Per reindirizzare i messaggi del registro della macchina virtuale del servizio (SVM) Prevenzione malware NSX a un server di registrazione remoto, è possibile accedere alla SVM negli host dei cluster di host vSphere attivati per il servizio Prevenzione malware distribuita NSX e configurare la registrazione remota eseguendo i comandi della CLI di NSX.
L'accesso remoto alle SVM di Prevenzione malware NSX è supportato a partire da NSX 4.1.2.
Attualmente, solo i messaggi di registro relativi agli eventi del ciclo di vita dell'analisi del file di Prevenzione malware NSX vengono reindirizzati al server di registrazione remoto. L'analisi del file viene in genere avviata quando un file viene scaricato in una macchina virtuale del carico di lavoro protetta da un criterio di sicurezza di Prevenzione malware NSX. Il file scaricato viene elaborato da vari componenti e viene restituito un verdetto. I risultati forniti dai componenti intermedi importanti vengono registrati nel file syslog nella SVM.
- File intercettato
- Riscontro cache verdetto
- File inviato per l'analisi locale (statica)
- File inviato per l'analisi nel cloud (dinamica)
- Verdetto ottenuto
- Criterio applicato
Se si desidera reindirizzare i messaggi del registro per gli eventi di monitoraggio dell'integrità della macchina virtuale, incluso l'utilizzo della risorsa SVM, come l'utilizzo della CPU, l'utilizzo del disco e l'utilizzo della memoria, è possibile configurare la registrazione remota nella CLI di NSX Manager. In alternativa, è possibile monitorare questi eventi di integrità nella pagina Allarmi dell'interfaccia utente di NSX Manager. Per ulteriori informazioni relative agli eventi di integrità di Prevenzione malware NSX vedere Catalogo degli eventi di NSX.
- TCP
- UDP
- TLS (registrazione remota sicura)
TCP ha il vantaggio di essere più affidabile, mentre UDP ha il vantaggio di richiedere meno overhead del sistema e della rete. Il protocollo TLS comporta un overhead aggiuntivo, ma fornisce traffico crittografato tra la SVM e il server di registrazione remoto.
I protocolli di Aria Operations for Logs (LI e LI-TLS) non sono supportati per la configurazione della registrazione remota nella SVM.
Prerequisiti
- L'amministratore di VMware vCenter deve attivare l'accesso SSH alla SVM in ogni host. Per ulteriori informazioni, vedere la sezione Prerequisiti in Accesso alla macchina virtuale del servizio Prevenzione malware NSX.
- Acquisire familiarità con il comando della CLI set logging-server. Per ulteriori informazioni, vedere la documentazione Macchina virtuale del servizio Malware Prevention in Informazioni di riferimento sull'interfaccia della riga di comando NSX.
- Se si desidera specificare il protocollo TLS per la configurazione di un server di registrazione remoto, copiare i certificati del server, i certificati del client e la chiave del client in /var/vmware/nsx/file-store in ogni SVM di Prevenzione malware NSX utilizzando il comando della CLI copy url <url> [file <filename>].
Nell'esempio seguente, il comando copy viene eseguito nella SVM. Per impostazione predefinita, il file client-key.pem viene quindi copiato dalla posizione di origine in /var/vmware/nsx/file-store nella SVM.
Esempio:svm> copy url scp://[email protected]:/home/user/openssl/client-key.pem The authenticity of host '1.2.3.4 (1.2.3.4)' can't be established. ECDSA key fingerprint is SHA256:abcdabcdabcdabcdabcdabcdabcdabcdabcdabcd. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added '1.2.3.4' (ECDSA) to the list of known hosts. [email protected]'s password: client-key.pem 100% 1704 8.0KB/s 00:00
- Per configurare una connessione sicura per un server di registrazione remoto, verificare che il server sia configurato con certificati firmati dall'autorità di certificazione. Ad esempio, se come server di registrazione si utilizza un server vrli.prome.local di Aria Operations for Logs, è possibile eseguire il comando seguente da un client per visualizzare la catena di certificati nel server di registrazione:
root@caserver:~# echo -n | openssl s_client -connect vrli.prome.local:443 | sed -ne '/^Certificate chain/,/^---/p' depth=2 C = US, L = California, O = GS, CN = Orange Root Certification Authority verify error:num=19:self signed certificate in certificate chain Certificate chain 0 s:/C=US/ST=California/L=HTG/O=GSS/CN=vrli.prome.local i:/C=US/L=California/O=GS/CN=Green Intermediate Certification Authority 1 s:/C=US/L=California/O=GS/CN=Green Intermediate Certification Authority i:/C=US/L=California/O=GS/CN=Orange Root Certification Authority 2 s:/C=US/L=California/O=GS/CN=Orange Root Certification Authority i:/C=US/L=California/O=GS/CN=Orange Root Certification Authority --- DONE
