একটি অভ্যন্তরীণ নেটওয়ার্কের নিরাপত্তা নিরীক্ষণের জন্য একটি টুল হিসাবে প্রবাহ প্রোটোকল

যখন এটি একটি অভ্যন্তরীণ কর্পোরেট বা বিভাগীয় নেটওয়ার্কের নিরাপত্তা নিরীক্ষণের কথা আসে, তখন অনেকেই এটিকে তথ্য ফাঁস নিয়ন্ত্রণ এবং DLP সমাধান বাস্তবায়নের সাথে যুক্ত করে। এবং যদি আপনি প্রশ্নটি পরিমার্জিত করার চেষ্টা করেন এবং জিজ্ঞাসা করেন যে আপনি কীভাবে অভ্যন্তরীণ নেটওয়ার্কে আক্রমণ সনাক্ত করেন, তাহলে উত্তরটি সাধারণত অনুপ্রবেশ সনাক্তকরণ সিস্টেমের (আইডিএস) উল্লেখ করা হবে। এবং 10-20 বছর আগে যা একমাত্র বিকল্প ছিল তা আজ একটি নৈরাজ্যবাদে পরিণত হচ্ছে। একটি আরো কার্যকরী, এবং কিছু জায়গায় অভ্যন্তরীণ নেটওয়ার্ক নিরীক্ষণের জন্য একমাত্র সম্ভাব্য বিকল্প রয়েছে - ফ্লো প্রোটোকল ব্যবহার করা, যা মূলত নেটওয়ার্ক সমস্যা (সমস্যা সমাধান) অনুসন্ধান করার জন্য ডিজাইন করা হয়েছিল, কিন্তু সময়ের সাথে সাথে এটি একটি খুব আকর্ষণীয় সুরক্ষা সরঞ্জামে রূপান্তরিত হয়েছে। এখানে আমরা ফ্লো প্রোটোকলগুলি কী এবং কোনটি নেটওয়ার্ক আক্রমণগুলিকে আরও ভালভাবে সনাক্ত করতে সহায়তা করে, যেখানে প্রবাহ পর্যবেক্ষণ কার্যকর করা সর্বোত্তম, এই জাতীয় স্কিম স্থাপন করার সময় কী সন্ধান করা উচিত এবং এমনকি ঘরোয়া সরঞ্জামগুলিতে কীভাবে এটি "বাড়ানো যায়" সে সম্পর্কে কথা বলব। , আমরা এই নিবন্ধের সুযোগের মধ্যে কথা বলব।

আমি "কেন আমাদের অভ্যন্তরীণ অবকাঠামোর নিরাপত্তা পর্যবেক্ষণ করতে হবে?" এর উত্তর সুস্পষ্ট ধরনের। কিন্তু, তবুও, আপনি যদি আবার নিশ্চিত করতে চান যে আজ আপনি এটি ছাড়া করতে পারবেন না, একবার দেখুন আপনি কীভাবে ফায়ারওয়াল দ্বারা সুরক্ষিত একটি কর্পোরেট নেটওয়ার্কে 17টি উপায়ে প্রবেশ করতে পারেন সে সম্পর্কে একটি গল্প সহ একটি ছোট ভিডিও৷ অতএব, আমরা অনুমান করব যে আমরা বুঝতে পারি যে অভ্যন্তরীণ পর্যবেক্ষণ একটি প্রয়োজনীয় জিনিস এবং এটি কীভাবে সংগঠিত করা যায় তা বোঝার জন্যই রয়ে গেছে।

আমি নেটওয়ার্ক স্তরে অবকাঠামো নিরীক্ষণের জন্য তিনটি মূল ডেটা উত্স একক করব:

• "কাঁচা" ট্র্যাফিক যা আমরা ক্যাপচার করি এবং কিছু বিশ্লেষণ সিস্টেমে বিশ্লেষণের জন্য জমা করি,
• নেটওয়ার্ক ডিভাইস থেকে ইভেন্ট যার মাধ্যমে ট্র্যাফিক যায়,
• ট্র্যাফিক তথ্য প্রবাহ প্রোটোকল এক মাধ্যমে প্রাপ্ত.

কাঁচা ট্র্যাফিক ক্যাপচার নিরাপত্তা লোকেদের মধ্যে সবচেয়ে জনপ্রিয় বিকল্প, কারণ এটি ঐতিহাসিকভাবে আবির্ভূত হয়েছিল এবং এটিই প্রথম। প্রচলিত নেটওয়ার্ক অনুপ্রবেশ সনাক্তকরণ সিস্টেম (প্রথম বাণিজ্যিক অনুপ্রবেশ সনাক্তকরণ সিস্টেমটি ছিল হুইল গ্রুপের নেটরেঞ্জার, সিসকো দ্বারা 1998 সালে কেনা) শুধুমাত্র প্যাকেটগুলি (এবং পরবর্তী সেশন) ক্যাপচারে নিযুক্ত ছিল যেখানে নির্দিষ্ট স্বাক্ষরগুলি অনুসন্ধান করা হয়েছিল ("নির্ধারক নিয়ম" FSTEC এর পরিভাষা), সংকেত আক্রমণ। অবশ্যই, আপনি শুধুমাত্র আইডিএস দিয়েই নয়, অন্যান্য সরঞ্জামগুলির সাথেও কাঁচা ট্র্যাফিক বিশ্লেষণ করতে পারেন (উদাহরণস্বরূপ, Wireshark, tcpdum, বা Cisco IOS-এ NBAR2 কার্যকারিতা), তবে তাদের সাধারণত জ্ঞানের অভাব নেই যা একটি তথ্য সুরক্ষা সরঞ্জাম থেকে আলাদা করে। নিয়মিত আইটি টুল।

সুতরাং, অনুপ্রবেশ সনাক্তকরণ সিস্টেম. নেটওয়ার্ক আক্রমণ সনাক্ত করার জন্য প্রাচীনতম এবং জনপ্রিয় পদ্ধতি, যা পরিধিতে একটি ভাল কাজ করে (যাই হোক না কেন - কর্পোরেট, ডেটা সেন্টার, সেগমেন্ট, ইত্যাদি), কিন্তু আধুনিক সুইচড এবং সফ্টওয়্যার-সংজ্ঞায়িত নেটওয়ার্কগুলিতে ব্যর্থ হয়৷ প্রচলিত সুইচের ভিত্তিতে নির্মিত নেটওয়ার্কের ক্ষেত্রে, অনুপ্রবেশ সনাক্তকরণ সেন্সরগুলির পরিকাঠামো খুব বড় হয়ে যায় - আপনাকে হোস্টের প্রতিটি সংযোগে একটি সেন্সর লাগাতে হবে যার বিরুদ্ধে আপনি আক্রমণগুলি নিরীক্ষণ করতে চান৷ যে কোনও প্রস্তুতকারক অবশ্যই আপনাকে শত শত এবং হাজার হাজার সেন্সর বিক্রি করতে পেরে খুশি হবে, তবে আমি মনে করি আপনার বাজেট এই জাতীয় ব্যয় সহ্য করতে পারে না। আমি বলতে পারি যে সিসকোতেও (এবং আমরা এনজিআইপিএসের বিকাশকারী) আমরা এটি করতে পারিনি, যদিও মনে হবে, দামের প্রশ্ন আমাদের সামনে রয়েছে। দাঁড়ানো উচিত নয় - এটি আমাদের নিজস্ব সিদ্ধান্ত। উপরন্তু, প্রশ্ন ওঠে, কিভাবে এই সংস্করণে সেন্সর সংযোগ করতে? একটি ফাঁক মধ্যে? যদি সেন্সর নিজেই ব্যর্থ হয়? সেন্সরে একটি বাইপাস মডিউল প্রয়োজন? স্প্লিটার (ট্যাপ) ব্যবহার করবেন? এই সব সমাধানের খরচ বাড়ায় এবং এটি যেকোন আকারের একটি কোম্পানির জন্য অসহনীয় করে তোলে।

আপনি SPAN/RSPAN/ERSPAN পোর্টে সেন্সরটিকে "হ্যাং" করার চেষ্টা করতে পারেন এবং প্রয়োজনীয় সুইচ পোর্ট থেকে এটিতে সরাসরি ট্র্যাফিক নিয়ে যেতে পারেন৷ এই বিকল্পটি পূর্ববর্তী অনুচ্ছেদে বর্ণিত সমস্যাটিকে আংশিকভাবে সরিয়ে দেয়, কিন্তু অন্য একটিকে তুলে ধরে - স্প্যান পোর্টটি একেবারে সমস্ত ট্র্যাফিক গ্রহণ করতে পারে না যা এটিতে পাঠানো হবে - এতে পর্যাপ্ত ব্যান্ডউইথ থাকবে না। কিছু ত্যাগ করতে ইচ্ছুক। হয় মনিটরিং ছাড়াই কিছু নোড ছেড়ে দিন (তারপর আপনাকে প্রথমে সেগুলিকে অগ্রাধিকার দিতে হবে), অথবা নোড থেকে সমস্ত ট্র্যাফিক পাঠান না, তবে শুধুমাত্র একটি নির্দিষ্ট প্রকার। যাই হোক না কেন, আমরা কিছু আক্রমণ মিস করতে পারি। এছাড়াও, অন্যান্য প্রয়োজনে স্প্যান পোর্ট দখল করা যেতে পারে। ফলস্বরূপ, আমাদের বিদ্যমান নেটওয়ার্ক টপোলজি পর্যালোচনা করতে হবে এবং সম্ভবত আপনার নেটওয়ার্ককে আপনার কাছে থাকা সেন্সরগুলির সংখ্যার সাথে সর্বাধিক কভার করার জন্য এটিতে সামঞ্জস্য করতে হবে (এবং এটি আইটি-এর সাথে সমন্বয় করতে হবে)।

যদি আপনার নেটওয়ার্ক অপ্রতিসম রুট ব্যবহার করে? এবং যদি আপনি বাস্তবায়ন বা SDN বাস্তবায়নের পরিকল্পনা আছে? কিন্তু আপনার যদি ভার্চুয়ালাইজড মেশিন বা কন্টেইনারগুলি নিরীক্ষণ করার প্রয়োজন হয় যার ট্র্যাফিক মোটেও শারীরিক সুইচে পৌঁছায় না? এগুলি এমন প্রশ্ন যা ঐতিহ্যবাহী আইডিএস বিক্রেতারা পছন্দ করেন না কারণ তারা তাদের উত্তর দিতে জানেন না। সম্ভবত তারা আপনাকে বোঝাবে যে এই সমস্ত ফ্যাশনেবল প্রযুক্তিগুলি হাইপ এবং আপনার এটির প্রয়োজন নেই। সম্ভবত তারা ছোট শুরু করার প্রয়োজনীয়তা সম্পর্কে কথা বলবে। অথবা হয়ত তারা বলবে যে আপনাকে নেটওয়ার্কের কেন্দ্রে একটি শক্তিশালী থ্রেসার রাখতে হবে এবং লোড ব্যালেন্সার ব্যবহার করে সমস্ত ট্র্যাফিককে এটিতে নির্দেশ করতে হবে। আপনাকে যে বিকল্পের প্রস্তাব দেওয়া হোক না কেন, আপনাকে নিজেই স্পষ্টভাবে বুঝতে হবে যে এটি আপনার জন্য কীভাবে উপযুক্ত। এবং তার পরেই নেটওয়ার্ক অবকাঠামোর তথ্য সুরক্ষা পর্যবেক্ষণ করার পদ্ধতির পছন্দ সম্পর্কে সিদ্ধান্ত নিন। প্যাকেট ক্যাপচারে ফিরে, আমি বলতে চাই যে এই পদ্ধতিটি খুব জনপ্রিয় এবং গুরুত্বপূর্ণ, তবে এর প্রধান উদ্দেশ্য হল সীমান্ত নিয়ন্ত্রণ; আপনার প্রতিষ্ঠান এবং ইন্টারনেটের মধ্যে সীমানা, ডেটা সেন্টার এবং বাকি নেটওয়ার্কের মধ্যে সীমানা, প্রক্রিয়া নিয়ন্ত্রণ ব্যবস্থা এবং কর্পোরেট বিভাগের মধ্যে সীমানা। এই জায়গাগুলিতে, ক্লাসিক আইডিএস/আইপিএসের এখনও বিদ্যমান থাকার এবং তাদের কাজগুলির সাথে একটি ভাল কাজ করার অধিকার রয়েছে।

চলুন দ্বিতীয় বিকল্পে চলে যাই। নেটওয়ার্ক ডিভাইস থেকে আগত ইভেন্টগুলির বিশ্লেষণ অনুপ্রবেশ সনাক্তকরণের উদ্দেশ্যেও ব্যবহার করা যেতে পারে, তবে মূল প্রক্রিয়া হিসাবে নয়, কারণ এটি শুধুমাত্র একটি ছোট শ্রেণীর অনুপ্রবেশ সনাক্ত করে। উপরন্তু, কিছু প্রতিক্রিয়া এটি অন্তর্নিহিত - একটি আক্রমণ প্রথমে ঘটতে হবে, তারপর এটি একটি নেটওয়ার্ক ডিভাইস দ্বারা স্থির করা আবশ্যক, যা একটি উপায় বা অন্য তথ্য নিরাপত্তার সাথে একটি সমস্যা সংকেত করবে। এরকম বেশ কিছু পদ্ধতি আছে। এটি syslog, RMON বা SNMP হতে পারে। তথ্য সুরক্ষার প্রেক্ষাপটে নেটওয়ার্ক পর্যবেক্ষণের জন্য শেষ দুটি প্রোটোকল শুধুমাত্র তখনই ব্যবহার করা হয় যখন আমাদের নেটওয়ার্ক সরঞ্জামগুলিতে একটি DoS আক্রমণ সনাক্ত করতে হয়, যেহেতু RMON এবং SNMP ব্যবহার করে আপনি, উদাহরণস্বরূপ, ডিভাইসের কেন্দ্রীয় প্রসেসরের লোড নিরীক্ষণ করতে পারেন বা এর ইন্টারফেস। এটি একটি "সস্তা" (প্রত্যেকেরই সিসলগ বা এসএনএমপি রয়েছে), তবে অভ্যন্তরীণ অবকাঠামোর তথ্য সুরক্ষা নিরীক্ষণের সমস্ত উপায়গুলির মধ্যেও এটি সবচেয়ে অদক্ষ - অনেক আক্রমণ কেবল এটি থেকে লুকানো থাকে। অবশ্যই, এগুলিকে অবহেলা করা উচিত নয়, এবং একই syslog বিশ্লেষণ আপনাকে ডিভাইসের কনফিগারেশনের পরিবর্তনগুলিকে একটি সময়মত পদ্ধতিতে সনাক্ত করতে সাহায্য করে, এটির সাথে আপস করে, তবে এটি পুরো নেটওয়ার্কে আক্রমণ সনাক্ত করার জন্য খুব উপযুক্ত নয়।

তৃতীয় বিকল্পটি হল বিভিন্ন ফ্লো প্রোটোকলের একটিকে সমর্থন করে এমন একটি ডিভাইসের মধ্য দিয়ে যাওয়া ট্রাফিক সম্পর্কে তথ্য বিশ্লেষণ করা। এই ক্ষেত্রে, প্রোটোকল নির্বিশেষে, স্ট্রিমিং অবকাঠামো অগত্যা তিনটি উপাদান নিয়ে গঠিত:

• প্রজন্ম বা রপ্তানি প্রবাহ। এই ভূমিকাটি সাধারণত একটি রাউটার, সুইচ বা অন্যান্য নেটওয়ার্ক ডিভাইসে বরাদ্দ করা হয়, যা, নেটওয়ার্ক ট্র্যাফিককে নিজের মাধ্যমে পাস করে, আপনাকে এটি থেকে কী প্যারামিটারগুলি বের করতে দেয়, যা পরে সংগ্রহ মডিউলে প্রেরণ করা হয়। উদাহরণস্বরূপ, সিসকোর নেটফ্লো প্রোটোকল শুধুমাত্র রাউটার এবং সুইচগুলিতেই সমর্থিত নয়, ভার্চুয়াল এবং ইন্ডাস্ট্রিয়াল উভয়ই সহ, বরং বেতার কন্ট্রোলার, ফায়ারওয়াল এবং এমনকি সার্ভারেও।
• সংগ্রহ প্রবাহ। একটি আধুনিক নেটওয়ার্কে সাধারণত একাধিক নেটওয়ার্ক ডিভাইস থাকে তা বিবেচনা করে, স্ট্রীম সংগ্রহ এবং একত্রীকরণের সমস্যা দেখা দেয়, যা তথাকথিত সংগ্রাহকদের সাহায্যে সমাধান করা হয় যা প্রাপ্ত স্ট্রীমগুলি প্রক্রিয়া করে এবং তারপরে বিশ্লেষণের জন্য প্রেরণ করে।
• প্রবাহ বিশ্লেষণ। বিশ্লেষক প্রধান বুদ্ধিবৃত্তিক কাজটি গ্রহণ করে এবং স্ট্রীমগুলিতে বিভিন্ন অ্যালগরিদম প্রয়োগ করে নির্দিষ্ট সিদ্ধান্তে আঁকেন। উদাহরণস্বরূপ, একটি আইটি ফাংশনের মধ্যে, এই জাতীয় বিশ্লেষক নেটওয়ার্কের বাধাগুলি সনাক্ত করতে পারে বা নেটওয়ার্কটিকে আরও অপ্টিমাইজ করতে ট্র্যাফিক লোড প্রোফাইল বিশ্লেষণ করতে পারে। এবং তথ্য সুরক্ষার জন্য, এই জাতীয় বিশ্লেষক ডেটা ফাঁস, দূষিত কোডের বিস্তার বা DoS আক্রমণ সনাক্ত করতে পারে।

মনে করবেন না যে এই জাতীয় তিন-স্তরের আর্কিটেকচার খুব জটিল - অন্যান্য সমস্ত বিকল্প (নেটওয়ার্ক মনিটরিং সিস্টেমগুলির সম্ভাব্য ব্যতিক্রম যা SNMP এবং RMON এর সাথে কাজ করে) এছাড়াও এটি অনুসারে কাজ করে। বিশ্লেষণের জন্য আমাদের কাছে একটি ডেটা জেনারেটর রয়েছে, যা একটি নেটওয়ার্ক ডিভাইস বা একটি স্বতন্ত্র সেন্সর। আমাদের একটি অ্যালার্ম সংগ্রহের ব্যবস্থা রয়েছে এবং আমাদের সম্পূর্ণ পর্যবেক্ষণ পরিকাঠামোর জন্য একটি ব্যবস্থাপনা ব্যবস্থা রয়েছে। শেষ দুটি উপাদান একটি একক নোডের মধ্যে একত্রিত করা যেতে পারে, তবে কমবেশি বড় নেটওয়ার্কগুলিতে তারা সাধারণত দুটিতে বিস্তৃত থাকে, সর্বনিম্নভাবে, স্কেলেবিলিটি এবং নির্ভরযোগ্যতা নিশ্চিত করার জন্য ডিভাইসগুলি।

প্যাকেট বিশ্লেষণের বিপরীতে, যা প্রতিটি প্যাকেটের শিরোনাম এবং ডেটা বডি এবং সেগুলি নিয়ে গঠিত সেশনের উপর ভিত্তি করে তৈরি করা হয়, প্রবাহ বিশ্লেষণ নেটওয়ার্ক ট্র্যাফিক সম্পর্কে মেটাডেটা সংগ্রহের উপর নির্ভর করে। কখন, কতটা, কোথা থেকে এবং কোথা থেকে, কিভাবে... এই প্রশ্নগুলো নেটওয়ার্ক টেলিমেট্রি বিশ্লেষণ বিভিন্ন ফ্লো প্রোটোকল ব্যবহার করে উত্তর দেয়। প্রাথমিকভাবে, তারা পরিসংখ্যান বিশ্লেষণ এবং নেটওয়ার্কে আইটি সমস্যাগুলি অনুসন্ধান করতে ব্যবহার করা হয়েছিল, তবে তারপরে, বিশ্লেষণাত্মক প্রক্রিয়াগুলির বিকাশের সাথে সাথে, নিরাপত্তার উদ্দেশ্যে একই টেলিমেট্রিতে সেগুলি প্রয়োগ করা সম্ভব হয়েছিল। এখানে এটা পুনর্ব্যক্ত করা উচিত যে প্রবাহ বিশ্লেষণ প্যাকেট ক্যাপচার প্রতিস্থাপন বা প্রতিস্থাপন করে না। এই পদ্ধতিগুলির প্রত্যেকটির নিজস্ব সুযোগ রয়েছে। কিন্তু এই নিবন্ধের পরিপ্রেক্ষিতে, এটি প্রবাহ বিশ্লেষণ যা অভ্যন্তরীণ অবকাঠামো নিরীক্ষণের জন্য সবচেয়ে উপযুক্ত। আপনার কাছে নেটওয়ার্ক ডিভাইস রয়েছে (সেগুলি সফ্টওয়্যার-সংজ্ঞায়িত দৃষ্টান্তে বা স্ট্যাটিক নিয়ম অনুসারে কাজ করে) যা আক্রমণ বাইপাস করতে পারে না। এটি ক্লাসিক আইডিএস সেন্সরকে বাইপাস করতে পারে, তবে ফ্লো প্রোটোকল সমর্থন করে এমন একটি নেটওয়ার্ক ডিভাইস নয়। এটি এই পদ্ধতির সুবিধা।

অন্যদিকে, আপনার যদি আইন প্রয়োগকারী বা আপনার নিজের ঘটনা তদন্ত দলের জন্য একটি প্রমাণ ভিত্তির প্রয়োজন হয়, আপনি প্যাকেট ক্যাপচার ছাড়া করতে পারবেন না - নেটওয়ার্ক টেলিমেট্রি ট্র্যাফিকের একটি অনুলিপি নয় যা প্রমাণ সংগ্রহ করতে ব্যবহার করা যেতে পারে; তথ্য নিরাপত্তার ক্ষেত্রে দ্রুত সনাক্তকরণ এবং সিদ্ধান্ত গ্রহণের জন্য এটি প্রয়োজন। অন্যদিকে, টেলিমেট্রি বিশ্লেষণ ব্যবহার করে, আপনি সমস্ত নেটওয়ার্ক ট্র্যাফিককে "লিখতে" পারবেন না (যদি কিছু থাকে, সিসকো ডেটা সেন্টারে জড়িত থাকে :-), তবে শুধুমাত্র আক্রমণের সাথে জড়িত। এই বিষয়ে টেলিমেট্রি বিশ্লেষণের সরঞ্জামগুলি ঐতিহ্যগত প্যাকেট ক্যাপচার প্রক্রিয়াগুলিকে ভালভাবে পরিপূরক করবে, নির্বাচনী ক্যাপচার এবং স্টোরেজের জন্য একটি নির্দেশ দেবে। অন্যথায়, আপনার কাছে একটি বিশাল স্টোরেজ অবকাঠামো থাকতে হবে।

250 Mbps গতিতে চলমান একটি নেটওয়ার্ক কল্পনা করুন। আপনি যদি এই সমস্ত ভলিউম সংরক্ষণ করতে চান, তাহলে আপনার ট্রাফিক স্থানান্তরের এক সেকেন্ডের জন্য 31 এমবি স্টোরেজ, এক মিনিটের জন্য 1,8 জিবি, এক ঘণ্টার জন্য 108 জিবি এবং একদিনের জন্য 2,6 টিবি স্টোরেজ প্রয়োজন। 10 Gb/s ব্যান্ডউইথ সহ একটি নেটওয়ার্ক থেকে দৈনিক ডেটা সঞ্চয় করতে, আপনার 108 TB স্টোরেজ প্রয়োজন হবে। কিন্তু কিছু নিয়ন্ত্রকদের জন্য আপনাকে বছরের পর বছর ধরে নিরাপত্তা ডেটা সঞ্চয় করতে হবে... অন-ডিমান্ড রেকর্ডিং যে প্রবাহ বিশ্লেষণ আপনাকে এই মানগুলি কমাতে সাহায্য করে ম্যাগনিটিউডের অর্ডারগুলি৷ যাইহোক, যদি আমরা নেটওয়ার্ক টেলিমেট্রির রেকর্ড করা ডেটার ভলিউম এবং সম্পূর্ণ ডেটা ক্যাপচারের অনুপাত সম্পর্কে কথা বলি, তবে এটি প্রায় 1 থেকে 500। উপরে দেওয়া একই মানগুলির জন্য, একটি সম্পূর্ণ ডিক্রিপশনের স্টোরেজ সমস্ত দৈনিক ট্র্যাফিক যথাক্রমে 5 এবং 216 জিবি হবে (আপনি একটি নিয়মিত ফ্ল্যাশ ড্রাইভে লিখতে পারেন)।

যদি বিশ্লেষণের সরঞ্জামগুলির জন্য কাঁচা নেটওয়ার্ক ডেটা ক্যাপচার করার পদ্ধতিটি বিক্রেতা থেকে বিক্রেতার কাছে প্রায় একই হয়, তবে স্ট্রিম বিশ্লেষণের ক্ষেত্রে, পরিস্থিতি ভিন্ন। ফ্লো প্রোটোকলের বিভিন্ন রূপ রয়েছে, নিরাপত্তার প্রসঙ্গে আপনাকে যে পার্থক্যগুলি জানতে হবে। সর্বাধিক জনপ্রিয় হল সিসকো দ্বারা তৈরি নেটফ্লো প্রোটোকল। এই প্রোটোকলের বেশ কয়েকটি সংস্করণ রয়েছে যা তাদের ক্ষমতা এবং ট্র্যাফিক সম্পর্কে রেকর্ড করা তথ্যের পরিমাণের মধ্যে পৃথক। বর্তমান সংস্করণটি নবম (Netflow v9), যেখান থেকে শিল্পের মান নেটফ্লো v10, যা IPFIX নামেও পরিচিত, তৈরি করা হয়েছিল। আজ, বেশিরভাগ নেটওয়ার্ক বিক্রেতারা তাদের সরঞ্জামগুলিতে Netflow বা IPFIX সমর্থন করে। কিন্তু ফ্লো প্রোটোকলের অন্যান্য বিভিন্ন রূপ রয়েছে - sFlow, jFlow, cFlow, rFlow, NetStream, ইত্যাদি, যার মধ্যে sFlow সবচেয়ে জনপ্রিয়। তিনিই প্রায়শই বাস্তবায়নের সহজতার কারণে নেটওয়ার্ক সরঞ্জামগুলির গার্হস্থ্য নির্মাতাদের দ্বারা সমর্থিত। ডি ফ্যাক্টো স্ট্যান্ডার্ড হিসাবে Netflow এবং একই sFlow-এর মধ্যে মূল পার্থক্যগুলি কী কী? আমি কয়েকটি কী হাইলাইট করব। প্রথমত, sFlow-এ স্থির ক্ষেত্রগুলির বিপরীতে Netflow-এর ব্যবহারকারী-কনফিগারযোগ্য ক্ষেত্র রয়েছে। এবং দ্বিতীয়ত, এবং এটি আমাদের ক্ষেত্রে সবচেয়ে গুরুত্বপূর্ণ বিষয়, sFlow তথাকথিত নমুনাযুক্ত টেলিমেট্রি সংগ্রহ করে; নমুনাবিহীন Netflow এবং IPFIX এর বিপরীতে। তাদের মধ্যে পার্থক্য কী?

কল্পনা করুন যে আপনি বইটি পড়ার সিদ্ধান্ত নিয়েছেন "সিকিউরিটি অপারেশন সেন্টার: আপনার এসওসি তৈরি করা, পরিচালনা করা এবং রক্ষণাবেক্ষণ করা” আমার সহকর্মী গ্যারি ম্যাকইনটায়ার, জোসেফ মুনিৎজ এবং নাদেম আলফারদান (আপনি লিঙ্ক থেকে বইটির কিছু অংশ ডাউনলোড করতে পারেন)। আপনার লক্ষ্য অর্জনের জন্য আপনার কাছে তিনটি বিকল্প রয়েছে - বইটি সম্পূর্ণভাবে পড়ুন, এটির মধ্য দিয়ে যান, প্রতি 10 তম বা 20 তম পৃষ্ঠায় থামুন, অথবা একটি ব্লগ বা SmartReading-এর মতো পরিষেবাতে মূল ধারণাগুলির পুনরুক্তি খুঁজে বের করার চেষ্টা করুন৷ সুতরাং, অ-নমুনাযুক্ত টেলিমেট্রি হল নেটওয়ার্ক ট্র্যাফিকের প্রতিটি "পৃষ্ঠা" পড়া, অর্থাৎ প্রতিটি প্যাকেটের জন্য মেটাডেটা বিশ্লেষণ। নমুনা টেলিমেট্রি হল ট্রাফিকের একটি নির্বাচনী অধ্যয়ন এই আশায় যে নির্বাচিত নমুনাগুলি আপনার যা প্রয়োজন তা হবে৷ চ্যানেলের গতির উপর নির্ভর করে, নমুনাকৃত টেলিমেট্রি বিশ্লেষণের জন্য প্রতি 64, 200, 500, 1000, 2000 বা এমনকি 10000 তম প্যাকেট পাঠাবে।

তথ্য নিরাপত্তা পর্যবেক্ষণের প্রেক্ষাপটে, এর অর্থ হল নমুনাযুক্ত টেলিমেট্রি DDoS আক্রমণ সনাক্তকরণ, স্ক্যানিং, দূষিত কোড ছড়িয়ে দেওয়ার জন্য উপযুক্ত, তবে এটি পারমাণবিক বা মাল্টি-প্যাকেট আক্রমণগুলি মিস করতে পারে যা বিশ্লেষণের জন্য পাঠানো নমুনায় অন্তর্ভুক্ত নয়। Unswept telemetry এর সাথেও তেমন কোন ত্রুটি নেই। শনাক্ত করা আক্রমণের পরিসর ব্যবহার করা অনেক বিস্তৃত। এখানে ইভেন্টগুলির একটি ছোট তালিকা রয়েছে যা নেটওয়ার্ক টেলিমেট্রি বিশ্লেষণ সরঞ্জাম ব্যবহার করে সনাক্ত করা যেতে পারে।

অবশ্যই, কিছু ওপেন সোর্স নেটফ্লো বিশ্লেষক আপনাকে এটি করার অনুমতি দেবে না, যেহেতু এর প্রধান কাজ হল টেলিমেট্রি সংগ্রহ করা এবং এটির একটি আইটি দৃষ্টিকোণ থেকে মৌলিক বিশ্লেষণ করা। প্রবাহের উপর ভিত্তি করে IS হুমকি শনাক্ত করতে, বিশ্লেষককে বিভিন্ন ইঞ্জিন এবং অ্যালগরিদম দিয়ে সজ্জিত করা প্রয়োজন, যা স্ট্যান্ডার্ড বা কাস্টম নেটফ্লো ক্ষেত্রগুলির উপর ভিত্তি করে সাইবার নিরাপত্তা সমস্যা চিহ্নিত করবে, বিভিন্ন হুমকি গোয়েন্দা উত্স থেকে বাহ্যিক ডেটা সহ স্ট্যান্ডার্ড ডেটা সমৃদ্ধ করবে ইত্যাদি।

অতএব, আপনার যদি একটি পছন্দ থাকে, তাহলে Netflow বা IPFIX এ এটি বন্ধ করুন। কিন্তু এমনকি যদি আপনার সরঞ্জাম শুধুমাত্র sFlow-এর সাথে কাজ করে, যেমন গার্হস্থ্য নির্মাতারা, তাহলেও এই ক্ষেত্রেও আপনি নিরাপত্তা প্রসঙ্গে এটি থেকে উপকৃত হতে পারেন।

2019 সালের গ্রীষ্মে, আমি রাশিয়ান নেটওয়ার্ক আয়রন নির্মাতাদের সুযোগগুলি বিশ্লেষণ করেছি এবং NSG, পলিগন এবং ক্রাফ্টওয়ে বাদ দিয়ে তাদের সকলেই sFlow (অন্তত Zelaks, Natex, Eltex, QTech, Rusteletech) সমর্থন করার ঘোষণা দিয়েছে।

পরবর্তী প্রশ্ন যা আপনার সামনে উঠবে তা হল নিরাপত্তার উদ্দেশ্যে প্রবাহ সমর্থন কোথায় প্রয়োগ করতে হবে? আসলে, প্রশ্নটি একেবারে সঠিকভাবে করা হয়নি। আধুনিক সরঞ্জামগুলিতে, প্রবাহ প্রোটোকলগুলি প্রায় সর্বদা সমর্থিত হয়। অতএব, আমি প্রশ্নটিকে ভিন্নভাবে সংস্কার করব - নিরাপত্তার দৃষ্টিকোণ থেকে টেলিমেট্রি সংগ্রহের সবচেয়ে কার্যকর উপায় কোথায়? উত্তরটি বেশ সুস্পষ্ট হবে - অ্যাক্সেস লেভেলে, যেখানে আপনি সমস্ত ট্রাফিকের 100% দেখতে পাবেন, যেখানে আপনার কাছে হোস্ট (MAC, VLAN, ইন্টারফেস আইডি) সম্পর্কে বিস্তারিত তথ্য থাকবে, যেখানে আপনি হোস্টগুলির মধ্যে এমনকি P2P ট্র্যাফিক ট্র্যাক করতে পারবেন, যা স্ক্যানিং সনাক্তকরণ এবং ক্ষতিকারক কোড বিতরণের জন্য গুরুত্বপূর্ণ। মূল স্তরে, আপনি কেবল কিছু ট্র্যাফিক দেখতে পাবেন না, তবে ঘের স্তরে আপনার নেটওয়ার্ক ট্র্যাফিকের এক চতুর্থাংশ হলে আপনি ভালভাবে দেখতে পাবেন। তবে যদি কোনও কারণে আপনার নেটওয়ার্কে বহিরাগত ডিভাইস থাকে যা আক্রমণকারীদের ঘের বাইপাস করে "প্রবেশ এবং প্রস্থান" করতে দেয়, তবে এটি থেকে টেলিমেট্রি বিশ্লেষণ করা আপনাকে কিছুই দেবে না। অতএব, সর্বাধিক কভারেজের জন্য, অ্যাক্সেস স্তরে টেলিমেট্রি সংগ্রহ সক্ষম করার সুপারিশ করা হয়। একই সময়ে, এটি লক্ষণীয় যে এমনকি যদি আমরা ভার্চুয়ালাইজেশন বা ধারক সম্পর্কে কথা বলি, আধুনিক ভার্চুয়াল সুইচগুলি প্রায়শই প্রবাহকে সমর্থন করে, যা আপনাকে সেখানে ট্র্যাফিক নিয়ন্ত্রণ করতে দেয়।

কিন্তু যেহেতু আমি বিষয়টি উত্থাপন করেছি, তখন আমাকে এই প্রশ্নের উত্তর দিতে হবে, যদি সর্বোপরি, সরঞ্জাম, শারীরিক বা ভার্চুয়াল, প্রবাহ প্রোটোকল সমর্থন না করে? অথবা এর অন্তর্ভুক্তি কি নিষিদ্ধ (উদাহরণস্বরূপ, নির্ভরযোগ্যতা নিশ্চিত করার জন্য শিল্প বিভাগে)? অথবা এটি চালু করার ফলে কি উচ্চ CPU ব্যবহার হয় (এটি পুরানো হার্ডওয়্যারে ঘটে)? এই সমস্যাটি সমাধানের জন্য, বিশেষ ভার্চুয়াল সেন্সর (ফ্লো সেন্সর) রয়েছে, যা মূলত সাধারণ স্প্লিটার যা নিজেদের মাধ্যমে ট্র্যাফিক পাস করে এবং সংগ্রহ মডিউলে প্রবাহের আকারে এটি সম্প্রচার করে। সত্য, এই ক্ষেত্রে আমরা প্যাকেট ক্যাপচার সরঞ্জামগুলির সাথে সম্পর্কিত যে সমস্ত সমস্যার কথা উপরে বলেছি তার পুরো স্তূপ পাই। অর্থাৎ, প্রবাহ বিশ্লেষণ প্রযুক্তির সুবিধাগুলিই নয়, এর সীমাবদ্ধতাগুলিও বোঝা দরকার।

প্রবাহ বিশ্লেষণ সরঞ্জাম সম্পর্কে কথা বলার সময় আরও একটি পয়েন্ট যা মনে রাখা গুরুত্বপূর্ণ। আমরা যদি নিরাপত্তা ইভেন্ট তৈরির স্বাভাবিক উপায়ের সাথে সম্পর্কিত EPS (প্রতি সেকেন্ডে ইভেন্ট, প্রতি সেকেন্ডের ঘটনা) মেট্রিক প্রয়োগ করি, তাহলে এই সূচকটি টেলিমেট্রি বিশ্লেষণের ক্ষেত্রে প্রযোজ্য নয়; এটি FPS দ্বারা প্রতিস্থাপিত হয় (প্রবাহ প্রতি সেকেন্ড, প্রবাহ প্রতি সেকেন্ড)। ইপিএসের ক্ষেত্রে, এটি আগে থেকে গণনা করা যায় না, তবে একটি নির্দিষ্ট ডিভাইস তার কাজের উপর নির্ভর করে আনুমানিক কতগুলি থ্রেড তৈরি করে তা অনুমান করা সম্ভব। ইন্টারনেটে, আপনি বিভিন্ন ধরণের এন্টারপ্রাইজ ডিভাইস এবং শর্তগুলির জন্য আনুমানিক মান সহ সারণীগুলি খুঁজে পেতে পারেন, যা আপনাকে বিশ্লেষণের সরঞ্জামগুলির জন্য কী ধরণের লাইসেন্স প্রয়োজন এবং তাদের স্থাপত্য কী হবে তা অনুমান করতে দেয়? আসল বিষয়টি হ'ল আইডিএস সেন্সরটি একটি নির্দিষ্ট ব্যান্ডউইথের মধ্যে সীমাবদ্ধ, যা এটি "টান আউট" করবে এবং প্রবাহ সংগ্রাহকের নিজস্ব সীমাবদ্ধতা রয়েছে যা অবশ্যই বোঝা উচিত। অতএব, বৃহৎ, ভৌগলিকভাবে বিতরণ করা নেটওয়ার্কগুলিতে, সাধারণত বেশ কয়েকটি সংগ্রাহক থাকে। যখন আমি বর্ণনা করেছি কিভাবে নেটওয়ার্ক সিসকো ভিতরে নিরীক্ষণ করা হয়, আমি ইতিমধ্যে আমাদের সংগ্রাহকদের সংখ্যা দিয়েছি - তাদের মধ্যে 21 জন রয়েছে। এবং এটি পাঁচটি মহাদেশে ছড়িয়ে ছিটিয়ে থাকা নেটওয়ার্কের জন্য এবং প্রায় অর্ধ মিলিয়ন সক্রিয় ডিভাইসের সংখ্যা)।

আমরা একটি Netflow মনিটরিং সিস্টেম হিসাবে আমাদের নিজস্ব সমাধান ব্যবহার করি সিসকো স্টিলথ ওয়াচ, যা বিশেষভাবে নিরাপত্তা সমস্যা সমাধানের উপর দৃষ্টি নিবদ্ধ করে। অস্বাভাবিক, সন্দেহজনক এবং স্পষ্টতই দূষিত কার্যকলাপ সনাক্ত করার জন্য এটিতে অনেকগুলি অন্তর্নির্মিত ইঞ্জিন রয়েছে, যা আপনাকে বিস্তৃত বিভিন্ন হুমকি সনাক্ত করতে দেয় - ক্রিপ্টোমিনিং থেকে তথ্য ফাঁস, দূষিত কোড বিতরণ থেকে জালিয়াতি পর্যন্ত। বেশিরভাগ প্রবাহ বিশ্লেষকদের মতো, স্টিলথওয়াচ একটি তিন-স্তরের স্কিমের (জেনারেটর - সংগ্রাহক - বিশ্লেষক) উপর নির্মিত, তবে এটি বেশ কয়েকটি আকর্ষণীয় বৈশিষ্ট্যের সাথে সম্পূরক যা বিবেচনাধীন উপাদানের প্রসঙ্গে গুরুত্বপূর্ণ। প্রথমত, এটি প্যাকেট ক্যাপচার সলিউশন (যেমন সিসকো সিকিউরিটি প্যাকেট বিশ্লেষক) এর সাথে সংহত করে, যা আপনাকে পরবর্তীতে গভীর তদন্ত এবং বিশ্লেষণের জন্য নির্বাচিত নেটওয়ার্ক সেশন রেকর্ড করতে দেয়। দ্বিতীয়ত, বিশেষত নিরাপত্তার কাজগুলিকে প্রসারিত করার জন্য, আমরা একটি বিশেষ nvzFlow প্রোটোকল তৈরি করেছি যা আপনাকে টেলিমেট্রিতে শেষ নোডগুলিতে (সার্ভার, ওয়ার্কস্টেশন ইত্যাদি) অ্যাপ্লিকেশন কার্যকলাপকে "সম্প্রচার" করতে দেয় এবং আরও বিশ্লেষণের জন্য এটি একটি সংগ্রাহকের কাছে স্থানান্তর করতে দেয়৷ যদি এর আসল সংস্করণে Stealthwatch নেটওয়ার্ক স্তরে যেকোনো ফ্লো প্রোটোকলের (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) সাথে কাজ করে, তাহলে nvzFlow সমর্থন নোড স্তরেও ডেটাকে সম্পর্কযুক্ত করার অনুমতি দেয়। সামগ্রিক সিস্টেমের দক্ষতা উন্নত করা এবং প্রচলিত নেটওয়ার্ক প্রবাহ বিশ্লেষকদের চেয়ে বেশি আক্রমণ দেখা।

এটা স্পষ্ট যে নিরাপত্তার দৃষ্টিকোণ থেকে Netflow বিশ্লেষণ সিস্টেম সম্পর্কে কথা বলার সময়, বাজার সিসকো থেকে একটি একক সমাধানে সীমাবদ্ধ নয়। আপনি বাণিজ্যিক এবং বিনামূল্যে বা শেয়ারওয়্যার সমাধান উভয়ই ব্যবহার করতে পারেন। আমি যদি Cisco ব্লগে প্রতিযোগীদের সমাধান উদ্ধৃত করি তবে এটি বেশ অদ্ভুত, তাই আমি দুটি জনপ্রিয়, নামে একই রকম, কিন্তু এখনও ভিন্ন টুল - SiLK এবং ELK ব্যবহার করে নেটওয়ার্ক টেলিমেট্রি কীভাবে বিশ্লেষণ করা যায় সে সম্পর্কে কয়েকটি শব্দ বলব।

SiLK হল আমেরিকান CERT/CC দ্বারা তৈরি ট্রাফিক বিশ্লেষণের জন্য (ইন্টারনেট-স্তরের জ্ঞানের জন্য সিস্টেম) সরঞ্জামগুলির একটি সেট এবং যা আজকের নিবন্ধের পরিপ্রেক্ষিতে, Netflow (5ম এবং 9ম, সবচেয়ে জনপ্রিয় সংস্করণ), IPFIX এবং সমর্থন করে। sFlow এবং বিভিন্ন ইউটিলিটি ব্যবহার করে (rwfilter, rwcount, rwflowpack, ইত্যাদি) নেটওয়ার্ক টেলিমেট্রিতে বিভিন্ন ক্রিয়াকলাপ সঞ্চালনের জন্য এতে অননুমোদিত কর্মের লক্ষণ সনাক্ত করতে। তবে কয়েকটি গুরুত্বপূর্ণ বিষয় লক্ষ্য করা যায়। SiLK হল একটি কমান্ড লাইন টুল এবং অনলাইন বিশ্লেষণ সম্পাদন করে, ফর্মের একটি কমান্ড টাইপ করার সময় (200 বাইটের থেকে বড় ICMP প্যাকেটের সনাক্তকরণ):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

খুব আরামদায়ক না। আপনি iSiLK GUI ব্যবহার করতে পারেন, কিন্তু এটি শুধুমাত্র ভিজ্যুয়ালাইজেশন ফাংশন সমাধান করে আপনার জীবনকে অনেক সহজ করে তুলবে না, বিশ্লেষক প্রতিস্থাপন নয়। এবং এই দ্বিতীয় পয়েন্ট. বাণিজ্যিক সমাধানগুলির বিপরীতে, যার ইতিমধ্যেই একটি কঠিন বিশ্লেষণাত্মক ভিত্তি রয়েছে, কর্মপ্রবাহের সাথে সামঞ্জস্যপূর্ণ অসঙ্গতি সনাক্তকরণ অ্যালগরিদম, ইত্যাদি, SiLK-এর ক্ষেত্রে, আপনাকে এগুলি নিজেই করতে হবে, যার জন্য ইতিমধ্যে প্রস্তুত ব্যবহার করার চেয়ে আপনার থেকে কিছুটা আলাদা দক্ষতার প্রয়োজন হবে। -টু-ব্যবহারের টুলকিট। এটি ভাল নয় এবং খারাপও নয় - এটি প্রায় কোনও বিনামূল্যের সরঞ্জামের একটি বৈশিষ্ট্য যা এই সত্য থেকে আসে যে আপনি কী করতে হবে তা জানেন এবং এটি আপনাকে কেবল এটিতে সহায়তা করবে (বাণিজ্যিক সরঞ্জামগুলি এর ব্যবহারকারীদের দক্ষতার উপর কম নির্ভরশীল, যদিও এটি অনুমান করে যে বিশ্লেষকরা নেটওয়ার্ক তদন্ত এবং পর্যবেক্ষণ পরিচালনার অন্তত মৌলিক বিষয়গুলি বোঝেন)। কিন্তু সিল্কে ফিরে যান। এটির সাথে বিশ্লেষক কাজের চক্রটি নিম্নরূপ:

• একটি অনুমান প্রণয়ন. আমাদের অবশ্যই বুঝতে হবে যে আমরা নেটওয়ার্ক টেলিমেট্রির ভিতরে কী খুঁজব, সেই অনন্য বৈশিষ্ট্যগুলি জানব যার দ্বারা আমরা নির্দিষ্ট কিছু অসঙ্গতি বা হুমকি চিহ্নিত করব।
• মডেল ভবন. একটি হাইপোথিসিস তৈরি করার পরে, আমরা এটিকে একই পাইথন, শেল বা অন্যান্য সরঞ্জাম ব্যবহার করে প্রোগ্রাম করি যা সিএলকে অন্তর্ভুক্ত নয়।
• পরীক্ষামূলক. আমাদের অনুমানের সঠিকতা পরীক্ষা করার সময় এসেছে, যা 'rw', 'set', 'bag' দিয়ে শুরু করে SiLK ইউটিলিটিগুলি ব্যবহার করে নিশ্চিত বা খণ্ডন করা হয়েছে।
• বাস্তব তথ্য বিশ্লেষণ. বাণিজ্যিক ক্রিয়াকলাপে, SiLK আমাদের কিছু শনাক্ত করতে সাহায্য করে এবং বিশ্লেষককে অবশ্যই প্রশ্নের উত্তর দিতে হবে "আমরা যা প্রত্যাশা করেছি তা কি আমরা খুঁজে পেয়েছি?", "এটি কি আমাদের অনুমানের সাথে মিলে যায়?", "এটি কীভাবে মিথ্যা ইতিবাচক সংখ্যা হ্রাস করবে?", "কীভাবে স্বীকৃতির স্তর উন্নত করা যায়?" এবং তাই
• উন্নতি। চূড়ান্ত পর্যায়ে, আমরা আগে যা করা হয়েছিল তা উন্নত করি - আমরা টেমপ্লেট তৈরি করি, কোডটি উন্নত এবং অপ্টিমাইজ করি, হাইপোথিসিসকে সংস্কার এবং পরিমার্জন করি ইত্যাদি।

এই চক্রটি একই সিসকো স্টিলথওয়াচের ক্ষেত্রে প্রযোজ্য হবে, শুধুমাত্র শেষ পাঁচটি ধাপ স্বয়ংক্রিয়ভাবে সর্বাধিক, বিশ্লেষক ত্রুটির সংখ্যা হ্রাস করে এবং ঘটনা সনাক্তকরণের দক্ষতা বৃদ্ধি করে। উদাহরণ স্বরূপ, SiLK-এ, আপনি আপনার নিজস্ব স্ক্রিপ্ট ব্যবহার করে ক্ষতিকারক আইপি-তে বাহ্যিক ডেটা দিয়ে নেটওয়ার্ক পরিসংখ্যান সমৃদ্ধ করতে পারেন এবং Cisco Stealthwatch-এ, এটি একটি অন্তর্নির্মিত ফাংশন যা নেটওয়ার্কে কালো তালিকাভুক্ত IP ঠিকানাগুলির সাথে মিথস্ক্রিয়া ঘটলে অবিলম্বে আপনার জন্য একটি অ্যালার্ম প্রদর্শন করে। ট্রাফিক

আপনি যদি প্রবাহ বিশ্লেষণের জন্য "প্রদত্ত" সফ্টওয়্যারের পিরামিডের উপরে যান, তবে সম্পূর্ণ বিনামূল্যের সিলকে একটি শেয়ারওয়্যার ELK অনুসরণ করবে, যার মধ্যে তিনটি মূল উপাদান থাকবে - ইলাস্টিকসার্চ (ডেটা ইনডেক্সিং, অনুসন্ধান এবং বিশ্লেষণ), লগস্ট্যাশ (ডেটা ইনপুট/আউটপুট) ) এবং কিবানা ( ভিজ্যুয়ালাইজেশন)। SiLK এর বিপরীতে, যেখানে আপনাকে সবকিছু নিজেই লিখতে হবে, ELK-এর ইতিমধ্যেই অনেকগুলি তৈরি লাইব্রেরি/মডিউল রয়েছে (কিছু অর্থপ্রদান করা হয়, কিছু নয়) যা নেটওয়ার্ক টেলিমেট্রির বিশ্লেষণ স্বয়ংক্রিয় করে। উদাহরণস্বরূপ, Logstash-এ GeoIP ফিল্টার আপনাকে তাদের ভৌগলিক অবস্থানের সাথে নিরীক্ষণ করা IP ঠিকানাগুলিকে আবদ্ধ করতে দেয় (একই Stealthwatch-এ এই বিল্ট-ইন ফাংশন রয়েছে)।

ELK এর একটি মোটামুটি বড় সম্প্রদায় রয়েছে যা এই পর্যবেক্ষণ সমাধানে অনুপস্থিত উপাদানগুলিকে যুক্ত করে। উদাহরণস্বরূপ, Netflow, IPFIX এবং sFlow এর সাথে কাজ করতে আপনি মডিউল ব্যবহার করতে পারেন ইলাস্টিক প্রবাহআপনি যদি Logstash Netflow মডিউলের সাথে সন্তুষ্ট না হন যা শুধুমাত্র Netflow সমর্থন করে।

প্রবাহ সংগ্রহ এবং অনুসন্ধানে আরও দক্ষতা প্রদান করে, ELK এর বর্তমানে নেটওয়ার্ক টেলিমেট্রিতে অসামঞ্জস্যতা এবং হুমকি সনাক্ত করার জন্য সমৃদ্ধ বিল্ট-ইন বিশ্লেষণের অভাব রয়েছে। অর্থাৎ, উপরে বর্ণিত জীবনচক্র অনুসরণ করে, আপনাকে স্বাধীনভাবে লঙ্ঘন মডেলগুলি বর্ণনা করতে হবে এবং তারপরে এটি যুদ্ধ ব্যবস্থায় ব্যবহার করতে হবে (কোন অন্তর্নির্মিত মডেল নেই)।

অবশ্যই, ELK-এর জন্য আরও পরিশীলিত এক্সটেনশন রয়েছে, যা ইতিমধ্যেই নেটওয়ার্ক টেলিমেট্রিতে অসঙ্গতি সনাক্ত করার জন্য কিছু মডেল ধারণ করে, তবে এই ধরনের এক্সটেনশনগুলির জন্য অর্থ খরচ হয় এবং প্রশ্ন হল গেমটি মোমবাতির মূল্য কি না - নিজেই একটি অনুরূপ মডেল লিখুন, এর বাস্তবায়ন কিনুন আপনার মনিটরিং টুল বা নেটওয়ার্ক ট্রাফিক বিশ্লেষণ ক্লাসের একটি টার্নকি সমাধান কিনুন।

সাধারণভাবে, নেটওয়ার্ক টেলিমেট্রিতে (উদাহরণস্বরূপ, সিসকো স্টিলথওয়াচ) অর্থ ব্যয় করা এবং একটি রেডিমেড সমাধান কেনা ভাল কিনা তা নিয়ে বিতর্কে যেতে চাই না বা এটি নিজেই খুঁজে বের করুন। প্রতিটি নতুন হুমকির জন্য একই SiLK, ELK বা nfdump বা OSU ফ্লো টুলস (আমি তাদের শেষ দুটির কথা বলছি বলা গত বার)? প্রত্যেকেই নিজের জন্য বেছে নেয় এবং প্রত্যেকেরই দুটি বিকল্পের যে কোনো একটি বেছে নেওয়ার জন্য তাদের নিজস্ব উদ্দেশ্য রয়েছে। আমি শুধু দেখাতে চেয়েছিলাম যে নেটওয়ার্ক টেলিমেট্রি আপনার অভ্যন্তরীণ অবকাঠামোর নেটওয়ার্ক সুরক্ষা নিশ্চিত করার জন্য একটি অত্যন্ত গুরুত্বপূর্ণ হাতিয়ার এবং আপনার এটিকে অবহেলা করা উচিত নয়, যাতে তালিকায় এমন একটি কোম্পানি যুক্ত না হয় যার নাম এপিথেটের সাথে মিডিয়াতে উল্লেখ করা হয়। "হ্যাক করা হয়েছে", "তথ্য সুরক্ষা প্রয়োজনীয়তাগুলির সাথে অ-সম্মতি", "তাদের ডেটা এবং গ্রাহকের ডেটার সুরক্ষা সম্পর্কে চিন্তা না করা৷

সংক্ষেপে, আমি আপনার অভ্যন্তরীণ অবকাঠামোর তথ্য নিরাপত্তা পর্যবেক্ষণ তৈরি করার সময় আপনার অনুসরণ করা উচিত এমন মূল টিপস তালিকাভুক্ত করতে চাই:

1. নিজেকে শুধু পরিধিতে সীমাবদ্ধ করবেন না! নেটওয়ার্ক অবকাঠামো ব্যবহার করুন (এবং চয়ন করুন) শুধুমাত্র বিন্দু A থেকে বিন্দুতে ট্র্যাফিক স্থানান্তর করতে নয়, সাইবার নিরাপত্তা সমস্যা সমাধানের জন্যও।
2. আপনার নেটওয়ার্ক সরঞ্জামগুলিতে বিদ্যমান তথ্য সুরক্ষা পর্যবেক্ষণ প্রক্রিয়াগুলি অধ্যয়ন করুন এবং সেগুলি ব্যবহার করুন৷
3. অভ্যন্তরীণ নিরীক্ষণের জন্য, টেলিমেট্রি বিশ্লেষণকে অগ্রাধিকার দিন - এটি আপনাকে সমস্ত নেটওয়ার্ক তথ্য নিরাপত্তা ঘটনার 80-90% পর্যন্ত সনাক্ত করতে দেয়, যখন নেটওয়ার্ক প্যাকেটগুলি ক্যাপচার করার সময় এবং সমস্ত তথ্য সুরক্ষা ইভেন্টের জন্য স্টোরেজ স্পেস সংরক্ষণ করার সময় যা অসম্ভব তা করে।
4. প্রবাহ নিরীক্ষণ করতে, Netflow v9 বা IPFIX ব্যবহার করুন - তারা নিরাপত্তার প্রসঙ্গে আরও তথ্য দেয় এবং আপনাকে শুধুমাত্র IPv4 নয়, IPv6, MPLS ইত্যাদিও নিরীক্ষণ করার অনুমতি দেয়।
5. একটি নমুনাবিহীন প্রবাহ প্রোটোকল ব্যবহার করুন - এটি হুমকি শনাক্ত করার জন্য আরও তথ্য প্রদান করে। উদাহরণস্বরূপ, Netflow বা IPFIX।
6. আপনার নেটওয়ার্ক সরঞ্জামের লোড পরীক্ষা করুন - এটি প্রবাহ প্রোটোকলের প্রক্রিয়াকরণও পরিচালনা করতে সক্ষম নাও হতে পারে। তারপরে ভার্চুয়াল সেন্সর বা নেটফ্লো জেনারেশন অ্যাপ্লায়েন্স ব্যবহার করার কথা বিবেচনা করুন।
7. অ্যাক্সেস স্তরে প্রথম স্থানে নিয়ন্ত্রণ প্রয়োগ করুন - এটি আপনাকে সমস্ত ট্রাফিকের 100% দেখার সুযোগ দেবে।
8. যদি আপনার কোন বিকল্প না থাকে এবং আপনি রাশিয়ান নেটওয়ার্ক সরঞ্জাম ব্যবহার করেন, তাহলে ফ্লো প্রোটোকল সমর্থন করে বা স্প্যান/আরস্প্যান পোর্ট আছে এমন একটি বেছে নিন।
9. অভ্যন্তরীণ নেটওয়ার্কে (ক্লাউড সহ) সীমান্তে অনুপ্রবেশ/আক্রমণ সনাক্তকরণ/প্রতিরোধ এবং প্রবাহ বিশ্লেষণ সিস্টেমগুলিকে একত্রিত করুন।

শেষ টিপ হিসাবে, আমি একটি উদাহরণ দিতে চাই যা আমি ইতিমধ্যেই দিয়েছি। আপনি দেখতে পাচ্ছেন যে যদি আগে Cisco IS পরিষেবা প্রায় সম্পূর্ণরূপে অনুপ্রবেশ সনাক্তকরণ সিস্টেম এবং স্বাক্ষর পদ্ধতির উপর ভিত্তি করে তার IS মনিটরিং সিস্টেম তৈরি করে, এখন তারা শুধুমাত্র 20% ঘটনার জন্য দায়ী। আরও 20% প্রবাহ বিশ্লেষণ সিস্টেম দ্বারা দায়ী করা হয়, যা পরামর্শ দেয় যে এই সমাধানগুলি একটি বাতিক নয়, তবে একটি আধুনিক উদ্যোগের তথ্য সুরক্ষা পরিষেবাগুলির ক্রিয়াকলাপের একটি বাস্তব হাতিয়ার। তদুপরি, তাদের বাস্তবায়নের জন্য আপনার কাছে সবচেয়ে গুরুত্বপূর্ণ জিনিস রয়েছে - নেটওয়ার্ক অবকাঠামো, বিনিয়োগ যা অতিরিক্তভাবে নেটওয়ার্কে তথ্য সুরক্ষা পর্যবেক্ষণ ফাংশন বরাদ্দ করে সুরক্ষিত করা যেতে পারে।

আমি ইচ্ছাকৃতভাবে নেটওয়ার্ক প্রবাহে চিহ্নিত অসামঞ্জস্যতা বা হুমকির প্রতিক্রিয়ার বিষয়ে স্পর্শ করিনি, তবে আমি মনে করি এটি স্পষ্ট যে পর্যবেক্ষণ শুধুমাত্র হুমকি সনাক্তকরণের সাথে শেষ হওয়া উচিত নয়। এটি একটি প্রতিক্রিয়া দ্বারা অনুসরণ করা উচিত এবং পছন্দসই স্বয়ংক্রিয় বা স্বয়ংক্রিয় মোডে। কিন্তু এটি একটি পৃথক নিবন্ধের জন্য একটি বিষয়.

অতিরিক্ত তথ্য:

• Cisco IOS Netflow এর বর্ণনা
• বিভিন্ন সিস্কো সমাধানে নেটফ্লো সমর্থন ম্যাট্রিক্স
• বিভিন্ন সিসকো প্ল্যাটফর্মে নেটফ্লো কনফিগারেশন গাইড
• sFlow সম্প্রদায়
• নিরাপত্তা দৃষ্টিকোণ থেকে নেটফ্লো বিশ্লেষণ করতে Stealtjwatch, SiLK এবং ELK ব্যবহার করার জন্য ল্যাব
• সাইট SiLK
• টন উদাহরণ সহ SiLK ব্যবহার করার জন্য একটি XNUMX-পৃষ্ঠার গাইড
• লগস্ট্যাশ নেটফ্লো মডিউল
• ELK-তে নেটফ্লো বিশ্লেষণ করার জন্য সিসকো ধাপে ধাপে নির্দেশিকা
• Logstash (ELK) সহ Cisco ASA NetFlow v.9 বিশ্লেষণ
• সিসকো স্টিলথওয়াচ সমাধান

পুনশ্চ. উপরে লেখা সমস্ত কিছু শোনা যদি আপনার পক্ষে সহজ হয়, তাহলে আপনি এই নোটের ভিত্তি তৈরি করা ঘন্টাব্যাপী উপস্থাপনা দেখতে পারেন।

উত্স: www.habr.com