Võrgujärelevalve ja ebanormaalsete võrguaktiivsuste avastamine Flowmon Networks'i lahenduste abil

Viimasel ajal on Internetis saadaval tohutult materjale teema kohta võrgu perimeetri liikluse analüüsist. Samuti on kõigile kuidagi täiesti unustatud kohaliku liikluse analüüs, mis on sama oluline. See artikkel käsitleb just seda teemat. Näiteks Flowmon Networks tuletame meelde vanade head Netflow'i (ja selle alternatiivide) kasutamist, vaatame huvitavaid juhtumeid, võimalikke võrgu ebanormaalsusi ja õpime lahenduse eeliseid, kui kogu võrk töötab nagu üks sensor. Ja mis kõige parem - sellist kohaliku liikluse analüüsi saab täiesti tasuta teostada prooviversiooni raames (45 päeva). Kui teema teid huvitab, olete oodatud lugema edasi. Kui aga lugemine tundub vaevana, siis võib ettevaatlikult registreeruda ootaval veebinaril, kus me näitame ja räägime kõigest (seal saab ka teada toodete koolituste kohta).

Mis on Flowmon Networks?

Esiteks on Flowmon Euroopa IT-tootja. Ettevõte on Tšehhi, peakorter asub Brnos (sanktsioonide küsimus ei tule isegi kõne alla). Praeguses vormis on ettevõte turul alates 2007. aastast. Enne seda oli tuntud brändi nimega Invea-Tech. Kokku on toodete ja lahenduste arendamiseks kulutatud peaaegu 20 aastat.

Flowmon positsioneerib end A-klassi brändina. Arendab premium-taseme lahendusi ettevõtte klientidele ja on esindatud Gartneri aruandes võrgu jõudluse jälgimise ja diagnostika (NPMD) valdkonnas. Mis on huvitav, kõikidest ettevõtetest aruandes on Flowmon ainus tootja, keda Gartner tunnustab nii võrgu jälgimise kui ka informatsiooni kaitse (Network Behavior Analysis) lahenduste tootjana. Esimese koha nad veel ei oma, kuid seetõttu ei ole nad nii kõrge hinnaga nagu Boeing'i tiivad.

Milliseid ülesandeid toode lahendab?

Globaalset, saab tuvastada järgmised ülesannete rühmad, mida ettevõtte tooted lahendavad:

1. võrgu ja võrguressursside töö stabiilsuse suurendamine, minimeerides nende seisu ja kättesaamatuse aega;
2. võrgu üldise jõudluse tõstmine;
3. administratiivse personali töö efektiivsuse suurendamine, kasutades:
   • kaasaegseid innovaatilisi võrgu jälgimisvahendeid, mis põhinevad IP-voogude teabel;
   • details of network operation and status analytics – users and applications operating on the network, transmitted data, interacting resources, services, and nodes;
   • responding to incidents before they occur, rather than after users and clients have lost service;
   • reducing the time and resources required for network and IT infrastructure administration;
   • simplifying troubleshooting tasks.
4. increasing the security level of the network and enterprise information resources by employing non-signature technologies to detect anomalous and malicious network activity, as well as zero-day attacks;
5. ensuring the required level of SLA for network applications and databases.

Flowmon Networks Product Portfolio

Now let’s look directly at the Flowmon Networks product portfolio and find out what the company specifically deals with. As many have already guessed from the name, the main specialization is in solutions for flow traffic monitoring, plus a number of additional modules that expand the basic functionality.

In fact, Flowmon can be called a one-product company, or rather – one solution. Let's figure out whether this is good or bad.

The core of the system is a collector responsible for gathering data from various flow protocols, such as NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX… It stands to reason that for a company not affiliated with any of the network equipment manufacturers, it is important to offer the market a universal product that is not tied to a single standard or protocol.

Flowmon Collector

The collector is available both as a hardware server and as a virtual machine (VMware, Hyper-V, KVM). By the way, the hardware platform is implemented on customized DELL servers, which automatically alleviates many warranty and RMA concerns. The only proprietary hardware components are the FPGA traffic capture boards developed by Flowmon’s subsidiary, which allow monitoring speeds of up to 100 Gbps.

But what to do if the existing network equipment cannot generate quality flow? Or if the load on the equipment is too high? No problem:

Flowmon Probe

Selleks pakub Flowmon Networks oma probe'e (Flowmon Probe), mis ühendatakse võrku SPAN-pordi või passiivsete TAP-harude kaudu.

SPAN (peegelpordid) ja TAP rakendamisvõimalused

Sellel juhul muudetakse Flowmon Probe'ile edastatav 'toores' liiklus laiendatud IPFIX-iks, mis sisaldab rohkem kui 240 mõõdikut teabe kohta. Standardses NetFlow protokollis, mida genereerib võrgusseade, on mitte rohkem kui 80 mõõdikut. See võimaldab tagada protokollide nähtavuse mitte ainult 3. ja 4. tasandil, vaid ka 7. tasandil ISO OSI mudeli kohaselt. Lõppkokkuvõttes saavad võrguhaldurid jälgida selliste rakenduste ja protokollide toimimist nagu e-mail, HTTP, DNS, SMB…

Kontekstselt näeb süsteemi loogiline arhitektuur välja järgmiselt:

Kogu Flowmon Networks'i 'öko-süsteemi' keskpunktiks on Collector, mis saab liiklust olemasolevatelt võrguseadmetelt või oma probe'ilt (Probe). Kuid ettevõtte lahendusele oleks liiga lihtne pakkuda funktsioone ainult võrgu liikluse jälgimiseks. Seda oskavad teha ka avatud lähtekoodiga lahendused, kui mitte sama tootlikkusega. Flowmon'i väärtus peitub täiendavates moodulites, mis laiendavad põhifunktsionaalsust:

• moodul Anomaalia avastamise turvalisus – anomaalse võrguaktiivsuse tuvastamine, sealhulgas nullpäeva rünnakud, heuristilise liikluse analüüsi ja tüüpilise võrgu profiili alusel;
• moodul Rakenduste Tulemuslikkuse Jälgimine – võrgu rakenduste tootlikkuse jälgimine ilma agentide paigaldamiseta ja sihtsüsteemidele mõju avaldamata;
• moodul Liiklusrekordi pidaja – võrguliikluse fragmentide salvestamine ettenähtud reeglite või ADS-mooduli käivitajate kaudu edasise tõrkeotsingu ja/või küberturbe juhtumite uurimise jaoks;
• moodul DDoS-kaitse – võrgu piiri kaitsmine mahu põhiste teenusetõkestamise DoS/DDoS rünnakute eest, sealhulgas rakenduste rünnakud (OSI L3/L4/L7).

Käesolevas artiklis vaatleme, kuidas kõik töötab reaalajas kahe mooduli näitel – Võrgu töötluse jälgimine ja diagnostika ja Anomaalia avastamise turvalisus.
Sisendisubmit:

• Lenovo RS 140 server koos hüperviisoriga VMware 6.0;
• Flowmon Collector'i virtuaalmasina pilt, mille saab siit alla laadida;
• paar lülitit, mis toetavad voolu protokolle.

Samm 1. Flowmon Collector'i installatsioon

Virtuaalmachiini käivitamine VMware-s toimub täiesti standardsel viisil OVF-mallilt. Lõpptulemusena saame virtuaalmachiini, mis töötab CentOS-i all ja on varustatud tööks vajaliku tarkvaraga. Resursside nõuded on mõistlikud:

Jäänud on vaid teha põhialustamine käsu sysconfig:

Seadistame IP haldustasandil, DNS, aja, Hostname ja saame ühendada WEB-liidesesse.

Samm 2. Litsentsi installimine

Kaks ja poole kuu prooviversioon genereeritakse ja allalaaditakse koos virtuaalmachiini pildiga. Laadime sisse läbi Configuration Center -> License. Lõpptulemusena näeme:

Kõik on valmis. Saab alustada töötamist.

Samm 3. Vastuvõtja seadistamine kollektoris

Selles etapis tuleb otsustada, kuidas süsteemi andmed allikatest jõuavad. Nagu varem juba mainitud, võib see olla üks protokollidest flow või SPAN-port lülitil.

Meie näites kasutame andmete vastuvõttu protokollide NetFlow v9 ja IPFIX. Sellisel juhul määrame sihtmärgiks haldustasandi IP-aadressi – 192.168.78.198. Eth2 ja eth3 liidesed (tüübiga Monitoring interface) on mõeldud „toore” liikluse koopia vastuvõtmiseks lüliti SPAN-portilt. Jätame need vahele, meie juhtum ei ole.
Seejärel kontrollime kollektoriporda, kuhu liiklus peaks jõudma.

Meie juhul ootab kollektor liiklust UDP/2055 porti.

Samm 4. Võrguseadmete seadistamine flow eksportimiseks

NetFlow seadistamine Cisco Systems seadmetes on tõenäoliselt iga võrgu administraatori jaoks täiesti tavaline asi. Meie näites võtame midagi veidi ebatavalisemat. Näiteks MikroTik RB2011UiAS-2HnD marsruuter. Jah, uskumatult, selline odavam lahendus väikestes ja kodukontorites toetab samuti NetFlow v5/v9 ja IPFIX protokolle. Seadetes määrame sihtmärgiks (kogumisse aadress 192.168.78.198 ja port 2055):

Ja lisame kõik kergesti saadaval olevad eksportimise metoodikad:

Sellega võib öelda, et põhiseadistus on lõpetatud. Kontrollime, kas süsteemi jõuab liiklus.

Samm 5. Võrguteabe ja diagnostika mooduli kontrollimine ja kasutamine

Allika liikluse olemasolu saab kontrollida jaotises Flowmon Monitoring Center -> Sources:

Näeme, et andmed jõuavad süsteemi. Mõne aja pärast, kui kollektor on liiklust kogunud, hakkavad vidinad kuvama teavet:

Süsteem on üles ehitatud drill down printsiipe järgides. See tähendab, et kasutaja, valides skeemil või graafikul endale huvipakkuva frantsi, "kaevub" nende andmete sügavusele, mis talle on vajalik:

Kuni teabe saamiseni iga võrguühenduse ja ühenduse kohta:

Samm 6. Anomaaliate Tuvamise Turvamoodul

Seda moodulit võib pidada ilmselt üheks kõige huvitavamaks, kuna see kasutab allkirja põhiseid meetodeid anomaaliate tuvastamiseks võrguliikluses ja kahjulikus võrguaktiivsuses. Kuid see ei ole IDS/IPSi süsteemide analoog. Mooduliga töötamine algab selle "õpetamisest". Selleks märgitakse spetsiaalses wizardis kõik võtme komponendid ja teenused, sealhulgas:

• lähtepunktide, DNS-i, DHCP ja NTP serverite aadressid,
• aadressid kasutajate ja serverite segmentides.

Pärast seda läheb süsteem õpperežiimi, mis kestab keskmiselt 2 nädalat kuni 1 kuu. Selle aja jooksul loob süsteem meie võrgu iseloomuliku liikluse aluse. Teisisõnu, süsteem õpib:

• milline käitumine on iseloomulik võrgu sõlmedele?
• millised andmehulga ülekanded on normaalsed võrgu jaoks?
• milline tööaeg on tüüpiline kasutajatele?
• millised rakendused töötavad võrgus?
• ja palju muud..

Lõpptulemusena saame tööriista, mis tuvastab meie võrgus mistahes anomaaliad ja kõrvalekalded iseloomulikust käitumisest. Siin on paar näidet, mida süsteem suudab tuvastada:

• uue kahjuliku tarkvara leviku võrgu kaudu, mida viirusetõrjed ei suuda tuvastada;
• DNS-i, ICMP või teiste tunnelite loomine ning andmete edastamine läbi tulemüüri;
• uue arvuti ilmumine võrku, mis esitleb end DHCP ja/või DNS serverina.

Vaatame, kuidas see elavas vormis välja näeb. Pärast seda, kui teie süsteem on läbinud koolituse ja loonud võrgu liikluse aluse, hakkab ta tuvastama sündmusi:

Mooduli avaleht – ajagraafik, kus kuvatakse tuvastatud sündmusi. Meie näites näeme selgelt tõusu, umbes kella 9 ja 16 vahel. Tõstame esile ja vaatame lähemalt.

Selgelt on näha ründaja ebanormaalset käitumist võrgus. Kõik algab sellest, et host aadressiga 192.168.3.225 alustas horisontaalset skaneerimist võrgu kaudu port 3389 (Microsoft RDP teenus) ja leiab 14 potentsiaalset "ohvrit":

ja

Järgmist fikseeritud intsidenti – host 192.168.3.225 alustab jõhkrat jõuloojutust RDP teenuse (port 3389) paroolide proovimise rünnakut varem tuvastatud aadresside suhtes:

Rünnaku tulemusena fikseeriti ühel rünnatud hostist SMTP anomaalia. Teisisõnu, alustati rämpsposti saatmist:

Antud näide on selge demonstratsioon süsteemi ja Anomaly Detection Security mooduli toimimisvõimetest. Efektiivsuse hindamine jääb teie endi otsustada. Sellega lõpetame lahenduse funktsionaalset ülevaadet.

Kokkuvõte

Kokkuvõtteks, milliseid järeldusi saame Flowmoni kohta teha:

• Flowmon on premium taseme lahendus ettevõtte klientidele;
• tänu universaalsusele ja ühilduvusele on andmete kogumine saadaval mis tahes allikatest: võrgu seadmetest (Cisco, Juniper, HPE, Huawei…) või oma sondidest (Flowmon Probe);
• lahenduse skaleerimisvõimalused võimaldavad süsteemi funktsionaalsust suurendada uute moodulite lisamisega, samuti tõsta sooritust paindliku litsentsimise lähenemise kaudu;
• ainult seeläbi, et kasutatakse allkirjastamata analüüsi tehnoloogiaid, suudab süsteem avastada isegi tuntusele teadaolevaid ja IDS/IPS süsteemidele võõraid nullpäeva rünnakuid;
• tänu täielikule "läbipaistvusele" süsteemi paigaldamisel ja kohalolekul võrgus – lahendus ei mõjuta teiste sõlmede ja teie IT infrastruktuuri komponentide tööd;
• Flowmon on ainus turul olev lahendus, mis toetab liikluse jälgimist kiirusel kuni 100 Gbit/s;
• Flowmon on lahendus igasuguste võrkude jaoks;
• parim hind / funktsionaalsuse suhe sarnaste lahenduste seas.

Selles ülevaates vaatlesime vähem kui 10% lahenduse üldfunktsionaalsusest. Järgmises artiklis räägime ülejäänud Flowmon Networks moodulitest. Näitena rakenduse jõudluse jälgimise moodulist näitame, kuidas äri rakenduste administraatorid saavad tagada saadavuse määratud SLA tasemel ning maksimaalselt kiiresti diagnoosida probleeme.

Samuti kutsume teid meie veebinarile (10.09.2019), mis käsitleb Flowmon Networks'i lahendusi. Eelregistreerimiseks palume teil registreerida siin.
Sellega on kõik, aitäh teie huvi eest!

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Kas kasutate Netflow'd võrgu jälgimiseks?

• Jah

• Ei, kuid kavatsen

• Ei

Hääletas 9 kasutajat. 3 kasutajat pidurdusid.

Allikas: habr.com