- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
03-加密流量告警典型配置
本章节下载： 03-加密流量告警典型配置 (897.26 KB)
H3C SecCenter CSAP-NDR安全威胁发现与运营管理平台
加密流量分析典型配置
Copyright © 2024 新华三技术有限公司 版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。
本文档中的信息可能变动，恕不另行通知。
目 录
本文档介绍H3C SecCenter CSAP-NDR安全威胁发现与运营管理平台（以下简称NDR平台）加密流量分析功能的配置案例。
加密流量检测可对加密协议中传输的加密原始流量和JA3指纹、证书信息、加密套件、扩展长度、协议版本、证书组织、证书颁发者等进行学习并建模，并结合大量内置规则进行判断分析，可发现加密协议中易被攻击截获的流量，可对常见黑客工具通讯、隐蔽隧道通讯、可疑或非法加密通讯行为进行实际检测和历史回溯，可以快速、高效、准确的发现加密流量中的恶意访问，保护用户网络及数据安全。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解NDR平台功能特性。
如下图所示组网中，部署NDR平台,待分析节点流量通过交换机镜像至NDR平台流量采集口,NDR平台对采集的加密流量分析。
· 监控节点配置流量采集
· Pc端访问https页面(client hello中ja3是恶意的，证书的指纹使用了恶意证书)，平台产生加密流量分析、协议异常分析、加密流量告警
本举例是在NDR的E1103版本上进行配置和验证的。
在配置之前确保各引擎运行正常
将网络各监控节点流量镜像至NDR平台，此处以核心交换机处流量镜像、H3C交换机镜像功能配置为例说明：
[SW] mirroring-group 1 local
[SW] mirroring-group 1 monitor-port GigabitEthernet 1/0/2
[SW] mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both
(1) 登录 NDR 平台，选择“分析中心 > 流量场景分析 > 加密流量分析 > 加密流量分析”，页面查询源ip为“192.168.24.11”，目的ip为“123.206.4.34”，查看检索结果对应的加密流量分析展示
(2) 点击<详情>按钮可查看加密流量会话信息，查看对应的基础信息等
(1) 登录 NDR 平台，选择“分析中心 > 流量场景分析 > 加密流量分析> 协议异常分析”，页面查询源ip为“192.168.24.11”，目的ip为“123.206.4.34”，查看检索结果对应的协议异常分析展示
(2) 点击<详情>按钮可查看协议异常的会话信息，查看对应的基础信息等
(1) 登录 NDR 平台，选择“分析中心 > 流量场景分析 > 加密流量分析> 加密流量告警”，页面查询攻击ip为“192.168.24.11”，受害ip为“123.206.4.34”，查看检索结果对应的加密流量告警展示
(2) 点击<详情>按钮可查看加密流量告警的会话信息，查看对应的基础信息等
(3) 点击<溯源分析>按钮可查看流量溯源的信息，查看对应的tcp会话等
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
