Présentation de Packet Capture
L’outil de capture de paquets capture les paquets d’attaque IDP envoyés par les équipements SRX Series. Il est installé dans le cadre de l’installation de Security Director et s’exécute sur la configuration de gestion du réseau Junos Space. Vous pouvez l’utiliser pour analyser le trafic réseau et résoudre les problèmes réseau.
Sur la base d’un ensemble de règles préconfigurées, les équipements SRX Series classent les paquets comme normaux ou comme attaquants. En cas d’attaque, un équipement SRX Series envoie les paquets d’attaque à la plate-forme de gestion du réseau Junos Space. Vous devez configurer l’équipement SRX Series pour qu’il envoie les paquets d’attaque à la plate-forme de gestion du réseau Junos Space.
La plate-forme de gestion de réseau Junos Space exécute un équilibreur de charge lié à une adresse IP virtuelle. Vous devez configurer les périphériques SRX Series avec l’adresse IP virtuelle comme destination pour transférer les paquets capturés. La plate-forme de gestion du réseau Junos Space reçoit ces paquets et les stocke. Vous pouvez afficher les informations sur l’attaque et télécharger les paquets constituant l’attaque à partir de l’application Security Director.
Les ports ouverts entre les équipements SRX Series et Security Director sont les suivants :
Port 2050 (UDP) - Utilisé pour recevoir les paquets d’attaque envoyés par les pare-feu SRX Series » ?>SRX Series Firewalls.
Port 2051 (TCP) - Utilisé par Security Director pour récupérer les paquets d’attaque stockés dans la base de données de la plate-forme de gestion du réseau Junos Space.
Pour plus d’informations sur la modification de la configuration IPS sur les équipements SRX Series, reportez-vous à Modification de la configuration IPS pour les périphériques de sécurité.
La capture de paquets s’applique uniquement aux paquets IPS.
Les administrateurs réseau et les ingénieurs sécurité utilisent la capture de paquets pour effectuer les tâches suivantes :
Surveillez le trafic réseau et analysez les modèles de trafic.
Identifiez et résolvez les problèmes réseau.
Détectez les failles de sécurité sur le réseau, telles que les intrusions non autorisées, les activités des logiciels espions ou les analyses ping.
Cet outil capture l’intégralité du paquet, y compris l’en-tête de couche 2, et enregistre le contenu dans la base de données de la plate-forme de gestion du réseau Junos Space au format .pcap. Vous pouvez télécharger les paquets d’attaque capturés par les équipements SRX Series et analyser ces paquets en externe à l’aide d’outils tels que Wireshark, tcpdump, tshark, etc.
Les PCAP peuvent être supprimés par le mécanisme de suppression des journaux, qui est activé par défaut. Pour désactiver la suppression des journaux, reportez-vous à la section suppression. Pour configurer la capture de paquets SRX IDP, reportez-vous à Configuration de la capture de paquets de sécurité.