Afzonderlijke sensoren beheren

In dit artikel wordt beschreven hoe u afzonderlijke sensoren beheert, zoals het beheren van activeringsbestanden, certificaten, back-ups en meer.

U kunt ook bepaalde beheertaken voor meerdere sensoren tegelijk uitvoeren vanuit de Azure Portal of een on-premises beheerconsole. Zie voor meer informatie Volgende stappen.

Waarschuwing

Alleen gedocumenteerde configuratieparameters op de OT-netwerksensor en on-premises beheerconsole worden ondersteund voor klantconfiguratie. Wijzig geen niet-gedocumenteerde configuratieparameters, omdat wijzigingen onverwacht gedrag en systeemfouten kunnen veroorzaken.

Algemene sensorstatus weergeven

Wanneer u zich aanmeldt bij uw sensor, wordt de eerste pagina weergegeven op de pagina Overzicht .

Bijvoorbeeld:

Op de pagina Overzicht ziet u de volgende widgets:

Naam	Beschrijving
Algemene instellingen	Geeft een lijst weer van de basisconfiguratie-instellingen en connectiviteitsstatus van de sensor.
Verkeersbewaking	Geeft een grafiek weer waarin het verkeer in de sensor wordt weergegeven. In de grafiek ziet u verkeer als eenheden van Mbps per uur op de dag van weergave.
Top 5 OT-protocollen	Geeft een staafdiagram weer met de vijf meest gebruikte OT-protocollen. De staafgrafiek bevat ook het aantal apparaten dat elk van deze protocollen gebruikt.
Verkeer per poort	Geeft een cirkeldiagram weer met de typen poorten in uw netwerk, met de hoeveelheid verkeer die in elk type poort is gedetecteerd.
Meest geopende waarschuwingen	Geeft een tabel weer met alle momenteel geopende waarschuwingen met hoge ernstniveaus, inclusief kritieke details over elke waarschuwing.

Selecteer de koppeling in elke widget om in te zoomen op meer informatie in uw sensor.

Connectiviteitsstatus valideren

Controleer of de sensor is verbonden met de Azure Portal rechtstreeks vanaf de pagina Overzicht van de sensor.

Als er verbindingsproblemen zijn, wordt een bericht over het verbreken van de verbinding weergegeven in het gebied Algemene instellingen op de pagina Overzicht en wordt een waarschuwing over serviceverbindingsfouten weergegeven boven aan de pagina in het gebied Systeemberichten. Bijvoorbeeld:

1. Meer informatie over het probleem vindt u door de muisaanwijzer boven het informatiepictogram te bewegen. Bijvoorbeeld:

   

2. Onderneem actie door de optie Meer informatie onder Systeemberichten te selecteren. Bijvoorbeeld:

   

Software voor OT-sensoren downloaden

Mogelijk moet u software voor uw OT-sensor downloaden als u Defender for IoT-software op uw eigen apparaten installeert of softwareversies bijwerkt.

Gebruik in Defender for IoT in de Azure Portal een van de volgende opties:

• Selecteer Aan de slag>Sensor voor een nieuwe installatie. Selecteer een versie in het gedeelte Een apparaat aanschaffen en software installeren en selecteer vervolgens Downloaden.

• Als u uw OT-sensor bijwerkt, gebruikt u de opties in het menu Sites en sensoren op de pagina >Sensorupdate (preview).

Alle bestanden die worden gedownload van de Azure Portal worden ondertekend door de hoofdmap van vertrouwen, zodat uw machines alleen ondertekende assets gebruiken.

Zie Update Defender for IoT OT-bewakingssoftware voor meer informatie.

Een nieuw activeringsbestand uploaden

Elke OT-sensor wordt onboarded als een in de cloud verbonden of lokaal beheerde OT-sensor en geactiveerd met behulp van een uniek activeringsbestand. Voor met de cloud verbonden sensoren wordt het activeringsbestand gebruikt om de verbinding tussen de sensor en Azure te garanderen.

U moet een nieuw activeringsbestand uploaden naar uw senor als u wilt schakelen tussen sensorbeheermodi, bijvoorbeeld van een lokaal beheerde sensor naar een sensor die is verbonden met de cloud. Als u een nieuw activeringsbestand uploadt naar uw sensor, moet u de sensor uit de Azure Portal verwijderen en opnieuw onboarden.

Een nieuw activeringsbestand toevoegen:

1. Zoek en verwijder uw OT-sensor in Defender for IoT op de Azure Portal>Sites en sensoren.

2. Selecteer OT-sensor > ot onboarden om de sensor opnieuw helemaal opnieuw te onboarden. Zie Ot-sensoren onboarden voor meer informatie

3. Zoek op de pagina sites en sensoren de sensor die u zojuist hebt toegevoegd.

4. Selecteer de drie puntjes (...) in de rij van de sensor en selecteer Activeringsbestand downloaden. Sla het bestand op een locatie op die toegankelijk is voor uw sensor.

   Alle bestanden die worden gedownload van de Azure Portal worden ondertekend door de hoofdmap van vertrouwen, zodat uw machines alleen ondertekende assets gebruiken.

5. Meld u aan bij de Defender for IoT-sensorconsole en selecteer Systeeminstellingen>Sensorbeheer>Abonnementsactiveringsmodus&.

6. Selecteer Uploaden en blader naar het bestand dat u hebt gedownload van de Azure Portal.

7. Selecteer Activeren om het nieuwe activeringsbestand te uploaden.

Problemen met het uploaden van activeringsbestanden oplossen

U ontvangt een foutbericht als het activeringsbestand niet kan worden geüpload. De volgende gebeurtenissen kunnen zijn opgetreden:

• De sensor kan geen verbinding maken met internet: Controleer de netwerkconfiguratie van de sensor. Als uw sensor verbinding moet maken via een webproxy om toegang te krijgen tot internet, controleert u of uw proxyserver correct is geconfigureerd op het scherm Sensornetwerkconfiguratie . Controleer of de vereiste eindpunten zijn toegestaan in de firewall en/of proxy.

  Download voor OT-sensoren versie 22.x de lijst met vereiste eindpunten op de pagina Sites en sensoren op de Azure Portal. Selecteer een OT-sensor met een ondersteunde softwareversie of een site met een of meer ondersteunde sensoren. En selecteer vervolgens Meer acties>Eindpuntdetails downloaden. Zie Sensortoegang tot Azure Portal voor sensoren met eerdere versies.

• Het activeringsbestand is geldig, maar Defender for IoT heeft dit geweigerd: Als u dit probleem niet kunt oplossen, kunt u een andere activering downloaden van de pagina Sites en sensoren in de Azure Portal. Als dit niet werkt, neemt u contact op met Microsoft Ondersteuning.

Certificaten beheren

Na installatie van de sensor wordt een lokaal zelfondertekend certificaat gegenereerd en gebruikt voor toegang tot de sensorwebtoepassing. Wanneer u zich voor de eerste keer aanmeldt bij de sensor, worden beheerders gevraagd een SSL/TLS-certificaat op te geven.

Sensorbeheerders moeten mogelijk certificaten bijwerken die zijn geüpload na de eerste aanmelding. Dit kan bijvoorbeeld gebeuren als een certificaat is verlopen.

Een certificaat bijwerken:

1. Selecteer Systeeminstellingen en selecteer vervolgens Basic.

2. Selecteer SSL/TLS-certificaat.

   

3. Verwijder in het dialoogvenster SSL/TLS-certificaten het bestaande certificaat en voeg een nieuw certificaat toe.

   • Voeg een certificaatnaam toe.
   • Upload een CRT-bestand en sleutelbestand.
   • Upload indien nodig een PEM-bestand.

Als het uploaden mislukt, neemt u contact op met uw beveiligings- of IT-beheerder of bekijkt u de informatie in SSL/TLS-certificaten implementeren op OT-apparaten.

De instelling voor certificaatvalidatie wijzigen:

1. Schakel de wisselknop Certificaatvalidatie inschakelen in of uit. Als de optie is ingeschakeld en de validatie mislukt, wordt de communicatie tussen relevante onderdelen gestopt en wordt er een validatiefout weergegeven in de console. Als dit is uitgeschakeld, wordt de certificaatvalidatie niet uitgevoerd. Zie CRL-servertoegang controleren voor meer informatie.

2. Selecteer Opslaan.

Zie Controlelijst voor eerste aanmelding en activering voor meer informatie over het voor het eerst uploaden van certificaten

Een sensor verbinden met de beheerconsole

In deze sectie wordt beschreven hoe u verbinding kunt maken tussen de sensor en de on-premises beheerconsole. U moet dit doen als u in een air-gapped netwerk werkt en apparaat- en waarschuwingsgegevens naar de beheerconsole wilt verzenden vanaf de sensor. Met deze verbinding kan de beheerconsole ook systeeminstellingen naar de sensor pushen en andere beheertaken op de sensor uitvoeren.

Verbinding maken:

1. Meld u aan bij de on-premises beheerconsole.

2. Selecteer Systeeminstellingen.

3. Kopieer in de sectie Sensorinstallatie – Verbindingsreeks de automatisch gegenereerde connection string.

   

4. Meld u aan bij de sensorconsole.

5. Selecteer systeeminstellingen in het linkerdeelvenster.

6. Selecteer Verbinding met beheerconsole.

   

7. Plak de connection string in het vak Verbindingsreeks en selecteer Verbinding maken.

8. Wijs in de on-premises beheerconsole in het venster Sitebeheer de sensor toe aan een site en zone.

Ga verder met aanvullende instellingen, zoals het toevoegen van gebruikers, het instellen van een SMTP-server, het doorsturen van waarschuwingsregels en meer. Zie Uw on-premises beheerconsole activeren en instellen voor meer informatie.

De naam van een sensor wijzigen

U kunt de naam van de sensorconsole wijzigen. De nieuwe naam wordt weergegeven in:

• De webbrowser van de sensorconsole
• Verschillende consolevensters
• Problemen met logboeken oplossen
• De pagina Sites en sensoren in de Defender for IoT-portal in Azure.

Het proces voor het wijzigen van sensornamen is hetzelfde voor lokaal beheerde sensoren en in de cloud verbonden sensoren.

De sensornaam wordt gedefinieerd door de naam die tijdens de registratie is toegewezen. De naam is opgenomen in het activeringsbestand dat u hebt geüpload toen u zich voor de eerste keer hebt aangemeld. Als u de naam van de sensor wilt wijzigen, moet u een nieuw activeringsbestand uploaden.

Ga als volgt te werk om de naam te wijzigen:

1. Ga in de Azure Portal naar de pagina Sites en sensoren.

2. Verwijder de sensor van de pagina.

3. Registreer u met de nieuwe naam door OT/ICS-beveiliging instellen te selecteren op de pagina Aan de slag.

4. Download het nieuwe activeringsbestand.

5. Meld u aan bij de Defender for IoT-sensorconsole.

6. Selecteer in de sensorconsole Systeeminstellingen>Sensorbeheer en selecteer vervolgens Abonnementsactiveringsmodus&.

7. Selecteer Uploaden en selecteer het bestand dat u hebt opgeslagen.

8. Selecteer Activate.

De configuratie van het sensornetwerk bijwerken

De configuratie van het sensornetwerk is gedefinieerd tijdens de installatie van de sensor. U kunt configuratieparameters wijzigen. U kunt ook een proxyconfiguratie instellen.

Als u een nieuw IP-adres maakt, moet u zich mogelijk opnieuw aanmelden.

De configuratie wijzigen:

1. Selecteer Systeeminstellingen in het zijmenu.

2. Selecteer Netwerk in het venster Systeeminstellingen.

3. Stel de parameters in:

   Parameter	Beschrijving
   IP-adres	Het IP-adres van de sensor
   Subnetmasker	Het maskeradres
   Standaardgateway	Het standaardgatewayadres
   DNS	Het DNS-serveradres
   Hostnaam	De hostnaam van de sensor
   Proxy	Proxyhost en poortnaam

4. Selecteer Opslaan.

Tijdzones op de sensor synchroniseren

U kunt de tijd en regio van de sensor zo configureren dat alle gebruikers dezelfde tijd en regio zien.

Parameter	Beschrijving
Tijdzone	De tijdzonedefinitie voor: -Waarschuwingen - Widgets voor trends en statistieken - Gegevensanalyserapporten -Risicobeoordelingsrapporten - Aanvalsvectoren
Datumnotatie	Selecteer een van de volgende indelingsopties: - dd/MM/jjjj UU:mm:ss - MM/dd/jjjj UU:mm:ss - jjjj/MM/dd UU:mm:ss
Datum en tijd	Geeft de huidige datum en lokale tijd weer in de indeling die u hebt geselecteerd. Als uw werkelijke locatie bijvoorbeeld Amerika en New York is, maar de tijdzone is ingesteld op Europa en Berlijn, wordt de tijd weergegeven op basis van de lokale tijd in Berlijn.

De sensortijd configureren:

1. Selecteer in het zijmenu Systeeminstellingen>Basis, >Tijdsregio&.

2. Stel de parameters in en selecteer Opslaan.

Back-up- en herstelbestanden instellen

Er wordt dagelijks om 3:00 uur automatisch een back-up van het systeem uitgevoerd. De gegevens worden opgeslagen op een andere schijf in de sensor. De standaardlocatie is /var/cyberx/backups. U kunt dit bestand automatisch overdragen naar het interne netwerk.

Zie On-premises back-upbestandscapaciteit voor meer informatie.

Notitie

• De back-up- en herstelprocedure kan alleen tussen dezelfde versies worden uitgevoerd.
• In sommige architecturen is de back-up uitgeschakeld. U kunt deze inschakelen in het /var/cyberx/properties/backup.properties bestand.

Wanneer u een sensor beheert met behulp van de on-premises beheerconsole, kunt u het back-upschema van de sensor gebruiken om deze back-ups te verzamelen en op te slaan op de beheerconsole of op een externe back-upserver. Zie Schema's voor sensorback-ups definiëren voor meer informatie.

Waarvan wordt een back-up gemaakt: Configuraties en gegevens.

Waarvan geen back-up wordt gemaakt: PCAP-bestanden en -logboeken. U kunt handmatig een back-up maken van PCAP's en logboeken en deze herstellen. Zie PCAP-bestanden uploaden en afspelen voor meer informatie.

Back-upbestanden van sensoren krijgen automatisch een naam met de volgende indeling: <sensor name>-backup-version-<version>-<date>.tar. Een voorbeeld is Sensor_1-backup-version-2.6.0.102-2019-06-24_09:24:55.tar.

Back-up configureren:

• Meld u aan bij een beheerdersaccount en voer in cyberx-xsense-system-backup.

Het meest recente back-upbestand herstellen:

• Meld u aan bij een beheerdersaccount en voer in cyberx-xsense-system-restore.

De back-up opslaan op een externe SMB-server:

1. Maak een gedeelde map op de externe SMB-server.

   Haal het mappad, de gebruikersnaam en het wachtwoord op die nodig zijn voor toegang tot de SMB-server.

2. Maak in de sensor een map voor de back-ups:

   • sudo mkdir /<backup_folder_name_on_cyberx_server>

   • sudo chmod 777 /<backup_folder_name_on_cyberx_server>/

3. Bewerken fstab:

   • sudo nano /etc/fstab

   • add - //<server_IP>/<folder_path> /<backup_folder_name_on_cyberx_server> cifsrw,credentials=/etc/samba/user,vers=X.X,uid=cyberx,gid=cyberx,file_mode=0777,dir_mode=0777 0 0

4. Bewerk en maak referenties om te delen voor de SMB-server:

   sudo nano /etc/samba/user

5. Voeg toe:

   • username=&gt:user name&lt:

   • password=<password>

6. Koppel de map:

   sudo mount -a

7. Configureer een back-upmap naar de gedeelde map op de Defender for IoT-sensor:

   • sudo nano /var/cyberx/properties/backup.properties

   • set backup_directory_path to <backup_folder_name_on_cyberx_server>

Sensoren herstellen

U kunt een sensor herstellen vanuit een back-upbestand met behulp van de sensorconsole of de CLI.

Zie CLI-opdrachtreferentie van OT-netwerksensoren voor meer informatie.

Herstellen vanuit de sensorconsole

Als u een back-up wilt herstellen vanuit de sensorconsole, moet het back-upbestand toegankelijk zijn vanaf de sensor.

• Een back-upbestand downloaden:

  1. Toegang tot de sensor met behulp van een SFTP-client.

  2. Meld u aan bij een beheerdersaccount en voer het IP-adres van de sensor in.

  3. Download het back-upbestand van de door u gekozen locatie en sla het op. De standaardlocatie voor back-upbestanden van het systeem is /var/cyberx/backups.

• De sensor herstellen:

  1. Meld u aan bij de sensorconsole en ga naar Systeeminstellingen>Sensorbeheer>Back-up terugzetten &>Herstellen. Bijvoorbeeld:

     

  2. Selecteer Bladeren om het gedownloade back-upbestand te selecteren. De sensor begint te herstellen vanuit het geselecteerde back-upbestand.

  3. Wanneer het herstelproces is voltooid, selecteert u Sluiten.

Het meest recente back-upbestand herstellen met behulp van de CLI

• Meld u aan bij een beheerdersaccount en voer in cyberx-xsense-system-restore.

SMTP-instellingen configureren

Definieer SMTP-e-mailserverinstellingen voor de sensor, zodat u de sensor configureert om gegevens naar andere servers te verzenden.

U hebt een SMTP-e-mailserver nodig die is geconfigureerd voor het inschakelen van e-mailwaarschuwingen over niet-verbonden sensoren, mislukte back-up van sensorback-ups en SPAN-bewakingspoortfouten vanuit de on-premises beheerconsole, en voor het instellen van regels voor het doorsturen van e-mail en het configureren van waarschuwingsregels voor doorsturen.

Vereisten:

Zorg ervoor dat u de SMTP-server kunt bereiken vanaf de beheerpoort van de sensor.

Een SMTP-server configureren op uw sensor:

1. Meld u aan bij de sensor als een Beheer gebruiker en selecteer Systeeminstellingen>Integratiee-mailserver>.

2. In het deelvenster Configuratie van e-mailserver bewerken dat wordt weergegeven, definieert u de waarden voor uw SMTP-server als volgt:

   Parameter	Beschrijving
   SMTP-serveradres	Voer het IP-adres of domeinadres van uw SMTP-server in.
   SMTP-serverpoort	Standaard = 25. Pas de waarde zo nodig aan.
   Uitgaande e-mailaccount	Voer een e-mailadres in dat u wilt gebruiken als het uitgaande e-mailaccount van uw sensor.
   SSL	Schakel deze optie in voor beveiligde verbindingen vanaf uw sensor.
   Verificatie	Schakel deze optie in en voer een gebruikersnaam en wachtwoord in voor uw e-mailaccount.
   NTLM gebruiken	Schakel in om NTLM in te schakelen. Deze optie wordt alleen weergegeven wanneer u de optie Verificatie hebt ingeschakeld.

3. Selecteer Opslaan wanneer u klaar bent.

Waarschuwingen voor doorsturen van sensorfouten

U kunt waarschuwingen doorsturen naar derden om details te verstrekken over:

• Niet-verbonden sensoren

• Fouten bij externe back-ups

Deze informatie wordt verzonden wanneer u een doorstuurregel voor systeemmeldingen maakt.

Notitie

Beheerders kunnen systeemmeldingen verzenden.

Meldingen verzenden:

1. Meld u aan bij de on-premises beheerconsole.
2. Selecteer Doorsturen in het zijmenu.
3. Maak een doorstuurregel.
4. Selecteer Systeemmeldingen rapporteren.

Zie Waarschuwingsinformatie doorsturen voor meer informatie over doorstuurregels.

PCAP-bestanden uploaden en afspelen

Bij het oplossen van problemen wilt u mogelijk de gegevens onderzoeken die zijn vastgelegd door een specifiek PCAP-bestand. Hiervoor kunt u een PCAP-bestand uploaden naar uw sensorconsole en de vastgelegde gegevens opnieuw afspelen.

De optie PCAP afspelen is standaard ingeschakeld in de instellingen van de sensorconsole.

De maximale grootte voor geüploade bestanden is 2 GB.

Een PCAP-bestand uploaden en afspelen:

1. Selecteer op de sensorconsole Systeeminstellingen > Basisplay > PCAP.

2. Selecteer uploaden in het deelvenster PCAP PLAYER en navigeer naar en selecteer het bestand of meerdere bestanden dat u wilt uploaden.

3. Selecteer Afspelen om uw PCAP-bestand af te spelen of Alles afspelen om alle PCAP-bestanden af te spelen die momenteel zijn geladen.

Tip

Selecteer Alles wissen om de sensor van alle GELADEN PCAP-bestanden te wissen.

Systeemeigenschappen aanpassen

Systeemeigenschappen regelen verschillende bewerkingen en instellingen in de sensor. Als u deze bewerkt of wijzigt, kan de werking van de sensorconsole worden beschadigd.

Neem contact op met Microsoft Ondersteuning voordat u uw instellingen wijzigt.

Ga als volgende te werk om toegang te krijgen tot systeemeigenschappen:

1. Meld u aan bij de on-premises beheerconsole of de sensor.

2. Selecteer Systeeminstellingen.

3. Selecteer Systeemeigenschappen in de sectie Algemeen .

Een diagnostisch logboek downloaden voor ondersteuning

In deze procedure wordt beschreven hoe u een diagnostisch logboek downloadt om naar de ondersteuning te verzenden in verband met een specifiek ondersteuningsticket.

Deze functie wordt ondersteund voor de volgende sensorversies:

• 22.1.1 - Een diagnostisch logboek downloaden van de sensorconsole
• 22.1.3 - Upload voor lokaal beheerde sensoren een diagnostisch logboek van de pagina Sites en sensoren in de Azure Portal. Dit bestand wordt automatisch naar de ondersteuning verzonden wanneer u een ticket opent op een sensor die is verbonden met de cloud.

Alle bestanden die zijn gedownload van de Azure Portal zijn ondertekend door de hoofdmap van vertrouwen, zodat uw computers alleen ondertekende assets gebruiken.

Een diagnostisch logboek downloaden:

1. Selecteer in de sensorconsole Systeeminstellingen>Back-up terugzetten Back-up&.>

2. Selecteer onder Logboekende optie Diagnostische gegevens voor ondersteuningstickets en selecteer vervolgens Exporteren.

   

3. Voor een lokaal beheerde sensor, versie 22.1.3 of hoger, gaat u verder met Een diagnostisch logboek uploaden voor ondersteuning.

Forensische gegevens ophalen die zijn opgeslagen op de sensor

Gebruik Defender for IoT-gegevensanalyserapporten op een OT-netwerksensor om forensische gegevens op te halen uit de opslag van die sensor. De volgende typen forensische gegevens worden lokaal opgeslagen op OT-sensoren, voor apparaten die door die sensor worden gedetecteerd:

• Apparaatgegevens
• Waarschuwingsgegevens
• PCAP-bestanden waarschuwen
• Tijdlijngegevens voor gebeurtenissen
• Logboekbestanden

Elk type gegevens heeft een andere bewaarperiode en maximale capaciteit. Zie Query's voor gegevensanalyse maken en Gegevensretentie in Microsoft Defender voor IoT voor meer informatie.

Sensorgegevens wissen

In gevallen waarin de sensor moet worden verplaatst of gewist, kan de sensor opnieuw worden ingesteld.

Als u gegevens wist, worden alle gedetecteerde of geleerde gegevens op de sensor verwijderd. Nadat de gegevens op een met de cloud verbonden sensor zijn gewist, wordt de cloudinventaris dienovereenkomstig bijgewerkt. Daarnaast worden sommige acties voor de bijbehorende cloudwaarschuwingen, zoals het downloaden van PCAP's of leerwaarschuwingen, niet ondersteund.

Notitie

Netwerkinstellingen zoals IP/DNS/GATEWAY worden niet gewijzigd door systeemgegevens te wissen.

Systeemgegevens wissen:

1. Meld u aan bij de sensor als de cyberx-gebruiker .

2. Selecteer Ondersteuning Gegevens>wissen.

3. Selecteer ja in het bevestigingsdialoogvenster om te bevestigen dat u alle gegevens van de sensor wilt wissen en opnieuw wilt instellen. Bijvoorbeeld:

   

Er verschijnt een bevestigingsbericht dat de actie is geslaagd. Alle geleerde gegevens, acceptatielijsten, beleidsregels en configuratie-instellingen worden gewist van de sensor.

Volgende stappen

Zie voor meer informatie:

• Uw sensor activeren en instellen
• Uw OT-sensoren verbinden met de cloud
• Sensoractiviteit volgen
• OT-systeemsoftware bijwerken
• Sensoren beheren met Defender for IoT in de Azure Portal
• Onderzoek en pakketten voor bedreigingsinformatie
• Sensoren beheren vanaf de beheerconsole
• Problemen met de sensor en on-premises beheerconsole oplossen