Network sensor-ийг хэрхэн суулгаж, тохируулах вэ?

Network Sensor Virtual Appliance нь таны incident-үүдийн контекстийг баяжуулахын тулд сүлжээтэй холбоотой үйл явдлуудыг цуглуулж, урьдчилан боловсруулдаг.

Энэ нь TAP горимоор тохируулагдаж, SPAN портоор сүлжээний урсгалын хуулбарыг авдаг. IPv4 эсвэл IPv6 сүлжээний протоколоор харилцдаг ямар ч төхөөрөмжийг (Bitdefender удирддаг эсэхээс үл хамааран) илрүүлнэ. Сүлжээнд яг эдгээр протоколоор харилцдаг IoT төхөөрөмж байвал Network sensor тэдгээрийн урсгалыг мөн шалгана.

Network sensor-ийн шаардлагын талаар дэлгэрэнгүйг Network sensor-ийн шаардлага хуудаснаас үзнэ үү.

Тохируулгын дараа Network sensor сүлжээний урсгалыг тасралтгүй чагнаж, таны орчны бүх төхөөрөмжөөс үйл явдал цуглуулан, урьдчилан боловсруулж, шүүгээд metadata болон илрүүлэлтүүдийг GravityZone Security Analytics engine рүү илгээнэ.

Идэвхжсэн илрүүлэлтүүдийг Incidents > Search хэсэгт дараах query-гээр харна: other.sensor_name:network. Эдгээр илрүүлэлт нь GravityZone-ийн үүсгэсэн Extended Incidents-ийн контекстийг баяжуулахад ашиглагдана.

Network sensor appliance-ийг байрлуулахын өмнө орчноо бэлдэх

GravityZone XDR-д зориулсан Network Sensor Virtual Appliance (NSVA)-ийг байрлуулахын өмнө орчноо дараах байдлаар бэлдэнэ:

1. 1Сүлжээний subnet-ийн бүх шаардлагыг хангасан эсэхээ шалгана.

- IP хаягийн хүрээ давхцахгүй байх - Нэг NSVA appliance-ийн хянаж буй сүлжээнүүдийн IP хаягийн хүрээ давхцаж болохгүй.

Энэ нь үйл явдлыг холбоход зөрчил гарахаас сэргийлж, хяналтыг үнэн зөв байлгахад чухал.

- MAC хаяг давхардахгүй байх - Нэг NSVA appliance-ийн хянаж буй сүлжээнүүдэд давхардсан MAC хаяг байж болохгүй.

Энэ нь үйл явдлыг холбоход зөрчил гарахаас сэргийлж, хяналтыг үнэн зөв байлгахад чухал.

- Сүлжээний router-ийн мэдээлэл - Хянаж буй subnet-үүдийн урсгалыг зохицуулдаг router-уудын IP болон MAC хаягийн жагсаалт. Үүнийг тохируулах үед шаардана.

NSVA network sensor appliance-ийг хамгийн багадаа нэг subnet хянахаар тохируулж, хянах сүлжээ бүрт дор хаяж нэг интернэт gateway ба/эсвэл router өгсөн байх ёстой.

2. 2NSVA Group ID-г тохируулна.

Group ID нь NSVA appliance бүр дээр хэрэглэгчийн тохируулдаг бүхэл тоо бөгөөд таны дэд бүтцэд давхцсан хаягийн хүрээ байвал сүлжээний хяналтыг хэсэгчилж хуваах боломж олгодог.

Дараах зөвлөмжийг анхаарна уу:

- NSVA Group ID нь 1-ээс 254 хүртэлх утгатай байж болно.
- Group ID нь ижил NSVA appliance-ууд хаягийн хүрээ нь давхцсан subnet-үүдийг хянаж болохгүй.
- IP хаягийн хүрээ нь давхцдаггүй, эсвэл MAC хаяг нь давхардсан тусдаа subnet-үүдийг хянаж буй appliance-уудад ижил group ID ашиглана. Ингэснээр GravityZone тухайн сүлжээний байршлыг орчны тогтвортой хэсэг гэж үзэж, бүхэлд нь үйл явдлыг холбож чадна.
- Нэг group ID доторх нэгээс олон NSVA appliance-ийг нэг subnet хянахаар тохируулахаас зайлсхийнэ.
- Давхардсан хяналт болон өгөгдлийн зөрчил, давхцлаас сэргийлэхийн тулд GravityZone-ийн нэг company доторх subnet бүрийг зөвхөн нэг удаа хянана.
- Хэрэв GravityZone-ийн нэг company дотор хаягийн хүрээ нь давхцсан subnet хянах шаардлагагүй бол бүх NSVA network sensor appliance анхдагч group ID (1)-ийг хэвээр ашиглана.

3. 3Урсгалын хяналтыг тохируулна.

NSVA appliance нь mirroring (SPAN гэж бас нэрлэдэг) switchport session-ээр сүлжээний урсгалыг хянадаг. Сүлжээний төхөөрөмжөөс хамаарч өөр нэр томьёо хэрэглэж болно.

Нэг NSVA appliance нь нэг буюу хэд хэдэн сүлжээний сегмент эсвэл switch порт-оос урсгалыг хуулдаг session-ээр дамжуулан, нэг сүлжээний интерфейсээр олон сүлжээний урсгалыг хянаж чадна. NSVA appliance нь SPAN, RSPAN эсвэл mirroring-ээр ирсэн урсгалыг хянана.

> Чухал: Урсгалыг Network sensor appliance руу хүргэхийн тулд сүлжээний тоног төхөөрөмж тань SPAN эсвэл mirroring session-ийг дэмждэг эсэхийг шалгана.

Эдгээр урьдчилсан нөхцөлийг хангаснаар NSVA network sensor appliance-ийг амжилттай байрлуулж, зөрчилгүй, иж бүрэн сүлжээний хяналт тохируулна.

Network sensor-ийг суулгах

Network sensor-ийг vSphere, Hyper-V, Proxmox, OVHcloud Private Cloud-д зориулсан бэлэн appliance image-ээр байрлуулж болно, эсвэл гараар суулгаж болно.

Network sensor probe-уудыг орчиндоо байрлуулахын тулд дараах алхмуудыг дагана. Техник хангамжийн шаардлагыг Network sensor-ийн шаардлага хуудаснаас үзнэ үү.

vSphere

1. 1GravityZone Control Center-ийн зүүн талын цэснээс Network > Installation Packages хуудас руу орно.

2. 2Network Sensor Virtual Appliance багцыг сонгоно.

3. 3Хүснэгтийн дээд талын Download товчийг дараад цэснээс VMware (OVA)-г сонгоно.

4. 4Сонгосон багцыг хүссэн байршилд хадгална.

5. 5vSphere client-ийг нээж, File > Add OVF template-ийг дарна. Ингэснээр орчинд Network sensor-ийг тохируулж идэвхжүүлэхэд ашиглах Network Sensor Virtual Appliance (NSVA)-ийн OVF template-ийг импортлоно.

6. 6Local file-ийг дараад өмнө нь татсан багцыг сонгоно.

7. 7Next-ийг дарна.

8. 8Network Sensor Virtual Appliance-д нэр өгөөд байршлыг сонгоно.

9. 9Next-ийг дарна.

10. 10Network sensor probe-уудыг байрлуулах орчны зорилтот төхөөрөмжүүдийг сонгоод Next-ийг дарна.

11. 11NSVA template-ийн мэдээллийг шалгаад Next-ийг дарна.

12. 12Select storage хуудсанд байрлуулж буй NSVA template-ийн файлуудыг хаана, ямар хэлбэрээр хадгалахыг тодорхойлно.

1. Virtual machine-ийн virtual disk-ийн формат сонгоно.

Боломжит сонголтууд:

- Thick Provision Lazy Zeroed
- Thick Provision Eager Zeroed
- Thin Provision

2. Storage policy сонгоно.

> Тэмдэглэл: Энэ сонголт нь зорилтот төхөөрөмж дээр storage policy идэвхжсэн тохиолдолд л байна.

3. Байрлуулж буй NSVA template-ийг хадгалах datastore сонгоно.

Тохиргооны файл болон virtual disk файлууд datastore дээр хадгалагдана. Virtual appliance болон холбогдох бүх virtual disk файлыг багтаахуйц хэмжээтэй datastore сонгоно.

13. 13Select networks хуудсанд:

1. Network sensor appliance болон GravityZone хоорондын холбоог хангах сүлжээний интерфейсийг сонгоно.

2. Network sensor probe-уудын хянах SPAN сүлжээг сонгоно.

> Чухал: Байрлуулсны дараа sva_setup.sh скриптийг ажиллуулж, хянах сүлжээний subnet-ийг network sensor дээр тохируулах ёстой. Дэлгэрэнгүйг Network sensor-ийн тохиргоо хэсгээс үзнэ үү.

14. 14Next-ийг дарна.

15. 15Хүсвэл NSVA-ийн байрлуулалтын шинж чанаруудыг өөрчлөөд Next-ийг дарна.

16. 16Ready to complete хуудсанд мэдээллийг шалгаад Finish-ийг дарна.

Үүсгэх даалгавар дууссаны дараа Network sensor virtual appliance-аа нээж, тохиргооны үйл явцыг эхлүүлнэ.

Hyper-V

Network sensor probe-уудыг орчиндоо байрлуулахын тулд дараах алхмуудыг дагана. Техник хангамжийн шаардлагыг Network sensor-ийн шаардлага хуудаснаас үзнэ үү.

1. 1GravityZone Control Center-ийн зүүн талын цэснээс Network > Installation Packages хуудас руу орно.

2. 2Network Sensor Virtual Appliance багцыг сонгоно.

3. 3Хүснэгтийн дээд талын Download товчийг дараад цэснээс Microsoft Hyper-V (VHD) эсвэл Microsoft Hyper-V Gen 2 (VHDX)-ийг сонгоно.

4. 4Сонгосон багцыг хүссэн байршилд хадгална.

5. 5Hyper-V Manager-ийг нээгээд Action самбараас New > Virtual Machine...-ийг дарна. Ингэснээр орчинд Network sensor-ийг тохируулж идэвхжүүлэхэд ашиглах virtual machine үүснэ.

6. 6Before You Begin цонхонд Next-ийг дарж, өөрийн тохиргоотой virtual machine үүсгэнэ.

7. 7Specify Name and Location цонхонд virtual machine-ийн нэр болон image-ийг татсан байршлыг оруулна.

8. 8Specify Generation цонхонд:

- .vhd төрлийн image татсан бол Generation 1-ийг сонгоно.

- .vhdx төрлийн image татсан бол Generation 2-ийг сонгоно.

9. 9Assign Memory цонхонд Startup memory-г 2048 MB болгоно.

10. 10Configure Networking цонхонд Connection-ийг хүссэн сүлжээний интерфейс болгоно.

11. 11Connect Virtual Hard Disk цонхонд Use an existing virtual hard disk сонголтыг сонгоод татсан Network sensor VHD эсвэл VHDX багцын байршлыг зааж өгнө.

12. 12Summary хуудсанд мэдээллийг шалгаад Finish-ийг дарна.

13. 13Hyper-V Manager-т шинээр үүссэн virtual machine дээр хулганы баруун товчийг дараад Settings руу орно.

1. Generation 2 virtual machine сонгосон бол Security руу орж, Template жагсаалтаас Microsoft UEFI Certificate Authority-г сонгоно.

2. Add Hardware руу орж, Network Adapter-ийг сонгон Network sensor probe-уудын хянах SPAN сүлжээг нэмнэ.

> Чухал: Байрлуулсны дараа sva_setup.sh скриптийг ажиллуулж, хянах сүлжээний subnet-ийг network sensor дээр тохируулах ёстой. Дэлгэрэнгүйг Network sensor-ийн тохиргоо хэсгээс үзнэ үү.

3. Хүссэн SPAN сүлжээг сонгоод Apply-г дарна.

4. SPAN сүлжээний adapter-ийн Advanced Features-ийг нээж, Port mirroring горимыг Destination болгоод Apply-г дарна.

14. 14Network sensor virtual machine-ийг асааж, тохиргооны үйл явцыг эхлүүлнэ.

Proxmox

Proxmox VE нь хэд хэдэн image формат дэмждэг бөгөөд хамгийн түгээмэл нь OVA болон QCOW2. Техник хангамжийн шаардлагыг Network sensor-ийн шаардлага хуудаснаас үзнэ үү.

Network sensor-ийг Proxmox дээр суулгахдаа дараах алхмуудыг дагана:

1. 1Network > Installation packages руу орж Network Sensor Virtual Appliance-ийн QCOW2 багцыг татна.

Эсвэл Network Sensor Virtual Appliance-ийн OVA багцыг татаад задалж, OVF болон VMDK файлуудыг авч болно.

2. 2Proxmox-ийн албан ёсны баримт-ын алхмыг дагаж image-үүдийг импортлоно.

Hardware хэсгээс хоёр сүлжээний төхөөрөмж нэмнэ:

- Эхний интерфейс нь Network sensor болон GravityZone Console хооронд холбогдоход ашиглагдана.

- Хоёр дахь интерфейс нь хянаж буй сүлжээний интерфейсэд зориулагдана.

> Тэмдэглэл: Хоёр дахь сүлжээний интерфейс дээр firewall-ийг идэвхгүй болгосон байх ёстой.

3. 3Security Server байрлуулсан Proxmox VE cluster дээр QEMU Guest Agent-ийг идэвхжүүлнэ:

1. Select Virtual Machine руу орно.
2. Shut down the VM-ийг сонгоно.
3. Options > QEMU Guest Agent-ийг сонгоно.
4. Agent-ийг идэвхжүүлнэ.
5. VM-ийг асаана.

Үүсгэх даалгавар дууссаны дараа Network sensor virtual appliance-аа нээж, тохиргооны үйл явцыг эхлүүлнэ.

OVHcloud Private Cloud

Алхмууд нь дээрх vSphere-ийнхтэй ижил, зөвхөн 5-р алхамд vSphere client-ийн оронд OVHcloud Private Cloud VMware платформыг нээнэ. Техник хангамжийн шаардлагыг Network sensor-ийн шаардлага хуудаснаас үзнэ үү.

1. 1GravityZone Control Center-ийн зүүн талын цэснээс Network > Installation Packages хуудас руу орно.

2. 2Network Sensor Virtual Appliance багцыг сонгоно.

3. 3Хүснэгтийн дээд талын Download товчийг дараад цэснээс VMware (OVA)-г сонгоно.

4. 4Сонгосон багцыг хүссэн байршилд хадгална.

5. 5OVHcloud Private Cloud VMware платформыг нээж, File > Add OVF template-ийг дарна.

6. 6Дараа нь vSphere хэсгийн 6-16-р алхмыг (Local file-аас Finish хүртэл) адил гүйцэтгэнэ. Ингэхдээ Select networks хуудсанд GravityZone-той холбогдох интерфейс болон хянах SPAN сүлжээг сонгоно.

> Чухал: Байрлуулсны дараа sva_setup.sh скриптийг ажиллуулж, хянах сүлжээний subnet-ийг network sensor дээр тохируулах ёстой. Дэлгэрэнгүйг Network sensor-ийн тохиргоо хэсгээс үзнэ үү.

Үүсгэх даалгавар дууссаны дараа Network sensor virtual appliance-аа нээж, тохиргооны үйл явцыг эхлүүлнэ.

Гараар суулгах

Network Sensor Virtual Appliance-ийн анхдагч тохиргоонд дараах шаардлагатай:

• Хоёр Ethernet сүлжээний adapter:

- Эхний adapter нь GravityZone-той харилцахад ашиглагдах бөгөөд интернэт хэрэгтэй.
- Хоёр дахь adapter-ийг суулгах скрипт promiscuous горимд тохируулах бөгөөд SPAN портоор сүлжээний урсгалын хуулбарыг хүлээн авах ёстой.

> Тэмдэглэл: Wi-Fi сүлжээний adapter дэмжигдэхгүй.

• Хоёр CPU ба 2 GB RAM

Боловсруулах урсгалын хурд:

• 2 GB санах ой — 2 x 2 GHz CPU; 5 Gbps
• 2 GB санах ой — 2 x 1 GHz CPU; 2.5 Gbps
• 2 GB санах ой — 2 x 0.5 GHz CPU; 1 Gbps

Энэ VM нь зөвхөн Bitdefender Network sensor-д зориулагдах бөгөөд өөр зорилгоор ашиглагдахгүй. Bitdefender Network sensor-той зэрэг гуравдагч талын үйлчилгээ суулгахыг дэмждэггүй.

Орчны тохиргоо

Ubuntu Server 24.04 virtual machine үүсгэж, root хэрэглэгчид нууц үг тохируулах ёстой.

Скрипт суулгах

Скриптийг гараар суулгахын тулд дараах алхмуудыг дагана:

1. 1VM руу TTY эсвэл SSH-ээр нэвтэрнэ.
2. 2install-xdr-nsva.tar архивыг эндээс татна.
3. 3Архиваас скриптийг дараах командаар задална: tar -xf install-xdr-nsva.tar.
4. 4Скриптэд ажиллуулах эрх дараах командаар олгоно: chmod +x install-xdr-nsva.sh.
5. 5Суулгалтыг дараах командаар эхлүүлнэ: sudo ./install-xdr-nsva.sh.
6. 6Сүлжээний интерфейсийн тохиргооны дараа VM-ийг дахин асаах ёстой.
7. 7Дахин асаасны дараа VM руу TTY-ээр холбогдож, сүлжээний интерфейс болон IP хаягууд өөрчлөгдсөн эсэхийг шалгана.
8. 8Суулгалтыг дуусгахын тулд 5-р алхмын командыг дахин ажиллуулна.
9. 9Суулгалт дууссаны дараа Network sensor virtual appliance-ийг тохируулах ажлыг тохиргооны 4-р алхмаас эхэлнэ.

Network Vulnerability Scanner

Network Vulnerability Scanner нь XDR Network Sensor Virtual Appliance-ийн шинэ боломж бөгөөд Risk Management-ийн нэг бүрэлдэхүүн юм. Энэ нь сүлжээнд нээлттэй портуудыг идэвхтэй шалгаж, ажиллаж буй аппликейшнүүдийг тодорхойлон, тэдгээртэй холбоотой мэдэгдэж буй эмзэг байдал (CVE)-ыг илрүүлнэ.

Энэ боломж нь сүлжээнд ил гарсан үйлчилгээ болон тэдгээрийн боломжит сул талын талаар харагдах байдлыг өгснөөр эрсдэлийг урьдчилан үнэлж, endpoint-ийн аюулгүй байдлыг бэхжүүлнэ.

Шаардлага ба хязгаарлалт

Шалгах интерфейс (scan interface) үргэлж Static горимд байх ёстой. Үүнийг Network configuration хэсэгт тохируулна.

Network Vulnerability Scanner нь мэдэгдэж буй эмзэг байдал (CVE) бүхий үйлчилгээг илрүүлж, зөвхөн таны сүлжээн дэх удирдагдаж буй endpoint-уудын хувьд GravityZone-д харуулна.

Шалгах интерфейсийн хязгаарлалт:

• Зорилтот subnet бүр зөвхөн нэг сүлжээний интерфейстэй холбогдсон байх ёстой.

• Static горимд 9 хүртэлх интерфейс тохируулж болно.

• Promiscuous горимд зөвхөн 1 интерфейс тохируулж болно.

• Дэмжигдэх интерфейсийн дээд тоо 10.

> Тэмдэглэл: Олон интерфейс тохируулахдаа subnet давхцаагүй, давхардаагүй эсэхийг шалгана.

• Эмзэг байдал шалгагчид тохируулсан subnet-үүдэд дараах шалгах дүрэм үйлчилнэ:

- Хамгийн ихдээ 160 шалгах зорилт зөвшөөрнө.

> Тэмдэглэл: 160-аас олон subnet тохируулсан бол зөвхөн эхний 160-г нь шалгана.

- Subnet нь ойролцоогоор 2 сая хүртэл host агуулсан байх ёстой, өөрөөр хэлбэл CIDR угтварын урт /11 буюу түүнээс их байна (жишээ нь /11, /12, /13).

- Зөвхөн Internet Assigned Numbers Authority (IANA)-ийн хувийн IP хүрээн доторх хувийн subnet-үүдийг зөвшөөрнө:

- Class A private — 10.0.0.0/8
- Class B private — 172.16.0.0/12
- Class C private — 192.168.0.0/16

Network Vulnerability Scanner-ийг тохируулах нь

Network Vulnerability Scanner-д статик IP хаягтай ядаж нэг сүлжээний интерфейс тохируулсан байх шаардлагатай. Таны систем ерөнхий холболтдоо DHCP ашиглаж болох ч шалгах үйлдэлд сонгогдохын тулд ядаж нэг интерфейс (ижил интерфейс байж болно) Static горимд байх ёстой.

Энэ боломж subnet бүрийг шалгахад тохирох интерфейсийг автоматаар сонгоно. Зорилтот subnet-д ихдээ нэг сүлжээний үсрэлтээр (hop) хүрч чадах интерфейсийг сонгодог тул зорилтот машины MAC хаягийг шууд тодорхойлж чадна.

Хэрэв зорилт нэгээс олон hop-оор хол байвал (жишээ нь gateway-ийн ард) шалгагч зөвхөн gateway-ийн MAC хаягийг л олно. Ганц ийм мэдээлэл нь үнэн зөв шалгалт хийхэд хүрэлцэхгүй.

Эмзэг байдал шалгагчийг тохируулсан жишээ:

Шалгагч 192.168.1.20 IP хаягийг eth0-оор шууд шалгаж чадна, учир нь энэ нь ижил subnet-д байгаа, нэг hop зайтай, MAC хаяг нь харагдаж байна.

Харин 192.168.2.30 IP хаягийг router-ээр дамжуулан шалгахгүй, учир нь:

• Пакет router-ээр дамжина.
• Хүрэх MAC хаяг нь VM-ийнх биш, gateway-ийнх байна.

Network Vulnerability Scanner-ийг тохируулах

1. 1GravityZone дээр өөрийн policy руу орно.

2. 2Risk management-ийг идэвхжүүлнэ.

Дэлгэрэнгүйг Policy тохируулах хуудаснаас үзнэ үү.

3. 3sva-setup-ийг нээнэ.

4. 4Configure vulnerability scanner-ийг сонгоно.

> Тэмдэглэл: Сүлжээний интерфейс Static горимд тохируулагдсан үед л шалгагч ажиллана.

5. 5Configure scanned subnets > Add new subnet-ийг сонгоно.

6. 6(Заавал биш) Monitored Networks хэсгээс байгаа subnet-үүдийг импортлож болно.

7. 7Subnet-үүдийн жагсаалтыг баталгаажуулна.

8. 8Set scanning interface руу орно.

9. 9Space товчоор нэг буюу хэд хэдэн интерфейс сонгоно.

> Тэмдэглэл: Шалгахаар сонгосон интерфейсүүд Static горимд байх ёстой.

10. 10Бүх тохиргоог хийсний дараа Apply configuration-ийг сонгоно.

Шалгалтаас хасах (Scanning exclusions)

Endpoint-ийн policy-д Risk management идэвхтэй бол эмзэг байдал шалгахад ашиглагдах XDR NSVA-ийн IP хаягуудыг автоматаар хасч болно.

Тохиргооны процесс дууссаны дараа Network Vulnerability Scanner-д тохируулсан бүх Static IP хаяг GravityZone руу илгээгдэж, policy-д Exclude NSVA IPs from scanning сонголт идэвхтэй бүх endpoint дээр Firewall болон Network Attack Defense-ээс хасагдах exclusion болж хэрэгжинэ.

Endpoint дээр ашигладаг policy бүр дээр exclusion-ийг тусад нь идэвхжүүлэх хэрэгтэй. Үүнээс гадна endpoint XDR NSVA-тай ижил сүлжээнд байгаа үед л exclusion хэрэглэх policy-д Assignment rules тохируулах хэрэгтэй.

Сүлжээний эмзэг байдлын шалгалтыг шаардлагаар ажиллуулах

Network scan сонголтыг идэвхжүүлсэн risk scan task ажиллуулж сүлжээний эмзэг байдлыг шалгана. Network scan нь Risk management хэсгийн дараах хуудсууд дээр байна:

• Findings
• Vulnerabilities
• Account risks
• Resources
• Identities

Үр дүн Risk management > Vulnerabilities хэсэгт харагдана.

Proxmox VE дээр Vulnerability Scanner ашиглах

Proxmox VE дээр Vulnerability Scanner ашиглахын тулд интерфейсийн тоог гараар зааж өгөх хэрэгтэй. Үүний тулд дараах алхмуудыг дагана:

1. 1VM-ийг унтраана.
2. 2Ашиглахыг хүссэн тооны интерфейс нэмнэ.
3. 3Vulnerability scanner-ийг тохируулна.

Microsoft-ийн шинэ Azure virtual network terminal access point (TAP)-тэй нэгтгэх

XDR Network Sensor Virtual Appliance-ийг Azure vTAP-тай нэгтгэхдээ Security Server-ийн хяналтын интерфейсийг vTAP-ийн destination болгон тохируулж сүлжээний урсгалыг хүлээн авна.

Хяналтын интерфейс нэмэхээс өмнө Azure Marketplace руу орж XDR NSVA-г байрлуулах ёстой.

Marketplace-ийн VM анхдагчаар нэг интерфейстэй бөгөөд энэ нь GravityZone-той харилцахад ашиглагддаг. Хяналтыг идэвхжүүлэхийн тулд дараахын аль нэгийг хийнэ:

• одоо байгаа интерфейсийг урсгал хянахаар тохируулах
• тусдаа хяналтын интерфейс нэмж, тохируулаад XDR NSVA-д холбох

Одоо байгаа интерфейсийг урсгал хянахаар тохируулах

Одоо байгаа интерфейсийг тохируулахын тулд дараах алхмуудыг дагана:

1. 1Azure vTAP портал хуудас руу орж Security Server-ийн хяналтын интерфейсийг destination resource болгон тохируулна:

1. XDR NSVA-ийн интерфейсийг destination resource болгож сонгоно.
2. Хянахыг хүссэн VM-үүдийн сүлжээний интерфейсийг source болгон нэмнэ.

2. 2VM руу SSH-ээр дараах командаар нэвтэрнэ:

ssh -i <ssh_key> azueruser@ip, энд azureuser нь байрлуулах үед үүссэн хэрэглэгч.

3. 3Дараах командуудыг root эрхээр ажиллуулах тул root-ийн нууц үгийг дараах командаар тохируулна:

sudo sva-setup

4. 4Network Configuration > View/Edit physical interface(s) руу орно.

5. 5Add new virtual interface-ийг сонгоно.

6. 6Source interface-ийг eth0 болгож тохируулна.

Энэ сонголт нь vTAP endpoint (eth0)-д ирсэн VXLAN урсгалыг задалдаг шинэ сүлжээний интерфейс үүсгэнэ.

7. 7Өөрчлөлтийг хадгалахын тулд Apply Configuration-ийг сонгоно.

8. 8Azure vTAP-ийн тусгай тохиргоо дууссаны дараа XDR NSVA-г GravityZone-той холбож, хянах сүлжээнүүдийг тохируулна.

Шинэ хяналтын интерфейс нэмж тохируулах

Хяналтын интерфейс үүсгэхийн тулд дараах алхмуудыг дагана:

1. 1VM-ийг зогсооно.

2. 2Шинэ network interface card (NIC) үүсгээд холбоно.

3. 3vTAP хуудас руу орж шинэ vTAP resource үүсгэнэ:

1. Шинэ NIC-ийг destination resource болгож сонгоно.
2. Хянахыг хүссэн VM-үүдийн сүлжээний интерфейсийг source болгон нэмнэ.

4. 4VM руу SSH-ээр дараах командаар нэвтэрнэ:

ssh -i <ssh_key> azueruser@ip, энд azureuser нь байрлуулах үед үүссэн хэрэглэгч.

5. 5Дараах командуудыг root эрхээр ажиллуулах тул root-ийн нууц үгийг дараах командаар тохируулна:

sudo passwd root

6. 6Дараах командаар root хэрэглэгч рүү шилжинэ:

sudo su

7. 7sva-setup-ийг ажиллуулна.

8. 8Network Configuration > View/Edit physical interface(s) руу орно.

9. 9eth1 Unconfigured-ийг сонгоод DHCP горимд тохируулна.

10. 10View/Edit virtual interface(s) руу орно.

11. 11Add new virtual interface-ийг сонгоно.

12. 12Source interface-ийг eth1 болгож тохируулна.

Энэ сонголт нь vTAP endpoint (eth1)-д ирсэн VXLAN урсгалыг задалдаг шинэ сүлжээний интерфейс үүсгэнэ.

13. 13Өөрчлөлтийг хадгалахын тулд Apply Configuration-ийг сонгоно.

14. 14Azure vTAP-ийн тусгай тохиргоо дууссаны дараа XDR NSVA-г GravityZone-той холбож, хянах сүлжээнүүдийг тохируулна.

Network sensor virtual appliance-ийг тохируулах

Network sensor-ийг суулгасны дараа virtual appliance-ийг дараах алхмаар тохируулна:

1. 1Network sensor virtual machine-ийг асаана.

2. 2SSH-ээр нэвтэрнэ. Хэрэглэгчийн нэр, нууц үг нь bdadmin / sve.

> Тэмдэглэл: root дансны нууц үг sve бөгөөд хугацаа нь дууссан.

3. 3Нууц үгийг солино.

Анхдагч нууц үг нь шинэ аюулгүй байдлын шаардлагыг хангахгүй тул заавал солих ёстой. Нууц үг дор хаяж 8 тэмдэгттэй, нэг цифр, дор хаяж нэг том үсэг, дор хаяж нэг жижиг үсэг, нэг тусгай тэмдэгт агуулсан байх ба 3 сар тутамд солигдох ёстой.

> Тэмдэглэл: Network Sensor-ийг суулгасны дараа bdadmin хэрэглэгчид нууц үгийн policy тохируулагдаж, 90 хоногт нэг дуусна. Мөн root-ийн нууц үгийг заавал солих ёстой.
>
> bdadmin-ийн нууц үгийг сэргээх талаар Security Server-ийн нууц үгийг шинэчлэх хуудаснаас үзнэ үү.

4. 4Network sensor-ийг тохируулахдаа дараахын аль нэгийг хийнэ:

1. Configuration > Sensors Management > Add new руу орж өөрийн company-г сонгоод Network sensor дээр Requirements-ийг сонгоно.

Жагсаасан командыг байрлуулсан virtual machine дээр ажиллуулна. Дараа нь 10-р алхам руу шилжинэ.

2. Communication Server-ийг sva_setup интерфейсээр тохируулахдаа дараах командыг ажиллуулна:

```
/opt/bitdefender/bin/sva_setup.sh
```

sva_setup интерфейс нь subnet, VLAN, router-ийн тохиргоо зэрэг сүлжээний иж бүрэн тохиргоог хийх боломжийг олгоно.

5. 5Тохиргооны процессыг эхлүүлнэ. Сумтай товчоор хөдөлж, сонголтоо баталгаажуулах эсвэл цуцлахын тулд OK эсвэл Cancel-ийг сонгоно.

6. 6Network configuration - дараах горимуудыг тохируулах боломж олгоно:

- eth0: GravityZone-той харилцахад ашиглах, Dynamic Host Configuration Protocol (DHCP) горимтой үндсэн интерфейс.

> Тэмдэглэл: Энэ интерфейсийг зөвхөн DHCP эсвэл Static горимд тохируулж болох бөгөөд GravityZone-той харилцах интерфейс байдлаар үргэлж ашиглагдана.
>
> Мөн Static горимд байгаа үед л эмзэг байдал шалгахад ашиглаж болно.

- eth1: сүлжээний урсгалыг шинжлэхэд ашиглах, promiscuous горимтой интерфейс.

> Чухал: Өөрчлөлт хэрэггүй бол цаашид нэмэлт тохиргоо шаардлагагүй.

Хэрэв үндсэн интерфейс статик IP хаягтай байх ёстой бол Network configuration-оос eth0-г сонгоод дараах байдлаар тохируулна:

1. Static-ийг сонгоно.

2. Тохиргоог гүйцээнэ.

3. Ok-ийг сонгоно.

4. Network interface(s) configuration цэс рүү буцахын тулд Cancel-ийг сонгоно.

5. Apply configuration-ийг сонгоно.

6. (Заавал биш) Set hostname сонголтыг сонгож NSVA-ийн hostname-ийг өөрчлөөд, дараа нь Apply configuration-ийг сонгоно.

7. 7Internet proxy configuration - Network sensor GravityZone-той анх харилцахад ашиглагдах proxy тохиргоог оруулах боломж олгоно.

8. 8Configure Communication Server руу орж, хөтчийн URL-аас хамаарч дараахын аль нэгийг сонгоно:

- cloudgz.gravityzone.bitdefender.com бол: GZ Cloud Instance 1
- cloud.gravityzone.bitdefender.com бол: GZ Cloud Instance 2
- cloudap.gravityzone.bitdefender.com бол: GZ Cloud Instance 3
- cloudrbx.ovh.gravityzone.bitdefender.com бол: GZ RBX Cloud Instance
- cloudham.s11.gravityzone.bitdefender.com бол: GZ SysEleven Cloud Instance
- cloudher.dts.gravityzone.bitdefender.com бол: GZ DTS IT AG Cloud Instance

9. 9Network sensor өгөгдлөө илгээх company-ийн Company Hash-ийг нэмнэ (Login to GravityZone > My Company > My Company hash).

10. 10(Заавал биш) Relay ашигладаг бол Configure Relay Server руу орно.

> Тэмдэглэл: Relay-ийн URL дараах хэлбэртэй байх ёстой: http://<relay-address>:7074.

Relay-ийн хаяг болон Relay ID-г оруулна. Relay ID-г GravityZone Control Center > Network > Computers and Groups > relay-ээ сонгоод > General хэсгээс олно.

Дараа нь Change Priorities руу орж Relay first, ECS second-ийг сонгоно.

> Чухал: Энэ хаяг Control Center-ийн policy тохиргоонд харагдаж буй хаягтай ижил байх ёстой. Холбоосыг шалгахдаа зүүн талын цэснээс Policies (Бодлого) хуудас руу орж, өөрийн policy нэмэх эсвэл нээгээд General > Communication > Endpoint Communication Assignment хэсэгт очиж, баганы толгойн талбарт Communication Server-ийн нэрийг оруулна. Зөв сервер хайлтын үр дүнд харагдана.

11. 11Configure Communication Mode нь Strict горимд тохируулагдсан бөгөөд аюулгүй холбоог хүчлэн мөрдүүлдэг тул өөрчлөх боломжгүй.

12. 12Configure monitored networks цэс нь сүлжээний янз бүрийн тохиргоог удирдах, тохируулах боломж олгоно. Network sensor-д зориулж орчноо бэлдэх талаар дэлгэрэнгүйг энэ хэсгээс үзнэ үү.

13. 13Дараах сонголтуудын аль нэгийг сонгоно.

14. 14Configure subnets and VLANs цонхонд сүлжээний subnet болон Virtual Local Area Network ID (VLAN ID)-г тохируулж, удирдана:

> Тэмдэглэл: Subnet-ийг зарлаагүй бол түүний урсгал Network sensor-д хүрсэн ч хяналтад орохгүй.

1. View/Edit subnet list - нэмсэн subnet болон VLAN-ийн жагсаалтыг харж, засна.

2. Add a new subnet - шинэ subnet нэмнэ.

3. Хяналтад орох subnet хаягийг CIDR бичиглэлээр, урсгал tag-тай бол VLAN ID-тай нь хамт тохируулна.

4. Тохиргоогоо баталгаажуулахын тулд Yes-ийг сонгоно.

5. Remove subnet - ямар ч subnet-ийг хасах боломж олгоно.

> Тэмдэглэл: Урсгал tag-гүй бол VLAN ID шаардлагагүй.

15. 15Set Network group ID цонхонд сүлжээний бүлгийн дугаарыг оноож эсвэл өөрчилнө:

- Group ID нь 1-ээс 254 хүртэлх бүхэл тоо байна.
- Давхцсан subnet-д өвөрмөц Group ID: Group ID нь ижил NSVA appliance-ууд хаягийн хүрээ нь давхцсан subnet-үүдийг хянаж болохгүй.
- Давхцаагүй subnet-д тогтмол Group ID: IP хаягийн хүрээ нь давхцдаггүй тусдаа subnet-үүдийг хянаж буй appliance-уудад ижил group ID ашиглана.

Хаягийн хүрээ нь давхцсан subnet-үүд дээр үндэслэсэн Group ID оноолтын жишээ:

16. 16Configure routers цонхонд сүлжээний router-уудыг тохируулна:

1. View/Edit router list - нэмсэн router-уудын жагсаалтыг харж, засна.

2. Add new router - хянаж буй сүлжээний дэд бүтцэд байгаа янз бүрийн router ба/эсвэл интернэт gateway-ийн IP болон MAC хаягийн жагсаалтыг нэмэх боломж олгоно.

Дараа нь Yes-ийг сонгож тохиргоогоо баталгаажуулна.

3. Remove router - нэмсэн router-уудын жагсаалтаас элемент хасах боломж олгоно.

17. 17Тохиргоо дууссаны дараа Apply configuration-ийг сонгоно.

18. 18Тохиргоо буруу бол Discard changes-ийг сонгож өөрчлөлтийг цуцлаад өмнөх тохиргоо руу буцаж болно.

Олон subnet-тэй сүлжээний жишээ:

Сүлжээний тохиргооны диаграмм дээр үндэслэвэл Network sensor-ийн тохиргоонд дараах зүйлс багтана:

- subnet болон VLAN-ийн тохиргоо
- router-ийн тохиргоо

19. 19(Заавал биш) sva-setup тохиргоог JSON файлаар оруулж болно. Терминалд дараах командыг ашиглана: sva-setup --monitored-networks network.json

JSON файл нь router-уудын жагсаалт, subnet-үүд болон group ID-г агуулсан байх ёстой:

```
{
"gateways": [
{
"ip": "gateway-ip",
"mac": "gateway-mac"
}
],
"groupId": 1,
"home_net_vlan": [
{
"isTrafficTagged": "yes/no",
"subnet": "subnet/mask",
"vlanId": vlanID
}
]
}
```

isTrafficTagged хувьсагч no бол vlanId хувьсагч шаардлагагүй.

Дээрх жишээнд харуулсан тохиргоог агуулсан JSON файлын жишээ:

```
{
"gateways": [
{
"ip": "100.100.0.100",
"mac": "0F:0F:0F:0F:0F:0F"
},
{
"ip": "10.0.0.1",
"mac": "00:01:02:03:04:05"
},
{
"ip": "10.0.1.1",
"mac": "06:07:08:09:10:11"
},
{
"ip": "10.0.2.1",
"mac": "12:13:14:15:16:17"
},
{
"ip": "10.0.3.1",
"mac": "20:21:22:23:24:25"
}
],
"groupId": 1,
"home_net_vlan": [
{
"isTrafficTagged": "no",
"subnet": "10.0.0.0/24"
},
{
"isTrafficTagged": "yes",
"subnet": "10.0.1.0/24",
"vlanId": 10
},
{
"isTrafficTagged": "yes",
"subnet": "10.0.2.0/24",
"vlanId": 20
},
{
"isTrafficTagged": "no",
"subnet": "10.0.3.0/24"
}
]
}
```

20. 20Холболт амжилттай бол Network sensor GravityZone платформын Network > Computers and Groups хэсэгт (ойролцоогоор 30 секундын дотор) харагдана.

21. 21Network sensor-ийн үндсэн лог файл дараах байршилд байна:

```
/opt/bitdefender/var/log/bdxdrd.log
```

Идэвхжсэн илрүүлэлтүүдийг Incidents > Search хэсэгт дараах query-гээр харна: alert.type:ghoster.

Network sensor-тэй холбоотой асуудал гарвал debug лог цуглуулж Bitdefender Enterprise Support-тай холбогдоно уу.