Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Configurar

Revisar configuración de AWS SES

Crear credenciales SMTP de AWS SES

Configurar la configuración SMTP del administrador SNA

Recopilar certificados AWS

Configurar acción de correo electrónico de administración de respuestas

Verificación

Troubleshoot

Información Relacionada

Introducción

Este documento describe cómo configurar su  Secure Network Analytics Manager (SNA) para utilizar  Amazon Web Services Simple Email Service (AWS SE).

Prerequisites

Requirements

Cisco recomienda conocer estos temas:

- AWS SES

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Stealthwatch Management Console v7.3.2

- Servicios AWS SES tal y como existen el 25 de MAYO de 2022 con  Easy DKIM

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Revisar configuración de AWS SES

Se requieren tres bits de información de AWS:

1. ubicación de AWS SES

2. Nombre de usuario SMTP

3. Contraseña SMTP

Nota: AWS SES ubicado en el sandbox es aceptable, pero tenga en cuenta las limitaciones de los entornos sandbox: https://docs.aws.amazon.com/ses/latest/dg/request-production-access.html

En la consola de AWS, vaya a  Amazon SESy, a continuación, seleccione  Configuration y haga clic en  Verified Identities.

Debe tener un dominio verificado. No es necesaria una dirección de correo electrónico verificada. Consulte la documentación de AWS https://docs.aws.amazon.com/ses/latest/dg/creating-identities.html#verify-domain-procedure

Observe la ubicación del extremo SMTP. Este valor se necesita más adelante.

Crear credenciales SMTP de AWS SES

En la consola de AWS, vaya a  Amazon SESy, a continuación, haga clic en  Account Dashboard.

Desplácese hacia abajo hasta el botón " Simple Mail Transfer Protocol (SMTP) settings" y haga clic en  Create SMTP Credentials cuando esté listo para completar esta configuración.

Las credenciales antiguas no utilizadas (aproximadamente 45 días) no parecen fallar como credenciales no válidas.

En esta nueva ventana, actualice el nombre de usuario a cualquier valor y haga clic en  Create.

Cuando la página presente las credenciales, guárdelas. Mantenga abierta esta ficha del explorador.

Configurar la configuración SMTP del administrador SNA

Inicie sesión en el  SNA Managery abra  SMTP Notifications sección

1. Abierto  Central Management > Appliance Manager.

2. Haga clic en el  Actions para el dispositivo.

3. Seleccionar  Edit Appliance Configuration.

4. Seleccione el  General ficha.

5. Desplácese hacia abajo hasta  SMTP Configuration

6. Introduzca los valores recopilados de AWS

1. SMTP Server: Esta es la ubicación del extremo SMTP recopilada de la  SMTP Settings desde  AWS SES Account Dashboard página

2. Port: Introduzca 25, 587 o 2587

3. From Email: Se puede establecer en cualquier dirección de correo electrónico que contenga el  AWS Verified Domain

4. User Name: Este es el nombre de usuario SMTP que se presentó en el último paso del  Review AWS SES Configuration sección

5. Password: Ésta es la contraseña SMTP que se presentó en el último paso del  Review AWS SES Configuration sección

6. Encryption Type: Seleccione STARTTLS (si selecciona SMTPS, edite el puerto a 465 o 2465)

7. Aplique los parámetros y espere a que  SNA Manager para volver a una  UP estado en  Central Management

Recopilar certificados AWS

Establezca una sesión SSH para el  SNA Managere inicie sesión como usuario raíz.

Revise estos tres elementos

- Cambiar la ubicación del extremo SMTP (por ejemplo, email-smtp.us-east-1.amazonaws.com)

- Cambie el puerto utilizado (por ejemplo, el valor predeterminado de 587 para STARTTLS)

- Los comandos no tienen STDOUT, el mensaje se devuelve al finalizar

Para STARTTLS (puerto predeterminado 587):

openssl s_client -starttls smtp -showcerts -connect email-smtp.us-east-1.amazonaws.com:587 <<< "Q" 2>/dev/null > mycertfile.crt awk 'split_after == 1 {n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1} {print > "cacert" n ".pem"}' < mycertfile.crt for i in `ls -t1 *.pem`; do cp $i $(awk -F "CN=" '/s:/ {gsub(/ /,x ); print $NF}' $i).pem ; done ; rm -f cacert* mycertfile.crt

Para SMTPS (puerto predeterminado 465):

openssl s_client -showcerts -connect email-smtp.us-east-1.amazonaws.com:465 <<< "Q" 2>/dev/null > mycertfile.crt awk 'split_after == 1 {n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1} {print > "cacert" n ".pem"}' < mycertfile.crt for i in `ls -t1 *.pem`; do cp $i $(awk -F "CN=" '/s:/ {gsub(/ /,x ); print $NF}' $i).pem ; done ; rm -f cacert* mycertfile.crt

Los archivos de certificado con la extensión pem se crean en el directorio de trabajo actual, no tome de este directorio (salida del comando pwd / última línea)

sna_manager:~# openssl s_client -starttls smtp -showcerts -connect email-smtp.us-east-1.amazonaws.com:587 <<< "Q" 2>/dev/null > mycertfile.crt

sna_manager:~# awk 'split_after == 1 {n++;split_after=0} /-----END CERTIFICATE-----/ {split_after=1} {print > "cacert" n ".pem"}' < mycertfile.crt

sna_manager:~# for i in `ls -t1 *.pem`; do cp $i $(awk -F "CN=" '/s:/ {gsub(/ /,x ); print $NF}' $i).pem ; done ; rm -f cacert* mycertfile.crt

sna_manager:~# ll

total 16

-rw-r--r-- 1 root root 1648 May 27 14:54 Amazon.pem

-rw-r--r-- 1 root root 1829 May 27 14:54 AmazonRootCA1.pem

-rw-r--r-- 1 root root 2387 May 27 14:54 email-smtp.us-east-1.amazonaws.com.pem

-rw-r--r-- 1 root root 1837 May 27 14:54 StarfieldServicesRootCertificateAuthority-G2.pem

sna_manager:~# pwd

/root

Descargue los archivos creados en el  SNA Manager en el equipo local con el programa de transferencia de archivos que elija (Filezilla, winscp, etc.) y agregue estos certificados al  SNA Manager trust store in  Central Management.

1. Abierto  Central Management > Appliance Manager.

2. Haga clic en el  Actions para el dispositivo.

3. Seleccionar  Edit Appliance Configuration.

4. Seleccione el  General ficha.

5. Desplácese hacia abajo hasta  Trust Store

6. Seleccionar  Add New

7. Cargue cada uno de los certificados, se recomienda utilizar el nombre de archivo como  Friendly Name

Configurar acción de correo electrónico de administración de respuestas

Inicie sesión en el  SNA Managery abra el  Response Management sección

1. Seleccione el  Configure en la cinta principal de la parte superior de la pantalla

2. Seleccionar  Response Management

3. Desde  Response Management página, seleccione  Actions pestaña

4. Seleccionar  Add New Action

5. Seleccionar  Email

1. Proporcione un nombre para esta acción de correo electrónico

2. Introduzca la dirección de correo electrónico del destinatario en el campo "Para" (tenga en cuenta que debe pertenecer al dominio verificado en AWS SES)

3. El tema puede ser cualquier cosa.

6. Haga clic  Save

Verificación

Inicie sesión en el  SNA Managery abra el  Response Management sección:

1. Seleccione el  Configure en la cinta principal de la parte superior de la pantalla

2. Seleccionar  Response Management

3. Desde  Response Management página, seleccione  Actions pestaña

4. Seleccione los puntos suspensivos en el  Actions para la fila de la acción de correo electrónico que ha configurado en el  Configure Response Management Email Action y seleccione  Edit.

5. Seleccionar  Test Action y si la configuración es válida, se presenta un mensaje de confirmación y se envía un correo electrónico.

En el encabezado del correo electrónico, amazonses se muestra en la " Received" y amazonas, junto con el dominio verificado en el  ARC-Authentication-Results (AAR) Chain

6. Si la prueba no se realizó correctamente, se muestra un banner en la parte superior de la pantalla: continúe con la sección de solución de problemas

Troubleshoot

/lancope/var/logs/containers/sw-reponse-mgmt.log contiene los mensajes de error para las acciones de prueba. El error más común y la corrección se enumeran en la tabla.

Tenga en cuenta que los mensajes de error enumerados en la tabla son sólo una parte de la línea del registro de errores

Error

Corregir

Excepción SMTPSendFailedException: 554 Mensaje rechazado: La dirección de correo electrónico no se ha verificado. Las identidades no pasaron la comprobación en la región US-EAST-1: {email_address}

Actualice el campo "De correo electrónico" de la configuración SMTP del administrador SNA a un correo electrónico que pertenezca al dominio verificado de AWS SES

Excepción AuthenticationFailedException: 535 Credenciales de autenticación no válidas

Repetir secciones Crear credenciales SMTP de AWS SES y Configurar la configuración SMTP del Administrador SNA

Excepción SunCertPathBuilder: no se puede encontrar una ruta de certificación válida para el destino solicitado

Confirme que todos los certificados presentados por AWS estén en el almacén de confianza del Administrador de SNA: realice la captura de paquetes cuando se realice la Acción de prueba y compare los certificados presentados en el servidor con el contenido del almacén de confianza

rutinas SSL:tls_process_ske_dhe:dh clave demasiado pequeña

Véase el apéndice

Cualquier otro error

Abrir caso TAC para revisión

Apéndice: La tecla DH es demasiado pequeña.

Este es un problema secundario de AWS, ya que utilizan claves de 1024 bits cuando se utilizan cifrados DHE y EDH (susceptibles de atasco de registro) y el administrador SNA se niega a continuar la sesión SSL. El resultado del comando muestra las claves temporales del servidor de la conexión openssl cuando se utilizan los cifrados DHE/EDH.

sna_manager:~# openssl s_client -starttls smtp -connect email-smtp.us-east-2.amazonaws.com:587 -cipher "EDH" <<< "Q" 2>/dev/null | grep "Server Temp"

Server Temp Key: DH, 1024 bits

sna_manager:~# openssl s_client -starttls smtp -connect email-smtp.us-east-2.amazonaws.com:587 -cipher "DHE" <<< "Q" 2>/dev/null | grep "Server Temp"

Server Temp Key: DH, 1024 bits

sna_manager:~# openssl s_client -starttls smtp -connect email-smtp.us-east-2.amazonaws.com:587 <<< "Q" 2>/dev/null | grep "Server Temp"

Server Temp Key: ECDH, P-256, 256 bits

La única solución alternativa disponible es eliminar todos los cifrados DHE y EDH con el comando como usuario raíz en el SMC, AWS selecciona un conjunto de cifrados ECDHE y la conexión se realiza correctamente.

cp /lancope/services/swos-compliance/security/tls-ciphers /lancope/services/swos-compliance/security/tls-ciphers.bak ; > /lancope/services/swos-compliance/security/tls-ciphers ; echo "TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_CCM_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:AES256-GCM-SHA384" > /lancope/services/swos-compliance/security/tls-ciphers ; docker restart sw-response-mgmt

Información Relacionada

- https://docs.aws.amazon.com/ses/latest/dg/setting-up.html

- https://docs.aws.amazon.com/ses/latest/dg/creating-identities.html#verify-domain-procedure

- https://docs.aws.amazon.com/ses/latest/dg/smtp-credentials.html

- https://docs.aws.amazon.com/ses/latest/dg/smtp-connect.html

- Soporte Técnico y Documentación - Cisco Systems