McAfee Network Security Platform(이전 명칭: McAfee Intrushield)

McAfee Network Security Platform DSM 사양

McAfee Network Security Platform을 구성할 때 McAfee Network Security Platform DSM의 사양을 이해하면 성공적인 통합을 보장하는 데 도움이 될 수 있습니다. 예를 들어, 시작하기 전에 지원되는 McAfee Network Security Platform 버전을 알면 구성 프로세스 중에 발생하는 문제를 줄이는 데 도움이 될 수 있습니다.

다음 표에서는 McAfee Network Security Platform DSM의 사양에 대해 설명합니다.

McAfee Network Security Platform 2.x - 5.x에 대한 경고 이벤트 구성

McAfee Network Security Platform에서 경고 알림 이벤트를 수집하려면 관리자가 JSA에 이벤트를 전송하도록 syslog 전달자를 구성해야 합니다.

McAfee Network Security Platform에서 경고 알림 이벤트를 수집하려면 McAfee Network Security Platform Manager가 필요합니다.

1. McAfee Network Security Platform Manager 사용자 인터페이스에 로그인합니다.

2. Network Security Manager 대시보드에서 구성을 클릭합니다.

3. 리소스 트리에서 루트 노드(Admin-Domain-Name)를 클릭합니다.

4. Alert Notification(경고 알림) >Syslog Forwarder(Syslog 전달자)를 클릭합니다.

5. Syslog 서버 세부 정보 매개 변수를 구성합니다.

   매개 변수	값
   Syslog 전달자 활성화	예
   포트	514

6. 편집을 클릭합니다.

7. 다음 버전 중 하나를 선택합니다.

   표 2: McAfee Network Security Platform 2.x - 5.x 사용자 지정 메시지 형식

   버전	설명
   패치가 적용되지 않은 McAfee Network Security Platform 2.x 시스템	|$ALERT_ID$|$ALERT_TYPE$|$ATTACK_TIME$|"$ATTACK_NAME$" |$ATTACK_ID$|$ATTACK_SEVERITY$|$ATTACK_SIGNATURE$ |$ATTACK_CONFIDENCE$|$ADMIN_DOMAIN$|$SENSOR_NAME$ |$INTERFACE$|$SOURCE_IP$|$SOURCE_PORT$|$DESTINATION_IP$ |$DESTINATION_PORT$|
   3.x - 5.x로 업데이트하기 위해 패치를 적용한 McAfee Network Security Platform	|$IV_ALERT_ID$|$IV_ALERT_TYPE$|$IV_ATTACK_TIME$ |"$IV_ATTACK_NAME$" |$IV_ATTACK_ID$|$IV_ATTACK_SEVERITY$|$IV_ATTACK_SIGNATURE$ |$IV_ATTACK_CONFIDENCE$ |$IV_ADMIN_DOMAIN$|$IV_SENSOR_NAME$|$IV_INTERFACE$ |$IV_SOURCE_IP$|$IV_SOURCE_PORT$ |$IV_DESTINATION_IP$|$IV_DESTINATION_PORT$|

   참고:

   사용자 지정 메시지 문자열은 캐리지 리턴이나 공백 없이 한 줄로 입력해야 합니다. 소프트웨어 패치가 적용되지 않은 McAfee Network Security Platform 어플라이언스는 패치가 적용된 시스템과 다른 메시지 문자열을 사용합니다. 사용자 지정 메시지의 형식에는 각 경고 요소 앞뒤에 구분 기호로 달러 기호($)가 포함되어야 합니다. 요소에 대한 달러 기호가 누락된 경우 경고 이벤트의 형식이 올바르지 않을 수 있습니다.

   어떤 이벤트 메시지 형식을 사용해야 할지 잘 모르는 경우 McAfee 고객 지원 센터에 문의하십시오.

8. 저장을 클릭합니다.

   McAfee Network Security Platform에서 경고 이벤트가 생성되면 지정한 syslog 대상으로 전달됩니다. McAfee Network Security Platform 어플라이언스에서 충분한 이벤트를 전달한 후 로그 소스가 자동으로 검색됩니다. 일반적으로 로그 소스를 자동으로 검색하는 데 최소 25개의 이벤트가 필요합니다.

관리자는 JSA 콘솔에 로그인하여 로그 소스가 JSA 콘솔에서 생성되었는지와 로그 활동 탭에 McAfee Network Security Platform 어플라이언스의 이벤트가 표시되는지 확인할 수 있습니다.

McAfee Network Security Platform 6.x - 7.x에 대한 경고 이벤트 구성

McAfee Network Security Platform에서 경고 알림 이벤트를 수집하려면 관리자가 JSA에 이벤트를 전송하도록 syslog 전달자를 구성해야 합니다.

McAfee Network Security Platform에서 경고 알림 이벤트를 수집하려면 McAfee Network Security Platform Manager가 필요합니다.

1. McAfee Intrushield Manager 사용자 인터페이스에 로그인합니다.

2. Network Security Manager 대시보드에서 구성을 클릭합니다.

3. 리소스 트리를 확장한 다음 IPS 설정 노드를 클릭합니다.

4. Alert Notification(경고 알림) 탭을 클릭합니다.

5. Alert Notification(경고 알림) 메뉴에서 Syslog 탭을 클릭합니다.

6. 경고 알림 이벤트를 전달하도록 다음 매개 변수를 구성합니다.

   표 3: McAfee Network Security Platform 6.x - 7.x 경고 알림 매개변수

   매개 변수	설명
   Enable Syslog Notification(Syslog 알림 활성화)	예를 선택하여 McAfee Network Security Platform에 대한 syslog 알림을 활성화합니다. 이벤트를 JSA로 전달하려면 이 옵션을 활성화해야 합니다.
   관리 도메인	다음 옵션 중 하나를 선택합니다. 현재 현재 도메인의 경고에 대한 syslog 알림을 보내려면 이 확인란을 선택합니다. 이 옵션은 기본적으로 선택되어 있습니다. 어린이 현재 도메인 내의 모든 하위 도메인에 있는 경고에 대한 syslog 알림을 보내려면 이 확인란을 선택합니다.
   서버 이름 또는 IP 주소	JSA 콘솔 또는 이벤트 컬렉터의 IP 주소입니다. 이 필드는 IPv4 및 IPv6 주소를 모두 지원합니다.
   UDP 포트	syslog 이벤트에 대한 UDP 포트로 입력합니다 514 .
   시설	syslog 기능 값을 선택합니다.
   심각도 매핑	값을 선택하여 정보, 낮음, 중간 및 높음 경고 알림 수준을 syslog 심각도에 매핑합니다. 옵션에는 다음 수준이 포함됩니다. 비상 시스템이 다운되었거나 사용할 수 없습니다. 경고 시스템은 즉각적인 사용자 입력 또는 개입이 필요합니다. 중요 시스템은 위험 조건에 대해 수정되어야 합니다. 오류 시스템에 긴급하지 않은 오류가 있습니다. 경고 시스템에 임박한 오류를 나타내는 경고 메시지가 있습니다. 통지 시스템에 알림이 있으며 즉각적인 조치가 필요하지 않습니다. 정보 정상 작동 메시지입니다.
   다음과 같은 경우 알림 보내기	다음 확인란을 선택합니다. 공격 정의에는 이 알림 옵션이 명시적으로 활성화되어 있습니다 다음 알림 필터가 일치하고 목록에서 심각도 정보 이상을 선택합니다.
   IPS 격리 경보 알림	IPS 격리에 대한 알림 옵션으로 아니요 를 선택합니다.
   메시지 기본 설정	사용자 지정 옵션을 선택합니다.

7. Message Preference(메시지 기본 설정) 필드에서 Edit(편집)를 클릭하여 사용자 지정 메시지 필터를 추가합니다.

8. 경고 알림의 형식이 올바른지 확인하려면 다음 메시지 문자열을 입력합니다.

   참고:

   사용자 지정 메시지 문자열은 캐리지 리턴이나 공백 없이 한 줄로 입력해야 합니다. McAfee Network Security Platform은 사용자 지정 메시지의 형식에 각 경고 요소 앞뒤에 구분 기호($)가 구분 기호로 포함될 것으로 예상합니다. 요소에 대한 달러 기호가 누락된 경우 경고 이벤트의 형식이 올바르지 않을 수 있습니다.

   사용자 지정 메시지 문자열의 형식을 한 줄로 올바르게 지정하기 위해 텍스트 편집기가 필요할 수 있습니다.

9. 저장을 클릭합니다.

   McAfee Network Security Platform에서 경고 이벤트가 생성되면 지정한 syslog 대상으로 전달됩니다. McAfee Network Security Platform 어플라이언스에서 충분한 이벤트를 전달한 후 로그 소스가 자동으로 검색됩니다. 일반적으로 로그 소스를 자동으로 검색하는 데 최소 25개의 이벤트가 필요합니다.

관리자는 JSA 콘솔에 로그인하여 로그 소스가 JSA 콘솔에서 생성되었는지와 로그 활동 탭에 McAfee Network Security Platform 어플라이언스의 이벤트가 표시되는지 확인할 수 있습니다.

McAfee Network Security Platform 8.x - 10.x에 대한 경고 이벤트 구성

McAfee Network Security Platform에서 경고 알림 이벤트를 수집하려면 관리자가 JSA에 이벤트를 전송하도록 syslog 전달자를 구성해야 합니다.

McAfee Network Security Platform에서 경고 알림 이벤트를 수집하려면 McAfee Network Security Platform Manager가 필요합니다.

1. McAfee Network Security Platform Manager 사용자 인터페이스에 로그인합니다.

2. 관리자 탭을 클릭합니다.

3. 탐색 메뉴에서 Setup > Notification > IPS Events > Syslog를 선택합니다.

4. Enable Syslog Notification(Syslog 알림 활성화) 창에서 Yes(예)를 선택합니다.

5. 저장을 클릭합니다.

6. Syslog 페이지에서 New(새로 만들기)를 클릭합니다. 버전 10.x를 사용하는 경우 + 기호를 클릭합니다.

7. Add a Syslog Notification Profile(Syslog 알림 프로파일 추가) 페이지에서 다음 매개 변수를 구성합니다.

   표 4: McAfee Network Security Platform 8.x - 10.x Syslog 알림 프로필 매개 변수

   매개 변수	설명
   관리 도메인	다음 옵션 중 하나를 선택합니다. Current(현재 ) - 현재 도메인의 경고에 대한 syslog 알림을 보냅니다. 이 옵션은 기본적으로 선택되어 있습니다. 자 식 - 현재 도메인 내의 모든 자식 도메인에 대한 경고를 포함합니다. (NTBA에는 적용되지 않음)
   알림 프로필 이름	알림이 전송되는 프로필의 이름입니다.
   대상 서버	서버 프로파일을 추가합니다. Add(추가)를 클릭합니다. 대상 서버 프로파일 이름을 입력합니다. JSA 콘솔 또는 이벤트 컬렉터의 IP 주소를 입력합니다. 프로토콜 목록에서 UDP를 선택합니다. 포트 필드에 514를 입력합니다. 저장을 클릭합니다.
   시설	목록에서 syslog 기능 값을 선택합니다.
   심각도 매핑	값을 선택하여 정보, 낮음, 중간 및 높음 경고 알림 수준을 syslog 심각도에 매핑합니다. 긴급 상황 - 시스템이 다운되었거나 사용할 수 없습니다. 경고 - 시스템에 즉각적인 사용자 입력 또는 개입이 필요합니다. Critical (위험) - 시스템이 위험 상태에 대해 수정되어야 합니다. 오류 - 시스템에 긴급하지 않은 오류가 있습니다. 경고 - 시스템에 임박한 오류를 나타내는 경고 메시지가 있습니다. 알림 - 시스템에 알림이 있으며 즉각적인 조치가 필요하지 않습니다. 정보 - 정상 작동 메시지입니다. 디버그 - 디버그 수준 메시지입니다.
   모든 경고에 대해 알림	이 옵션을 활성화합니다.
   격리 이벤트에 대한 알림	이 옵션을 비활성화합니다.
   메시지	경고 알림의 형식이 올바른지 확인하려면 다음 메시지 문자열을 입력합니다. |$IV_ALERT_ID$|$IV_ALERT_TYPE$|$IV_ATTACK_TIME$ |"$IV_ATTACK_NAME$"|$IV_ATTACK_ID$|$IV_ATTACK_SEVERITY$ |$IV_ATTACK_SIGNATURE$|$IV_ATTACK_CONFIDENCE$|$IV_ADMIN_DOMAIN$ |$IV_SENSOR_NAME$|$IV_INTERFACE$|$IV_SOURCE_IP$|$IV_SOURCE_PORT$ |$IV_DESTINATION_IP$|$IV_DESTINATION_PORT$|$IV_DIRECTION$ |$IV_SUB_CATEGORY$ 참고: 사용자 지정 메시지 문자열은 캐리지 리턴이나 공백 없이 한 줄로 입력해야 합니다. McAfee Network Security Platform은 사용자 지정 메시지의 형식에 각 경고 요소 앞뒤에 구분 기호($)가 구분 기호로 포함될 것으로 예상합니다. 요소에 대한 달러 기호가 누락된 경우 경고 이벤트의 형식이 올바르지 않을 수 있습니다. 사용자 지정 메시지 문자열의 형식을 한 줄로 올바르게 지정하기 위해 텍스트 편집기가 필요할 수 있습니다.

8. 저장을 클릭합니다.

   새 알림 프로필이 Syslog 페이지에 표시됩니다. McAfee Network Security Platform에서 경고 이벤트가 생성되면 지정한 syslog 대상으로 전달됩니다. 로그 소스는 McAfee Network Security Platform 어플라이언스가 충분한 이벤트를 전달한 후 JSA에서 자동으로 발견됩니다. 일반적으로 로그 소스를 자동으로 검색하는 데 최소 25개의 이벤트가 필요합니다.

관리자는 JSA 콘솔에 로그인하여 로그 소스가 JSA 콘솔에서 생성되었는지와 로그 활동 탭에 McAfee Network Security Platform 어플라이언스의 이벤트가 표시되는지 확인할 수 있습니다.

McAfee Network Security Platform 6.x - 7.x에 대한 오류 알림 이벤트 구성

오류 알림을 McAfee Network Security Platform과 통합하려면 오류 알림 이벤트를 전달하도록 McAfee Network Security Platform을 구성해야 합니다.

1. McAfee Intrushield Manager 사용자 인터페이스에 로그인합니다.

2. Network Security Manager 대시보드에서 구성을 클릭합니다.

3. 리소스 트리를 확장한 다음 IPS 설정 노드를 클릭합니다.

4. Fault Notification(오류 알림) 탭을 클릭합니다.

5. Alert Notification(경고 알림) 메뉴에서 Syslog 탭을 클릭합니다.

6. 오류 알림 이벤트를 전달하도록 다음 매개 변수를 구성합니다.

   표 5: McAfee Intrushield 6.x - 7.x 오류 알림 매개변수

   매개 변수	설명
   Enable Syslog Notification(Syslog 알림 활성화)	예를 선택하여 McAfee Network Security Platform에 대한 syslog 알림을 활성화합니다. 이벤트를 JSA로 전달하려면 이 옵션을 활성화해야 합니다.
   관리 도메인	다음 옵션 중 하나를 선택합니다. 현재 현재 도메인의 경고에 대한 syslog 알림을 보내려면 이 확인란을 선택합니다. 이 옵션은 기본적으로 선택되어 있습니다. 어린이 현재 도메인 내의 모든 하위 도메인에 있는 경고에 대한 syslog 알림을 보내려면 이 확인란을 선택합니다.
   서버 이름 또는 IP 주소	JSA 콘솔 또는 이벤트 컬렉터의 IP 주소를 입력합니다. 이 필드는 IPv4 및 IPv6 주소를 모두 지원합니다.
   포트	syslog 이벤트의 포트로 514 를 입력합니다.
   시설	syslog 기능 값을 선택합니다.
   심각도 매핑	정보 알림, 낮음, 중간 및 높음 경고 알림 수준을 syslog 심각도에 매핑하려면 값을 선택합니다. 옵션에는 다음 수준이 포함됩니다. 비상 시스템이 다운되었거나 사용할 수 없습니다. 경고 시스템은 즉각적인 사용자 입력 또는 개입이 필요합니다. 중요 시스템은 위험 조건에 대해 수정되어야 합니다. 오류 시스템에 긴급하지 않은 오류가 있습니다. 경고 시스템에 임박한 오류를 나타내는 경고 메시지가 있습니다. 통지 시스템에 알림이 있으며 즉각적인 조치가 필요하지 않습니다. 정보 정상 작동 메시지입니다.
   심각도 수준의 순방향 결함	정보 및 나중에를 선택합니다.

7. Message Preference(메시지 기본 설정) 필드에서 Edit(편집)를 클릭하여 사용자 지정 메시지 필터를 추가합니다.

8. 오류 알림의 형식이 올바르게 지정되었는지 확인하려면 다음 메시지 문자열을 입력합니다.

   |%INTRUSHIELD-FAULT|$IV_FAULT_NAME$|$IV_FAULT_TIME$|

   참고:

   사용자 지정 메시지 문자열은 캐리지 리턴 없이 한 줄로 입력해야 합니다. McAfee Network Security Platform은 사용자 지정 메시지 syslog 정보의 형식에 각 요소 앞뒤에 달러 기호($) 구분 기호가 포함될 것으로 예상합니다. 요소에 대한 달러 기호가 누락되면 이벤트가 제대로 구문 분석되지 않을 수 있습니다.

9. 저장을 클릭합니다.

   McAfee Network Security Platform에서 오류 이벤트가 생성되면 지정한 syslog 대상으로 전달됩니다.

JSA 콘솔에 로그인하여 Log Activity 탭에 McAfee Network Security Platform 어플라이언스의 결함 이벤트가 포함되어 있는지 확인할 수 있습니다.

McAfee Network Security Platform 8.x - 10.x에 대한 오류 알림 이벤트 구성

오류 알림을 McAfee Network Security Platform과 통합하려면 오류 알림 이벤트를 전달하도록 McAfee Network Security Platform을 구성해야 합니다.

1. McAfee Network Security Platform Manager 사용자 인터페이스에 로그인합니다.

2. 관리자 탭을 클릭합니다.

3. 탐색 메뉴에서 Setup > Notification > Faults > Syslog)를 선택합니다.

4. Syslog 페이지에서 다음 매개 변수를 구성하여 오류 알림 이벤트를 전달합니다.

   표 6: McAfee Network Security Platform 8.x - 10.x 오류 알림 매개변수

   매개 변수	설명
   Enable Syslog Notification(Syslog 알림 활성화)	예를 선택하여 McAfee Network Security Platform에 대한 syslog 알림을 활성화합니다. 이벤트를 JSA로 전달하려면 이 옵션을 활성화해야 합니다.
   관리 도메인	다음 옵션 중 하나를 선택합니다. Current(현재 ) - 현재 도메인의 경고에 대한 syslog 알림을 보내려면 이 확인란을 선택합니다. 이 옵션은 기본적으로 선택되어 있습니다. Children (하위 도메인) - 현재 도메인 내의 모든 하위 도메인에 있는 경고에 대한 syslog 알림을 보내려면 이 확인란을 선택합니다.
   서버 이름 또는 IP 주소	JSA 콘솔 또는 이벤트 컬렉터의 IP 주소를 입력합니다. 이 필드는 IPv4 및 IPv6 주소를 모두 지원합니다.
   포트	syslog 이벤트의 포트로 514 를 입력합니다.
   시설	syslog 기능 값을 선택합니다.
   심각도 매핑	정보 알림, 낮음, 중간 및 높음 경고 알림 수준을 syslog 심각도에 매핑하려면 값을 선택합니다. 옵션에는 다음 수준이 포함됩니다. 긴급 - 시스템을 사용할 수 없습니다. 경고 - 시스템에 즉각적인 사용자 입력 또는 개입이 필요합니다. Critical (위험) - 시스템이 위험 상태에 대해 수정되어야 합니다. 오류 - 시스템에 긴급하지 않은 오류가 있습니다. 경고 - 오류가 임박했음을 나타내는 경고 메시지가 표시됩니다. 알림 - 시스템에 알림이 있으며 즉각적인 조치가 필요하지 않습니다. 정보 - 정상 작동 메시지입니다. 디버그 - 디버그 수준 메시지입니다.
   순방향 폴트	정보 및 나중에를 선택합니다.

5. Message Preference(메시지 기본 설정) 필드에서 Edit(편집)를 클릭하여 사용자 지정 메시지 필터를 추가합니다.

6. 오류 알림의 형식이 올바르게 지정되었는지 확인하려면 다음 메시지 문자열을 입력합니다.

   |%INTRUSHIELD-FAULT|$IV_FAULT_NAME$|$IV_FAULT_TIME$|

   참고:

   사용자 지정 메시지 문자열은 캐리지 리턴 없이 한 줄로 입력해야 합니다. McAfee Network Security Platform은 사용자 지정 메시지 syslog 정보의 형식에 각 요소 앞뒤에 달러 기호($) 구분 기호가 포함될 것으로 예상합니다. 요소에 대한 달러 기호가 누락되면 이벤트가 제대로 구문 분석되지 않을 수 있습니다.

7. 저장을 클릭합니다.

   McAfee Network Security Platform에서 오류 이벤트가 생성되면 지정한 syslog 대상으로 전달됩니다.

JSA 콘솔에 로그인하여 로그 활동 탭에 McAfee Network Security Platform 어플라이언스의 오류 이벤트가 포함되어 있는지 확인할 수 있습니다.

McAfee Network Security Platform 샘플 이벤트 메시지

이 샘플 이벤트 메시지를 사용하여 JSA와의 성공적인 통합을 확인합니다.