🥇Мрежов мониторинг и откриване на аномална мрежова активност с решенията на Flowmon Networks

В последно време в интернет може да се намери огромно количество материали по темата анализ на трафика на периметъра на мрежата. В същото време всички по някаква причина напълно забравиха за анализ на локалния трафик, който е не по-малко важен. Тази статия именно е посветена на тази тема. На примера на Flowmon Networks ще си припомним стария добър Netflow (и неговите алтернативи), ще разгледаме интересни случаи, възможни аномалии в мрежата и ще научим предимствата на решението, когато цялата мрежа работи като единен сензор. И най-важното - подобен анализ на локалния трафик може да се проведе напълно безплатно, в рамките на пробна лицензия (45 дни). Ако темата ви интересува, заповядайте под кат. Ако пък не ви се чете, можете да се регистрирате за предстоящия уебинар, където ще покажем и разкажем всичко (там също ще можете да разберете за предстоящото обучение по продукта).

Какво е Flowmon Networks?

На първо място, Flowmon е европейски ИТ-вендор. Компанията е чешка, с централа в град Брно (въпросът за санкциите дори не се повдига). В сегашния си вид компанията е на пазара от 2007 година. Преди това беше известна под бранда Invea-Tech. Така че общо на разработката на продукти и решения са отделени почти 20 години.

Flowmon се позиционира като клас A бранд. Разработва премиални решения за корпоративни клиенти и е отбелязан в квадратите на Gartner в насока Network Performance Monitoring and Diagnostics (NPMD). И е интересно, че от всички компании в доклада, Flowmon е единственият вендор, отбелязан от Gartner като производител на решения както за мрежов мониторинг, така и за защита на информацията (Network Behavior Analysis). Все още не заема първо място, но заради това и не струва колкото крилото на Боинг.

Какви задачи позволява да се решат продуктът?

Глобално, може да се отличи следният пул от задачи, решавани от продуктите на компанията:

повишаване на стабилността на работата на мрежата, както и на мрежовите ресурси чрез минимизиране на времето на простои и недостъпност;
повишаване на общото ниво на производителност на мрежата;
повишаване на ефективността на работата на администраторския персонал, чрез:
- използване на съвременни инструменти за иновационен мрежови мониторинг, основани на информация за IP потоците;
- осигуряване на детайлен анализ на функционирането и състоянието на мрежата – потребителите и приложенията, работещи в мрежата, предаваните данни, взаимодействията, ресурсите, услугите и възлите;
- реагиране на инциденти преди да се случат, а не след загуба на услуги от потребителите и клиентите;
- съкращаване на времето и ресурсите, необходими за администриране на мрежата и IT-инфраструктурата;
- оптимизиране на задачите за отстраняване на неизправности.
повишаване на нивото на защита на мрежата и информационните ресурси на предприятието, чрез използване на нестандартни технологии за откриване на аномална и злонамерена мрежова активност, както и на "нулеви атаки ден" (zero-day);
осигуряване на необходимото ниво на SLA за мрежови приложения и бази данни.

Продуктовото портфолио на Flowmon Networks

Сега да разгледаме самото портфолио на продуктите на Flowmon Networks и да разберем с какво точно се занимава компанията. Както много от вас вече са се досетили от името, основната специализация е в решенията за мониторинг на потока (flow) трафик, плюс редица допълнителни модули, разширяващи основната функционалност.

Всъщност, Flowmon може да се нарече компания с един продукт, или по-точно – с едно решение. Нека разберем дали това е добро или лошо.

Ядро на системата е колекторът, отговарящ за събиране на данни по всевъзможни протоколи на потока, каквито са NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX… Съвсем логично е, че за компания, която не е свързана с нито един от производителите на мрежово оборудване – е важно да предложи на пазара универсален продукт, който не е обвързан с определен стандарт или протокол.

Flowmon Collector

Колекторът се предлага както под формата на физически сървър, така и под формата на виртуална машина (VMware, Hyper-V, KVM). Между другото, хардуерната платформа е реализирана на персонализирани сървъри DELL, което автоматично решава голяма част от въпросите с гаранцията и RMA. Собствена хардуерна част са единствено FPGA платите за улавяне на трафика, разработени от дъщерната компания Flowmon, и позволяващи мониторинг на скорости до 100 Gbps.

Но какво да правим, ако на съществуващото мрежово оборудване няма възможност за генериране на качествен поток? Или ако натоварването на оборудването е прекалено високо? Няма проблем:

Flowmon Prob

В такъв случай Flowmon Networks предлага използването на собствените си зондове (Flowmon Probe), които се свързват към мрежата през SPAN порта на комутатора или с използване на пасивни TAP разклонители.

SPAN (mirror port) и TAP варианти на внедряване

В този случай «суровият» трафик, постъпващ на Flowmon Probe, се преобразува в разширен IPFIX, съдържащ над 240 метрики с информация. Докато в стандартния NetFlow протокол, генериран от мрежово оборудване, не съдържа повече от 80 метрики. Това позволява осигуряване на видимост на протоколите не само на 3 и 4 ниво, но и на 7 ниво по модела ISO OSI. В резултат, мрежовите администратори могат да следят функционирането на приложения и протоколи като e-mail, HTTP, DNS, SMB…

Концептуално, логическата архитектура на системата изглежда по следния начин:

Централната част на цялата «екосистема» Flowmon Networks е Колекторът, който получава трафик от съществуващо мрежово оборудване или собствени зондове (Probe). Но за Enterprise решение предоставянето на функционалност единствено за мониторинг на мрежовия трафик би било твърде просто. Това могат да правят и Open Source решения, макар и не с такава производителност. Ценността на Flowmon са допълнителните модули, които разширяват основната функционалност:

модул Anomaly Detection Security – откриване на аномална мрежова активност, включително атаки «нулев ден», на базата на хевристичен анализ на трафика и типичен мрежов профил;
модул Application Performance Monitoring – контрол на производителността на мрежовите приложения без инсталиране на «агенти» и без влияние върху целевите системи;
модул Traffic Recorder – запис на фрагменти от мрежовия трафик спрямо набор от предварително зададени правила или по триггер от модула ADS, за по-нататъшно отстраняване на проблеми и/или разследване на инциденти ИБ;
модул DDoS Protection – защита на периметъра на мрежата от волюметрични атаки за отказ в обслужването DoS/DDoS, включително атаки на приложения (OSI L3/L4/L7).

В рамките на тази статия ще разгледаме как всичко работи на живо на примера на 2 модула – Network Performance Monitoring and Diagnostics и Anomaly Detection Security.
Изходни данни:

сървър Lenovo RS 140 с хипервизор VMware 6.0;
образ на виртуална машина Flowmon Collector, който може да изтеглите тук;
пара комутатори с поддръжка на flow протоколи.

Стъпка 1. Инсталация на Flowmon Collector

Разгръщането на виртуална машина на VMware става напълно стандартно от OVF шаблон. В крайна сметка получаваме виртуална машина с операционна система CentOS и готово за работа софтуерно осигуряване. Изискванията към ресурсите са разумни:

Остава само да изпълним основната инициализация с командата sysconfig:

Настройваме IP на управляемия порт, DNS, време, Hostname и можем да се свържем с уеб интерфейса.

Стъпка 2. Инсталиране на лиценза

Пробен лиценз за полутора месеца се генерира и изтегля заедно с образа на виртуалната машина. Зарежда се през Configuration Center -> License. В крайна сметка виждаме:

Всичко е готово. Можем да започнем работа.

Стъпка 3. Настройване на приемника на колектора

На този етап трябва да определим как ще постъпват данни в системата от източниците. Както споменахме по-рано, това може да бъде един от flow протоколите или SPAN порт на комутатора.

В нашия пример ще използваме прием на данни по протоколите NetFlow v9 и IPFIX. В този случай, като таргет посочваме IP адреса на Управляващия интерфейс – 192.168.78.198. Интерфейсите eth2 и eth3 (с тип Monitoring interface) се използват за прием на копие от „суровия“ трафик от SPAN порта на комутатора. Тях ги пропускаме, не е нашият случай.
След това проверяваме порта на колектора, където трябва да постъпва трафикът.

В нашия случай колекторът очаква трафик на порта UDP/2055.

Стъпка 4. Настройване на мрежовото оборудване за експортиране на flow

Настройката на NetFlow на оборудването на Cisco Systems може да се нарече напълно обичайна работа за всеки мрежов администратор. За нашия пример ще вземем нещо по-необичайно. Например, маршрутизатор MikroTik RB2011UiAS-2HnD. Да, странно, но такова бюджетно решение за малки и домашни офиси също поддържа протоколите NetFlow v5/v9 и IPFIX. В настройките задаваме таргет (адреса на колектора 192.168.78.198 и порт 2055):

И добавяме всички налични метрики за експортиране:

На този етап можем да кажем, че основната настройка е завършена. Проверяваме дали трафикът постъпва в системата.

Стъпка 5. Проверка и експлоатация на модула за наблюдение и диагностика на мрежовото представяне

Може да проверите наличността на трафика от източника в раздела Flowmon Monitoring Center –> Sources:

Виждаме, че данните постъпват в системата. След известно време, след като колекторът събере трафик, уиджетите ще започнат да показват информация:

Системата е изградена по принципа drill down. Тоест, потребителят, избирайки интересуващия го фрагмент на схемата или графика, „провалива“ до нивото на дълбочина на данните, от които се нуждае:

Дори до информация за всяко мрежово свързване и свързване:

Стъпка 6. Модул за откриване на аномалии в сигурността

Този модул може да бъде наречен, без съмнение, един от най-интересните, благодарение на използването на безсигнатурни методи за откритие на аномалии в мрежовия трафик и злонамерената мрежова активност. Но това не е аналог на IDS/IPS системите. Работа с модула започва с неговото „обучение“. За това в специален wizard се посочват всички ключови компоненти и услуги на мрежата, включително:

адреси на шлюзове, DNS, DHCP и NTP сървъри,
адресация в сегменти на потребители и сървъри.

След това системата преминава в режим на обучение, който средно продължава от 2 седмици до 1 месец. През това време системата изгражда baseline на трафика, характерен именно за нашата мрежа. По-просто казано, системата изучава:

коe поведение е характерно за устройствата в мрежата?
какви обеми данни обикновено се предават и са нормални за мрежата?
колко време на работа е типично за потребителите?
какви приложения работят в мрежата?
и много други..

В крайна сметка получаваме инструмент, който открива всякакви аномалии в нашата мрежа и отклонения от характерното поведение. Ето няколко примера, които системата позволява да открие:

разпространение в мрежата на ново злонамерено ПО, което не може да бъде открито от антивирусните сигнатури;
изграждане на DNS, ICMP или други тунели и предаване на данни в обход на защитната стена;
появата в мрежата на нов компютър, който се представя за DHCP и/или DNS сървър.

Нека видим как изглежда на живо. След като вашата система е преминала обучение и е изградена baseline на трафика на мрежата, тя започва да открива инциденти:

Главната страница на модула – времева линия с показване на откритите инциденти. В нашия пример виждаме явен пик, приблизително между 9 и 16 часа. Изтъкваме го и поглеждаме по-подробно.

Ясно се наблюдава аномално поведение на нападателя в мрежата. Всичко започва с това, че хост с адрес 192.168.3.225 започва хоризонтално сканиране на мрежата по порт 3389 (услуга Microsoft RDP) и намира 14 потенциални „жертви“:

Следващият фиксиран инцидент – хост 192.168.3.225 започва атака с брутфорс, опитвайки пароли за услугата RDP (порт 3389) на преди това установените адреси:

В резултат на атаката на един от хакнатите хостове се регистрира SMTP аномалия. С други думи, започна разпространение на СПАМ:

Този пример е илюстрация на възможностите на системата и модула Anomaly Detection Security. Преценете сами за ефективността. С този функционален преглед на решението завършваме.

Заключение

Обобщаваме какви изводи за Flowmon можем да направим накрая:

Flowmon – решение от премиум клас за корпоративни клиенти;
благодарение на универсалността и съвместимостта, данните могат да се събират от всякакви източници: мрежово оборудване (Cisco, Juniper, HPE, Huawei…) или собствени сензори (Flowmon Probe);
възможностите за мащабируемост на решението позволяват добавяне на нови модули и повишаване на производителността чрез гъвкав подход при лицензиране;
благодарение на използването на технологии за безсигнатурен анализ, системата позволява откриване дори на неизвестни за антивируси и IDS/IPS системи нулеви атаки;
поради пълната „прозрачност“ на инсталацията и присъствието на системата в мрежата – решението не влияе на работата на други възли и компоненти на вашата IT инфраструктура;
Flowmon – единственото решение на пазара, поддържащо мониторинг на трафик с скорости до 100 Гбит/с;
Flowmon – решение за мрежи с всякакъв мащаб;
най-добро съотношение цена/функционалност сред аналогични решения.

В този преглед разгледахме по-малко от 10% от общата функционалност на решението. В следващата статия ще разкажем за останалите модули на Flowmon Networks. На примера на модула Application Performance Monitoring ще покажем как администраторите на бизнес приложения могат да осигурят наличност на зададено ниво на SLA, както и бързо да диагностицират проблеми.

Също така, искаме да ви поканим на нашия уебинар (10.09.2019), посветен на решенията на вендора Flowmon Networks. За предварителна регистрация, моля, регистрирайте се тук.
Това е засега, благодаря за интереса ви!

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.