H3C SecCenter 安全威胁发现与运营管理平台典型配置(E1147 E1148)-5W101

13-网络全流量威胁分析探针典型配置

H3C安全威胁发现与运营管理平台

网络全流量威胁分析探针典型配置举例

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

3.5.3 软件探针版本低于P1215和硬件探针低于P1214版本

3.6 验证配置

1 简介

本文档介绍网络全流量威胁分析探针（以下简称NTA探针）与安全威胁发现与运营管理平台（以下简称CSAP平台）使用的配置案例。

NTA探针可以对流量进行分析，包括入侵防御、防病毒、会话分析等，然后产生相应日志发送安全威胁发现与运维管理平台，进行安全、流量等内容进行分析。

NTA探针主要为旁路部署场景，接入交换机等设备镜像的客户网络流量，仅对流量进行分析检测。

2 配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解CSAP平台和网络全流量威胁分析探针的功能特性。

3 配置举例

3.1 组网需求

如下图所示组网中，部署了CSAP平台，客户组网中FW/SW将需要分析的流量镜像到NTA探针设备中，NTA探针将镜像的流量基于安全策略进行分析，产生会话日志、威胁日志等。NTA探针配置日志采集器地址后，将日志发送到CSAP平台，CSAP平台对日志进行解析、适配等，最终分析产生安全事件。

说明：图中GE1/0/0 是管理口，GE1/0/1 是镜像流量口

3.2 配置思路

· NTA探针配置接口模式并加入安全域，添加安全策略

· NTA探针开启IPS策略、防病毒策略、URL过滤策略并在安全策略中引用，开启DNS审计日志。

· NTA探针开启抓包上传

· NTA探针配置日志发送

· 安全威胁发现与运营管理平台区域、资产配置

· 安全威胁发现与运营管理平台数据来源配置

3.3 使用版本

本举例分别根据NTA探针初始版本，相关配置有区别，先确认探针初始版本，再按照对应版本的配置步骤操作。

CSAP平台的E1148P05版本。

3.4 配置注意事项

在配置之前确保需要分析的流量已配置好流量镜像。

管理PC、第三方平台、CSAP平台之间网络互通。

根据探针版本不同，配置步骤不同，请确认探针的版本。

入侵防御设备有入侵防御、防病毒、URL等特征库授权并已升级最新特征库文件。特征库文件路径：

http://h3c.com/cn/Products___Technology/Products/IP_Security/Characteristic_Service_Area/

3.5 配置步骤

硬件探针初始版本如果大于等于P1214版本，按照3.5.1配置。

软件探针初始版本如果大于等于P1215版本，按照3.5.2配置。以软件探针安装在标准的X2020-G服务器为例

软件探针初始版本低于P1215版本和硬件探针低于P1214版本，按照3.5.3配置。

3.5.1 硬件探针P1214及以上版本

1. 配置管理IP

管理口选择GigabitEthernet 1/0/0，配置该接口的管理IP地址。1- 29口为镜像流量接口。

[H3C]interface GigabitEthernet 1/0/0

[H3C-GigabitEthernet1/0/0] ip address 186.64.4.219 255.255.0.0

2. NTA探针开启抓包上传

点击Web上方标识和面板区的“对象”按钮，然后点击导航栏“应用安全”

选择进入“安全动作-捕获”页面

最大捕获千字节数：50

上传URL：

· 集群版：tftp://Cyber4（Cyber4为集群版第四台设备对外通信地址）

· 标准版：tftp://Cyber

设置完成后，点击确定保存。

注意：默认抓包只抓1条报文，可以通过后台配置抓包条数，最大可以配置抓包10条报文，抓包条数会影响探针检测性能，请根据实际流量大小配置合适的抓包条数。登录NTA探针后台，配置如下命令：

[H3C] ips capture-cache 10

3. 开启真实源IP地址检测功能

点击Web上方标识和面板区的“对象”按钮，然后点击导航栏“应用安全”

选择进入“高级配置”页面，勾选开启真实源IP地址检测功能并应用。

4. 通过web配置时区

点击Web上方标识和面板区的“系统”按钮，然后点击导航栏“维护-系统设置-日期和时间”，检查系统时间正确。

5. NTA探针配置日志主机

日志主机通过后台配置，登录NTA探针后台，配置如下命令，IP地址为CSAP平台被动采集器的IP地址（查看该IP可参见下方说明）

[H3C]customlog host 186.64.130.16 export session dpi url-filter ips anti-virus dns

[H3C]customlog timestamp localtime

说明：安全威胁发现与运营管理平台-被动采集器IP地址，进入安全威胁发现与运营管理平台，选择“系统设置-数据源配置-采集器状态”，即可查看被动采集器IP地址

6. CSAP平台日志源配置

登录CSAP平台，进入系统设置-数据源配置-日志源管理，新增日志源，IP地址配置NTA探针管理IP，设备类型为威胁检测探针，编码选择gbk，端口为默认的514端口。如下图

7. CSAP平台区域、资产配置

登录CSAP平台，进入资产中心-区域配置，默认已有默认区域，默认区域中包含常见私网网段；点击新增可以新增其他内网对应网段。

新增测试区域，配置内网IP段信息。如下图

进入资产中心-资产列表，新增资产。如下图

资产中心-资产配置-资产发现-流量发现资产页面，开启流量发现资产，默认为开启状态。