O chionn ghoirid, gheibh thu tòrr stuthan air a 'chuspair air an eadar-lìon. mion-sgrùdadh trafaic aig iomall an lìonra. Aig an aon àm, airson adhbhar air choireigin dhìochuimhnich a h-uile duine gu tur mion-sgrùdadh trafaic ionadail, rud nach eil cho cudromach. Tha an artaigil seo a’ dèiligeadh gu mionaideach ris a’ chuspair seo. Mar eisimpleir cuimhnichidh sinn air an t-seann Netflow math (agus na roghainnean eile), coimhead air cùisean inntinneach, neo-riaghailteachdan a dh’ fhaodadh a bhith san lìonra agus faighinn a-mach buannachdan an fhuasglaidh nuair a bidh an lìonra gu lèir ag obair mar aon sensor. Agus as cudromaiche, faodaidh tu a leithid de sgrùdadh a dhèanamh air trafaic ionadail gu tur an-asgaidh, taobh a-staigh frèam cead deuchainn (Latha 45). Ma tha an cuspair inntinneach dhut, fàilte gu cat. Ma tha thu ro leisg airson leughadh, an uairsin, a’ coimhead air adhart, faodaidh tu clàradh airson , far am bi sinn a 'sealltainn agus ag innse dhut a h-uile dad (faodaidh tu cuideachd ionnsachadh mu thrèanadh toraidh a tha ri thighinn an sin).
Dè a th’ ann an Flowmon Networks?
An toiseach, tha Flowmon na reiceadair IT Eòrpach. Tha a’ chompanaidh Seiceach, le prìomh oifisean ann am Brno (chan eil cùis smachd-bhannan eadhon air a thogail). Mar a tha e an-dràsta, tha a’ chompanaidh air a bhith air a’ mhargaidh bho 2007. Roimhe sin, bha e aithnichte fon bhrand Invea-Tech. Mar sin, gu h-iomlan, cha mhòr 20 bliadhna a chosg air leasachadh bathar agus fuasglaidhean.
Tha Flowmon air a shuidheachadh mar bhrand A-clas. A’ leasachadh prìomh fhuasglaidhean airson luchd-ceannach iomairt agus tha e aithnichte anns na bogsaichean Gartner airson Sgrùdadh Coileanaidh Lìonra agus Diagnostics (NPMD). A bharrachd air an sin, gu h-inntinneach, de na companaidhean uile san aithisg, is e Flowmon an aon reiceadair a thug Gartner fa-near mar neach-dèanamh fuasglaidhean airson sgrùdadh lìonra agus dìon fiosrachaidh (Mion-sgrùdadh Giùlan Lìonra). Chan eil e a’ gabhail a’ chiad àite fhathast, ach air sgàth seo chan eil e coltach ri sgiath Boeing.
Dè na duilgheadasan a tha an toradh a’ fuasgladh?
Gu cruinneil, is urrainn dhuinn an cruinneachadh de ghnìomhan a leanas fhuasgladh le toraidhean na companaidh:
- ag àrdachadh seasmhachd an lìonra, a bharrachd air goireasan lìonra, le bhith a’ lughdachadh an ùine downt agus nach eil iad rim faighinn;
- àrdachadh ìre coileanaidh lìonra iomlan;
- àrdachadh èifeachdas luchd-rianachd air sgàth:
- a’ cleachdadh innealan sgrùdaidh lìonra ùr-nodha stèidhichte air fiosrachadh mu shruth IP;
- a’ toirt seachad mion-sgrùdaidhean mionaideach mu ghnìomhachd agus staid an lìonra - luchd-cleachdaidh agus tagraidhean a tha a’ ruith air an lìonra, dàta air a thar-chuir, goireasan eadar-obrachaidh, seirbheisean agus nodan;
- freagairt ri tachartasan mus tachair iad, agus chan ann às deidh do luchd-cleachdaidh agus teachdaichean seirbheis a chall;
- lùghdachadh na h-ùine agus na goireasan a tha a dhìth gus an lìonra agus bun-structar IT a rianachd;
- a’ sìmpleachadh gnìomhan fuasglaidh.
- àrdachadh ìre tèarainteachd lìonra agus goireasan fiosrachaidh na h-iomairt, tro bhith a’ cleachdadh theicneòlasan neo-ainm-sgrìobhte airson gnìomhachd lìonra neo-riaghailteach agus droch-rùnach a lorg, a bharrachd air “ionnsaighean latha neoni”;
- dèanamh cinnteach gu bheil an ìre SLA a tha a dhìth airson iarrtasan lìonraidh agus stòran-dàta.
Pasgan toraidh Flowmon Networks
A-nis leig dhuinn sùil dhìreach a thoirt air pasgan toraidh Flowmon Networks agus faighinn a-mach dè dìreach a bhios a ’chompanaidh a’ dèanamh. Mar a tha mòran air smaoineachadh mar-thà bhon ainm, tha am prìomh speisealachadh ann am fuasglaidhean airson sgrùdadh trafaic sruthadh sruthadh, a bharrachd air grunn mhodalan a bharrachd a leudaicheas am feart bunaiteach.
Gu dearbh, faodar Flowmon a ghairm mar chompanaidh de aon toradh, no an àite, aon fhuasgladh. Feuch sinn a-mach a bheil seo math no dona.
Is e cridhe an t-siostaim an neach-cruinneachaidh, air a bheil uallach airson dàta a chruinneachadh a’ cleachdadh diofar phròtacalan sruthadh, leithid NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX... Tha e gu math loidsigeach airson companaidh nach eil ceangailte ri neach-dèanamh uidheamachd lìonra sam bith, gu bheil e cudromach toradh uile-choitcheann a thabhann don mhargaidh nach eil ceangailte ri inbhe no protocol sam bith.
Neach-cruinneachaidh Flowmon
Tha an neach-cruinneachaidh ri fhaighinn an dà chuid mar fhrithealaiche bathar-cruaidh agus mar inneal brìgheil (VMware, Hyper-V, KVM). Air an t-slighe, tha an àrd-ùrlar bathar-cruaidh air a chuir an gnìomh air frithealaichean DELL gnàthaichte, a chuireas às gu fèin-ghluasadach a ’mhòr-chuid de chùisean le barantas agus RMA. Is e na h-aon phàirtean bathar-cruaidh seilbhe cairtean glacaidh trafaic FPGA air an leasachadh le fo-bhuidheann de Flowmon, a leigeas le sgrùdadh aig astaran suas ri 100 Gbps.
Ach dè a nì thu mura h-urrainn don uidheamachd lìonra a th’ ann mar-thà sruthadh àrd-inbhe a ghineadh? No a bheil an luchd air an uidheamachd ro àrd? Chan eil duilgheadas ann:
Flowmon Prob
Anns a ’chùis seo, tha Flowmon Networks a’ tabhann na probes aca fhèin (Flowmon Probe) a chleachdadh, a tha ceangailte ris an lìonra tro phort SPAN an suidse no a ’cleachdadh luchd-sgoltadh TAP fulangach.
SPAN (port sgàthan) agus roghainnean buileachaidh TAP
Anns a ’chùis seo, tha an trafaic amh a’ ruighinn an Flowmon Probe air a thionndadh gu IPFIX leudaichte anns a bheil barrachd 240 metrics le fiosrachadh. Ged nach eil barrachd air 80 meatrach anns a’ phròtacal àbhaisteach NetFlow a chaidh a chruthachadh le uidheamachd lìonra. Leigidh seo le faicsinneachd protocol chan ann a-mhàin aig ìrean 3 agus 4, ach cuideachd aig ìre 7 a rèir modail ISO OSI. Mar thoradh air an sin, faodaidh luchd-rianachd lìonra sùil a chumail air gnìomhachd thagraidhean agus protocolaidhean leithid post-d, HTTP, DNS, SMB ...
Gu bun-bheachdail, tha ailtireachd loidsigeach an t-siostaim a’ coimhead mar seo:
Is e am meadhan pàirt de “eag-shiostam” Flowmon Networks an Neach-cruinneachaidh, a gheibh trafaic bho uidheamachd lìonraidh a th ’ann no na probes aige fhèin (Probe). Ach airson fuasgladh Iomairt, bhiodh e ro shìmplidh a bhith a’ toirt seachad comas-gnìomh a-mhàin airson sùil a chumail air trafaic lìonraidh. Faodaidh fuasglaidhean Open Source seo a dhèanamh cuideachd, ged nach ann le coileanadh mar sin. Tha luach Flowmon nam modalan a bharrachd a leudaicheas an comas-gnìomh bunaiteach:
- modal Tèarainteachd lorg neo-riaghailteachd - comharrachadh gnìomhachd lìonra neo-riaghailteach, a’ toirt a-steach ionnsaighean latha neoni, stèidhichte air mion-sgrùdadh heuristic air trafaic agus ìomhaigh lìonra àbhaisteach;
- modal Sgrùdadh Coileanaidh Iarrtais - a’ cumail sùil air coileanadh thagraidhean lìonra gun a bhith a’ stàladh “àidseantan” agus a’ toirt buaidh air siostaman targaid;
- modal Neach-clàraidh Trafaic - a’ clàradh chriomagan de thrafaig lìonra a rèir seata de riaghailtean ro-mhìnichte no a rèir brosnachaidh bhon mhodal ADS, airson tuilleadh fhuasgladh agus/no sgrùdadh air tachartasan tèarainteachd fiosrachaidh;
- modal Dìon DDoS - dìon iomall an lìonra bho ionnsaighean diùltadh seirbheis DoS / DDoS tomhas-lìonaidh, a’ toirt a-steach ionnsaighean air tagraidhean (OSI L3 / L4 / L7).
San artaigil seo, seallaidh sinn ri mar a tha a h-uile càil ag obair beò a’ cleachdadh an eisimpleir de mhodalan 2 - Sgrùdadh Coileanaidh Lìonra agus Diagnostics и Tèarainteachd lorg neo-riaghailteachd.
Dàta stòr:
- Frithealaiche Lenovo RS 140 le hypervisor VMware 6.0;
- Ìomhaigh inneal brìgheil Flowmon Collector as urrainn dhut ;
- paidhir suidsichean a’ toirt taic do phròtacalan sruthadh.
Ceum 1. Stàlaich Flowmon Collector
Tha cleachdadh inneal brìgheil air VMware a’ tachairt ann an dòigh gu tur àbhaisteach bhon teamplaid OVF. Mar thoradh air an sin, gheibh sinn inneal brìgheil a’ ruith CentOS agus le bathar-bog deiseil airson a chleachdadh. Tha riatanasan ghoireasan daonna:
Chan eil air fhàgail ach tòiseachadh bunaiteach a dhèanamh leis an àithne sysconfig:
Bidh sinn a ’rèiteachadh IP air a’ phort riaghlaidh, DNS, ùine, Ainm aoigheachd agus is urrainn dhuinn ceangal ris an eadar-aghaidh WEB.
Ceum 2. Stàladh ceadachas
Thèid cead deuchainn airson mìos gu leth a chruthachadh agus a luchdachadh sìos còmhla ris an ìomhaigh inneal brìgheil. Air a luchdachadh tro Ionad rèiteachaidh -> Ceadachas. Mar thoradh air sin chì sinn:
Tha a h-uile dad deiseil. Faodaidh tu tòiseachadh ag obair.
Ceum 3. A 'stèidheachadh a' ghlacadair air an neach-cruinneachaidh
Aig an ìre seo, feumaidh tu co-dhùnadh ciamar a gheibh an siostam dàta bho thùsan. Mar a thuirt sinn na bu thràithe, dh’ fhaodadh seo a bhith mar aon de na protocolaidhean sruthadh no port SPAN air an suidse.
Anns an eisimpleir againn, cleachdaidh sinn fàilteachadh dàta a 'cleachdadh protocols NetFlow v9 agus IPFIX. Anns a 'chùis seo, bidh sinn a' sònrachadh seòladh IP an eadar-aghaidh Riaghlaidh mar thargaid - 192.168.78.198. Bithear a’ cleachdadh eadar-aghaidh eth2 agus eth3 (leis an t-seòrsa eadar-aghaidh sgrùdaidh) gus leth-bhreac den trafaic “amh” fhaighinn bho phort SPAN an suidse. Leigidh sinn troimhe iad, chan e ar cùis.
An ath rud, bheir sinn sùil air a’ phort cruinneachaidh far am bu chòir an trafaic a dhol.
Anns a 'chùis againn, bidh an neach-cruinneachaidh ag èisteachd airson trafaig air port UDP/2055.
Ceum 4. Uidheam lìonraidh a rèiteachadh airson às-mhalairt sruth
Is dòcha gur e gnìomh gu tur cumanta a th’ ann a bhith a’ stèidheachadh NetFlow air uidheamachd Cisco Systems airson rianadair lìonra sam bith. Airson an eisimpleir againn, gabhaidh sinn rudeigin nas annasaiche. Mar eisimpleir, an router MikroTik RB2011UiAS-2HnD. Tha, gu h-annasach gu leòr, tha fuasgladh buidseit mar seo airson oifisean beaga agus dachaigh cuideachd a’ toirt taic do phròtacalan NetFlow v5/v9 agus IPFIX. Anns na roghainnean, suidhich an targaid (seòladh cruinneachaidh 192.168.78.198 agus port 2055):
Agus cuir ris a h-uile meatrach a tha ri fhaighinn airson às-mhalairt:
Aig an ìre seo faodaidh sinn a ràdh gu bheil an stèidheachadh bunaiteach deiseil. Nì sinn sgrùdadh a bheil trafaic a’ dol a-steach don t-siostam.
Ceum 5: Dèan deuchainn agus obrachadh air modal sgrùdaidh coileanaidh lìonra agus Diagnostics
Faodaidh tu sgrùdadh a dhèanamh air làthaireachd trafaic bhon stòr san roinn Ionad Sgrùdaidh Flowmon -> Stòran:
Chì sinn gu bheil dàta a’ dol a-steach don t-siostam. Beagan ùine às deidh don neach-cruinneachaidh trafaic a chruinneachadh, tòisichidh na widgets a ’taisbeanadh fiosrachadh:
Tha an siostam stèidhichte air prionnsapal drile sìos. Is e sin, nuair a bhios an neach-cleachdaidh a 'taghadh criomag ùidh air diagram no graf, "a' tuiteam" chun ìre doimhneachd an dàta a dh 'fheumas e:
Sìos gu fiosrachadh mu gach ceangal lìonra agus ceangal:
Ceum 6. Modal tèarainteachd lorg neo-riaghailteachd
Is dòcha gur e am modal seo aon den fheadhainn as inntinniche, le taing do bhith a’ cleachdadh dhòighean gun ainm-sgrìobhte airson neo-riaghailteachdan a lorg ann an trafaic lìonraidh agus gnìomhachd lìonra droch-rùnach. Ach chan e analogue de shiostaman IDS/IPS a tha seo. Bidh obrachadh leis a’ mhodal a’ tòiseachadh leis an “trèanadh” aige. Gus seo a dhèanamh, bidh draoidh sònraichte a’ sònrachadh prìomh phàirtean agus seirbheisean an lìonraidh, nam measg:
- seòlaidhean geata, frithealaichean DNS, DHCP agus NTP,
- dèiligeadh ann an roinnean luchd-cleachdaidh agus frithealaiche.
Às deidh seo, thèid an siostam a-steach don mhodh trèanaidh, a mhaireas gu cuibheasach bho 2 sheachdain gu 1 mìos. Rè na h-ùine seo, bidh an siostam a’ gineadh trafaic bun-loidhne a tha sònraichte don lìonra againn. Gu sìmplidh, tha an siostam ag ionnsachadh:
- dè an giùlan a tha àbhaisteach airson nodan lìonra?
- Dè an ìre de dhàta a tha mar as trice air a ghluasad agus a tha àbhaisteach airson an lìonra?
- Dè an ùine obrachaidh àbhaisteach airson luchd-cleachdaidh?
- dè na h-aplacaidean a tha a’ ruith air an lìonra?
- agus mòran a bharrachd ..
Mar thoradh air an sin, gheibh sinn inneal a chomharraicheas neo-riaghailteachdan sam bith san lìonra againn agus gluasadan bho ghiùlan àbhaisteach. Seo eisimpleir no dhà a leigeas leat an siostam a lorg:
- sgaoileadh malware ùr air an lìonra nach eil air a lorg le ainmean-sgrìobhte antivirus;
- a’ togail DNS, ICMP no tunailean eile agus a’ sgaoileadh dàta a’ dol seachad air a’ bhalla-teine;
- coltas coimpiutair ùr air an lìonra na sheasamh mar fhrithealaiche DHCP agus / no DNS.
Chì sinn cò ris a tha e coltach beò. Às deidh don t-siostam agad a bhith air a thrèanadh agus bun-loidhne de thrafaig lìonra a thogail, tòisichidh e a’ lorg thachartasan:
Is e prìomh dhuilleag a’ mhodail loidhne-tìm a’ sealltainn tachartasan comharraichte. Anns an eisimpleir againn, chì sinn spìc soilleir, timcheall air eadar 9 agus 16 uairean. Feuch an tagh sinn e agus coimhead nas mionaidiche.
Tha giùlan neo-riaghailteach an neach-ionnsaigh air an lìonra ri fhaicinn gu soilleir. Tha e uile a’ tòiseachadh leis an fhìrinn gun do thòisich an aoigh leis an t-seòladh 192.168.3.225 air sgrùdadh còmhnard den lìonra air port 3389 (seirbheis Microsoft RDP) agus lorg e 14 “luchd-fulaing” a dh’fhaodadh a bhith ann:
и
Tha an tachartas clàraichte a leanas - aoigheachd 192.168.3.225 a’ tòiseachadh ionnsaigh feachd brùideil gu faclan-faire feachd brùideil air an t-seirbheis RDP (port 3389) aig na seòlaidhean a chaidh ainmeachadh roimhe:
Mar thoradh air an ionnsaigh, lorgar neo-riaghailteachd SMTP air aon de na h-aoighean a chaidh a slaodadh. Ann am faclan eile, tha SPAM air tòiseachadh:
Tha an eisimpleir seo na dhearbhadh soilleir air comasan an t-siostaim agus modal Tèarainteachd Lorg Anomaly gu sònraichte. Dèan breithneachadh air èifeachdas dhut fhèin. Tha seo a’ crìochnachadh an ath-shealladh gnìomh den fhuasgladh.
co-dhùnadh
Bheir sinn geàrr-chunntas air na co-dhùnaidhean as urrainn dhuinn a dhèanamh mu Flowmon:
- Tha Flowmon na phrìomh fhuasgladh airson luchd-ceannach corporra;
- mar thoradh air cho sùbailteachd agus cho-chòrdalachd, tha cruinneachadh dàta ri fhaighinn bho stòr sam bith: uidheamachd lìonra (Cisco, Juniper, HPE, Huawei ...) no na probes agad fhèin (Flowmon Probe);
- Leigidh comasan scalability an fhuasglaidh dhut comas-gnìomh an t-siostaim a leudachadh le bhith a’ cur mhodalan ùra ris, a bharrachd air àrdachadh cinneasachd le taing do dhòigh-obrach sùbailte a thaobh ceadachd;
- tro bhith a’ cleachdadh theicneòlasan sgrùdaidh gun ainm-sgrìobhte, leigidh an siostam leat ionnsaighean latha neoni a lorg eadhon nach eil eòlach air antiviruses agus siostaman IDS/IPS;
- taing do “fhollaiseachd” iomlan a thaobh stàladh agus làthaireachd an t-siostam air an lìonra - chan eil am fuasgladh a’ toirt buaidh air gnìomhachd nodan agus co-phàirtean eile den bhun-structar IT agad;
- Is e Flowmon an aon fhuasgladh air a’ mhargaidh a bheir taic do sgrùdadh trafaic aig astaran suas ri 100 Gbps;
- Tha Flowmon na fhuasgladh airson lìonraidhean de sgèile sam bith;
- an co-mheas prìs / gnìomh as fheàrr am measg fhuasglaidhean coltach ris.
Anns an ath-bhreithneachadh seo, rinn sinn sgrùdadh air nas lugha na 10% de ghnìomhachd iomlan an fhuasglaidh. Anns an ath artaigil bruidhnidh sinn mu na modalan Flowmon Networks a tha air fhàgail. A’ cleachdadh a’ mhodal Sgrùdadh Coileanaidh Tagraidh mar eisimpleir, seallaidh sinn mar as urrainn do luchd-rianachd tagradh gnìomhachais dèanamh cinnteach gu bheil iad rim faighinn aig ìre SLA sònraichte, a bharrachd air duilgheadasan a lorg cho luath ‘s a ghabhas.
Cuideachd, bu mhath leinn cuireadh a thoirt dhut chun webinar againn (10.09.2019/XNUMX/XNUMX) a tha coisrigte do fhuasglaidhean an neach-reic Flowmon Networks. Gus ro-chlàradh, bidh sinn a’ faighneachd dhut .
Tha sin uile airson a-nis, tapadh leat airson d’ ùidh!
Chan fhaod ach luchd-cleachdaidh clàraichte pàirt a ghabhail san sgrùdadh. , mas e do thoil e.
A bheil thu a’ cleachdadh Netflow airson sgrùdadh lìonra?
-
gu bheil
-
Chan eil, ach tha mi an dùil
-
Chan eil
Bhòt 9 neach-cleachdaidh. Cha do stad 3 neach-cleachdaidh.
Source: www.habr.com