Мрежов мониторинг и откриване на аномална мрежова активност с решенията на Flowmon Networks

Напоследък в интернет може да се намери огромно количество материали по темата анализ на трафика на периметъра на мрежата. В същото време всички по някаква причина напълно са забравили за анализа на локалния трафик, който е не по-малко важен. Тази статия точно разглежда тази тема. На примера на Flowmon Networks ще си спомним за стария добър Netflow (и неговите алтернативи), ще разгледаме интересни случаи, възможни аномалии в мрежата и ще научим предимствата на решението, когато цялата мрежа работи като единен сензор. И най-важното — подобен анализ на локалния трафик може да се проведе напълно безплатно, в рамките на пробна лицензия (45 дни). Ако темата ви интересува, добре дошли под кат. Ако обаче ви мързи да четете, можете предварително да се регистрирате за предстоящия уебинар, на който ще покажем и разкажем всичко (там ще можете да разберете и за предстоящото обучение за продукта).

Какво е Flowmon Networks?

Преди всичко, Flowmon е европейски ИТ производител. Компанията е чешка, с централа в град Брно (въпросът за санкции дори не стои на дневен ред). В сегашния си вид компанията е представена на пазара от 2007 година. Преди това беше известна под марката Invea-Tech. Така че в общата сметка за разработка на продукти и решения са похарчени почти 20 години.

Flowmon се позиционира като марка от клас А. Разработва премиум решения за корпоративни клиенти и е забелязана в квадратите на Gartner в направление Network Performance Monitoring and Diagnostics (NPMD). Интересното е, че от всички компании в отчета, Flowmon е единственият производител, отбелязан от Gartner като производител на решения както за мрежов мониторинг, така и за защита на информацията (Network Behavior Analysis). Все още не заема първо място, но заради това и не струва като крило от Боинг.

Какви задачи позволява да решава продуктът?

Глобално, могат да се откроят следните основни задачи, решавани от продуктите на компанията:

1. повишаване на стабилността на работата на мрежата, както и на мрежовите ресурси, чрез минимизиране на времето на тяхното недостъпност;
2. повишаване на общото ниво на производителност на мрежата;
3. повишаване на ефективността на работата на администраторното персонал, благодарение на:
   • използването на съвременни инструменти за иновационен мрежов мониторинг, основани на информация за IP потоците;
   • предоставяне на подробна аналитика за функционирането и състоянието на мрежата – потребителите и приложенията, работещи в мрежата, предавани данни, взаимодействуващи ресурси, услуги и възли;
   • реагиране на инциденти преди да се случат, а не след загубата на услуги от потребителите и клиентите;
   • съкращаване на времето и ресурсите, необходими за администриране на мрежата и ИТ инфраструктурата;
   • оптимизиране на задачите за откриване на неизправности.
4. увеличаване на нивото на защита на мрежата и информационните ресурси на предприятието, чрез използване на несигнатурни технологии за откриване на аномална и злонамерена мрежова активност, както и 'атаки нулев ден' (zero-day);
5. осигуряване на необходимото ниво на SLA за мрежови приложения и бази данни.

Продуктово портфолио на Flowmon Networks

Сега ще разгледаме директно портфолиото на продуктите на Flowmon Networks и ще разберем с Какво точно се занимава компанията. Както много от вас вече се досетиха от името, основната специализация е в решенията за мониторинг на потоците на трафика, плюс редица допълнителни модули, разширяващи основния функционал.

Всъщност, Flowmon може да се нарече компания с един продукт, или по-точно – едно решение. Нека разберем дали това е положително или отрицателно.

Ядро на системата е колекторът, отговорен за събиране на данни по всевъзможни flow протоколи, като NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX… Съвсем логично е, че за компания, която не е аффилирана с нито един от производителите на мрежово оборудване, е важно да предложи на пазара универсален продукт, независищ от конкретен стандарт или протокол.

Flowmon Collector

Колекторът се предлага както под формата на хардуерен сървър, така и под формата на виртуална машина (VMware, Hyper-V, KVM). Между другото, хардуерната платформа се реализира на персонализирани сървъри DELL, което автоматично решава голяма част от въпросите с гаранцията и RMA. Собствената хардуерна част са само FPGA платки за захват на трафик, разработени от дъщерната компания Flowmon, които позволяват мониторинг на скорости до 100 Gbps.

Но какво да правим, ако на съществуващото мрежово оборудване няма възможност за генериране на качествен flow? Или натоварването на оборудването е твърде високо? Не е проблем:

Flowmon Prob

В този случай Flowmon Networks предлага да се използват собствени сонди (Flowmon Probe), които се свързват към мрежата чрез SPAN порт на комутатора или с използване на пасивни TAP разклонители.

SPAN (огледален порт) и TAP варианти на внедряване

В този случай „суровият“ трафик, постъпващ на Flowmon Probe, се преобразува в разширен IPFIX, съдържащ повече от 240 метрики с информация. Докато в стандартния протокол NetFlow, генериран от мрежовото оборудване, не се съдържат повече от 80 метрики. Това позволява осигуряване на видимост на протоколите не само на 3 и 4 нива, но и на 7 ниво по модела ISO OSI. В резултат на това, мрежовите администратори могат да следят функционирането на такива приложения и протоколи като e-mail, HTTP, DNS, SMB…

Концептуално, логическата архитектура на системата изглежда по следния начин:

Централната част на цялата „екосистема“ Flowmon Networks е Collector, който получава трафик от съществуващото мрежово оборудване или собствени сонди (Probe). Но за решения за предприятия предоставянето на функционалност единствено за мониторинг на мрежовия трафик би било твърде просто. Това могат да правят и Open Source решения, макар и не с такава производителност. Ценността на Flowmon са допълнителните модули, които разширяват основния функционал:

• модул Anomaly Detection Security – откриване на аномална мрежова активност, включително атаки „нула ден“, на базата на хевристичен анализ на трафика и типичен мрежов профил;
• модул Мониторинг на производителността на приложенията – контрол на производителността на мрежовите приложения без инсталиране на „агенти“ и влияние върху целевите системи;
• модул Traffic Recorder – записване на фрагменти от мрежовия трафик по набор от предварително зададени правила или по тригер от модула ADS, за по-нататъшно отстраняване на проблеми и/или разследване на инциденти с информационна сигурност;
• модул DDoS Защита – защита на периметъра на мрежата от волуметрични атаки на отказ в обслужването DoS/DDoS, включително атаки на приложения (OSI L3/L4/L7).

В рамките на тази статия ще разгледаме как всичко работи на живо на примера на 2 модула – Network Performance Monitoring and Diagnostics и Anomaly Detection Security.
Изходни данни:

• сървър Lenovo RS 140 с хипервизор VMware 6.0;
• образ на виртуалната машина Flowmon Collector, който може да бъде изтегли тук;
• пара комутатора с поддръжка на flow протоколи.

Стъпка 1. Инсталация на Flowmon Collector

Развитието на виртуална машина на VMware става по стандартен начин от OVF шаблон. В крайна сметка получаваме виртуална машина с CentOS и готов софтуер. Изискванията към ресурсите са разумни:

Остава само да изпълните базовата инициализация с командата sysconfig:

Настройваме IP на управленския порт, DNS, време, име на хоста и можем да се свържем с уеб интерфейса.

Стъпка 2. Инсталиране на лицензия

Пробна лицензия за един месец и половина се генерира и изтегля с образа на виртуалната машина. Зарежда се през Configuration Center -> License. В резултат виждаме:

Всичко е готово. Можем да започнем работа.

Стъпка 3. Настройка на ресивера на колектора

На този етап трябва да определим как ще постъпват данни в системата от източниците. Както споменахме по-рано, това може да бъде един от протоколите на потока или SPAN порт на комутатора.

В нашия пример ще използваме прием на данни чрез протоколите NetFlow v9 и IPFIX. В този случай, като цел задаваме IP адреса на управленския интерфейс - 192.168.78.198. Интерфейсите eth2 и eth3 (с тип Monitoring interface) се използват за прием на копие на „необработен“ трафик от SPAN порта на комутатора. Тях ги пропускаме, не е наш случай.
След това проверяваме порта на колектора, където трябва да постъпва трафик.

В нашия случай колекторът очаква трафик на порта UDP/2055.

Стъпка 4. Настройка на мрежовото оборудване за експортиране на потока

Настройката на NetFlow на оборудване от Cisco Systems може би може да се нарече съвсем обичайна работа за всеки мрежов администратор. За нашия пример ще вземем нещо по-необичайно. Например, рутер MikroTik RB2011UiAS-2HnD. Да, колкото и странно да звучи, това бюджетно решение за малки и домашни офиси също поддържа протоколи NetFlow v5/v9 и IPFIX. В настройките задаваме целта (адреса на колектора 192.168.78.198 и порт 2055):

И добавяме всички налични за експортиране метрики:

На това може да се каже, че основната настройка е завършена. Проверяваме дали трафикът постъпва в системата.

Стъпка 5. Проверка и експлоатация на модула Network Performance Monitoring and Diagnostics

Проверете наличието на трафик от източника в секцията Flowmon Monitoring Center -> Sources:

Виждаме, че данните постъпват в системата. След известно време, след като колекторът натрупа трафик, уиджетите ще започнат да показват информация:

Система е изградена на принципа drill down. Тоест, потребителят, избирайки интересния за него фрагмент на схемата или графиката, "проект" до нивото на дълбочина на данните, от които се нуждае:

Дори до информация за всяко мрежово свързване и свързване:

Стъпка 6. Модул за откриване на аномалии в безопасността

Този модул може да се нарече един от най-интересните, благодарение на използването на безсигнатурни методи за откриване на аномалии в мрежовия трафик и злонамерена мрежова активност. Но това не е аналог на IDS/IPS системи. Работата с модула започва с неговото "обучение". За това в специален асистент се посочват всички ключови компоненти и услуги на мрежата, включително:

• адреси на шлюзове, DNS, DHCP и NTP сървъри,
• адресация в сегменти на потребители и сървъри.

След това системата преминава в режим на обучение, който в средно продължава от 2 седмици до 1 месец. През това време системата формира baseline на трафика, характерен директно за нашата мрежа. Просто казано, системата изучава:

• какво поведение е характерно за възлите на мрежата?
• какви обеми данни обикновено се предават и са нормални за мрежата?
• какво е типичното време на работа за потребителите?
• какви приложения работят в мрежата?
• и много други...

В резултат получаваме инструмент, който идентифицира всякакви аномалии в нашата мрежа и отклонения от характерното поведение. Ето няколко примера, които системата позволява да открие:

• разпространение в мрежата на ново злонамерено ПО, което не се идентифицира от сигнатурите на антивирусите;
• изграждане на DNS, ICMP или други тунели и предаване на данни, заобикаляйки междусетевия екран;
• появата в мрежата на нов компютър, който се представя за DHCP и/или DNS сървър.

Нека видим как изглежда това на живо. След като вашата система премина обучение и изгради baseline на трафика в мрежата, тя започва да открива инциденти:

Началната страница на модула – времева графика с показване на откритите инциденти. В нашия пример виждаме очевиден ръст, около 9 и 16 часа. Изолациераме го и гледаме по-подробно.

Очевидно се проследява аномалното поведение на нападателя в мрежата. Всичко започва с факта, че хост с адрес 192.168.3.225 започна хоризонтално сканиране на мрежата по порт 3389 (услуга Microsoft RDP) и намира 14 потенциални "жертви":

и

Следващият регистриран инцидент – хост 192.168.3.225 стартира брутфорс атака за разбиване на пароли на RDP услуга (порт 3389) на предварително установените адреси:

В резултат на атаката на един от хакнатите хостове се регистрира SMTP аномалия. С други думи, започна разпространение на СПАМ:

Този пример е нагледна демонстрация на възможностите на системата и модула за засичане на аномалии, в частност. Оценете ефективността сами. С това приключваме функционалния обзор на решението.

Заключение

Резюмираме какви изводи за Flowmon можем да направим в крайна сметка:

• Flowmon – премиум решение за корпоративни клиенти;
• благодарение на универсалността и съвместимостта, събирането на данни е достъпно от всякакви източници: мрежово оборудване (Cisco, Juniper, HPE, Huawei…) или собствени сонди (Flowmon Probe);
• възможностите за мащабируемост на решението позволяват разширяване на функционалността на системата чрез добавяне на нови модули, както и повишаване на производителността благодарение на гъвкавия лицензиращ подход;
• чрез използването на технологии без сигнатурен анализ, системата позволява откриване дори на неизвестни на антивирусите и IDS/IPS системите атаки нулеви дни;
• благодарение на пълната „прозрачност“ по отношение на инсталацията и присъствието на системата в мрежата – решението не влияе на работата на другите възли и компоненти на Вашата ИТ инфраструктура;
• Flowmon – единственото решение на пазара, което поддържа мониторинг на трафика на скорости до 100 Гбит/с;
• Flowmon – решение за мрежи с всякакъв мащаб;
• най-добро съотношение цена / функционалност сред аналогични решения.

В този обзор разгледахме по-малко от 10% от общата функционалност на решението. В следващата статия ще ви разкажем за останалите модули на Flowmon Networks. Чрез примера на модула за мониторинг на производителността на приложенията ще покажем как администраторите на бизнес приложения могат да осигурят достъпност на зададеното ниво на SLA, както и да диагностицират проблемите максимално бързо.

Също така, искаме да ви поканим на нашия уебинар (10.09.2019), посветен на решенията на производителя Flowmon Networks. За предварителна регистрация молим вас да се регистрирате тук.
Това е всичко за момента, благодаря за вашия интерес!

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Използвате ли Netflow за мониторинг на мрежата?

• Да

• Не, но планирам

• Не

Гласували 9 потребители. Въздържали се 3 потребители.

Източник: habr.com