Fernen Live-Scan Nmap hinzufügen

QRadar überwacht den Status des Live-Scans in Bearbeitung und wartet, bis der Nmap -Server den Scan abgeschlossen hat. Nach Abschluss des Scans werden die Schwachstellenergebnisse über SSH heruntergeladen.

1. Klicken Sie auf die Registerkarte Verwaltung .
2. Klicken Sie auf das Symbol VA-Scanner .
3. Klicken Sie auf Hinzufügen.
4. Geben Sie im Feld Scannername einen Namen für Ihren Nmap -Scanner ein.
5. Wählen Sie in der Liste Managed Host den verwalteten Host aus Ihrer QRadar -Implementierung aus, der den Scannerimport verwaltet.
6. Wählen Sie in der Liste Typ den Eintrag Nmap Scanneraus.
7. Wählen Sie in der Liste Scantyp den Eintrag Ferner Live-Scanaus.
8. Geben Sie im Feld Server-Hostname die IP-Adresse oder den Hostnamen des Nmap -Servers ein.
9. Wählen Sie eine der folgenden Authentifizierungsoptionen aus:

   Option	Beschreibung
   Server Username (Benutzername des Servers)	Gehen Sie wie folgt vor, um die Authentifizierung mit einem Benutzernamen und einem Kennwort durchzuführen: Geben Sie im Feld Serverbenutzername den Benutzernamen ein, der für den Zugriff auf das ferne System erforderlich ist, auf dem sich der Nmap -Client über SSH befindet. Geben Sie im Feld Anmeldekennwort das Kennwort ein, das dem Benutzernamen zugeordnet ist. Wenn das Kontrollkästchen Betriebssystemerkennung ausgewählt ist, muss der Benutzername über Rootberechtigungen verfügen.
   Schlüsselberechtigung aktivieren	Gehen Sie wie folgt vor, um sich mit einer schlüsselbasierten Authentifizierungsdatei zu authentifizieren: Wählen Sie das Kontrollkästchen Schlüsselauthentifizierung aktivieren aus. Geben Sie im Feld Private Schlüsseldatei den Verzeichnispfad zur Schlüsseldatei ein. Das Standardverzeichnis für die Schlüsseldatei ist/opt/qradar/conf/vis.ssh.key. Wenn keine Schlüsseldatei vorhanden ist, müssen Sie die Datei vis.ssh.key erstellen. Wichtig: Die Datei vis.ssh.key muss das Eigentumsrecht vis qradar haben. Beispiel: # ls -al /opt/qradar/conf/vis.ssh.key -rw ------- 1 vis qradar 1679 Aug 7 06:24 /opt/qradar/conf/vis.ssh.key Wenn der Scanner für die Verwendung eines Kennworts konfiguriert ist, muss der SSH-Scanner-Server, zu dem eine Verbindung zu QRadar hergestellt wird, die Kennwortauthentifizierung unterstützen. Ist dies nicht der Fall, schlägt die SSH-Authentifizierung für den Scanner fehl. Stellen Sie sicher, dass die folgende Zeile in Ihrer Datei /etc/ssh/sshd_config angezeigt wird: PasswordAuthentication yes Wenn Ihr Scanner-Server nicht ' OpenSSH, verwendet, finden Sie in der Dokumentation des Herstellers Informationen zur Konfiguration des Scanners.

10. Geben Sie im Feld Nmap Executable den vollständigen Verzeichnispfad und Dateinamen der Nmap -Binärdatei ein.
    Der Standardverzeichnispfad zur Binärdatei ist /usr/bin/Nmap.
11. Wählen Sie eine Option für das Kontrollkästchen Ping inaktivieren aus.
    In einigen Netzen ist das ICMP-Protokoll teilweise oder vollständig inaktiviert. In Situationen, in denen ICMP nicht aktiviert ist, können Sie dieses Kontrollkästchen auswählen, um ICMP-Pingsignale zu inaktivieren, um die Genauigkeit des Scans zu verbessern. Standardmäßig ist das Kontrollkästchen nicht ausgewählt.
12. Wählen Sie eine Option für das Kontrollkästchen Betriebssystemerkennung aus:
    • Wählen Sie dieses Kontrollkästchen aus, um die Betriebssystemerkennung in Nmapzu aktivieren. Sie müssen dem Scanner Rootberechtigungen erteilen, um diese Option verwenden zu können.
    • Wählen Sie dieses Kontrollkästchen ab, um Nmap -Ergebnisse ohne Betriebssystemerkennung zu empfangen.
13. Wählen Sie in der Liste Maximale RTT-Zeitlimitüberschreitung einen Zeitlimitwert aus.
    Der Zeitlimitwert legt fest, ob ein Scan aufgrund der Latenzzeit zwischen dem Scanner und dem Scanziel gestoppt oder erneut ausgegeben wird. Der Standardwert ist 300 Millisekunden (ms). Wenn Sie ein Zeitlimitintervall von 50 Millisekunden angeben, wird empfohlen, dass sich die gescannten Geräte im lokalen Netz befinden. Einheiten in fernen Netzen können einen Zeitlimitwert von 1 Sekunde verwenden.
14. Wählen Sie in der Liste Timing Template eine Option aus. Folgende Optionen sind verfügbar:
    • Paranoid-Diese Option erzeugt eine langsame, nicht aufdringliche Bewertung.
    • Sneaky-Diese Option erzeugt eine langsame, nicht-intrusive Beurteilung, aber wartet 15 Sekunden zwischen Scans.
    • Höflich-Diese Option ist langsamer als normal und soll die Belastung des Netzes erleichtern.
    • Normal-Diese Option ist das Standardscanverhalten.
    • Aggressiv-Diese Option ist schneller als ein normaler Scan und ressourcenintensiver.
    • Insane-Diese Option ist nicht so genau wie langsamere Scans und nur für sehr schnelle Netzwerke geeignet.
15. Geben Sie im Feld CIDR-Maske die Größe des gescannten Teilnetzes ein.
    Der für die Maske angegebene Wert stellt den größten Teil des Teilnetzes dar, das der Scanner gleichzeitig scannen kann. Die Maske segmentiert den Scan, um die Scanleistung zu optimieren.
16. So konfigurieren Sie einen CIDR-Bereich für Ihren Scanner:
    1. Geben Sie im Textfeld den CIDR-Bereich ein, den dieser Scanner berücksichtigen soll, oder klicken Sie auf Durchsuchen , um einen CIDR-Bereich aus der Netzliste auszuwählen.
    2. Klicken Sie auf Hinzufügen.
17. Klicken Sie auf Speichern.
18. Klicken Sie auf der Registerkarte Verwaltung auf Änderungen implementieren.