Symantec EDR Cloud Entegrasyonu

İçindekiler :

1) Cloud Account Registration

2) Dissolvable Agent Server Kurulumu ve Konfigürasyonu

Amaç : Symantec Endpoint Detection and Response Cloud uygulamasının kurulumu, tanımı ve uygulama şeklini anlatmaktır.

Kapsam : Symantec Endpoint Detection and Response Cloud hesap açılımı, dissolvable agent server kurulumu, konfigürasyonu, data collection yapılıp bu datanın Playbook’lar ile analizinin yapılıp sonuçların elde edilmesi.

1-) Cloud Account Registration :

Symantec Endpoint Response Cloud uygulamasını aktif hale getirmek için öncelikle aşağıdaki linke bağlanarak bir hesap oluşturulur.

https://edrc.symantec.com/#/login

Siteye bağlandıktan sonra aşağıdaki ekranda yer alan Create an account linkine tıklanır.

İlgili linke tıkladıktan sonra aşağıdaki ekran karşımıza çıkar. Buraya istenen değerler girilir ve Submit butonuna tıklanır.

İsterleri doğru girdikten sonra karşımıza aşağıdaki mesaj ekranı gelir.

Bu aşamayı OK diyerek geçtikten sonra mail adresimize Symantec EDR Cloud adresine girebilmek için gerekli olan bilgiler gelir. Mailin gelmesi biraz zaman alabilir.

Bilgileri geldikten sonra karşımıza aşağıdaki ana yönetim ekranı gelir. Bu ekranda ürüne ait tüm işlemleri yapabileceğimiz sekmeler ve menüler yer almaktadır.

2-) Dissolvable Agent Server Kurulum ve Konfigürasyon

Belirlenen kapsamda Dissovable Agent Server, on-premises data collection yapan ve toplanan dataları kendi üzerinde analiz eden bir hizmettir.

Bu data toplama işleminin yapıldığı hostlarda ajan kullanılmamaktadır. Data toplama işlemini authenticated user ile TCP/445 portunu kullanarak yapmaktadır.

Dissolvable agent server her bir CPU Core başına 1 saat içerisinde 150 host üzerinde data toplama işlemi yapabilmektedir.

Dissovable Agent Server oluşturmak için aşağıdaki ekran görülen “Create Dissolvable Agent Server” butonuna tıklamalıyız.

“Create Dissolvable Agent Server” butonuna tıklamadıktan sonra karşımıza sırası ile aşağıdaki ekranlar gelecek. Bunları basit şekilde sırası ile geçiyoruz.

Aşağıda yer alan kısımdaki isterleri beklendiği ve seçeneklerde istendiği şekilde girmeliyiz. Biz bu ekranda kendi verdiğimiz ismi kullanmayı tercih ettik.

Şu aşamada ise aşağıdaki ekranda görünen kısım kritiktir. Aşağıdaki ekran görünen lisans key daha sonra kullanacağımız için kopyalanarak bir yerde saklanmalı. Hemen ardından ise “Click Here to Download the Dissolvable Agent Server Installer” butonuna tıklayarak kurulum dosyasını bilgisayarımıza indiriyoruz.

İlgili yükleme dosyasını Dissolvable Agent Server rolünü vereceğimiz sunucuya kopyaladıktan sonra kurulum işlemine geçiyoruz. İlk anda karşımıza aşağıdaki ekran çıkacak. Registration işlemini gerçekleştireceğimiz için ilk seçeneği işaretleyip devam ediyoruz. Bu işlemi yaparken https://edrc.symantec.com/ adresine sunucumuzun erişebiliyor olması gerekiyor.

Registration işlemine devam edebilmek için daha önce sakladığımız lisans keyi aşağıdaki ekranda ilgili kısma kopyalıyoruz ve “Next” seçeneği ile işleme devam ediyoruz.

Kurulum başarı ile bittiğinde “Dissolvable Agent Servers” seçeneğinin hemen altına ismini verdiğimiz sunucu adı gelecek. Normal şartlar altında bu 5 dk içinde sonuçlanarak ekrana yansır. Burada Lab1 olarak görüyorsunuz.

Aşağıdaki ekranda görünen“Dissolvable Agent Configurations” seçeneği altında “Create Dissolvable Agent Configuration” butonuna tıklayarak işleme devam ediyoruz.

İşlemi başlattıktan sonra karşımıza sırası ile aşağıdaki ekranlar gelecek. Bunları sırası ile geçiyoruz.

Aşağıdaki ekranda kullanılacak olan Dissolvable Server seçilir ve Next diyerek devam edilir.

Server seçiminden sonra karşımıza data toplama işlemi yapılacak olan Network Range girişi için gerekli ekran gelir.

Bu ekranda tarama yapılacak olan network için gerekli bilgiler girilerek Next seçilir.

İlgili değerleri girdikten sonra aşağıdaki ekranda yine Next seçeneği ile devam edilir.

Bundan sonraki ekranda data toplama işlemi için yapılacak olan işlemlerde kullanılmak üzere gerekli olan credential bilgisi sorulacak. Bunları girip Next seçildikten sonra aşağıdaki ekran görülecek.

Aşağıdaki ekranda data toplama işlemi esnasında kullanılacak olan gerekli bilgiler girilir.

Credential girişi yapıldıktan sonra data toplama işleminin hangi zaman dilimlerinde yapılacağı ile ilgili seçenekler karşımıza çıkacak. Buradan data toplama işlemini yapacağımız uygun zaman dilimlerini seçiyoruz.

Aşağıdaki ekran karşımıza geldiğinde bizden hangi datayı toplamak istediğimizi soracak. Burada amacımıza göre görmek istediğimiz data tiplerini seçmeliyiz.

Karşımıza gelen bu ekranda ise toplanan datanın hangi Playbook tipleri ile işleneceği sorulmaktadır. Bu sayede korelasyon yeteğinin hangi Playbooklar üzerinde işleneceğini seçmiş olacağız.

Aşağıdaki linkte PlayBooklar ile ilgili tüm bilgiyi bulabilirsiniz.

https://support.symantec.com/us/en/article.HOWTO129739.html

Tarama işlemi başladıktan sonra sonuçlar aşağıdaki Job Monitor kısmından incelenebilir.