InsightIDR使用的端口
当准备将InsightIDR部署到您的环境时，请检查并遵循以下内容:
收集器的港口
Collector主机将使用常见和不常见端口轮询和侦听日志事件。您需要禁用任何本地防火墙、恶意软件检测和杀毒软件来阻止这些端口。具体的采集端口取决于采集日志的设备和采集日志的方式。添加事件源时配置端口。
使用syslog协议向InsightIDR发送日志时(该协议是通过网口监听方式配置的)，Insight Collector要求每条日志流都通过唯一的TCP或UDP端口发送到Insight tidr。对于每个添加到采集器上的事件源，需要配置以syslog方式发送日志的设备使用该采集器唯一的TCP或UDP端口。通常使用端口10000开始发送日志，因为该端口范围通常不用于任何其他用途，尽管您可以使用任何开放的唯一端口。
如果您有许多相同类型的事件源，那么您可能希望通过为不同类型的事件源保留块来“分条”收集器端口。例如，端口20000 - 200009预留给防火墙，端口200010 - 20019预留给IDS。
收集者的港口用法
在一台采集器上不能配置多个事件源，使用相同的UDP或TCP端口，使用监听网口的数据采集方法。
对多个事件源使用相同Insight Collector的示例:
如果您想使用相同的Insight Collector来从两个防火墙中收集日志，必须记住，必须配置每个Syslog事件源以在收集器上使用不同的端口。这意味着您可以：
- 为每个防火墙添加一个事件源，并将其配置为使用不同的端口或
- 添加一个事件源，收集两台防火墙的日志，并配置两台防火墙通过同一端口发送日志。
为每个设备选择使用独立的事件源有很多好处:
- 如果其中一个设备停止发送日志，就更容易发现。另外不活动警报可以为每个事件源创建。
- 每个事件源在日志搜索中显示为一个单独的日志。
- 由于事件源的时区需要和发送设备的时区相匹配，所以单独的事件源可以使每个设备处于不同的时区。
注意，最多有10个设备可以使用TCP作为传输协议将syslog发送到单个事件源。
使用WMI协议
对于使用WMI协议收集的日志，通过管理员帐户需要访问，并且在端口135,139和445上发生通信。当严格的网络规则不允许通过WMI使用的短暂端口通信时，您可能需要设置固定端口。阅读Microsoft的文档以了解更多信息：https://docs.microsoft.com/en-us/windows/win32/wmisdk/setting-up-a-fixed-port-for-wmi
其他港口
下表概述了InsightIDR的必要通信需求。评估您的环境，并确定需要更改防火墙或访问控制的地方。
来源 |
目的地 |
港口 |
|---|---|---|
所有部署的收藏家 |
data.insight.rapid7.com (US-1) |
443 |
所有部署的收藏家 |
s3.amazonaws.com (US-1) |
443 |
如果没有必威体育app登录通过收集器连接，则所有Insight Agents都将进行连接 |
endpoint.ingress.Rapid7.com（US-1） |
443 |
如果没有必威体育app登录通过收集器连接，则所有Insight Agents都将进行连接 |
US-1 |
443 |
使用端点监视器时的所有端点(仅限Windows) |
集电极 |
135或445 (WMI)， 5508, 20000-30000 |
所有In必威体育app登录sight agent(通过Collector连接) |
集电极 |
5508、6608、8037 |
集电极 |
域控制器配置为LDAP事件源的LDAP源 |
636年或389年 |
集电极 |
所有域控制器 |
135、139、445 |
活动目录 |
WMI收集方法 |
135年,445年 |
DNS/DHCP，有时是Active Directory |
Windows文件共享 |
139 |
非ms DHCP服务器 |
集电极 |
* UDP / TCP端口1024 |
防火墙 |
集电极 |
* UDP / TCP端口1024 |
检查点防火墙 |
集电极 |
18184或其他指定的 |
VPN |
集电极 |
* UDP / TCP端口1024 |
AV服务器(syslog方式发送日志) |
集电极 |
* UDP / TCP端口1024 |
nexpose / Insightvm. |
集电极 |
3780 |
Metasploit |
集电极 |
3790 |
box.com日志 |
443 |
*指定的端口必须为收集的收集器是唯一的，该收集器正在收集日志