આંતરિક નેટવર્ક સુરક્ષાને મોનિટર કરવા માટેના સાધન તરીકે ફ્લો પ્રોટોકોલ

જ્યારે આંતરિક કોર્પોરેટ અથવા વિભાગીય નેટવર્કની સુરક્ષા પર દેખરેખ રાખવાની વાત આવે છે, ત્યારે ઘણા લોકો તેને માહિતી લીકને નિયંત્રિત કરવા અને DLP ઉકેલોના અમલીકરણ સાથે સાંકળે છે. અને જો તમે પ્રશ્નને સ્પષ્ટ કરવાનો પ્રયાસ કરો અને પૂછો કે તમે આંતરિક નેટવર્ક પર હુમલા કેવી રીતે શોધી શકો છો, તો જવાબ, નિયમ તરીકે, ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ્સ (IDS) નો ઉલ્લેખ હશે. અને 10-20 વર્ષ પહેલા જે એક માત્ર વિકલ્પ હતો તે આજે અનાક્રોનિઝમ બની રહ્યો છે. ત્યાં વધુ અસરકારક છે, અને કેટલાક સ્થળોએ, આંતરિક નેટવર્ક પર દેખરેખ રાખવાનો એકમાત્ર સંભવિત વિકલ્પ છે - ફ્લો પ્રોટોકોલનો ઉપયોગ કરીને, જે મૂળરૂપે નેટવર્ક સમસ્યાઓ (મુશ્કેલી નિવારણ) શોધવા માટે બનાવવામાં આવ્યા હતા, પરંતુ સમય જતાં તે ખૂબ જ રસપ્રદ સુરક્ષા સાધનમાં રૂપાંતરિત થયું. અમે ત્યાં કયા પ્રકારનાં ફ્લો પ્રોટોકોલ છે અને તેમાંથી કયા નેટવર્ક હુમલાઓને શોધવામાં વધુ સારા છે, જ્યાં ફ્લો મોનિટરિંગનો અમલ કરવો શ્રેષ્ઠ છે, આવી યોજનાનો ઉપયોગ કરતી વખતે શું જોવું જોઈએ અને આ બધું કેવી રીતે "ઉપાડવું" તે વિશે વાત કરીશું. આ લેખના અવકાશમાં ઘરેલું સાધનો પર.

હું આ પ્રશ્ન પર ધ્યાન આપીશ નહીં "આંતરિક માળખાકીય સુરક્ષા મોનિટરિંગની જરૂર કેમ છે?" જવાબ સ્પષ્ટ જણાય છે. પરંતુ જો, તેમ છતાં, તમે ફરી એકવાર ખાતરી કરવા માંગો છો કે આજે તમે તેના વિના જીવી શકતા નથી, એક નજર તમે ફાયરવોલ દ્વારા સુરક્ષિત કોર્પોરેટ નેટવર્કને 17 રીતે કેવી રીતે પેનિટ્રેટ કરી શકો છો તે વિશેનો ટૂંકો વિડિયો. તેથી, અમે ધારીશું કે અમે સમજીએ છીએ કે આંતરિક દેખરેખ એ એક આવશ્યક વસ્તુ છે અને તે કેવી રીતે ગોઠવી શકાય તે સમજવાનું બાકી છે.

હું નેટવર્ક સ્તરે ઈન્ફ્રાસ્ટ્રક્ચરની દેખરેખ માટે ત્રણ મુખ્ય ડેટા સ્ત્રોતોને પ્રકાશિત કરીશ:

• "કાચો" ટ્રાફિક કે જે અમે કેપ્ચર કરીએ છીએ અને ચોક્કસ વિશ્લેષણ સિસ્ટમમાં વિશ્લેષણ માટે સબમિટ કરીએ છીએ,
• નેટવર્ક ઉપકરણોમાંથી ઇવેન્ટ કે જેના દ્વારા ટ્રાફિક પસાર થાય છે,
• ફ્લો પ્રોટોકોલમાંથી એક દ્વારા પ્રાપ્ત ટ્રાફિક માહિતી.

સુરક્ષા નિષ્ણાતોમાં કાચો ટ્રાફિક કેપ્ચર કરવો એ સૌથી લોકપ્રિય વિકલ્પ છે, કારણ કે તે ઐતિહાસિક રીતે દેખાયો હતો અને તે પહેલો હતો. પરંપરાગત નેટવર્ક ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ્સ (ખૂબ જ પ્રથમ વ્યાપારી ઘૂસણખોરી શોધ પ્રણાલી વ્હીલ ગ્રુપમાંથી નેટરેન્જર હતી, જે સિસ્કો દ્વારા 1998માં ખરીદવામાં આવી હતી) ચોક્કસપણે પેકેટો (અને પછીના સત્રો) કેપ્ચર કરવામાં રોકાયેલા હતા જેમાં ચોક્કસ હસ્તાક્ષરો જોવામાં આવ્યા હતા ("નિર્ણાયક નિયમો") FSTEC પરિભાષા), સિગ્નલિંગ હુમલા. અલબત્ત, તમે માત્ર IDS નો ઉપયોગ કરીને જ નહીં, પરંતુ અન્ય ટૂલ્સનો ઉપયોગ કરીને પણ કાચા ટ્રાફિકનું વિશ્લેષણ કરી શકો છો (ઉદાહરણ તરીકે, Wireshark, tcpdum અથવા Cisco IOS માં NBAR2 કાર્યક્ષમતા), પરંતુ તેઓ સામાન્ય રીતે માહિતી સુરક્ષા ટૂલને નિયમિત કરતા અલગ પાડે તેવા જ્ઞાન આધારનો અભાવ છે. આઇટી ટૂલ.

તેથી, હુમલો શોધ સિસ્ટમો. નેટવર્ક હુમલાઓ શોધવાની સૌથી જૂની અને સૌથી લોકપ્રિય પદ્ધતિ, જે પરિમિતિ પર સારું કામ કરે છે (કોર્પોરેટ, ડેટા સેન્ટર, સેગમેન્ટ, વગેરે. કોઈ બાબત નથી), પરંતુ આધુનિક સ્વિચ કરેલ અને સૉફ્ટવેર-વ્યાખ્યાયિત નેટવર્ક્સમાં નિષ્ફળ જાય છે. પરંપરાગત સ્વીચોના આધારે બનેલા નેટવર્કના કિસ્સામાં, એટેક ડિટેક્શન સેન્સર્સનું ઇન્ફ્રાસ્ટ્રક્ચર ખૂબ મોટું બની જાય છે - તમારે તે નોડના દરેક કનેક્શન પર સેન્સર ઇન્સ્ટોલ કરવું પડશે જેના પર તમે હુમલાઓનું નિરીક્ષણ કરવા માંગો છો. કોઈપણ ઉત્પાદક, અલબત્ત, તમને સેંકડો અને હજારો સેન્સર વેચવામાં ખુશ થશે, પરંતુ મને લાગે છે કે તમારું બજેટ આવા ખર્ચને સમર્થન આપી શકતું નથી. હું કહી શકું છું કે સિસ્કોમાં પણ (અને અમે એનજીઆઈપીએસના વિકાસકર્તા છીએ) અમે આ કરી શક્યા નથી, જો કે એવું લાગે છે કે કિંમતનો મુદ્દો આપણી સમક્ષ છે. મારે ઊભા ન રહેવું જોઈએ - તે આપણો પોતાનો નિર્ણય છે. વધુમાં, પ્રશ્ન ઊભો થાય છે, આ સંસ્કરણમાં સેન્સરને કેવી રીતે કનેક્ટ કરવું? ગેપ માં? જો સેન્સર પોતે જ નિષ્ફળ જાય તો શું? સેન્સરમાં બાયપાસ મોડ્યુલની જરૂર છે? સ્પ્લિટર્સ (ટેપ) નો ઉપયોગ કરીએ? આ બધું સોલ્યુશનને વધુ ખર્ચાળ બનાવે છે અને કોઈપણ કદની કંપની માટે તેને પરવડે તેવું બનાવે છે.

તમે SPAN/RSPAN/ERSPAN પોર્ટ પર સેન્સરને "હેન્ગ" કરવાનો પ્રયાસ કરી શકો છો અને જરૂરી સ્વિચ પોર્ટ્સથી તેના પર સીધો ટ્રાફિક લઈ શકો છો. આ વિકલ્પ પાછલા ફકરામાં વર્ણવેલ સમસ્યાને આંશિક રીતે દૂર કરે છે, પરંતુ બીજો એક ઉભો કરે છે - SPAN પોર્ટ તેના પર મોકલવામાં આવતા તમામ ટ્રાફિકને સંપૂર્ણપણે સ્વીકારી શકતું નથી - તેની પાસે પૂરતી બેન્ડવિડ્થ હશે નહીં. તમારે કંઈક બલિદાન આપવું પડશે. કાં તો કેટલાક નોડ્સને મોનિટરિંગ કર્યા વિના છોડી દો (પછી તમારે તેમને પહેલા પ્રાથમિકતા આપવાની જરૂર છે), અથવા નોડમાંથી તમામ ટ્રાફિક નહીં, પરંતુ માત્ર એક ચોક્કસ પ્રકાર મોકલો. કોઈ પણ સંજોગોમાં, અમે કેટલાક હુમલા ચૂકી શકીએ છીએ. આ ઉપરાંત, SPAN પોર્ટનો અન્ય જરૂરિયાતો માટે ઉપયોગ કરી શકાય છે. પરિણામે, અમારે હાલની નેટવર્ક ટોપોલોજીની સમીક્ષા કરવી પડશે અને સંભવતઃ તમારી પાસે જેટલા સેન્સર્સ છે તેની સાથે તમારા નેટવર્કને વધુમાં વધુ આવરી લેવા માટે (અને આને IT સાથે સંકલન કરવા) માટે સંભવતઃ તેમાં ગોઠવણો કરવી પડશે.

જો તમારું નેટવર્ક અસમપ્રમાણ માર્ગોનો ઉપયોગ કરે તો શું? જો તમે SDN લાગુ કર્યું હોય અથવા અમલ કરવાની યોજના બનાવી રહ્યા હોવ તો શું? જો તમારે વર્ચ્યુઅલાઈઝ્ડ મશીનો અથવા કન્ટેનર પર દેખરેખ રાખવાની જરૂર હોય કે જેનો ટ્રાફિક ભૌતિક સ્વિચ સુધી પહોંચતો નથી? આ એવા પ્રશ્નો છે જે પરંપરાગત IDS વિક્રેતાઓને પસંદ નથી કારણ કે તેઓ જાણતા નથી કે તેનો જવાબ કેવી રીતે આપવો. કદાચ તેઓ તમને સમજાવશે કે આ બધી ફેશનેબલ તકનીકો હાઇપ છે અને તમારે તેની જરૂર નથી. કદાચ તેઓ નાની શરૂઆત કરવાની જરૂરિયાત વિશે વાત કરશે. અથવા કદાચ તેઓ કહેશે કે તમારે નેટવર્કના કેન્દ્રમાં એક શક્તિશાળી થ્રેશર મૂકવાની જરૂર છે અને બેલેન્સરનો ઉપયોગ કરીને તમામ ટ્રાફિકને તેના પર દિશામાન કરવાની જરૂર છે. તમને જે પણ વિકલ્પ ઓફર કરવામાં આવે છે, તમારે સ્પષ્ટપણે સમજવાની જરૂર છે કે તે તમને કેવી રીતે અનુકૂળ છે. અને તે પછી જ નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરની માહિતી સુરક્ષા પર દેખરેખ રાખવાનો અભિગમ પસંદ કરવાનો નિર્ણય લો. પેકેટ કેપ્ચર પર પાછા ફરતા, હું કહેવા માંગુ છું કે આ પદ્ધતિ ખૂબ જ લોકપ્રિય અને મહત્વપૂર્ણ છે, પરંતુ તેનો મુખ્ય હેતુ સરહદ નિયંત્રણ છે; તમારી સંસ્થા અને ઇન્ટરનેટ વચ્ચેની સીમાઓ, ડેટા સેન્ટર અને બાકીના નેટવર્ક વચ્ચેની સીમાઓ, પ્રક્રિયા નિયંત્રણ સિસ્ટમ અને કોર્પોરેટ સેગમેન્ટ વચ્ચેની સીમાઓ. આ સ્થાનો પર, ક્લાસિક IDS/IPS ને હજુ પણ અસ્તિત્વમાં રહેવાનો અને તેમના કાર્યોનો સારી રીતે સામનો કરવાનો અધિકાર છે.

ચાલો બીજા વિકલ્પ તરફ આગળ વધીએ. નેટવર્ક ઉપકરણોમાંથી આવતી ઘટનાઓના વિશ્લેષણનો ઉપયોગ હુમલાની શોધના હેતુઓ માટે પણ થઈ શકે છે, પરંતુ મુખ્ય પદ્ધતિ તરીકે નહીં, કારણ કે તે ઘૂસણખોરીના નાના વર્ગને શોધવાની મંજૂરી આપે છે. વધુમાં, તે કેટલીક પ્રતિક્રિયાત્મકતામાં સહજ છે - હુમલો પ્રથમ થવો જોઈએ, પછી તે નેટવર્ક ઉપકરણ દ્વારા રેકોર્ડ થવો જોઈએ, જે એક અથવા બીજી રીતે માહિતી સુરક્ષા સાથે સમસ્યાનો સંકેત આપશે. આવી અનેક રીતો છે. આ syslog, RMON અથવા SNMP હોઈ શકે છે. માહિતી સુરક્ષાના સંદર્ભમાં નેટવર્ક મોનિટરિંગ માટેના છેલ્લા બે પ્રોટોકોલનો ઉપયોગ ત્યારે જ થાય છે જ્યારે આપણે નેટવર્ક સાધનો પર જ DoS હુમલો શોધવાની જરૂર હોય, કારણ કે RMON અને SNMP નો ઉપયોગ કરીને તે શક્ય છે, ઉદાહરણ તરીકે, ઉપકરણના કેન્દ્રિય પરના લોડને મોનિટર કરવા માટે. પ્રોસેસર અથવા તેના ઇન્ટરફેસ. આ એક "સસ્તી" છે (દરેક પાસે સિસ્લોગ અથવા એસએનએમપી છે), પરંતુ આંતરિક ઇન્ફ્રાસ્ટ્રક્ચરની માહિતી સુરક્ષાનું નિરીક્ષણ કરવાની તમામ પદ્ધતિઓમાં સૌથી બિનઅસરકારક પણ છે - ઘણા હુમલાઓ તેનાથી છુપાયેલા છે. અલબત્ત, તેમની અવગણના ન કરવી જોઈએ, અને સમાન સિસ્લોગ વિશ્લેષણ તમને ઉપકરણના રૂપરેખાંકનમાં ફેરફારોને સમયસર ઓળખવામાં મદદ કરે છે, તેના સમાધાન, પરંતુ તે સમગ્ર નેટવર્ક પરના હુમલાઓને શોધવા માટે ખૂબ યોગ્ય નથી.

ત્રીજો વિકલ્પ એ ઉપકરણમાંથી પસાર થતા ટ્રાફિક વિશેની માહિતીનું વિશ્લેષણ કરવાનો છે જે ઘણા ફ્લો પ્રોટોકોલ્સમાંથી એકને સપોર્ટ કરે છે. આ કિસ્સામાં, પ્રોટોકોલને ધ્યાનમાં લીધા વિના, થ્રેડીંગ ઈન્ફ્રાસ્ટ્રક્ચરમાં ત્રણ ઘટકોનો સમાવેશ થાય છે:

• પ્રવાહનું ઉત્પાદન અથવા નિકાસ. આ ભૂમિકા સામાન્ય રીતે રાઉટર, સ્વિચ અથવા અન્ય નેટવર્ક ઉપકરણને સોંપવામાં આવે છે, જે, નેટવર્ક ટ્રાફિકને પોતાના દ્વારા પસાર કરીને, તમને તેમાંથી મુખ્ય પરિમાણો કાઢવાની મંજૂરી આપે છે, જે પછી સંગ્રહ મોડ્યુલમાં ટ્રાન્સમિટ થાય છે. ઉદાહરણ તરીકે, સિસ્કો નેટફ્લો પ્રોટોકોલને માત્ર વર્ચ્યુઅલ અને ઔદ્યોગિક સહિત રાઉટર્સ અને સ્વીચો પર જ નહીં, પણ વાયરલેસ કંટ્રોલર, ફાયરવોલ અને સર્વર પર પણ સપોર્ટ કરે છે.
• સંગ્રહ પ્રવાહ. આધુનિક નેટવર્કમાં સામાન્ય રીતે એક કરતાં વધુ નેટવર્ક ઉપકરણ હોય છે તે ધ્યાનમાં લેતા, પ્રવાહોને એકત્ર કરવાની અને એકીકૃત કરવાની સમસ્યા ઊભી થાય છે, જેને કહેવાતા કલેક્ટર્સનો ઉપયોગ કરીને ઉકેલવામાં આવે છે, જે પ્રાપ્ત પ્રવાહની પ્રક્રિયા કરે છે અને પછી તેને વિશ્લેષણ માટે ટ્રાન્સમિટ કરે છે.
• પ્રવાહ વિશ્લેષણ વિશ્લેષક મુખ્ય બૌદ્ધિક કાર્ય કરે છે અને, સ્ટ્રીમ્સમાં વિવિધ અલ્ગોરિધમ્સ લાગુ કરીને, ચોક્કસ તારણો કાઢે છે. ઉદાહરણ તરીકે, IT કાર્યના ભાગ રૂપે, આવા વિશ્લેષક નેટવર્ક અવરોધોને ઓળખી શકે છે અથવા વધુ નેટવર્ક ઑપ્ટિમાઇઝેશન માટે ટ્રાફિક લોડ પ્રોફાઇલનું વિશ્લેષણ કરી શકે છે. અને માહિતી સુરક્ષા માટે, આવા વિશ્લેષક ડેટા લીક, દૂષિત કોડનો ફેલાવો અથવા DoS હુમલાઓ શોધી શકે છે.

એવું વિચારશો નહીં કે આ ત્રણ-સ્તરની આર્કિટેક્ચર ખૂબ જટિલ છે - અન્ય તમામ વિકલ્પો (સિવાય કે, કદાચ, SNMP અને RMON સાથે કામ કરતી નેટવર્ક મોનિટરિંગ સિસ્ટમ્સ) પણ તેના અનુસાર કાર્ય કરે છે. અમારી પાસે વિશ્લેષણ માટે ડેટા જનરેટર છે, જે નેટવર્ક ઉપકરણ અથવા એકલા સેન્સર હોઈ શકે છે. અમારી પાસે સમગ્ર મોનિટરિંગ ઈન્ફ્રાસ્ટ્રક્ચર માટે એલાર્મ કલેક્શન સિસ્ટમ અને મેનેજમેન્ટ સિસ્ટમ છે. છેલ્લા બે ઘટકોને એક નોડની અંદર જોડી શકાય છે, પરંતુ વધુ કે ઓછા મોટા નેટવર્ક્સમાં તેઓ સામાન્ય રીતે માપનીયતા અને વિશ્વસનીયતાની ખાતરી કરવા માટે ઓછામાં ઓછા બે ઉપકરણોમાં ફેલાયેલા હોય છે.

પેકેટ વિશ્લેષણથી વિપરીત, જે દરેક પેકેટના હેડર અને બોડી ડેટાના અભ્યાસ પર આધારિત છે અને તેમાં જે સત્રોનો સમાવેશ થાય છે, પ્રવાહ વિશ્લેષણ નેટવર્ક ટ્રાફિક વિશે મેટાડેટા એકત્રિત કરવા પર આધાર રાખે છે. ક્યારે, કેટલું, ક્યાંથી અને ક્યાંથી, કેવી રીતે... વિવિધ ફ્લો પ્રોટોકોલનો ઉપયોગ કરીને નેટવર્ક ટેલિમેટ્રીના વિશ્લેષણ દ્વારા આ પ્રશ્નોના જવાબો છે. શરૂઆતમાં, તેનો ઉપયોગ આંકડાઓનું વિશ્લેષણ કરવા અને નેટવર્ક પર IT સમસ્યાઓ શોધવા માટે કરવામાં આવતો હતો, પરંતુ પછી, વિશ્લેષણાત્મક પદ્ધતિઓ વિકસિત થતાં, સુરક્ષા હેતુઓ માટે તેમને સમાન ટેલિમેટ્રી પર લાગુ કરવાનું શક્ય બન્યું. તે ફરીથી નોંધવું યોગ્ય છે કે પ્રવાહ વિશ્લેષણ પેકેટ કેપ્ચરને બદલતું નથી અથવા બદલતું નથી. આમાંની દરેક પદ્ધતિનો તેનો પોતાનો વિસ્તાર છે. પરંતુ આ લેખના સંદર્ભમાં, તે પ્રવાહ વિશ્લેષણ છે જે આંતરિક ઈન્ફ્રાસ્ટ્રક્ચરની દેખરેખ માટે સૌથી યોગ્ય છે. તમારી પાસે નેટવર્ક ઉપકરણો છે (ભલે તે સોફ્ટવેર-વ્યાખ્યાયિત નમૂનામાં અથવા સ્થિર નિયમો અનુસાર કાર્ય કરે છે) જેને હુમલો બાયપાસ કરી શકતો નથી. તે ક્લાસિક IDS સેન્સરને બાયપાસ કરી શકે છે, પરંતુ નેટવર્ક ઉપકરણ જે ફ્લો પ્રોટોકોલને સપોર્ટ કરે છે તે કરી શકતું નથી. આ પદ્ધતિનો આ ફાયદો છે.

બીજી બાજુ, જો તમને કાયદાના અમલીકરણ અથવા તમારી પોતાની ઘટના તપાસ ટીમ માટે પુરાવાની જરૂર હોય, તો તમે પેકેટ કેપ્ચર વિના કરી શકતા નથી - નેટવર્ક ટેલિમેટ્રી એ ટ્રાફિકની નકલ નથી જેનો ઉપયોગ પુરાવા એકત્રિત કરવા માટે થઈ શકે છે; તે માહિતી સુરક્ષાના ક્ષેત્રમાં ઝડપી તપાસ અને નિર્ણય લેવા માટે જરૂરી છે. બીજી બાજુ, ટેલિમેટ્રી વિશ્લેષણનો ઉપયોગ કરીને, તમે બધા નેટવર્ક ટ્રાફિક (જો કંઈપણ હોય તો, સિસ્કો ડેટા સેન્ટર્સ સાથે ડીલ કરે છે :-), પરંતુ ફક્ત તે જ જે હુમલામાં સામેલ છે તે "લખી" શકતા નથી. આ સંદર્ભે ટેલિમેટ્રી વિશ્લેષણ સાધનો પરંપરાગત પેકેટ કેપ્ચર મિકેનિઝમ્સને સારી રીતે પૂરક બનાવશે, પસંદગીયુક્ત કેપ્ચર અને સંગ્રહ માટે આદેશો આપશે. નહિંતર, તમારી પાસે એક વિશાળ સ્ટોરેજ ઇન્ફ્રાસ્ટ્રક્ચર હોવું પડશે.

ચાલો 250 Mbit/sec ની ઝડપે કાર્યરત નેટવર્કની કલ્પના કરીએ. જો તમે આ તમામ વોલ્યુમ સ્ટોર કરવા માંગો છો, તો તમારે ટ્રાફિક ટ્રાન્સમિશનની એક સેકન્ડ માટે 31 MB સ્ટોરેજ, એક મિનિટ માટે 1,8 GB, એક કલાક માટે 108 GB અને એક દિવસ માટે 2,6 TBની જરૂર પડશે. 10 Gbit/s ની બેન્ડવિડ્થ સાથે નેટવર્કમાંથી દૈનિક ડેટા સ્ટોર કરવા માટે, તમારે 108 TB સ્ટોરેજની જરૂર પડશે. પરંતુ કેટલાક નિયમનકારોને વર્ષો સુધી સુરક્ષા ડેટા સંગ્રહિત કરવાની જરૂર પડે છે... ઓન-ડિમાન્ડ રેકોર્ડિંગ, જે પ્રવાહ વિશ્લેષણ તમને અમલમાં મદદ કરે છે, આ મૂલ્યોને તીવ્રતાના ઓર્ડર દ્વારા ઘટાડવામાં મદદ કરે છે. માર્ગ દ્વારા, જો આપણે રેકોર્ડ કરેલ નેટવર્ક ટેલિમેટ્રી ડેટાના વોલ્યુમ અને સંપૂર્ણ ડેટા કેપ્ચરના ગુણોત્તર વિશે વાત કરીએ, તો તે લગભગ 1 થી 500 છે. ઉપર આપેલ સમાન મૂલ્યો માટે, તમામ દૈનિક ટ્રાફિકની સંપૂર્ણ ટ્રાન્સક્રિપ્ટ સંગ્રહિત કરવી. અનુક્રમે 5 અને 216 GB હશે (તમે તેને નિયમિત ફ્લેશ ડ્રાઇવ પર પણ રેકોર્ડ કરી શકો છો).

જો કાચા નેટવર્ક ડેટાના પૃથ્થકરણ માટેના સાધનો માટે, તેને કેપ્ચર કરવાની પદ્ધતિ વિક્રેતાથી વિક્રેતા સુધી લગભગ સમાન છે, તો પ્રવાહ વિશ્લેષણના કિસ્સામાં પરિસ્થિતિ અલગ છે. ફ્લો પ્રોટોકોલ માટે ઘણા વિકલ્પો છે, જે તફાવતો તમારે સુરક્ષાના સંદર્ભમાં જાણવાની જરૂર છે. સિસ્કો દ્વારા વિકસિત નેટફ્લો પ્રોટોકોલ સૌથી વધુ લોકપ્રિય છે. આ પ્રોટોકોલના ઘણા સંસ્કરણો છે, તેમની ક્ષમતાઓ અને રેકોર્ડ કરેલી ટ્રાફિક માહિતીની માત્રામાં ભિન્ન છે. વર્તમાન સંસ્કરણ નવમું (નેટફ્લો v9) છે, જેના આધારે ઉદ્યોગ માનક નેટફ્લો v10, જેને IPFIX તરીકે પણ ઓળખવામાં આવે છે, વિકસાવવામાં આવ્યું હતું. આજે, મોટાભાગના નેટવર્ક વિક્રેતાઓ તેમના સાધનોમાં નેટફ્લો અથવા IPFIX ને સમર્થન આપે છે. પરંતુ ફ્લો પ્રોટોકોલ માટે અન્ય વિવિધ વિકલ્પો છે - sFlow, jFlow, cFlow, rFlow, NetStream, વગેરે, જેમાંથી sFlow સૌથી વધુ લોકપ્રિય છે. તે આ પ્રકાર છે જે તેના અમલીકરણની સરળતાને કારણે મોટાભાગે નેટવર્ક સાધનોના સ્થાનિક ઉત્પાદકો દ્વારા સપોર્ટેડ છે. નેટફ્લો, જે વાસ્તવિક ધોરણ બની ગયું છે અને sFlow વચ્ચેના મુખ્ય તફાવતો શું છે? હું કેટલાક મુખ્ય મુદ્દાઓ પ્રકાશિત કરીશ. પ્રથમ, નેટફ્લો પાસે sFlow માં નિશ્ચિત ફીલ્ડ્સની વિરુદ્ધ વપરાશકર્તા-કસ્ટમાઇઝેબલ ફીલ્ડ્સ છે. અને બીજું, અને અમારા કિસ્સામાં આ સૌથી મહત્વની બાબત છે, sFlow કહેવાતી નમૂનાવાળી ટેલિમેટ્રી એકત્રિત કરે છે; Netflow અને IPFIX માટે નમૂના વિનાના એકથી વિપરીત. તેમની વચ્ચે શું તફાવત છે?

કલ્પના કરો કે તમે પુસ્તક વાંચવાનું નક્કી કર્યું છે "સુરક્ષા કામગીરી કેન્દ્ર: તમારા એસઓસીનું નિર્માણ, સંચાલન અને જાળવણી” મારા સાથીદારો - ગેરી મેકઇન્ટાયર, જોસેફ મુનિત્ઝ અને નાદેમ અલ્ફાર્ડન (તમે લિંક પરથી પુસ્તકનો ભાગ ડાઉનલોડ કરી શકો છો). તમારા ધ્યેયને હાંસલ કરવા માટે તમારી પાસે ત્રણ વિકલ્પો છે - આખું પુસ્તક વાંચો, તેમાં સ્કિમ કરો, દરેક 10મા કે 20મા પેજ પર રોકાઈ જાઓ અથવા બ્લોગ અથવા સ્માર્ટરીડિંગ જેવી સેવા પર મુખ્ય વિભાવનાઓને ફરીથી કહેવાનો પ્રયાસ કરો. તેથી, નમૂના વિનાની ટેલિમેટ્રી નેટવર્ક ટ્રાફિકના દરેક "પૃષ્ઠ" વાંચે છે, એટલે કે, દરેક પેકેટ માટે મેટાડેટાનું વિશ્લેષણ કરે છે. સેમ્પલ ટેલિમેટ્રી એ ટ્રાફિકનો પસંદગીયુક્ત અભ્યાસ છે એવી આશામાં કે પસંદ કરેલા નમૂનાઓમાં તમને જે જોઈએ છે તે સમાવિષ્ટ હશે. ચેનલની ગતિના આધારે, નમૂનાવાળી ટેલિમેટ્રી દર 64મી, 200મી, 500મી, 1000મી, 2000મી અથવા તો 10000મી પેકેટમાં વિશ્લેષણ માટે મોકલવામાં આવશે.

માહિતી સુરક્ષા મોનિટરિંગના સંદર્ભમાં, આનો અર્થ એ છે કે નમૂનાવાળી ટેલિમેટ્રી DDoS હુમલાઓ શોધવા, સ્કેનિંગ અને દૂષિત કોડ ફેલાવવા માટે યોગ્ય છે, પરંતુ અણુ અથવા મલ્ટિ-પેકેટ હુમલાઓ ચૂકી શકે છે જે વિશ્લેષણ માટે મોકલવામાં આવેલા નમૂનામાં સમાવિષ્ટ ન હતા. નમૂના વિનાની ટેલિમેટ્રીમાં આવા ગેરફાયદા નથી. આ સાથે, શોધાયેલ હુમલાઓની શ્રેણી ઘણી વિશાળ છે. નેટવર્ક ટેલિમેટ્રી વિશ્લેષણ સાધનોનો ઉપયોગ કરીને શોધી શકાય તેવી ઘટનાઓની અહીં ટૂંકી સૂચિ છે.

અલબત્ત, કેટલાક ઓપન સોર્સ નેટફ્લો વિશ્લેષક તમને આ કરવાની મંજૂરી આપશે નહીં, કારણ કે તેનું મુખ્ય કાર્ય ટેલિમેટ્રી એકત્રિત કરવાનું અને તેના પર IT દૃષ્ટિકોણથી મૂળભૂત વિશ્લેષણ કરવાનું છે. પ્રવાહ પર આધારિત માહિતી સુરક્ષા જોખમોને ઓળખવા માટે, વિશ્લેષકને વિવિધ એન્જિન અને અલ્ગોરિધમ્સથી સજ્જ કરવું જરૂરી છે, જે પ્રમાણભૂત અથવા કસ્ટમ નેટફ્લો ક્ષેત્રોના આધારે સાયબર સુરક્ષા સમસ્યાઓ ઓળખશે, વિવિધ થ્રેટ ઇન્ટેલિજન્સ સ્ત્રોતોમાંથી બાહ્ય ડેટા સાથે પ્રમાણભૂત ડેટાને સમૃદ્ધ બનાવશે, વગેરે.

તેથી, જો તમારી પાસે પસંદગી હોય, તો પછી Netflow અથવા IPFIX પસંદ કરો. પરંતુ જો તમારું સાધન માત્ર sFlow સાથે કામ કરતું હોય, જેમ કે સ્થાનિક ઉત્પાદકો, તો આ કિસ્સામાં પણ તમે સુરક્ષા સંદર્ભમાં તેનો લાભ મેળવી શકો છો.

2019 ના ઉનાળામાં, મેં રશિયન નેટવર્ક હાર્ડવેર ઉત્પાદકોની ક્ષમતાઓનું વિશ્લેષણ કર્યું અને NSG, બહુકોણ અને ક્રાફ્ટવેને બાદ કરતાં તે બધાએ sFlow (ઓછામાં ઓછું Zelax, Natex, Eltex, QTech, Rusteleteh) માટે સમર્થનની જાહેરાત કરી.

આગલા પ્રશ્નનો તમે સામનો કરશો કે સુરક્ષા હેતુઓ માટે ફ્લો સપોર્ટ ક્યાં લાગુ કરવો? વાસ્તવમાં, પ્રશ્ન સંપૂર્ણપણે યોગ્ય રીતે ઉભો થયો નથી. આધુનિક સાધનો લગભગ હંમેશા ફ્લો પ્રોટોકોલને સપોર્ટ કરે છે. તેથી, હું પ્રશ્નને અલગ રીતે સુધારીશ - સુરક્ષાના દૃષ્ટિકોણથી ટેલિમેટ્રી એકત્રિત કરવી તે સૌથી અસરકારક ક્યાં છે? જવાબ એકદમ સ્પષ્ટ હશે - એક્સેસ લેવલ પર, જ્યાં તમે તમામ ટ્રાફિકનો 100% જોશો, જ્યાં તમારી પાસે હોસ્ટ્સ (MAC, VLAN, ઇન્ટરફેસ ID) પર વિગતવાર માહિતી હશે, જ્યાં તમે યજમાનો વચ્ચેના P2P ટ્રાફિકને પણ મોનિટર કરી શકો છો, જે સ્કેનિંગ ડિટેક્શન અને દૂષિત કોડના વિતરણ માટે મહત્વપૂર્ણ છે. મુખ્ય સ્તરે, તમે કદાચ અમુક ટ્રાફિક જોઈ શકતા નથી, પરંતુ પરિમિતિ સ્તર પર, તમે તમારા બધા નેટવર્ક ટ્રાફિકનો એક ક્વાર્ટર જોશો. પરંતુ જો કોઈ કારણોસર તમારી પાસે તમારા નેટવર્ક પર વિદેશી ઉપકરણો છે જે હુમલાખોરોને પરિમિતિને બાયપાસ કર્યા વિના "પ્રવેશ અને બહાર નીકળવા" દે છે, તો તેમાંથી ટેલિમેટ્રીનું વિશ્લેષણ કરવાથી તમને કંઈપણ મળશે નહીં. તેથી, મહત્તમ કવરેજ માટે, ઍક્સેસ સ્તર પર ટેલિમેટ્રી સંગ્રહને સક્ષમ કરવાની ભલામણ કરવામાં આવે છે. તે જ સમયે, એ નોંધવું યોગ્ય છે કે જો આપણે વર્ચ્યુઅલાઈઝેશન અથવા કન્ટેનર વિશે વાત કરી રહ્યા હોય, તો પણ ફ્લો સપોર્ટ ઘણીવાર આધુનિક વર્ચ્યુઅલ સ્વીચોમાં જોવા મળે છે, જે તમને ત્યાં પણ ટ્રાફિકને નિયંત્રિત કરવાની મંજૂરી આપે છે.

પરંતુ મેં વિષય ઉઠાવ્યો હોવાથી, મારે પ્રશ્નનો જવાબ આપવાની જરૂર છે: જો સાધનસામગ્રી, ભૌતિક અથવા વર્ચ્યુઅલ, પ્રવાહ પ્રોટોકોલને સમર્થન ન આપે તો શું? અથવા તેનો સમાવેશ પ્રતિબંધિત છે (ઉદાહરણ તરીકે, વિશ્વસનીયતા સુનિશ્ચિત કરવા માટે ઔદ્યોગિક વિભાગોમાં)? અથવા તેને ચાલુ કરવાથી ઉચ્ચ CPU લોડ થાય છે (આ જૂના હાર્ડવેર પર થાય છે)? આ સમસ્યાને ઉકેલવા માટે, ત્યાં વિશિષ્ટ વર્ચ્યુઅલ સેન્સર્સ (ફ્લો સેન્સર) છે, જે આવશ્યકપણે સામાન્ય સ્પ્લિટર્સ છે જે ટ્રાફિકને પોતાનામાંથી પસાર કરે છે અને તેને સંગ્રહ મોડ્યુલના પ્રવાહના સ્વરૂપમાં પ્રસારિત કરે છે. સાચું, આ કિસ્સામાં અમને પેકેટ કેપ્ચર ટૂલ્સના સંબંધમાં ઉપરોક્ત બધી સમસ્યાઓ મળે છે. એટલે કે, તમારે ફ્લો એનાલિસિસ ટેક્નોલોજીના ફાયદા જ નહીં, પણ તેની મર્યાદાઓ પણ સમજવાની જરૂર છે.

ફ્લો એનાલિસિસ ટૂલ્સ વિશે વાત કરતી વખતે યાદ રાખવાનો બીજો મુદ્દો મહત્વપૂર્ણ છે. જો સુરક્ષા ઘટનાઓ જનરેટ કરવાના પરંપરાગત માધ્યમોના સંબંધમાં અમે EPS મેટ્રિક (ઇવેન્ટ પ્રતિ સેકન્ડ) નો ઉપયોગ કરીએ છીએ, તો આ સૂચક ટેલિમેટ્રી વિશ્લેષણને લાગુ પડતું નથી; તે FPS (પ્રવાહ પ્રતિ સેકન્ડ) દ્વારા બદલવામાં આવે છે. EPS ના કિસ્સામાં, તેની અગાઉથી ગણતરી કરી શકાતી નથી, પરંતુ તમે તેના કાર્યના આધારે ચોક્કસ ઉપકરણ જનરેટ કરે છે તે થ્રેડોની અંદાજિત સંખ્યાનો અંદાજ લગાવી શકો છો. તમે વિવિધ પ્રકારનાં એન્ટરપ્રાઇઝ ઉપકરણો અને શરતો માટે અંદાજિત મૂલ્યો સાથે ઇન્ટરનેટ પર કોષ્ટકો શોધી શકો છો, જે તમને વિશ્લેષણ સાધનો માટે કયા લાઇસન્સની જરૂર છે અને તેનું આર્કિટેક્ચર શું હશે તેનો અંદાજ લગાવશે? હકીકત એ છે કે IDS સેન્સર ચોક્કસ બેન્ડવિડ્થ દ્વારા મર્યાદિત છે જે તે "ખેંચી" શકે છે, અને ફ્લો કલેક્ટરની પોતાની મર્યાદાઓ છે જે સમજવી આવશ્યક છે. તેથી, મોટા, ભૌગોલિક રીતે વિતરિત નેટવર્ક્સમાં સામાન્ય રીતે ઘણા કલેક્ટર્સ હોય છે. જ્યારે મેં વર્ણન કર્યું સિસ્કોની અંદર નેટવર્કનું નિરીક્ષણ કેવી રીતે થાય છે, મેં પહેલાથી જ અમારા કલેક્ટર્સની સંખ્યા આપી દીધી છે - તેમાંના 21 છે. અને આ પાંચ ખંડોમાં પથરાયેલા નેટવર્ક માટે છે અને લગભગ અડધા મિલિયન સક્રિય ઉપકરણોની સંખ્યા છે).

અમે નેટફ્લો મોનિટરિંગ સિસ્ટમ તરીકે અમારા પોતાના ઉકેલનો ઉપયોગ કરીએ છીએ સિસ્કો સ્ટીલ્થવોચ, જે ખાસ કરીને સુરક્ષા સમસ્યાઓ ઉકેલવા પર કેન્દ્રિત છે. તેમાં વિસંગત, શંકાસ્પદ અને સ્પષ્ટ રીતે દૂષિત પ્રવૃત્તિને શોધવા માટે ઘણા બિલ્ટ-ઇન એન્જિન છે, જે તમને ક્રિપ્ટોમાઈનિંગથી લઈને માહિતી લીક સુધી, દૂષિત કોડના ફેલાવાથી લઈને છેતરપિંડી સુધીના વિવિધ જોખમોની વિશાળ શ્રેણીને શોધવા માટે પરવાનગી આપે છે. મોટાભાગના પ્રવાહ વિશ્લેષકોની જેમ, સ્ટીલ્થવોચ ત્રણ-સ્તરની યોજના (જનરેટર - કલેક્ટર - વિશ્લેષક) અનુસાર બનાવવામાં આવી છે, પરંતુ તે સંખ્યાબંધ રસપ્રદ સુવિધાઓ સાથે પૂરક છે જે વિચારણા હેઠળની સામગ્રીના સંદર્ભમાં મહત્વપૂર્ણ છે. પ્રથમ, તે પેકેટ કેપ્ચર સોલ્યુશન્સ (જેમ કે સિસ્કો સિક્યુરિટી પેકેટ વિશ્લેષક) સાથે સંકલિત થાય છે, જે તમને પછીથી ઊંડાણપૂર્વકની તપાસ અને વિશ્લેષણ માટે પસંદ કરેલા નેટવર્ક સત્રોને રેકોર્ડ કરવાની મંજૂરી આપે છે. બીજું, ખાસ કરીને સુરક્ષા કાર્યોને વિસ્તૃત કરવા માટે, અમે એક વિશિષ્ટ nvzFlow પ્રોટોકોલ વિકસાવ્યો છે, જે તમને અંતિમ ગાંઠો (સર્વર, વર્કસ્ટેશન, વગેરે) પરની એપ્લિકેશનોની પ્રવૃત્તિને ટેલિમેટ્રીમાં "બ્રૉડકાસ્ટ" કરવા અને વધુ વિશ્લેષણ માટે કલેક્ટરને ટ્રાન્સમિટ કરવાની મંજૂરી આપે છે. જો તેના મૂળ સંસ્કરણમાં સ્ટીલ્થવોચ નેટવર્ક સ્તરે કોઈપણ ફ્લો પ્રોટોકોલ (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) સાથે કામ કરે છે, તો પછી nvzFlow સપોર્ટ નોડ સ્તર પર પણ ડેટા સહસંબંધને મંજૂરી આપે છે. સમગ્ર સિસ્ટમની કાર્યક્ષમતા વધારવી અને પરંપરાગત નેટવર્ક ફ્લો વિશ્લેષકો કરતાં વધુ હુમલાઓ જોવી.

તે સ્પષ્ટ છે કે સુરક્ષાના દૃષ્ટિકોણથી નેટફ્લો વિશ્લેષણ સિસ્ટમ્સ વિશે વાત કરતી વખતે, બજાર સિસ્કોના એક ઉકેલ સુધી મર્યાદિત નથી. તમે કોમર્શિયલ અને ફ્રી અથવા શેરવેર સોલ્યુશન્સ બંનેનો ઉપયોગ કરી શકો છો. જો હું સિસ્કો બ્લોગ પર સ્પર્ધકોના સોલ્યુશન્સને ઉદાહરણો તરીકે ટાંકું તો તે ખૂબ જ વિચિત્ર છે, તેથી હું બે લોકપ્રિય, નામમાં સમાન, પરંતુ હજી પણ જુદા જુદા ટૂલ્સ - SiLK અને ELK નો ઉપયોગ કરીને નેટવર્ક ટેલિમેટ્રીનું વિશ્લેષણ કેવી રીતે કરી શકાય તે વિશે થોડાક શબ્દો કહીશ.

SiLK એ અમેરિકન CERT/CC દ્વારા વિકસાવવામાં આવેલ ટ્રાફિક વિશ્લેષણ માટે (ઇન્ટરનેટ-સ્તરના જ્ઞાન માટેની સિસ્ટમ) સાધનોનો સમૂહ છે અને જે આજના લેખના સંદર્ભમાં નેટફ્લો (5મું અને 9મું, સૌથી વધુ લોકપ્રિય સંસ્કરણ), IPFIX ને સમર્થન આપે છે. અને sFlow અને વિવિધ ઉપયોગિતાઓ (rwfilter, rwcount, rwflowpack, વગેરે) નો ઉપયોગ કરીને નેટવર્ક ટેલિમેટ્રી પર વિવિધ કામગીરી કરવા માટે તેમાં અનધિકૃત ક્રિયાઓના ચિહ્નો શોધવા માટે. પરંતુ નોંધ કરવા માટે કેટલાક મહત્વપૂર્ણ મુદ્દાઓ છે. SiLK એ કમાન્ડ લાઇન ટૂલ છે જે આના જેવા આદેશો દાખલ કરીને ઓન-લાઇન વિશ્લેષણ કરે છે (200 બાઇટ કરતા મોટા ICMP પેકેટોની શોધ):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

ખૂબ આરામદાયક નથી. તમે iSiLK GUI નો ઉપયોગ કરી શકો છો, પરંતુ તે તમારા જીવનને વધુ સરળ બનાવશે નહીં, ફક્ત વિઝ્યુલાઇઝેશન કાર્યને હલ કરશે અને વિશ્લેષકને બદલશે નહીં. અને આ બીજો મુદ્દો છે. કોમર્શિયલ સોલ્યુશન્સથી વિપરીત, જેમાં પહેલેથી જ નક્કર વિશ્લેષણાત્મક આધાર, વિસંગતતા શોધ અલ્ગોરિધમ્સ, અનુરૂપ વર્કફ્લો, વગેરે છે, SiLK ના કિસ્સામાં તમારે આ બધું જાતે કરવું પડશે, જેના માટે પહેલેથી જ તૈયાર ઉપયોગ કરતા તમારી પાસેથી થોડી અલગ કુશળતાની જરૂર પડશે. ઉપયોગ કરવા માટેના સાધનો. આ ન તો સારું કે ખરાબ નથી - આ લગભગ કોઈપણ મફત સાધનની વિશેષતા છે જે ધારે છે કે તમે જાણો છો કે શું કરવું, અને તે ફક્ત આમાં જ તમને મદદ કરશે (વાણિજ્યિક સાધનો તેના વપરાશકર્તાઓની ક્ષમતાઓ પર ઓછા નિર્ભર છે, જો કે તેઓ પણ ધારે છે. કે વિશ્લેષકો નેટવર્ક તપાસ અને દેખરેખની ઓછામાં ઓછી મૂળભૂત બાબતોને સમજે છે). પણ ચાલો સિલ્ક પર પાછા ફરીએ. તેની સાથે વિશ્લેષકનું કાર્ય ચક્ર આના જેવું લાગે છે:

• એક પૂર્વધારણા ઘડવી. આપણે નેટવર્ક ટેલિમેટ્રીની અંદર આપણે શું શોધીશું તે સમજવું જોઈએ, અનન્ય લક્ષણોને જાણવું જોઈએ જેના દ્વારા આપણે ચોક્કસ વિસંગતતાઓ અથવા ધમકીઓને ઓળખીશું.
• એક મોડેલ બનાવવું. પૂર્વધારણા ઘડ્યા પછી, અમે તેને સમાન પાયથોન, શેલ અથવા અન્ય સાધનોનો ઉપયોગ કરીને પ્રોગ્રામ કરીએ છીએ જે SiLK માં સમાવિષ્ટ નથી.
• પરીક્ષણ. હવે અમારી પૂર્વધારણાની સાચીતા ચકાસવાનો વારો આવે છે, જે 'rw', 'set', 'bag' થી શરૂ થતી SiLK ઉપયોગિતાઓનો ઉપયોગ કરીને પુષ્ટિ અથવા રદિયો આપે છે.
• વાસ્તવિક ડેટાનું વિશ્લેષણ. ઔદ્યોગિક કામગીરીમાં, SiLK અમને કંઈક ઓળખવામાં મદદ કરે છે અને વિશ્લેષકે પ્રશ્નોના જવાબ આપવા જોઈએ "શું અમે અપેક્ષા રાખીએ છીએ?", "શું આ અમારી પૂર્વધારણાને અનુરૂપ છે?", "ખોટા હકારાત્મકની સંખ્યા કેવી રીતે ઘટાડવી?", "કેવી રીતે ઓળખના સ્તરને સુધારવા માટે? » અને તેથી વધુ.
• સુધારણા. અંતિમ તબક્કે, અમે અગાઉ જે કર્યું હતું તેમાં સુધારો કરીએ છીએ - અમે નમૂનાઓ બનાવીએ છીએ, કોડને સુધારીએ છીએ અને ઑપ્ટિમાઇઝ કરીએ છીએ, પૂર્વધારણાને સુધારીએ છીએ અને સ્પષ્ટ કરીએ છીએ, વગેરે.

આ ચક્ર સિસ્કો સ્ટીલ્થવૉચને પણ લાગુ પડશે, માત્ર છેલ્લું એક આ પાંચ પગલાંને મહત્તમ સુધી સ્વચાલિત કરે છે, વિશ્લેષકોની ભૂલોની સંખ્યા ઘટાડે છે અને ઘટના શોધની કાર્યક્ષમતામાં વધારો કરે છે. ઉદાહરણ તરીકે, SiLK માં તમે હાથથી લખેલી સ્ક્રિપ્ટ્સનો ઉપયોગ કરીને દૂષિત IP પર બાહ્ય ડેટા સાથે નેટવર્ક આંકડાઓને સમૃદ્ધ બનાવી શકો છો, અને Cisco Stealthwatch માં તે બિલ્ટ-ઇન ફંક્શન છે જે જો નેટવર્ક ટ્રાફિક બ્લેકલિસ્ટમાંથી IP સરનામાઓ સાથે ક્રિયાપ્રતિક્રિયાઓ ધરાવે છે તો તરત જ એલાર્મ પ્રદર્શિત કરે છે.

જો તમે ફ્લો એનાલિસિસ સૉફ્ટવેર માટે "પેઇડ" પિરામિડમાં ઊંચો જાઓ છો, તો પછી એકદમ મફત SiLK પછી એક શેરવેર ELK હશે, જેમાં ત્રણ મુખ્ય ઘટકોનો સમાવેશ થાય છે - Elasticsearch (ઇન્ડેક્સિંગ, સર્ચિંગ અને ડેટા એનાલિસિસ), Logstash (ડેટા ઇનપુટ/આઉટપુટ). ) અને કિબાના ( વિઝ્યુલાઇઝેશન). SiLK થી વિપરીત, જ્યાં તમારે બધું જાતે જ લખવાનું હોય છે, ELK પાસે પહેલેથી જ ઘણી તૈયાર લાઇબ્રેરીઓ/મોડ્યુલો છે (કેટલાક પેઇડ, કેટલાક નથી) જે નેટવર્ક ટેલિમેટ્રીના વિશ્લેષણને સ્વચાલિત કરે છે. ઉદાહરણ તરીકે, Logstash માં GeoIP ફિલ્ટર તમને તેમના ભૌગોલિક સ્થાન સાથે મોનિટર કરેલ IP સરનામાંને સાંકળવાની મંજૂરી આપે છે (સ્ટીલ્થવૉચમાં આ બિલ્ટ-ઇન સુવિધા છે).

ELK પાસે એકદમ મોટો સમુદાય પણ છે જે આ મોનિટરિંગ સોલ્યુશન માટે ખૂટતા ઘટકોને પૂર્ણ કરી રહ્યું છે. ઉદાહરણ તરીકે, Netflow, IPFIX અને sFlow સાથે કામ કરવા માટે તમે મોડ્યુલનો ઉપયોગ કરી શકો છો ઇલાસ્ટીફ્લો, જો તમે Logstash Netflow મોડ્યુલથી સંતુષ્ટ ન હોવ, જે ફક્ત Netflow ને સપોર્ટ કરે છે.

પ્રવાહ એકત્ર કરવામાં અને તેમાં શોધ કરવામાં વધુ કાર્યક્ષમતા આપતી વખતે, ELK પાસે હાલમાં નેટવર્ક ટેલિમેટ્રીમાં વિસંગતતાઓ અને ધમકીઓ શોધવા માટે સમૃદ્ધ બિલ્ટ-ઇન એનાલિટિક્સનો અભાવ છે. એટલે કે, ઉપર વર્ણવેલ જીવન ચક્રને અનુસરીને, તમારે ઉલ્લંઘન મોડલ્સનું સ્વતંત્ર રીતે વર્ણન કરવું પડશે અને પછી તેનો ઉપયોગ લડાઇ પ્રણાલીમાં કરવો પડશે (ત્યાં કોઈ બિલ્ટ-ઇન મોડલ્સ નથી).

અલબત્ત, ELK માટે વધુ સુસંસ્કૃત એક્સ્ટેન્શન્સ છે, જેમાં નેટવર્ક ટેલિમેટ્રીમાં વિસંગતતાઓ શોધવા માટે પહેલાથી જ કેટલાક મોડેલો છે, પરંતુ આવા એક્સ્ટેંશન માટે પૈસા ખર્ચ થાય છે અને અહીં પ્રશ્ન એ છે કે શું રમત મીણબત્તીની કિંમત છે - એક સમાન મોડેલ જાતે લખો, તે ખરીદો. તમારા મોનિટરિંગ ટૂલ માટે અમલીકરણ, અથવા નેટવર્ક ટ્રાફિક એનાલિસિસ ક્લાસનું તૈયાર સોલ્યુશન ખરીદો.

સામાન્ય રીતે, હું એવી ચર્ચામાં પડવા માંગતો નથી કે નેટવર્ક ટેલિમેટ્રી (ઉદાહરણ તરીકે, સિસ્કો સ્ટેલ્થવોચ) માં વિસંગતતાઓ અને ધમકીઓ પર દેખરેખ રાખવા માટે પૈસા ખર્ચવા અને તૈયાર ઉકેલ ખરીદવો વધુ સારું છે અથવા તેને જાતે શોધી કાઢો અને તેને કસ્ટમાઇઝ કરો. દરેક નવા ખતરા માટે SiLK, ELK અથવા nfdump અથવા OSU ફ્લો ટૂલ્સ ( હું તેમાંથી છેલ્લા બે વિશે વાત કરું છું કહ્યું છેલ્લા સમય)? દરેક વ્યક્તિ પોતાના માટે પસંદ કરે છે અને બેમાંથી કોઈપણ વિકલ્પ પસંદ કરવા માટે દરેકનો પોતાનો હેતુ હોય છે. હું ફક્ત એ બતાવવા માંગતો હતો કે નેટવર્ક ટેલિમેટ્રી એ તમારા આંતરિક ઈન્ફ્રાસ્ટ્રક્ચરની નેટવર્ક સુરક્ષાને સુનિશ્ચિત કરવા માટે એક ખૂબ જ મહત્વપૂર્ણ સાધન છે અને તમારે તેની અવગણના ન કરવી જોઈએ, જેથી મીડિયામાં ઉપનામો સાથે જેમના નામનો ઉલ્લેખ કરવામાં આવ્યો હોય તેવી કંપનીઓની યાદીમાં જોડાઈ ન શકાય. હેક કરેલ", "માહિતી સુરક્ષા આવશ્યકતાઓનું પાલન ન કરતું" ", "તેમના ડેટા અને ગ્રાહકના ડેટાની સુરક્ષા વિશે વિચારતા નથી."

સારાંશ માટે, હું મુખ્ય ટીપ્સને સૂચિબદ્ધ કરવા માંગુ છું કે જે તમારે તમારા આંતરિક ઈન્ફ્રાસ્ટ્રક્ચરની માહિતી સુરક્ષા મોનિટરિંગ બનાવતી વખતે અનુસરવી જોઈએ:

1. તમારી જાતને માત્ર પરિમિતિ સુધી મર્યાદિત ન કરો! નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરનો ઉપયોગ કરો (અને પસંદ કરો) ટ્રાફિકને બિંદુ A થી બિંદુ B પર ખસેડવા માટે જ નહીં, પરંતુ સાયબર સુરક્ષા સમસ્યાઓને ઉકેલવા માટે પણ.
2. તમારા નેટવર્ક સાધનોમાં હાલની માહિતી સુરક્ષા મોનિટરિંગ મિકેનિઝમ્સનો અભ્યાસ કરો અને તેનો ઉપયોગ કરો.
3. આંતરિક દેખરેખ માટે, ટેલિમેટ્રી વિશ્લેષણને પ્રાધાન્ય આપો - તે તમને નેટવર્ક પેકેટો કેપ્ચર કરતી વખતે અને તમામ માહિતી સુરક્ષા ઇવેન્ટ્સ સ્ટોર કરવા માટે જગ્યા બચાવવા માટે અશક્ય છે તે કરતી વખતે તમામ નેટવર્ક માહિતી સુરક્ષા ઘટનાઓમાંથી 80-90% સુધી શોધવાની મંજૂરી આપે છે.
4. પ્રવાહને મોનિટર કરવા માટે, નેટફ્લો v9 અથવા IPFIX નો ઉપયોગ કરો - તેઓ સુરક્ષા સંદર્ભમાં વધુ માહિતી પ્રદાન કરે છે અને તમને માત્ર IPv4 જ નહીં, પણ IPv6, MPLS, વગેરેને પણ મોનિટર કરવાની મંજૂરી આપે છે.
5. નમૂના વિનાના પ્રવાહ પ્રોટોકોલનો ઉપયોગ કરો - તે ધમકીઓને શોધવા માટે વધુ માહિતી પ્રદાન કરે છે. ઉદાહરણ તરીકે, નેટફ્લો અથવા IPFIX.
6. તમારા નેટવર્ક સાધનો પર લોડ તપાસો - તે ફ્લો પ્રોટોકોલને પણ હેન્ડલ કરવામાં સક્ષમ ન હોઈ શકે. પછી વર્ચ્યુઅલ સેન્સર્સ અથવા નેટફ્લો જનરેશન એપ્લાયન્સનો ઉપયોગ કરવાનું વિચારો.
7. એક્સેસ લેવલ પર સૌ પ્રથમ નિયંત્રણ લાગુ કરો - આ તમને તમામ ટ્રાફિકના 100% જોવાની તક આપશે.
8. જો તમારી પાસે કોઈ વિકલ્પ ન હોય અને તમે રશિયન નેટવર્ક સાધનોનો ઉપયોગ કરી રહ્યાં હોવ, તો ફ્લો પ્રોટોકોલને સપોર્ટ કરતું હોય અથવા SPAN/RSPAN પોર્ટ ધરાવતા હોય તે પસંદ કરો.
9. આંતરિક નેટવર્કમાં (વાદળો સહિત) ધાર પર ઘૂસણખોરી/હુમલો શોધ/નિવારણ પ્રણાલીઓ અને પ્રવાહ વિશ્લેષણ પ્રણાલીઓને જોડો.

છેલ્લી ટીપ વિશે, હું એક ઉદાહરણ આપવા માંગુ છું જે મેં પહેલા પણ આપી દીધું છે. તમે જોશો કે જો અગાઉ સિસ્કો ઇન્ફર્મેશન સિક્યુરિટી સર્વિસે ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ્સ અને સિગ્નેચર મેથડના આધારે તેની ઇન્ફર્મેશન સિક્યુરિટી મોનિટરિંગ સિસ્ટમનું નિર્માણ કર્યું હતું, તો હવે તે માત્ર 20% ઘટનાઓ માટે જવાબદાર છે. અન્ય 20% પ્રવાહ વિશ્લેષણ પ્રણાલીઓ પર પડે છે, જે સૂચવે છે કે આ ઉકેલો ધૂન નથી, પરંતુ આધુનિક એન્ટરપ્રાઇઝની માહિતી સુરક્ષા સેવાઓની પ્રવૃત્તિઓમાં એક વાસ્તવિક સાધન છે. તદુપરાંત, તમારી પાસે તેમના અમલીકરણ માટે સૌથી મહત્વપૂર્ણ વસ્તુ છે - નેટવર્ક ઇન્ફ્રાસ્ટ્રક્ચર, રોકાણ જેમાં નેટવર્કને માહિતી સુરક્ષા મોનિટરિંગ કાર્યો સોંપીને વધુ સુરક્ષિત કરી શકાય છે.

મેં નેટવર્ક પ્રવાહમાં ઓળખાયેલી વિસંગતતાઓ અથવા ધમકીઓને પ્રતિસાદ આપવાના વિષય પર ખાસ સ્પર્શ કર્યો નથી, પરંતુ મને લાગે છે કે તે પહેલાથી જ સ્પષ્ટ છે કે દેખરેખ માત્ર ધમકીની શોધ સાથે સમાપ્ત થવી જોઈએ નહીં. તે પ્રતિસાદ દ્વારા અનુસરવામાં આવવી જોઈએ અને પ્રાધાન્ય આપોઆપ અથવા સ્વચાલિત મોડમાં. પરંતુ આ એક અલગ લેખ માટેનો વિષય છે.

વધારાની માહિતી:

• સિસ્કો આઇઓએસ નેટફ્લોનું વર્ણન
• વિવિધ સિસ્કો સોલ્યુશન્સમાં નેટફ્લો સપોર્ટ મેટ્રિક્સ
• વિવિધ સિસ્કો પ્લેટફોર્મ્સ પર નેટફ્લોને ગોઠવવા માટેની માર્ગદર્શિકા
• sFlow સમુદાય
• સુરક્ષા પરિપ્રેક્ષ્યમાં નેટફ્લોનું વિશ્લેષણ કરવા માટે Stealtjwatch, SiLK અને ELK નો ઉપયોગ કરીને લેબ
• SiLK વેબસાઇટ
• ટન ઉદાહરણો સાથે SiLK નો ઉપયોગ કરવા માટે ત્રણ-સો-પાનાની માર્ગદર્શિકા
• લોગસ્ટેશ નેટફ્લો મોડ્યુલ
• ELK માં નેટફ્લો વિશ્લેષણ માટે સિસ્કો સ્ટેપ-બાય-સ્ટેપ ગાઇડ
• Logstash (ELK) નો ઉપયોગ કરીને NetFlow v.9 Cisco ASA નું વિશ્લેષણ
• સિસ્કો સ્ટીલ્થવોચ સોલ્યુશન

પી.એસ. જો ઉપર લખેલું બધું સાંભળવું તમારા માટે સહેલું હોય, તો તમે આ નોંધનો આધાર બનેલી કલાક-લાંબી પ્રસ્તુતિ જોઈ શકો છો.

સોર્સ: www.habr.com