🥇Netzwerküberwachung und Erkennung von anomaler Netzwerkaktivität mit den Lösungen von Flowmon Networks

In letzter Zeit findet man im Internet eine riesige Menge an Materialien zum Thema Traffic-Analyse am Netzwerkperimeter. Dabei haben alle aus irgendeinem Grund völlig die Analyse des lokalen Traffics, die nicht weniger wichtig ist, vergessen. Dieser Artikel beschäftigt sich genau mit diesem Thema. Am Beispiel von Flowmon Networks werden wir uns an das altehrwürdige Netflow (und seine Alternativen) erinnern, interessante Anwendungsfälle betrachten, mögliche Anomalien im Netzwerk untersuchen und die Vorteile einer Lösung kennenlernen, wenn das gesamte Netzwerk wie ein einziger Sensor funktioniert. Und das Wichtigste ist, dass eine solche Analyse des lokalen Traffics völlig kostenlos im Rahmen der Testlizenz (45 Tage) durchgeführt werden kann. Wenn Sie an diesem Thema interessiert sind, sind Sie herzlich eingeladen, weiterzulesen. Wenn Sie jedoch nicht lesen möchten, können Sie sich bereits für das kommende Webinaranmelden, wo wir alles zeigen und erzählen werden (dort können Sie auch Informationen über bevorstehende Schulungen zum Produkt erhalten).

Was ist Flowmon Networks?

Zuallererst ist Flowmon ein europäischer IT-Anbieter. Das Unternehmen ist tschechisch und hat seinen Sitz in Brünn (die Frage der Sanktionen stellt sich hier nicht). In seiner aktuellen Form ist das Unternehmen seit 2007 auf dem Markt. Zuvor war es unter dem Namen Invea-Tech bekannt. Insgesamt wurden also fast 20 Jahre in die Entwicklung von Produkten und Lösungen investiert.

Flowmon positioniert sich als eine Marke der Klasse A. Es entwickelt hochwertige Lösungen für Unternehmenskunden und wird in den Quadranten von Gartner im Bereich Network Performance Monitoring and Diagnostics (NPMD) aufgeführt. Interessant ist, dass unter all den Unternehmen im Bericht Flowmon der einzige Anbieter ist, der von Gartner sowohl als Anbieter von Lösungen für die Netzwerküberwachung als auch für Informationsschutz (Network Behavior Analysis) hervorgehoben wird. Es belegt noch nicht den ersten Platz, aber daher ist es auch nicht so teuer wie ein Flügel von Boeing.

Welche Aufgaben kann das Produkt lösen?

Global betrachtet kann man den folgenden Aufgabenbereich der Produkte des Unternehmens hervorheben:

Steigerung der Stabilität des Netzbetriebs sowie der Netzwerkressourcen durch Minimierung der Ausfallzeiten und Nichtverfügbarkeit;
Steigerung des allgemeinen Leistungsniveaus des Netzwerks;
Steigerung der Effizienz der administrierenden Mitarbeiter durch:
- Einsatz moderner Instrumente der innovativen Netzwerküberwachung, die auf Informationen über IP-Ströme basieren;
- Bereitstellung detaillierter Analysen über die Funktionsweise und den Zustand des Netzwerks – Benutzer und Anwendungen, die im Netzwerk tätig sind, übertragene Daten, interagierende Ressourcen, Dienste und Knoten;
- Reaktion auf Vorfälle, bevor sie auftreten, und nicht nach dem Verlust von Diensten für Benutzer und Kunden;
- Reduzierung der Zeit und Ressourcen, die für die Verwaltung des Netzwerks und der IT-Infrastruktur erforderlich sind;
- Vereinfachung der Fehlersuche.
Erhöhung des Sicherheitsniveaus des Netzwerks und der Informationsressourcen des Unternehmens durch den Einsatz von unsignaturtechnologischen Methoden zur Erkennung anormalen und schädlichen Netzwerkverhaltens sowie „Zero-Day“-Angriffen;
Sicherstellung des erforderlichen SLA-Levels für Netzwerkanwendungen und Datenbanken.

Produktportfolio von Flowmon Networks

Schauen wir uns nun direkt das Produktportfolio von Flowmon Networks an und erfahren, womit das Unternehmen konkret beschäftigt ist. Wie viele bereits aus dem Namen erahnt haben, liegt die Hauptspezialisierung auf Lösungen zur Flow-Überwachung des Datenverkehrs, ergänzt durch eine Reihe zusätzlicher Module, die die Grundfunktionen erweitern.

Tatsächlich kann man Flowmon als ein Unternehmen eines Produkts oder besser gesagt – einer Lösung bezeichnen. Lassen Sie uns herausfinden, ob das gut oder schlecht ist.

Das Kernsystem ist ein Collector, der für die Sammlung von Daten über verschiedene Flow-Protokolle zuständig ist, wie NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX… Es liegt auf der Hand, dass es für ein Unternehmen, das mit keinem der Hersteller von Netzwerkgeräten verbunden ist, wichtig ist, dem Markt ein universelles Produkt anzubieten, das nicht an einen bestimmten Standard oder ein bestimmtes Protokoll gebunden ist.

Flowmon Collector

Der Collector wird sowohl als Hardware-Server als auch als virtuelle Maschine (VMware, Hyper-V, KVM) angeboten. Übrigens basiert die Hardware-Plattform auf maßgeschneiderten DELL-Servern, was viele Fragen zur Garantie und RMA automatisch klärt. Einzigartige Hardware-Komponenten sind die von der Tochtergesellschaft Flowmon entwickelten FPGA-Traffic-Capture-Karten, die Monitoring-Geschwindigkeiten von bis zu 100 Gbps ermöglichen.

Aber was kann man tun, wenn die vorhandene Netzwerkausrüstung nicht in der Lage ist, qualitativ hochwertigen Flow zu generieren? Oder wenn die Belastung der Ausrüstung zu hoch ist? Kein Problem:

Flowmon Prob

Für diesen Fall bietet Flowmon Networks an, eigene Sonden (Flowmon Probe) zu verwenden, die über den SPAN-Port des Switches oder unter Verwendung passiver TAP-Verteiler mit dem Netzwerk verbunden werden.

SPAN (Mirror-Port) und TAP-Implementierungsoptionen

In diesem Fall wird der „rohe“ Verkehr, der an die Flowmon Probe gelangt, in erweitertes IPFIX umgewandelt, das mehr als 240 Metriken mit Informationen enthält.. Während im Standard-NetFlow-Protokoll, das von Netzwerkgeräten generiert wird, nicht mehr als 80 Metriken enthalten sind. Dies ermöglicht, die Protokolle nicht nur auf den Schichten 3 und 4, sondern auch auf der Schicht 7 des ISO-OSI-Modells zu überwachen. Dadurch können Netzwerkadministratoren die Funktionsweise von Anwendungen und Protokollen wie E-Mail, HTTP, DNS, SMB… überwachen.

Konzeptionell sieht die logische Architektur des Systems wie folgt aus:

Das zentrale Element des gesamten „Ökosystems“ von Flowmon Networks ist der Collector, der den Verkehr von bestehender Netzwerktechnologie oder eigenen Sonden (Probe) erhält. Für Unternehmenslösungen wäre es jedoch zu einfach, nur Funktionen zur Überwachung des Netzwerkverkehrs bereitzustellen. Das können auch Open-Source-Lösungen, wenn auch nicht mit der gleichen Leistungsfähigkeit. Der Wert von Flowmon liegt in den zusätzlichen Modulen, die die Grundfunktionalität erweitern:

Modul Anomaly Detection Security – Erkennung anormaler Netzwerkaktivitäten, einschließlich Zero-Day-Angriffen, basierend auf heuristischer Verkehrs- und Typenprofilanalyse;
Modul Application Performance Monitoring – Überwachung der Leistung von Netzwerkapplikationen ohne Installation von „Agenten“ und ohne Einfluss auf die Zielsysteme;
Modul Traffic Recorder – Aufzeichnung von Fragmenten des Netzwerkverkehrs gemäß einer Reihe vordefinierter Regeln oder durch einen Trigger vom ADS-Modul für weitere Fehlersuche und/oder Untersuchung von Sicherheitsvorfällen;
Modul DDoS-Schutz – Schutz des Netzwerkperimeters vor volumetrischen Denial-of-Service-Angriffen (DoS/DDoS), einschließlich Angriffen auf Anwendungen (OSI L3/L4/L7).

In diesem Artikel werden wir erläutern, wie alles live funktioniert, am Beispiel von 2 Modulen – Netzwerkleistungsüberwachung und -diagnose und Anomaly Detection Security.
Eckdaten:

Lenovo RS 140-Server mit VMware 6.0 Hypervisor;
Abbild der virtuellen Maschine Flowmon Collector, die man hier herunterladen;
ein Paar Switches mit Unterstützung für Flow-Protokolle.

Schritt 1. Installation des Flowmon Collector

Die Bereitstellung einer virtuellen Maschine auf VMware erfolgt ganz standardmäßig aus einer OVF-Vorlage. Am Ende erhalten wir eine virtuelle Maschine mit CentOS und bereit installierter Software. Die Anforderungen an die Ressourcen sind human.

Es bleibt nur, die grundlegende Initialisierung mit dem Befehl auszuführen sysconfig:

Wir konfigurieren die IP am Verwaltungsport, DNS, Zeit, Hostname und können uns mit der WEB-Oberfläche verbinden.

Schritt 2. Lizenzinstallation

Eine Testlizenz für anderthalb Monate wird zusammen mit dem Abbild der virtuellen Maschine generiert und heruntergeladen. Sie wird über Configuration Center -> Licensehochgeladen. Am Ende sehen wir:

Alles ist bereit. Wir können mit der Arbeit beginnen.

Schritt 3. Konfiguration des Empfängers am Collector

An diesem Punkt müssen wir entscheiden, auf welche Weise die Daten aus den Quellen in das System gelangen. Wie bereits erwähnt, kann dies ein bestimmtes Flow-Protokoll oder ein SPAN-Port am Switch sein.

In unserem Beispiel werden wir die Datenübertragung über die Protokolle NetFlow v9 und IPFIXverwenden. In diesem Fall geben wir die IP-Adresse der Management-Schnittstelle als Ziel an – 192.168.78.198. Die Schnittstellen eth2 und eth3 (vom Typ Monitoring interface) werden verwendet, um eine Kopie des „rohen“ Traffics vom SPAN-Port des Switches zu empfangen. Diese lassen wir weg, das ist nicht unser Fall.
Als nächstes überprüfen wir den Collector-Port, an dem der Traffic ankommen soll.

In unserem Fall erwartet der Collector den Traffic am UDP/2055-Port.

Schritt 4. Konfiguration der Netzwerkausrüstung für den Export von Flow

Die Konfiguration von NetFlow auf Cisco Systems-Geräten kann man wahrscheinlich als völlig gewöhnlich für jeden Netzwerkadministrator bezeichnen. Für unser Beispiel nehmen wir etwas Ungewöhnlicheres. Zum Beispiel den MikroTik-Router RB2011UiAS-2HnD. Ja, seltsamerweise unterstützt auch diese kostengünstige Lösung für kleine und Heimarbeitsplätze die Protokolle NetFlow v5/v9 und IPFIX. In den Einstellungen geben wir das Ziel (die Adresse des Collectors 192.168.78.198 und den Port 2055) an:

Und fügen alle verfügbaren Metriken für den Export hinzu:

Damit können wir sagen, dass die grundlegende Konfiguration abgeschlossen ist. Wir überprüfen, ob der Traffic im System ankommt.

Schritt 5. Überprüfung und Betrieb des Moduls zur Überwachung und Diagnose der Netzwerkleistung

Die Anwesenheit von Traffic aus der Quelle kann im Abschnitt Flowmon Monitoring Center -> Sources:

überprüft werden. Wir sehen, dass Daten ins System gelangen. Nach einiger Zeit, nachdem der Collector Traffic angesammelt hat, beginnen die Widgets, Informationen anzuzeigen:

Ein System wurde nach dem Drill-Down-Prinzip aufgebaut. Das bedeutet, dass der Benutzer, indem er ein für ihn interessantes Fragment im Diagramm oder in der Grafik auswählt, bis zu der Datentiefe "hineinzoomt", die er benötigt:

Bis hin zu Informationen über jede Netzwerkverbindung und jeden Anschluss:

Schritt 6. Modul zur Anomalieerkennung in der Sicherheit

Dieses Modul kann wohl als eines der interessantesten bezeichnet werden, dank der Verwendung von signaturfreien Methoden zur Erkennung von Anomalien im Netzwerkverkehr und bösartiger Netzwerkaktivität. Aber es ist kein Äquivalent zu IDS/IPS-Systemen. Die Arbeit mit dem Modul beginnt mit seinem "Training". Dafür werden in einem speziellen Wizard alle Schlüsselkomponenten und Dienste des Netzwerks angegeben, einschließlich:

Gateways, DNS-, DHCP- und NTP-Serveradressen,
Adressierung in Benutzer- und Serversegmenten.

Danach wechselt das System in den Lernmodus, der im Durchschnitt von 2 Wochen bis zu 1 Monat dauert. In dieser Zeit bildet das System eine Basislinie für den Verkehr, der direkt für unser Netzwerk charakteristisch ist. Einfacher ausgedrückt, das System lernt:

welches Verhalten typisch für die Knoten im Netzwerk ist?
welche Datenmengen üblicherweise übertragen werden und für das Netzwerk normal sind?
welche Arbeitszeiten für die Benutzer typisch sind?
welche Anwendungen im Netzwerk betrieben werden?
und vieles mehr..

Am Ende erhalten wir ein Instrument, das alle Anomalien in unserem Netzwerk und Abweichungen vom typischen Verhalten aufzeigt. Hier sind einige Beispiele, die das System erkennen kann:

Die Verbreitung neuer Malware im Netzwerk, die von Antiviren-Signaturen nicht erkannt wird;
Aufbau von DNS-, ICMP- oder anderen Tunneln und die Übertragung von Daten um die Firewall herum;
Das Auftreten eines neuen Computers im Netzwerk, der sich als DHCP- und/oder DNS-Server ausgibt.

Sehen wir uns an, wie dies in der Praxis aussieht. Nachdem Ihr System das Training abgeschlossen und die Basislinie des Netzwerkverkehrs erstellt hat, beginnt es, Vorfälle zu erkennen:

Die Hauptseite des Moduls – ein Zeitdiagramm, das die erkannten Vorfälle anzeigt. In unserem Beispiel sehen wir einen eindeutigen Anstieg, etwa zwischen 9 und 16 Uhr. Wir heben ihn hervor und sehen uns die Details an.

Es ist deutlich zu erkennen, dass ein Angreifer sich im Netzwerk anormal verhält. Es beginnt damit, dass der Host mit der Adresse 192.168.3.225 ein horizontales Scannen des Netzwerks über Port 3389 (Microsoft RDP-Dienst) startet und 14 potenzielle "Opfer" findet:

und

Der nächste dokumentierte Vorfall ist, dass der Host 192.168.3.225 mit einem Brute-Force-Angriff versucht, Passwörter für den RDP-Dienst (Port 3389) auf zuvor identifizierten Adressen zu erraten.

Im Ergebnis des Angriffs wird an einem der gehackten Hosts eine SMTP-Anomalie festgestellt. Mit anderen Worten, es hat mit dem Versenden von Spam begonnen:

Dieses Beispiel ist eine anschauliche Demonstration der Möglichkeiten der Arbeit des Systems und des Moduls Anomaly Detection Security, insbesondere. Über die Effektivität dürfen Sie selbst urteilen. Damit beenden wir die funktionale Übersicht über die Lösung.

Fazit

Zusammenfassend lassen sich folgende Schlüsse über Flowmon ziehen:

Flowmon ist eine Premiumlösung für Unternehmens-Kunden.
Dank der Universaliät und Kompatibilität sind die Datenerfassung aus beliebigen Quellen möglich: Netzwerkgeräte (Cisco, Juniper, HPE, Huawei…) oder eigene Sonden (Flowmon Probe).
Die Skalierbarkeitsmöglichkeiten der Lösung erlauben es, die Funktionalität des Systems durch Hinzufügen neuer Module zu erweitern und die Leistung durch einen flexiblen Lizenzansatz zu erhöhen.
Durch den Einsatz von technologieunabhängiger Analyse ermöglicht das System die Erkennung selbst von unbekannten Antiviren- und IDS/IPS-Systemen ausgehenden Zero-Day-Angriffen.
Dank der vollständigen "Transparenz" in Bezug auf die Installation und Präsenz des Systems im Netzwerk hat die Lösung keinen Einfluss auf die Funktionsweise anderer Knoten und Komponenten Ihrer IT-Infrastruktur.
Flowmon ist die einzige Lösung auf dem Markt, die die Überwachung des Verkehrs mit Geschwindigkeiten von bis zu 100 Gbit/s unterstützt.
Flowmon ist eine Lösung für Netzwerke jeder Größe.
Das beste Preis-Leistungs-Verhältnis unter ähnlichen Lösungen.

In dieser Übersicht haben wir weniger als 10 % der gesamten Funktionalität der Lösung betrachtet. Im nächsten Artikel werden wir über die anderen Module von Flowmon Networks berichten. Am Beispiel des Moduls Application Performance Monitoring zeigen wir, wie Administratoren von Geschäftsapplikationen die Verfügbarkeit auf dem festgelegten SLA-Niveau sicherstellen und Probleme schnell diagnostizieren können.

Wir möchten Sie auch zu unserem Webinar (10.09.2019) einladen, das den Lösungen des Anbieters Flowmon Networks gewidmet ist. Für die Vorabregistrierung bitten wir Sie, sich hier zu registrieren.
Das ist vorerst alles, vielen Dank für Ihr Interesse!

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte einloggen.