Leitfaden zur Bereitstellung: Netzwerkarchitektur und Ports

 

Mit den Informationen im folgenden Diagramm und in der Porttabelle können Sie sicherstellen, dass alle relevanten Ports für Komponenten in Ihrer NetWitness Platform-Bereitstellung geöffnet sind und miteinander kommunizieren können.

Einzelne Endpunkt-Architekturdiagramme finden Sie unter NetWitness Endpoint-Architektur am Ende dieses Themas.

Diagramm der NetWitness Platform-Netzwerkarchitektur

Das folgende Diagramm veranschaulicht die Netzwerkarchitektur von NetWitness Platform mit allen zugehörigen Produktkomponenten.

Hinweis: NetWitness Platform-Core-Hosts müssen mit dem NetWitness-Server (dem primären Server in einer Bereitstellung mit mehreren Servern) über UDP-Port 123 kommunizieren können, um eine NTP-Synchronisation (Network Time Protocol) durchzuführen.

 

 

Diagramm zur Netzwerkarchitektur von NetWitness Network (Packets)

Das folgende Diagramm zeigt die Netzwerkarchitektur von NetWitness Network (Packets).

Diagramm zur Netzwerkarchitektur NetWitness Logs

Das folgende Diagramm zeigt die Netzwerkarchitektur von NetWitness Logs.

Umfassende Liste der Host-, Service- und iDRAC-Ports von NetWitness Platform

Hinweis: Informationen zu Ports, die in der Ereignissammlung über die RSA NetWitness Logs verwendet werden, finden Sie unter „Grundlagen“ im RSA NetWitness Suite Leitfaden zur Bereitstellung der Protokollsammlung. Navigieren Sie zu Masterinhaltsverzeichnis, worüber alle Dokumente für NetWitness Platform Logs & Network 11.x aufgerufen werden können.

Dieser Abschnitt enthält die Portspezifikationen für die folgenden Hosts.

                                 

NW-Serverhost

                                                                                                               

Archiver-Host

                                                                     

Broker-Host

                                                                           

Concentrator-Host

                                                                                 

Endpoint Log Hybrid

                                                                     

Event Stream Analysis (ESA)-Host

                                                                                                               

iDRAC Ports

                                      

Log Collector-Host

                                                                                             

Log Decoder-Host

                                                                                       

Log Hybrid-Host

                                                                                             

Malware-Host

                                                                                       

Network Decoder-Host

                                                               

Network Hybrid-Host

                                                                     

UEBA-Host

                                                         

 

NetWitness Endpoint-Architektur

NetWitness Endpoint 4.4-Integration in NetWitness Platform

Weitere Informationen zu Services, die auf Endpoint Log Hybrid ausgeführt werden, finden Sie unter Konfigurationsleitfaden für RSA NetWitness Endpoint.

So ändern Sie den UDP-Port für Endpoint Log Hybrid

In den folgenden Schritten erfahren Sie, wie Sie den standardmäßigen UDP-Port 444 des Endpoint Log Hybrid ändern können, wenn er in Ihrer Umgebung nicht akzeptabel ist. 555 ist das Beispiel, das dieses Verfahren als Ersatz für den 444 UDP-Port verwendet.
Es gibt zwei Aufgaben, die Sie ausführen müssen, um den Endpoint Log Hybrid-Standard-UDP-Port 444 zu ändern:

Aufgabe 1: Teilen Sie allen Agents mit, dass sie einen neuen UDP-Port verwenden sollen

Aufgabe 2: Aktualisieren Sie den Port auf allen Endpoint Log Hybrid-Hosts in Ihrer Umgebung

Hinweis: Wenn Sie bei der Ausführung von nwsetup-tui die Option für benutzerdefinierte Firewall-Regeln nicht ausgewählt haben, überschreibt NetWitness Platform die Firewall-Regeln nach einiger Zeit. Lesen Sie in diesem Fall den folgenden Wissensdatenbankartikel 00036446 (https://community.rsa.com/docs/DOC-93651).

Aufgabe 1: Teilen Sie allen Agents mit, dass sie einen neuen UDP-Port verwenden sollen

Führen Sie die folgenden Schritte aus, um den UDP-Port in der Standard-EDR-Policy (Enterprise Data Replication) und allen anderen Policies, die Sie haben, zu aktualisieren, um allen Agenten mitzuteilen, einen neuen UDP-Port zu verwenden.

1. Wählen Sie im Menü NetWitness Platform die Option ADMIN > Endpoint-Quellen > Policies aus.
   Die Ansicht Policies wird angezeigt.

2. Wählen Sie die Standard-EDR-Policy aus und klicken Sie in der Symbolleiste auf Bearbeiten.
3. Blättern Sie nach unten, um den UDP-Port zu suchen und ändern Sie den Wert (z. B. von 444 auf 555).
4. Klicken Sie am unteren Rand der Ansicht auf Policy veröffentlichen.

Aufgabe 2: Aktualisieren Sie den Port auf allen Endpoint Log Hybrid-Hosts in Ihrer Umgebung

Stellen Sie über SSH eine Verbindung her zu jedem Endpoint Log Hybrid-Host in Ihrer Umgebung mit admin Anmeldeinformationen und führen Sie die folgenden Updates durch.

1. Aktualisieren Sie die iptables Regeln, um 555 anstelle von 444zu ermöglichen.
   1. Ersetzen Sie in der folgenden Datei 444 durch 555 .
      vi /etc/sysconfig/iptables
   2. Starten Sie iptables mit der folgenden Befehlszeichenfolge neu.
      systemctl restart iptables
   3. Überprüfen Sie die Änderung mit der folgenden Befehlszeichenfolge.
      iptables -L -n
      Nachfolgend ein Beispiel dafür, was für eine korrekte Änderung angezeigt wird.
      ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp multiport dports 555 /* EndpointNginxPort */ ctstate NEW
2. Aktualisieren Sie die SELinux-Policy. 555 ist ein privilegierter Port, daher müssen Sie die SELinux-Policy aktualisieren, um diesen Port zuzulassen.
   1. Führen Sie die folgende Befehlszeichenfolge aus.
      semanage port -a -t http_port_t -p udp 555
      Wenn Sie Python-Fehler oder Warnungen erhalten, ignorieren Sie diese.
   2. Überprüfen Sie die Änderung mit der folgenden Befehlszeichenfolge.
      semanage port -l | grep http_port_t
      Nachfolgend ein Beispiel dafür, was für eine korrekte Änderung angezeigt wird.
      http_port_t udp 555, 444
   3. (Optional) Entfernen Sie 444.
3. Aktualisieren Sie nginx config.
   1.  Bearbeiten Sie die folgende Datei.
      vi /etc/nginx/nginx.conf
   2.  Suchen Sie die folgende Zeichenfolge.
      listen 444 udp;
   3.  Ersetzen Sie 444 durch:555
   4.  Starten Sie nginx mit der folgenden Befehlszeichenfolge neu.
      systemctl restart nginx
4. Überprüfen Sie, ob die Agents über den neuen Port kommunizieren.
   1. Führen Sie die folgende Befehlszeichenfolge aus.
      tcpdump -i eth0 port 555
   2. Warten Sie 30 Sekunden, da der Port alle 30 Sekunden ein Beacon sendet. Wenn alles ordnungsgemäß funktioniert, werden Informationen ähnlich der folgenden angezeigt.
      09:20:12.571316 IP 10.40.15.103.60807 > NiranjanEPS1.rsa.lab.emc.com.dsf: UDP, length 20
      09:20:12.572433 IP NiranjanEPS1.rsa.lab.emc.com.dsf > 10.40.15.103.60807: UDP, length 1
      Beide Zeilen müssen zurückgegeben werden. Eine ist die Größenanforderung (20 Byte) und die andere die Antwortgröße (1 Byte).