iT邦幫忙

2019 iT 邦幫忙鐵人賽

DAY 6
1

昨天介紹LogRhythm NetMon Freemium (FreeMon),今天介紹NetMon 安裝的Lab環境和設定。

基本安裝

官方網站NetMon Freemium有安裝檔案下載,可以安裝在虛擬環境下測試,在VMWare環境下從ISO檔案開啟VM,一直順著安裝程序步驟完成安裝;也可以下載VirtualBox現成的VM檔案 ,從VirtualBox改變VM設定後直接開啟。

官方文件對於測試環境的基本需求列表如下:

System Requirement Minimum VM Evaluation
Disk Drive Size 60 GB
Memory 12 GB RAM
CPU/Processor 4 cores
Network Interface Controllers (NICs) 2x 1-Gb NIC

雖說文件是這麼寫的,但是後來仔細研究幾份官方文件發現資源的調配是依照環境的幾個參數而定,例如流量flow per second、運算速度(100Mb/s) 和封包捕獲的速度 (10Mb/s),而兩個NIC是因為一個NIC作為管理Management Interface,一個NIC專門監控 Monitoring Interface。我們測試的環境非常簡單,流量很小,可以再更簡化:

在一台電腦上安裝VirtualBox,把NetMon Freemium 安裝在VM1 (或直接下載官方的NetMon Freemium VirtualBox 檔案),將網路設定為Bridge Adapter 的 Promiscuous Mode,這樣可以用一個 NIC管理和監控主機Host的網路流量,在主機Host上測試。

如果出現類似下圖的警示,表示VirtualBox VM找不到網卡,有可能是網卡本身出問題,或者是使用無線網卡(圖示是使用無線網卡),無線網卡在測試的時候常出現類似問題,所以建議用一般網卡。這時候要選擇Change Network Settings。
https://ithelp.ithome.com.tw/upload/images/20181021/20084806OV4LUreNVl.png

在網卡設定裡確定是Bridge Adapter,進階設定裡Promiscuous Mode要選擇Allow All,如果我們今天打算開兩個VM,要從VM1的FreeMon監控VM2的網路流量可以選擇不同設定,但我們是要從VM1的FreeMon監控本機Host所以要選Allow All,其他選項沒辦法看不到本機Host的網路流量。
https://ithelp.ithome.com.tw/upload/images/20181021/200848068m8bqRC2dM.png

網路設定調整好後,我回頭把VM1的資源稍微調小,最終設定為:

System Requirement Allocated
Disk Drive Size 60 GB
Memory 6 GB RAM
CPU/Processor 2 cores
Network Interface Controllers (NICs) 1x 1-Gb NIC

如果不嫌慢的話還可以再往下調。再三強調這是個很小的測試環境,是一台電腦上的VM監控本機電腦流量;在正式環境或大型測試環境,流量flow per second、運算速度(100Mb/s) 和封包捕獲的速度 (10Mb/s)都會影響,請適當調整分配資源。

基本設定

安裝好了便可以開啟VirtualBox VM,一開始以預設帳號登入,需要輸入指令來找目前的IP位址

ip a

如圖示,IP位址是192.168.50.53。
https://ithelp.ithome.com.tw/upload/images/20181021/20084806gjYcEDq1BV.png

因為這時候是DHCP,我們接下來可以打開瀏覽器,輸入這個IP位址,NetMon Freemium的登入畫面便會出現,以預設帳號(此為不同於之前使用的預設帳號)登入後,會強制要求改變密碼,輸入新密碼後,會進入選擇license的畫面,我們是測試所以要選擇Freemium。
https://ithelp.ithome.com.tw/upload/images/20181021/20084806kq544lxXGj.png

接下來還有註冊畫面。完成註冊後,NetMon Freemium會自動重開機,之前如果VM資源下調太小,這時候就需要等一下,等到重開機完畢。這時候還是DHCP的狀態,所以建議回到之前的步驟,登入VM以指令確認IP位址,因為如果是使用無線網卡,這步驟很可能又會發生找不到網卡而無法重開VM,或者VM重開機後讀取不到網卡,沒有IP位址。指令依樣為

ip a

再次從網路瀏覽器登入NetMon Freemiumn後,點選上方Configuration,選擇左邊的Network,這時候會在中間看到Management Interface IP Address Settings的選項,目前還是DHCP (如圖)
https://ithelp.ithome.com.tw/upload/images/20181021/20084806bbzYjsFsmn.png

改變選項成Static,輸入靜態IP位址所需的網路資訊,以後就不用擔心IP位址,也不用在登入NetMon Freemium的指令。

https://ithelp.ithome.com.tw/upload/images/20181021/20084806tytRoS0KW0.png

LogRhythm NetMon Freemium (FreeMon)的基本安裝與設定到此介紹完畢,接下來會介紹功能和進階設定。如果你有使用NetMon的經驗,歡迎留言交流分享喔


上一篇
NSM 05: 工具介紹 LogRhythm NetMon Freemium
下一篇
NSM 07: LogRhythm NetMon 進階設定
系列文
學習網路安全監控的30天30

2 則留言

0
彭偉鎧
iT邦新手 5 級 ‧ 2018-10-21 23:58:10

如果不改用靜態IP,依然使用DHCP,應該影響不大吧?

Sergeyau iT邦研究生 3 級‧ 2018-10-22 00:19:27 檢舉

在測試環境中影響不大,只是萬一IP位址更新,要回去輸入指令找,不然無法從瀏覽器進入。^^

但是接下來(明天)會提到syslog的設定,可以從FreeMon發送syslog給SIEM做進一步分析,如果測試的FreeMon VM的IP位址有變動,那SIEM可能要做調整才知道收到的log source是同一個

0
td00573307
iT邦見習生 0 級 ‧ 2019-01-21 19:44:13

請問您說的預設帳密是什麼?
一開始就卡關了@@

Sergeyau iT邦研究生 3 級‧ 2019-01-22 02:44:42 檢舉

...我已經忘了>< 抱歉
但是下載的官方PDF檔裡面有寫,可以搜尋一下。

我要留言

立即登入留言