S'applique À : ThreatSync+ NDR
L'Agent de Collecte ThreatSync+ NDR pour Linux reçoit les données de journal des commutateurs et des routeurs de votre réseau et envoie les données à WatchGuard Cloud.
L'Agent de Collecte ThreatSync+ NDR écoute sur les ports suivants :
- Port 2055 pour les données de journal NetFlow des endpoints.
- Port 6343 pour les données du journal sFlow provenant des endpoints.
- Port 514 pour les données de journal DHCP de l'Agent de Journal Windows.
Vous pouvez installer l'Agent de Collecte ThreatSync+ NDR sur des ordinateurs Linux exécutant Ubuntu 22.04 Server LTS ou 24.04 Server LTS.
Pour obtenir des informations détaillées concernant les systèmes d'exploitation et les environnements de virtualisation pris en charge pour Linux, accédez à Exigences du Système.
Télécharger et Installer l'Agent WatchGuard pour Linux
L'installation de l'Agent WatchGuard pour Linux et de l'Agent de Collecte ThreatSync+ NDR s'effectue en deux étapes.
Pour ajouter et configurer un collecteur, vous devez d'abord télécharger le programme d'installation de l'Agent WatchGuard pour Linux, puis exécuter l'assistant d'installation sur un ordinateur ou un serveur Linux que vous souhaitez configurer en tant que collecteur. Lorsque vous installez l'Agent WatchGuard, il installe ensuite l'Agent de Collecte ThreatSync+ NDR ou l'Agent de Journal Windows. Utilisez l'UI de gestion de ThreatSync pour spécifier les ordinateurs ou serveurs Linux à utiliser comme collecteurs.
Caution: Vous ne pouvez pas installer l'Agent de Collecte ThreatSync+ NDR sur des endpoints sur lesquels sont installés des produits de sécurité des endpoints Panda ou Cytomic. L'Agent de Collecte ThreatSync+ NDR est uniquement compatible avec les produits WatchGuard Endpoint Security.
Avant de Commencer
Avant de télécharger l'Agent WatchGuard pour Linux, vérifiez les points suivants :
- Ubuntu 22.04 Server LTS ou 24.04 Server LTS est installé sur un ordinateur dédié à l'Agent de Collecte ThreatSync+ NDR pour Linux.
- Vous disposez des permissions root sur l'ordinateur Linux sur lequel vous souhaitez installer l'Agent WatchGuard. Vous devez posséder un accès sudo.
- Vous exécutez la commande suivante pour vérifier l'état du pare-feu dans Ubuntu :
sudo ufw status verbose
Si le pare-feu est actif, un message de sortie tel que Status: active est renvoyé. Si l'état du pare-feu est actif, vous devez exécuter la commande suivante pour autoriser les ports sur le pare-feu afin que l'Agent de Collecte ThreatSync+ NDR puisse fonctionner :
sudo ufw allow 2055/udp
sudo ufw allow 6343/udp
sudo ufw allow 514/udp - Vous avez accès à Internet à partir d'Ubuntu pour vous connecter à ThreatSync+ NDR. Pour vérifier l'accès à Internet, exécutez la commande suivante :
ping -c 5 google.com
Exemple :
ping -c 5 google.com
PING google.com(142.250.195.14): 56 data bytes
64bytes from 142.250.195.14: icmp_seq=0 ttl=119 time=14.500 ms
64bytes from 142.250.195.14: icmp_seq=1 ttl=119 time=15.518 ms
64bytes from 142.250.195.14: icmp_seq=2 ttl=119 time=12.415 ms
64bytes from 142.250.195.14: icmp_seq=3 ttl=119 time=17.130 ms|
64bytes from 142.250.195.14: icmp_seq=4 ttl=119 time=15.416 ms
Exigences du Système
L'Agent de Collecte ThreatSync+ NDR pour Linux doit répondre aux exigences suivantes :
- Ubuntu 22.04 Server LTS ou 24.04 Server LTS (complet) installé avec :
- Nombre minimal de cœurs de processeur : 2
- 8 GO de RAM et 128 GO d'espace disque minimum
Seule l'installation complète du serveur Ubuntu est prise en charge. L'installation par défaut (anciennement appelée minimale) n'est pas prise en charge.
Seule l'installation d'Ubuntu en Anglais est prise en charge.
Nous recommandons Ubuntu 22.04 Server LTS. Si vous installez Ubuntu 24.04 Server LTS sur le même serveur que WatchGuard EPDR, assurez-vous de mettre à niveau votre protection Linux à la version 3.0.5.00.0001 ou une version ultérieure.
Pour les réseaux dont le débit NetFlow est supérieur à 500 000 par minute, la quantité nécessaire de processeurs, de RAM et d'espace disque est supérieure.
- Architecture x86-64 — Pour vérifier l'architecture de votre ordinateur, exécutez la commande suivante :
user@ndr-ubuntu24:~$ uname -m
x86_64
Pour de plus amples informations concernant les systèmes d'exploitation et les environnements de virtualisation pris en charge, accédez à la section Dépanner l'Agent de Collecte ThreatSync+ NDR pour Linux de ce document ou la section Compatibilité des Systèmes d'Exploitation des Composants ThreatSync+ NDR des Notes de Publication de ThreatSync+ NDR.
Installer l'Agent WatchGuard pour Linux
Installez l'Agent WatchGuard sur chaque ordinateur Linux que vous souhaitez configurer en tant que collecteur. En règle générale, il vous suffit d'installer l'Agent de Collecte ThreatSync+ NDR sur un ordinateur par site physique de votre réseau.
Pour installer l'agent WatchGuard pour Linux :
- Connectez-vous à votre compte WatchGuard Cloud.
- Pour les comptes Service Provider, dans le Gestionnaire de Comptes, sélectionnez Mon Compte.
- Sélectionnez Configurer > Intégrations ThreatSync+ > Collecteurs.
- Dans l'onglet Agents de Collecte ThreatSync+ NDR, cliquez sur Ajouter un Collecteur.
- Dans la section Télécharger et Installer l'Agent WatchGuard, cliquez sur Télécharger l'Agent WatchGuard.
La boîte de dialogue Télécharger le Programme d'Installation de l'Agent WatchGuard s'ouvre. - Dans la boîte de dialogue Télécharger le Programme d'Installation de l'Agent WatchGuard, sélectionnez Linux.
- (Facultatif) Cliquez sur Copier l'URL de Téléchargement pour enregistrer l'URL de téléchargement.
- Cliquez sur Télécharger.
Le fichier WatchGuard Agent.run se télécharge. - Copiez le fichier .RUN sur l'ordinateur ou le serveur Linux dont vous souhaitez recevoir les journaux.
- Connectez-vous à l'ordinateur Linux et vérifiez que la version du système d'exploitation est prise en charge. Les champs Description et Version indiquent la version.Exemple de sortie :
ndr@ndr-ubuntu:~$ lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description : Ubuntu 24.04.1 LTS
Release: 24.04
Codename: noble
ndr@ndr-ubuntu:~$
- Vérifiez que vous êtes dans le répertoire où vous avez copié le fichier WatchGuard Agent.run. Exécutez la commande ls -l pour énumérer le nom des fichiers du répertoire actuel et vérifiez que WatchGuard Agent.run figure dans la liste.Exemple de sortie :
ndr@ndr-ubuntu:~$ ls -1
total 2072
-rw-rw-r-- 1 ndr ndr 2121583 Oct 2 08:06 'WatchGuard Agent.run'
ndr@ndr-ubuntu:~$ - Pour installer l'Agent WatchGuard, exécutez la commande suivante :
sudo bash "WatchGuard Agent.run"Exemple de sortie :ndr@ndr-ubuntu24:~$ sudo bash 'WatchGuard Agent.run'
[sudo] password for ndr:
Verifying archive integrity... 100% All good.
Uncompressing WatchGuard Agent Installer 100%
Desktop server detected
Installing debian repository
Removing debian repository
Repository installed
Hit:1 https://repository.pandasecurity.com/aether/qa-us1/installers/agent/linux/1.15.00.0000/default/deb/common stable InRelease
Hit:2 http://security.ubuntu.com/ubuntu noble-security InRelease
Hit:3 http://in.archive.ubuntu.com/ubuntu noble InRelease
Hit:4 http://in.archive.ubuntu.com/ubuntu noble-updates InRelease
Hit:5 http://in.archive.ubuntu.com/ubuntu noble-backports InRelease
Reading package lists... Done
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
apt-transport-https is already the newest version (2.7.14build2).
0 upgraded, 0 newly installed, 0 to remove and 21 not upgraded.
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
The following NEW packages will be installed: management-agent
0 upgraded, 1 newly installed, 0 to remove and 21 not upgraded.
Need to get 0 B/15.3 MB of archives.
After this operation, 130 MB of additional disk space will be used.
Selecting previously unselected package management-agent.
(Reading database ... 150921 files and directories currently installed.)
Preparing to unpack .../management-agent_1.15.00.0000-1.10.00-2000-g8ff98e0_amd64.deb ...
Running preinst script with params: install 1.15.00.0000-1.10.00-2000-g8ff98e0 1.15.00.0000-1.10.00-2000-g8ff98e0
Unpacking management-agent (1.15.00.0000-1.10.00-2000-g8ff98e0) ...
Setting up management-agent (1.15.00.0000-1.10.00-2000-g8ff98e0) ...
Running postinst script with params: configure 1.15.00.0000-1.10.00-2000-g8ff98e0
Created symlink /etc/systemd/system/multi-user.target.wants/management-agent.service → /usr/lib systemd/system/management-agent.service.
starting service
Management Agent installation successfully completed!
Succeeded
ndr@ndr-ubuntu24:~$
Si vous observez ces informations en sortie, cela signifie que vous avez déjà installé l'agent WatchGuard :
Reading state information... Done
management-agent is already the newest version (1.15.00.0000-1.10.00-1988-gcffa169).
0 upgraded, 0 newly installed, 0 to remove and 15 not upgraded.
Succeeded
Pour vérifier que l'Agent WatchGuard a correctement été installé, assurez-vous que l'onglet Agents de Collecte ThreatSync+ NDR indique l'état Succès. Le collecteur Linux indique un état en temps réel mis à jour toutes les cinq minutes environ.
Après avoir installé l'Agent WatchGuard sur votre ordinateur Linux, vérifiez qu'un répertoire est créé à l'emplacement /opt/collector. Pour de plus amples informations, accédez à Dépanner l'Agent de Collecte ThreatSync+ NDR pour Linux.
Pour plus d'informations sur la désinstallation de l'Agent WatchGuard ou de l'Agent de Collecte ThreatSync+ NDR, accédez à Supprimer l'Agent de Collecte ThreatSync+ NDR pour Linux.
Configurer des Collecteurs pour ThreatSync+ NDR
Pour collecter les journaux DHCP d'Active Directory, vous devez ajouter et configurer les deux types d'agents de collecte sur votre réseau — d'abord l'Agent de Collecte ThreatSync+ NDR, puis l'Agent de Journal Windows.
Vous configurez les Agents de Collecte ThreatSync+ NDR sur la page Collecteurs.
L'onglet Agents de Collecte ThreatSync+ NDR affiche les colonnes suivantes :
- Nom — Nom du collecteur.
- Adresse IP — Adresse IP de l'ordinateur sur lequel le collecteur est installé.
- Dernière Mise à Jour — Date et heure de la dernière mise à jour des données du collecteur.
- Dernière Activité — Date et heure auxquelles le collecteur a envoyé pour la dernière fois des données à ThreatSync+ NDR.
- Surveillance de NetFlow — Affiche l'état de la surveillance de NetFlow (si le processus nfcapd est en cours d'exécution). Par exemple, En Cours d'Exécution ou Arrêté.
- Surveillance de sFlow — Affiche l'état de la surveillance de sFlow (si le processus sfcapd est en cours d'exécution). Par exemple, En Cours d'Exécution ou Arrêté.
- État — Affiche l'état du collecteur. Cliquez sur l'état pour afficher plus d'informations. L'état peut inclure :
- Succès — Le collecteur est installé et reçoit les données réseau.
- Aucune Information — Impossible de signaler l'état du collecteur.
- Hors Ligne — Le collecteur est hors ligne.
- Erreur — Le collecteur a rencontré une erreur. Pour de plus amples informations, accédez à Dépanner l'Agent de Collecte ThreatSync+ NDR pour Linux.
- Initialisation — Le collecteur est en cours d'installation par l'Agent WatchGuard. L'état passe à Succès après que le collecteur a commencé à envoyer les données de pulsation (environ cinq minutes).
Ajouter un Agent de Collecte ThreatSync+ NDR pour Linux
En règle générale, un seul Agent de Collecte ThreatSync+ NDR est requis pour chaque emplacement physique de votre réseau. Pour collecter les journaux de données DHCP, vous devez ajouter l'Agent de Collecte ThreatSync+ NDR sur un ordinateur Linux avec une adresse IP statique.
Pour ajouter un Agent de Collecte ThreatSync+ NDR :
- Connectez-vous à votre compte WatchGuard Cloud.
- Pour les comptes Service Provider, dans le Gestionnaire de Comptes, sélectionnez Mon Compte.
- Sélectionnez Configurer > Intégrations ThreatSync+ > Collecteurs.
- Dans l'onglet Agents de Collecte ThreatSync+ NDR, cliquez sur Ajouter un Collecteur.
- Dans la liste déroulante Hôte, sélectionnez l'ordinateur Linux que vous souhaitez utiliser comme Agent de Collecte ThreatSync+ NDR.
Cette liste inclut tous les ordinateurs sur lesquels l'Agent WatchGuard est installé. Pour actualiser la liste des ordinateurs et serveurs disponibles, cliquez sur
. - Cliquez sur Enregistrer.
L'agent de collecte commence à rapporter les données à ThreatSync+ NDR. Vous pouvez consulter les informations relatives au trafic signalé sur la page Synthèse du Réseau.
Enregistrez l'adresse IP de l'Agent de Collecte ThreatSync+ NDR. Vous devez saisir l'adresse IP pour configurer l'Agent de Journal Windows.
Désactiver les Notifications de Dysfonctionnement de l'Agent de Collecte ThreatSync+ NDR
Vous pouvez modifier un Agent de Collecte ThreatSync+ NDR existant et désactiver les notifications de dysfonctionnement d'un agent de collecte spécifique. Vous pouvez également désactiver les notifications de dysfonctionnement à partir d'une source de journal que vous ajoutez et configurez.
Pour configurer les notifications de dysfonctionnement d'un Agent de Collecte ThreatSync+ NDR existant :
- Connectez-vous à votre compte WatchGuard Cloud.
- Pour les comptes Service Provider, dans le Gestionnaire de Comptes, sélectionnez Mon Compte.
- Sélectionnez Configurer > Intégrations ThreatSync+ > Collecteurs.
- Dans l'onglet Agents de Collecte ThreatSync+ NDR, en face de l'Agent de Collecte ThreatSync+ NDR que vous souhaitez modifier, cliquez sur
. Cliquez sur Modifier.
Les options de désactivation des notifications de dysfonctionnement s'affichent.
- Sélectionnez l'une de ces options :
- Désactiver les notifications de dysfonctionnement répétées — Sélectionnez cette option pour désactiver les notifications de dysfonctionnement de collecteur successives pour ce collecteur. Si cette case est sélectionnée, une seule notification est envoyée pour ce collecteur en cas de dysfonctionnement de collecteur.
- Désactiver toutes les notifications de dysfonctionnement — Sélectionnez cette option pour désactiver toutes les notifications de dysfonctionnement de collecteur pour ce collecteur. Si cette case est sélectionnée, aucune notification n'est envoyée pour ce collecteur en cas de dysfonctionnement de collecteur.
- Désactiver les notifications de dysfonctionnement de ces sources — Sélectionnez cette option pour ajouter et configurer les sources de journaux spécifiques pour lesquelles vous souhaitez désactiver les notifications de dysfonctionnement. Cette option désactive toutes les notifications de dysfonctionnement de collecteur pour la source de journaux configurée. Si cette case est sélectionnée, aucune notification n'est envoyée pour cette source de journaux en cas de dysfonctionnement de collecteur. Pour ajouter une source de journaux, passez à l'Étape 6.
- Sélectionnez Désactiver les notifications de dysfonctionnement de ces sources pour ajouter et configurer une source de journaux pour laquelle vous souhaitez désactiver les notifications.
- Cliquez sur Ajouter une Source et un Type.
La boîte de dialogue Ajouter une Source et un Type s'ouvre.
- Cliquez sur Ajouter une Source et un Type.
- Dans la zone de texte Source, saisissez l'adresse IP source.
- Dans la liste déroulante Type, sélectionnez NetFlow/sFlow ou DHCP pour le type de source.
- Cliquez sur Ajouter.
- Cliquez sur Enregistrer.
La nouvelle source est ajoutée.
- Pour supprimer une source, cliquez sur
. Cliquez sur Enregistrer.
Supprimer l'Agent de Collecte ThreatSync+ NDR pour Linux
Si vous ne souhaitez plus utiliser un Agent de Collecte ThreatSync+ NDR spécifique, vous pouvez le supprimer de l'UI des intégrations de ThreatSync+. Lorsque vous supprimez l'agent de collecte de l'UI, l'agent WatchGuard désinstalle automatiquement l'agent de collecte.
Pour supprimer un Agent de Collecte ThreatSync+ NDR à partir de l'UI :
- Connectez-vous à votre compte WatchGuard Cloud.
- Pour les comptes Service Provider, dans le Gestionnaire de Comptes, sélectionnez Mon Compte.
- Sélectionnez Configurer > Intégrations ThreatSync+ > Collecteurs.
- Dans l'onglet Agents de Collecte ThreatSync+ NDR, sélectionnez un ou plusieurs collecteurs que vous souhaitez supprimer.
- Cliquez sur Supprimer.
L'Agent WatchGuard désinstalle l'Agent de Collecte ThreatSync+ NDR.
Si vous souhaitez désinstaller à la fois l'agent WatchGuard et l'agent de Collecte ThreatSync+ NDR, vous pouvez désinstaller l'agent WatchGuard de votre système Linux.
Pour désinstaller l'Agent WatchGuard et l'Agent de Collecte ThreatSync+ NDR de votre système Linux, exécutez cette commande :
/usr/local/management-agent/repositories/ma/install --remove
Exemple de sortie :
sudo /usr/local/management-agent/repositories/ma/install --remove
Desktop server detected
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
The following packages will be REMOVED:
management-agent
0 upgraded, 0 newly installed, 1 to remove and 15 not upgraded.
After this operation, 130 MB disk space will be freed.
(Reading database ... 150989 files and directories currently installed.)
Removing management-agent (1.15.00.0000-1.10.00-1988-gcffa169) ...
Running prerm script with params: remove
Warning: The unit file, source configuration file or drop-ins of management-agent.service changed on disk. Run 'systemctl daemon-reload' to reload units.
Removed "/etc/systemd/system/multi-user.target.wants/management-agent.service".
Reporting agent uninstallation
nfcapd killed (pid 7985)
nfcapd killed (pid 7987)
sfcapd killed (pid 8022)
sfcapd killed (pid 8023)
Removing user's data
Running postrm script with params: remove
Succeeded
Installer l'Agent de Journal Windows
L'Agent de Journal Windows est un agent de collecte qui lit les journaux du serveur DHCP Windows, puis les transmet à l'Agent de Collecte ThreatSync+ NDR. L'Agent de Collecte ThreatSync+ NDR transmet ensuite les journaux DHCP à WatchGuard Cloud.
Afin que l'Agent de Collecte ThreatSync+ NDR pour Linux puisse recevoir les journaux du serveur DHCP, vous devez installer et configurer l'Agent de Journal Windows sur votre réseau. Vous pouvez installer l'Agent de Journal Windows sur les serveurs Windows 2019 ou 2022. Certains de ces serveurs peuvent également être des contrôleurs de domaine. Pour de plus amples informations, accédez à Configurer l'Agent de Journal Windows.
Pour surveiller les périphériques lorsqu'ils changent d'adresse IP, nous vous recommandons d'utiliser l'Agent de Journal Windows pour collecter les journaux DHCP d'Active Directory. Ajoutez et configurez l'Agent de Journal Windows sur tous les serveurs DHCP.
Dépanner l'Agent de Collecte ThreatSync+ NDR pour Linux
Si les informations concernant le trafic signalé sur la page Synthèse du Réseau ne s'affichent pas dans les 60 à 90 minutes, vous pouvez utiliser les informations de cette section pour dépanner les problèmes du collecteur.
Pour dépanner l'Agent de Collecte ThreatSync+ NDR pour Linux :
- Assurez-vous que l'ordinateur Linux répond aux exigences décrites dans la section Exigences du Système .
- Pour afficher des diagnostics concernant l'état du pare-feu, l'état Nfcapd, l'état Sfcapd, la dernière heure d'envoi, ainsi que pour tester la connectivité à WatchGuard, exécutez la commande suivante :
sudo /opt/collector/scripts/collectorDiagnostics.sh
Exemple de sortie :
ndr@ndr-ubuntu24:/$ sudo /opt/collector/scripts/collectorDiagnostics.sh
[sudo] password for ndr:
Nfcapd is running
Sfcapd is running
Last upload occurred at Thu Oct 3 13:56:05 UTC 2024
Connectivity test to WatchGuard succeeded
Starting diagnostic data gathering...
collectorDiagnostics.sh collecte également dans /opt/collector/staging les données de diagnostic que vous pouvez communiquer à l'Assistance WatchGuard afin de faciliter le dépannage.
- Consultez les journaux de l'Agent de Collecte ThreatSync+ NDR dans /opt/collector/logs.
- Exécutez la commande netstat -na pour confirmer que l'ordinateur est capable d'écouter sur les ports suivants :
- Port 2055 — Données de journal NetFlow des endpoints
- Port 6343 — Données du journal sFlow des endpoints
- Port 514 — Données du journal DHCP de l'Agent de Journal Windows
Si netstat n'est pas installé, exécutez la commande suivante : sudo apt install net-tools
- Assurez-vous qu'aucune règle de pare-feu ne bloque le trafic provenant de ces ports : 2055, 6343 et 514. Pour un Firebox géré sur le cloud, supprimez le port bloqué 514 sur la page Configurer > Périphériques > Configuration du Périphérique > Blocage du Réseau dans WatchGuard Cloud. Pour de plus amples informations concernant l'élimination d'un port bloqué pour les Fireboxes gérés localement, accédez à Bloquer un Port dans l'Aide Fireware.
- Confirmez que vous avez installé un environnement de virtualisation pris en charge. Ces environnements de virtualisation sont vérifiés :
| Environnement de Virtualisation du Collecteur ThreatSync+ NDR | Ubuntu 22.04 LTS | Ubuntu 24.04 LTS |
|---|---|---|
| Hyper-V |
|
|
| VMware ESXi 7.0.3 |
|
|
| VMware ESXi 8.0 |
|
|
| KVM Hypervisor QEMU 9.0.0 |
|
|
| Oracle Virtual Box 7.0 |
|
|
- Sur la page Configurer > ThreatSync > ThreatSync+ NDR > Collecteurs, examinez la colonne État du tableau Collecteurs. Cliquez sur l'état pour plus d'informations :
- Succès — Le collecteur est installé et reçoit les données réseau.
- Aucune Information — Impossible de signaler l'état du collecteur.
- Hors Ligne — Le collecteur est hors ligne.
- Erreur — Le collecteur a rencontré une erreur.
- Initialisation — Le collecteur est en cours d'installation par l'Agent WatchGuard. L'état passe à Succès après que le collecteur a commencé à envoyer les données de pulsation (environ cinq minutes).
Pour dépanner l'Agent de Journal Windows, accédez à Dépanner les Problèmes de l'Agent de Journal Windows.
À Propos des Collecteurs ThreatSync+ NDR
Configurer les Collecteurs pour ThreatSync+ NDR (Ordinateurs Windows)