HowTo: Deploying Lancope Stealthwatch with pxGrid

Size: px

Start display at page:

Download "HowTo: Deploying Lancope Stealthwatch with pxGrid"

徵赈季
5 years ago
Views:

1 使用 Cisco pxgrid 部署 Lancope StealthWatch

2 目录关于本文档... 3 简介... 4 组合使用 CA 签名证书与 SMC... 5 上传 CA 根证书... 5 创建 CA 签名的 SMC 证书... 6 上传 CA 签名的 SMC 客户端证书... 7 SMC Java 客户端... 8 获取主机 Java 库以信任 CA 证书... 8 配置 ANC pxgrid 缓解功能... 9 将自签名证书用于 SMC 和 ISE pxgrid 节点将 ISE 身份证书导入到受信任的系统证书库启用 pxgrid 将 ISE 身份证书导出到 SMC 中为 SMC 创建自签名证书将自签名证书上传到 SMC 将 SMC 自签名证书上传到 ISE 受信任的系统证书库启用自适应网络控制 (ANC) 参考资料附录在 MAC 上启用 SSH 故障排除 SMC ANC 缓解错误消息 : 隔离请求未能发送到 ISE 在 ISE pxgrid 节点中没有与 pxgrid 的连接思科系统公司第 2 页

3 关于本文档本文档面向使用思科平台交换网格 (pxgrid) 部署 Lancope Stealthwatch 的思科现场工程师技术营销工程师合作伙伴和客户 Lancope Stealthwatch 或更高版本和思科身份服务引擎 (ISE) 1.3 或更高版本都是必需的本文档假定已安装 Stealthwatch 和 ISE 并将详述以下内容 : 为用于 pxgrid 操作的证书颁发机构 (CA) 签名证书和自签名证书配置 Stealthwatch 管理控制台 (SMC) Cisco( 自适应网络控制 )ANC pxgrid 缓解操作配置在 ISE 独立环境中使用自签名证书的 ISE pxgrid 节点和 SMC pxgrid 客户端配置的分步示例如果使用 CA 签名证书在生产环境中部署 pxgrid, 请参阅 : 在 ISE 分布式环境中配置 pxgrid : 思科系统公司第 3 页

4 简介 Lancope 的 Stealthwatch 是一种网络安全解决方案, 可实时掌握有关异常行为检测 APT 内部威胁 DDOS 和其他恶意软件的网络与用户流量的情况 Lancope 还会在事件请求对这些终端实时执行缓解操作前中后, 收集和分析整体网络跟踪记录并对这些威胁作出响应思科平台交换网格 (pxgrid) 是支持生态系统合作伙伴从思科的身份服务引擎 (ISE) 获取用户和设备情景信息的统一框架 ISE 将发布相关的信息主题, 生态系统合作伙伴也会订用这些发布的主题, 从而获取 ISE 会话信息以及对终端执行自适应网络控制 (ANC) 缓解操作 ANC 以前称为 EPS 终端保护服务 Lancope Stealthwatch 将作为客户端注册到 ISE pxgrid 节点, 还将订用终端保护服务功能并对终端执行 ANC 缓解操作这些缓解操作包括隔离 / 取消隔离, 以及由 ISE 执行的 IEEE 802.1X 终端身份验证本文档假设已安装 Stealthwatch 6.6 或更高版本, 以及 ISE 1.3 或更高版本作为 pxgrid 客户端,Stealthwatch 需要用于 pxgrid 操作的证书颁发机构 (CA) 签名证书或自签名证书本文档包括两种证书的使用案例签名证书使用案例包括导入 CA 受信任的根证书, 以及在由同一 CA(ISE pxgrid 节点证书由该 CA 签名 ) 签名的 SMC 上生成公钥 / 私钥对假设已在 ISE 受信任的系统证书库中安装 CA 根证书, 并且已在 ISE 系统证书库中安装 pxgrid ISE 节点证书自签名证书分步完成完整的 ISE pxgrid 配置和自签名公钥 / 私钥 SMC 创建过程 ISE 以独立配置进行部署两个使用案例均包括 SMC 缓解操作配置和示例 2015 思科系统公司第 4 页

5 组合使用 CA 签名证书与 SMC 上传 CA 根证书此处导入的是受信任的 CA 根证书, 此根证书也位于 ISE 受信任的系统证书库中步骤 1. Admin User -> Administer Appliance -> Configuration -> Certificate Authority -> Browse, 然后上传 CA 根证书 -> Add 步骤 2. 您将看到以下内容 : 2015 思科系统公司第 5 页

6 创建 CA 签名的 SMC 证书此处生成的是 SMC 私钥, 即由 CA 机构签名的证书签名请求 (CSR) 用于 pxgrid 的 CA 模板必须同时包含对 pxgrid 操作有效的客户端身份验证和服务器身份验证的 EKU 步骤 1. 在 SMC 上创建私钥 openssl genrsa -out smc.key 4096 Generating RSA private key, 4096 bit long modulus e is (0x10001) 步骤 2. 创建要由 CA 服务器签名的 SMC CSR 请求 openssl req -new -key smc.key -out smc.csr You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank Country Name (2 letter code) [AU]: State or Province Name (full name) [Some-State]: Locality Name (eg, city) []: Organization Name (eg, company) [Internet Widgits Pty Ltd]: Organizational Unit Name (eg, section) []: Common Name (e.g. server FQDN or YOUR name) []: Address []: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: 步骤 3. 步骤 4. 获取对 SMC 的根访问权限, 使用 SCP 将 SMC.CSR 和 SMC.key 文件复制到安全的 PC 此 PC 用于将 SMC.CSR 复制 / 粘贴到 pxgrid 自定义模板的高级用户请求中下载 base-64 编码格式的证书 2015 思科系统公司第 6 页

7 上传 CA 签名的 SMC 客户端证书此处为 pxgrid 操作上传的是 CA 签名的 SMC 客户端证书步骤 1. Admin User -> Configuration -> SSL Certificates 并将 smc.cer 和 smc.key 均上传到 SMC 2015 思科系统公司第 7 页

8 SMC Java 客户端获取主机 Java 库以信任 CA 证书注 : 如果 CA 没有标准公共 CA( 因为它是根 ), 则必须将主机 Java 库配置为信任 CA 根证书, 以便打开 Java 客户端步骤 1. 步骤 2. 打开已启用 Java 控制台的 SMC Java 客户端在 Java 控制台中, 查找 TrustStoreHelper 的路径步骤 3. 在主机上, 将 CA 根证书导入到上一步中识别的 cacerts 文件中大多数 cacerts 文件的默认密码为 changeit keytool -keystore cacerts -importcert -alias myca -file myfile where: myfile represents the CA root certificate (i.e. root.cer) 步骤 4. 启动 SMC Java 客户端 2015 思科系统公司第 8 页

添加缓解功能 Tools -> Settings -> Cisco ISE Configuration 并启用 Cisco ISE

9 配置 ANC pxgrid 缓解功能通过 pxgrid ANC 缓解功能,SMC 可以作为 pxgrid 客户端注册到 ISE pxgrid 节点, 并订用对经过 ISE 身份验证的终端调用隔离 / 取消隔离缓解操作的终端保护服务功能步骤 1. 步骤 2. 添加缓解功能 Tools -> Settings -> Cisco ISE Configuration 并启用 Cisco ISE Mitigation, 输入 ISE pxgrid Node 和 IP 地址步骤 3. 连接应该会成功 2015 思科系统公司第 9 页

10 步骤 4. 您将看到 SMC 注册为 pxgrid 客户端, 客户端组从 Session 更改为 EPS Administration -> pxgrid Services 步骤 5. 选择要隔离的主机, 然后选择 Quarantine 步骤 6. 您应该看到主机已成功隔离 2015 思科系统公司第 10 页

11 步骤 7. 选择 Administration -> pxgrid Services -> Live Log 步骤 8. 终端被视为非恶意终端后, 即可对其取消隔离步骤 9. Operations -> Authentications, 您应该看到终端已处于取消隔离状态 2015 思科系统公司第 11 页

12 将自签名证书用于 SMC 和 ISE pxgrid 节点本节介绍如何对 Stealthwatch SMC 和 ISE pxgrid 节点使用自签名证书自签名证书主要用于测试 PoC( 概念验证 ) ISE pxgrid 节点部署在独立环境中请注意, 在 ISE 生产部署中,pxGrid 将具有其自己的角色, 或存在于其自己的节点上将 ISE 身份证书导入到受信任的系统证书库 ISE 身份证书需要受信任, 公共证书需要导出到 ISE 受信任的系统证书库中注 : 在 ISE 1.4 中可能不必执行此步骤 ;ISE 身份证书可能已经受信任步骤 1. Administration -> System -> Certificates -> System Certificates -> 选择 ISE 身份证书并导出注 : 仅导出公共证书, 您可以更改默认证书名称在这些示例中, 证书名称更改为 ise14.pem 步骤 2. Administration -> System -> Certificates -> Trusted Certificates -> Import -> 证书文件 -> 启用 Trust for authentication within ISE -> Submit 2015 思科系统公司第 12 页

验证 pxgrid 服务是否已启用 Administration -> pxgrid Services 注 : 这可能需要一分钟时间, 请验证 pxgrid

13 启用 pxgrid 启用 pxgrid 角色, 在 ISE 中应会启动 pxgrid 服务不必要再将自签名 ISE 身份证书复制到 ISE 中步骤 3. 在 Administration -> System -> Deployment -> Save 下启用 pxgrid 步骤 4. 验证 pxgrid 服务是否已启用 Administration -> pxgrid Services 注 : 这可能需要一分钟时间, 请验证 pxgrid 服务是否正在初始化, 在 ISE pxgrid 节点上运行 application status ise 如果服务仍然没有显示, 请将 ISE 身份证书导出到 ISE 受信任的系统证书库中 2015 思科系统公司第 13 页

将 ISE 身份证书导入到 SMC 证书颁发机构库中 Admin User -> Administer Appliance ->

14 步骤 5. 启用 Auto Registration 注 : 如果未启用 Auto Registration, 您将看到 pxgrid 客户端请求处于挂起状态将 ISE 身份证书导出到 SMC 中步骤 1. 将 ISE 身份证书导入到 SMC 证书颁发机构库中 Admin User -> Administer Appliance -> Configuration -> Certificate Authority -> 浏览并上传先前步骤中的 ISE 身份证书 -> Add 2015 思科系统公司第 14 页

15 为 SMC 创建自签名证书此处我们为 SMC(pxGrid 客户端 ) 创建自签名证书您需要在 SMC 上获取根访问权限注 : 这些步骤记录在 SMC -> Help-Self-Signed Certificates 上步骤 1. 为 SMC 生成私钥, 系统还将提示您输入要在后续步骤中使用的口令 openssl genrsa des3 out smc1.key 2048 您将看到以下内容 : smc:~# openssl genrsa -des3 -out smc1.key 2048 Generating RSA private key, 2048 bit long modulus e is (0x10001) Enter pass phrase for smc1.key: Verifying - Enter pass phrase for smc1.key: smc:~# 步骤 2. 生成自签名证书请求 (CSR) openssl req -new -key smc1.key -out smc1.csr Note: All the field are required except for the challenge password [] and company name [] 您将看到以下内容 : smc:~# openssl req -new -key smc1.key -out smc1.csr Enter pass phrase for smc1.key: You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank Country Name (2 letter code) [AU]:US State or Province Name (full name) [Some-State]:Maryland Locality Name (eg, city) []:Germantown Organization Name (eg, company) [Internet Widgits Pty Ltd]:Lancope Organizational Unit Name (eg, section) []:Engineering Common Name (e.g. server FQDN or YOUR name) []:smc.lab6.com Address []:jdoe@lancope.com Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []: smc:~# 2015 思科系统公司第 15 页

16 步骤 3. 生成自签名证书 openssl x509 -req -days 365 -in smc1.csr -signkey smc1.key -out smc1.crt 您将看到以下内容 : smc:~# openssl x509 -req -days 365 -in smc1.csr -signkey smc1.key -out smc1.crt Signature ok subject=/c=us/st=maryland/l=germantown/o=lancope/ou=engineering/cn=smc.lab6.com/ address=jdoe@lancope.com Getting Private key Enter pass phrase for smc1.key: smc:~# 步骤 4. 解密先前键入的密码 cp smc1.key smc1.key.org openssl rsa -in smc1.key.org -out smc1.key 您将看到以下内容 : smc:~# cp smc1.key smc1.key.org smc:~# openssl rsa -in smc1.key.org -out smc1.key Enter pass phrase for smc1.key.org: writing RSA key smc:~# 步骤 5. 您应在 /root/smc 目录中具有以下内容 smc:~# ls smc1.crt smc1.csr smc1.key smc1.key.org smc:~# 将以 Admin User 身份将 smc1.cert 和 smc1.key 上传到 SSL 证书下的 SMC 中步骤 6. 使用 SCP 在本地复制 smc1.crt 和 smc1.key 文件, 如果在复制到本地 PC 时收到表明拒绝连接的消息, 请参阅附录中的在 MAC 上启用 SSH 以供参考 2015 思科系统公司第 16 页

17 将自签名证书上传到 SMC 此处我们将自签名证书的公共证书和私钥对上传到 SMC 步骤 1. Admin User -> Configuration -> SSL Certificates 并上传 smc1.crt 和 smc1.key -> Upload Certificate 步骤 2. 您应该看到证书已成功上传, 并需要重新启动 2015 思科系统公司第 17 页

18 将 SMC 自签名证书上传到 ISE 受信任的系统证书库此处我们将 SMC 自签名证书上传到 ISE 受信任的系统证书库步骤 1. Administration -> System -> Certificates -> Trusted Certificates -> Import the SMC self-signed certificate 启用 trust for authentication within ISE 并点击 Submit 2015 思科系统公司第 18 页

4 中启用 ANC, 请点击 Administration -> System -> Settings -> Adaptive Network

19 启用自适应网络控制 (ANC) 本节讨论在 ISE 1.4 上启用自适应网络控制 (ANC) 和配置授权策略 ANC 以前在 ISE 1.3 中称为终端保护服务 (EPS) 步骤 1. 要在 ISE 1.4 中启用 ANC, 请点击 Administration -> System -> Settings -> Adaptive Network Control -> Enable->Save 步骤 2. 要在 ISE 1.3 中启用 EPS, 请点击 Administration -> System -> Settings -> 启用 Service Status, 然后点击 Save 2015 思科系统公司第 19 页

Policy -> Authorization -> Exceptions 并添加以下内容 : 步骤 5. Rule Name: ANC 步骤 6.

20 步骤 3. Policy -> Police Elements -> Results -> Authorization -> Authorization Profiles -> Add -> Quarantine, 为 Name 输入 Quarantine -> Submit 步骤 4. Policy -> Authorization -> Exceptions 并添加以下内容 : 步骤 5. Rule Name: ANC 步骤 6. New Condition Rule 添加新属性值 :Session:EPStatus:Equals:Quarantine 步骤 7. Permissions:Profiles:Standard:Quarantine 步骤 8. Click -> Done -> Save 2015 思科系统公司第 20 页

21 参考资料其他 pxgrid 文档位于 : 使用 pxgrid 部署证书 : 使用自签名 pxgrid 客户端和自签名 ISE pxgrid 节点证书使用 pxgrid 部署证书 : 证书颁发机构 (CA) 签名的 pxgrid 客户端和自签名 ISE pxgrid 节点证书使用 pxgrid 部署证书 : 证书颁发机构 (CA) 签名的 pxgrid 客户端和 CA 签名的 ISE pxgrid 节点证书配置并测试与 Cisco pxgrid 的集成 2015 思科系统公司第 21 页

22 附录在 MAC 上启用 SSH 步骤 1. 在 MAC 上启用 SSH Johns-Macbook-Pro:Utilities jeppich$ sudo launchctl load -w /System/Library/LaunchDaemons/ssh.plist Johns-Macbook-Pro:Utilities jeppich$ 步骤 2. 将文件从 SMC 复制到本地 PC Dddd smc:~# scp smc1.crt Password: smc1.crt 100% KB/s 00:00 smc:~# ls smc1.crt smc1.csr smc1.key smc1.key.org smc:~# scp smc1.key Password: smc1.key 100% KB/s 00:00 smc:~# 2015 思科系统公司第 22 页

23 故障排除 SMC ANC 缓解错误消息 : 隔离请求未能发送到 ISE 在 Administration -> pxgrid services 下, 将 SMC 驻注册客户端分配到 ESP 组中在 ISE pxgrid 节点中没有与 pxgrid 的连接对于证书颁发机构 (CA) 签名证书, 请确保您在 ISE 受信任的系统证书库中具有根 CA 证书, 并在 ISE 系统证书库中具有 ISE pxgrid 节点证书 pxgrid 客户端证书必须同时具有客户端身份验证和服务器身份验证的 EKU 对于 ISE 自签名证书, 必须将自签名身份证书从系统证书库导出并导入到 ISE 受信任的系统证书库中有关详细信息, 请参阅在 ISE 分布式环境中配置 pxgrid 2015 思科系统公司第 23 页

PKCS# PEM Erreur! Signet non défini

PKCS# PEM Erreur! Signet non défini TheGreenBow IPSec VPN http://www.thegreenbow.com support@thegreenbow.com TheGreenBow Sistech SA - Sistech 2001-2010 1/27 1... 3 1.1... 3 1.2... 3 2... 4 2.1... 4 2.2 PKCS#12... 6 2.3 PEM... 8 2.4... Erreur!