Подключение дополнительных сенсорных узлов

С-Терра СОВ позволяет управлять несколькими сенсорными узлами, если изначально устройство было сконфигурировано как система управления (control) или система управления и сенсорный узел (both).
Для добавления дополнительного сенсорного узла выполните следующие шаги:

Шаг 1:      Получите доступ к графическому интерфейсу СОВ (выполните вход- см. «Получение доступа к графическому интерфейсу»).

Шаг 2:        Перейдите на страницу Настройки-Параметры. В окне Параметры шаблонов конфигурационных файлов нажмите на кнопку + Добавить параметр.

Шаг 3:      В окне Добавление параметра в поле Значение параметра укажите адрес 0.0.0.0. По этому адресу сенсорный узел сможет получить доступ к Elasticsearch. Нажмите кнопку Добавить.

Рисунок 35

Шаг 4:      Перейдите на страницу Настройки-Шаблоны. В окне Шаблоны конфигурационных файлов нажмите на кнопку  +   возле шаблона Конфигурационый_файл_Elasticsearch для узла s-terra_ids.

Рисунок 36

Шаг 5:      В окне Добавление шаблона в поле Код шаблона строку:

#cluster.initial_master_nodes: ["node-1", "node-2"]

               Приведите к виду:

cluster.initial_master_nodes: node-1

               Нажмите кнопку Добавить.

Рисунок 37

Шаг 6:      Далее необходимо отправить примененные изменения на узел sterra-ids. Для этого перейдите на вкладку Узлы нажмите на кнопку Применить изменения для всех узлов.

Рисунок 38

Шаг 7:      В строке узла sterra-ids нажмите кнопку Детальная информация. В открывшемся окне Узел sterra-ids нажмите кнопку Перезапуск для сервиса elasticsearch.  

Рисунок 39

Шаг 8:      Далее необходимо перейти в консоль добавляемого сенсорного узла и выполнить все шаги из раздела «Инициализация С-Терра СОВ», а также шаги 1-6 из раздела «Назначение адресов и конфигурирование СОВ».

Шаг 9:      Запустите конфигурационный скрипт для сенсорного узла СОВ, выполните команду:

run /opt/IDS/bin/configure_ids.sh -eurl http://<адрес CONTROL/BOTH>:9200 sensor eth0

               где

•      -eur - ключ для указания адреса Elasticsearch, если он отличен от localhost;

•      <адрес CONTROL/BOTH> - IP-адрес системы управления (узла sterra-ids);

•      параметр sensor - конфигурирует устройство СОВ таким образом, что он может использоваться только как сенсор для обнаружения сетевых угроз;

•      eth0 - интерфейс для анализа трафика по умолчанию.

Шаг 10:     Успешное выполнение скрипта сопровождается выводом следующего сообщения в консоль:

S-Terra IDS has been successfully configured!

Шаг 11:     Для добавления нового сенсорного узла в веб-интерфейсе системы управления перейдите на вкладку Узлы и нажмите на кнопку +Добавить узел. В открывшемся окне Добавление узла для нового сенсорного узла заполните поля:

•      Название - название нового узла;

•      Адрес - IP-адрес нового узла;

•      Порт - поле для задания порта;

•      Описание - поле для дополнительных описаний или необходимых примечаний.

               Нажмите кнопку Добавить. После этого узел появится в общей таблице на странице Узлы.

Рисунок 40

Рисунок 41

Внимание! Если добавляемый сенсор ранее взаимодействовал с какой-либо системой управления, то на нем сохраняется публичный ключ первой системы управления. Данный ключ необходимо сбросить, чтобы сенсор можно было подключить к новой СУ. Для сброса запомненного ключа на сенсоре выполните команду:

run /opt/IDS/bin/stids_node_controller --delete-pub-key 

Шаг 12:     Перейдите на страницу Настройки-Параметры. В окне Параметры шаблонов конфигурационных файлов нажмите на кнопку  +Добавить параметр .

Шаг 13:     В окне Добавление параметра в поле Значение параметра укажите адрес <адрес CONTROL/BOTH>, в поле Название параметра укажите «node_elasticsearch_ip».

               где

•      <адрес CONTROL/BOTH> - IP-адрес системы управления (узла sterra-ids);

               По этому адресу сенсорный узел сможет получить доступ к Elasticsearch. Нажмите кнопку Добавить.

Рисунок 42

Шаг 14:     В окне Параметры шаблонов конфигурационных файлов нажмите на кнопку  +Добавить параметр . В окне Добавление параметра в поле Значение параметра укажите адрес <адрес CONTROL/BOTH>, в поле Название параметра укажите «logstash_reciever».

               где

•      <адрес CONTROL/BOTH> - IP-адрес системы управления (узла sterra-ids);

               По этому адресу сенсорный узел сможет получить доступ к Elasticsearch. Нажмите кнопку Добавить.

Рисунок 43

Шаг 15:     В окне Параметры шаблонов конфигурационных файлов нажмите на кнопку  +Добавить параметр . В окне Добавление параметра в поле Значение параметра укажите адрес <адрес CONTROL/BOTH>, в поле Название параметра укажите «elasticsearch_uri». Нажмите кнопку Добавить.

Рисунок 44

Шаг 16:     Далее необходимо отправить примененные изменения на узлы. Для этого перейдите на вкладку Узлы нажмите на кнопку Применить изменения для всех узлов.

Рисунок 45

Шаг 17:     В строке узла sensor нажмите кнопку Детальная информация. В открывшемся окне Узел sensor нажмите кнопку Перезапуск (или Старт) для сервисов redis, logstash, Suricata, stids-node-controller.  

Рисунок 46

Шаг 18:     В окне Узел sensor нажмите кнопку Запустить самопроверку.  

Рисунок 47