Carbon Black EDR 서버 설치 및 구성

매니저가 SaaS 형태로 제공되는 Carbon Black Cloud 제품과 달리 Carbon Black EDR 은 온-프레미스에 직접 구축이 필요하다.
따라서 이번 포스팅에서는 EDR 서버를 설치하고 관리하는 방법에 대해 다룰 것이다.

1. 설치 고려사항

1-1. OS 및 네트워크

OS와 네트워크 통신 설정이 필요하다. 지원되는 OS와 네트워크 설정은 지난 포스팅을 참조하여 확인 가능하다.

https://seungminblog.tistory.com/entry/Carbon-Black-EDR-%EA%B5%AC%EC%B6%95-%ED%99%95%EC%9D%B8-%EC%82%AC%ED%95%AD

Carbon Black EDR 구축 확인 사항

최근에는 도커 환경 기반에서 설치할 수 있도록 지원되고 있으나, 기본적인 설치 방식인 Linux 기반에 설치할 것이다.

1-2. 인증서

먼저 고려해야할 Carbon Black EDR 은 HTTPS 및 TLS 통신을 하고 있다. 
따라서 엔드포인트도 신뢰된 서버와 통신할 수 있도록 제공하고, 서버도 신뢰된 엔드포인트와 통신하도록 제공한다.

인증서는 서버의 '/etc/cb/certs/' 경로에 저장되어 있으며, 기본적으로 Carbon Black 에서 발급하는 자체 인증서를 제공한다.
Carbon Black 에서 발급된 자체 인증서 말고 사용자가 직접 발급한 인증서 사용도 가능하다. 

cbinit 을 통해 생성한 인증서가 유효한지 확인하며, 유효성이 확인되면 해당 서버에서 사용 가능하며, 확인되지 않을 시에는 자체 제공되는 기본 인증서가 적용된다. 

인증서 설정에 오류가 발생하면 통신이 정상적으로 보장되지 않으니, 요구 사항을 확인하는 것이 좋다

https://docs.vmware.com/en/VMware-Carbon-Black-EDR/7.7.1/cb-edr-scm-guide/GUID-E15B4D45-D68D-4A3B-A6FB-65ABBA281A78.html

Substituting a Server Communication Certificate

---

2. 설치

2-1. 설치 진행

Carbon Black EDR 서버 설치 진행은 온라인 환경인지, 오프라인 환경인지에 따라 설치 방법이 유동적이다.
온라인 환경은 간단하게 명령어로 설치가 가능하지만, 오프라인 환경일 경우 외부와 통신이 가능한 캐시 서버의 일부 도움이 필요하다
이번 포스팅에서는 온라인 설치 과정을 정리하였으나, 오프라인 환경의 설치 가이드도 제공되고 있으므로 필요한 경우 아래 사이트를 참조하면 된다 

https://community.carbonblack.com/t5/Knowledge-Base/EDR-How-to-Perform-an-Offline-Air-Gapped-Server-Installation/ta-p/92493

EDR: How to Perform an Offline Air-Gapped Server Installation

Carbon Black EDR 서버 설치 과정은 root 권한으로 진행되므로, sudo 명령어를 사용하거나 root 로 접속하여 설치를 진행하면 된다.

제일 먼저 필요한 과정은 Carbon Black EDR RPM 파일을 EDR 서버에 적용하는 과정이다. Carbon Black EDR 서버용 RPM 파일은 고객사 별로 제공되고 있어, 허용되지 않은 사용자는 설치가 불가하다. 
RPM 파일 이름은 carbon-black-release-<Company>.x86_64.rpm 형식을 가지고 있다.

rpm 파일을 서버에 업로드 하였으면, 아래 명령어를 통하여 rpm 설치 진행

rpm -ivh carbon-black-release-<customer dependent>.x86_64.rpm

Carbon Black repo 파일 설정 진행

vi /etc/yum.repos.d/CarbonBlack.repo

# 파일 내 baseurl 변경
baseurl= https://yum.distro.carbonblack.io/enterprise/stable/$releasever/$basearch/
# SSL Cert 경로 확인 (인증서 및 키 파일 지정)
sslclientcert=/etc/cb/certs/carbonblack-alliance-client.crt
sslclientkey=/etc/cb/certs/carbonblack-alliance-client.key

Carbon Black EDR 서버 패키지 및 종속성 파일 다운로드

yum install cb-enterprise.x86_64 -y

# EL8 버전 서버일 경우 아래 명령어를 실행하여 특정 모듈 비활성화 필요 
yum module disable postgresql redis python38 python39
yum install cb-enterprise

아래 명령어를 실행하여 설치 진행 및 구성

/usr/share/cb/cbinit
(직접 발급한 인증서 적용 시 : /usr/share/cb/cbinit --server-cert-file= < 인증서 경로 > --server-cert-key=< 키 경로 >) 

--설치 절차 진행 (웹 가이드 확인) -- 

** 설치를 진행하며 유의할 사항 주의할 점

# 서버의 날짜 및 시간 설정이 정확하지 않을 시 : SSL 인증에 실패할 수 있음
rdate -s time.bora.net

2-2. 설치 확인

설치 과정이 완료되면 실제로 정상 동작하는지 확인이 필요하다. 
설치가 완료되면 자동으로 Carbon Black EDR 서비스 데몬이 실행되지만 명령어를 통하여 데몬 실행 현황을 볼 수 있다.\

# Carbon Black EDR 서비스 데몬 현황
service cb-enterprise status

# Carbon Black EDR 서비스 데몬 실행
service cb-enterprise start

# Carbon Black EDR 서비스 데몬 중지
service cb-enterprise stop

서버 설치가 완료되며 아래와 같은 Carbon Black 데몬 서비스가 실행되고 있는 것을 볼 수 있다.

데몬	설명
cb-pgsql	전통적인 관계형 데이터베이스
cb-datagrid	분산 환경에서 하나의 데이터베이스를 사용할 수 있도록 데이터 공유를 위한 서비스
cb-redis	데이터 검색 속도를 효율적으로 제공할 수 있도록 In-memory 운영
cb-rabbitmq	캐시 데이터 저장소
cb-solr	기본 데이터 저장소 (이벤트, 바이너리 데이터, Feed 리포트, 알람 데이터)
cb-nginx	외부 443 통신 요청을 내부 서비스로 리디렉션 역할 (내부 데몬에 HTTP 역방향 프록시 제공)
cb-datastore	이벤트 로그 및 바이너리 파일 등을 포함한 센서 수신 데이터
cb-coreservices	HTTP 및 API 제공하는 서비스
cb-sensorservices	Sensor 체크인, 등록, 업그레이드 등의 센서 요청 처리를 담당하는 서비스
cb-liveresponse	Live Response 서비스
cb-alianceclient	외부 TI Feeds 연동을 담당하는 서비스

각 데몬에 대한 구성도는 아래 링크에서 자세히 확인할 수 있다.

https://docs.vmware.com/en/VMware-Carbon-Black-EDR/7.8.0/cb-edr-scm-guide/GUID-757AF3C1-516D-4D23-93CF-A8F8BCE07426.html

Server Technology Stack

2-3. 구성 파일

실제로 Carbon Black EDR 서버 설정을 진행하는 부분은 /etc/cb/cb.conf 파일에서 진행할 수 있다.

• 센서 동작
• 인증서 구성
• 클러스터 설정
• 네트워크 및 포트 설정
• 서비스 데몬 설정

https://docs.vmware.com/en/VMware-Carbon-Black-EDR/7.7/cb-edr-server-config-guide.pdf

이 외에도 각 서비스 데몬에 대한 로그 설정 및 데이터베이스 설정도 가능합니다. 
https://docs.vmware.com/en/VMware-Carbon-Black-EDR/7.7.1/cb-edr-scm-guide/GUID-0DD5615C-D78C-4BA3-A314-6A2F8A2903AB.html

Server Configuration

---

3.업그레이드 

EDR 서버 업그레이드는 구성 방법이 단독 구성된 서버인지, 클러스터 구성된 서버 구성인지에 따라 업그레이드 방식이 달라집니다.
업그레이드 과정도 설치 과정도 동일하게 root 권한이 필요하므로, sudo 명령어 사용 혹은 명령어 

# Carbon Black EDR 서비스 중지
service cb-enterprise stop
cbcluster stop (클러스터 서버의 경우)

# yum 캐시 파일 정리 (선택 사항)
yum clean all

# Carbon Black EDR 서비스 업그레이드
yum upgrade cb-enterprise

# 업그레이드 유틸 실행 (클러스터 구성, 데이터베이스 스키마 및 Threat Intelligence Feed 데이터 마이그레이션)
/usr/share/cb/cbupgrade

#Carbon Black EDR 서비스 실행
service cb-enterprise start (단일 서버의 경우)
cbcluster start (클러스터 서버의 경우)

---

 

Carbon Black 설치 외에도 백업 및 복원, 삭제에 대한 가이드도 제공되고 있다.
https://docs.vmware.com/en/VMware-Carbon-Black-EDR/7.7.1/cb-edr-scm-guide/GUID-366BFC57-A61A-4A96-B294-303FA1574B86.html

Uninstalling a Server