内部威胁管理（ITM）安装部署详解

    ITM，全称是内部威胁管理（Inner Threat Manage），之前也叫DLP（Data Leak Protect）数据泄密防护，主要是针对数据泄密的行为进行分析，通过定义关键字、风险行为进行告警；另外支持对访问业务的行为进行监测，及时发现风险。

   ITM必须结合AC使用，不能单独使用，目前一般部署在Linux的物理机或虚拟化环境里。     

    一、 ITM安装

    1、安装Linux系统

    这次以ubuntu-16.04.6-server-amd64.iso为例，aCloud 6.1.0为例。

    在【虚拟机】--【新增】

   

   

    操作系统选择：Ubuntu；镜像选择已经上传到虚拟存储ISO文件夹下的ubuntu-16.04.6-server-amd64.iso；然后选择“安装系统”，一步步安装。

    具体操作步骤见附件：20200414Ubuntu server16.04安装教程.pdf。

    对Linux不熟的建议看文档，自己安装出错了2次，后来才发现有文档，自己没看。

   PS：安装完后，建议切换到root用户登录。后续很多文件的创建、执行都需要root权限。

    2、安装虚拟机系统优化工具

    安装优化工具：

    先点击“开始安装”。

    执行命令：sudo mkdir -p /mnt/cdrom

                    sudo mount -t iso9660 /dev/sr1 /mnt/cdrom

                    cd /mnt/cdrom

                    sudo ./install.sh

     3、挂载数据盘

     命令：

     格式化数据盘：mkfs.ext3 /dev/vdb

     创建挂载目录：mkdir -p /data/disk

     

     查看uuid：ll /dev/disk/by-uuid

     开机挂载硬盘：vi /etc/fstab

                   添加：UUID=99160846-c239-42d7-bba4-fbd58e819ccc /data/disk            ext3    defaults        0       0

     

   

    确认数据盘安装成功：lsbck

   

    4、安装ITM

    （1）安装ITM.iso系统

    虚拟机挂载IMS.iso文件。

   

     执行：sudo mount -t iso 9660 /dev/sr0 /mnt/cdrom

     

     安装：sh -x install_master_itm.sh

     

     安装到这儿，就可以登录ITM了。

     

    5、安装docker

    安装docker的目的是安装OCR（图片内容识别）。

    （1）上传docker-18.06.3-ce.tgz文件。

     采用挂载镜像OCR.iso的文件上传，然后解压。

     命令：tar xzvf /tmp/docker-18.06.3-ce.tgz

     

    （2）安装

    将配置文件docker.service  放到设备上的/etc/systemd/system目录下，

    执行以下命令使之生效

    dos2unix /etc/systemd/system/docker.service

    systemctl enable docker

    systemctl start docker.service  

    service docker status  //最后，检查docker服务状态（提示是running状态表示正常服务正常工作）

   

    6、安装OCR

    （1）加载OCR的镜像

    命令：docker load -i ocr2-3.tar

   

    （2）设置相关参数，并启动OCR容器

    命令：docker run --name ocr --restart=always -p 5000:5000 -p 5008:5008  -e CHECK="gunicorn --certfile=server.crt --keyfile=server.key -w 4 -k gthread -b 0.0.0.0:5000 -t 120 app:app" -dt sangfor/ocr:2.3  

    其中，-w 对应cpu数一半，ocr:2.3对应ocr版本。

   

    （3）查看ocr版本

     命令：docker image ls

     

     （4）查看当前容器id

     命令：docker ps

     

     （5）执行替换容器ID命令，并重启docker服务

     命令：

    docker cp server.crt c769a9f65e83:/src/ocr/

    docker cp server.key c769a9f65e83:/src/ocr/

    docker restart c769a9f65e83

   

   

    （6）完成证书替换，ITM填写OCR-IP地址

     ITM master根证书替换路径：/ndlp/etc/config/store/ndlp/config/ocr/server.crt

     可以使用SFTP工具上传，将左边电脑的server.crt拖到右侧的ocr目录下即可。

     

    （7）验证

     登录ITM，连接OCR服务。

     路径：【系统选项】--【OCR图片追溯选项】

   

    IP为Ubuntu服务器地址，服务端口是5000。

    二、其他

   1、允许root用户通过ssh登录。

   vim /etc/ssh/sshd_config   将PermitRootLogin 的值改为yes

   

   2、ls、ll、ll -h区别

   

支持一下。顺便盖楼。。。

楼主分析的很详细，不错的实战经验，小白用户一看就懂，非常好的技术干货帖，顶一个！

感谢楼主的分享，学习了！！！

盖个楼，过来支持一下

感谢楼主分享！！！

感谢分享，ITM+全网是真滴强

感谢楼主的精彩分享，有助工作。

非常实用的案例，感谢楼主分享

吐槽下，这么复杂的部署怎么可能出现再厂商的产品里，这部署方式看着和开源的软件一样。