Sophos NDR (ESXi 또는 Hyper-V)

ESXi를 사용하는 경우 포트 미러링에는 다음 단계가 포함됩니다.

• 가상 스위치 구성.
• 물리적 스위치 구성.

가상 스위치 구성

가상 내부 스위치에 대해 포트 미러링을 설정하려면 다음과 같이 하십시오.

1. ESXi에서 네트워킹으로 이동합니다. 가상 스위치 탭에서 포트 미러링에 사용할 스위치를 선택합니다.

사용할 스위치가 아직 없는 경우 표준 가상 스위치 추가를 클릭하여 새 스위치를 추가하고 여기에 포트 그룹을 추가합니다.

1. 포트 그룹 탭에서 포트 그룹 추가를 클릭합니다.

   

2. 새 포트 그룹에 대한 설정에서 다음과 같이 하십시오.

   1. 이름을 입력합니다.
   2. VLAN ID를 4095로 설정합니다. 이렇게 하면 이미 스위치에 있는 다른 모든 포트 그룹이 트래픽을 새 포트 그룹으로 전달할 수 있습니다.
   3. 보안을 클릭하고 무차별 모드를 수락으로 설정합니다.
   4. 추가를 클릭합니다.

   

   가상 내부 네트워크 트래픽에 대한 전달을 설정했습니다. 다음 단계에 설명된 대로 물리적 외부 트래픽에 대해 동일한 작업을 수행합니다.

3. ESXi에서 네트워크의 물리적 스위치가 보낸 물리적 외부 트래픽을 처리할 다른 가상 스위치를 선택하거나 생성합니다.

4. 다음과 같이 스위치를 구성합니다.

   1. 포트 그룹으로 이동하여 포트 그룹 추가를 클릭합니다.
   2. 이름을 입력합니다.
   3. VLAN ID를 4095로 설정합니다.
   4. 보안을 클릭하고 무차별 모드를 수락으로 설정합니다.

그런 다음 외부 트래픽을 수신할 수 있도록 가상 스위치를 물리적 네트워크에 연결합니다.

1. ESXi 왼쪽 메뉴에서 네트워킹으로 이동하여 외부 트래픽에 사용할 스위치를 선택합니다.

   

2. 스위치 세부 정보에서 vSwitch 토폴로지를 찾습니다. "물리적 어댑터 없음"이 표시됩니다.

   

3. 업링크 추가를 클릭합니다.

   

4. 업링크 1에서 사용 가능한 NIC(네트워크 인터페이스 카드)를 선택합니다. 그러면 가상 스위치가 ESXi 서버의 포트에 연결됩니다.

   

5. 네트워크 토폴로지에서 연결된 물리적 어댑터를 볼 수 있는지 확인합니다.

   

6. 물리적 스위치로 이동하고 케이블을 사용하여 ESXi 서버의 포트에 직접 연결합니다.

다음으로, 물리적 스위치에서 미러링을 설정해야 합니다.

물리적 스위치 구성

이 섹션에서는 Sophos 스위치에서 포트 미러링을 설정하는 방법에 대해 설명합니다. 다른 스위치의 설정 단계는 다릅니다.

미러링을 설정하려면 다음과 같이 하십시오.

1. Sophos Central에서 스위치로 이동합니다.

2. 구성할 스위치를 선택하고 명령 실행을 클릭합니다.

   

3. 스위치 명령 실행 콘솔에서 명령을 입력하여 모든 트래픽을 미러링합니다. 이 예에서 명령은 포트 1~4의 모든 수신 및 발신 트래픽을 미러링하고 포트 8에서 전송합니다.

configure terminal
monitor session 1 destination interface gigabitethernet 0/8 allow-ingress
monitor session 1 source interface gigabitethernet 0/1 both
monitor session 1 source interface gigabitethernet 0/2 both
monitor session 1 source interface gigabitethernet 0/3 both
monitor session 1 source interface gigabitethernet 0/4 both
save
end
show monitor session 1

![명령줄 콘솔을 전환합니다.](../././../../images/ndr-switch-commands.png)

1. 실행을 클릭합니다. 콘솔에는 명령이 녹색 배경에서 실행되는 것처럼 표시됩니다.

   

2. 마지막 명령을 실행하면 콘솔에 완료된 구성이 표시됩니다. 닫기를 클릭합니다.

   

SPAN 포트로의 트래픽 전달 설정을 완료했습니다. 나중에 Sophos NDR을 구성하여 해당 트래픽을 모니터링할 수 있습니다.

Hyper-V를 사용하는 경우 포트 미러링에는 다음 단계가 포함됩니다.

• Hyper-V를 사용하여 트래픽 미러링 포트를 구성합니다.
• SPAN 가상 인터페이스를 가상 스위치에 연결합니다.
• Microsoft NDIS 캡처 확장을 켭니다.
• 스위치의 미러링 모드를 구성합니다.
• 트래픽 미러링을 검증합니다.

Hyper-V를 사용하는 경우 Hyper-V vSwitch로 트래픽 미러링 구성을 참조하십시오.

1. ESXi 호스트로 이동합니다.

2. 가상 머신을 선택하고 VM 생성/등록을 클릭합니다.

   

3. 생성 유형 선택에서 OVF 또는 OVA 파일에서 가상 머신 배포를 선택합니다. 다음을 클릭합니다.

   

4. OVF 및 VMDK 파일 선택에서 VM 이름을 입력합니다.

   페이지를 클릭하여 파일을 선택합니다. OVA 파일 ndr-sensor.ova를 선택합니다. 다음을 클릭합니다.

   

5. 스토리지 선택에서 표준을 선택합니다. 그런 다음 VM을 배치할 데이터 저장소를 선택합니다. 다음을 클릭합니다.

   

6. 배포 옵션에 다음과 같이 설정을 입력합니다.

   1. SPAN1에서 NDR 응용 프로그램에 대해 SPAN 트래픽을 수신할 포트 그룹을 선택합니다. 앞서 이것을 구성했습니다. 스위치 구성을 참조하십시오.

   2. span2에서 SPAN 트래픽을 수신하여 모니터링이 필요한 두 번째 포트 그룹을 선택합니다(있는 경우). 예를 들어 물리적 스위치와 트래픽을 물리적 스위치로 전송하지 않는 vSwitch가 있을 수 있습니다.

      span2를 사용하는 경우 VM의 CPU 수를 8개 이상으로 늘려야 합니다. Sophos NDR VM 크기 가이드을 참조하십시오.

   3. Sophos NDR에는 SYSLOG가 필요하지 않습니다. 임의의 포트 그룹을 자리 표시자로 선택하고 나중에 VM 설정에서 연결을 끊습니다.

   4. MGMT에서 해당 관리 인터페이스를 선택합니다. 이 인터페이스를 통해 어플라이언스는 Sophos Central로 데이터를 전송할 수 있습니다.

      초기에 Sophos Central의 인터넷 연결 네트워크 포트 설정에서 이 인터페이스를 설정하십시오.

      어플라이언스 설정 중에 DHCP를 선택한 경우 VM이 DHCP를 통해 IP 주소를 가져올 수 있는지 확인합니다.

   5. 디스크 프로비저닝에서 씬이 선택되어 있는지 확인합니다.

   6. 자동으로 전원 켜기가 선택되어 있는지 확인합니다.
   7. 다음을 클릭합니다.

   

7. 추가 설정 단계를 건너뜁니다.

8. 마침을 클릭합니다. 새 VM이 VM 목록에 나타날 때까지 기다립니다. 몇 분 정도 걸릴 수 있습니다.

   

9. VM의 전원을 켜고 설치 프로세스가 완료될 때까지 기다립니다.

   VM이 처음으로 부팅되고 올바른 vSwitch와 인터넷에 연결할 수 있는지 확인합니다. 그런 다음 재부팅됩니다. 이 작업은 최대 10분 정도 걸릴 수 있습니다.

   경고

   이 프로세스를 중단하지 마십시오.

10. Sophos Central에서 NDR 통합 페이지로 이동하여 새로 고칩니다. 이제 VM의 상태가 연결됨입니다.

    

VM의 상태가 연결됨이지만 작동하지 않는 것 같다면, NDR용 Sophos VA 콘솔에서 Dragonfly 서비스의 상태를 확인합니다. Sophos VA 콘솔을 참조하십시오.

콘솔에 Dragonfly 서비스가 보류 중 상태이고 VM이 EVC(Enhanced vMotion Compatibility) 클러스터에 있는 경우 EVC 모드가 Skylake 이상인지 확인합니다.

Sophos NDR VA는 Sandy Bridge 모드의 EVC 클러스터에서의 실행을 지원하지 않습니다.

Sophos Central에서 다운로드한 Zip 파일에는 가상 드라이브, seed.iso 및 Powershell 스크립트와 같이 VM을 배포하는 데 필요한 파일이 들어 있습니다.

VM을 배포하려면 다음과 같이 하십시오.

1. 하드 드라이브의 폴더에 Zip 파일의 압축을 풉니다.
2. 해당 폴더로 이동하여 ndr-sensor.ps1 파일을 마우스 오른쪽 단추로 클릭하고 PowerShell로 실행을 선택합니다.

3. 보안 경고 메시지가 표시되면 열기를 클릭하여 파일 실행을 허용합니다.

   일련의 질문에 답하라는 메시지가 표시됩니다.

4. VM에 이름을 지정합니다.

5. 스크립트는 VM 파일이 저장될 폴더를 표시합니다. 이것은 가상 드라이브의 기본 설치 위치에 있는 새 폴더입니다. 스크립트가 생성하도록 하려면 C를 입력하십시오.
6. VM에 사용할 프로세서(CPU) 수를 입력합니다.
7. 사용할 메모리 양을 GB 단위로 입력합니다.

8. 이 스크립트는 현재 모든 vSwitch에 대해 번호가 매겨진 목록을 표시합니다.

   관리 인터페이스를 연결할 vSwitch를 선택하고 해당 번호를 입력합니다. 이 인터페이스를 통해 어플라이언스가 Sophos 데이터 레이크로 데이터를 전송할 수 있습니다.

   초기에 Sophos Central의 인터넷 연결 네트워크 포트 설정에서 이 인터페이스를 설정하십시오.

   설정 중에 DHCP를 선택한 경우 VM이 DHCP를 통해 IP 주소를 가져올 수 있는지 확인합니다.

   

9. syslog 인터페이스에 대해 vSwitch를 입력할 필요가 없습니다. 이것은 타사 제품 통합에만 관련있습니다.

   vSwitch를 플레이스홀더로 선택하고 나중에 VM 설정에서 연결을 해제합니다.

10. NDR 응용 프로그램에 대한 SPAN 트래픽을 수신할 vSwitch를 선택합니다. 앞서 이것을 구성했습니다. 스위치 구성을 참조하십시오.

11. 선택 사항으로 SPAN 트래픽을 수신하고 모니터링이 필요한 두 번째 vSwitch를 선택합니다(있는 경우). 예를 들어 물리적 스위치와 트래픽을 물리적 스위치로 전송하지 않는 vSwitch가 있을 수 있습니다.

    두 번째 vSwitch를 사용하는 경우 VM의 CPU 수를 최소 8개로 늘려야 합니다. Sophos NDR VM 크기 가이드을 참조하십시오.

12. PowerShell 스크립트는 Hyper-V에서 VM을 설정합니다. 설치 완료 메시지가 표시됩니다.

13. 종료하려면 아무 키나 누르십시오.

14. Hyper-V 관리자를 열어 가상 컴퓨터 목록에 추가된 VM을 확인합니다. 설정을 변경해야 하는 경우 변경할 수 있습니다. 그런 다음 전원을 켭니다.

    VM이 처음으로 부팅되고 올바른 vSwitch 및 인터넷에 연결할 수 있는지 확인합니다. 그런 다음 재부팅됩니다. 이 작업은 최대 10분 정도 걸릴 수 있습니다.

15. Sophos Central에서, 통합하려는 제품의 통합 페이지로 이동하여 새로 고침합니다. 이제 VM의 상태가 연결됨입니다.