Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

Cisco Meraki MX

De collector toestaan op een Cisco Meraki MX: Trusted Traffic Exclusions, de IDS-allowlist per signature en content filtering voor het platform.

Op een Meraki MX kan IDS/IPS de scan van de collector melden of blokkeren. Daarnaast kan HTTPS Inspection de verbinding met het platform openbreken. Met één uitzondering op het IP-adres van de collector los je beide op.

Wat je nodig hebt

  • COLLECTOR_IP: het IP-adres van de collector;
  • PLATFORM_FQDN: het adres van het portaal (bijv. portal.obsolens.com).

Beide staan in het portaal onder Toegang regelen bij de collector. Kies daar Cisco Meraki MX bij Stappen voor voor de stappen met ingevulde waarden.

Let op: de instellingen hieronder gelden voor de hele Meraki-organisatie, niet alleen voor één netwerk. De IDS-allowlist kan alleen een Full Organization Administrator wijzigen.

Trusted Traffic Exclusions (aanbevolen)

  1. Ga naar Security & SD-WAN > Threat Protection.
  2. Zoek de sectie Trusted Traffic Exclusions.
  3. Voeg COLLECTOR_IP/32 toe (in CIDR-notatie).
  4. Sla de wijziging op.

Verkeer dat hierop past, slaat IPS/IDS, AMP, Secure Malware Analytics en HTTPS Inspection over. Dit vereist MX 18.2 of hoger. De documentatie zegt niet of de regel op bron, doel of beide past.

Trusted Traffic Exclusions ondersteunen geen hostnamen. Je kunt PLATFORM_FQDN hier dus niet invullen. De regel op COLLECTOR_IP dekt ook het verkeer van de collector naar het platform, inclusief HTTPS Inspection.

IDS-allowlist per signature

Wil je liever per signature werken:

  1. Ga naar Security & SD-WAN > Configure > Threat protection > Intrusion detection and prevention.
  2. Kies Add an IDS rule to Allow list en selecteer de signature die op de collector afgaat.

Dit werkt per signature en niet per IP-adres. Een signature op de allowlist gaat dus voor al het verkeer uit, niet alleen voor de collector. De Trusted Traffic Exclusion hierboven is daarom smaller.

Portscan-blokkade

Een automatische blokkade bij portscans, zoals WatchGuard die heeft, is in de documentatie van Meraki niet gevonden. Dat het die niet heeft, is niet bevestigd in de documentatie van de fabrikant.

Content filtering en AMP

  1. Ga naar Security & SD-WAN > Content filtering.
  2. Voeg PLATFORM_FQDN toe bij Allow list URL patterns.
  3. Sla op.

De allowlist gaat voor de blocklist. Zonder HTTPS Inspection kijkt de MX alleen naar de servernaam (SNI) van de verbinding.

Geeft AMP een false positive op het verkeer naar het platform, gebruik dan Allow List URLs bij AMP.

Controleren

  1. Voer op de collector obsolens-collector diagnose uit. Die meldt of de verbinding met het platform nog onderschept of gefilterd wordt.
  2. Start in het portaal Nu scannen en kijk in het blok Netwerken of alle VLAN's antwoorden.
  3. Kijk in de security-events van de MX of er nog meldingen op COLLECTOR_IP zijn.

Bronnen

Zie ook