البرنامج التعليمي: إلحاق وتنشيط مستشعر OT ظاهري

يصف هذا البرنامج التعليمي أساسيات إعداد مستشعر Microsoft Defender for IoT OT، باستخدام اشتراك تجريبي ل Microsoft Defender for IoT وجهازك الظاهري.

للنشر الكامل الشامل، تأكد من اتباع الخطوات اللازمة لتخطيط النظام وإعداده، وكذلك معايرة إعداداتك وضبطها بشكل كامل. لمزيد من المعلومات، راجع نشر Defender for IoT لمراقبة OT.

إشعار

إذا كنت تبحث عن إعداد مراقبة الأمان لأنظمة إنترنت الأشياء للمؤسسات، فشاهد تمكين أمان Enterprise IoT في Defender لنقطة النهاية.

في هذا البرنامج التعليمي، تتعلم كيفية:

• قم بإنشاء جهاز ظاهري لجهاز الاستشعار
• إلحاق أداة استشعار ظاهرية
• تكوين منفذ SPAN ظاهري
• توفير لإدارة السحابة
• تنزيل برنامج لجهاز استشعار ظاهري
• تثبيت برنامج الاستشعار الظاهري
• تنشيط أداة الاستشعار الظاهرية

المتطلبات الأساسية

قبل البدء، تأكد من أن لديك ما يلي:

• التشغيل السريع المكتمل : ابدأ باستخدام Defender for IoT بحيث يكون لديك اشتراك Azure مضاف إلى Defender for IoT.

• الوصول إلى مدخل Microsoft Azure كمسؤول أمان أو مساهم أو مالك. لمزيد من المعلومات، راجع أدوار مستخدم Azure لمراقبة OT وEnterprise IoT باستخدام Defender ل IoT.

• تأكد من أن لديك مفتاح شبكة يدعم مراقبة نسبة استخدام الشبكة عبر منفذ SPAN. ستحتاج أيضا إلى جهاز واحد على الأقل للمراقبة، متصل بمنفذ SPAN الخاص بالتبديل.

• VMware، ESXi 5.5 أو أحدث، مثبتة وقابلة للتشغيل

• موارد الأجهزة المتوفرة للجهاز الظاهري الخاص بك كما يلي:

  نوع التوزيع	الشركة	المؤسسة	SMB
  الحد الأقصى للنطاق الترددي	2.5 غيغابايت/ثانية	800 ميغابايت/ثانية	160 ميغابايت/ثانية
  الحد الأقصى للأجهزة المحمية	12,000	10,000	800

• فهم مراقبة OT مع الأجهزة الظاهرية.

• تفاصيل معلمات الشبكة التالية لاستخدامها لجهاز الاستشعار الخاص بك:

  • عنوان IP لشبكة الإدارة
  • قناع الشبكة الفرعية لأداة الاستشعار
  • اسم مضيف الجهاز
  • عنوان DNS
  • البوابة الافتراضية
  • واجهات الإدخال

إنشاء جهاز ظاهري لجهاز الاستشعار الخاص بك

يصف هذا الإجراء كيفية إنشاء جهاز ظاهري لجهاز الاستشعار الخاص بك باستخدام VMware ESXi.

يدعم Defender for IoT أيضًا العمليات الأخرى، مثل استخدام Hyper-V أو أجهزة الاستشعار المادية. لمزيد من المعلومات، راجع تثبيت Defender for IoT.

لإنشاء جهاز ظاهري لجهاز الاستشعار الخاص بك:

1. تأكد من تشغيل VMware على جهازك.

2. تسجيل الدخول إلى ESXi، اختر مخزن البياناتذات الصلة، وحدد متصفح مخزن البيانات.

3. تحميل الصورة وحدد إغلاق.

4. الانتقال إلى الأجهزة الظاهرية، ثم حدد إنشاء / تسجيل VM.

5. حدد إنشاء جهاز ظاهري جديد،ثم حدد التالي.

6. أضف اسم أداة استشعار ثم حدد الخيارات التالية:

   • التوافق: < أحدث إصدار ESXi>

   • Guest OS family: Linux

   • إصدار نظام التشغيل الضيف: Debian

7. حدد التالي.

8. اختر مخزن البيانات ذي الصلة وحدد التالي.

9. قم بتغيير معلمات الأجهزة الظاهرية وفقًا للمواصفات المطلوبة لاحتياجاتك. لمزيد من المعلومات، راجع ⁧الجدول في قسم «⁩Prerequisites»⁧⁩ أعلاه.

الجهاز الظاهري الخاص بك جاهز الآن لتثبيت برنامج Defender for IoT. سوف تستمر عن طريق تثبيت البرنامج لاحقا في هذا البرنامج التعليمي، بعد إلحاق المستشعر الخاص بك في مدخل Microsoft Azure، وتكوين النسخ المتطابق لنسبة استخدام الشبكة، وتوفير الجهاز لإدارة السحابة.

إلحاق جهاز الاستشعار الظاهري

قبل أن تتمكن من البدء في استخدام أداة استشعار Defender for IoT، تحتاج إلى إلحاق جهاز الاستشعار الظاهري الجديد باشتراك Azure الخاص بك.

إلحاق جهاز الاستشعار الظاهري:

1. في مدخل Microsoft Azure، انتقل إلى صفحة Defender for IoT > Getting started .

2. في أسفل اليسار، حدد Set up OT/ICS Security.

   بدلا من ذلك، من صفحة Defender for IoT Sites and sensors، حدد Onboard OT sensor>OT.

   بشكل افتراضي، في صفحة إعداد أمان OT/ICS، الخطوة 1: هل قمت بإعداد أداة استشعار؟ ووالخطوة 2: تم تكوين منفذ SPAN أو TAP للمعالج.

   ستقوم بتثبيت البرامج وتكوين النسخ المتطابق لنسبة استخدام الشبكة لاحقا في عملية التوزيع، ولكن يجب أن تكون أجهزتك جاهزة وأسلوب النسخ المتطابق لنسبة استخدام الشبكة مخططا له.

3. في الخطوة 3: تسجيل هذا المستشعر مع Microsoft Defender for IoT، حدد القيم التالية:

   اسم الحقل	‏‏الوصف
   اسم المورد	حدد الموقع الذي تريد إرفاق أدوات الاستشعار به، أو حدد إنشاء موقع لإنشاء موقع جديد. إذا كنت تقوم بإنشاء موقع جديد: 1. في الحقل موقع جديد، أدخل اسم الموقع وحدد زر علامة الاختيار. 2. من القائمة حجم الموقع، حدد حجم موقعك. الأحجام المدرجة في هذه القائمة هي الأحجام التي تم ترخيصك لها، استنادا إلى التراخيص التي اشتريتها في مركز مسؤولي Microsoft 365.
   ‏‫اسم العرض‬	أدخل اسما ذا معنى لموقعك ليتم عرضه عبر Defender for IoT.
   العلامات	أدخل مفتاح العلامة والقيم لمساعدتك في تحديد موقعك ومستشعرك وتحديد موقعهما في مدخل Microsoft Azure.
   المنطقة	حدد المنطقة التي تريد استخدامها لمستشعر OT، أو حدد إنشاء منطقة لإنشاء منطقة جديدة.

   لمزيد من المعلومات، راجع تخطيط مواقع ومناطق OT.

4. عند الانتهاء من جميع الحقول الأخرى، حدد Register لإضافة أداة الاستشعار إلى Defender for IoT. تظهر رسالة نجاح ويتم تنزيل ملف التنشيط تلقائيا. يعد ملف التنشيط فريدًا لمستشعرك ويحتوي على إرشادات حول وضع إدارة أداة الاستشعار.

   يتم توقيع جميع الملفات التي تم تنزيلها من مدخل Microsoft Azure بواسطة جذر الثقة بحيث تستخدم أجهزتك الأصول المُوقَّعة فقط.

5. احفظ ملف التنشيط الذي تم تنزيله في موقع يمكن للمستخدم تسجيل الدخول إلى وحدة التحكم لأول مرة حتى يتمكن من تنشيط أداة الاستشعار.

   يمكنك أيضا تنزيل الملف يدويا عن طريق تحديد الارتباط ذي الصلة في المربع تنشيط جهاز الاستشعار الخاص بك. ستستخدم هذا الملف لتنشيط أداة الاستشعار الخاصة بك، كما هو موضح أدناه.

6. في المربع إضافة قواعد السماح الصادرة، حدد الارتباط تنزيل تفاصيل نقطة النهاية لتنزيل قائمة JSON لنقاط النهاية التي يجب تكوينها كنقاط نهاية آمنة من أداة الاستشعار الخاصة بك.

   احفظ الملف الذي تم تنزيله محليا. استخدم نقاط النهاية المدرجة في الملف الذي تم تنزيله لاحقا في هذا البرنامج التعليمي للتأكد من أن جهاز الاستشعار الجديد يمكنه الاتصال بنجاح ب Azure.

   تلميح

   يمكنك أيضا الوصول إلى قائمة نقاط النهاية المطلوبة من صفحة المواقع وأجهزة الاستشعار . لمزيد من المعلومات، راجع خيارات إدارة أدوات الاستشعار من مدخل Microsoft Azure .

7. في الجزء السفلي الأيسر من الصفحة، حدد Finish. يمكنك الآن رؤية جهاز الاستشعار الجديد مدرجًا في صفحة Defender for IoT Sites and sensors.

   حتى تقوم بتنشيط أداة الاستشعار الخاصة بك، تظهر حالة المستشعر على أنها تنشيط معلق.

لمزيد من المعلومات، راجع إدارة أجهزة الاستشعار باستخدام Defender for IoT في مدخل Azure.

تكوين منفذ SPAN

لا تحتوي الشبكة الظاهرية على قدرات النسخ المتطابق. ومع ذلك، من أجل هذا البرنامج التعليمي، يمكنك استخدام الوضع المختلط في بيئة تبديل ظاهرية لعرض جميع حركة مرور الشبكة التي تمر عبر المفتاح الظاهري.

يصف هذا الإجراء كيفية تكوين منفذ SPAN باستخدام حل بديل مع VMware ESXi.

إشعار

الوضع المختلط هو وضع تشغيل وتقنية مراقبة أمان لواجهات الجهاز الظاهري في نفس مستوى مجموعة المنفذ مثل التبديل الظاهري لعرض نسبة استخدام الشبكة للتبديل. يتم تعطيل الوضع المختلط بشكل ظاهري ولكن يمكن تعريفه على مستوى التبديل الظاهري أو مجموعة المنافذ.

لتكوين واجهة مراقبة مع وضع Promiscuous على ESXi v-Switch:

1. افتح صفحة خصائص vSwitch وحدد Add standard virtual switch.

2. أدخل SPAN Network كتسمية الشبكة.

3. في حقل MTU، أدخل 4096.

4. تحديد الأمان، وتحقق من تعيين نهج الوضع المختلط إلى وضع قبول.

5. حدد Add لإغلاق خصائص vSwitch.

6. قم بتمييز vSwitch الذي أنشأته، وحدد Add uplink.

7. حدد NIC الفعلي الذي ستستخدمه لحركة مرور SPAN، وغير MTU إلى 4096، ثم حدد حفظ.

8. افتح صفحة خصائص مجموعة المنافذ وحدد إضافة مجموعة المنافذ.

9. أدخل SPAN Port Group كاسم، وأدخل 4095 كمعرف VLAN، وحدد SPAN Network في القائمة المنسدلة vSwitch، ثم حدد Add.

10. افتح خصائص الجهاز الظاهري لمستشعر OT.

11. بالنسبة لمحول الشبكة 2، تحديد شبكة SPAN..

12. حدد موافق.

13. الاتصال إلى أداة الاستشعار والتحقق من أن النسخ المتطابق لقاعدة البيانات قيد التشغيل.

التحقق من صحة النسخ المتطابق لنسبة استخدام الشبكة

بعد تكوين النسخ المتطابق لنسبة استخدام الشبكة، حاول تلقي عينة من حركة المرور المسجلة (ملف PCAP) من مفتاح SPAN أو منفذ النسخ المتطابق.

سيساعدك نموذج ملف PCAP على:

• التحقق من صحة تكوين التبديل
• تأكد من أن نسبة استخدام الشبكة التي تمر عبر مفتاحك ذات صلة بالمراقبة
• تحديد النطاق الترددي وعدد مقدر من الأجهزة التي تم اكتشافها بواسطة مفتاح التبديل

1. استخدم تطبيق محلل بروتوكول الشبكة، مثل Wireshark، لتسجيل نموذج ملف PCAP لبضع دقائق. على سبيل المثال، قم بتوصيل كمبيوتر محمول بمنفذ قمت بتكوين مراقبة نسبة استخدام الشبكة فيه.

2. تحقق من وجود حزم أحادية في نسبة استخدام الشبكة للتسجيل. حركة مرور أحادية الإرسال هي حركة المرور المرسلة من عنوان إلى آخر.

   إذا كانت معظم نسبة استخدام الشبكة عبارة عن رسائل ARP، فإن تكوين النسخ المتطابق لنسبة استخدام الشبكة غير صحيح.

3. تحقق من وجود بروتوكولات OT في نسبة استخدام الشبكة التي تم تحليلها.

   على سبيل المثال:

   

توفير لإدارة السحابة

يصف هذا القسم كيفية تكوين نقاط النهاية لتعريفها في قواعد جدار الحماية، ما يضمن إمكانية اتصال مستشعرات OT ب Azure.

لمزيد من المعلومات، راجع أساليب توصيل أجهزة الاستشعار ب Azure.

لتكوين تفاصيل نقطة النهاية:

افتح الملف الذي قمت بتنزيله مسبقا لعرض قائمة نقاط النهاية المطلوبة. قم بتكوين قواعد جدار الحماية بحيث يمكن لجهاز الاستشعار الوصول إلى كل نقطة من نقاط النهاية المطلوبة، عبر المنفذ 443.

تلميح

يمكنك أيضا تنزيل قائمة نقاط النهاية المطلوبة من صفحة المواقع وأجهزة الاستشعار في مدخل Microsoft Azure. انتقل إلى المواقع وأجهزة الاستشعار>مزيد من الإجراءات>تنزيل تفاصيل نقطة النهاية. لمزيد من المعلومات، راجع خيارات إدارة أدوات الاستشعار من مدخل Microsoft Azure .

لمزيد من المعلومات، راجع توفير أدوات استشعار لإدارة السحابة.

تنزيل برنامج لجهاز استشعار ظاهري

يصف هذا القسم كيفية تنزيل برنامج الاستشعار وتثبيته على جهازك الخاص.

لتنزيل برنامج لجهاز استشعار ظاهري:

1. في مدخل Microsoft Azure، انتقل إلى صفحة Defender for IoT > Getting started ، وحدد علامة التبويب Sensor .

2. في المربع Purchase an appliance and install software، تأكد من تحديد الخيار الافتراضي لأحدث إصدار من البرامج والموصى به، ثم حدد Download.

3. احفظ البرنامج الذي تم تنزيله في موقع يمكن الوصول إليه من جهازك الظاهري.

يتم توقيع جميع الملفات التي تم تنزيلها من مدخل Microsoft Azure بواسطة جذر الثقة بحيث تستخدم أجهزتك الأصول المُوقَّعة فقط.

بادر بتثبيت برنامج جهاز الاستشعار.

يصف هذا الإجراء كيفية تثبيت برنامج استشعار على الجهاز الظاهري.

إشعار

في نهاية هذه العملية، سيتم تقديم أسماء المستخدمين وكلمات المرور لجهازك. تأكد من نسخ هذه لأن كلمات المرور هذه لن يتم تقديمها مرة أخرى.

لتثبيت البرنامج على جهاز الاستشعار الظاهري:

1. إذا قمت بإغلاق الجهاز الظاهري الخاص بك، فسجل الدخول إلى ESXi مرة أخرى وافتح إعدادات الجهاز الظاهري.

2. بالنسبة إلى محرك أقراص CD/DVD 1، حدد ملف Datastore ISO وحدد برنامج Defender for IoT الذي قمت بتنزيله سابقًا.

3. حدد التالي>وإنهاء.

4. طاقة VM، وفتح وحدة التحكم.

5. عند تمهيد التثبيت، تتم مطالبتك ببدء عملية التثبيت. حدد عنصر Install iot-sensor-<version number> للمتابعة أو السماح له بالبدء تلقائيا بعد 30 ثانية. على سبيل المثال:

   

   إشعار

   إذا كنت تستخدم إصدار BIOS قديما، فستتم مطالبتك بتحديد لغة ويتم تقديم خيارات التثبيت في أعلى اليسار بدلا من المركز. عند المطالبة، حدد English ثم الخيار Install iot-sensor-للمتابعة<version number>.

   يبدأ التثبيت، مما يمنحك رسائل الحالة المحدثة أثناء تشغيله. تستغرق عملية التثبيت بأكملها ما يصل إلى 20-30 دقيقة، وقد تختلف وفقا لنوع الوسائط التي تستخدمها.

   عند اكتمال التثبيت، يتم عرض المجموعة التالية من تفاصيل الشبكة الافتراضية.

   IP: 172.23.41.83,
   SUBNET: 255.255.255.0,
   GATEWAY: 172.23.41.1,
   UID: 91F14D56-C1E4-966F-726F-006A527C61D
   

استخدم عنوان IP الافتراضي المتوفر للوصول إلى أداة الاستشعار الخاصة بك للإعداد الأولي والتنشيط.

التحقق من صحة ما بعد التثبيت

يصف هذا الإجراء كيفية التحقق من صحة التثبيت باستخدام عمليات التحقق من صحة النظام الخاصة بجهاز الاستشعار وهو متاح للمستخدم المسؤول الافتراضي.

للتحقق من صحة التثبيت:

1. سجل الدخول إلى مستشعر OT كمستخدم admin .

2. حدد System Settings>Sensor management>System Health Check.

3. حدد الأوامر التالية:

   • جهاز للتحقق من أن النظام قيد التشغيل. تحقق من أن كل عنصر سطر يظهر تشغيل وأن السطر الأخير ينص على أن النظام لأعلى.
   • إصدار للتحقق من تثبيت الإصدار الصحيح.
   • ifconfig للتحقق من تشغيل جميع واجهات الإدخال التي تم تكوينها أثناء التثبيت.

لمزيد من اختبارات التحقق من صحة ما بعد التثبيت، مثل البوابة أو DNS أو عمليات التحقق من جدار الحماية، راجع التحقق من صحة تثبيت برنامج استشعار OT.

تعريف الإعداد الأولي

يصف الإجراء التالي كيفية تكوين إعدادات الإعداد الأولي لجهاز الاستشعار، بما في ذلك:

• تسجيل الدخول إلى وحدة تحكم المستشعر وتغيير كلمة مرور المستخدم المسؤول
• تحديد تفاصيل الشبكة لجهاز الاستشعار الخاص بك
• تحديد الواجهات التي تريد مراقبتها
• تنشيط أداة الاستشعار الخاصة بك
• تكوين إعدادات شهادة SSL/TLS

تسجيل الدخول إلى وحدة تحكم المستشعر وتغيير كلمة المرور الافتراضية

يصف هذا الإجراء كيفية تسجيل الدخول إلى وحدة تحكم أداة استشعار OT للمرة الأولى. تتم مطالبتك بتغيير كلمة المرور الافتراضية للمستخدم المسؤول .

لتسجيل الدخول إلى جهاز الاستشعار الخاص بك:

1. في المتصفح، انتقل إلى 192.168.0.101 عنوان IP، وهو عنوان IP الافتراضي المتوفر لجهاز الاستشعار الخاص بك في نهاية التثبيت.

   تظهر صفحة تسجيل الدخول الأولية. على سبيل المثال:

   

2. أدخل بيانات الاعتماد التالية وحدد Login:

   • ⁧⁩اسم المستخدم⁧⁩ support
   • كلمة المرور: support

   يطلب منك تعريف كلمة مرور جديدة للمستخدم المسؤول .

3. في حقل كلمة المرور الجديدة، أدخل كلمة المرور الجديدة. يجب أن تحتوي كلمة المرور على أحرف أبجدية صغيرة وأحرف كبيرة وأرقام ورموز.

   في الحقل تأكيد كلمة المرور الجديدة، أدخل كلمة المرور الجديدة مرة أخرى، ثم حدد بدء الاستخدام.

   لمزيد من المعلومات، راجع المستخدمين المميزين الافتراضيين.

Defender for IoT | تفتح صفحة نظرة عامة على علامة التبويب واجهة الإدارة.

تعريف تفاصيل شبكة المستشعر

في علامة التبويب واجهة الإدارة، استخدم الحقول التالية لتعريف تفاصيل الشبكة لجهاز الاستشعار الجديد:

Name	‏‏الوصف
واجهة الإدارة	حدد الواجهة التي تريد استخدامها كواجهة إدارة والاتصال بمدخل Azure. لتحديد واجهة فعلية على جهازك، حدد واجهة ثم حدد Blink physical interface LED. يضيء المنفذ الذي يطابق الواجهة المحددة بحيث يمكنك توصيل الكبل بشكل صحيح.
عنوان IP	أدخل عنوان IP الذي تريد استخدامه لمستشعرك. هذا هو عنوان IP الذي سيستخدمه فريقك للاتصال بجهاز الاستشعار عبر المتصفح أو CLI.
قناع الشبكة الفرعية	أدخل العنوان الذي تريد استخدامه كقناع الشبكة الفرعية للمستشعر.
البوابة الافتراضية	أدخل العنوان الذي تريد استخدامه كبوابة افتراضية للمستشعر.
DNS	أدخل عنوان IP لخادم DNS الخاص بأداة الاستشعار.
اسم المضيف	أدخل اسم المضيف الذي تريد تعيينه إلى المستشعر. تأكد من استخدام نفس اسم المضيف كما هو محدد في خادم DNS.

من أجل هذا البرنامج التعليمي، اترك تخطي تكوينات الوكيل في منطقة تمكين الوكيل للاتصال السحابي (اختياري ).

عند الانتهاء، حدد Next: Interface configurations للمتابعة.

تحديد الواجهات التي تريد مراقبتها

تعرض علامة التبويب Interface connections جميع الواجهات التي تم اكتشافها بواسطة المستشعر بشكل افتراضي. استخدم علامة التبويب هذه لتشغيل المراقبة أو إيقاف تشغيلها لكل واجهة، أو تحديد إعدادات معينة لكل واجهة.

تلميح

نوصي بتحسين الأداء على أداة الاستشعار الخاصة بك عن طريق تكوين إعداداتك لمراقبة الواجهات المستخدمة بنشاط فقط.

في علامة التبويب تكوينات الواجهة ، قم بما يلي لتكوين إعدادات الواجهات المراقبة:

1. حدد مفتاح التبديل Enable/Disable لأي واجهات تريد أن يراقبها المستشعر. يجب تحديد واجهة واحدة على الأقل للمتابعة.

   إذا لم تكن متأكدا من الواجهة التي يجب استخدامها، فحدد زر Blink physical interface LED لوميض المنفذ المحدد على جهازك. حدد أيا من الواجهات التي قمت بتوصيلها بالتبديل.

2. من أجل هذا البرنامج التعليمي، تخطي أي إعدادات متقدمة وحدد التالي: إعادة التشغيل > للمتابعة.

3. عند المطالبة، حدد بدء إعادة التشغيل لإعادة تشغيل جهاز الاستشعار الخاص بك. بعد بدء تشغيل أداة الاستشعار مرة أخرى، تتم إعادة توجيهك تلقائيا إلى عنوان IP الذي حددته سابقا كعنوان IP للمستشعر.

   حدد إلغاء الأمر لانتظار إعادة التشغيل.

تنشيط مستشعر OT

يصف هذا الإجراء كيفية تنشيط مستشعر OT الجديد.

من أجل تنشيط أداة الاستشعار.

1. في علامة التبويب Activation ، حدد Upload لتحميل ملف تنشيط المستشعر الذي قمت بتنزيله من مدخل Microsoft Azure.

2. حدد خيار الشروط والأحكام ثم حدد التالي: الشهادات.

تعريف إعدادات شهادة SSL/TLS

استخدم علامة التبويب Certificates لنشر شهادة SSL/TLS على مستشعر OT. بينما نوصي باستخدام شهادة موقعة من CA لجميع بيئات الإنتاج، من أجل هذا البرنامج التعليمي، حدد لاستخدام شهادة موقعة ذاتيا.

لتعريف إعدادات شهادة SSL/TLS:

1. في علامة التبويب Certificates ، حدد Use Locally generated self-signed certificate (Not recommended)، ثم حدد الخيار Confirm .

   لمزيد من المعلومات، راجع متطلبات شهادة SSL/TLS للموارد المحلية وإنشاء شهادات SSL/TLS لأجهزة OT.

2. حدد إنهاء لإكمال الإعداد الأولي وفتح وحدة تحكم المستشعر.

الخطوات التالية

مسار النشر الكامل لمراقبة OT