Мониторим события PortSecurity коммутаторов Cisco в Zabbix

[apkotelnikov]

Прошу прощения, а чем 802.11x не угодил? Тем более в условиях когда найти адаптер не поддерживающий смену MAC стало нетривиальной задачей.

[iddqda]

Да как то подумали поигрались и отказались. Очень много проблем вырисовывается, причем в основном организационного характера. У нас отдельные команды для сетей для windows инфраструктуры и для ИБ. Чтоб реализовать .1х это надо всем вместе поработать, сделать, отшлифовать (выбрав кредит доверия пользователей) и потом ответственность друг на друга перекладывать если что случилось.
А возни сколько новой на простое подключение устройств?
А еще принтеры, телефоны, видеокамеры, сенсоры температуры, СКУД итп устройства которые если и поддерживают .1х то как-то по своему а такого добра у нас наверное две/трети от всех устройств.

в общем, к этому аду мы, в принципе, готовы, но пока ИБ не давит стараемся туда сильно не нырять :)

[apkotelnikov]

У меня первый проект был во времена XP когда поддержка 802.11x появлялась только при установке цискиного wifi supplication, вот тогда был ад :-) сейчас все в разы проще, включая ответ на вопрос «что делать с теми, кто не поддерживает» и проект был на 8к юзеров :-):-) не все так страшно, как может показаться, а если есть бюджет, можно еще и в Cisco ISE поиграть, если уж вокруг одна циска :-)

[iddqda]

Вокруг уже больше хуевеев и в перспективе булаты и маяки :)
в хуевеях, кстати, пробовал подобный портсекюрити настроить. Но его наркоманы писали. Каждый раз при отключении порта залипшие маки слетают. т.е. выдернул комп — мак слетел, вставил другой комп — новый мак выучился и стал легитимным O_o

[toivo61]

Это что? У них «sticky» неотключаемое?

[iddqda]

Нет, все не так. Нашел свои старые записи на этот счет:

1. dynamic режим сбрасывает все выученные маки при выключении порта (и в cisco так же). Таким образом этот режим бесполезен. Приходит хакер, выдергивает комп из стены, порт выключается, маки сбрасываются, хакер подключается
2. sticky режим прибивает мак намертво к порту. Если этот прибитый мак появляется на другом порту — ничего не происходит. Коммутатору мак известен и он не генерирует никаких событий (трапов и логов). При этом в новом порту мак не работает, потому что он прибит к старому. Переезд пользователя превращается в ад, но от хакера с новым маком поможет, да.
3. очистить sticky адрес непросто. Пока найдено два варианта и оба плохие.
   
   1. undo port-security enable — убирает все настройки, которые потом придется восстанавливать
   2. undo port-security mac-address sticky — переключает в dynamic режим. Если сразу вернуть sticky, то старые адреса опять залипнут. т.е. приходится действовать так: выключили, угнали мак, включили, проверили, повторили — много тупой ручной работы

[ZillahGiovanni]

Но можно не заморачиваться. Готовый шаблон с этими компонентами уже лежит в репозитарии вместе с кодом.

При импорте шаблона:
Incorrect trigger expression. Host «Template_Cisco_SW_Traps» does not exist or you have no access to this host.

sudo -H pip install -r requirements.txt

Но есть же соответствующие пакеты в репозитарии.

Я так понимаю у Вас python-2.x?
Почему выбор пал на py-zabbix, а не на более свежий: pyzabbix?

[iddqda]

Большое спасибо за обнаруженную багу в шаблоне. Поправил.

что касается python2 — то это все писалось довольно давно, безсистемно и на очень поверхностном уровне параллельно с изучением питона. Тем не менее оно очень стабильно работает годами поэтому нет большого смысла что-то исправлять просто ради красоты.
Сейчас я уже 3-й питон по умолчанию использую конечно.
А чем отличаются py-zabbix от pyzabbix и кто из них новей я не знаю.
Какой первый под руку попался тот и пригодился :)

p.s. С радостью приму PR

[ZillahGiovanni]

На мой взгляд стоило бы переписать под Py3, хотя бы ради статьи.
py-zabbix не обновляется больше года и вроде как не поддерживает zbx-4
pyzabbix последнее обновление 6 мес назад и поддерживает zbx-4
Теперь шаблон импортировался нормально, осталось разобраться как его применять. 8))
В статью бы пример добавить…

PS в статье опечатка?:

[snmp]
community = publice

«е» лишняя

[iddqda]

Применять просто. Навешиваешь шаблон на коммутатор в заббиксе и готово.
Как настраивать коммутатор описано в главе 1. cisco

community = publice
почему опечатка? Это конфиг файл. Каждый туда вписывает свои параметры.
Конкретно public, который по умолчанию, я всегда меняю на всех своих устройствах.
Но чтоб не было разночтений поправлю.

Ок на Py3 перепишу как будет время

[iddqda]

Переписал на python3 и pyzabbix

[pavlovdo]

Спасибо за интересную статью. Если бы вы использовали py-zabbix, как в начале, можно было бы заменить некрасивый вызов shell с zabbix_sender на вызов метода ZabbixSender.send().

[pavlovdo]

Пару слов в защиту py-zabbix: он поддерживает python3, и все последние версии Zabbix с ним работают. И в отличие от pyzabbix, у него есть методы для отправки/приёма данных в Zabbix.