本文介绍管理员在Ubuntu上部署面向终端的AMP Linux连接器时可采取的更改和步骤。
最低操作系统要求
有关Ubuntu上的OS兼容性,请参阅面向终端的AMP的Linux连接器OS兼容性文章中的“Ubuntu LTS”表。
环境设置
Ubuntu上的面向终端的AMP Linux连接器使用eBPF进行文件和网络监控。计算机必须安装正确的linux-headers软件包,否则连接器将引发故障11(缺少系统依赖项),并在不进行文件和网络监控的情况下以降级状态运行。有关解决此故障的指导,请参阅《Linux内核级故障》一文的部分。
依赖项
面向终端的AMP Linux连接器取决于Ubuntu基本安装中包含的系统软件包。当系统上不存在这些包时,将显示以下错误消息:
ciscoampconnector depends on rsyslog; however:
Package rsyslog is not installed.
使用以下命令安装面向终端的AMP Linux连接器所需的依赖项:
sudo apt install rsyslog logrotate cron libpcre2-8-0
验证DEB包
面向终端的AMP Linux连接器Ubuntu DEB软件包包含用于验证下载的软件包是否属于思科的签名。
下载DEB包
访问面向终端的AMP控制台。
下载Ubuntu的DEB包。
将DEB包传输到Ubuntu计算机。例如:amp_ciscoampconnector.deb
检索GPG公钥
单击“显示GPG公钥”按钮,如下图所示。
下载并传输公钥,或将公钥复制到Ubuntu计算机。例如:cisco.gpg
验证DEB包
DEB软件包使用调试工具签名,可以使用调试验证进行验证。
安装拆卸验证工具。 sudo apt-get install debsig-verify
将Cisco GPG公钥导入调试密钥环。 sudo mkdir -p /usr/share/debsig/keyrings/914E5BE0F2FD178F
sudo gpg --dearmor --output /usr/share/debsig/keyrings/914E5BE0F2FD178F/debsig.gpg cisco.gpg
创建策略目录。 sudo mkdir -p /etc/debsig/policies/914E5BE0F2FD178F
将以下策略内容复制到新文件“/etc/debsig/policies/914E5BE0F2FD178F/ciscoampconnector.pol”中。
使用debsig-verify验证DEB签名。 debsig-verify amp_ciscoampconnector.deb
输出应如下所示: debsig: Verified package from 'Cisco AMP for Endpoints' (Debsig)
注意:对于从面向终端的AMP控制台下载的任何Ubuntu软件包,可以重复第5步。
安装
要安装连接器,请执行以下命令,其中[deb package]是文件的名称,例如amp_test.deb:
sudo dpkg -i [deb package]
重要!如果您在环境中运行其他安全产品,他们可能会将面向终端的AMP连接器安装程序检测为威胁。要成功安装连接器,请将AMP添加到允许的列表或排除其他安全产品中的AMP,然后重试。
重要!在连接器安装期间,系统上会创建名为cisco-amp-scan-svc的用户和组。如果此用户或组已存在,但配置方式不同,则安装程序将尝试删除这些用户或组,然后使用必要的配置重新创建它们。如果无法使用必要的配置创建用户和组,安装程序将失败。
卸载
要卸载面向终端的AMP的Linux连接器,请执行以下命令:
sudo dpkg --remove ciscoampconnector
注意:这将保留本地数据,包括历史记录、隔离的文件以及cisco-amp-scan-svc用户和组。如果您不打算重新安装连接器并想删除其余文件,请运行以下命令:
sudo dpkg --purge ciscoampconnector
注意:使用Ubuntu软件中心卸载适用于终端Linux连接器的AMP也会保留本地数据。
修订历史纪录
2020年12月10日
初始版本