Sophos NDR em ESXi ou Hyper-V.

Se você estiver usando o ESXi, o espelhamento de porta envolve as seguintes etapas:

• Configurar switches virtuais.
• Configurar um switch físico.

Configurar switches virtuais

Para configurar o espelhamento de porta para switches virtuais internos, faça o seguinte:

1. No ESXi, vá para Networking. Na guia Virtual switches, selecione um switch para usar para o espelhamento da porta.

Se você ainda não tiver um switch para usar, clique em Add standard virtual switch para adicionar um novo switch e adicionar grupos de portas a ele.

1. Na guia Port groups, clique em Add port group.

   

2. Nas configurações do novo grupo de portas, faça o seguinte:

   1. Insira um nome.
   2. Defina VLAN ID como 4095. Isso permite que todos os outros grupos de portas que já estão no switch encaminhem o tráfego para o novo grupo de portas.
   3. Clique em Security e defina Promiscuous mode como Accept.
   4. Clique em Adicionar.

   

   Você configurou o encaminhamento para o tráfego da sua rede virtual interna. Em seguida, faça o mesmo para o tráfego externo físico, conforme descrito nas etapas a seguir.

3. No ESXi, selecione ou crie outro switch virtual que tratará o tráfego externo físico enviado a ele por um switch físico em sua rede.

4. Configure o switch da seguinte maneira:

   1. Vá para Port groups e clique em Add port group.
   2. Insira um nome.
   3. Defina VLAN ID como 4095.
   4. Clique em Security e defina Promiscuous mode como Accept.

Em seguida, você conecta o seu switch virtual à sua rede física para que possa receber o tráfego externo.

1. No menu esquerdo do ESXi, vá para Networking e selecione o switch que deseja usar para o tráfego externo.

   

2. Nos detalhes do switch, procure vSwitch topology. Você verá “No physical adapters”.

   

3. Clique em Add uplink.

   

4. Em Uplink 1, selecione uma NIC (placa de interface de rede) que esteja disponível. Isso conecta o switch virtual a uma porta em seu servidor ESXi.

   

5. Em Network topology, verifique se é possível ver um adaptador físico conectado.

   

6. Vá para o switch físico e use um cabo para conectar-se diretamente à porta no seu servidor ESXi.

Em seguida, você precisa configurar o espelhamento no seu switch físico.

Configurar um switch físico

Esta seção descreve a configuração do espelhamento de porta em um Sophos Switch. As etapas de configuração para outros switches são diferentes.

Para configurar o espelhamento, siga este procedimento:

1. No Sophos Central, vá para Switches.

2. Selecione o switch que deseja configurar e clique em Executar comandos.

   

3. No console Executar comandos do switch, digite os comandos para espelhar todo o tráfego. Neste exemplo, os comandos espelharão todo o tráfego de entrada e saída nas portas 1-4 e o enviará para a porta 8.

configure terminal
monitor session 1 destination interface gigabitethernet 0/8 allow-ingress
monitor session 1 source interface gigabitethernet 0/1 both
monitor session 1 source interface gigabitethernet 0/2 both
monitor session 1 source interface gigabitethernet 0/3 both
monitor session 1 source interface gigabitethernet 0/4 both
save
end
show monitor session 1

![Console de linha de comando do switch.](../../../../images/ndr-switch-commands.png)

1. Clique em Executar. O console mostra os comandos conforme são executados contra um fundo verde.

   

2. Quando o último comando é executado, o console mostra a configuração concluída. Clique em Fechar.

   

Você terminou de configurar o encaminhamento do tráfego para portas SPAN. Mais tarde, você configurará o Sophos NDR para monitorar o tráfego.

Se você estiver usando o Hyper-V, o espelhamento de porta envolve as seguintes etapas:

• Configure uma porta de espelhamento de tráfego com Hyper-V.
• Conecte uma interface virtual SPAN ao switch virtual.
• Ative as extensões de captura do Microsoft NDIS.
• Configure o modo de espelhamento do switch.
• Valide o espelhamento do tráfego.

Para obter instruções, consulte Configurar espelhamento de tráfego com um Hyper-V vSwitch.

1. Vá para o seu host ESXi.

2. Selecione Virtual Machines e clique em Create/Register VM.

   

3. Em Select creation type, selecione Deploy a virtual machine from an OVF or OVA file. Clique em Avançar.

   

4. Em Select OVF and VMDK files, digite um nome para a VM.

   Clique na página para selecionar arquivos. Selecione o arquivo OVA ndr-sensor.ova. Clique em Avançar.

   

5. Em Select storage, selecione o armazenamento Standard. Em seguida, selecione o repositório de dados em que deseja colocar sua VM. Clique em Avançar.

   

6. Em Deployment options, insira as configurações da seguinte forma.

   1. Em SPAN1, selecione o grupo de portas que receberá o tráfego de SPAN do aplicativo NDR. Você configurou isso anteriormente. Consulte Configurar seus switches.

   2. Em SPAN2, selecione um segundo grupo de portas que receberá o tráfego de SPAN e que precisa ser monitorado (se você tiver um). Por exemplo, você pode ter um switch físico e um vSwitch que não envia tráfego para o switch físico.

      Se você usar SPAN2, deverá aumentar o número de CPUs da VM para pelo menos 8. Consulte Guia de tamanho do dispositivo do Sophos NDR.

   3. O SYSLOG não é necessário para o Sophos NDR. Selecione qualquer grupo de portas como um espaço reservado e, posteriormente, desconecte-o nas configurações da VM.

   4. Em MGMT, selecione a interface de gerenciamento. Essa interface permite que o dispositivo envie dados para o Sophos Central.

      Você configurou essa interface anteriormente no Sophos Central nas Configurações da porta de rede voltada para a Internet.

      Se você selecionou DHCP durante a configuração do dispositivo, certifique-se de que a VM possa obter um endereço IP via DHCP.

   5. Em Disk Provisioning, certifique-se de que Thin esteja selecionado.

   6. Certifique-se de que Power on automatically esteja selecionado.
   7. Clique em Avançar.

   

7. Ignore a etapa Additional settings.

8. Clique em Concluir. Aguarde até que a nova VM apareça na lista de VMs. Isso pode levar alguns minutos.

   

9. Ligue a VM e aguarde a conclusão do processo de instalação.

   A VM é inicializada pela primeira vez e verifica se pode se conectar aos vSwitches corretos e à Internet. Em seguida, ela é reinicializada. Pode levar até 10 minutos.

   Alerta

   Não interrompa esse processo.

10. No Sophos Central, vá para a página Integrações de NDR e atualize-a. O status da VM agora é Conectado.

    

Se o status da VM for Conectado, mas não parecer estar funcionando, verifique o status do serviço Dragonfly no console Sophos VA para NDR. Consulte Sophos VA Console.

Se você vir no console que o serviço Dragonfly está no estado Pendente, e a sua VM estiver em um cluster EVC (Enhanced vMotion Compatibility), verifique se o modo EVC é Skylake ou posterior.

O Sophos NDR VA não suporta a execução em clusters EVC no modo Sandy Bridge.

O arquivo Zip que você baixou no Sophos Central contém os arquivos necessários para implantar a sua VM: unidades virtuais, seed.iso e um script do PowerShell.

Para implantar a VM, faça o seguinte:

1. Extraia o arquivo Zip para uma pasta no seu disco rígido.
2. Vá para a pasta, clique com o botão direito do mouse no arquivo ndr-sensor.ps1 e selecione Executar com o PowerShell.

3. Se você vir uma mensagem de Aviso de segurança, clique em Abrir para permitir que o arquivo seja executado.

   Você será solicitado a responder a uma série de perguntas.

4. Dê um nome à VM.

5. O script mostra a pasta em que os arquivos da VM serão armazenados. Essa é uma nova pasta no local de instalação padrão das unidades virtuais. Digite C para permitir que o script a crie.
6. Digite o número de processadores (CPUs) a serem usados para a VM.
7. Insira a quantidade de memória a ser usada em GB.

8. O script mostra uma lista numerada de todos os vSwitches atuais.

   Selecione o vSwitch ao qual você deseja conectar a interface de gerenciamento e digite seu número. Essa interface permite que o dispositivo envie dados para o Sophos Data Lake.

   Você configurou essa interface anteriormente no Sophos Central nas Configurações da porta de rede voltada para a Internet.

   Se você selecionou DHCP durante a configuração, certifique-se de que a VM possa obter um endereço IP via DHCP.

   

9. Você não precisa inserir um vSwitch para a interface do syslog. Isso só é relevante para integrações de produtos de terceiros.

   Selecione qualquer vSwitch como um espaço reservado e, posteriormente, desconecte-o nas configurações da VM.

10. Selecione o vSwitch que receberá o tráfego de SPAN do aplicativo NDR. Você configurou isso anteriormente. Consulte Configurar seus switches.

11. Opcionalmente, selecione um segundo vSwitch que receberá o tráfego de SPAN e que precisa ser monitorado (se você tiver um). Por exemplo, você pode ter um switch físico e um vSwitch que não envia tráfego para o switch físico.

    Se você usar um segundo vSwitch, deverá aumentar o número de CPUs da VM para pelo menos 8. Consulte Guia de tamanho do dispositivo do Sophos NDR.

12. O script do PowerShell configura a VM no Hyper-V. Você verá uma mensagem de Instalação concluída com êxito.

13. Use qualquer tecla para sair.

14. Abra o Hyper-V Manager para ver a VM adicionada à lista de máquinas virtuais. Se precisar, você pode alterar as configurações. Em seguida, ligue-a.

    A VM é inicializada pela primeira vez e verifica se pode se conectar aos vSwitches corretos e à Internet. Em seguida, ela é reinicializada. Pode levar até 10 minutos.

15. No Sophos Central, vá para a página Integrações do produto que você está integrando e atualize-a. O status da VM agora é Conectado.