{"id":37189,"date":"2019-10-31T22:16:15","date_gmt":"2019-10-31T19:16:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\/"},"modified":"2019-10-31T22:16:15","modified_gmt":"2019-10-31T19:16:15","slug":"setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","title":{"rendered":"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/8509341060b74259e9383af1b28c1e59.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nFor nylig kan man finde en enorm m\u00e6ngde materiale online om <b>trafikanalyse p\u00e5 netv\u00e6rksperimeteren.<\/b>Men af en eller anden grund glemmer alle helt <b>analysen af lokalt trafik,<\/b>som er lige s\u00e5 vigtig. Denne artikel omhandler netop dette emne. Ved hj\u00e6lp af <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/flowmon\">Flowmon Networks<\/a><\/noindex> vil vi genopfriske den gode gamle Netflow (og dets alternativer), kigge p\u00e5 interessante cases, mulige anomalier i netv\u00e6rket, og vi vil l\u00e6re fordelene ved en l\u00f8sning, hvor <b>hele netv\u00e6rket fungerer som \u00e9n sensor.<\/b>Og vigtigst af alt \u2013 det er muligt at udf\u00f8re en s\u00e5dan analyse af lokal trafik helt gratis, inden for rammerne af en pr\u00f8ve licens (<b>45 dage<\/b>). Hvis emnet interesserer dig, er du velkommen til at forts\u00e6tte. Hvis du derimod er for doven til at l\u00e6se, kan du allerede nu registrere dig til <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/events\/vebinari_flowmon\">det kommende webinar,<\/a><\/noindex>hvor vi vil vise og forklare alt (og du kan ogs\u00e5 finde ud af mere om den kommende tr\u00e6ning i produktet).<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h3>Hvad er Flowmon Networks?<\/h3>\n<p>\nF\u00f8rst og fremmest er Flowmon en europ\u00e6isk IT-leverand\u00f8r. Virksomheden er tjekkisk med hovedkontor i byen Brno (sp\u00f8rgsm\u00e5let om sanktioner er helt ude af billedet). I sin nuv\u00e6rende form har virksomheden v\u00e6ret til stede p\u00e5 markedet siden 2007. F\u00f8r dette var den kendt under navnet Invea-Tech. S\u00e5 samlet set har de brugt n\u00e6sten 20 \u00e5r p\u00e5 at udvikle produkter og l\u00f8sninger.<\/p>\n<p>Flowmon positioneres som et A-klasse brand. De udvikler premium l\u00f8sninger til erhvervskunder og er fremh\u00e6vet i Gartner-rapporterne inden for netv\u00e6rksydelse overv\u00e5gning og diagnostik (NPMD). Det interessante er, at blandt alle virksomheder i rapporten er Flowmon den eneste leverand\u00f8r, der er anerkendt af Gartner b\u00e5de som producent af l\u00f8sninger til netv\u00e6rksoverv\u00e5gning og til informationsbeskyttelse (Network Behavior Analysis). De indtager ikke f\u00f8rstepladsen endnu, men de er heller ikke dyrere end en Boeing-flyvning.<\/p>\n<h3>Hvilke opgaver tillader produktet at l\u00f8se?<\/h3>\n<p>\nGenerelt kan f\u00f8lgende opgavepulje fremh\u00e6ves, som virksomhedens produkter l\u00f8ser:<\/p>\n<ol>\n<li>forbedring af netv\u00e6rkets stabilitet samt netv\u00e6rksressourcernes tilg\u00e6ngelighed ved at minimere deres nedetid;<\/li>\n<li>forbedring af det samlede netv\u00e6rksydelsesniveau;<\/li>\n<li>forbedring af effektiviteten af det administrerende personale ved hj\u00e6lp af:\n<ul>\n<li>moderne v\u00e6rkt\u00f8jer til innovativ netv\u00e6rksoverv\u00e5gning, baseret p\u00e5 information om IP-str\u00f8mme;<\/li>\n<li> tilvejebringelse af detaljeret analyse af netv\u00e6rkets funktion og tilstand - brugere og applikationer, der opererer i netv\u00e6rket, overf\u00f8rte data, interagerende ressourcer, tjenester og noder;<\/li>\n<li> reagerer p\u00e5 h\u00e6ndelser, f\u00f8r de sker, i stedet for efter tab af service for brugere og kunder;<\/li>\n<li> reduktion af tiden og ressourcerne, der kr\u00e6ves for administration af netv\u00e6rket og IT-infrastrukturen;<\/li>\n<li> forenkling af fejlfinding.<\/li>\n<\/ul>\n<\/li>\n<li>forbedring af netv\u00e6rkets og virksomhedens informationsressourcers sikkerhed, ved at anvende non-signatur teknologier til identifikation af unormal og skadelig netv\u00e6rksaktivitet, samt 'zero-day' angreb;<\/li>\n<li>sikring af det n\u00f8dvendige SLA-niveau for netv\u00e6rksapplikationer og databaser.<\/li>\n<\/ol>\n<p><\/p>\n<h3>Produktportef\u00f8lje fra Flowmon Networks<\/h3>\n<p>\nLad os nu se n\u00e6rmere p\u00e5 Flowmon Networks' produktportef\u00f8lje og finde ud af, hvad virksomheden konkret arbejder med. Som mange allerede har g\u00e6ttet ud fra navnet, er den prim\u00e6re specialisering i l\u00f8sninger til flowoverv\u00e5gning af trafik, plus en r\u00e6kke ekstra moduler, der udvider den grundl\u00e6ggende funktionalitet.<\/p>\n<p>Faktisk kan Flowmon betragtes som en virksomhed med et enkelt produkt, eller rettere et enkelt system. Lad os finde ud af, om det er godt eller d\u00e5rligt.<\/p>\n<p>Kernen i systemet er en collector, der er ansvarlig for indsamling af data via forskellige flowprotokoller, s\u00e5som <b>NetFlow v5\/v9, jFlow, sFlow, NetStream, IPFIX<\/b>\u2026 Det er ganske logisk, at for en virksomhed, der ikke er tilknyttet nogen af producenterne af netv\u00e6rksudstyr, er det vigtigt at tilbyde markedet et universelt produkt, der ikke er bundet til en bestemt standard eller protokol.<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/d8dddeaa90c8bc03b78282b7ca00ea86.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Flowmon Collector<\/i><\/p>\n<p>Collector'en f\u00e5s b\u00e5de som en hardware-server og som en virtuel maskine (VMware, Hyper-V, KVM). Forresten er hardwareplatformen implementeret p\u00e5 tilpassede DELL-servere, hvilket automatisk fjerner mange sp\u00f8rgsm\u00e5l om garanti og RMA. Den eneste hardwarekomponent er de FPGA-kort, der er udviklet af Flowmons datterselskab, som muligg\u00f8r overv\u00e5gning ved hastigheder op til 100 Gbps.<\/p>\n<p>Men hvad g\u00f8r man, hvis der ikke er mulighed for at generere kvalitetsflow p\u00e5 det eksisterende netv\u00e6rksudstyr? Eller hvis belastningen p\u00e5 udstyret er for h\u00f8j? Ingen problem:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/53dda0e4f42ddbf7a8add1064e0ab913.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Flowmon Prob<\/i><\/p>\n<p>I dette tilf\u00e6lde tilbyder Flowmon Networks at bruge sine egne s\u00f8gere (Flowmon Probe), som tilsluttes netv\u00e6rket via SPAN-porten p\u00e5 switchen eller ved at bruge passive TAP-splittere.<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/298507c4bcb3d562f9621ff59ee6018f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>SPAN (spejlport) og TAP implementeringsmuligheder<\/i><\/p>\n<p>I dette tilf\u00e6lde omdannes den \"r\u00e5\" trafik, der kommer til Flowmon Probe, til forbedret IPFIX, som indeholder mere end <b>240 metrikker med information<\/b>. Mens den standard NetFlow-protokol, der genereres af netv\u00e6rksudstyr, indeholder h\u00f8jst 80 metrikker. Dette g\u00f8r det muligt at sikre synlighed af protokoller ikke kun p\u00e5 niveau 3 og 4, men ogs\u00e5 p\u00e5 niveau 7 i ISO OSI-modellen. Som et resultat kan netv\u00e6rksadministratorer overv\u00e5ge driften af applikationer og protokoller som e-mail, HTTP, DNS, SMB\u2026<\/p>\n<p>Konceptuelt ser den logiske arkitektur af systemet s\u00e5ledes ud:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/273517a6aa47726fe51c498114908c14.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDen centrale del af hele Flowmon Networks' \"\u00f8kosystem\" er Collector, som modtager trafik fra det eksisterende netv\u00e6rksudstyr eller egne s\u00f8gere (Probe). Men for Enterprise-l\u00f8sninger ville det v\u00e6re for simpelt at tilbyde funktionalitet udelukkende til overv\u00e5gning af netv\u00e6rkstrafik. Det kan Open Source-l\u00f8sninger ogs\u00e5 g\u00f8re, om end ikke med samme ydeevne. V\u00e6rdien af Flowmon ligger i de ekstra moduler, som udvider basisfunktionaliteten:<\/p>\n<ul>\n<li>modul <b>Anomaly Detection Security<\/b> \u2013 identificering af unormal netv\u00e6rksaktivitet, herunder zero-day angreb, baseret p\u00e5 heuristisk analyse af trafik og typisk netv\u00e6rksprofil;<\/li>\n<li>modul <b>Application Performance Monitoring<\/b> \u2013 overv\u00e5gning af ydeevnen af netv\u00e6rksapplikationer uden installation af \"agenter\" og indvirkning p\u00e5 m\u00e5lsystemer;<\/li>\n<li>modul <b>Traffic Recorder<\/b> \u2013 optagelse af fragmenter af netv\u00e6rkstrafik i henhold til en r\u00e6kke foruddefinerede regler eller ved triggere fra ADS-modulet, til videre fejlfinding og\/eller efterforskning af sikkerhedsh\u00e6ndelser;<\/li>\n<li>modul <b>DDoS Beskyttelse<\/b> \u2013 beskyttelse af netv\u00e6rksperimeteret mod volumetriske DoS\/DDoS-angreb, herunder angreb p\u00e5 applikationer (OSI L3\/L4\/L7).<\/li>\n<\/ul>\n<p>\nI denne artikel vil vi se p\u00e5, hvordan alt fungerer i praksis med eksempler fra 2 moduler \u2013 <b>Network Performance Monitoring and Diagnostics<\/b> og <b>Anomaly Detection Security<\/b>.<br \/>\nUdgangsdata:<\/p>\n<ul>\n<li>Lenovo RS 140 server med VMware 6.0 hypervisor;<\/li>\n<li>billedet af Flowmon Collector-virtuelle maskine, som kan <noindex><a rel=\"nofollow\" href=\"https:\/\/www.flowmon.com\/en\/download-free-trial\">downloades her<\/a><\/noindex>;<\/li>\n<li>et par switches, der underst\u00f8tter flowprotokoller.<\/li>\n<\/ul>\n<p><\/p>\n<h3>Trin 1. Installation af Flowmon Collector<\/h3>\n<p>\nImplementeringen af en virtuel maskine p\u00e5 VMware foreg\u00e5r p\u00e5 en helt standard m\u00e5de fra en OVF-skabelon. Resultatet er en virtuel maskine, der k\u00f8rer CentOS og er klar til brug. Kravene til ressourcerne er rimelige:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/9ae1559b01c639763e0053ee1de120ca.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDet er kun tilbage at udf\u00f8re grundl\u00e6ggende initialisering med kommandoen <b>sysconfig<\/b>:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/c65a47dfd025595f7256b1e30b941e42.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nVi konfigurerer IP p\u00e5 administrationsporten, DNS, tid, v\u00e6rtens navn, og vi kan tilslutte os WEB-gr\u00e6nsefladen.<\/p>\n<h3>Trin 2. Installation af licens<\/h3>\n<p>\nEn pr\u00f8veversion af licensen p\u00e5 halvanden m\u00e5ned genereres og downloades sammen med billedet af den virtuelle maskine. Den indl\u00e6ses gennem <b>Configuration Center -&gt; License<\/b>. Resultatet er, at vi ser:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/a5c1c99ad14cf4ca5dfb560d55fa369d.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAlt er klar. Vi kan begynde arbejdet.<\/p>\n<h3>Trin 3. Indstilling af modtageren p\u00e5 kollektor<\/h3>\n<p>\nI dette trin skal vi beslutte, hvordan data fra kilderne vil komme ind i systemet. Som vi n\u00e6vnte tidligere, kan det v\u00e6re en af flow-protokollerne eller en SPAN-port p\u00e5 switchen.<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/3ff1c77a58c152314a1615dd98ca92ca.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nI vores eksempel vil vi bruge datamodtagelse via protokollerne <b>NetFlow v9 og IPFIX<\/b>. I dette tilf\u00e6lde angiver vi IP-adressen p\u00e5 administrationsgr\u00e6nsefladen som m\u00e5l - <b>192.168.78.198<\/b>. Gr\u00e6nsefladerne eth2 og eth3 (med typen Monitoring interface) bruges til at modtage en kopi af den \"r\u00e5\" trafik fra SPAN-porten p\u00e5 switchen. Vi springer dem over, det er ikke vores tilf\u00e6lde.<br \/>\nDerefter tjekker vi porten p\u00e5 kollektor, hvor trafikken skal komme ind.<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/31fff2f3bfef52b001edb39bdb3293f9.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nI vores tilf\u00e6lde forventer kollektor trafikken p\u00e5 UDP\/2055-porten.<\/p>\n<h3>Trin 4. Konfiguration af netv\u00e6rksudstyr til eksport af flow<\/h3>\n<p>\nAt konfigurere NetFlow p\u00e5 Cisco Systems-udstyr kan nok kaldes en helt almindelig opgave for enhver netv\u00e6rksadministrator. I vores eksempel vil vi tage noget mere us\u00e6dvanligt. For eksempel routeren MikroTik RB2011UiAS-2HnD. Ja, som m\u00e6rkeligt det end lyder, underst\u00f8tter denne budgetl\u00f8sning til sm\u00e5 og hjemmekontorer ogs\u00e5 protokollerne NetFlow v5\/v9 og IPFIX. I indstillingerne angiver vi m\u00e5let (kollektorens adresse 192.168.78.198 og port 2055):<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/3604b4c1c0b013a3822e99d97ab9e9cb.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nOg vi tilf\u00f8jer alle tilg\u00e6ngelige m\u00e5l for eksport:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/f22fa921b4195b184e82c12a2b852f3c.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nP\u00e5 dette punkt kan man sige, at den grundl\u00e6ggende ops\u00e6tning er afsluttet. Vi tjekker, om trafikken kommer ind i systemet.<\/p>\n<h3>Trin 5. Kontrol og drift af modulet til netv\u00e6rkspr\u00e6stationsoverv\u00e5gning og fejlfinding<\/h3>\n<p>\nFor at kontrollere tilstedev\u00e6relsen af trafik fra kilden kan man g\u00e5 til afsnittet <b>Flowmon Monitoring Center -&gt; Sources<\/b>:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/b167ac4ba70c07d9d0fb521a1cf1a7ea.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nVi kan se, at dataene kommer ind i systemet. Efter noget tid, n\u00e5r kollektor har indsamlet trafik, begynder widgeter at vise information:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/8cee4912c371366ff30ff7597f87cabc.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSystemet er bygget op efter princippet om drill down. Det vil sige, at brugeren, ved at v\u00e6lge et interessant element p\u00e5 diagrammet eller grafen, \"graver ned\" til det niveau af data, han har brug for:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/1caa3b3c59dcd77210f690606a16740f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNed til information om hver netv\u00e6rksforbindelse og -tilslutning:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/ef8c8f4d2df0ae65b94fcc3be058099b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>Trin 6. Modul til Anomaly Detection Security<\/h3>\n<p>\nDette modul kan betragtes som et af de mest interessante, takket v\u00e6re brugen af signaturl\u00f8se metoder til at opdage anomalier i netv\u00e6rkstrafik og skadelig netv\u00e6rksaktivitet. Men det er ikke en analog til IDS\/IPS-systemer. Arbejdet med modulet begynder med dets \"tr\u00e6ning\". Til dette angives alle n\u00f8glekomponenter og tjenester i netv\u00e6rket i en s\u00e6rlig guide, herunder:<\/p>\n<ul>\n<li>gateway-adresser, DNS, DHCP og NTP servere,<\/li>\n<li>adressering i bruger- og serversegmenter.<\/li>\n<\/ul>\n<p>\nHerefter skifter systemet til tr\u00e6ningstilstand, som i gennemsnit varer fra 2 uger til 1 m\u00e5ned. I l\u00f8bet af denne tid danner systemet en baseline for trafik, der er karakteristisk for vores netv\u00e6rk. Kort sagt, systemet l\u00e6rer:<\/p>\n<ul>\n<li>hvilken adf\u00e6rd der er karakteristisk for netv\u00e6rksnoder?<\/li>\n<li>hvilke datam\u00e6ngder der normalt overf\u00f8res og er normale for netv\u00e6rket?<\/li>\n<li>hvilke arbejdstider der er typiske for brugere?<\/li>\n<li>hvilke applikationer der k\u00f8rer i netv\u00e6rket?<\/li>\n<li>og meget mere..<\/li>\n<\/ul>\n<p>\nResultatet er, at vi f\u00e5r et v\u00e6rkt\u00f8j, der identificerer eventuelle anomalier i vores netv\u00e6rk og afvigelser fra karakteristisk adf\u00e6rd. Her er et par eksempler, som systemet kan opdage:<\/p>\n<ul>\n<li>spredning af ny malware i netv\u00e6rket, der ikke kan opdages af antivirus-signaturer;<\/li>\n<li>opbygning af DNS-, ICMP- eller andre tunneller og overf\u00f8rsel af data forbi firewallen;<\/li>\n<li>fremkomsten af en ny computer i netv\u00e6rket, der udgiver sig for at v\u00e6re DHCP- og\/eller DNS-server.<\/li>\n<\/ul>\n<p>\nLad os se, hvordan det ser ud i praksis. Efter at dit system har gennemg\u00e5et tr\u00e6ningen og opbygget en baseline for netv\u00e6rkets trafik, begynder det at opdage h\u00e6ndelser:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/e4d7d168716fc9f703dd9f14faf5816f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nHovedsiden for modulet er en tidslinje, der viser de identificerede h\u00e6ndelser. I vores eksempel ser vi en tydelig spids, cirka mellem kl. 9 og 16. Vi fremh\u00e6ver den og kigger n\u00e6rmere p\u00e5 den. <\/p>\n<p>Der kan tydeligt ses abnormal adf\u00e6rd fra en angriber i netv\u00e6rket. Det begynder med, at en v\u00e6rt med adressen 192.168.3.225 starter en horisontal scanning af netv\u00e6rket p\u00e5 port 3389 (Microsoft RDP-service) og finder 14 potentielle \"ofre\":<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/5844fab428bd7adedbc694bf7dc7f19e.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nog<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/566cb37c28eb803d404e06a8d61372c3.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDen n\u00e6ste registrerede h\u00e6ndelse er, at v\u00e6rten 192.168.3.225 starter en brute force-angreb p\u00e5 adgangspunktet RDP (port 3389) mod tidligere identificerede adresser:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/18c97646b3982c5a9db86901cae9f5a7.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSom et resultat af angrebet registreres en SMTP-anomali p\u00e5 en af de hackede v\u00e6rter. Med andre ord er spamming begyndt:<\/p>\n<p><img decoding=\"async\" alt=\"Netv\u00e6rksoverv\u00e5gning og identifikation af unormal netv\u00e6rksaktivitet med l\u00f8sninger fra Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/fd1fce3c9bb23903a3c54d270924c5fe.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDette eksempel viser tydeligt funktionerne i systemet og modulet Anomaly Detection Security. Bed\u00f8m selv effektiviteten. Med dette afslutter vi den funktionelle gennemgang af l\u00f8sningen.<\/p>\n<h3>Konklusion<\/h3>\n<p>\nLad os opsummere, hvilke konklusioner vi kan drage om Flowmon:<\/p>\n<ul>\n<li>Flowmon er en premium l\u00f8sning for erhvervskunder;<\/li>\n<li>takket v\u00e6re alsidigheden og kompatibiliteten er dataindsamlingen tilg\u00e6ngelig fra enhver kilde: netv\u00e6rksudstyr (Cisco, Juniper, HPE, Huawei...) eller egne sonde-enheder (Flowmon Probe);<\/li>\n<li>l\u00f8sningens skalerbarhed muligg\u00f8r udvidelse af systemets funktionalitet ved at tilf\u00f8je nye moduler og ogs\u00e5 at \u00f8ge effektiviteten takket v\u00e6re en fleksibel tilgang til licensering;<\/li>\n<li>ved hj\u00e6lp af signaturfri analyseteknologier kan systemet opdage selv ukendte zero-day angreb for antivirus- og IDS\/IPS-systemer;<\/li>\n<li>takket v\u00e6re den fulde 'gennemsigtighed' ved installationen og systemets tilstedev\u00e6relse i netv\u00e6rket p\u00e5virker l\u00f8sningen ikke driften af andre noder og komponenter i din IT-infrastruktur;<\/li>\n<li>Flowmon er den eneste l\u00f8sning p\u00e5 markedet, der underst\u00f8tter overv\u00e5gning af trafik med hastigheder op til 100 Gbit\/s;<\/li>\n<li>Flowmon er en l\u00f8sning til netv\u00e6rk af enhver st\u00f8rrelse;<\/li>\n<li>den bedste pris\/funktionalitet forhold blandt lignende l\u00f8sninger.<\/li>\n<\/ul>\n<p>\nI denne gennemgang har vi set mindre end 10% af den samlede funktionalitet i l\u00f8sningen. I den n\u00e6ste artikel vil vi tale om de resterende moduler fra Flowmon Networks. P\u00e5 eksemplet med modulet Application Performance Monitoring vil vi vise, hvordan administratorer for forretningsapplikationer kan sikre tilg\u00e6ngelighed p\u00e5 det angivne SLA-niveau og hurtigst muligt diagnosticere problemer.<\/p>\n<p>Vi vil ogs\u00e5 gerne invitere dig til vores webinar (10.09.2019) dedikeret til l\u00f8sningerne fra Flowmon Networks. For forh\u00e5ndsregistrering beder vi dig <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/events\/vebinari_flowmon\">gennemf\u00f8re registreringen her<\/a><\/noindex>.<br \/>\nDet er alt for nu, tak for din interesse!<\/p>\n<p class=\"for_users_only_msg\">Kun registrerede brugere kan deltage i unders\u00f8gelsen. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/auth\/login\/\">Log ind<\/a><\/noindex>, please.<\/p>\n<h2 class=\"default-block__polling-title\">Bruger du Netflow til netv\u00e6rksoverv\u00e5gning?<\/h2>\n<ul class=\"content-list content-list_polling\">\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    Ja<\/p>\n<\/li>\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    Nej, men jeg planl\u00e6gger det<\/p>\n<\/li>\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    Nej<\/p>\n<\/li>\n<\/ul>\n<p>    9 brugere har stemt. 3 brugere har undladt at stemme.<br \/>\n<br \/>Kilde: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/463625\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0412 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u0432 \u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0435 \u043a\u043e\u043b-\u0432\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u0442\u0435\u043c\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440\u0435 \u0441\u0435\u0442\u0438. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0441\u0435 \u043f\u043e\u0447\u0435\u043c\u0443-\u0442\u043e \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u043d\u043e \u0437\u0430\u0431\u044b\u043b\u0438 \u043e\u0431 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u043c. \u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043a\u0430\u043a \u0440\u0430\u0437 \u0438 \u043f\u043e\u0441\u0435\u0449\u0435\u043d\u0430 \u044d\u0442\u043e\u0439 \u0442\u0435\u043c\u0435. \u041d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 Flowmon Networks \u043c\u044b \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043c \u0441\u0442\u0430\u0440\u044b\u0439 \u0434\u043e\u0431\u0440\u044b\u0439 Netflow (\u0438 \u0435\u0433\u043e \u0430\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u044b), \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u043a\u0435\u0439\u0441\u044b, [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":27883,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37189","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\".\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"da_DK\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0421\u0435\u0442\u0435\u0432\u043e\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u0439 Flowmon Networks | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\".\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T19:16:15+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T19:16:15+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Netv\u00e6rksoverv\u00e5gning og identifikation af anormal netv\u00e6rksaktivitet ved hj\u00e6lp af l\u00f8sninger fra Flowmon Networks | ProHoster","description":".","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u0435\u0442\u0435\u0432\u043e\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u0439 Flowmon Networks | ProHoster","og:description":".","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:16:15+00:00","article:modified_time":"2019-10-31T19:16:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37189","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 16:39:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:32:13","updated":"2026-01-23 16:39:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/37189","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=37189"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/37189\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/27883"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=37189"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=37189"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=37189"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}