaux de bord partagés avec l'utilisateur connecté.

      DN d'accès aux tranches de paquets: Affichez et téléchargez les 64 premiers octets de paquets capturés via l'appliance ExtraHop Trace.

      DN d'accès aux paquets: Affichez et téléchargez les paquets capturés via l'appliance ExtraHop Trace .

      DN d'accès aux clés de paquets et de session: Affichez et téléchargez les paquets et toutes les clés de session TLS associées capturées via l'appliance ExtraHop Trace.

      DN d'accès au module NDR: Afficher, accuser réception et masquer les détections de sécurité qui apparaissent dans le système ExtraHop.

      DN d'accès au module NPM: Affichez, confirmez et masquez les détections de performances qui apparaissent dans le système ExtraHop.

    • Les utilisateurs distants disposent d'un accès complet en écriture

      Cette option accorde aux utilisateurs distants un accès complet en écriture au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.

    • Les utilisateurs distants disposent d'un accès complet en lecture seule

      Cette option permet aux utilisateurs distants d'accéder en lecture seule au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.

  2. Facultatif : Configurez l'accès aux paquets et aux clés de session. Sélectionnez l'une des options suivantes pour permettre aux utilisateurs distants de télécharger des captures de paquets et des clés de session TLS.
    • Pas d'accès
    • Tranches en sachets uniquement
    • Paquets uniquement
    • Paquets et clés de session
  3. Facultatif : Configurez l'accès aux modules NDR et NPM.
    • Pas d'accès
    • Accès complet
  4. Cliquez Enregistrer et terminer.
  5. Cliquez Terminé.

Configuration de l'authentification à distance via SAML

Vous pouvez configurer une authentification unique (SSO) sécurisée pour le système ExtraHop via un ou plusieurs fournisseurs d'identité SAML (Security Assertion Markup Language).

Vidéo :Consultez la formation associée : Authentification SSO

Lorsqu'un utilisateur se connecte à un système ExtraHop configuré en tant que fournisseur de services (SP) pour l'authentification SSO SAML, le système ExtraHop demande l'autorisation au fournisseur d'identité (IdP) approprié. Le fournisseur d'identité authentifie les informations dcredentiation de l'utilisateur, puis renvoie l'autorisation de l'utilisateur au système ExtraHop. L'utilisateur peut alors accéder au système ExtraHop.

Les guides de configuration pour des fournisseurs d'identité spécifiques sont liés ci-dessous. Si votre fournisseur ne figure pas dans la liste, appliquez les paramètres requis par le système ExtraHop à votre fournisseur d'identité.

Les fournisseurs d'identité doivent répondre aux critères suivants :

  • SAML 2.0
  • Supporte les flux de connexion initiés par le SP. Les flux de connexion initiés par l'IdP ne sont pas pris en charge.
  • Prise en charge des réponses SAML signées
  • Supporte la liaison de redirection HTTP

L'exemple de configuration présenté dans cette procédure permet d'accéder au système ExtraHop par le biais d'attributs de groupe.

Si votre fournisseur d'identité ne prend pas en charge les déclarations d'attributs de groupe, configurez les attributs utilisateur avec les privilèges appropriés pour l'accès aux modules, l'accès au système et l'analyse des paquets .

Activer l'authentification à distance SAML

Before you begin

Avertissement :Si votre système est déjà configuré avec une méthode d'authentification à distance, la modification de ces paramètres supprimera tous les utilisateurs et les personnalisations associées créées via cette méthode, et les utilisateurs distants ne pourront pas accéder au système. Les utilisateurs locaux ne sont pas concernés.
Vous pouvez activer l'authentification à distance avec SAML sur ce système ExtraHop.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Authentification à distance.
  3. À partir du méthode dʼauthentification à distance liste déroulante, sélectionnez SAML.
  4. Cliquez Continuer.
  5. Cliquez Afficher les métadonnées SP pour afficher l'URL du service ACS (Assertion Consumer Service) et l'ID d'entité du système ExtraHop.
    Ces chaînes sont requises par votre fournisseur d'identité pour configurer l' authentification SSO. Vous pouvez également faire défiler la page vers le bas pour télécharger les métadonnées sous forme de fichier XML que vous pouvez importer dans la configuration de votre fournisseur d'identité.
    Remarque :L'URL ACS inclut le nom d'hôte configuré dans les paramètres réseau. Si l'URL ACS contient un nom d'hôte inaccessible, tel que le nom d'hôte du système par défaut extrahop, vous devez modifier l'URL lorsque vous ajoutez l'URL ACS à votre fournisseur d'identité et spécifier le nom de domaine complet (FQDN) du système ExtraHop.
  6. Cliquez Ajouter un fournisseur d'identité.
  7. Dans le Nom du fournisseur dans ce champ, saisissez un nom pour identifier votre fournisseur d'identité spécifique.
    Ce nom apparaît sur la page de connexion au système ExtraHop après la connexion avec texte.
  8. Dans le Identifiant de l'entité dans ce champ, collez l'ID d'entité fourni par votre fournisseur d'identité.
  9. Dans le URL SSO dans ce champ, collez l'URL d'authentification unique fournie par votre fournisseur d'identité.
  10. Dans le Certificat public dans ce champ, collez le certificat X.509 fourni par votre fournisseur d'identité.
  11. Sélectionnez le Provisionner automatiquement les utilisateurs case à cocher pour spécifier que les comptes utilisateur ExtraHop sont automatiquement créés lorsque l'utilisateur se connecte via le fournisseur d'identité.
    Pour contrôler manuellement quels utilisateurs peuvent se connecter, décochez cette case et configurez manuellement les nouveaux utilisateurs distants via les paramètres d'administration d'ExtraHop ou l'API REST. Tout nom d'utilisateur distant créé manuellement doit correspondre au nom d'utilisateur configuré sur le fournisseur d'identité.
  12. Sélectionnez le Activer ce fournisseur d'identité case à cocher pour permettre aux utilisateurs de se connecter au système ExtraHop.
    Cette option est activée par défaut. Pour empêcher les utilisateurs de se connecter via ce fournisseur d'identité, décochez la case.
  13. Dans le Attributs de privilèges utilisateur section, configurez les attributs de privilèges utilisateur.
    Cette opération doit être effectuée avant que les utilisateurs puissent se connecter au système ExtraHop via un fournisseur d'identité. Les valeurs ne font pas la distinction entre majuscules et minuscules et peuvent inclure des espaces. Les noms et les valeurs des attributs de privilèges utilisateur doivent correspondre aux noms et aux valeurs que votre fournisseur d'identité inclut dans les réponses SAML, qui sont configurées lorsque vous ajoutez l'application ExtraHop à un fournisseur. Par exemple, dans Microsoft Entra ID, vous configurez des noms de revendications et des valeurs de conditions de réclamation qui doivent correspondre aux noms et aux valeurs des attributs de privilèges utilisateur dans le système ExtraHop.
    Remarque :Si un utilisateur correspond à plusieurs valeurs d'attributs, il bénéficie du privilège d'accès le plus permissif. Par exemple, si un utilisateur correspond à la fois aux valeurs d'écriture limitée et d'écriture complète, il bénéficie de privilèges d'écriture complète. Pour plus d'informations sur les niveaux de privilèges, consultez Utilisateurs et groupes d'utilisateurs.
  14. Dans le Accès au module NDR section, configurez les attributs pour permettre aux utilisateurs d'accéder aux fonctionnalités NDR.
  15. Dans le Accès au module NPM section, configurez les attributs pour permettre aux utilisateurs d'accéder aux fonctionnalités NPM.
  16. Dans le Accès aux paquets et aux clés de session section, configurez les attributs pour permettre aux utilisateurs d'accéder aux paquets et aux clés de session.
    La configuration des paquets et des attributs de clé de session est facultative et requise uniquement lorsque vous disposez d'un stockage des paquets ExtraHop connecté.
  17. Cliquez Enregistrer.
Mappage des attributs utilisateur

Vous devez configurer l'ensemble d'attributs utilisateur suivant dans la section de mappage des attributs d'application de votre fournisseur d'identité. Ces attributs identifient l'utilisateur dans l'ensemble du système ExtraHop. Reportez-vous à la documentation de votre fournisseur d'identité pour connaître les noms de propriétés corrects lors du mappage des attributs.

Nom de l'attribut ExtraHop Nom convivial Catégorie Nom de l'attribut du fournisseur d'identité
urn:oid:0.9.2342.19200300.100.1.3 courrier Attribut standard Adresse e-mail principale
urn:oid:2.5.4.4 sn Attribut standard Nom de famille
urn:oid:2.5.4.42 Nom donné Attribut standard Prénom


Déclarations d'attributs de groupe

Le système ExtraHop prend en charge les déclarations d'attributs de groupe pour associer facilement les privilèges des utilisateurs à tous les membres d'un groupe spécifique. Lorsque vous configurez l'application ExtraHop sur votre fournisseur d'identité, spécifiez un nom d'attribut de groupe. Ce nom est ensuite saisi dans le Nom de l'attribut champ lorsque vous configurez le fournisseur d'identité sur le système ExtraHop.



Si votre fournisseur d'identité ne prend pas en charge les déclarations d'attributs de groupe, configurez les attributs utilisateur avec les privilèges appropriés pour l'accès aux modules, l'accès au système et l'analyse des paquets.

Prochaines étapes

Configurer l'authentification unique SAML avec Okta

Vous pouvez configurer votre système ExtraHop pour permettre aux utilisateurs de se connecter au système via le service de gestion des identités Okta.

Before you begin

  • Vous devez être familiarisé avec l'administration d'Okta. Ces procédures sont basées sur l'interface utilisateur Okta Classic. Si vous configurez Okta via la Developer Console, la procédure peut être légèrement différente.
  • Vous devez être familiarisé avec l'administration des systèmes ExtraHop.

Ces procédures vous obligent à copier-coller des informations entre le système ExtraHop et l'interface utilisateur Okta Classic. Il est donc utile d'ouvrir chaque système côte à côte.

Activez SAML sur le système ExtraHop
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Authentification à distance.
  3. À partir du méthode dqu`authentification à distance liste déroulante, sélectionnez SAML.
  4. Cliquez Continuer.
  5. Cliquez Afficher les métadonnées SP.
    Vous devrez copier l'URL ACS et l'ID d'entité à coller dans la configuration Okta lors de la procédure suivante.
Configurer les paramètres SAML dans Okta

Cette procédure vous oblige à copier-coller des informations entre les paramètres d'administration d'ExtraHop et l'interface utilisateur Okta Classic. Il est donc utile d'ouvrir chaque interface utilisateur côte à côte.

  1. Connectez-vous à Okta.
  2. Dans le coin supérieur droit de la page, modifiez la vue depuis Console pour développeurs pour Interface utilisateur classique.
  3. Dans le menu supérieur, cliquez sur Demandes.
  4. Cliquez Ajouter une application.
  5. Cliquez Créer une nouvelle application.
  6. À partir du Plateforme liste déroulante, sélectionnez Web.
  7. Pour le Méthode de connexion, sélectionnez SAML 2.0 .
  8. Cliquez Créez.
  9. Dans le Réglages généraux section, dans la Appli dans le champ name, saisissez un nom unique pour identifier le système ExtraHop.
  10. Facultatif : Configurez le Logo de l'application et Visibilité de l'application champs selon les besoins de votre environnement.
  11. Cliquez Suivant.
  12. Dans le Paramètres SAML sections, collez l'URL ACS (Assertion Consumer Service) du système ExtraHop dans le champ URL d'authentification unique d'Okta.
    Remarque :Vous devrez peut-être modifier manuellement l'URL ACS si celle-ci contient un nom d'hôte inaccessible, tel que le nom d'hôte du système par défaut extrahop. Nous vous recommandons de spécifier le nom de domaine complet pour le système ExtraHop dans l'URL.
  13. Collez l'ID d'entité SP du système ExtraHop dans URI de l'audience (ID d'entité SP) champ dans Okta.
  14. À partir du Format d'identifiant du nom liste déroulante, sélectionnez Persistant.
  15. À partir du Nom utilisateur de l'application liste déroulante, sélectionnez un format de nom d'utilisateur.
  16. Dans le Déclarations d'attributs section, ajoutez les attributs suivants.
    Ces attributs identifient l'utilisateur dans l'ensemble du système ExtraHop.
    Nom Format du nom Valeur
    urn:oid:0.9.2342.19200300.100.1.3 Référence URI utilisateur.email
    urn:oid:2.5.4.4 Référence URI Nom d'utilisateur.
    urn:oid:2.5.4.42 Référence URI Nom d'utilisateur. Prénom
  17. Dans le Déclaration d'attribut de groupe section, dans la Nom champ, saisissez une chaîne et configurez un filtre.
    Vous spécifierez le nom de l'attribut du groupe lorsque vous configurerez les attributs de privilèges utilisateur sur le système ExtraHop.
    La figure suivante montre un exemple de configuration.

  18. Cliquez Suivant puis cliquez sur Terminer.
    Vous êtes renvoyé au Paramètres de connexion page.
  19. Dans le Réglages section, cliquez sur Afficher les instructions de configuration.
    Une nouvelle fenêtre de navigateur s'ouvre et affiche les informations nécessaires à la configuration du système ExtraHop.
Assignez le système ExtraHop à des groupes Okta
Nous partons du principe que vous avez déjà configuré des utilisateurs et des groupes dans Okta. Si ce n'est pas le cas, consultez la documentation Okta pour ajouter de nouveaux utilisateurs et groupes.
  1. Dans le menu Répertoire, sélectionnez Groupes.
  2. Cliquez sur le nom du groupe.
  3. Cliquez Gérer les applications.
  4. Localisez le nom de l'application que vous avez configurée pour le système ExtraHop et cliquez sur Attribuer.
  5. Cliquez Terminé.
Ajouter les informations du fournisseur d'identité sur le système ExtraHop
  1. Revenez aux paramètres d'administration du système ExtraHop.
    Fermez la fenêtre de métadonnées du fournisseur de services si elle est toujours ouverte, puis cliquez sur Ajouter un fournisseur d'identité.
  2. Dans le Nom du fournisseur dans le champ, saisissez un nom unique.
    Ce nom apparaît sur la page de connexion du système ExtraHop.


  3. Depuis Okta, copiez le URL d'authentification unique du fournisseur d'identité et collez-le dans le champ URL SSO du système ExtraHop.
  4. Depuis Okta, copiez le URL de l'émetteur du fournisseur d'identité et collez-le dans ID d'entité champ sur le système ExtraHop.
  5. Depuis Okta, copiez le certificat X.509 et collez-le dans Certificat public champ sur le système ExtraHop.
  6. Choisissez la manière dont vous souhaitez approvisionner les utilisateurs parmi l'une des options suivantes.
    • Sélectionnez Auto-provisionnement des utilisateurs pour créer un nouveau compte utilisateur SAML distant sur le système ExtraHop lors de la première connexion de l'utilisateur.
    • Décochez la case Provisionnement automatique des utilisateurs et configurez manuellement les nouveaux utilisateurs distants via les paramètres d'administration ExtraHop ou l'API REST. Les niveaux d'accès et de privilèges sont déterminés par la configuration utilisateur dans Okta.
  7. Le Activer ce fournisseur d'identité L'option est sélectionnée par défaut et permet aux utilisateurs de se connecter au système ExtraHop.
    Pour empêcher les utilisateurs de se connecter, décochez la case.
  8. Configurez les attributs de privilèges utilisateur.
    Vous devez configurer l'ensemble d'attributs utilisateur suivant pour que les utilisateurs puissent se connecter au système ExtraHop via un fournisseur d'identité. Les valeurs peuvent être définies par l'utilisateur ; elles doivent toutefois correspondre aux noms d'attributs inclus dans la réponse SAML de votre fournisseur d'identité. Les valeurs ne font pas la distinction entre majuscules et minuscules et peuvent inclure des espaces. Pour plus d'informations sur les niveaux de privilèges, consultez Utilisateurs et groupes d'utilisateurs.
    Important :Vous devez spécifier le nom de l'attribut et configurer au moins une valeur d'attribut autre que Pas d'accès pour permettre aux utilisateurs de se connecter.
    Dans les exemples ci-dessous, Nom de l'attribut le champ est l'attribut de groupe configuré lors de la création de l'application ExtraHop sur le fournisseur d'identité et Valeurs d'attribut sont les noms de vos groupes d'utilisateurs. Si un utilisateur est membre de plusieurs groupes, il bénéficie du privilège d'accès le plus permissif.
  9. Configurez l'accès au module NDR.
  10. Configurez l'accès au module NPM.
  11. Facultatif : Configurez l'accès aux paquets et aux clés de session.
    Cette étape est facultative et n'est requise que si vous disposez d'un stockage des paquets connecté et du module Packet Forensics.
  12. Cliquez Enregistrer.
  13. Enregistrez le fichier de configuration en cours.
Connectez-vous au système ExtraHop
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez Connectez-vous avec <provider name>.
  3. Connectez-vous à votre fournisseur à l'aide de votre adresse e-mail et de votre mot de passe. Vous êtes automatiquement dirigé vers la page d'aperçu d'ExtraHop.

Configurer l'authentification unique SAML avec Google

Vous pouvez configurer votre système ExtraHop pour permettre aux utilisateurs de se connecter au système via le service de gestion des identités de Google.

Before you begin

  • Vous devez être familiarisé avec l'administration de Google Admin.
  • Vous devez être familiarisé avec l'administration des systèmes ExtraHop.

Ces procédures vous obligent à copier-coller des informations entre le système ExtraHop et la console d'administration Google. Il est donc utile d'ouvrir chaque système côte à côte.

Activez SAML sur le système ExtraHop
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Authentification à distance.
  3. À partir du méthode dqu`authentification à distance liste déroulante, sélectionnez SAML.
  4. Cliquez Continuer.
  5. Cliquez Afficher les métadonnées SP.
  6. Copiez le URL ACS et ID d'entité dans un fichier texte.
    Vous collerez ces informations dans la configuration de Google lors d'une procédure ultérieure.
Ajouter des attributs personnalisés à l'utilisateur
  1. Connectez-vous à la console d'administration Google.
  2. Cliquez Utilisateurs.
  3. Cliquez sur l'icône Gérer les attributs personnalisés .
  4. Cliquez Ajouter un attribut personnalisé.
  5. Dans le Catégorie champ, type Hop supplémentaire.
  6. Facultatif : Dans le Descriptif champ, saisissez une description.
  7. Dans le Champs personnalisés section, entrez les informations suivantes :
    1. Dans le Nom champ, type niveau d'écriture.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  8. Activez l'accès au module NDR :
    1. Dans le Nom champ, type niveau NDR.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  9. Activez l'accès au module NPM :
    1. Dans le Nom champ, type niveau NPM.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  10. Facultatif : Si vous avez connecté des magasins de paquets, activez l'accès aux paquets en configurant un champ personnalisé :
    1. Dans le Nom champ, type niveau des paquets.
    2. À partir du Type d'information liste déroulante, sélectionnez Texte.
    3. À partir du Visibilité liste déroulante, sélectionnez Visible pour le domaine.
    4. À partir du Nombre de valeurs liste déroulante, sélectionnez Valeur unique.
  11. Cliquez Ajouter.
Ajouter les informations du fournisseur d'identité de Google au système ExtraHop
  1. Dans la console d'administration Google, cliquez sur l'icône du menu principal et sélectionnez Apps > Applis SAML.
  2. Cliquez sur Activer le SSO pour une application SAML icône .
  3. Cliquez CONFIGURER MA PROPRE APPLICATION PERSONNALISÉE.
  4. Sur le Informations sur Google IdP écran, cliquez sur Télécharger bouton pour télécharger le certificat (GoogleIDPCertificate.pem).
  5. Revenez aux paramètres d'administration du système ExtraHop.
  6. Cliquez Ajouter un fournisseur d'identité.
  7. Dans le Nom du fournisseur dans le champ, saisissez un nom unique.
    Ce nom apparaît sur la page de connexion du système ExtraHop.
  8. À partir du Informations sur Google IdP écran, copiez l'URL SSO et collez-la dans URL SSO champ sur l' appliance ExtraHop.
  9. À partir du Informations sur Google IdP écran, copiez l'ID d'entité et collez-le dans le champ ID d'entité du système ExtraHop.
  10. Ouvrez le GoogleIDPCertificate dans un éditeur de texte, copiez le contenu et collez-le dans Certificat public champ sur le système ExtraHop.
  11. Choisissez la manière dont vous souhaitez approvisionner les utilisateurs parmi l'une des options suivantes.
    • Sélectionnez Provisionner automatiquement les utilisateurs pour créer un nouveau compte utilisateur SAML distant sur le système ExtraHop lors de la première connexion de l'utilisateur.
    • Effacez le Provisionner automatiquement les utilisateurs cochez la case et configurez manuellement les nouveaux utilisateurs distants via les paramètres d'administration d'ExtraHop ou l'API REST. Les niveaux d'accès et de privilèges sont déterminés par la configuration de l'utilisateur dans Google.
  12. Le Activer ce fournisseur d'identité L'option est sélectionnée par défaut et permet aux utilisateurs de se connecter au système ExtraHop. Pour empêcher les utilisateurs de se connecter, décochez la case.
  13. Configurez les attributs de privilèges utilisateur.
    Vous devez configurer l'ensemble d'attributs utilisateur suivant pour que les utilisateurs puissent se connecter au système ExtraHop via un fournisseur d'identité. Les valeurs peuvent être définies par l'utilisateur ; elles doivent toutefois correspondre aux noms d'attributs inclus dans la réponse SAML de votre fournisseur d'identité. Les valeurs ne font pas la distinction entre majuscules et minuscules et peuvent inclure des espaces. Pour plus d'informations sur les niveaux de privilèges, consultez Utilisateurs et groupes d'utilisateurs..
    Important :Vous devez spécifier le nom de l'attribut et configurer au moins une valeur d'attribut autre que Pas d'accès pour permettre aux utilisateurs de se connecter.
    Dans l'exemple ci-dessous, Nom de l'attribut le champ est l'attribut de l' application et Valeur de l'attribut est le nom du champ utilisateur configuré lors de la création de l'application ExtraHop sur le fournisseur d'identité.
    Nom du champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0:writelevel
    Administration des systèmes et des accès illimité
    Privilèges d'écriture complets écriture_complète
    Privilèges d'écriture limités écriture_limitée
    Privilèges d'écriture personnels écriture_personnelle
    Privilèges complets en lecture seule full_readonly
    Privilèges de lecture seule restreints restricted_readonly
    Pas d'accès aucune
  14. Configurez l'accès au module NDR.
    Champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0:ndrlevel
    Accès complet complet
    Pas d'accès aucune
  15. Configurez l'accès au module NPM.
    Champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0:npmlevel
    Accès complet complet
    Pas d'accès aucune
  16. Facultatif : Configurez l'accès aux paquets et aux clés de session.
    La configuration des paquets et des attributs de clé de session est facultative et requise uniquement lorsque vous disposez d'un stockage des paquets connecté.
    Nom du champ Exemple de valeur d'attribut
    Nom de l'attribut urn:extrahop:saml:2.0:packetslevel
    Paquets et clés de session complet_avec_touches
    Paquets uniquement complet
    Sachets (tranches uniquement) tranches
    Pas d'accès aucune
  17. Cliquez Enregistrer.
  18. Enregistrez la configuration en cours.
Ajouter les informations du fournisseur de services ExtraHop à Google
  1. Revenez à la console d'administration Google et cliquez sur Suivant sur le Informations sur les adresses IP de Google page pour passer à l'étape 3 de 5.
  2. Dans le Nom de l'application dans ce champ, saisissez un nom unique pour identifier le système ExtraHop.
    Chaque système ExtraHop pour lequel vous créez une application SAML a besoin d'un nom unique .
  3. Facultatif : Tapez une description pour cette application ou téléchargez un logo personnalisé.
  4. Cliquez Suivant.
  5. Copiez le URL du service aux consommateurs d'assertion (ACS) depuis le système ExtraHop et collez-le dans URL DE L'ACS champ dans Google Admin.
    Remarque :Vous devrez peut-être modifier manuellement l'URL ACS si celle-ci contient un nom d'hôte inaccessible, tel que le nom d'hôte du système par défaut extrahop. Nous vous recommandons de spécifier le nom de domaine complet pour le système ExtraHop dans l'URL.
  6. Copiez le ID d'entité SP depuis le système ExtraHop et collez-le dans ID d'entité champ dans Google Admin.
  7. Sélectionnez le Réponse signée case à cocher.
  8. Dans le Nom ID section, laissez la valeur par défaut Informations de base et E-mail principal paramètres inchangés.
  9. À partir du Format d'identification du nom liste déroulante, sélectionnez PERSISTANT.
  10. Cliquez Suivant.
  11. Sur le Cartographie des attributs écran, cliquez AJOUTER UN NOUVEAU MAPPAGE.
  12. Ajoutez les attributs suivants exactement comme indiqué.
    Les quatre premiers attributs sont obligatoires. Le packetslevel L'attribut est facultatif et n'est obligatoire que si vous avez un stockage des paquets connecté. Si vous avez un stockage des paquets et que vous ne configurez pas packetslevel attribut, les utilisateurs ne pourront pas afficher ou télécharger les captures de paquets dans le système ExtraHop.
    Attribut de l'application Catégorie Champ utilisateur
    urn:oid : 0.9.2342.19200300.100.1.3 Informations de base E-mail principal
    urn:oid : 2.5.4.4 Informations de base Nom de famille
    urn:oid : 2.5.4.42 Informations de base Prénom
    urn:extrahop:saml:2.0:writelevel Hop supplémentaire niveau d'écriture
    urn:extrahop:saml:2.0:ndrlevel Hop supplémentaire niveau NDR
    urn:extrahop:saml:2.0:npmlevel Hop supplémentaire niveau NPM
    urn:extrahop:saml:2.0:packetslevel Hop supplémentaire niveau des paquets
  13. Cliquez Terminer puis cliquez sur OK..
  14. Cliquez Modifier le service.
  15. Sélectionnez Activé pour tous.
  16. Cliquez Enregistrer.
Attribuer des privilèges aux utilisateurs
  1. Cliquez Les utilisateurs pour revenir au tableau de tous les utilisateurs de vos unités organisationnelles.
  2. Cliquez sur le nom de l'utilisateur que vous souhaitez autoriser à se connecter au système ExtraHop.
  3. Dans le Informations sur l'utilisateur section, cliquez sur Informations sur l'utilisateur.
  4. Dans le Hop supplémentaire section, cliquez sur niveau d'écriture et saisissez l'un des niveaux de privilège suivants.
    • illimité
    • écriture_complète
    • écriture_limitée
    • écriture_personnelle
    • full_readonly
    • restricted_readonly
    • aucune
    Pour plus d'informations sur les privilèges utilisateur, voir Utilisateurs et groupes d'utilisateurs.
  5. Facultatif : Si vous avez ajouté packetslevel attribut ci-dessus, cliquez sur niveau des paquets et saisissez l'un des privilèges suivants.
    • complet
    • complet_avec_écriture
    • aucune
  6. Facultatif : Si vous avez ajouté detectionslevel attribut ci-dessus, cliquez sur niveau de détection et saisissez l'un des privilèges suivants.
    • complet
    • aucune
  7. Cliquez Enregistrer.
Connectez-vous au système ExtraHop
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez Connectez-vous avec <provider name>.
  3. Connectez-vous à votre fournisseur à l'aide de votre adresse e-mail et de votre mot de passe. Vous êtes automatiquement dirigé vers la page d'aperçu d'ExtraHop.

Configuration de l'authentification à distance via RADIUS

Le système ExtraHop prend en charge le service d'authentification à distance (RADIUS) pour l'authentification à distance et l'autorisation locale uniquement. Pour l'authentification à distance, le système ExtraHop prend en charge les formats RADIUS et texte brut non chiffrés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Authentification à distance.
  3. À partir du méthode dqu`authentification à distance liste déroulante, sélectionnez RAYON puis cliquez sur Continuer.
  4. Sur le Ajouter un serveur RADIUS page, saisissez les informations suivantes :
    Hôte
    Le nom d'hôte ou l'adresse IP du serveur RADIUS. Assurez-vous que le DNS du système ExtraHop est correctement configuré si vous spécifiez un nom d' hôte.
    Secret
    Le secret partagé entre le système ExtraHop et le serveur RADIUS. Contactez votre administrateur RADIUS pour obtenir le secret partagé.
    Délai d'attente
    Durée en secondes pendant laquelle le système ExtraHop attend une réponse du serveur RADIUS avant de tenter à nouveau la connexion .
  5. Cliquez Ajouter un serveur.
  6. Facultatif : Ajoutez des serveurs supplémentaires si nécessaire.
  7. Cliquez Enregistrer et terminer.
  8. À partir du Options d'attribution de privilèges dans la liste déroulante, choisissez l'une des options suivantes :
    • Les utilisateurs distants disposent d'un accès complet en écriture

      Cette option accorde aux utilisateurs distants un accès complet en écriture au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.

    • Les utilisateurs distants disposent d'un accès complet en lecture seule

      Cette option permet aux utilisateurs distants d'accéder en lecture seule au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.

  9. Facultatif : Configurez l'accès aux paquets et aux clés de session. Sélectionnez l'une des options suivantes pour permettre aux utilisateurs distants de télécharger des captures de paquets et des clés de session TLS.
    • Pas d'accès
    • Tranches en sachets uniquement
    • Paquets uniquement
    • Paquets et clés de session
  10. Facultatif : Configurez l'accès aux modules NDR et NPM.
    • Pas d'accès
    • Accès complet
  11. Cliquez Enregistrer et terminer.
  12. Cliquez Terminé.

Configurer l'authentification à distance via TACACS+

Le système ExtraHop prend en charge le Terminal Access Controller Access-Control System Plus (TACACS+) pour l'authentification et l'autorisation à distance.

Assurez-vous que chaque utilisateur à autoriser à distance possède les Service ExtraHop configuré sur le serveur TACACS+ avant de commencer cette procédure.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Authentification à distance.
  3. À partir du méthode dqu`authentification à distance liste déroulante, sélectionnez TACACS+, puis cliquez sur Continuer.
  4. Sur le Ajouter un serveur TACACS+ page, saisissez les informations suivantes :

    Hôte : Le nom d'hôte ou l'adresse IP du serveur TACACS+. Assurez-vous que le DNS du système ExtraHop est correctement configuré si vous entrez un nom d'hôte.

    Secret : Le secret partagé entre le système ExtraHop et le serveur TACACS+ . Contactez votre administrateur TACACS+ pour obtenir le secret partagé.

    Remarque :Le secret ne peut pas inclure le signe numérique (#).

    Délai d'attente : Durée en secondes pendant laquelle le système ExtraHop attend une réponse du serveur TACACS+ avant de tenter de se reconnecter.

  5. Cliquez Ajouter un serveur.
  6. Facultatif : Ajoutez des serveurs supplémentaires si nécessaire.
  7. Cliquez Enregistrer et terminer.
  8. À partir du Options d'attribution des autorisations dans la liste déroulante, choisissez l'une des options suivantes :
    • Obtenir le niveau de privilèges depuis un serveur distant

      Cette option permet aux utilisateurs distants d'obtenir des niveaux de privilèges auprès du serveur distant. Vous devez également configurer les autorisations sur le serveur TACACS+ .

    • Les utilisateurs distants disposent d'un accès complet en écriture

      Cette option accorde aux utilisateurs distants un accès complet en écriture au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.

    • Les utilisateurs distants disposent d'un accès complet en lecture seule

      Cette option permet aux utilisateurs distants d'accéder en lecture seule au système ExtraHop. En outre, vous pouvez accorder un accès supplémentaire pour les téléchargements de paquets, les clés de session TLS, l'accès au module NDR et l'accès au module NPM.

  9. Facultatif : Configurez l'accès aux paquets et aux clés de session. Sélectionnez l'une des options suivantes pour permettre aux utilisateurs distants de télécharger des captures de paquets et des clés de session TLS.
    • Pas d'accès
    • Tranches en sachets uniquement
    • Paquets uniquement
    • Paquets et clés de session
  10. Facultatif : Configurez l'accès aux modules NDR et NPM.
    • Pas d'accès
    • Accès complet
  11. Cliquez Enregistrer et terminer.
  12. Cliquez Terminé.
Configuration du serveur TACACS+

Outre la configuration de l'authentification à distance sur votre système ExtraHop, vous devez configurer votre serveur TACACS+ avec deux attributs, l'un pour le service ExtraHop et l'autre pour le niveau d'autorisation. Si vous disposez d'un système de stockage des paquets ExtraHop, vous pouvez éventuellement ajouter un troisième attribut pour la capture de paquets et la journalisation des clés de session.

  1. Connectez-vous à votre serveur TACACS+ et accédez au profil shell correspondant à votre configuration ExtraHop.
  2. Pour le premier attribut, ajoutez service.
  3. Pour la première valeur, ajoutez boutique supplémentaire.
  4. Pour le second attribut, ajoutez le niveau de privilège, tel que lire/écrire.
  5. Pour la deuxième valeur, ajoutez 1.
    Par exemple, la figure suivante montre extrahop attribut et niveau de privilège de readwrite.
    Voici un tableau des attributs, des valeurs et des descriptions des autorisations disponibles :
    Attribut Valeur Descriptif
    setup 1 Créez et modifiez tous les objets et paramètres du système ExtraHop et gérez l'accès des utilisateurs
    readwrite 1 Créez et modifiez tous les objets et paramètres du système ExtraHop, à l'exception des paramètres d'administration
    limited 1 Créez, modifiez et partagez des tableaux de bord
    readonly 1 Afficher les objets dans le système ExtraHop
    personal 1 Créez des tableaux de bord personnels pour eux-mêmes et modifiez tous les tableaux de bord qui ont été partagés avec eux
    limited_metrics 1 Afficher les tableaux de bord partagés
    ndrfull 1 Afficher, accuser réception et masquer les détections de sécurité
    npmfull 1 Afficher, accuser réception et masquer les détections de performances
    packetsfull 1 Afficher et télécharger des paquets stockés dans un magasin de paquets connecté.
    packetslicesonly 1 Affichez et téléchargez des tranches de paquets sur un stockage des paquets connecté.
    packetsfullwithkeys 1 Afficher et télécharger les paquets et les clés de session associées stockés sur un stockage des paquets connecté.
  6. Facultatif : Ajoutez l'attribut suivant pour permettre aux utilisateurs d'afficher, d'accuser réception et de masquer les détections de sécurité
    Attribut Valeur
    ndrfull 1
  7. Facultatif : Ajoutez l'attribut suivant pour permettre aux utilisateurs d'afficher, d'accuser réception et de masquer les détections de performances qui apparaissent dans le système ExtraHop.
    Attribut Valeur
    npm complet 1
  8. Facultatif : Si vous disposez d'un système de stockage des paquets ExtraHop, ajoutez un attribut pour permettre aux utilisateurs de télécharger des captures de paquets ou des captures de paquets avec les clés de session associées.
    Attribut Valeur Descriptif
    tranches en sachet uniquement 1 Les utilisateurs, quel que soit leur niveau de privilège, peuvent visualiser et télécharger les 64 premiers octets de paquets.
    paquets pleins 1 Les utilisateurs, quel que soit leur niveau de privilège, peuvent consulter et télécharger des paquets stockés sur un système de stockage des paquets connecté.
    paquets remplis de clés 1 Les utilisateurs, quel que soit leur niveau de privilège, peuvent consulter et télécharger les paquets et les clés de session associées stockés sur un stockage des paquets connecté.

Accès à l'API

La page d'accès à l'API vous permet de générer, de visualiser et de gérer l'accès aux clés d'API requises pour effectuer des opérations via l'API REST ExtraHop.

Gérer l'accès aux clés d'API

Les utilisateurs disposant de privilèges d'administration du système et des accès peuvent configurer s'ils peuvent générer des clés d'API pour le système ExtraHop. Vous pouvez autoriser uniquement les utilisateurs locaux à générer des clés, ou vous pouvez également désactiver complètement la génération de clés d'API.

Les utilisateurs doivent générer une clé d'API avant de pouvoir effectuer des opérations via l'API REST ExtraHop. Les clés ne peuvent être consultées que par l'utilisateur qui les a générées ou par les administrateurs système dotés de privilèges illimités. Une fois qu'un utilisateur a généré une clé d'API, il doit l'ajouter à ses en-têtes de demande.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez Accès à l'API.
  3. Dans le Gérer l'accès aux API section, sélectionnez l'une des options suivantes :
    • Autoriser tous les utilisateurs à générer une clé d'API: Les utilisateurs locaux et distants peuvent générer des clés d'API.
    • Seuls les utilisateurs locaux peuvent générer une clé d'API: Les utilisateurs distants ne peuvent pas générer de clés d'API.
    • Aucun utilisateur ne peut générer de clé d'API: aucune clé d'API ne peut être générée par aucun utilisateur.
  4. Cliquez Enregistrer les paramètres.

Configurer le partage de ressources entre origines (CORS)

Partage de ressources entre origines (CORS) vous permet d'accéder à l'API REST ExtraHop au-delà des limites du domaine et à partir de pages Web spécifiées sans que la demande passe par un serveur proxy.

Vous pouvez configurer une ou plusieurs origines autorisées ou autoriser l'accès à l' API REST ExtraHop depuis n'importe quelle origine. Seuls les utilisateurs disposant de privilèges d'administration du système et de l'accès peuvent consulter et modifier les paramètres CORS.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres d'accès section, cliquez sur Accès à l'API.
  3. Dans le Paramètres CORS section, spécifiez l'une des configurations d'accès suivantes.
    • Pour ajouter une URL spécifique, saisissez une URL d'origine dans la zone de texte, puis cliquez sur l'icône plus (+) ou appuyez sur ENTER.

      L'URL doit inclure un schéma, tel que HTTP ou HTTPS, et le nom de domaine exact. Vous ne pouvez pas ajouter de chemin, mais vous pouvez fournir un numéro de port.

    • Pour autoriser l'accès depuis n'importe quelle URL, sélectionnez Autoriser les requêtes d'API depuis n'importe quelle origine case à cocher.
      Remarque :Autoriser l'accès à l'API REST depuis n'importe quelle origine est moins sûr que de fournir une liste d' origines explicites.
  4. Cliquez Enregistrer les paramètres puis cliquez sur Terminé.

Générer une clé API

Vous devez générer une clé d'API avant de pouvoir effectuer des opérations via l' API REST ExtraHop. Les clés ne peuvent être consultées que par l'utilisateur qui les a générées ou par les utilisateurs disposant de privilèges d'administration du système et des accès. Après avoir généré une clé d'API, ajoutez-la à vos en-têtes de demande ou à l'explorateur d'API ExtraHop REST.

Before you begin

Assurez-vous que le système ExtraHop est configuré pour permettre la génération de clés d'API.
  1. Dans le Paramètres d'accès section, cliquez sur Accès à l'API.
  2. Dans le Générer une clé API section, tapez la description de la nouvelle clé, puis cliquez sur Générez.
  3. Faites défiler l'écran vers le bas jusqu'à Clés d'API section et copiez la clé API qui correspond à votre description.
Vous pouvez coller la clé dans l'explorateur d'API REST ou l'ajouter à un en-tête de demande.

Niveaux de privilèges

Les niveaux de privilèges utilisateur déterminent les tâches système et d'administration ExtraHop que l'utilisateur peut effectuer via l'API REST ExtraHop.

Vous pouvez consulter les niveaux de privilèges des utilisateurs via granted_roles et effective_roles propriétés. Le granted_roles La propriété vous indique quels niveaux de privilèges sont explicitement accordés à l'utilisateur. Le effective_roles La propriété affiche tous les niveaux de privilèges d'un utilisateur, y compris ceux reçus en dehors du rôle accordé, par exemple via un groupe d'utilisateurs.

Le granted_roles et effective_roles les propriétés sont renvoyées par les opérations suivantes :

  • GET /utilisateurs
  • GET /users/ {nom d'utilisateur}

Le granted_roles et effective_roles les propriétés prennent en charge les niveaux de privilèges suivants. Notez que le type de tâches pour chaque système ExtraHop varie en fonction de la disponibilité ressources répertoriés dans l'explorateur d'API REST et dépendent des modules activés sur le système et des privilèges d'accès aux modules utilisateur.

Niveau de privilège Actions autorisées
« système » : « complet »
  • Activez ou désactivez la génération de clés API pour le système ExtraHop.
  • Générez une clé API.
  • Consultez les quatre derniers chiffres et la description de chaque clé API du système.
  • Supprimez les clés d'API de n'importe quel utilisateur.
  • Afficher et modifier le partage de ressources entre origines.
  • Effectuez toutes les tâches d'administration disponibles via l'API REST.
  • Effectuez n'importe quelle tâche système ExtraHop disponible via l'API REST.
« write » : « complet »
  • Générez votre propre clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez n'importe quelle tâche système ExtraHop disponible via l'API REST.
« write » : « limité »
  • Générez une clé API.
  • Afficher ou supprimer leur propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez toutes les opérations GET via l'API REST.
  • Effectuez des requêtes métriques et d'enregistrement.
« write » : « personnel »
  • Générez une clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez toutes les opérations GET via l'API REST.
  • Effectuez des requêtes métriques et d'enregistrement.
« metrics » : « complet »
  • Générez une clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
  • Effectuez des requêtes métriques et d'enregistrement.
« metrics » : « restreint »
  • Générez une clé API.
  • Consultez ou supprimez votre propre clé API.
  • Modifiez votre propre mot de passe, mais vous ne pouvez pas effectuer d'autres tâches d'administration via l'API REST.
« ndr » : « complet »
  • Afficher les détections de sécurité
  • Afficher et créer des enquêtes

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« ndr » : « aucun »
  • Pas d'accès au contenu du module NDR

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« npm » : « complet »
  • Afficher les détections de performances
  • Afficher et créer des tableaux de bord
  • Afficher et créer des alertes

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« npm » : « aucun »
  • Aucun accès au contenu du module NPM

Il s'agit d'un privilège d'accès au module qui peut être accordé à un utilisateur en plus de l'un des niveaux de privilège d'accès au système suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« paquets » : « pleins »
  • Consultez et téléchargez des paquets via GET /packets/search et POST /packets/search opérations.

Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« paquets » : « full_with_keys »
  • Consultez et téléchargez les paquets et les clés de session via GET /packets/search et POST /packets/search opérations.

Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »
« packets » : « slices_only »
  • Consultez et téléchargez les 64 premiers octets de paquets via GET /packets/search et POST /packets/search opérations.

Il s'agit d'un privilège supplémentaire qui peut être accordé à un utilisateur disposant de l'un des niveaux de privilège suivants :

  • « write » : « complet »
  • « write » : « limité »
  • « write » : « personnel »
  • « écrire » : nul
  • « metrics » : « complet »
  • « metrics » : « restreint »

Configuration du système

Dans le Configuration du système section, vous pouvez modifier les paramètres suivants.

Capturez
Configurez les paramètres de capture réseau. (Capteurs uniquement)
Banque de données
Configurez une banque de données étendue ou réinitialisez la banque de données locale. (Capteurs uniquement)
Dénomination des appareils
Configurez l'ordre de priorité lorsque plusieurs noms sont trouvés pour un équipement.
Sources inactives
Supprimez les appareils et les applications qui sont restés inactifs entre 1 et 90 jours des résultats de recherche.
Suivi de la détection
Choisissez si vous souhaitez suivre les enquêtes de détection à l'aide du système ExtraHop ou à partir d'un système de billetterie externe.
Recherche de terminaux
Configurez des liens vers un outil de recherche d'adresse IP externe pour les points de terminaison du système ExtraHop .
Source de données Geomap
Modifiez les informations dans les géolocalisations cartographiées.
Flux de données ouverts
Envoyez les données du journal à un système tiers, tel qu'un système Syslog, une base de données MongoDB ou un serveur HTTP. (Capteurs uniquement)
Tendances
Réinitialisez toutes les tendances et les alertes basées sur les tendances. (Capteurs uniquement).
Sauvegarde et restauration
Créez, consultez ou restaurez des sauvegardes du système.

Capture

La page Capture fournit des commandes permettant d'ajuster la manière dont le système ExtraHop collecte le trafic de votre réseau à des fins d'analyse.

Exclure les modules de protocole

Par défaut, tous les modules pris en charge sur le système ExtraHop sont inclus dans la capture, sauf si vous les excluez manuellement.

  1. Cliquez Configuration du système > Capturez.
  2. Cliquez Modules de protocole exclus.
  3. Ajouter Module à exclure.
  4. Sur le Sélectionnez le module de protocole à exclure page, à partir de la Nom du module dans la liste déroulante, sélectionnez le module que vous souhaitez exclure de la capture.
  5. Cliquez Ajouter.
  6. Sur le Modules de protocole exclus page, cliquez sur Redémarrer Capture.
  7. Une fois la capture redémarrée, cliquez sur OK..
Pour réinclure le module, cliquez sur la croix rouge pour le supprimer de la liste des modules actuellement exclus.

Exclure les adresses MAC

Ajoutez des filtres pour exclure des adresses MAC spécifiques ou le trafic des équipements du fournisseur de la capture réseau

  1. Dans le Configuration du système section, cliquez sur Capturez.
  2. Cliquez Filtres d'adresses MAC.
  3. Cliquez Ajouter un filtre.
  4. Dans le Adresse MAC dans le champ, saisissez l'adresse MAC à exclure.
  5. Dans le masque champ, tapez le masque pour indiquer le nombre de bits, de gauche à droite, que le filtre vérifie par rapport à l'adresse MAC.
  6. Cliquez Ajouter.
    Dans l'exemple suivant, l'adresse MAC complète est exclue de la capture :

    Adresse MAC: 60:98:2 D:B1:EC:42

    masque: FF:FF:FF:FF:FF:FF

    Dans cet exemple, seuls les 24 premiers bits sont évalués en vue de leur exclusion :

    Adresse MAC: 60:98:2 D:B1:EC:42

    masque: FF:FF:FF : 00:00:00

Pour réinclure une adresse MAC, cliquez sur Supprimer pour supprimer l' adresse de la liste.

Exclure une adresse IP ou une plage

Ajoutez des filtres pour exclure des adresses IP et des plages IP spécifiques de la capture réseau sur le système ExtraHop.

  1. Cliquez Configuration du système > Capturez.
  2. Cliquez Filtres d'adresses IP.
  3. Cliquez Ajouter un filtre.
  4. Sur le Filtres d'adresses IP page, saisissez soit une adresse IP unique que vous souhaitez exclure, soit un masque d'adresse IP au format CIDR pour une plage d'adresses IP que vous souhaitez exclure.
  5. Cliquez Ajouter.
Pour réinclure une adresse IP ou une plage, cliquez sur Supprimer à côté du filtre pour chaque adresse.

Exclure un port

Ajoutez des filtres pour exclure le trafic provenant de ports spécifiques de la capture réseau sur le système ExtraHop.

  1. Dans le Configuration du système section, cliquez sur Capturez.
  2. Cliquez Filtres de port.
  3. Cliquez Ajouter un filtre.
  4. Sur le Ajouter un filtre de port page, saisissez le port que vous souhaitez exclure.
    • Pour spécifier un port source que vous souhaitez exclure, saisissez le numéro de port dans le Port source champ.
    • Pour spécifier le port de destination que vous souhaitez exclure, saisissez le numéro de port dans le Port de destination champ.
  5. À partir du Protocole IP dans la liste déroulante, sélectionnez le protocole que vous souhaitez exclure sur le port indiqué.
  6. Cliquez Ajouter.
Pour réinclure un port, cliquez sur Supprimer à côté du port.

Filtrage et déduplication

Reportez-vous au tableau suivant pour voir les effets du filtrage et de la déduplication sur les métriques, la capture de paquets et découverte des équipements. La déduplication est activée par défaut sur le système.

Paquet déposé par Filtre d'adresse MAC filtre d'adresse IP Filtre de port Dédoupage L2 Dédoublage L3
Métriques L2 du réseau VLAN Non collecté Non collecté Non fragmenté* : Non collecté

Fragmenté : collecté

Non collecté Recueilli
Métriques du réseau VLAN L3 Non collecté Non collecté Non fragmenté : Non collecté

Fragmenté : collecté

Non collecté Recueilli
Métriques L2/L3 de l'appareil Non collecté Non collecté Non fragmenté : Non collecté

Fragmenté, niveau supérieur : collecté

Fragmenté, détail : Non collecté

Non collecté Recueilli
Paquets PCAP globaux Capturé Capturé Capturé Capturé Capturé
Paquets PCAP de précision Non capturé Non capturé Non capturé Non capturé Capturé
Découverte des appareils L2 Aucune découverte Découverte Découverte -- --
Découverte des appareils L3 Aucune découverte Aucune découverte Non fragmenté : aucune découverte

Fragmenté : Découverte

-- --

*Pour les filtres de port, lorsque des fragments IP sont présents dans le flux de données, aucun numéro de port n'est déterminé lors du réassemblage des fragments. Le système ExtraHop peut collecter des métriques, capturer des paquets ou découvrir un équipement même si la règle de filtrage des ports l'interdit autrement.

Les doublons L2 sont des trames Ethernet identiques. Les trames dupliquées n'existent généralement pas sur le fil, mais sont un artefact de la configuration du flux de données. Les doublons L3 sont des trames qui ne diffèrent que par l'en-tête L2 et le TTL IP. Ces trames sont généralement le résultat d'un tapotement des deux côtés d'un routeur. Comme ces trames existent sur le réseau surveillé, elles sont comptées en L2 et L3 aux emplacements référencés ci-dessus. La déduplication L3 est ciblée sur les niveaux L4 et supérieurs, par exemple, pour éviter de considérer les doublons L3 comme des retransmissions TCP.

Classification des protocoles

La classification des protocoles repose sur des charges utiles spécifiques pour identifier les protocoles personnalisés sur des ports spécifiques. Ces protocoles sont des protocoles de couche 7 (couche d'application) situés au-dessus du protocole de couche 4 (TCP ou UDP). Ces applications disposent de leur propre protocole personnalisé et utilisent également le protocole TCP.

Le Classification des protocoles page fournit une interface permettant d'exécuter les fonctions suivantes :

  • Répertoriez les applications et les ports pour les entités réseau suivantes :
    • Applications largement connues qui sont mappées sur des ports non standard.
    • Applications réseau personnalisées et moins connues.
    • Applications sans nom avec trafic TCP et UDP (par exemple, TCP 1234).
  • Ajoutez un mappage protocole-application personnalisé qui inclut les informations suivantes :
    Nom
    Le nom du protocole spécifié par l'utilisateur.
    Protocole
    Le protocole de couche 4 sélectionné (TCP ou UDP).
    Source
    (Facultatif) Le port source spécifié. Le port 0 indique n'importe quel port source.
    Destination
    Port de destination ou plage de ports.
    Initiation libre
    Cochez cette case si vous souhaitez que le classificateur tente de classer la connexion sans qu'elle soit ouverte. ExtraHop recommande de sélectionner une initiation lâche pour les écoulements à longue durée de vie.

    Par défaut, le système ExtraHop utilise une classification de protocole mal initiée, il tente donc de classer flux même après l' établissement de la connexion. Vous pouvez désactiver l'initiation libre pour les ports qui ne transportent pas toujours le trafic du protocole (par exemple, le port générique 0).

  • Supprimez de la liste les protocoles dont le nom d'application et le mappage de port ont été sélectionnés.

    Le nom et le port de l' application ne s'affichent pas dans le système ExtraHop ni dans les rapports basés sur une saisie de données future. L'équipement apparaîtra dans les rapports contenant des données historiques, s'il était actif et détectable au cours de la période indiquée.

  • Redémarrez la capture réseau.
    • Vous devez redémarrer la capture réseau avant que les modifications de classification des protocoles ne prennent effet.
    • Les données de capture précédemment collectées sont préservées.

Le système ExtraHop reconnaît la plupart des protocoles sur leurs ports standard, à quelques exceptions près. Dans l'édition Performance, les protocoles suivants sont reconnus sur tous les ports :

  • AJP
  • DTLS
  • FIX
  • HTTP
  • HTTP2
  • IIOP
  • Java RMI
  • LDAP
  • RPC
  • SSH
  • TLS

Sur RevealX 360, les protocoles suivants sont reconnus sur tous les ports :

  • ethminer
  • modèle getblock
  • RDP
  • RFB
  • Strate
  • LDAP
  • Java RMI
  • IIOP

Dans certains cas, si un protocole communique via un port non standard, il est nécessaire d'ajouter le port non standard sur la page Classification des protocoles. Dans ces cas, il est important de nommer correctement le port non standard. Le tableau ci-dessous répertorie les ports standard pour chacun des protocoles, ainsi que le nom du protocole qui doit être spécifié lors de l'ajout des numéros de port personnalisés sur la page Classification des protocoles.

Dans la plupart des cas, le nom que vous saisissez est le même que le nom du protocole. Les exceptions les plus courantes à cette règle sont Oracle (où le nom du protocole est TNS) et Microsoft SQL (où le nom du protocole est TDS).

Si vous ajoutez un nom de protocole comportant plusieurs ports de destination, ajoutez l'ensemble de la plage de ports en les séparant par un tiret (-). Par exemple, si votre protocole nécessite l'ajout des ports 1434, 1467 et 1489 pour le trafic de base de données, tapez 1434 à 1489 dans le Port de destination champ. Vous pouvez également ajouter chacun des trois ports dans trois classifications de protocoles distinctes portant le même nom.

Nom canonique Nom du protocole Transport Port source par défaut Port de destination par défaut
ActiveMQ ActiveMQ TCP 0 61616
AJP AJP TCP 0 8009
DB2 DB2 TCP 0 50000 et 60000
DHCP DHCP TCP 68 67
Diamètre AAA TCP 0 3868
DICOM DICOM TCP 0 3868
DNS DNS TCP, UDP 0 53
FIX FIX TCP 0 0
FTP FTP TCP 0 21
DONNÉES FTP DONNÉES FTP TCP 0 20
HL7 HL7 TCP, UDP 0 2575
HTTPS HTTPS TCP 0 443
IBM MQ IBMMQ TCP, UDP 0 1414
ICA ICA TCP 0 1494 et 2598
VÉLO VÉLO UDP 0 500
IMAP IMAP TCP 0 143
IMAPS IMAPS TCP 0 993
Informix Informix TCP 0 1526 et 1585
IPSEC IPSEC TCP, UDP 0 1293
IPX IPX TCP, UDP 0 213
IRC IRC TCP 0 6660-6669
ISAKMP ISAKMP UDP 0 500
iSCSI iSCSI TCP 0 3260
Kerberos Kerberos TCP, UDP 0 88
LDAP LDAP TCP 0 389, 390 et 3268
LLDP LLDP Niveau de lien N/A N/A
L2TP L2TP UDP 0 1701
Memcache Memcache TCP 0 11210 et 11211
Modbus Modbus TCP 0 502
MongoDB MongoDB TCP 0 27017
Serveur MS SQL TDS TCP 0 1433
MSMQ MSMQ TCP 0 1801
MSRPC MSRPC TCP 0 135
MySQL MySQL TCP 0 3306
NetFlow NetFlow UDP 0 2055
NFS NFS TCP 0 2049
NFS NFS UDP 0 2049
NTP NTP UDP 0 123
OpenVPN OpenVPN UDP 0 1194
Oracle TNS TCP 0 1521
PCoIP PCoIP UDP 0 4172
POP3 POP3 TCP 0 143
POP3 POP3 TCP 0 995
PostgreSQL PostgreSQL TCP 0 5432
RAYON AAA TCP 0 1812 et 1813
RAYON AAA UDP 0 1645, 1646, 1812, 1813
RDP RDP TCP 0 3389
Redis Redis TCP 0 6397
RFB RFB TCP 0 5900
PSCC PSCC TCP 0 2000
SIP SIP TCP 0 5060 et 5061
SMB SMB TCP 0 139 et 445
SMPP SMPP TCP 0 2775
SMTP SMTP TCP 0 25
SNMP SNMP UDP 0 162
SSH SSH TCP 0 0
Sybase Sybase TCP 0 10200
Sybase IQ Sybase IQ TCP 0 2638
Syslog Syslog UDP 0 514
Telnet Telnet TCP 0 23
TLS TLS TCP 0 443
VNC VNC TCP 0 5900
WebSocket WebSocket TCP 0 80 et 443
Optimisation de la diffusion de Windows Update Optimisation de la diffusion de Windows Update TCP 0 7860

Le nom spécifié dans la colonne Nom du protocole du tableau apparaît sur la page Classification des protocoles pour classer un protocole courant qui communique via des ports non standard.

Les protocoles du système ExtraHop qui n'apparaissent pas dans ce tableau sont les suivants :

HTTP
Le système ExtraHop classe le HTTP sur tous les ports.
HTTP-AMF
Ce protocole s'exécute en plus du protocole HTTP et est automatiquement classé.

Les protocoles de ce tableau qui n'apparaissent pas dans le système ExtraHop sont les suivants :

DONNÉES FTP
Le système ExtraHop ne gère pas les données FTP-DATA sur les ports non standard.
LLDP
Comme il s'agit d'un protocole au niveau des liens, la classification basée sur les ports ne s'applique pas.
Ajouter une classification de protocole personnalisée

La procédure suivante décrit comment ajouter des éléments personnalisés protocole étiquettes de classification avec le protocole TDS (MS SQL Server) à titre d' exemple.

Par défaut, le système ExtraHop recherche le trafic TDS sur le port TCP 1433. Pour ajouter l'analyse TDS de MS SQL Server sur un autre port, procédez comme suit.

  1. Dans le Configuration du système section, cliquez sur Capturez.
  2. Cliquez Classification des protocoles.
  3. Cliquez Ajouter un protocole.
  4. Sur le Classification des protocoles page, saisissez les informations suivantes :
    Nom
    Dans la liste déroulante, sélectionnez Ajouter une étiquette personnalisée....
    Nom
    Entrez TDS pour le nom du protocole personnalisé.
    Protocole
    Dans la liste déroulante, sélectionnez un protocole L4 à associer au protocole personnalisé (TCP dans cet exemple).
    Source
    Le port source du protocole personnalisé. (La valeur par défaut de 0 indique n'importe quel port source.)
    Destination
    Port de destination du protocole personnalisé. Pour spécifier une plage de ports, placez un tiret entre le premier et le dernier port de la plage. Par exemple, 3400-4400.
    Initiation libre
    Cochez cette case si vous souhaitez que le classificateur tente de classer la connexion sans qu'elle soit ouverte. ExtraHop recommande de sélectionner une initiation lâche pour les écoulements à longue durée de vie.

    Par défaut, le système ExtraHop utilise une classification de protocole mal initiée, il tente donc de classer flux même après l'établissement de la connexion. Vous pouvez désactiver l'initiation libre pour les ports qui ne transportent pas toujours le trafic du protocole (par exemple, le port générique 0).

  5. Cliquez Ajouter.
  6. Confirmez le changement de réglage, puis cliquez sur Redémarrer Capture pour que la modification prenne effet.
    Cela interrompt brièvement la collecte des données. Une fois la capture redémarrée, un message de confirmation s'affiche.
  7. Cliquez Terminé.
  8. Cliquez Afficher et enregistrer les modifications en haut de l' écran.
    Cette modification a été appliquée au fichier de configuration en cours d'exécution. Lorsque vous enregistrez la modification apportée au fichier de configuration en cours d'exécution, elle sera réappliquée au redémarrage du système ExtraHop.
  9. Cliquez Enregistrer pour enregistrer la modification dans la configuration par défaut.
    Une fois la configuration enregistrée, un message de confirmation apparaît.
  10. Cliquez Terminé.
Base de données les statistiques apparaissent désormais pour tous les périphériques exécutant TDS sur le port ajouté (dans cet exemple, 65000). Ce paramètre est appliqué à l'ensemble de la capture, vous n'avez donc pas besoin de l'ajouter par appareil.

Configurer Device Discovery

Le système ExtraHop peut découvrir et suivre les appareils par leur adresse MAC (L2 Discovery) ou par leur adresse IP (L3 Discovery). L2 Discovery offre l'avantage de suivre les métriques d'un équipement même si l'adresse IP est modifiée ou réattribuée par le biais d'une requête DHCP. Le système peut également détecter automatiquement les clients VPN.

Before you begin

Découvrez comment découverte d'équipements et Découverte de la L2 fonctionne dans le système ExtraHop. La modification de ces paramètres affecte la manière dont les métriques sont associées aux appareils.
Remarque :Les courtiers en paquets peuvent filtrer les demandes ARP. Le système ExtraHop s'appuie sur les requêtes ARP pour associer les adresses IP L3 aux adresses MAC L2.
Découvrez les appareils locaux

Si vous activez L3 Discovery, les appareils locaux sont suivis en fonction de leur adresse IP. Le système crée une entrée parent L2 pour l'adresse MAC et une entrée enfant L3 pour l'adresse IP. Au fil du temps, si l'adresse IP d'un équipement change, vous pouvez voir apparaître une seule entrée pour un parent L2 avec une adresse MAC avec plusieurs entrées L3 enfants avec des adresses IP différentes.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Découverte d'appareils.
  4. Dans le Découverte d'appareils locaux section, sélectionnez l'une des options suivantes :
    • Sélectionnez le Activer la découverte des équipements locaux case à cocher pour activer L3 Discovery.
    • Effacez le Activer la découverte des équipements locaux case à cocher pour activer L2 Discovery.
  5. Cliquez Enregistrer.
Découvrez les appareils distants par adresse IP

Vous pouvez configurer le système ExtraHop pour détecter automatiquement les appareils sur les sous-réseaux distants en ajoutant une plage d'adresses IP.

Remarque : Si votre système ExtraHop est configuré pour L2 Discovery et que vos appareils distants demandent des adresses IP via un agent relais DHCP, vous pouvez suivre les appareils en fonction de leur adresse MAC et vous n'avez pas besoin de configurer Remote L3 Discovery. En savoir plus sur découverte d'équipements.
Considérations importantes concernant Remote L3 Discovery :
  • Les informations L2, telles que l'adresse MAC de l'équipement et le trafic L2, ne sont pas disponibles si l'équipement se trouve sur un réseau différent de celui surveillé par le système ExtraHop. Ces informations ne sont pas transmises par les routeurs et ne sont donc pas visibles pour le système ExtraHop.
  • Soyez prudent lorsque vous spécifiez la notation CIDR. Un préfixe de sous-réseau /24 peut entraîner la découverte de 255 nouveaux périphériques par le système ExtraHop. Un préfixe de sous-réseau /16 étendu peut entraîner la découverte de 65 535 nouveaux périphériques, ce qui peut dépasser la limite de votre équipement.
  • Si une adresse IP est supprimée des paramètres de découverte d'appareils L3 distants, elle sera conservée dans le système ExtraHop en tant qu'équipement L3 distant tant qu'il existe des flux actifs pour cette adresse IP ou jusqu'à ce que la capture soit redémarrée. Après un redémarrage, l'équipement est répertorié comme un équipement distant L3 inactif.

    Si la même adresse IP est ajoutée ultérieurement via le flux de données local, cet équipement L3 distant peut passer à un équipement L3 local, mais uniquement si le processus de capture est redémarré et que le paramètre Local Device Discovery est activé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Découverte d'appareils.
  4. Dans le Découverte d'appareils à distance section, dans la Plages d'adresses IP dans le champ, saisissez l'adresse IP.
    Vous pouvez spécifier une adresse IP ou une notation CIDR, telle que 192.168.0.0/24 pour un réseau IPv4 ou 2001:db8::/32 pour un réseau IPv6.
    Important :Chaque adresse IP distante communiquant activement qui correspond au bloc CIDR sera découverte en tant qu'équipement unique dans le système ExtraHop . La spécification de préfixes de sous-réseau étendus tels que /16 peut entraîner la découverte de milliers de périphériques, ce qui peut dépasser la limite de votre équipement.
  5. Cliquez sur l'icône verte plus (+) pour ajouter l'adresse IP. Vous pouvez ajouter une autre adresse IP ou une autre plage d'adresses IP en répétant les étapes 4 et 5.
Important :Le processus de capture doit être redémarré lors de la suppression de plages d'adresses IP avant que les modifications ne prennent effet. Nous vous recommandons de supprimer toutes les entrées avant de redémarrer le processus de capture. Il n'est pas nécessaire de redémarrer le processus de capture lors de l'ajout de plages d'adresses IP.
Découvrez les clients VPN

Activez la découverte des adresses IP internes associées aux appareils clients VPN.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capture.
  3. Cliquez Découverte d'appareils.
  4. Dans le Découverte du client VPN section, sélectionnez l'une des options suivantes :
    • Sélectionnez le Activer la découverte des clients VPN case à cocher pour activer la découverte du client VPN.
    • Effacez le Activer la découverte des clients VPN case à cocher pour désactiver la découverte des clients VPN.
  5. Cliquez Enregistrer.

Décryptage TLS

Le système ExtraHop prend en charge le déchiffrement en temps réel du trafic TLS à des fins d'analyse. Avant que le système puisse déchiffrer votre trafic, vous devez configurer le transfert de clé de session ou télécharger un certificat de serveur TLS et une clé privée. Le certificat de serveur et les clés privées sont chargés via une connexion HTTPS depuis un navigateur Web vers le système ExtraHop.

Remarque :Le trafic de votre serveur doit être chiffré via l'un des ces suites de chiffrement prises en charge.
Aide sur cette page
Remarque :Le déchiffrement TLS nécessite une licence. Toutefois, si vous possédez une licence pour MS SQL, vous pouvez également télécharger un certificat TLS pour déchiffrer le trafic MS SQL à partir de ces paramètres.
Téléchargez un certificat PEM et une clé privée RSA
Conseil :Vous pouvez exporter une clé protégée par mot de passe à ajouter à votre système ExtraHop en exécutant la commande suivante sur un programme tel qu'OpenSSL :
openssl rsa -in yourcert.pem -out new.key
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans le Décryptage par clé privée section, cochez la case pour Exiger des clés privées.
  5. Cliquez Enregistrer.
  6. Dans le Clés privées section, cliquez sur Ajouter des clés.
  7. Dans le Nom dans ce champ, saisissez un nom descriptif pour identifier ce certificat et cette clé.
  8. Effacez le Activé case à cocher si vous souhaitez désactiver ce certificat TLS.
  9. Dans le Certificat champ, collez le certificat de clé publique.
  10. Dans le Clé privée dans le champ, collez la clé privée RSA.
  11. Cliquez Ajouter.

Que faire ensuite

Ajoutez les protocoles chiffrés vous souhaitez déchiffrer avec ce certificat.
Téléchargez un fichier PKCS #12 /PFX

Les fichiers PKCS #12 /PFX sont archivés dans un conteneur sécurisé sur le système ExtraHop et contiennent des paires de clés publiques et privées, accessibles uniquement par mot de passe.

Conseil :Pour exporter des clés privées d'un KeyStore Java vers un fichier PKCS #12, exécutez la commande suivante sur votre serveur, où javakeystore.jks est le chemin de votre KeyStore Java :
keytool -importkeystore -srckeystore javakeystore.jks -destkeystore 
pkcs.p12 -srcstoretype jks -deststoretype pkcs12
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans le Décryptage par clé privée section, cochez la case pour Exiger des clés privées.
  5. Cliquez Enregistrer.
  6. Dans le Clés privées section, cliquez sur Ajouter des clés.
  7. Dans le Ajouter un fichier PKCS #12 /PFX avec mot de passe section, dans le champ Description, saisissez un nom descriptif pour identifier ce certificat et cette clé.
  8. Effacez le Activé case à cocher si vous souhaitez désactiver ce certificat TLS.
  9. Pour Fichier PKCS #12 /PFX, cliquez Naviguez.
  10. Accédez au fichier et sélectionnez-le, puis cliquez sur Ouvrir.
  11. Dans le Mot de passe dans le champ, saisissez le mot de passe du fichier PKCS #12 /PFX.
  12. Cliquez Ajouter.
  13. Cliquez OK..

Que faire ensuite

Ajoutez les protocoles chiffrés vous souhaitez déchiffrer à l'aide de ce certificat.
Ajouter des protocoles chiffrés

Vous devez ajouter chaque protocole que vous souhaitez déchiffrer pour chaque certificat téléchargé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans le Mappage du protocole au port par clé section, cliquez sur Ajouter un protocole.
  5. À partir du Protocole dans la liste déroulante, sélectionnez le protocole que vous souhaitez déchiffrer.
  6. À partir du Clé dans la liste déroulante, sélectionnez une clé privée téléchargée.
  7. Dans le Port dans le champ, saisissez le port source du protocole.
    La valeur par défaut est 443, qui indique le trafic HTTP. Spécifiez 0 pour déchiffrer tout le trafic du protocole.
  8. Cliquez Ajouter.
Ajouter un port global au mappage de protocoles

Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans le Décryptage par clé privée section, effacez la Exiger des clés privées case à cocher.
  5. Dans le Protocole mondial vers la cartographie des ports section, cliquez sur Ajouter un protocole mondial.
  6. À partir du Protocole dans la liste déroulante, sélectionnez le protocole pour le trafic que vous souhaitez déchiffrer.
  7. Dans le Port dans ce champ, saisissez le numéro du port.
    Tapez 0 pour ajouter tous les ports.
  8. Cliquez Ajouter.
Installation du redirecteur de clés de session ExtraHop sur un serveur Windows

Le Perfect Forward Secrecy (PFS) est une propriété des protocoles de communication sécurisés qui permet des échanges de clés de session totalement privés à court terme entre les clients et les serveurs. ExtraHop propose un logiciel de transfert de clés de session qui peut envoyer des clés de session au système ExtraHop pour le déchiffrement TLS. Communication entre le transitaire de clés et sonde est chiffré avec TLS 1.2 ou TLS 1.3, et il n'y a aucune limite au nombre de clés de session que le système ExtraHop peut recevoir.

Remarque :Pour plus d'informations sur la manière dont le flux de trafic ou les modifications apportées à la configuration peuvent affecter les capteurs, consultez les mesures de désynchronisation et de capture du taux de baisse dans le tableau de bord de l'état du système.

Vous devez configurer le système ExtraHop pour le transfert des clés de session, puis installer le logiciel du redirecteur sur Fenêtres et Linux serveurs dont le trafic TLS doit être déchiffré.

Avant de commencer
  • Lisez à propos de Décryptage TLS et consultez la liste des suites de chiffrement prises en charge.
  • Assurez-vous que le système ExtraHop possède une licence pour le déchiffrement TLS et les secrets partagés TLS.
  • Assurez-vous que votre environnement de serveur est pris en charge par le logiciel de redirection de clés de session ExtraHop :
    • Package de sécurité Microsoft Secure Channel (Schannel)
    • Java TLS (versions Java 8 à 17). N'effectuez pas de mise à niveau vers cette version du redirecteur de clé de session si vous surveillez actuellement des environnements Java 6 ou Java 7. La version 7.9 du redirecteur de clé de session prend en charge Java 6 et Java 7 et est compatible avec le dernier firmware ExtraHop.
    • Bibliothèques OpenSSL (1.0.x et 1.1.x) liées dynamiquement. OpenSSL n'est pris en charge que sur les systèmes Linux dotés des versions de noyau 4.4 et ultérieures et RHEL 7.6 et versions ultérieures.
  • Assurez-vous que le serveur sur lequel vous installez le redirecteur de clé de session approuve le certificat TLS de l'ExtraHop sonde.
  • Assurez-vous que vos règles de pare-feu autorisent le serveur surveillé à établir des connexions au port TCP 4873 de la sonde.
Important :Le système ExtraHop ne peut pas déchiffrer le trafic TDS chiffré par TLS via le transfert de clé de session. Au lieu de cela, vous pouvez télécharger un RSA clé privée.
  • Installez le redirecteur de clé de session sur un ou plusieurs serveurs Windows 2016 ou Windows 2019 qui exécutent des services TLS avec le framework TLS natif de Windows. OpenSSL sur Windows n'est actuellement pas pris en charge.
Important :Après avoir installé le logiciel de transfert de clés de session, les applications qui incluent des fonctionnalités compatibles TLS, telles que les agents EDR et les applications du Windows Store, peuvent ne pas fonctionner correctement.

Validez la compatibilité du redirecteur de clé de session dans votre environnement de test Windows avant de le déployer dans votre environnement de production.

Décryptage du trafic des applications Windows

Le trafic des applications Microsoft suivant peut être déchiffré à l'aide du redirecteur de clé de session.

  • Microsoft IIS
  • Microsoft PowerShell
  • Microsoft SQL Server
Installez le logiciel à l'aide de l'assistant d'installation
  1. Connectez-vous au serveur Windows.
  2. Télécharger la dernière version du logiciel de transfert de clés de session.
  3. Double-cliquez sur ExtraHopSessionKeyForwarder.exe fichier et cliquez Suivant.
  4. Si le système vous invite à autoriser l'exécution du programme d'installation avec des privilèges d'administrateur, cliquez sur OK..
  5. Cochez la case pour accepter les termes du contrat de licence, puis cliquez sur Suivant.
  6. Entrez le nom d'hôte ou l'adresse IP du sonde où vous souhaitez transférer les clés de session.
    Remarque :Vous pouvez transmettre les clés de session à plusieurs sondes en saisissant des noms d'hôtes séparés par des virgules. Par exemple :
    packet-sensor.example.com,ids-sensor.example.com
  7. Facultatif : Sélectionnez le Options avancées case à cocher. Acceptez la valeur de port d' écoute TCP par défaut de 598 (recommandé), ou saisissez une valeur de port personnalisée.
  8. Cliquez Installez.
  9. Lorsque l'installation est terminée, cliquez sur Terminer.
Option d'installation par ligne de commande

Les étapes suivantes vous indiquent comment installer le redirecteur de clé de session à partir d'une invite de commande Windows ou de Windows PowerShell.

  1. Connectez-vous au serveur Windows.
  2. Télécharger la dernière version du logiciel de transfert de clés de session.
  3. Exécutez la commande suivante :
    ExtraHopSessionKeyForwarderSetup.exe -q EDA_HOSTNAME="<hostname or IP address of sensor>"
    Remarque :Le -q L'option installe le redirecteur en mode non interactif, ce qui ne demande pas de confirmation. Vous pouvez omettre le -q option pour installer le redirecteur en mode interactif.
    Remarque :Vous pouvez spécifier plusieurs capteurs dans une liste séparée par des virgules. Par exemple, la commande suivante spécifie deux capteurs :
    ExtraHopSessionKeyForwarderSetup.exe EDA_HOSTNAME="packet-sensor.example.com,ids-sensor.example.com"

    Pour plus d'informations sur les options d'installation, voir Paramètres d'installation.

Activer le service de réception de clés de session TLS

Vous devez activer le service de réception des clés de session sur le système ExtraHop pour que le système puisse recevoir et déchiffrer les clés de session depuis le redirecteur de clés de session. Par défaut, ce service est désactivé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres de l'appliance section, cliquez sur Services.
  3. Sélectionnez le Récepteur de clé de session SSL case à cocher.
  4. Cliquez Enregistrer.
Ajouter un port global au mappage de protocoles

Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans le Décryptage par clé privée section, effacez la Exiger des clés privées case à cocher.
  5. Dans le Protocole mondial vers la cartographie des ports section, cliquez sur Ajouter un protocole mondial.
  6. À partir du Protocole dans la liste déroulante, sélectionnez le protocole pour le trafic que vous souhaitez déchiffrer.
  7. Dans le Port dans ce champ, saisissez le numéro du port.
    Tapez 0 pour ajouter tous les ports.
  8. Cliquez Ajouter.
Afficher les redirecteurs de clés de session connectés

Vous pouvez consulter les redirecteurs de clés de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clés de session TLS sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clés de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Secrets partagés SSL.
Valider le transfert des clés de session

Effectuez ces étapes pour vous assurer que l'installation s'est bien déroulée et que le redirecteur de clés de session transmet les clés au système ExtraHop.

  1. Connectez-vous au serveur Windows.
  2. Ouvrez le composant logiciel enfichable Services MMC. Assurez-vous que les deux services, « ExtraHop Session Key Forwarder » et «   ExtraHop Registry Service », affichent l'état « En cours d'exécution ».

  3. Si l'un des services n'est pas en cours d'exécution, résolvez le problème en suivant les étapes ci-dessous.
    1. Ouvrez le composant logiciel enfichable Event Viewer MMC et accédez à Windows Logs > Application.
    2. Localisez les entrées les plus récentes pour la source ExtraHopAgent. Les causes courantes d'échec et les messages d'erreur associés sont répertoriés dans le Résoudre les problèmes liés aux messages d'erreur courants section ci-dessous.
  4. Si le composant logiciel enfichable Services and Event Viewer n'indique aucun problème, appliquez une charge de travail aux services surveillés et accédez au système ExtraHop pour vérifier que le déchiffrement basé sur le secret fonctionne.
Lorsque le système ExtraHop reçoit des clés de session et les applique à des sessions déchiffrées, le compteur métrique Shared Secret (dans Applications > Toutes les activités > Sessions SSL déchiffrées) est incrémenté. Créez un tableau de bord avec cette métrique pour voir si la sonde reçoit correctement les clés de session des serveurs surveillés.

Vérifiez la configuration depuis la ligne de commande

Si vous rencontrez des problèmes de configuration, le binaire du redirecteur de clé de session inclut un mode test auquel vous pouvez accéder depuis la ligne de commande pour tester votre configuration.

  1. Connectez-vous à votre serveur Windows.
  2. Ouvrez l'application Windows PowerShell.
  3. Effectuez un test de vérification en exécutant la commande suivante :
    & 'C:\Program Files\ExtraHop\extrahop-agent.exe' -t -server <eda hostname>

    <eda hostname> est le nom de domaine complet de la sonde à laquelle vous transférez des secrets.

    La sortie suivante doit apparaître :

    <timestamp> Performing connectivity test
    <timestamp> No connectivity issues detected

    En cas de problème de configuration, des conseils de dépannage apparaissent dans la sortie pour vous aider à résoudre le problème. Suivez les suggestions pour résoudre le problème, puis relancez le test.

  4. Vous pouvez éventuellement tester le remplacement du chemin du certificat et du nom du serveur en ajoutant les options suivantes à la commande ci-dessus.
    • Spécifiez cette option pour tester le certificat sans l'ajouter au magasin de certificats.

      -cert <file path to certificate>
    • Spécifiez cette option pour tester la connexion en cas de non-concordance entre le nom d'hôte du système ExtraHop connu par le redirecteur ( SERVER) et le nom commun (CN) présenté dans le certificat TLS du système ExtraHop.

      -server-name-override <common name>
Principaux indicateurs de santé du système récepteur

Le système ExtraHop fournit des indicateurs clés sur les récepteurs que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités des principaux destinataires.

Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Type récepteur clé dans le champ de filtre pour afficher toutes les mesures de réception clés disponibles.

Conseil :Pour savoir comment créer un nouveau graphique de tableau de bord, voir Modifier un graphique à l'aide de l'explorateur de métriques.
Intégrez le redirecteur à l'application TLS basée sur Java
Le redirecteur de clés de session ExtraHop s'intègre aux applications Java via -javaagent option. Consultez les instructions spécifiques de votre application pour modifier l'environnement d'exécution Java afin d'inclure les -javaagent option.

Par exemple, Apache Tomcat prend en charge la personnalisation des options Java dans les propriétés du gestionnaire de services Tomcat. Dans l'exemple suivant, ajouter le -javaagent L'option de la section Options Java permet au moteur d'exécution Java de partager les secrets de session TLS avec le processus de transfert de clés, qui les transmet ensuite au système ExtraHop afin qu'ils puissent être déchiffrés.

-javaagent:C:\Program Files\ExtraHop\exagent.jar


Remarque :Si votre serveur exécute Java 17 ou une version ultérieure, vous devez également autoriser le module sun.security.ssl à accéder à tous les modules anonymes avec le --add-opens option, comme illustré dans l' exemple suivant :
--add-opens java.base/sun.security.ssl=ALL-UNNAMED
Appendice
Résoudre les problèmes liés aux messages d'erreur courants

Les messages d'erreur sont enregistrés dans les fichiers journaux aux emplacements suivants, où TMP est la valeur de votre variable d'environnement TMP :

  • TMP\ExtraHopSessionKeyForwarderSetup.log
  • TMP\ExtraHopSessionKeyForwarderMsi.log

Le tableau suivant présente les messages d'erreur courants que vous pouvez résoudre. Si une autre erreur s'affiche ou si la solution proposée ne résout pas votre problème, contactez le support ExtraHop .

Message Cause Solution
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond Le serveur surveillé ne peut acheminer aucun trafic vers sonde. Assurez-vous que les règles de pare-feu autorisent le serveur surveillé à établir des connexions vers le port TCP 4873 du sonde.
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it Le serveur surveillé peut acheminer le trafic vers sonde, mais le processus de réception n'écoute pas. Assurez-vous que sonde est concédé sous licence pour les fonctionnalités TLS Decryption et TLS Shared Secrets.
connect: x509: certificate signed by unknown authority Le serveur surveillé n'est pas en mesure de chaîner les sonde certificat auprès d'une autorité de certification (CA) de confiance. Assurez-vous que le magasin de certificats Windows pour le compte d'ordinateur dispose d'autorités de certification racine fiables qui établissent une chaîne de confiance pour sonde.
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs Une adresse IP a été fournie en tant que EDA_HOSTNAME paramètre lors de l'installation du redirecteur, mais le certificat TLS présenté par la sonde n'inclut pas d'adresse IP en tant que nom alternatif du sujet (SAN). Choisissez l'une des trois solutions suivantes.
  • S'il existe un nom d'hôte auquel le serveur peut se connecter sonde avec, et ce nom d'hôte correspond au nom du sujet dans sonde certificat, désinstallez et réinstallez le redirecteur, en spécifiant ce nom d'hôte comme valeur de EDA_HOSTNAME.
  • Si le serveur doit se connecter au sonde par adresse IP, désinstallez et réinstallez le redirecteur, en spécifiant le nom du sujet du certificat de la sonde comme valeur de SERVERNAMEOVERRIDE.
  • Rééditez le sonde certificat pour inclure un nom alternatif de sujet IP (SAN) pour l'adresse IP donnée.
Désinstallez le logiciel

Si vous ne souhaitez plus installer le logiciel de transfert de clé de session ExtraHop, ou si l'un des paramètres d'installation d'origine a changé (nom d'hôte de la sonde ou certificat) et que vous devez réinstaller le logiciel avec de nouveaux paramètres, procédez comme suit :

Important :Vous devez redémarrer le serveur pour que les modifications de configuration soient prises en compte.
  1. Connectez-vous au serveur Windows.
  2. Facultatif : Si vous avez intégré le redirecteur de clé de session à Apache Tomcat, supprimez le -javaagent:C:\Program Files\ExtraHop\exagent.jar entrée depuis Tomcat pour empêcher l'arrêt du service Web.
  3. Choisissez l'une des options suivantes pour supprimer le logiciel :
    • Ouvrez le panneau de configuration et cliquez sur Désinstaller un programme. Sélectionnez Transmetteur de clés de session ExtraHop dans la liste, puis cliquez sur Désinstaller.
    • Ouvrez une invite de commande PowerShell et exécutez les commandes suivantes pour supprimer le logiciel et les entrées de registre associées :

      1. $app=Get-WMIObject -class win32_product | where-object {$_.name -eq "ExtraHop Session Key Forwarder"}
      2. $app.Uninstall()
  4. Cliquez Oui pour confirmer.
  5. Une fois le logiciel supprimé, cliquez sur Oui pour redémarrer le système
Paramètres d'installation

Vous pouvez spécifier les paramètres MSI suivants :

Paramètre d'installation MSI EDA_HOSTNAME
Entrée de registre HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\EDAHost
Descriptif Le sonde nom d'hôte ou adresse IP à laquelle les clés de session TLS seront envoyées.

Ce paramètre est obligatoire.

Paramètre d'installation MSI EDA_CERTIFICATEPATH
Entrée de registre N/A
Descriptif

Le serveur surveillé doit faire confiance à l'émetteur du sonde Certificat TLS via le magasin de certificats du serveur.

Dans certains environnements, sonde fonctionne avec le certificat auto-signé généré par le firmware ExtraHop lors de l'installation. Dans ce cas, le certificat doit être ajouté au magasin de certificats. Le EDA_CERTIFICATEPATH Le paramètre permet d'importer un certificat codé PEM basé sur un fichier dans le magasin de certificats Windows lors de l'installation.

Si le paramètre n'est pas spécifié lors de l'installation et qu'un certificat auto-signé ou un autre certificat CA doit être placé manuellement dans le magasin de certificats, l' administrateur doit importer le certificat dans Certificats (compte d'ordinateur) > Autorités de certification racine fiables sur le système surveillé.

Ce paramètre est facultatif si le serveur surveillé a été précédemment configuré pour faire confiance au certificat TLS du sonde via le magasin de certificats Windows.

Paramètre d'installation MSI SERVERNAMEOVERRIDE
Entrée de registre HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\ServerNameOverride
Descriptif

S'il y a un décalage entre les sonde le nom d'hôte que le redirecteur connaît (EDA_HOSTNAME) et le nom commun (CN) qui est présenté dans le certificat TLS du sonde, le redirecteur doit être configuré avec le bon CN.

Ce paramètre est facultatif.

Nous vous recommandons de régénérer le certificat auto-signé TLS en fonction du nom d'hôte du Certificat TLS section des paramètres d'administration au lieu de spécifier ce paramètre.
Paramètre d'installation MSI TCPLISTENPORT
Entrée de registre HKEY_LOCAL_MACHINE\SOFTWARE\ExtraHop\TCPListenPort
Descriptif Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans TCPListenPort entrée. Nous vous recommandons de conserver la valeur par défaut de 598 pour ce port.

Ce paramètre est facultatif.

Suites de chiffrement TLS prises en charge

Le système ExtraHop peut déchiffrer le trafic TLS chiffré à l'aide de suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.

Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.

Méthodes de déchiffrement
Le tableau ci-dessous fournit une liste des suites de chiffrement que le système ExtraHop peut utiliser. décrypter ainsi que les options de déchiffrement prises en charge.
  • PFS + GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement avec transfert de clé de session et mappage global entre protocole et port
  • Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement à l'aide du transfert de clé de session et du certificat et clé privée
  • Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale Nom (IANA) Nom (OpenSSL) Décryptage pris en charge
0x04 TLS_RSA_AVEC_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Certificat RSA + Certificat
0x05 TLS_RSA_AVEC_RC4_128_SHA RC4-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA PFS + GPP PFS + Certificat
0x2F TLS_RSA_WITH_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x33 TLS_DHE_RSA_WITH_AES_128_CBC_SHA DHE-RSA-AES128-SHA PFS + GPP PFS + Certificat
0x35 TLS_RSA_WITH_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x39 TLS_DHE_RSA_WITH_AES_256_CBC_SHA DHE-RSA-AES256-SHA PFS + GPP PFS + Certificat
0x3C TLS_RSA_WITH_AES_128_CBC_SHA256 AES128-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x3D TLS_RSA_WITH_AES_256_CBC_SHA256 AES256-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x67 TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 PFS + GPP PFS + Certificat
0 x 6B TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 PFS + GPP PFS + Certificat
0x9C TLS_RSA_AVEC_AES_128_GCM_SHA256 AES128-GCM-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x9D TLS_RSA_AVEC_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9 TLS_DHE_RSA_AVEC_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Certificat
0 x 9 F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Certificat
0x1301 TLS_AES_128_GCM_SHA255 TLS_AES_128_GCM_SHA255 PFS + GPP PFS + Certificat
0x1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 PFS + GPP PFS + Certificat
0x1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 PFS + GPP PFS + Certificat
0 x C007 TLS_ECDHE_ECDSA_AVEC_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS + GPP
0 x C008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS + GPP
0 x C009 TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS + GPP
0xC00A TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS + GPP
0 x C011 TLS_ECDHE_RSA_AVEC_RC4_128_SHA ECDHE-RSA-RC4-SHA PFS + GPP PFS + Certificat
0 x C012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA PFS + GPP PFS + Certificat
0 x C013 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA PFS + GPP PFS + Certificat
0 x C014 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA PFS + GPP PFS + Certificat
0 x C023 TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS + GPP
0 x C024 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS + GPP
0 x C027 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 PFS + GPP PFS + Certificat
0 x C028 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 PFS + GPP PFS + Certificat
0xC02B TLS_ECDHE_ECDSA_AVEC_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS + GPP
0xC02C TLS_ECDHE_ECDSA_AVEC_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS + GPP
0xC02F TLS_ECDHE_RSA_AVEC_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Certificat
0 x C030 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Certificat
0 x CCA8 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Certificat
0 x CCA9 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS + GPP
0 x CCAA TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Certificat
Exportez le fichier MSI depuis le fichier exécutable

Vous pouvez exporter le fichier MSI à partir du fichier exécutable pour prendre en charge un flux de travail d'installation personnalisé.

Ouvrez une invite de commande PowerShell et exécutez la commande suivante :
ExtraHopSessionKeyForwarderSetup.exe -e
Remarque :Vous pouvez ajouter <directory> à la -e paramètre pour enregistrer le .msi fichier dans un répertoire autre que le répertoire de travail actuel. Par exemple, la commande suivante enregistre le fichier dans install_dir annuaire :
ExtraHopSessionKeyForwarderSetup.exe -e install_dir
Installez le redirecteur de clé de session ExtraHop sur un serveur Linux

Le Perfect Forward Secrecy (PFS) est une propriété des protocoles de communication sécurisés qui permet des échanges de clés de session totalement privés à court terme entre les clients et les serveurs. ExtraHop propose un logiciel de transfert de clés de session qui peut envoyer des clés de session au système ExtraHop pour le déchiffrement TLS. Communication entre le transitaire de clés et sonde est chiffré avec TLS 1.2 ou TLS 1.3, et il n'y a aucune limite au nombre de clés de session que le système ExtraHop peut recevoir.

Remarque :Pour plus d'informations sur la manière dont le flux de trafic ou les modifications apportées à la configuration peuvent affecter les capteurs, consultez les mesures de désynchronisation et de capture du taux de baisse dans le tableau de bord de l'état du système.

Vous devez configurer le système ExtraHop pour le transfert des clés de session, puis installer le logiciel du redirecteur sur Fenêtres et Linux serveurs dont le trafic TLS doit être déchiffré.

Avant de commencer
  • Lisez à propos de Décryptage TLS et consultez la liste des suites de chiffrement prises en charge.
  • Assurez-vous que le système ExtraHop possède une licence pour le déchiffrement TLS et les secrets partagés TLS.
  • Assurez-vous que votre environnement de serveur est pris en charge par le logiciel de redirection de clés de session ExtraHop :
    • Package de sécurité Microsoft Secure Channel (Schannel)
    • Java TLS (versions Java 8 à 17). N'effectuez pas de mise à niveau vers cette version du redirecteur de clé de session si vous surveillez actuellement des environnements Java 6 ou Java 7. La version 7.9 du redirecteur de clé de session prend en charge Java 6 et Java 7 et est compatible avec le dernier firmware ExtraHop.
    • Bibliothèques OpenSSL (1.0.x et 1.1.x) liées dynamiquement. OpenSSL n'est pris en charge que sur les systèmes Linux dotés des versions de noyau 4.4 et ultérieures et RHEL 7.6 et versions ultérieures.
  • Assurez-vous que le serveur sur lequel vous installez le redirecteur de clé de session approuve le certificat TLS de l'ExtraHop sonde.
  • Assurez-vous que vos règles de pare-feu autorisent le serveur surveillé à établir des connexions au port TCP 4873 de la sonde.
Important :Le système ExtraHop ne peut pas déchiffrer le trafic TDS chiffré par TLS via le transfert de clé de session. Au lieu de cela, vous pouvez télécharger un RSA clé privée.
  • Installez le redirecteur de clé de session sur les distributions Linux RHEL, CentOS, Fedora ou Debian-Ubuntu. Le redirecteur de clé de session peut ne pas fonctionner correctement sur d'autres distributions.
  • Le redirecteur de clé de session n'a pas été testé de manière approfondie avec SELinux et risque de ne pas être compatible lorsqu'il est activé sur certaines distributions Linux.
Activer le service de réception de clés de session TLS

Vous devez activer le service de réception des clés de session sur le système ExtraHop pour que le système puisse recevoir et déchiffrer les clés de session depuis le redirecteur de clés de session. Par défaut, ce service est désactivé.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Paramètres de l'appliance section, cliquez sur Services.
  3. Sélectionnez le Récepteur de clé de session SSL case à cocher.
  4. Cliquez Enregistrer.
Ajouter un port global au mappage de protocoles

Ajoutez chaque protocole pour le trafic que vous souhaitez déchiffrer à l'aide de vos redirecteurs de clé de session.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décryptage SSL.
  4. Dans le Décryptage par clé privée section, effacez la Exiger des clés privées case à cocher.
  5. Dans le Protocole mondial vers la cartographie des ports section, cliquez sur Ajouter un protocole mondial.
  6. À partir du Protocole dans la liste déroulante, sélectionnez le protocole pour le trafic que vous souhaitez déchiffrer.
  7. Dans le Port dans ce champ, saisissez le numéro du port.
    Tapez 0 pour ajouter tous les ports.
  8. Cliquez Ajouter.
Installez le logiciel
Distributions basées sur les RPM
Conseil :Vous pouvez installer le redirecteur sans intervention de l'utilisateur en spécifiant variables d'environnement dans la commande d'installation.
  1. Connectez-vous à votre serveur Linux basé sur RPM.
  2. Télécharger la dernière version du logiciel de transfert de clés de session ExtraHop.
  3. Ouvrez une application de terminal et exécutez la commande suivante :
    sudo rpm --install <path to installer file>
  4. Ouvrez le script d'initialisation dans un éditeur de texte (vi ou vim, par exemple).
    sudo vi /opt/extrahop/etc/extrahop-key-forwarder.conf
  5. Supprimez le symbole de hachage (#) situé devant le champ EDA_HOSTNAME et saisissez le nom de domaine complet de votre sonde, comme dans l'exemple suivant.
    EDA_HOSTNAME=discover.example.com
    Remarque :Vous pouvez transmettre les clés de session à plusieurs sondes en saisissant des noms d'hôtes séparés par des virgules. Par exemple :
    EDA_HOSTNAME=packet-sensor.example.com,ids-sensor.example.com
  6. Facultatif : Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans LOCAL_LISTENER_PORT champ. Nous vous recommandons de conserver la valeur par défaut de 598 pour ce port. Si vous modifiez le numéro de port, vous devez modifier -javaagent argument pour prendre en compte le nouveau port.
  7. Facultatif : Si vous préférez que Syslog écrive dans une installation différente de local3 pour les messages du journal du redirecteur de clés, vous pouvez modifier le SYSLOG champ.
    Le contenu du extrahop-key-forwarder.conf le fichier doit ressembler à l' exemple suivant :
    #EDA_HOSTED_PLATFORM=aws
    EDA_HOSTNAME=sensor.example.com
    LOCAL_LISTENER_PORT=598
    SYSLOG=local3
    ADDITIONAL_ARGS=''
    
  8. Enregistrez le fichier et quittez l'éditeur de texte.
  9. Si votre serveur gère des conteneurs avec le runtime containerd, vous devez ajouter les paramètres suivants du /opt/extrahop/etc/extrahop-key-forwarder.conf configuration fichier :
    • -containerd-enable
    • -containerd-socket
    • -containerd-state
    • -containerd-state-rootfs-subdir

    Pour plus d'informations sur ces paramètres et d'autres paramètres facultatifs, voir Options du redirecteur de clé de session.

  10. Démarrez le extrahop-key-forwarder service :
    sudo service extrahop-key-forwarder start
Distributions Debian-Ubuntu
Conseil :Vous pouvez installer le redirecteur sans intervention de l'utilisateur en spécifiant variables d'environnement dans la commande d'installation.
  1. Connectez-vous à votre serveur Debian ou Ubuntu Linux.
  2. Télécharger la dernière version du logiciel de transfert de clés de session ExtraHop.
  3. Ouvrez une application de terminal et exécutez la commande suivante.
    sudo dpkg --install <path to installer file>
  4. Sélectionnez direct puis appuyez sur ENTER.
  5. Tapez le nom de domaine complet ou l'adresse IP du système ExtraHop vers lequel les clés de session seront transmises, puis appuyez sur ENTER.
    Remarque :Vous pouvez transmettre les clés de session à plusieurs sondes en saisissant des noms d'hôtes séparés par des virgules. Par exemple :
    packet-sensor.example.com,ids-sensor.example.com
  6. Si votre serveur gère des conteneurs avec le runtime containerd, vous devez ajouter les paramètres suivants du /opt/extrahop/etc/extrahop-key-forwarder.conf configuration fichier :
    • -containerd-enable
    • -containerd-socket
    • -containerd-state
    • -containerd-state-rootfs-subdir

    Pour plus d'informations sur ces paramètres et d'autres paramètres facultatifs, voir Options du redirecteur de clé de session.

  7. Assurez-vous que extrahop-key-forwarder le service a démarré :
    sudo service extrahop-key-forwarder status
    La sortie suivante doit apparaître :
    extrahop-key-forwarder.service - LSB: ExtraHop Session Key Forwarder
    Loaded: loaded (/etc/rc.d/init.d/extrahop-key-forwarder; bad; vendor preset: disabled)
    Active: active (running) since Tue 2018-04-10 10:55:47 PDT; 5s ago
    Si le service n'est pas actif, exécutez la commande suivante :
    sudo service extrahop-key-forwarder start
Intégrez le redirecteur à l'application TLS basée sur Java
Le redirecteur de clés de session ExtraHop s'intègre aux applications Java via -javaagent option. Consultez les instructions spécifiques de votre application pour modifier l'environnement d'exécution Java afin d'inclure -javaagent option.

Par exemple, de nombreux environnements Tomcat prennent en charge la personnalisation des options Java dans /etc/default/tomcat7 dossier. Dans l'exemple suivant, ajouter -javaagent L'option sur la ligne JAVA_OPTS permet au moteur d'exécution Java de partager les secrets de session TLS avec le processus de transfert de clés, qui les transmet ensuite au système ExtraHop afin qu'ils puissent être déchiffrés.

JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar

Si votre serveur exécute Java 17 ou une version ultérieure, vous devez également autoriser le module sun.security.ssl à accéder à tous les modules sans nom à l'aide de l'option --add-opens, comme illustré dans l'exemple suivant :

JAVA_OPTS="... -javaagent:/opt/extrahop/lib/exagent.jar --add-opens java.base/sun.security.ssl=ALL-UNNAMED
Validez et dépannez votre installation

Si votre serveur Linux dispose d'un accès réseau au système ExtraHop et que la configuration TLS du serveur approuve le certificat présenté par le système ExtraHop que vous avez spécifié lors de l'installation du redirecteur de clé de session, la configuration est terminée.

Si vous rencontrez des problèmes de configuration, le binaire du redirecteur de clé de session inclut un mode test auquel vous pouvez accéder depuis la ligne de commande pour tester votre configuration.

  1. Connectez-vous à votre serveur Linux.
  2. Pour valider votre installation, effectuez un premier test en exécutant la commande suivante :
    /opt/extrahop/sbin/extrahop-agent -t=true -server <eda hostname>

    La sortie suivante doit apparaître :

    <timestamp> Performing connectivity test
    <timestamp> No connectivity issues detected

    En cas de problème de configuration, des conseils de dépannage apparaissent dans la sortie pour vous aider à résoudre le problème. Suivez les suggestions pour résoudre le problème, puis relancez le test.

  3. Vous pouvez éventuellement tester le remplacement du chemin du certificat et du nom du serveur en ajoutant les options suivantes à la commande ci-dessus.
    • Spécifiez cette option pour tester le certificat sans l'ajouter au magasin de certificats.

      -cert <file path to certificate>
    • Spécifiez cette option pour tester la connexion en cas de non-concordance entre le nom d'hôte du système ExtraHop connu par le redirecteur (SERVER) et le nom commun (CN) présenté dans le certificat TLS du système ExtraHop.

      -server-name-override <common name>
(Facultatif) Configurer un remplacement de nom de serveur

En cas de non-concordance entre le nom d'hôte du système ExtraHop connu par le redirecteur (SERVER) et le nom commun (CN) présenté dans le certificat TLS du système ExtraHop, le redirecteur doit être configuré avec le bon CN.

Nous vous recommandons de régénérer le certificat auto-signé TLS en fonction du nom d'hôte du Certificat SSL section des paramètres d'administration au lieu de spécifier ce paramètre.
  1. Connectez-vous à votre serveur Linux.
  2. Ouvrez le fichier de configuration dans un éditeur de texte.
    vi /opt/extrahop/etc/extrahop-key-forwarder.conf
  3. Ajoutez un SERVER_NAME_OVERRIDE paramètre dont la valeur correspond au nom trouvé dans le certificat TLS du système ExtraHop, comme dans l'exemple suivant :
    SERVER_NAME_OVERRIDE=altname.example.com
  4. Enregistrez le fichier et quittez l'éditeur de texte.
  5. Démarrez le extrahop-key-forwarder service.
    sudo service extrahop-key-forwarder start
Principaux indicateurs de santé du système récepteur

Le système ExtraHop fournit des indicateurs clés sur les récepteurs que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités des principaux destinataires.

Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Type récepteur clé dans le champ de filtre pour afficher toutes les mesures de réception clés disponibles.

Conseil :Pour savoir comment créer un nouveau graphique de tableau de bord, voir Modifier un graphique à l'aide de l'explorateur de métriques.
Afficher les redirecteurs de clés de session connectés

Vous pouvez consulter les redirecteurs de clés de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clés de session TLS sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clés de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Secrets partagés SSL.
Désinstallez le logiciel

Si vous ne souhaitez plus installer le logiciel de transfert de clé de session ExtraHop, procédez comme suit.

  1. Connectez-vous au serveur Linux.
  2. Ouvrez une application de terminal et choisissez l'une des options suivantes pour supprimer le logiciel.
    • Pour les serveurs basés sur le RPM, exécutez la commande suivante :
      sudo rpm --erase extrahop-key-forwarder
    • Pour les serveurs Debian et Ubuntu, exécutez la commande suivante :
      sudo apt-get --purge remove extrahop-key-forwarder

      Type Y à l'invite pour confirmer la suppression du logiciel, puis appuyez sur ENTER.

  3. Cliquez Oui pour confirmer.
  4. Une fois le logiciel supprimé, cliquez sur Oui pour redémarrer le système
Messages d'erreur courants

Les erreurs créées par le redirecteur de clé de session sont enregistrées dans le fichier journal du système Linux.

Message Cause Solution
connect: dial tcp <IP address>:4873: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond Le serveur surveillé ne peut acheminer aucun trafic vers sonde. Assurez-vous que les règles de pare-feu autorisent le serveur surveillé à établir des connexions vers le port TCP 4873 du sonde.
connect: dial tcp <IP address>:4873: connectex: No connection could be made because the target machine actively refused it Le serveur surveillé peut acheminer le trafic vers sonde, mais le processus de réception n'écoute pas. Assurez-vous que sonde est concédé sous licence pour les fonctionnalités TLS Decryption et TLS Shared Secrets.
connect: x509: certificate signed by unknown authority Le serveur surveillé n'est pas en mesure de chaîner sonde certificat auprès d'une autorité de certification (CA) de confiance. Assurez-vous que le magasin de certificats Linux pour le compte d'ordinateur dispose d'autorités de certification racine fiables qui établissent une chaîne de confiance pour sonde.
connect: x509: cannot validate certificate for <IP address> because it doesn't contain any IP SANs Une adresse IP a été fournie en tant que SERVER paramètre lors de l'installation du redirecteur, mais le certificat TLS présenté par la sonde n'inclut pas d'adresse IP en tant que nom alternatif du sujet (SAN). Choisissez l'une des trois solutions suivantes.
  • Remplacez l'adresse IP du SERVER valeur dans /etc/init.d/extrahop-key-forwarder fichier avec un nom d'hôte. Le nom d'hôte doit correspondre au nom du sujet figurant sur le certificat de la sonde.
  • Si le serveur doit se connecter à sonde par adresse IP, désinstallez et réinstallez le redirecteur, en spécifiant le nom du sujet du certificat de la sonde comme valeur de server-name-override.
  • Rééditez le sonde certificat pour inclure un nom alternatif de sujet IP (SAN) pour l'adresse IP donnée.
Suites de chiffrement TLS prises en charge

Le système ExtraHop peut déchiffrer le trafic TLS chiffré à l'aide de suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.

Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.

Méthodes de déchiffrement
Le tableau ci-dessous fournit une liste des suites de chiffrement que le système ExtraHop peut utiliser. décrypter ainsi que les options de déchiffrement prises en charge.
  • PFS + GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement avec transfert de clé de session et mappage global entre protocole et port
  • Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement à l'aide du transfert de clé de session et du certificat et clé privée
  • Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale Nom (IANA) Nom (OpenSSL) Décryptage pris en charge
0x04 TLS_RSA_AVEC_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Certificat RSA + Certificat
0x05 TLS_RSA_AVEC_RC4_128_SHA RC4-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA PFS + GPP PFS + Certificat
0x2F TLS_RSA_WITH_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x33 TLS_DHE_RSA_WITH_AES_128_CBC_SHA DHE-RSA-AES128-SHA PFS + GPP PFS + Certificat
0x35 TLS_RSA_WITH_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x39 TLS_DHE_RSA_WITH_AES_256_CBC_SHA DHE-RSA-AES256-SHA PFS + GPP PFS + Certificat
0x3C TLS_RSA_WITH_AES_128_CBC_SHA256 AES128-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x3D TLS_RSA_WITH_AES_256_CBC_SHA256 AES256-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x67 TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 PFS + GPP PFS + Certificat
0 x 6B TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 PFS + GPP PFS + Certificat
0x9C TLS_RSA_AVEC_AES_128_GCM_SHA256 AES128-GCM-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x9D TLS_RSA_AVEC_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9 TLS_DHE_RSA_AVEC_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Certificat
0 x 9 F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Certificat
0x1301 TLS_AES_128_GCM_SHA255 TLS_AES_128_GCM_SHA255 PFS + GPP PFS + Certificat
0x1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 PFS + GPP PFS + Certificat
0x1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 PFS + GPP PFS + Certificat
0 x C007 TLS_ECDHE_ECDSA_AVEC_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS + GPP
0 x C008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS + GPP
0 x C009 TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS + GPP
0xC00A TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS + GPP
0 x C011 TLS_ECDHE_RSA_AVEC_RC4_128_SHA ECDHE-RSA-RC4-SHA PFS + GPP PFS + Certificat
0 x C012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA PFS + GPP PFS + Certificat
0 x C013 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA PFS + GPP PFS + Certificat
0 x C014 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA PFS + GPP PFS + Certificat
0 x C023 TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS + GPP
0 x C024 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS + GPP
0 x C027 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 PFS + GPP PFS + Certificat
0 x C028 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 PFS + GPP PFS + Certificat
0xC02B TLS_ECDHE_ECDSA_AVEC_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS + GPP
0xC02C TLS_ECDHE_ECDSA_AVEC_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS + GPP
0xC02F TLS_ECDHE_RSA_AVEC_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Certificat
0 x C030 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Certificat
0 x CCA8 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Certificat
0 x CCA9 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS + GPP
0 x CCAA TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Certificat
Options du redirecteur de clé de session

Vous pouvez configurer le redirecteur de clé de session en modifiant le /opt/extrahop/etc/extrahop-key-forwarder.conf dossier.

Le tableau ci-dessous répertorie toutes les options configurables.
Important :Si vous ajoutez des options à extrahop-key-forwarder.conf qui n'ont pas de variables dédiées, elles doivent figurer dans le ADDITIONAL_ARGS champ. Par exemple :
ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so 
-libcrypto=/some/other/path/libcrypto.so"
Option Descriptif
-cert <path> Spécifie le chemin d'accès au certificat de serveur. Spécifiez cette option uniquement si le certificat du serveur n'est pas signé par une autorité de certification fiable.
-containerd-enable Active l'énumération des conteneurs gérés avec le moteur d'exécution containerd. Cette option est désactivée par défaut. Vous devez taper -containerd-enable pour activer la prise en charge des conteneurs.
-containerd-socket <string> Le chemin complet du fichier socket conteneurd.
-containerd-state <string> Le chemin complet du répertoire d'état du conteneur.
-containerd-state-rootfs-subdir <string> Le chemin relatif du rootfs sous-répertoire du répertoire d'état du conteneur.
-docker-enable Active l'énumération des conteneurs Docker. Cette option est activée par défaut. Vous devez taper -docker-enable=false pour désactiver la prise en charge de Docker.
-docker-envoy <path> Spécifie des chemins Envoy supplémentaires dans les conteneurs Docker. Vous pouvez spécifier cette option plusieurs fois.
-docker-go-binary <value> Spécifie des modèles globaux pour rechercher des fichiers binaires Go dans les conteneurs Docker . Vous pouvez spécifier cette option plusieurs fois.
-docker-libcrypto <path> Spécifie le chemin d'accès à libcrypto dans les conteneurs Docker. Vous pouvez spécifier cette option plusieurs fois.
-envoy <path> Spécifie des chemins Envoy supplémentaires sur l'hôte. Vous pouvez spécifier cette option plusieurs fois.
-go-binary <value> Spécifie les modèles globulaires pour rechercher les fichiers binaires Go. Vous pouvez spécifier cette option plusieurs fois.
-hearbeat-interval Spécifie l'intervalle de temps en secondes entre les messages de pulsation cardiaque. L'intervalle par défaut est de 30 secondes.
-host-mount-path <path> Spécifie le chemin où le système de fichiers hôte est monté lors de l' exécution du redirecteur de clés de session dans un conteneur.
-hosted <platform> Spécifie que l'agent s'exécute sur la plate-forme hébergée spécifiée. La plateforme est actuellement limitée à aws.
-ldconfig-cache <path> Spécifie le chemin d'accès au cache ldconfig, ld.so.cache. Le chemin par défaut est /etc/ld.so.cache. Vous pouvez spécifier cette option plusieurs fois.
-libcrypto <path> Spécifie le chemin d'accès à la bibliothèque OpenSSL, libcrypto. Vous pouvez spécifier cette option plusieurs fois si vous avez plusieurs installations d'OpenSSL.
-no-docker-envoy Désactive la prise en charge d'Envoy dans les conteneurs Docker.
-no-envoy Désactive le support Envoy sur l'hôte.
-openssl-discover Découvre automatiquement libcrypto implémentations. La valeur par défaut est « true ». Vous devez taper -openssl-discover=faux pour désactiver le déchiffrement OpenSSL.
-pidfile <path> Spécifie le fichier dans lequel ce serveur enregistre son ID de processus (PID).
-port <value> Spécifie le port TCP sur lequel sonde est en train d'écouter les clés de session transférées. Le port par défaut est 4873.
-server <string> Spécifie le nom de domaine complet du paquet sonde.
-server-name-override <value> Spécifie le nom du sujet à partir du sonde certificat. Spécifiez cette option si ce serveur ne peut se connecter qu'au paquet sonde par adresse IP.
-syslog <facility> Spécifie la fonction envoyée par le redirecteur de clé. La fonctionnalité par défaut est local3.
-t Effectuez un test de connectivité. Vous devez taper -t = vrai pour exécuter avec cette option.
-tcp-listen-port <value> Spécifie le port TCP sur lequel le redirecteur de clés écoute les clés de session transférées.
-username <string> Spécifie l'utilisateur sous lequel le redirecteur de clé de session s'exécute après l'installation du logiciel du redirecteur.
-v Activez la journalisation détaillée. Vous devez taper -v=true pour exécuter avec cette option.
Variables d'environnement Linux

Les variables d'environnement suivantes vous permettent d'installer le redirecteur de clé de session sans intervention de l'utilisateur.

Variable Descriptif Exemple
EXTRAHOP_CONNECTION_MODE Spécifie le mode de connexion au récepteur de clé de session. Les options sont direct pour les capteurs autogérés et hébergé pour les capteurs gérés par ExtraHop. sudo EXTRAHOP_CONNECTION_MODE=hosted rpm --install extrahop-key-forwarder.x86_64.rpm
EXTRAHOP_EDA_HOSTNAME Spécifie le nom de domaine complet de l'autogestion sonde. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com dpkg --install extrahop-key-forwarder_amd64.deb
EXTRAHOP_LOCAL_LISTENER_PORT Le redirecteur de clés reçoit les clés de session localement depuis l'environnement Java via un écouteur TCP sur localhost (127.0.0.1) et le port spécifié dans LOCAL_LISTENER_PORT champ. Nous vous recommandons de conserver la valeur par défaut de 598 pour ce port. Si vous modifiez le numéro de port, vous devez modifier le -javaagent argument pour prendre en compte le nouveau port. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_LOCAL_LISTENER_PORT=900 rpm --install extrahop-key-forwarder.x86_64.rpm
EXTRAHOP_SYSLOG Spécifie l'installation, ou le processus machine, qui a créé l'événement syslog. La fonctionnalité par défaut est local3, qui correspond aux processus du daemon système. sudo EXTRAHOP_CONNECTION_MODE=direct EXTRAHOP_EDA_HOSTNAME=host.example.com EXTRAHOP_SYSLOG=local1 dpkg --install extrahop-key-forwarder_amd64.deb
EXTRAHOP_ADDITIONAL_ARGS Spécifie des options supplémentaires de transfert de clés. sudo EXTRAHOP_CONNECTION_MODE=hosted EXTRAHOP_ADDITIONAL_ARGS="-v=true -libcrypto=/some/path/libcrypto.so libcrypto=/some/other/path/libcrypto.so" rpm --install extrahop-key-forwarder.x86_64.rpm
Suites de chiffrement TLS prises en charge

Le système ExtraHop peut déchiffrer le trafic TLS chiffré à l'aide de suites de chiffrement PFS ou RSA. Toutes les suites de chiffrement prises en charge peuvent être déchiffrées en installant le redirecteur de clé de session sur un serveur et en configurant le système ExtraHop.

Les suites de chiffrement pour RSA peuvent également déchiffrer le trafic à l'aide d'un certificat et d'une clé privée, avec ou sans transfert de clé de session.

Méthodes de déchiffrement
Le tableau ci-dessous fournit une liste des suites de chiffrement que le système ExtraHop peut utiliser. décrypter ainsi que les options de déchiffrement prises en charge.
  • PFS + GPP: le système ExtraHop peut déchiffrer ces suites de chiffrement avec transfert de clé de session et mappage global entre protocole et port
  • Certificat PFS +: le système ExtraHop peut déchiffrer ces suites de chiffrement à l'aide du transfert de clé de session et du certificat et clé privée
  • Certificat RSA +: le système ExtraHop peut déchiffrer ces suites de chiffrement sans transfert de clé de session tant que vous avez téléchargé le certificat et clé privée
Valeur hexadécimale Nom (IANA) Nom (OpenSSL) Décryptage pris en charge
0x04 TLS_RSA_AVEC_RC4_128_MD5 RC4-MD5 PFS + GPP PFS + Certificat RSA + Certificat
0x05 TLS_RSA_AVEC_RC4_128_SHA RC4-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x0A TLS_RSA_WITH_3DES_EDE_CBC_SHA DES-CBC3-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x16 TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA EDH-RSA-DES-CBC3-SHA PFS + GPP PFS + Certificat
0x2F TLS_RSA_WITH_AES_128_CBC_SHA AES128-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x33 TLS_DHE_RSA_WITH_AES_128_CBC_SHA DHE-RSA-AES128-SHA PFS + GPP PFS + Certificat
0x35 TLS_RSA_WITH_AES_256_CBC_SHA AES256-SHA PFS + GPP PFS + Certificat RSA + Certificat
0x39 TLS_DHE_RSA_WITH_AES_256_CBC_SHA DHE-RSA-AES256-SHA PFS + GPP PFS + Certificat
0x3C TLS_RSA_WITH_AES_128_CBC_SHA256 AES128-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x3D TLS_RSA_WITH_AES_256_CBC_SHA256 AES256-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x67 TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 DHE-RSA-AES128-SHA256 PFS + GPP PFS + Certificat
0 x 6B TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 DHE-RSA-AES256-SHA256 PFS + GPP PFS + Certificat
0x9C TLS_RSA_AVEC_AES_128_GCM_SHA256 AES128-GCM-SHA256 PFS + GPP PFS + Certificat RSA + Certificat
0x9D TLS_RSA_AVEC_AES_256_GCM_SHA384 AES256-GCM-SHA384 PFS + GPP PFS + Certificat RSA + Certificat
0 x 9 TLS_DHE_RSA_AVEC_AES_128_GCM_SHA256 DHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Certificat
0 x 9 F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 DHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Certificat
0x1301 TLS_AES_128_GCM_SHA255 TLS_AES_128_GCM_SHA255 PFS + GPP PFS + Certificat
0x1302 TLS_AES_256_GCM_SHA384 TLS_AES_256_GCM_SHA384 PFS + GPP PFS + Certificat
0x1303 TLS_CHACHA20_POLY1305_SHA256 TLS_CHACHA20_POLY1305_SHA256 PFS + GPP PFS + Certificat
0 x C007 TLS_ECDHE_ECDSA_AVEC_RC4_128_SHA ECDHE-ECDSA-RC4-SHA PFS + GPP
0 x C008 TLS_ECDHE_ECDSA_WITH_3DES_EDE_CBC_SHA ECDHE-ECDSA-DES-CBC3-SHA PFS + GPP
0 x C009 TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA ECDHE-ECDSA-AES128-SHA PFS + GPP
0xC00A TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA ECDHE-ECDSA-AES256-SHA PFS + GPP
0 x C011 TLS_ECDHE_RSA_AVEC_RC4_128_SHA ECDHE-RSA-RC4-SHA PFS + GPP PFS + Certificat
0 x C012 TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDHE-RSA-DES-CBC3-SHA PFS + GPP PFS + Certificat
0 x C013 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDHE-RSA-AES128-SHA PFS + GPP PFS + Certificat
0 x C014 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDHE-RSA-AES256-SHA PFS + GPP PFS + Certificat
0 x C023 TLS_ECDHE_ECDSA_AVEC_AES_128_CBC_SHA256 ECDHE-ECDSA-AES128-SHA256 PFS + GPP
0 x C024 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 ECDHE-ECDSA-AES256-SHA384 PFS + GPP
0 x C027 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDHE-RSA-AES128-SHA256 PFS + GPP PFS + Certificat
0 x C028 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDHE-RSA-AES256-SHA384 PFS + GPP PFS + Certificat
0xC02B TLS_ECDHE_ECDSA_AVEC_AES_128_GCM_SHA256 ECDHE-ECDSA-AES128-GCM-SHA256 PFS + GPP
0xC02C TLS_ECDHE_ECDSA_AVEC_AES_256_GCM_SHA384 ECDHE-ECDSA-AES256-GCM-SHA384 PFS + GPP
0xC02F TLS_ECDHE_RSA_AVEC_AES_128_GCM_SHA256 ECDHE-RSA-AES128-GCM-SHA256 PFS + GPP PFS + Certificat
0 x C030 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDHE-RSA-AES256-GCM-SHA384 PFS + GPP PFS + Certificat
0 x CCA8 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Certificat
0 x CCA9 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 PFS + GPP
0 x CCAA TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256 DHE-RSA-CHACHA20-POLY1305 PFS + GPP PFS + Certificat

Stockez les clés de session TLS dans les magasins de paquets connectés

Lorsque le transfert de clé de session est configuré sur un système ExtraHop connecté à un magasin de paquets, le système ExtraHop peut stocker des clés de session cryptées avec les paquets collectés.

Before you begin

En savoir plus sur déchiffrer des paquets avec des clés stockées.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Stockage des clés de session SSL.
  4. Sélectionnez Activer le stockage des clés de session SSL.
  5. Cliquez Enregistrer.

Que faire ensuite

Pour plus d'informations sur le téléchargement des clés de session, voir Télécharger les clés de session avec captures de paquets.

Afficher les redirecteurs de clés de session connectés

Vous pouvez consulter les redirecteurs de clés de session récemment connectés après avoir installé le redirecteur de clé de session sur votre serveur et activé le service de réception de clés de session TLS sur le système ExtraHop. Notez que cette page affiche uniquement les redirecteurs de clés de session qui se sont connectés au cours des dernières minutes, pas tous les redirecteurs de clé de session actuellement connectés.

  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Secrets partagés SSL.

Déchiffrez le trafic de domaine à l'aide d'un contrôleur de domaine Windows

Le système ExtraHop peut être configuré pour récupérer et stocker les clés de domaine d'un ou de plusieurs contrôleurs de domaine. Lorsque le système observe un trafic chiffré correspondant aux clés stockées, tout le trafic crypté Kerberos du domaine est déchiffré pour les protocoles pris en charge. Le système synchronise uniquement les clés de déchiffrement Kerberos et NTLM et ne modifie aucune autre propriété du domaine.

Un contrôleur de domaine tel qu'Active Directory est une cible fréquente pour les attaquants, car une campagne d'attaque réussie génère des cibles de grande valeur. Les attaques critiques peuvent être masquées par le déchiffrement Kerberos ou NTLM, comme Golden Ticket, PrintNightmare et Bloodhound. Le déchiffrement de ce type de trafic peut fournir des informations plus détaillées pour les détections de sécurité.

Vous pouvez activer le déchiffrement sur un individu sonde ou via une intégration sur RevealX 360. Vous pouvez ajouter plusieurs connexions de contrôleur de domaine à partir d'une sonde pour déchiffrer le trafic provenant de plusieurs domaines.

Les conditions suivantes doivent être remplies pour le déchiffrement :

  • Vous devez disposer d'un contrôleur de domaine Active Directory (DC) qui n'est pas configuré en tant que contrôleur de domaine en lecture seule (RODC).
  • Seuls Windows Server 2016, Windows Server 2019 et Windows Server 2022 sont pris en charge.
  • Le système ExtraHop synchronise les clés d'un maximum de 50 000 comptes dans un domaine configuré. Si votre DC possède plus de 50 000 comptes, une partie du trafic ne sera pas déchiffrée.
  • Le système ExtraHop doit observer le trafic réseau entre le contrôleur de domaine et les clients et serveurs connectés.
  • Le système ExtraHop doit pouvoir accéder au contrôleur de domaine via les ports suivants : TCP 88 (Kerberos), TCP 445 (SMB), TCP 135 (RPC) et ports TCP 49152-65535 (plage dynamique RPC).
Avertissement :Si vous activez ces paramètres, le système ExtraHop a accès à toutes les clés de compte du domaine Windows. Le système ExtraHop doit être déployé au même niveau de sécurité que le contrôleur de domaine. Voici quelques bonnes pratiques à prendre en compte :
  • Limiter strictement l'accès des utilisateurs finaux à capteurs qui sont configurés avec un accès au contrôleur de domaine. Idéalement, autorisez uniquement l'accès de l'utilisateur final à un console.
  • Configurez capteurs avec un fournisseur d'identité doté de fonctionnalités d'authentification robustes, telles que l'authentification à deux facteurs ou multifacteurs.
  • Restreignez le trafic entrant et sortant à destination et en provenance du sonde uniquement pour ce qui est nécessaire.
  • Dans Active Directory, limitez le nombre de postes de travail d'ouverture de session pour que le compte communique uniquement avec le contrôleur de domaine avec lequel le système ExtraHop est configuré.
Connecter un contrôleur de domaine à une sonde

Before you begin

Vous devez disposer d'un compte utilisateur configuré ou privilèges d'administration du système et des accès sur la sonde.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Contrôleur de domaine.
  4. Cliquez Ajouter une connexion au contrôleur de domaine.
  5. Renseignez les champs suivants pour spécifier les informations d'identification du contrôleur de domaine Microsoft Active Directory que vous souhaitez connecter à cette sonde :

    Hôte: Le nom de domaine complet du contrôleur de domaine.

    Nom de l'ordinateur (SAMAccountName): Le nom du contrôleur de domaine.

    Nom du domaine: Le nom de domaine Kerberos du contrôleur de domaine.

    Nom d'utilisateur: Nom d'un utilisateur membre du groupe d'administrateurs intégré pour le domaine (à ne pas confondre avec le groupe d'administrateurs du domaine). Pour éviter d' éventuelles erreurs de connexion, spécifiez un compte utilisateur créé après la création du contrôleur de domaine.

    Mot de passe: Le mot de passe de l'utilisateur privilégié.

  6. Cliquez Connexion de test pour confirmer que la sonde peut communiquer avec le contrôleur de domaine.
  7. Cliquez Enregistrer.
    L'état de la connexion et un horodateur de la dernière synchronisation réussie sont affichés.

Que faire ensuite

  • Cliquez Ajouter une connexion au contrôleur de domaine pour vous connecter à un autre contrôleur de domaine.
  • Cliquez Modifier les informations d'identification des utilisateurs à partir d'une connexion enregistrée pour modifier les informations dcessaires associées à la connexion.
  • Cliquez Supprimer la connexion pour supprimer toutes les informations dcessaires associées à la connexion et déconnecter le contrôleur de domaine de la sonde.
Connecter un contrôleur de domaine à une sonde RevealX 360

Before you begin

Votre compte utilisateur doit avoir privilèges sur RevealX 360 pour l'administration des systèmes et des accès.
  1. Connectez-vous à RevealX 360.
  2. Cliquez sur l'icône Paramètres système puis cliquez sur Intégrations.
  3. Cliquez sur Décryptage du protocole Microsoft tuile.
  4. Cliquez Ajouter des informations d'identification.
  5. Renseignez les champs suivants pour spécifier les informations d'identification du contrôleur de domaine Microsoft Active Directory que vous souhaitez connecter à une sonde RevealX 360 :

    Hôte: Le nom de domaine complet du contrôleur de domaine.

    Nom de l'ordinateur (SAMAccountName): Le nom du contrôleur de domaine.

    Nom du domaine: Le nom de domaine Kerberos du contrôleur de domaine.

    Nom d'utilisateur: Nom d'un utilisateur membre du groupe d'administrateurs intégré pour le domaine (à ne pas confondre avec le groupe d'administrateurs du domaine). Pour éviter d' éventuelles erreurs de connexion, spécifiez un compte utilisateur créé après la création du contrôleur de domaine.

    Mot de passe: Le mot de passe de l'utilisateur privilégié.

  6. Dans la liste déroulante, sélectionnez la sonde RevealX 360 à laquelle le contrôleur de domaine va se connecter.
  7. Cliquez Connexion de test pour confirmer que la sonde peut communiquer avec le contrôleur de domaine.
  8. Cliquez Connecter.
    L'état de la connexion et un horodateur de la dernière synchronisation réussie sont affichés.

Que faire ensuite

  • Cliquez Ajouter une connexion au contrôleur de domaine pour vous connecter à un autre contrôleur de domaine.
  • Cliquez Modifier les informations d'identification des utilisateurs à partir d'une connexion enregistrée pour modifier les informations dcessaires associées à la connexion.
  • Cliquez Supprimer les informations d'identification pour supprimer toutes les informations dcessaires associées à la connexion et déconnecter le contrôleur de domaine de la sonde.
Validez les paramètres de configuration

Pour vérifier que le système ExtraHop est capable de déchiffrer le trafic avec les contrôleurs de domaine configurés, accédez au tableau de bord intégré de Microsoft Protocol Decryption pour identifier les tentatives de déchiffrement réussies.

Chaque graphique du tableau de bord Microsoft Protocol Decryption contient des visualisations des données de déchiffrement Kerberos qui ont été générées via intervalle de temps sélectionné, organisé par région.

Le tableau de bord Microsoft Protocol Decryption est un tableau de bord système intégré que vous ne pouvez pas modifier, supprimer ou ajouter à une collection partagée. Cependant, vous pouvez copier un graphique depuis le tableau de bord Microsoft Protocol Decryption et ajoutez-le à tableau de bord personnalisé, ou vous pouvez faire une copie du tableau de bord et modifiez-le pour suivre les statistiques qui vous concernent.

Remarque :Le tableau de bord Microsoft Protocol Decryption ne peut être consulté que sur une console.

Les informations suivantes résument chaque région et ses graphiques.

Tentatives de déchiffrement Kerberos
Observez le nombre de tentatives de déchiffrement Kerberos dans votre environnement dans les graphiques suivants :

Tentatives de déchiffrement de Kerberos réussies: Nombre total de tentatives de déchiffrement Kerberos réussies et date à laquelle elles se sont produites.

Nombre total de tentatives réussies: Nombre total de tentatives de déchiffrement Kerberos réussies.

Tentatives de déchiffrement Kerberos infructueuses: Nombre total de tentatives de déchiffrement Kerberos infructueuses et date à laquelle elles se sont produites, répertoriées selon la raison de l'échec de la tentative.

Nombre total de tentatives infructueuses: Nombre total de tentatives de déchiffrement Kerberos infructueuses, répertoriées selon la raison de l'échec de la tentative.

Détails du déchiffrement Kerberos ayant échoué
Consultez les graphiques suivants pour en savoir plus sur les tentatives infructueuses de déchiffrement de Kerberos :

Noms principaux de serveurs non reconnus: Nombre total de tentatives de déchiffrement Kerberos qui ont échoué en raison d'un nom principal de serveur (SPN) non reconnu, répertorié par le SPN. Affiché sous forme de graphique en barres et de graphique en listes.

Clés Kerberos non valides: Nombre total de tentatives de déchiffrement Kerberos qui ont échoué en raison d'une clé Kerberos non valide, répertorié par le SPN qui a effectué la tentative. Affiché sous forme de graphique en barres et de graphique en listes.

Erreurs de déchiffrement Kerberos : Nombre total de tentatives de déchiffrement Kerberos qui ont échoué en raison d'une erreur, répertorié par le SPN qui a effectué la tentative. Affiché sous forme de graphique en barres et de graphique en listes.

Détails du nom principal du serveur
Dans les graphiques suivants, observez le SPN ayant effectué le plus de tentatives de déchiffrement avec Kerberos :

Principaux noms de serveurs: Les 50 meilleurs SPN ayant effectué des tentatives de déchiffrement avec Kerberos et les informations suivantes :

  • Le nombre de tentatives de déchiffrement réussies.
  • Le nombre de tentatives infructueuses dues à une clé Kerberos non valide.
  • Le nombre de tentatives infructueuses dues à une erreur.
  • Le nombre de tentatives infructueuses dues à un SPN non reconnu.

Autres indicateurs de santé du système
Le système ExtraHop fournit des mesures que vous pouvez ajouter à un tableau de bord pour surveiller l'état et les fonctionnalités du déchiffrement assisté par courant continu.

Pour afficher la liste des mesures disponibles, cliquez sur l'icône Paramètres système puis cliquez sur Catalogue métrique. Tapez Assisté par courant continu dans le champ de filtre pour afficher toutes les mesures de déchiffrement assistées par courant continu disponibles.



Importez des données externes dans votre système ExtraHop

L'API Open Data Context d'ExtraHop vous permet d'importer des données d'un hôte externe dans le tableau de session de votre ExtraHop sonde. Ces données sont ensuite accessibles pour créer des métriques personnalisées que vous pouvez ajouter aux graphiques ExtraHop, stocker dans des enregistrements sur un espace de stockage des enregistrements ou exporter vers un outil d'analyse externe.

Après avoir activé l'API Open Data Context sur votre sonde, vous pouvez importer des données en exécutant un script Python à partir d'un client Memcached sur un hôte externe. Ces données externes sont stockées dans des paires clé-valeur et sont accessibles en écrivant un déclencheur.

Par exemple, vous pouvez exécuter un script client memcached sur un hôte externe pour importer les données de charge du processeur dans la table de session de votre sonde. Vous pouvez ensuite écrire un déclencheur qui accède à la table de session et valide les données sous forme de métriques personnalisées.

Avertissement :La connexion entre l'hôte externe et le système ExtraHop n'est pas cryptée et ne doit pas transmettre d'informations sensibles.
Activer l'API Open Data Context

Vous devez activer l'API Open Data Context sur votre sonde avant de pouvoir recevoir des données d'un hôte externe.

Before you begin

  • Vous devez avoir configuré ou privilèges d'administration du système et des accès pour accéder à la page d'administration de votre système ExtraHop.
  • Si vous disposez d'un pare-feu, vos règles de pare-feu doivent autoriser les hôtes externes à accéder aux ports TCP et UDP spécifiés. Le numéro de port par défaut est 11211.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez API Open Data Context.
  4. Cliquez Activer l'API Open Data Context.
  5. Configurez chaque protocole pour lequel vous souhaitez autoriser les transmissions de données externes via :
    Option Description
    TCP
    1. Sélectionnez le Port TCP activé case à cocher.
    2. Dans le Port TCP dans ce champ, saisissez le numéro de port qui recevra les données externes.
    UDP
    1. Sélectionnez le Port UDP activé case à cocher.
    2. Dans le Port UDP dans ce champ, saisissez le numéro de port qui recevra les données externes.
  6. Cliquez Enregistrez et redémarrez Capture.
    Important :La sonde ne collectera pas de métriques lors du redémarrage.
  7. Cliquez Terminé.
Écrire un script Python pour importer des données externes

Avant de pouvoir importer des données externes dans le tableau des sessions de votre sonde, vous devez écrire un script Python qui identifie votre sonde et contient les données que vous souhaitez importer dans le tableau de session. Le script est ensuite exécuté à partir d'un client Memcached sur l'hôte externe .

Cette rubrique fournit des conseils sur la syntaxe et les meilleures pratiques pour écrire le script Python. UN exemple de script complet est disponible à la fin de ce guide.

Before you begin

Assurez-vous que vous disposez d'un client Memcached sur la machine hôte externe. Vous pouvez installer n'importe quelle bibliothèque client Memcached standard, telle que http://libmemcached.org/ ou https://pypi.python.org/pypi/pymemcache. La sonde agit comme un serveur Memcached version 1.4.

Voici quelques considérations importantes concernant l'API Open Data Context :
  • L'API Open Data Context prend en charge la plupart des commandes memcached, telles que get, set, et increment.
  • Toutes les données doivent être insérées sous forme de chaînes lisibles par sonde. Certains clients Memcached tentent de stocker des informations de type dans les valeurs. Par exemple, la bibliothèque de cache de Python stocke les flottants sous forme de valeurs sélectionnées, ce qui entraîne des résultats non valides lors de l'appel Session.lookup dans les déclencheurs. La syntaxe Python suivante insère correctement un float sous forme de chaîne :
    mc.set("my_float", str(1.5))
  • Bien que la taille des valeurs de la table de session puisse être presque illimitée, l'ajout de valeurs importantes à la table de session peut entraîner une dégradation des performances. En outre, les métriques enregistrées dans la banque de données doivent être de 4 096 octets ou moins, et les valeurs de table surdimensionnées peuvent entraîner des métriques tronquées ou imprécises.
  • Les rapports statistiques de base sont pris en charge, mais les rapports statistiques détaillés par taille d' élément ou par préfixe clé ne sont pas pris en charge.
  • La définition de l'expiration des éléments lors de l'ajout ou de la mise à jour d'éléments est prise en charge, mais l' expiration groupée via flush la commande n'est pas prise en charge.
  • Les clés expirent toutes les 30 secondes. Par exemple, si une clé est configurée pour expirer dans 50 secondes, elle peut prendre de 50 à 79 secondes pour expirer.
  • Toutes les clés définies avec l'API Open Data Context sont exposées via SESSION_EXPIRE événement déclencheur lorsqu'ils expirent. Ce comportement contraste avec l'API Trigger, qui n'expose pas les clés arrivant à expiration via le SESSION_EXPIRE événement.
  1. Dans un éditeur Python, ouvrez un nouveau fichier.
  2. Ajoutez l'adresse IP de votre sonde et le numéro de port vers lequel le client memcached enverra les données, selon la syntaxe suivante :
    client = memcache.Client(["eda_ip_address:eda_port"])
  3. Ajoutez les données que vous souhaitez importer à la table de session via le memcached set commande, formatée en paires clé-valeur, similaire à la syntaxe suivante :
    client.set("some_key", "some_value")
  4. Enregistrez le fichier.
  5. Exécutez le script Python depuis le client memcached sur l'hôte externe.
Écrire un déclencheur pour accéder aux données importées

Vous devez écrire un déclencheur avant de pouvoir accéder aux données de la table de session.

Before you begin

Cette rubrique suppose une expérience de l'écriture de déclencheurs. Si les déclencheurs ne vous sont pas familiers, consultez les rubriques suivantes :
  1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
  2. Cliquez sur l'icône des paramètres système puis cliquez sur DÉCLENCHEURS.
  3. Cliquez Nouveau, puis cliquez sur Configuration onglet.
  4. Dans le Nom champ, saisissez un nom unique pour le déclencheur.
  5. Dans le Évènements champ, commencez à saisir le nom d'un événement, puis sélectionnez un événement dans la liste filtrée.
  6. Cliquez sur Rédacteur onglet.
  7. Dans le Script de déclenchement zone de texte, écrivez un script déclencheur qui accède aux données de la table de session et les applique. UN exemple de script complet est disponible à la fin de ce guide.
    Le script doit inclure Session.lookup méthode pour localiser une clé spécifiée dans la table de session et renvoyer la valeur correspondante.

    Par exemple, le code suivant recherche une clé spécifique dans la table de session pour renvoyer la valeur correspondante, puis valide la valeur dans une application sous forme de métrique personnalisée :

    var key_lookup = Session.lookup("some_key");
                    Application("My App").metricAddDataset("my_custom_metric",
                    key_lookup);
    Conseil :Vous pouvez également ajouter, modifier ou supprimer des paires clé-valeur dans le tableau de session à l'aide des méthodes décrites dans Session classe du Référence de l'API ExtraHop Trigger .
  8. Cliquez Enregistrer et fermer.

Que faire ensuite

Vous devez attribuer le déclencheur à un équipement ou à un groupe de dispositifs. Le déclencheur ne sera pas lancé tant qu'il n'aura pas été attribué.
Exemple d'API Open Data Context

Dans cet exemple, vous allez apprendre à vérifier le score de réputation et le risque potentiel des domaines qui communiquent avec les appareils de votre réseau. Tout d'abord, l'exemple de script Python vous montre comment importer des données de réputation de domaine dans la table de session de votre sonde. L'exemple de script déclencheur vous montre ensuite comment vérifier les adresses IP des événements DNS par rapport aux données de réputation de domaine importées et comment créer une métrique personnalisée à partir des résultats.

Exemple de script Python

Ce script Python contient une liste de 20 noms de domaine populaires et peut faire référence aux scores de réputation de domaine obtenus à partir d'une source telle que Outils de domaine.

Ce script est une API REST qui accepte une opération POST dont le corps est le nom de domaine. Lors d'une opération POST, le client memcached met à jour la table de session avec les informations de domaine .

#!/usr/bin/python
import flask
import flask_restful
import memcache
import sqlite3

top20 = { "google.com", "facebook.com", "youtube.com", "twitter.com",
          "microsoft.com", "wikipedia.org", "linkedin.com",
          "apple.com","adobe.com", "wordpress.org", "instagram.com",
          "wordpress.com", "vimeo.com", "blogspot.com", "youtu.be", 
          "pinterest.com", "yahoo.com", "goo.gl", "amazon.com", "bit.ly}

dnsnames = {}

mc = memcache.Client(['10.0.0.115:11211'])

for dnsname in top20:    
    dnsnames[dnsname] = 0.0    

dbc = sqlite3.Connection('./dnsreputation.db')
cur = dbc.cursor()
cur.execute('select dnsname, score from dnsreputation;')
for row in cur:
    dnsnames[row[0]] = row[1]
dbc.close()

app = flask.Flask(__name__)
api = flask_restful.Api(app)

class DnsReputation(flask_restful.Resource):    
    def post(self):        
        dnsname = flask.request.get_data()        
        #print dnsname        
        mc.set(dnsname, str(dnsnames.get(dnsname, 50.0)), 120)        
        return 'added to session table'

api.add_resource(DnsReputation, '/dnsreputation')

if __name__ == '__main__':     
     app.run(debug=True,host='0.0.0.0')
Exemple de script de déclencheur

Cet exemple de script de déclencheur canonise (ou convertit) les adresses IP renvoyées lors d'événements DNS en noms de domaine, puis vérifie le domaine et son score de réputation dans le tableau de session. Si la valeur du score est supérieure à 75, le déclencheur ajoute le domaine à un conteneur d'application appelé « DNSReputation » sous la forme d'une métrique détaillée appelée « Mauvaise réputation DNS ».

//Configure the following trigger settings:
//Name: DNSReputation
//Debugging: Enabled
//Events: DNS_REQUEST, DNS_RESPONSE

if (DNS.errorNum != 0 || DNS.qname == null 
    || DNS.qname.endsWith("in-addr.arpa") || DNS.qname.endsWith("local") 
    || DNS.qname.indexOf('.') == -1 ) {
    // error or null or reverse lookup, or lookup of local namereturn
    return;
}

//var canonicalname = DNS.qname.split('.').slice(-2).join('.');
var canonicalname = DNS.qname.substring(DNS.qname.lastIndexOf('.', DNS.qname.lastIndexOf('.')-1)+1)

//debug(canonicalname);


//Look for this DNS name in the session table
var score = Session.lookup(canonicalname)
if (score === null) {
    // Send to the service for lookup
    Remote.HTTP("dnsrep").post({path: "/dnsreputation", payload: canonicalname});
} else {
    debug(canonicalname + ':' +score);
    if (parseFloat(score) > 75) {
	 //Create an application in the ExtraHop system and add custom metrics
        //Note: The application is not displayed in the ExtraHop system after the 
	 //initial request, but is displayed after subsequent requests. 
        Application('DNSReputation').metricAddDetailCount('Bad DNS reputation', canonicalname + ':' + score, 1);
    }
}

Installation du redirecteur de paquets sur un serveur Linux

Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller pour transférer les paquets vers le système ExtraHop.

Les fichiers d'installation et les instructions du RPCAP sont disponibles sur le Téléchargements et ressources ExtraHop page Web.
Téléchargement et installation sur des systèmes basés sur RPM
  1. Téléchargez le fichier d'installation de RPCAP depuis l'ExtraHop Téléchargements et ressources page web.
  2. Installez le logiciel sur le serveur en exécutant la commande suivante :
    sudo rpm -i rpcapd-<extrahop_firmware_version>.x86_64.rpm
  3. Ouvrez et modifiez le rpcapd.ini fichier dans un éditeur de texte en exécutant l'une des commandes suivantes :
    vim /opt/extrahop/etc/rpcapd.ini
    nano /opt/extrahop/etc/rpcapd.ini
    Exemple de sortie :
    #ActiveClient = <TARGETIP>,<TARGETPORT>
    NullAuthPermit = YES
    UserName = rpcapd

    Remplacer <TARGETIP> avec l'adresse IP du système ExtraHop, et <TARGETPORT> avec 2003. De plus, décommentez la ligne en supprimant le signe numérique (#) au début de la ligne.

    Par exemple :
    ActiveClient = 10.10.10.10,2003
    NullAuthPermit = YES
    UserName = rpcapd
  4. Commencez à envoyer du trafic vers le système ExtraHop en exécutant la commande suivante :
    sudo /etc/init.d/rpcapd start
  5. Facultatif : Vérifiez que le système ExtraHop reçoit du trafic en exécutant la commande suivante :
    sudo service rpcapd status
Téléchargement et installation sur d'autres systèmes Linux
  1. Téléchargez le fichier d'installation RPCAP depuis l'ExtraHop Téléchargements et ressources page Web.
  2. Installez le logiciel sur le serveur en exécutant les commandes suivantes :
    1. Extrayez les fichiers du redirecteur de paquets du fichier d'archive :
      tar xf rpcapd-<extrahop_firmware_version>.tar.gz
    2. Passez au rpcapd répertoire :
      cd rpcapd
    3. Exécutez le script d'installation :
      sudo ./install.sh <extrahop_ip> 2003
  3. Facultatif : Vérifiez que le système ExtraHop reçoit du trafic en exécutant la commande suivante :
    sudo /etc/init.d/rpcapd status
Pour exécuter le logiciel sur des serveurs dotés de plusieurs interfaces, voir Surveillance de plusieurs interfaces sur un serveur Linux.
Téléchargement et installation sur des systèmes basés sur Debian

Pour télécharger et installer le redirecteur de paquets sur les systèmes basés sur Debian :

  1. Téléchargez le fichier d'installation de RPCAP depuis l'ExtraHop Téléchargements et ressources page web.
  2. Installez le logiciel sur le serveur en exécutant la commande suivante :
    sudo dpkg -i rpcapd_<extrahop_firmware_version>_amd64.deb
  3. À l'invite, saisissez l'adresse IP du système ExtraHop, confirmez la connexion par défaut au port 2003 et appuyez sur ENTER.
  4. Facultatif : Vérifiez que le système ExtraHop reçoit du trafic en exécutant les commandes suivantes :
    sudo dpkg --get-selections | grep rpcapd
    
    sudo service rpcapd status
  5. Facultatif : Pour modifier l'adresse IP du système ExtraHop, le numéro de port ou les arguments du service, exécutez la commande suivante :
    sudo dpkg-reconfigure rpcapd

Installation du redirecteur de paquets sur un serveur Windows

Vous devez installer le logiciel de transfert de paquets sur chaque serveur à surveiller afin de transférer des paquets vers le système ExtraHop.

  1. Téléchargez le fichier d'installation du service RPCAP pour Windows depuis l'ExtraHop Téléchargements et ressources page web.
  2. Double-cliquez sur le fichier pour démarrer le programme d'installation.
  3. Dans l'assistant, sélectionnez les composants à installer.
  4. Complétez le IP ExtraHop et Port ExtraHop champs et cliquez Suivant. Le port par défaut est 2003.
  5. Facultatif : Tapez des arguments supplémentaires dans la zone de texte et cliquez sur Suivant.
  6. Naviguez jusqu'au dossier de destination pour installer le service RPCAP et sélectionnez-le.
  7. Si le service RPCAP a déjà été installé, cliquez sur Oui pour supprimer le service précédent.
  8. Une fois l'installation terminée, cliquez sur Fermer.

Surveillance de plusieurs interfaces sur un serveur Linux

Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère les paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.

Pour modifier le fichier de configuration, procédez comme suit.

  1. Après avoir installé le redirecteur de paquets, ouvrez le fichier de configuration, /opt/extrahop/etc/rpcapd.ini.
    Le fichier de configuration contient ce texte ou un texte similaire :
    ActiveClient = 10.0.0.100,2003
    NullAuthPermit = YES
    UserName = rpcapd
    Remarque :Ne modifiez pas le NullAuthPermit ou UserName champs.
  2. Modifier l'existant ActiveClient ligne et créez un ActiveClient ligne pour chaque interface supplémentaire à surveiller. Spécifiez chaque interface par son nom d'interface ou son adresse IP.
    ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_name>

    ou

    ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_address>

    <interface_name> est le nom de l'interface à partir de laquelle vous souhaitez transférer des paquets, et <interface_address> est l'adresse IP de l' interface à partir de laquelle les paquets sont transférés. Le <interface_address> La variable peut être soit l' adresse IP elle-même, telle que 10.10.1.100, soit une spécification CIDR (adresse IP réseau/longueur du préfixe de sous-réseau) contenant l'adresse IP, telle que 10.10.1.0/24.

    Pour chaque ActiveClient ligne, le redirecteur de paquets transmet indépendamment les paquets depuis l'interface spécifiée dans la ligne.

    Voici un exemple de fichier de configuration spécifiant deux interfaces par leur nom :

    ActiveClient = 10.10.6.45, 2003, ifname=eth0
    ActiveClient = 10.10.6.45, 2003, ifname=eth1
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces par l'adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces à l'aide de spécifications CIDR qui contiennent l' adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
    NullAuthPermit = YES
    UserName = rpcapd
  3. Enregistrez le fichier de configuration. Veillez à enregistrer le fichier au format ASCII pour éviter les erreurs.
  4. Redémarrez le redirecteur de paquets en exécutant la commande suivante :
    sudo /etc/init.d/rpcapd restart
    Remarque :Pour réinstaller le redirecteur de paquets après avoir modifié le fichier de configuration, exécutez la commande d'installation et remplacez <extrahop_ip> et <extrahop_port> avec le –k drapeau afin de préserver le fichier de configuration modifié. Par exemple :
    sudo sh ./install-rpcapd.sh –k

Surveillance de plusieurs interfaces sur un serveur Windows

Pour les serveurs dotés de plusieurs interfaces, vous pouvez configurer le redirecteur de paquets pour qu'il transfère les paquets depuis une interface particulière ou depuis plusieurs interfaces en modifiant son fichier de configuration sur le serveur.

Pour modifier le fichier de configuration, procédez comme suit.

  1. Après avoir installé le redirecteur de paquets sur le serveur, ouvrez le fichier de configuration : C:\Program Files\rpcapd\rpcapd.ini
    Le fichier de configuration contient ce texte ou un texte similaire :
    ActiveClient = 10.0.0.100,2003
    NullAuthPermit = YES
    UserName = rpcapd
    Remarque :Ne modifiez pas le NullAuthPermit ou UserName champs.
  2. Modifiez la ligne ActiveClient existante et créez une ligne ActiveClient pour chaque interface supplémentaire à surveiller. Spécifiez chaque interface par son nom d'interface ou son adresse IP.
    ActiveClient = <extrahop_ip>, <extrahop_port>, ifname=<interface_address>

    <interface_address> est l'adresse IP de l' interface à partir de laquelle les paquets sont transférés et <interface_address> peut être soit l'adresse IP elle-même, telle que 10.10.1.100, soit une spécification CIDR (adresse IP réseau/longueur du préfixe de sous-réseau) contenant l'adresse IP, telle que 10.10.1.0/24.

    ou

    ActiveClient = <extrahop_ip>, <extrahop_port>, ifaddr=<interface_name>

    <interface_name> est le nom de l'interface à partir de laquelle les paquets sont transférés. Le nom est au format \Device\NPF_{<GUID>}, où <GUID> est l'identifiant global unique (GUID) de l'interface. Par exemple, si le GUID de l'interface est 2C2FC212-701D-42E6-9EAE-BEE969FEFB3F, le nom de l'interface est \Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}.

    Voici un exemple de fichier de configuration spécifiant deux interfaces avec l'adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.100
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.100
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces dont les spécifications CIDR contiennent l' adresse IP de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.1.0/24
    ActiveClient = 10.10.6.45, 2003, ifaddr=10.10.2.0/24
    NullAuthPermit = YES
    UserName = rpcapd

    Voici un exemple de fichier de configuration spécifiant deux interfaces avec le nom de l'interface :

    ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{2C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
    ActiveClient = 10.10.6.45, 2003, ifname=\Device\NPF_{3C2FC212-701D-42E6-9EAE-BEE969FEFB3F}
    NullAuthPermit = YES
    UserName = rpcapd
  3. Enregistrez le fichier de configuration (.ini). Veillez à enregistrer le fichier au format ASCII pour éviter les erreurs.
  4. Redémarrez le redirecteur de paquets en exécutant la commande suivante :
    restart-service rpcapd
    Remarque :Pour réinstaller le logiciel du redirecteur de paquets après avoir modifié le fichier de configuration, exécutez la commande d'installation et remplacez -RpcapIp et -RpcapPort avec le -KeepConfig indicateur pour conserver le fichier de configuration modifié. Par exemple :
    .\install-rpcapd.ps1 -MgmtIp <extrahop_ip> -KeepConfig

    ou

    .\install-rpcapd.ps1 –InputDir . -KeepConfig

Activer la désencapsulation de la superposition du réseau

L'encapsulation par superposition de réseau enveloppe les paquets réseau standard dans une enveloppe externe protocole en-têtes pour exécuter des fonctions spécialisées, telles que le routage intelligent et la gestion du réseau des machines virtuelles. La désencapsulation de la superposition réseau permet au système ExtraHop de supprimer ces en-têtes d'encapsulation externes, puis de traiter les paquets internes.

Remarque :L'activation de l'encapsulation de routage générique (GRE), de la virtualisation du réseau à l'aide de l' encapsulation de routage générique (NVGRE), de VXLAN et de la décapsulation GENEVE sur votre système ExtraHop peut augmenter le nombre de vos équipements à mesure que des appareils virtuels sont découverts sur le réseau. La découverte de ces périphériques virtuels peut affecter la capacité d'Analyse avancée et d'Analyse standard et le traitement des métriques supplémentaires peut entraîner une dégradation des performances dans des cas extrêmes.

Les protocoles MPLS, TRILL et Cisco FabricPath sont automatiquement décapsulés par le système ExtraHop.

Activer la décapsulation GRE ou NVGRE
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décapsulation de la superposition réseau.
  4. Dans le Réglages section, sélectionnez Activé case à cocher à côté de NVGRE ou GRE.
    Remarque :La sélection de GRE active également NVGRE même si vous ne cochez pas la case NVGRE.
  5. Cliquez Enregistrer.
  6. Cliquez OK..
Activer la désencapsulation VXLAN

VXLAN est un protocole de tunneling UDP configuré pour des ports de destination spécifiques. La décapsulation n'est pas tentée à moins que le port de destination d'un paquet ne corresponde au port de destination UDP ou aux ports répertoriés dans les paramètres de désencapsulation VXLAN.

Pour configurer le système ExtraHop comme point de terminaison pour le trafic encapsulé VxLAN, voir Configuration d'une interface.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décapsulation de la superposition réseau.
  4. Dans le Réglages section, sélectionnez Activé case à cocher à côté de VXLAN.
  5. Dans le Port de destination VXLAN UDP dans le champ, saisissez un numéro de port et cliquez sur le signe vert plus (+).
    Par défaut, port 4789 est ajouté à la liste des ports de destination UDP. Vous pouvez ajouter jusqu'à huit ports de destination.
  6. Cliquez Enregistrer.
  7. Cliquez OK..
Activer la décapsulation de GENEVE
Pour configurer le système ExtraHop en tant que point de terminaison pour le trafic encapsulé GENEVE, voir Configuration d'une interface.
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez sur Capturez.
  3. Cliquez Décapsulation de la superposition réseau.
  4. Dans le Réglages section, sélectionnez Activé case à cocher à côté de GENEVE.
    Le port de destination par défaut est 6081.
  5. Cliquez Enregistrer.
  6. Cliquez OK..

Analyser un fichier de capture de paquets

Le mode de capture hors ligne permet aux administrateurs de télécharger et d'analyser un fichier de capture enregistré par un logiciel d'analyse de paquets, tel que Wireshark ou tcpdump, dans le système ExtraHop.

Voici quelques points importants à prendre en compte avant d'activer le mode de capture hors ligne :

  • Lorsque la capture est définie en mode hors ligne, la banque de données système est réinitialisée. Toutes les mesures enregistrées précédemment sont supprimées de la banque de données. Lorsque le système est configuré en mode en ligne, la banque de données est à nouveau réinitialisée.
  • En mode hors ligne, aucune métrique n'est collectée depuis l'interface de capture tant que le système n'est pas reconfiguré en mode en ligne.
  • Seuls les fichiers de capture au format pcap sont pris en charge. Les autres formats tels que pcpapng ne sont pas pris en charge.
Définissez le mode de capture hors ligne
  1. Connectez-vous aux paramètres d'administration du système ExtraHop via https://<extrahop-hostname-or-IP-address>/admin.
  2. Dans le Configuration du système section, cliquez Capturez.
  3. Cliquez Fichier de capture hors ligne.
  4. Sélectionnez Uploade