8.3. Procédure pour la mise en exploitation d’un GCap

A - Introduction

Après avoir configuré le GCap, cette procédure indique comment mettre en exploitation le GCap.

Pour effectuer cette procédure, il faut effectuer toutes les étapes décrites dans les parties suivantes :

B - Prérequis

  • Utilisateur : setup

C - Opérations préliminaires

  1. Effectuer la Procédure pour configurer le GCap lors de la première connexion

  2. Activer les interfaces de capture nécessaires (`monx`) : voir Procédure pour gérer les paramètres des interfaces de capture `monx`

D - Procédure à effectuer sur le GCap

  1. Lancer le moteur de détection : voir tableau Gérer le moteur de détection
    Le système affiche l’invite de commande suivante :
    Monitoring DOWN gcap-name (gcap-cli)
    L’invite de commande indique l’état du moteur de détection : ici il est arrêté.
  2. Saisir la commande
    monitoring-engine start
  3. Valider
  4. Attendre que le moteur soit lancé
  5. Vérifier l’état du moteur de détection
    Le système affiche l’invite de commande suivante :
    [Monitoring UP] gcap-name (gcap-cli)
    L’invite de commande indique l’état du moteur de détection : ici il est démarré

E - Procédure à effectuer sur le GCenter

  1. Appliquer un ruleset au GCap

  2. Activer ou non la détection des shellcodes

  3. Activer ou non la détection des powershells

  4. Configurer les paramètres propres à Sigflow (à savoir Base variables, Net variables et File rules management)