​

Sensor KVM Installer 사용자 가이드

​

개요

​

1. 시스템 아키텍처

​

하드웨어 한눈에 보기

​

아키텍처 개요

• Ubuntu 24.04 기반 KVM 호스트
• libvirt / qemu-kvm 가상화 계층
• XDR Sensor 가상 머신
• NAT 또는 L2 브리지 기반 Sensor 네트워크
• PCI 패스스루 기반 SPAN 트래픽 수집
• LVM 기반 전용 스토리지
• 커널 및 CPU 성능 튜닝

• 호스트 OS 준비 및 성능 튜닝
• 네트워크 토폴로지 구성
• 스토리지 프로비저닝
• Sensor VM 라이프사이클 관리
• PCI 패스스루 기반 고속 패킷 수집

​

2. 설치 전 준비 사항 (필수 준비 단계)

​

시스템 요구사항

• root 권한이 필요함
• 설치 프로그램은 다음과 같은 시스템 수준 작업을 수행합니다.
  • 네트워크 설정 변경
  • 커널 및 GRUB 설정 수정
  • 디스크 및 파일 시스템 구성
  • 가상 머신 생성 및 수정

​

문서 기준 운영체제

• 이 한국어 가이드는 Ubuntu Server 24.04 LTS 기준입니다.
• Source Installer에는 이전 Ubuntu 릴리스에 대한 호환 코드가 존재할 수 있으므로 이전 버전 배포는 현재 소스와 대상 OpenXDR 릴리스 지원 범위를 별도로 확인하십시오.

​

준비 단계

1. root 쉘로 전환합니다.

sudo -i

2. 현재 디렉터리에 설치 스크립트를 다운로드합니다.

curl -O https://raw.githubusercontent.com/xdr-labs/OpenXDR-KVM-Installer/main/Sensor-Installer.sh

3. 실행 권한을 부여합니다.

chmod +x Sensor-Installer.sh

4. 설치 프로그램을 실행합니다.

./Sensor-Installer.sh

​

3. Sensor 네트워크 모드

​

NAT 모드

• KVM 호스트와 Sensor VM이 하나의 외부 IP 주소를 공유
• libvirt 내부 NAT 네트워크(virbr0) 사용
• Sensor VM에 고정 내부 IP 할당
  • 기본값: 192.168.122.2
• 다음 이유로 설치 및 관리 시 추가적인 주의가 필요함
  • 외부 접근이 간접적으로 이루어짐
  • 포트 포워딩 및 관리 트래픽 흐름을 고려해야 함

​

대표적인 사용 사례

• Lab, POC 및 운영 환경
• 외부 노출이 제한된 단순한 배포 환경
• IP 자원이 제한된 환경

관리 인터페이스는 NAT 모드, SPAN NIC은 Bridge 모드로 구성할 수 있습니다.

​

브리지 모드

• Sensor VM이 전용 L2 브리지를 통해 연결됨
• Sensor 트래픽이 KVM 호스트와 완전히 분리됨
• 고성능 물리 NIC 필요
• Appliance CLI는 Sensor 브리지에 ACL을 적용할 수 없음

​

권장 사용 시나리오

• 고처리량 Sensor 배포가 필요한 경우
• 10GbE 이상의 인터페이스를 사용하는 환경
• 보안 정책상 호스트와 Sensor 인터페이스의 엄격한 분리가 필요한 경우
• 운영 환경에서 성능 민감 Sensor 노드를 배포하는 경우

관리 인터페이스는 Bridge 모드, SPAN NIC은 PCI 패스스루 모드로 구성할 수 있습니다.

​

4. SPAN 연결 방식

​

PCI 패스스루 (기본 방식)

• 물리 SPAN NIC을 Sensor VM에 직접 패스스루
• 최대 패킷 처리량과 최소 지연 시간 제공
• 가상 스위칭 계층을 완전히 우회

​

주요 특징

• 표준 PCI 패스스루 방식만 사용
• BIOS에서 IOMMU 활성화 필요
• 대부분의 물리 환경에서 기본값이자 권장 방식

​

브리지 모드 (SPAN)

• SPAN 트래픽을 L2 브리지를 통해 연결
• 주로 다음 환경에서 사용됨
  • 프라이빗 클라우드 환경
  • 가상화 또는 중첩 가상화 환경
  • PCI 패스스루 사용이 제한된 환경

​

NIC 준비 및 설계 가이드라인

​

5. 설치 프로그램 탐색 및 실행 모델

​

메뉴 탐색 방법

• Spacebar / ↓ : 앞으로 스크롤
• ↑ : 뒤로 스크롤
• q : 도움말 또는 가이드 화면 종료

​

상태 인식 실행 방식

/root/xdr-installer

• 재부팅 후 자동으로 이어서 실행
• 이미 완료된 단계 건너뛰기
• 선택한 단계의 안전한 재실행

rm -rf /root/xdr-installer

​

DRY-RUN 모드

• 기본값: DRY_RUN=1
• 모든 작업은 시뮬레이션으로만 수행
• 실제 시스템 변경은 적용되지 않음

DRY_RUN=0

​

메인 메뉴 옵션 개요

​

1) Auto Execute All Steps

• 다음 미완료 단계부터 모든 단계를 자동으로 실행
• 재부팅 후 마지막 완료 단계부터 자동으로 재개
• 권장 용도
  • 초기 설치
  • 재부팅 후 이어서 진행

​

2) Select and Run Specific Step Only

• 개별 단계를 독립적으로 실행
• 권장 용도
  • Sensor VM 재배포
  • 네트워크 변경
  • 이미지 업데이트
  • SPAN 설정 변경

​

3) Configuration

• DRY_RUN (기본값: 1)
• SENSOR_VERSION
• SENSOR_NET_MODE (nat / bridge)
• SPAN_ATTACH_MODE (pci / bridge)
• ACPS 자격증명
  • username
  • password
  • URL

​

4) Full Configuration Validation

• KVM
• Sensor VM
• 네트워크
• SPAN
• 스토리지

​

5) Script Usage Guide

• 내장 도움말 가이드 표시

​

6) View Log

• 설치 로그 파일 표시

​

7) Exit

• 설치 프로그램 종료

​

6. 설치 시나리오

​

6.1 신규 설치 (초기 배포)

1. 3) Configuration
2. 다음 항목을 설정합니다.
   • DRY_RUN = 0
   • SENSOR_VERSION
   • SENSOR_NET_MODE (nat / bridge)
   • SPAN_ATTACH_MODE (pci / bridge)
   • ACPS credentials

• 1) Auto Execute All Steps

STEP 01 → STEP 02 → STEP 03 → … → STEP 10

​

필수 재부팅 동작

• STEP 03 – 네트워크 설정 변경
• STEP 05 – 커널 및 시스템 튜닝

1. 다시 로그인
2. 설치 프로그램 재실행
3. 메뉴 1 선택

​

6.2 특정 단계만 실행

• 2) Select and Run Specific Step Only

• 네트워크 또는 SPAN 설정 변경
• Sensor VM 재배포
• 튜닝 또는 hook 재적용
• 부분 실패 복구

​

7. 설치 후 검증

• 4) Full Configuration Validation

​

검증 범위

• 커널 및 IOMMU 설정
• NIC 및 인터페이스 상태
• KVM 및 libvirt 서비스 상태
• Sensor VM 상태 및 자동 시작 설정
• 네트워크 브리지 및 라우팅
• 스토리지 및 마운트 포인트
• 시스템 튜닝 파라미터

​

8. 설치 후 일반적인 변경 사항

​

자동 재부팅 알림

• STEP 03은 항상 시스템 재부팅을 발생시킵니다.

​

변경 시나리오

​

관리 네트워크 모드 변경 (bridge ↔ nat)

• Sensor VM 재배포 필요
• 다음 단계 재실행

STEP 01 → STEP 03 → STEP 04 → STEP 08 → STEP 09

​

SPAN 모드 또는 NIC 변경

STEP 01 → STEP 03 → STEP 09

​

네트워크 모드별 변경 사항

• HOST_NIC 또는 DATA_NIC 변경

STEP 01 → STEP 03

• HOST_NIC IP만 변경

STEP 03

• HOST_NIC (관리 업링크) 변경

STEP 01 → STEP 03

• HOST_NIC IP만 변경

STEP 03

​

SPAN 연결 방식 변경 (PCI Passthrough ↔ Bridge)

STEP 01 → STEP 03 → STEP 09

​

Sensor VM 재배포

STEP 08 → STEP 09

​

다른 Sensor 버전 배포

STEP 07 → STEP 08 → STEP 09

​

9. Sensor 배포 이후

​

9.1 관리 네트워크 설정

​

NAT 모드

• Sensor IP: 192.168.122.2/24
• Gateway: 192.168.122.1
• DNS: 8.8.8.8

set interface management ip 192.168.122.2/24
set interface management gateway 192.168.122.1
set interface management dns 8.8.8.8

​

Bridge 모드

set interface management ip <SENSOR-IP>/<NETMASK>
set interface management gateway <GATEWAY>
set interface management dns <DNS>

show interfaces

​

9.2 로그인 및 기본 비밀번호 변경

aella / changeme

DataSensor>

​

9.3 고유한 Sensor 호스트명 설정

set hostname <SENSOR-HOSTNAME>

set hostname sensor-site1

​

9.4 Sensor를 Data Platform에 연결

set cm <DP-MANAGEMENT-IP>

set cm <DP-HOSTNAME>

show cm

• CM Controller에 의도한 Data Platform 주소 또는 호스트명이 표시됨
• Status가 Established

quit

​

9.5 NTP 및 Timezone 구성

​

9.6 Sensor 승인

​

9.7 CLI 및 SSH 접속

console mds

• Sensor VM: 포트 2222

​

10. 하드웨어 및 소프트웨어 요구사항

• Ubuntu Server 24.04 LTS
• root 권한
• 프로젝트 시작 기준 CPU 12 vCPU 이상, Memory 16 GB 이상
• ubuntu-vg에 최소 100 GB Free Space
• Management NIC 및 필요한 SPAN/Data NIC
• CPU Virtualization 활성화
• PCI Passthrough 사용 시 VT-d/IOMMU 활성화
• 패키지와 Sensor 이미지 다운로드용 네트워크 접속
• Network 전환 전 Console 또는 Out-of-Band Access

df -h
vgs
lvs

​

11. BIOS 및 플랫폼 설정

• Intel Virtualization Technology
• VT-d / IOMMU

​

12. Sensor 최종 체크리스트

• Full Configuration Validation에 미해결 FAIL이 없음
• Sensor VM이 실행 중이고 Autostart가 활성화되어 있음
• NAT 모드는 192.168.122.2/24, Bridge 모드는 환경별 관리 주소를 사용함
• show interfaces에 의도한 관리 설정이 표시됨
• Sensor Hostname이 고유함
• set cm이 Sensor 자신의 NAT IP가 아니라 접근 가능한 Data Platform 관리 주소를 가리킴
• show cm의 Status가 Established
• NTP/Timezone이 구성됨
• Stellar Cyber에서 Sensor Authorization이 완료됨
• SPAN Interface가 의도한 PCI Passthrough 또는 Bridge 방식으로 연결됨