소개

이 문서에서는 관리자가 RPM 기반 및 데비안 기반 시스템에 Cisco Secure Endpoint Linux 커넥터를 구축하는 데 수행할 수 있는 단계에 대해 설명합니다.

요구 사항

OS 호환성에 대해서는 Cisco Secure Endpoint Linux Connector OS Compatibility 문서를 참조하십시오.

권장 Linux 시스템 요구 사항은 Secure Endpoint User Guide를 참조하십시오.

Linux 커넥터 구축

Linux 커넥터 패키지 다운로드

1. Secure Endpoint Console(보안 엔드포인트 콘솔)에서 Download Connector(커넥터 다운로드) 페이지로 이동합니다.
   
2. "Linux Distribution(Linux 배포)" 드롭다운에서 배포를 선택하여 적절한 Linux 커넥터 패키지를 선택합니다.
   
3. 선택한 패키지의 다운로드를 시작하려면 Download(다운로드) 버튼을 클릭합니다.
   
4. 다운로드한 패키지를 엔드포인트로 전송합니다.

Linux 커넥터 패키지 확인

Linux 커넥터는 Cisco GPG 공개 키 없이 설치할 수 있습니다. 그러나 정책을 통해 커넥터 업데이트를 푸시하려는 경우 엔드포인트에 공개 키를 설치해야 합니다. RPM 기반 배포의 경우 키를 RPM 데이터베이스로 가져옵니다. 데비안 기반 배포의 경우 키를 debsig 키링으로 가져옵니다.

이 섹션에서는 시스템에 Cisco GPG 공개 키를 가져오는 방법 및 가져온 키를 사용하여 다운로드한 커넥터 패키지를 확인하는 방법에 대해 설명합니다.

Cisco GPG 공개 키 검색

1. Secure Endpoint Console Download Connector 페이지의 Linux 섹션에서 GPG 공개 키 표시 링크를 선택합니다.
   
2. Cisco GPG 공개 키가 팝업 창에 나타납니다. 키를 시스템에 다운로드하려면 이 팝업에서 Download(다운로드)를 선택합니다. 키는 Downloads(다운로드) 폴더에 cisco.gpg로 표시됩니다.
   
3. 다운로드한 키를 엔드포인트로 전송합니다.

RPM 기반

RPM 패키지는 서명되며 RPM 패키지 관리자를 사용하여 확인할 수 있습니다.

1. Cisco GPG 공개 키를 RPM 데이터베이스로 가져옵니다.

   sudo rpm --import cisco.gpg
   

2. Cisco GPG 공개 키가 설치되었는지 확인합니다.

   rpm -q gpg-pubkey --qf ‘%{name}-%{version}-%{release} --> %{summary}\n’
   

   다음 공개 키가 나열되어 있어야 합니다.

   gpg-pubkey-34532611-6477a906 --> Cisco, Inc. <support@cisco.com> public key
   

3. RPM을 사용하여 Linux 커넥터 패키지를 확인합니다. 예:

   rpm -K amp_Installation_Demo_rhel-centos-8-x86_64.rpm
   

   다음 출력이 표시되어야 합니다.

   amp_Installation_Demo_rhel-centos-8-x86_64.rpm: digests signatures OK
   

데비안

데비안 패키지는 데비안 패키지 서명 검증(debsig) 툴을 사용하여 서명되며, debsig-verify를 사용하여 검증할 수 있다.

1. debsig-verify 툴을 설치합니다.

   sudo apt-get install debsig-verify
   

2. Cisco GPG 공개 키를 debsig 키링으로 가져옵니다. 참고: 버전 1.17.0부터 debsig.gpg 파일이 자동으로 생성되므로 2단계를 건너뛸 수 있습니다.

   sudo mkdir -p /usr/share/debsig/keyrings/914E5BE0F2FD178F
   sudo gpg --dearmor --output /usr/share/debsig/keyrings/914E5BE0F2FD178F/debsig.gpg cisco.gpg
   

3. 정책 디렉토리를 생성합니다.

   sudo mkdir -p /etc/debsig/policies/914E5BE0F2FD178F
   

4. 아래의 정책 내용을 새 파일 "/etc/debsig/policies/914E5BE0F2FD178F/ciscoampconnector.pol"에 복사합니다.

   <?xml version="1.0"?>
   <!DOCTYPE Policy SYSTEM "https://www.debian.org/debsig/1.0/policy.dtd">
   <Policy xmlns="https://www.debian.org/debsig/1.0/">
    <Origin Name="Debsig" id="914E5BE0F2FD178F" Description="Cisco AMP for Endpoints"/>
    <Selection>
        <Required Type="origin" File="debsig.gpg" id="914E5BE0F2FD178F"/>
    </Selection>
    <Verification MinOptional="0">
        <Required Type="origin" File="debsig.gpg" id="914E5BE0F2FD178F"/>
    </Verification>
   </Policy>
   

5. debsig-verify를 사용하여 서명을 확인합니다. 예:

   debsig-verify ubuntu-20-04-amd64.deb
   

   다음 출력이 표시되어야 합니다.

   debsig: Verified package from 'Cisco AMP for Endpoints' (Debsig)
   

Linux 커넥터 패키지 설치

커널 헤더 설치

대부분의 최신 Linux 배포판은 커넥터가 시스템을 모니터링하는 데 사용하는 eBPF를 지원하는 커널 버전을 사용합니다. 엔드포인트의 커널 버전을 확인하려면 다음 명령을 실행합니다.

uname -r

배포 버전이 다음 중 하나와 일치하는 경우 커넥터는 시스템 모니터링에 eBPF를 사용합니다.

• 커널 버전이 3.10.0-940 이상인 RPM 기반 배포(EL7/Enterprise Linux 7.9는 이 커널 버전의 초기 배포임).
• 커널 버전이 4.18 이상인 데비안 기반 배포.

디스트리뷰션 버전과 커널 버전 간의 매핑에 대한 자세한 내용은 여기서 확인할 수 있습니다.

엔드포인트에서 eBPF가 지원되는 경우 커넥터가 시스템을 모니터링하려면 올바른 커널 헤더를 설치해야 합니다. 엔드포인트에 올바른 커널 헤더가 설치되어 있지 않으면 커넥터는 fault 11(Missing System Dependency)을 발생시키고 파일, 프로세스 또는 네트워크 모니터링 없이 성능이 저하된 상태로 실행됩니다.

올바른 커널 헤더를 설치하는 방법에 대한 지침은 Linux 커널 레벨 결함 문서를 참조하십시오.

커넥터 설치

중요! 사용자 환경에서 다른 보안 제품을 실행 중인 경우 커넥터 설치 관리자를 위협으로 탐지할 가능성이 있습니다. 커넥터를 성공적으로 설치하려면 허용된 목록에 Cisco Secure를 추가하거나 다른 보안 제품에서 Cisco Secure를 제외하고 다시 시도하십시오.

중요! 커넥터 설치 중에 cisco-amp-scan-svc라는 사용자 및 그룹이 시스템에 생성됩니다. 이 사용자 또는 그룹이 이미 존재하지만 다르게 구성된 경우, 설치 프로그램은 필요한 컨피그레이션으로 사용자 또는 그룹을 삭제한 다음 다시 생성하려고 시도합니다. 필요한 컨피그레이션으로 사용자 및 그룹을 만들 수 없으면 설치 프로그램이 실패합니다.

RPM 기반

커넥터를 설치하려면 다음 명령 중 하나를 실행합니다. 여기서 [rpm package]는 파일의 이름입니다(예: amp_Installation_Demo_rhel-centos-8-x86_64.rpm).

• Via YUM:

  sudo yum localinstall -y [rpm package]
  

• 지퍼를 통해:

  sudo zypper install -y [rpm package]
  

데비안

커넥터를 설치하려면 다음 명령을 실행합니다. 여기서 [deb package]는 파일의 이름입니다(예: amp_Installation_Demo_ubuntu-20-04-amd64.deb).

sudo dpkg -i [deb package]

Linux 커넥터는 데비안 기반 시스템의 기본 설치에 포함된 시스템 패키지에 종속되지만, 종속성에 누락된 경우 다음 메시지가 표시됩니다.

 ciscoampconnector depends on <package_name>; however:
  Package <package_name> is not installed.

여기서 <package_name>은 누락된 종속성의 이름입니다. 다음 명령을 사용하여 Linux 커넥터에 필요한 누락된 종속성을 설치합니다.

sudo apt install <package_name>

누락된 종속성이 모두 설치되었으면 커넥터 설치를 다시 시도할 수 있습니다.

Cisco GPG 공개 키 비교

Linux 커넥터 버전이 1.17.0 이상인 경우 커넥터 업데이트 중에 업그레이드 패키지를 확인하는 데 사용되는 Cisco GPG 공개 키가 다음 위치에 자동으로 설치됩니다.

• RPM 기반: /opt/cisco/amp/etc/rpm-gpg/RPM-GPG-KEY-cisco-amp
• 데비안 기반: /opt/cisco/amp/etc/dpkg-gpg/DPKG-GPG-KEY-cisco-amp

커넥터가 설치한 키를 Secure Endpoint Console에서 검색한 키와 비교합니다.

설치 확인

Linux 커넥터 명령줄 인터페이스를 사용하여 Linux 커넥터에 성공적으로 설치되었는지 확인할 수 있습니다. 실행 /opt/cisco/amp/bin/ampcli 상태. 커넥터가 성공적으로 설치된 경우 /opt/cisco/amp/bin/ampcli/ampcli status 명령을 실행할 때 커넥터가 Connected(연결됨)이고 fault가 나열되지 않았음을 확인해야 합니다.

$ /opt/cisco/amp/bin/ampcli status
Trying to connect...
Connected.
Status:                    Connected
Mode:                    Normal
Scan:                    Ready for scan
Last Scan:                2024-01-09 01:45:49 PM
Policy:                    Installation Demo Policy (#9606)
Command-line:           Enabled
Orbital:                Enabled (Running)
Behavioural Protection: Protect
Faults:                    None

커넥터가 연결되었는지 확인하려면 Secure Endpoint Console에서 설치 이벤트가 있는지 확인할 수 있습니다.

1. Events 페이지로 이동합니다.
   
2. 커넥터에 대한 설치 이벤트를 찾습니다. Install Started 이벤트 유형으로 분류해야 합니다.
   
3. Connector를 다운로드할 때 Flash Scan on Install(설치 시 플래시 스캔) 확인란을 선택한 경우 두 스캔 이벤트가 있는지 확인할 수도 있습니다.
   
4. Scan 이벤트 유형을 기준으로 필터링하여 커넥터에 대한 스캔 이벤트를 찾습니다. 참고: 그룹 및 커넥터 GUID에 대한 필터를 추가하여 검색 범위를 좁힐 수도 있습니다. 스캔의 시작과 끝에 해당하는 두 개의 이벤트가 표시되어야 합니다.
   

Linux 커넥터 제거

RPM 기반

1. 시스템 패키지 관리자를 사용하여 Linux 커넥터를 제거합니다.
   • Via YUM:

     sudo yum remove ciscoampconnector -y
     

   • 지퍼를 통해:

     sudo zypper remove -y ciscoampconnector
     

2. 제공된 제거 스크립트를 실행하여 Linux 커넥터를 제거합니다.

   /opt/cisco/amp/bin/purge_amp_local_data
   

데비안

1. 시스템 패키지 관리자를 사용하여 Linux 커넥터를 제거합니다.

   sudo dpkg --remove cisco-orbital ciscoampconnector
   

2. 제공된 제거 스크립트를 실행하여 Linux 커넥터를 제거합니다.

   sudo dpkg --purge cisco-orbital ciscoampconnector
   

자세한 제거 지침은 Secure Endpoint User Guide를 참조하십시오.

관련 항목

• RHEL 비디오에 Cisco Secure Endpoint Connector 설치
• Linux 커널 레벨 결함
  • Cisco Secure Endpoint Linux Kernel-Level 결함 비디오 해결
• 보안 엔드포인트 사용 설명서
• 기술 지원 및 문서 − Cisco Systems
• 보안 엔드포인트 Linux 오류 트러블슈팅
• 보안 엔드포인트 Linux 커넥터 OS 호환성 확인