- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-安全告警典型配置
本章节下载： 01-安全告警典型配置 (1.73 MB)
H3C SecCenter CSAP-NDR安全威胁发现与运营管理平台
安全告警典型配置
Copyright © 2024 新华三技术有限公司 版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
本文档中的信息可能变动，恕不另行通知。
目 录
本文档介绍H3C SecCenter CSAP-NDR安全威胁发现与运营管理平台（以下简称NDR平台）安全告警功能的配置案例。
安全告警功能，该功能用于配置资产所受到的攻击进行聚合展示，展示其攻击的基本信息、全包取证、资产分析、攻击行为分析等。能够查看原始攻击日志和攻击载荷，以及对应全流量的追踪和下载。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解NDR平台功能特性。
如下图所示组网中，部署NDR平台,待分析节点流量通过交换机镜像至NDR平台流量采集口,NDR平台对采集的流量进行分析，网络中存在攻击流量时，生成安全告警。
· 监控节点配置流量采集
· NDR平台添加资产配置
· NDR平台配置资产受到内网漏洞利用的攻击流量,平台产生安全告警
本举例是在NDR的E1103版本上进行配置和验证。
在配置之前确保各引擎运行正常。
将网络各监控节点流量镜像至NDR平台，此处以核心交换机处流量镜像、H3C交换机镜像功能配置为例说明：
[SW] mirroring-group 1 local
[SW] mirroring-group 1 monitor-port GigabitEthernet 1/0/2
[SW] mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both
(1) 登录NDR平台，选择“资产中心 > 区域配置”，单击<新增>增加区域，如下图所示增加区域“区域1”
(2) 选择“资产中心 > 资产列表”页面，单击<新增>按钮，新建资产1，配置如下：
¡ 资产名称：配置为“17.0.0.30”
¡ 资产类型：选择“终端/PC”
¡ 所属区域：选择系统已配置的区域项，本例选择“区域1”
¡ 生产厂商：选择“H3C”
(3) 单击资产IP<新增>按钮，新增资产IP，配置如下：
¡ IP类型：默认配置为“IPv4”
¡ IP地址：根据资产IP进行配置，本例配置“17.0.0.30”
¡ 管理IP：默认配置为“是”
(4) 选择“资产中心 > 资产列表”页面，单击<新增>按钮，新建资产2，配置如下：
¡ 资产名称：配置为“17.0.0.20”
¡ 资产类型：选择“终端/PC”
¡ 所属区域：选择系统已配置的区域项，本例选择“区域1”
¡ 生产厂商：选择“H3C”
(5) 单击资产IP<新增>按钮，新增资产IP，配置如下：
¡ IP类型：默认配置为“IPv4”
¡ IP地址：根据防火墙设备IP进行配置，本例配置“17.0.0.20”
¡ 管理IP：默认配置为“是”
(1) 登录 NDR 平台，选择“威胁中心 > 安全告警”，页面查询资产源ip为“17.0.0.20”，目的ip为“17.0.0.30”，查看检索结果对应有规则名称为“内网漏洞利用攻击”的安全告警产生
(2) 点击<详情>按钮可查看安全告警详情，查看对应的基础信息等
(3) 原始日志Tab页可查看原始日志，点击<详情>按钮可查看对应的日志详情信息等
(1) 登录 NDR 平台，选择“威胁中心 > 安全告警”，页面查询检测引擎为“日志分析”的告警，点击<详情>按钮可查看载荷分析部分，展示对应的攻击载荷，支持攻击载荷部分高亮展示
(2) 
(3) 点击<下载>按钮可进行下载
(1) 登录 NDR 平台，选择“威胁中心 > 安全告警”，页面查询资产源ip为“17.0.0.20”，目的ip为“17.0.0.30”，点击<详情>按钮查看全包取证部分，展示全流量报文信息，支持流追踪和时序图展示
(2) 点击<下载>按钮可进行全包下载。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
