Настройка службы snmpd в операционной системе

Перед настройкой убедитесь, что служба snmpd установлена в вашей операционной системе.

Создание учетной записи пользователя для доступа к данным

Перед созданием учетной записи остановите службу snmpd, выполнив следующую команду:
bash
sudo systemctl stop snmpd

Чтобы обеспечить безопасность доступа к данным по SNMPv3 с аутентификацией и шифрованием, вам нужно создать учетную запись пользователя на стороне службы snmpd со следующей информацией:

• Имя пользователя (с учетом регистра).
• Алгоритм аутентификации (MD5 или SHA, рекомендуется SHA).
• Пароль аутентификации.
• Алгоритм шифрования (поддерживается только AES).
• Пароль шифрования.

Вы можете создать учетную запись пользователя следующими способами:

• С помощью утилиты net-snmp-create-v3-user, если она доступна в операционной системе.
• Вручную, добавив соответствующую директиву в конфигурационный файл службы snmpd.

Чтобы создать учетную запись пользователя с помощью утилиты net-snmp-create-v3-user, выполните следующую команду:

net-snmp-create-v3-user -ro -a <алгоритм аутентификации> -x <алгоритм шифрования> <имя пользователя>

Пароли аутентификации и шифрования запрашиваются в интерактивно.

Например:

net-snmp-create-v3-user -ro -a SHA -x AES MonitoringUser

Чтобы создать учетную запись пользователя вручную:

1. Создайте конфигурационный файл /var/lib/snmp/snmpd.conf, выполнив следующую команду:

   touch /var/lib/snmp/snmpd.conf

2. Добавьте в конфигурационный файл следующие строки:

   createUser <имя пользователя> <алгоритм аутентификации> "<пароль аутентификации>" <алгоритм шифрования> "<пароль шифрования>"

   Например:

   createUser MonitoringUser SHA "MonitoringAuthSecret" AES "MonitoringPrivSecret"

Создание учетной записи пользователя для получения SNMP-ловушек

Чтобы получать SNMP-ловушки по протоколу SNMPv3 с аутентификацией и шифрованием, вам нужно создать учетную запись на стороне системы мониторинга в контексте соответствующей службы (обычно это служба snmptrapd).

Учетная запись должна содержать следующую информацию:

• Имя пользователя.
• Алгоритм аутентификации.
• Пароль аутентификации.
• Алгоритм шифрования.
• Пароль шифрования.

В целях безопасности используйте отдельные учетные записи пользователей для доступа к данным и для получения SNMP-ловушек.

Инструкции по созданию учетной записи пользователя для получения SNMP-ловушек см. в документации вашей системы мониторинга.

Настройка службы snmpd

Конфигурация службы snmpd хранится в файле /etc/snmp/snmpd.conf. Вы можете добавить необходимую информацию в существующий конфигурационный файл или создать конфигурационный файл и добавить строки, перечисленные ниже, в указанном порядке.

Если вы решили создать конфигурационный файл, убедитесь, что только суперпользователь имеет к нему доступ. Если нужные права доступа не установлены, настройте их, выполнив следующие команды в указанном порядке:
chown root:root /etc/snmp/snmpd.conf
chmod 600 /etc/snmp/snmpd.conf

Чтобы настроить службу snmpd:

1. В конфигурационном файле укажите протокол, адрес сетевого интерфейса и номер порта, на котором служба snmpd должна прослушивать входящие запросы.
   • Если вы хотите прослушивать запросы на всех интерфейсах сети, добавьте в конфигурационный файл следующие строки:

     agentAddress udp:161

   • Если вы хотите прослушивать запросы только на локальном сетевом интерфейсе, например, если система мониторинга установлена на том же устройстве, добавьте следующие строки в конфигурационный файл:

     agentAddress udp:127.0.0.1:161

2. Настройте взаимодействие Kaspersky Security Center Linux со службой snmpd. Вы можете использовать сокет UNIX или сокет TCP.
   • Если вы используете сокет UNIX:
     1. Укажите путь и разрешения для сокета UNIX. Для этого добавьте в конфигурационный файл следующие строки:

        master agentx

        agentXSocket unix:/var/run/agentx-master.socket

        agentXPerms 770 770 kluser klusers

     2. Добавьте группу klusers в качестве дополнительной группы для учетной записи {'KLSRV_UNATT_KLSVCUSER'}.
   • Если вы используете сокет TCP, укажите порт и адрес для этого сокета TCP. Для этого добавьте в конфигурационный файл следующие строки:

     master agentx

     agentXSocket tcp:127.0.0.1:705,tcp6:[::1]:705

3. Установите минимальное время ожидания ответа не менее 30 секунд. Для этого добавьте в конфигурационный файл следующие строки:

   agentxTimeout 30

4. При необходимости вы можете предоставить описание сервера, на котором настроен SNMP, местоположение системы и контакт администратора. Для этого добавьте в конфигурационный файл следующие строки:

   sysDescr <описание сервера>

   sysLocation <расположение сервера>

   sysContact <контакт администратора>

   sysServices 72

5. Укажите область OID-дерева, которую вы хотите сделать доступной для вашей системы мониторинга по протоколу SNMP. Для этого добавьте в конфигурационный файл следующие строки:

   view monitoring included .1.3.6.1.4.1.23668.1093.1

   view systemonly included .1.3.6.1.4.1.23668.1093.1

6. При необходимости вы можете дополнительно указать область OID-дерева, содержащего информацию об операционной системе, которая хранится службой snmpd. Эта область будет доступна вашей системе мониторинга.

   Информация об операционной системе включает, например, информацию об использовании процессора и оперативной памяти, свободном месте на разделах диска, загрузке сетевых интерфейсов, список установленного программного обеспечения, список открытых сетевых подключений и список запущенных процессов. Часть этой информации может быть конфиденциальной.

   • Если вы хотите разрешить доступ только к общей системной информации и информации об использовании оперативной памяти, процессора и дисковых устройств, добавьте следующие строки в конфигурационный файл:

     # SNMPv2-MIB - Basic system information

     view monitoring included .1.3.6.1.2.1.1

     # HOST-RESOURCES-MIB - CPU, Memory, Filesystems

     view monitoring included .1.3.6.1.2.1.25.1

     view monitoring included .1.3.6.1.2.1.25.2

     view monitoring included .1.3.6.1.2.1.25.3

     view monitoring included .1.3.6.1.2.1.25.5

     # UCD-SNMP-MIB - Memory and CPU usage

     view monitoring included .1.3.6.1.4.1.2021.4

     view monitoring included .1.3.6.1.4.1.2021.10

     view monitoring included .1.3.6.1.4.1.2021.11

     # UCD-SNMP-DISKIO-MIB - Block devices I/O statistics

     view monitoring included .1.3.6.1.4.1.2021.13

     # IF-MIB - Network interfaces I/O statistics

     view monitoring included .1.3.6.1.2.1.2

     view monitoring included .1.3.6.1.2.1.31

   • Если вы хотите разрешить доступ ко всей системной информации, добавьте следующие строки в конфигурационный файл:

     view monitoring included .1

7. Укажите режим доступа и объем информации для созданной учетной записи пользователя. Для этого добавьте в конфигурационный файл следующие строки:

   rouser <user name> priv -V monitoring

8. Чтобы отправить SNMP-ловушки, укажите IP-адрес системы мониторинга и учетные данные пользователя для получения ловушек. Для этого добавьте в конфигурационный файл следующие строки:

   trapsess -Ci -v3 -t0.1 -r1 -l authPriv -u <имя пользователя для получения ловушек> -a <алгоритм аутентификации> -A "<пароль пользователя для получения ловушек>" -x <алгоритм шифрования> -X "<пароль шифрования>" udp:<IP address>:162

Служба snmpd настроена.

Для интеграции с несколькими системами мониторинга создайте отдельную учетную запись пользователя для каждой системы, укажите объем доступной информации для каждой учетной записи пользователя (директивы view и rouser) и настройте отправку SNMP-ловушек (директива trapsess).

Запуск службы snmpd с новой конфигурацией

Чтобы применить новую конфигурацию:

1. Перезапустите службу snmpd:

   systemctl restart snmpd

2. Проверьте статус службы snmpd:

   systemctl status snmpd

   Статус должен быть running.

3. Разрешить автоматический запуск службы при запуске операционной системы:

   systemctl enable snmpd

4. Если вы используете сетевой экран в своей операционной системе или сетевом оборудовании, добавьте правила, позволяющие пропускать пакеты SNMP.

Служба snmpd запущена.

Если служба klcssnmp работала во время настройки службы snmpd, перезагрузите также службу klcssnmp.

Проверка работоспособности службы snmpd

Чтобы протестировать службу snmpd, настройте использование SNMP в Kaspersky Security Center Linux и запросите данные SNMP с помощью утилиты snmpwalk.

Чтобы получить данные SNMP, предоставляемые Kaspersky Security Center Linux,

выполните следующую команду:

snmpwalk -v3 -l authPriv -u <имя пользователя> -a <алгоритм аутентификации> -A "<пароль аутентификации>" -x <алгоритм шифрования> -X "<пароль шифрования>" <IP-адрес> .1.3.6.1.4.1.23668.1093.1

Например:

snmpwalk -v3 -l authPriv -u MonitoringUser -a SHA -A "MonitoringAuthSecret" -x AES -X "MonitoringPrivSecret" 127.0.0.1 .1.3.6.1.4.1.23668.1093.1