Sophos NDR su ESXi o Hyper-V

Se si utilizza ESXi, il mirroring delle porte prevede i seguenti passaggi:

• Configurazione di switch virtuali.
• Configurazione di uno switch fisico.

Configurazione di switch virtuali

Per configurare il mirroring delle porte per switch virtuali interni, procedere come segue:

1. In ESXi, selezionare Networking (Servizi di rete). Nella scheda Virtual switches (switch virtuali), selezionare uno switch da utilizzare per il mirroring delle porte.

Se non si ha già di uno switch da utilizzare, cliccare su Add standard virtual switch (Aggiungi switch virtuale standard) per aggiungerne uno nuovo e includervi dei gruppi di porte.

1. Nella scheda Port groups (Gruppi di porte), cliccare su Add port group (Aggiungi gruppo di porte).

   

2. Nelle impostazioni per il nuovo gruppo di porte, procedere come segue:

   1. Immettere un nome.
   2. Impostare VLAN ID (ID VLAN) su 4095. Questo consente a tutti gli altri gruppi di porte già presenti sullo switch di inoltrare il traffico al nuovo gruppo di porte.
   3. Cliccare su Security (Sicurezza) e impostare Promiscuous mode (Modalità promiscua) su Accept (Accetta).
   4. Cliccare su Add (Aggiungi).

   

   L’inoltro per il traffico di rete virtuale interno è ora impostato. A questo punto, eseguire la stessa operazione per il traffico fisico esterno, come descritto nei passaggi che seguono.

3. In ESXi, selezionare o creare un altro switch virtuale che gestirà il traffico fisico esterno ricevuto da uno switch fisico sulla rete.

4. Configurare lo switch come segue:

   1. Selezionare Port groups (Gruppi di porte) e cliccare su Add port group (Aggiungi gruppo di porte).
   2. Immettere un nome.
   3. Impostare VLAN ID (ID VLAN) su 4095.
   4. Cliccare su Security (Sicurezza) e impostare Promiscuous mode (Modalità promiscua) su Accept (Accetta).

Occorre ora connettere lo switch virtuale alla rete fisica, in modo che possa ricevere traffico esterno.

1. Nel menu a sinistra di ESXi, selezionare Networking (Servizi di rete) e successivamente lo switch che si desidera utilizzare per il traffico esterno.

   

2. Nei dettagli dello switch, cercare vSwitch topology (topologia vSwitch). Verrà visualizzato il messaggio “No physical adapters” (Nessuna scheda fisica).

   

3. Cliccare su Add uplink (Aggiungi uplink).

   

4. In Uplink 1, selezionare una NIC (Network Interface Card) disponibile. In questo modo lo switch virtuale verrà connesso a una porta sul server ESXi.

   

5. In *Network topology* (Topologia della rete), verificare che sia possibile vedere una scheda fisica collegata.

   

6. Accedere allo switch fisico e utilizzare un cavo per connetterlo direttamente alla porta sul server ESXi.

Il passaggio successivo prevede la configurazione del mirroring sullo switch fisico.

Configurazione di uno switch fisico

In questa sezione viene descritta la configurazione del mirroring delle porte su un Sophos Switch. I passaggi di configurazione per altri switch sono diversi.

Per configurare il mirroring, procedere come segue:

1. In Sophos Central, aprire Switch.

2. Selezionare gli switch che si desidera configurare e successivamente cliccare su Esegui comandi.

   

3. Nella console Esegui comandi switch, immettere i comandi per il mirroring di tutto il traffico. In questo esempio, i comandi effettueranno il mirroring di tutto il traffico in entrata e in uscita sulle porte 1-4 e lo invieranno sulla porta 8.

configure terminal
monitor session 1 destination interface gigabitethernet 0/8 allow-ingress
monitor session 1 source interface gigabitethernet 0/1 both
monitor session 1 source interface gigabitethernet 0/2 both
monitor session 1 source interface gigabitethernet 0/3 both
monitor session 1 source interface gigabitethernet 0/4 both
save
end
show monitor session 1

![Console a riga di comando dello switch.](../../../../images/ndr-switch-commands.png)

1. Cliccare su Esegui. La console mostrerà i comandi su sfondo verde, mentre vengono eseguiti.

   

2. Una volta eseguito l’ultimo comando, nella console verrà visualizzata la configurazione completata. Cliccare su Chiudi.

   

L’inoltro del traffico sulle porte SPAN è stato configurato. Il passaggio successivo prevede la configurazione di Sophos NDR per il monitoraggio di questo traffico.

Se si utilizza Hyper-V, il mirroring delle porte prevede i seguenti passaggi:

• Configurazione di una porta di mirroring del traffico con Hyper-V.
• Collegamento di un’interfaccia SPAN virtuale allo switch virtuale.
• Attivazione delle estensioni di acquisizione di Microsoft NDIS.
• Configurazione della modalità di mirroring dello switch.
• Convalida del mirroring del traffico.

Per istruzioni, vedere Configurare il mirroring del traffico con un vSwitch Hyper-V.

1. Accedere al proprio host ESXi.

2. Selezionare Virtual Machines (VM) e cliccare su Create/Register VM (Crea/Registra VM).

   

3. In Seleziona tipo di creazione, selezionare Distribuisci una macchina virtuale da un file OVF o OVA. Cliccare su Next (Avanti).

   

4. In Select OVF and VMDK files (Seleziona file OVF e VMDK), immettere un nome per la VM.

   Cliccare sulla pagina per selezionare i file. Selezionare il file OVA ndr-sensor.ova. Cliccare su Next (Avanti).

   

5. In Select storage (Seleziona archiviazione), cliccare su Standard. Selezionare quindi l’archivio dati in cui si desidera collocare la VM. Cliccare su Next (Avanti).

   

6. In Deployment Options (Opzioni di distribuzione), inserire le impostazioni indicate di seguito.

   1. In SPAN1, selezionare il gruppo di porte che riceverà il traffico SPAN per l’applicazione NDR. È stato configurato in precedenza. Vedere Configurazione degli switch.

   2. In SPAN2, selezionare (se presente) un secondo gruppo di porte che riceverà il traffico SPAN e che deve quindi essere monitorato. Ad esempio, potrebbero esserci uno switch fisico e un vSwitch che non invia traffico allo switch fisico.

      Se si utilizza SPAN2, occorre aumentare il numero di CPU per la VM, in modo che siano almeno 8. Vedere Guida alla scelta dell’appliance NDR.

   3. SYSLOG non è richiesto per Sophos NDR. Selezionare un gruppo di porte qualsiasi come segnaposto; dovrà poi essere disconnesso in un secondo momento nelle impostazioni della VM.

   4. In MGMT, selezionare l’interfaccia di gestione. Questa interfaccia permette all’appliance di inviare i dati a Sophos Central.

      Questa interfaccia è stata configurata in precedenza in Sophos Central, sotto Impostazioni della porta di rete con connessione Internet.

      Se durante la configurazione dell’appliance è stato selezionato DHCP, assicurarsi che la VM sia in grado di ottenere un indirizzo IP tramite DHCP.

   5. In Disk Provisioning (Provisioning del disco), verificare che sia selezionata l’opzione Thin.

   6. Assicurarsi che sia selezionata l’opzione Power on automatically (Attivazione automatica).
   7. Cliccare su Next (Avanti).

   

7. Saltare il passaggio delle Impostazioni aggiuntive.

8. Cliccare su Fine. Attendere che la nuova VM venga visualizzata nell’elenco delle VM. Ciò potrebbe richiedere alcuni minuti.

   

9. Accendere la VM e attendere il completamento del processo di installazione.

   La VM si avvierà per la prima volta e verificherà di essere in grado di connettersi ai vSwitch corretti e a Internet. Successivamente, effettuerà il riavvio. L'operazione potrebbe richiedere fino a un massimo di 10 minuti.

   Avviso

   Questo processo non deve essere interrotto.

10. In Sophos Central, aprire la pagina delle Integrazioni NDR e aggiornarla. Lo stato della VM è ora Connesso.

    

Se lo stato della VM è Connesso ma la VM non sembra funzionare, verificare lo stato del servizio Dragonfly nella console della virtual appliance (VA) Sophos per NDR. Vedere Console della VA Sophos.

Se nella console lo stato del servizio Dragonfly risulta In sospeso e la VM si trova in un cluster EVC (Enhanced vMotion Compatibility), verificare che la modalità EVC sia Skylake o successiva.

La VA Sophos NDR non supporta l’esecuzione in cluster EVC in modalità Sandy Bridge.

Il file ZIP scaricato in Sophos Central contiene i file necessari per distribuire la VM: unità virtuali, il file seed.iso e uno script PowerShell.

Per implementare la VM, procedere come segue:

1. Estrarre il file ZIP in una cartella sul disco rigido.
2. Aprire la cartella, cliccare con il pulsante destro del mouse sul file ndr-sensor.ps1 e selezionare Esegui con PowerShell.

3. Se viene visualizzato un messaggio intitolato Avviso di sicurezza, cliccare su Apri per consentire l’esecuzione del file.

   Bisognerà rispondere a una serie di domande.

4. Assegnare un nome alla VM.

5. Lo script mostrerà la cartella in cui verranno memorizzati i file della VM. Si tratta di una nuova cartella nel percorso di installazione predefinito per le unità virtuali. Immettere C per permettere allo script di crearla.
6. Immettere il numero di processori (CPU) da utilizzare per la VM.
7. Immettere la quantità di memoria da utilizzare, in GB.

8. Lo script mostrerà un elenco numerato di tutti i vSwitch attuali.

   Selezionare il vSwitch al quale si desidera collegare l’interfaccia di gestione e immetterne il numero. Questa interfaccia permette all’appliance di inviare i dati al Sophos Data Lake.

   Questa interfaccia è stata configurata in precedenza in Sophos Central, sotto Impostazioni della porta di rete con connessione Internet.

   Se durante l’installazione è stato selezionato DHCP, assicurarsi che la VM sia in grado di ottenere un indirizzo IP tramite DHCP.

   

9. Non occorre immettere un vSwitch per l’interfaccia syslog. Questa operazione riguarda solo le integrazioni di prodotti di terze parti.

   Selezionare un vSwitch qualsiasi come segnaposto, che dovrà poi essere disconnesso nelle impostazioni della VM.

10. Selezionare il vSwitch che riceverà il traffico SPAN per l’applicazione NDR. È stato configurato in precedenza. Vedere Configurazione degli switch.

11. Opzionalmente, selezionare (se presente) un secondo vSwitch per la ricezione del traffico SPAN, che dovrà quindi essere monitorato. Ad esempio, potrebbero esserci uno switch fisico e un vSwitch che non invia traffico allo switch fisico.

    Se si utilizza un secondo vSwitch, occorrerà aumentare il numero di CPU per la VM, in modo che siano almeno 8. Vedere Guida alla scelta dell’appliance NDR.

12. Lo script PowerShell configurerà la VM in Hyper-V. Verrà visualizzato il messaggio Installazione completata.

13. Premere un tasto qualsiasi per uscire.

14. Aprire la Console di gestione di Hyper-V per visualizzare la VM aggiunta all’elenco delle virtual machine. Le impostazioni possono essere modificate. Procedere con l’avvio.

    La VM si avvierà per la prima volta e verificherà di essere in grado di connettersi ai vSwitch corretti e a Internet. Successivamente, effettuerà il riavvio. L'operazione potrebbe richiedere fino a un massimo di 10 minuti.

15. In Sophos Central, caricare e aggiornare la pagina Integrazioni del prodotto che si sta integrando. Lo stato della VM è ora Connesso.