Quarantainenet Log Forwarder Versie Opmerkingen 2.0 Initiële versie voor versie 2.0.0.0
Disclaimer Tesorion biedt deze documentatie aan ter ondersteuning van de taken die u binnen het implementatietraject uitvoert. Hierbij is het van belang om op te merken dat, vanwege het standaardkarakter van de documentatie, de juiste werking voor uw specifieke situatie niet gegarandeerd kan worden. Raadpleeg in geval van twijfel altijd de documentatie van uw apparatuiur of software, of roep hulp in van een expert. De implementatiebegeleiders van Tesorion zijn geen experts op het gebied van configuratie van uw apparatuur of software en bieden hiervoor slechts ondersteuning op best-effortbasis. Quarantainenet Log Forwarder 2/10
Inhoudsopgave DISCLAIMER... 2 INHOUDSOPGAVE...3 1. INLEIDING... 4 1.1 PLUGINS... 4 1.1.1 DHCP... 4 1.1.2 DNS... 4 2 SYSTEEMVEREISTEN...5 2.1 ONDERSTEUNDE WINDOWS-VERSIES... 5 2.2 BENODIGDE SOFTWARE... 5 2.2.1 Installatie.NET Framework 4.0... 5 2.3 COMPATIBILITEITSUPDATE VOOR WINDOWS SERVER 2012... 5 3 INSTALLATIE... 6 3.1 NIEUWE INSTALLATIE... 6 3.1.1 Installatie WinPCap... 6 3.2 PLUGINS TOEVOEGEN / VERWIJDEREN... 6 3.3 UPDATES... 6 3.4 DEÏNSTALLATIE... 6 4 DHCP-PLUGIN... 7 4.1 DHCP-PLUGIN ACTIVEREN... 7 5 DNS-PLUGIN... 9 5.1 DNS-PLUGIN ACTIVEREN... 9 Quarantainenet Log Forwarder 3/10
1. Inleiding Quarantainenet Log Forwarder (QLF) is een set tools om verschillende functionaliteiten van Qmanage te ondersteunen. Lees voor installatie in ieder geval de hoofdstukken Systeemvereisten en Installatie zorgvuldig door. Zie voor het gebruik van de plugins zelf de bijbehorende hoofdstukken 1.1 Plugins QLF bevat twee losse plugins, die hieronder beschreven worden. Indien u deze software installeert tijdens uw configuratieweek zal uw implementatiebegeleider aangeven welke plugins geïnstalleerd moeten worden. 1.1.1 DHCP Deze plugin kan worden gebruikt voor het doorsturen van DHCP-logging naar een Qmanage-server. DHCP-logging wordt door Qmanage gebruikt voor het koppelen van IP-adressen aan MAC-adressen. 1.1.2 DNS Deze plugin kan worden gebruikt voor het kopiëren en doorsturen van binnenkomende DNS-requests naar een Qmanage-server. DNS-requests worden door Qmanage gebruikt voor het detecteren van malware. Quarantainenet Log Forwarder 4/10
2 Systeemvereisten Voor het gebruik van QLF gelden de volgende systeemvereisten. 2.1 Ondersteunde Windows-versies De volgende versies van Windows worden ondersteund: Windows Server 2008R2 Windows Server 2012 (met compatibiliteitsupdate, zie sectie 4.3) Windows Server 2012R2 Windows Server 2016 Nota Bene: Met Windows Server 2008 (32- en 64-bit) wordt niet getest, de juiste werking op deze versies is dan ook niet gegarandeerd. 2.2 Benodigde software Op alle Windows-versies is de volgende software noodzakelijk:.net Framework 4.0 Client Profile of hoger. In de volgende subsectie vindt u instructies voor het installeren van het.net framework. 2.2.1 Installatie.NET Framework 4.0 Het.NET Framework 4.0 is voor alle ondersteunde Windows-versies beschikbaar via Windows Update. Daarnaast is de meest recente versie van het.net Framework beschikbaar op http://www.microsoft.com/net. 2.3 Compatibiliteitsupdate voor Windows Server 2012 Indien gebruik gemaakt wordt van Windows Server 2012, dient de aanbevolen update KB2764462 geïnstalleerd te zijn voordat QLF geïnstalleerd kan worden. Deze update zorgt ervoor dat bepaalde applicaties (waaronder WinPcap) correct geïnstalleerd kunnen worden. Quarantainenet Log Forwarder 5/10
3 Installatie Als u gebruik maakt van de juiste Windows-versie, en het.net framework hebt geïnstalleerd, kan de Quarantainenet LogForwarder geïnstalleerd worden. 3.1 Nieuwe installatie Pak het gedownloade zip-bestand uit. Open het bestand quarantainenet_log_forwarder_setup.msi als Administrator. Mocht er direct een foutmelding verschijnen is dit te verhelpen door het bestand uit te voeren vanuit een command prompt gestart als Administrator. 1. Klik op Next. 2. Accepteer de gebruikersvoorwaarden door I accept the terms in the License Agreement aan te vinken en klik op Next. 3. Vink nu uitsluitend de plugins aan waarvan Tesorion heeft aangegeven dat ze geïnstalleerd moeten worden en klik op Next. 4. Klik op Install. Quarantainenet LogForwarder wordt nu geïnstalleerd. Indien nodig wordt automatisch de installatie van WinPCap gestart, zie hoodfstuk 3.1.1. 5. Klik, als de installatie klaar is, op Finish. 3.1.1 Installatie WinPcap Als de DNS-plugin geïnstalleerd wordt, zal QLF automatisch vragen om WinPcap te installeren of te updaten. Het kan zijn dat dit scherm direct onder het installatiescherm verschijnt. 1. Klik twee maal op Next en vervolgens op I Agree. 2. Laat Automatically start the WinPcap driver at boot time aangevinkt. 3. Klik op Install; WinPcap wordt nu geïnstalleerd. 4. Klik op Finish om de installatie af te ronden. 3.2 Plugins toevoegen / verwijderen Als, na installatie, een extra plugin moet worden toegevoegd of verwijderd, kan dat door de installer opnieuw uit te voeren. Extra plugins kunnen geïnstalleerd of gedeïnstalleerd worden door deze aan of uit te vinken. 3.3 Updates Het is mogelijk dat Tesorion updates van QLF beschikbaar stelt. Deze kunnen extra functionaliteit of bugfixes bevatten. 3.4 Deïnstallatie Via het Control Panel van Windows kan QLF volledig verwijderd worden. Indien gebruik is gemaakt van de DNS-plugin dient WinPcap achteraf los gedeïnstalleerd te worden. Ook dit kan via het Control Panel van Windows. Quarantainenet Log Forwarder 6/10
4 DHCP-plugin Als QLF geïnstalleerd wordt op een machine die een DHCP-server draait, stuurt de DHCP-plugin alle DHCP-logging door naar de Qmanage-server. Qmanage gebruikt deze informatie om IP-adressen te koppelen aan MAC-adressen. Indien de logging ontbreekt werkt Qmanage niet juist. Deze logging wordt doorgestuurd door middel van WinPcap. 4.1 DHCP-plugin activeren 1. Ga naar het DHCP-tabblad in QLF (Figuur 3). 2. Qmanage server IP/name:het IP-adres of hostname van de Qmanage-server. Deze staan gespecificeerd in het Technisch Implementatieplan. Gebruik in het geval van een redundante setup het virtuele IP of hostname. 3. Destination port: 12345, tenzij anders vermeld door Tesorion. 4. Vink in de lijst met netwerkapparaten aan van welke apparaten DHCPverkeer naar de Qmanage-server moeten worden doorgestuurd. 5. Klik op Save and Apply. 6. De service zal worden gestart en de status ervan zal voortaan worden weergegeven in het vak boven de Restart Service-knop. Quarantainenet Log Forwarder 7/10
Figuur 1: DHCP-plugin instellen Quarantainenet Log Forwarder 8/10
5 DNS-plugin Als QLF geïnstalleerd wordt op een machine die een DNS-server draait, stuurt de DNS-plugin een kopie van alle binnenkomende DNS-requests door naar de Qmanage-server. 5.1 DNS-plugin activeren 1. Ga naar het DNS-tabblad in QLF (Figuur 4). 2. Qmanage server IP/name: het IP-adres of hostname van de Qmanage-server. Deze staan gespecificeerd in het Technisch Implementatieplan. Gebruik in het geval van een redundante setup het virtuele IP of hostname. 3. Destination Port: 54321, tenzij anders vermeld door Tesorion. 4. Vink in de lijst met netwerkapparaten aan van welke apparaten de binnenkomende DNS-requests naar de Qmanage-server moeten worden doorgestuurd. 5. Klik op Save and Apply. Quarantainenet Log Forwarder 9/10
Figuur 2: DNS-plugin instellen Quarantainenet Log Forwarder 10/10