आंतरिक नेटवर्क सुरक्षा की निगरानी के लिए एक उपकरण के रूप में फ्लो प्रोटोकॉल

जब किसी आंतरिक कॉर्पोरेट या विभागीय नेटवर्क की सुरक्षा की निगरानी की बात आती है, तो कई लोग इसे सूचना लीक को नियंत्रित करने और डीएलपी समाधान लागू करने से जोड़ते हैं। और यदि आप प्रश्न को स्पष्ट करने का प्रयास करते हैं और पूछते हैं कि आप आंतरिक नेटवर्क पर हमलों का पता कैसे लगाते हैं, तो उत्तर, एक नियम के रूप में, घुसपैठ का पता लगाने वाली प्रणालियों (आईडीएस) का उल्लेख होगा। और जो 10-20 साल पहले एकमात्र विकल्प था, वह आज कालभ्रम बनता जा रहा है। आंतरिक नेटवर्क की निगरानी के लिए एक अधिक प्रभावी और कुछ स्थानों पर एकमात्र संभावित विकल्प है - प्रवाह प्रोटोकॉल का उपयोग करना, जो मूल रूप से नेटवर्क समस्याओं (समस्या निवारण) की खोज के लिए डिज़ाइन किया गया था, लेकिन समय के साथ एक बहुत ही दिलचस्प सुरक्षा उपकरण में बदल गया। हम इस बारे में बात करेंगे कि कौन से प्रवाह प्रोटोकॉल हैं और कौन से नेटवर्क हमलों का पता लगाने में बेहतर हैं, जहां प्रवाह निगरानी को लागू करना सबसे अच्छा है, ऐसी योजना को तैनात करते समय क्या देखना है, और यहां तक ​​कि घरेलू उपकरणों पर यह सब कैसे "उठाना" है। इस लेख के दायरे में.

मैं इस सवाल पर ध्यान नहीं दूंगा कि "आंतरिक बुनियादी ढांचे की सुरक्षा निगरानी की आवश्यकता क्यों है?" उत्तर स्पष्ट प्रतीत होता है. लेकिन अगर, फिर भी, आप एक बार फिर यह सुनिश्चित करना चाहेंगे कि आज आप इसके बिना नहीं रह सकते, посмотрите आप फ़ायरवॉल द्वारा संरक्षित कॉर्पोरेट नेटवर्क में 17 तरीकों से कैसे प्रवेश कर सकते हैं, इसके बारे में एक लघु वीडियो। इसलिए, हम मान लेंगे कि हम समझते हैं कि आंतरिक निगरानी एक आवश्यक चीज़ है और जो कुछ बचा है वह यह समझना है कि इसे कैसे व्यवस्थित किया जा सकता है।

मैं नेटवर्क स्तर पर बुनियादी ढांचे की निगरानी के लिए तीन प्रमुख डेटा स्रोतों पर प्रकाश डालूंगा:

• "कच्चा" ट्रैफ़िक जिसे हम कैप्चर करते हैं और विश्लेषण के लिए कुछ विश्लेषण प्रणालियों में सबमिट करते हैं,
• नेटवर्क उपकरणों से घटनाएँ जिनके माध्यम से ट्रैफ़िक गुजरता है,
• प्रवाह प्रोटोकॉल में से एक के माध्यम से प्राप्त ट्रैफ़िक जानकारी।

कच्चे ट्रैफ़िक को कैप्चर करना सुरक्षा विशेषज्ञों के बीच सबसे लोकप्रिय विकल्प है, क्योंकि यह ऐतिहासिक रूप से सामने आया और सबसे पहला था। पारंपरिक नेटवर्क घुसपैठ का पता लगाने वाली प्रणालियाँ (पहला व्यावसायिक घुसपैठ का पता लगाने वाला सिस्टम व्हील ग्रुप का नेटरेंजर था, जिसे 1998 में सिस्को द्वारा खरीदा गया था) पैकेट (और बाद के सत्र) को कैप्चर करने में सटीक रूप से लगे हुए थे, जिसमें कुछ हस्ताक्षरों की तलाश की गई थी ("निर्णायक नियम") FSTEC शब्दावली), सिग्नलिंग हमले। बेशक, आप न केवल आईडीएस का उपयोग करके, बल्कि अन्य टूल (उदाहरण के लिए, वायरशार्क, टीसीपीडम या सिस्को आईओएस में एनबीएआर 2 कार्यक्षमता) का उपयोग करके भी कच्चे ट्रैफ़िक का विश्लेषण कर सकते हैं, लेकिन उनके पास आमतौर पर ज्ञान का आधार नहीं होता है जो एक सूचना सुरक्षा उपकरण को नियमित से अलग करता है आईटी उपकरण.

तो, हमले का पता लगाने वाली प्रणालियाँ। नेटवर्क हमलों का पता लगाने का सबसे पुराना और सबसे लोकप्रिय तरीका, जो परिधि पर अच्छा काम करता है (कोई फर्क नहीं पड़ता - कॉर्पोरेट, डेटा सेंटर, सेगमेंट इत्यादि), लेकिन आधुनिक स्विच्ड और सॉफ़्टवेयर-परिभाषित नेटवर्क में विफल रहता है। पारंपरिक स्विचों के आधार पर बनाए गए नेटवर्क के मामले में, हमले का पता लगाने वाले सेंसर का बुनियादी ढांचा बहुत बड़ा हो जाता है - आपको उस नोड के प्रत्येक कनेक्शन पर एक सेंसर स्थापित करना होगा जिस पर आप हमलों की निगरानी करना चाहते हैं। बेशक, कोई भी निर्माता आपको सैकड़ों और हजारों सेंसर बेचने में प्रसन्न होगा, लेकिन मुझे लगता है कि आपका बजट ऐसे खर्चों का समर्थन नहीं कर सकता है। मैं कह सकता हूं कि सिस्को में भी (और हम एनजीआईपीएस के डेवलपर हैं) हम ऐसा नहीं कर सके, हालांकि ऐसा लगता है कि कीमत का मुद्दा हमारे सामने है। मुझे खड़ा नहीं होना चाहिए - यह हमारा अपना निर्णय है। इसके अलावा, सवाल उठता है कि इस संस्करण में सेंसर को कैसे कनेक्ट किया जाए? अंतराल में? यदि सेंसर ही विफल हो जाए तो क्या होगा? सेंसर में बायपास मॉड्यूल की आवश्यकता है? स्प्लिटर्स (टैप) का उपयोग करें? यह सब समाधान को अधिक महंगा बनाता है और किसी भी आकार की कंपनी के लिए इसे अप्राप्य बनाता है।

आप सेंसर को SPAN/RSPAN/ERSPAN पोर्ट पर "हैंग" करने का प्रयास कर सकते हैं और आवश्यक स्विच पोर्ट से ट्रैफ़िक को उस पर निर्देशित कर सकते हैं। यह विकल्प पिछले पैराग्राफ में वर्णित समस्या को आंशिक रूप से हटा देता है, लेकिन एक और समस्या खड़ी कर देता है - स्पैन पोर्ट उस पर भेजे जाने वाले सभी ट्रैफ़िक को स्वीकार नहीं कर सकता है - इसमें पर्याप्त बैंडविड्थ नहीं होगी। आपको कुछ त्याग करना होगा. या तो कुछ नोड्स को बिना निगरानी के छोड़ दें (फिर आपको पहले उन्हें प्राथमिकता देने की आवश्यकता है), या नोड से सभी ट्रैफ़िक नहीं, बल्कि केवल एक निश्चित प्रकार भेजें। किसी भी स्थिति में, हम कुछ हमलों से चूक सकते हैं। इसके अलावा, SPAN पोर्ट का उपयोग अन्य जरूरतों के लिए किया जा सकता है। परिणामस्वरूप, हमें मौजूदा नेटवर्क टोपोलॉजी की समीक्षा करनी होगी और संभवतः आपके नेटवर्क को आपके पास मौजूद सेंसरों की संख्या के साथ अधिकतम तक कवर करने के लिए इसमें समायोजन करना होगा (और इसे आईटी के साथ समन्वयित करना होगा)।

यदि आपका नेटवर्क असममित मार्गों का उपयोग करता है तो क्या होगा? यदि आपने एसडीएन लागू कर दिया है या लागू करने की योजना बना रहे हैं तो क्या होगा? क्या होगा यदि आपको वर्चुअलाइज्ड मशीनों या कंटेनरों की निगरानी करने की आवश्यकता है जिनका ट्रैफ़िक भौतिक स्विच तक बिल्कुल भी नहीं पहुंचता है? ये ऐसे प्रश्न हैं जो पारंपरिक आईडीएस विक्रेताओं को पसंद नहीं हैं क्योंकि वे नहीं जानते कि इनका उत्तर कैसे दिया जाए। शायद वे आपको समझा देंगे कि ये सभी फैशनेबल प्रौद्योगिकियाँ प्रचारित हैं और आपको इसकी आवश्यकता नहीं है। शायद वे छोटी शुरुआत करने की आवश्यकता के बारे में बात करेंगे। या शायद वे कहेंगे कि आपको नेटवर्क के केंद्र में एक शक्तिशाली थ्रेशर लगाने और बैलेंसर्स का उपयोग करके सभी ट्रैफ़िक को उस पर निर्देशित करने की आवश्यकता है। आपको जो भी विकल्प पेश किया जाता है, आपको यह स्पष्ट रूप से समझने की आवश्यकता है कि यह आपके लिए कितना उपयुक्त है। और उसके बाद ही नेटवर्क बुनियादी ढांचे की सूचना सुरक्षा की निगरानी के लिए एक दृष्टिकोण चुनने पर निर्णय लें। पैकेट कैप्चर पर लौटते हुए, मैं कहना चाहता हूं कि यह विधि अभी भी बहुत लोकप्रिय और महत्वपूर्ण है, लेकिन इसका मुख्य उद्देश्य सीमा नियंत्रण है; आपके संगठन और इंटरनेट के बीच की सीमाएँ, डेटा सेंटर और शेष नेटवर्क के बीच की सीमाएँ, प्रक्रिया नियंत्रण प्रणाली और कॉर्पोरेट खंड के बीच की सीमाएँ। इन स्थानों पर, क्लासिक आईडीएस/आईपीएस को अभी भी अस्तित्व में रहने और अपने कार्यों को अच्छी तरह से पूरा करने का अधिकार है।

आइए दूसरे विकल्प पर चलते हैं। नेटवर्क उपकरणों से आने वाली घटनाओं के विश्लेषण का उपयोग हमले का पता लगाने के उद्देश्यों के लिए भी किया जा सकता है, लेकिन मुख्य तंत्र के रूप में नहीं, क्योंकि यह केवल घुसपैठ के एक छोटे वर्ग का पता लगाने की अनुमति देता है। इसके अलावा, यह कुछ प्रतिक्रियाशीलता में निहित है - हमला पहले होना चाहिए, फिर इसे एक नेटवर्क डिवाइस द्वारा रिकॉर्ड किया जाना चाहिए, जो एक या दूसरे तरीके से सूचना सुरक्षा के साथ समस्या का संकेत देगा। ऐसे कई तरीके हैं. यह syslog, RMON या SNMP हो सकता है। सूचना सुरक्षा के संदर्भ में नेटवर्क मॉनिटरिंग के लिए अंतिम दो प्रोटोकॉल का उपयोग केवल तभी किया जाता है जब हमें नेटवर्क उपकरण पर DoS हमले का पता लगाने की आवश्यकता होती है, क्योंकि RMON और SNMP का उपयोग करना संभव है, उदाहरण के लिए, डिवाइस के सेंट्रल पर लोड की निगरानी करना प्रोसेसर या उसके इंटरफ़ेस. यह "सबसे सस्ते" (हर किसी के पास syslog या SNMP) में से एक है, लेकिन आंतरिक बुनियादी ढांचे की सूचना सुरक्षा की निगरानी के सभी तरीकों में से सबसे अप्रभावी भी है - कई हमले बस इससे छिपे होते हैं। बेशक, उन्हें उपेक्षित नहीं किया जाना चाहिए, और वही syslog विश्लेषण आपको डिवाइस के कॉन्फ़िगरेशन में परिवर्तन, इसके समझौता की समय पर पहचान करने में मदद करता है, लेकिन यह पूरे नेटवर्क पर हमलों का पता लगाने के लिए बहुत उपयुक्त नहीं है।

तीसरा विकल्प एक ऐसे उपकरण से गुजरने वाले ट्रैफ़िक के बारे में जानकारी का विश्लेषण करना है जो कई प्रवाह प्रोटोकॉल में से एक का समर्थन करता है। इस मामले में, प्रोटोकॉल की परवाह किए बिना, थ्रेडिंग इंफ्रास्ट्रक्चर में आवश्यक रूप से तीन घटक होते हैं:

• प्रवाह का सृजन या निर्यात. यह भूमिका आमतौर पर एक राउटर, स्विच या अन्य नेटवर्क डिवाइस को सौंपी जाती है, जो नेटवर्क ट्रैफ़िक को स्वयं से गुजारकर, आपको इससे प्रमुख पैरामीटर निकालने की अनुमति देता है, जो फिर संग्रह मॉड्यूल में प्रेषित होते हैं। उदाहरण के लिए, सिस्को न केवल वर्चुअल और औद्योगिक सहित राउटर और स्विच पर नेटफ्लो प्रोटोकॉल का समर्थन करता है, बल्कि वायरलेस नियंत्रक, फ़ायरवॉल और यहां तक ​​कि सर्वर पर भी समर्थन करता है।
• संग्रह प्रवाह. यह ध्यान में रखते हुए कि एक आधुनिक नेटवर्क में आमतौर पर एक से अधिक नेटवर्क डिवाइस होते हैं, प्रवाह को इकट्ठा करने और समेकित करने की समस्या उत्पन्न होती है, जिसे तथाकथित कलेक्टरों का उपयोग करके हल किया जाता है, जो प्राप्त प्रवाह को संसाधित करते हैं और फिर उन्हें विश्लेषण के लिए प्रसारित करते हैं।
• प्रवाह विश्लेषण विश्लेषक मुख्य बौद्धिक कार्य करता है और विभिन्न एल्गोरिदम को धाराओं में लागू करके कुछ निष्कर्ष निकालता है। उदाहरण के लिए, आईटी फ़ंक्शन के भाग के रूप में, ऐसा विश्लेषक नेटवर्क बाधाओं की पहचान कर सकता है या आगे नेटवर्क अनुकूलन के लिए ट्रैफ़िक लोड प्रोफ़ाइल का विश्लेषण कर सकता है। और सूचना सुरक्षा के लिए, ऐसा विश्लेषक डेटा लीक, दुर्भावनापूर्ण कोड के प्रसार या DoS हमलों का पता लगा सकता है।

यह मत सोचिए कि यह त्रि-स्तरीय वास्तुकला बहुत जटिल है - अन्य सभी विकल्प (शायद, एसएनएमपी और आरएमओएन के साथ काम करने वाले नेटवर्क मॉनिटरिंग सिस्टम को छोड़कर) भी इसके अनुसार काम करते हैं। हमारे पास विश्लेषण के लिए एक डेटा जनरेटर है, जो एक नेटवर्क डिवाइस या एक स्टैंड-अलोन सेंसर हो सकता है। हमारे पास संपूर्ण निगरानी बुनियादी ढांचे के लिए एक अलार्म संग्रह प्रणाली और एक प्रबंधन प्रणाली है। अंतिम दो घटकों को एक ही नोड के भीतर जोड़ा जा सकता है, लेकिन अधिक या कम बड़े नेटवर्क में स्केलेबिलिटी और विश्वसनीयता सुनिश्चित करने के लिए वे आमतौर पर कम से कम दो उपकरणों में फैले होते हैं।

पैकेट विश्लेषण के विपरीत, जो प्रत्येक पैकेट के हेडर और बॉडी डेटा और इसमें शामिल सत्रों के अध्ययन पर आधारित है, प्रवाह विश्लेषण नेटवर्क ट्रैफ़िक के बारे में मेटाडेटा एकत्र करने पर निर्भर करता है। कब, कितना, कहाँ से और कहाँ, कैसे... ये ऐसे प्रश्न हैं जिनका उत्तर विभिन्न प्रवाह प्रोटोकॉल का उपयोग करके नेटवर्क टेलीमेट्री के विश्लेषण से दिया जाता है। प्रारंभ में, उनका उपयोग आंकड़ों का विश्लेषण करने और नेटवर्क पर आईटी समस्याओं का पता लगाने के लिए किया जाता था, लेकिन फिर, जैसे-जैसे विश्लेषणात्मक तंत्र विकसित हुए, सुरक्षा उद्देश्यों के लिए उन्हें उसी टेलीमेट्री पर लागू करना संभव हो गया। यह फिर से ध्यान देने योग्य है कि प्रवाह विश्लेषण पैकेट कैप्चर को प्रतिस्थापित या प्रतिस्थापित नहीं करता है। इनमें से प्रत्येक विधि का अपना अनुप्रयोग क्षेत्र है। लेकिन इस लेख के संदर्भ में, यह प्रवाह विश्लेषण है जो आंतरिक बुनियादी ढांचे की निगरानी के लिए सबसे उपयुक्त है। आपके पास नेटवर्क डिवाइस हैं (चाहे वे सॉफ़्टवेयर-परिभाषित प्रतिमान में काम करते हों या स्थैतिक नियमों के अनुसार) जिन्हें कोई हमला बायपास नहीं कर सकता है। यह क्लासिक आईडीएस सेंसर को बायपास कर सकता है, लेकिन फ्लो प्रोटोकॉल का समर्थन करने वाला नेटवर्क डिवाइस ऐसा नहीं कर सकता। यही इस पद्धति का लाभ है.

दूसरी ओर, यदि आपको कानून प्रवर्तन या अपनी स्वयं की घटना जांच टीम के लिए साक्ष्य की आवश्यकता है, तो आप पैकेट कैप्चर किए बिना नहीं कर सकते - नेटवर्क टेलीमेट्री ट्रैफ़िक की एक प्रति नहीं है जिसका उपयोग साक्ष्य एकत्र करने के लिए किया जा सकता है; सूचना सुरक्षा के क्षेत्र में तेजी से पता लगाने और निर्णय लेने के लिए इसकी आवश्यकता है। दूसरी ओर, टेलीमेट्री विश्लेषण का उपयोग करके, आप सभी नेटवर्क ट्रैफ़िक को "लिख" नहीं सकते हैं (यदि कुछ भी हो, सिस्को डेटा केंद्रों से निपटता है :-), लेकिन केवल वह जो हमले में शामिल है। इस संबंध में टेलीमेट्री विश्लेषण उपकरण पारंपरिक पैकेट कैप्चर तंत्र को अच्छी तरह से पूरक करेंगे, जो चयनात्मक कैप्चर और भंडारण के लिए आदेश देंगे। अन्यथा, आपके पास विशाल भंडारण अवसंरचना होनी चाहिए।

आइए 250 Mbit/sec की गति से संचालित होने वाले नेटवर्क की कल्पना करें। यदि आप इस सभी वॉल्यूम को स्टोर करना चाहते हैं, तो आपको एक सेकंड के ट्रैफिक ट्रांसमिशन के लिए 31 एमबी स्टोरेज, एक मिनट के लिए 1,8 जीबी, एक घंटे के लिए 108 जीबी और एक दिन के लिए 2,6 टीबी की आवश्यकता होगी। 10 Gbit/s की बैंडविड्थ वाले नेटवर्क से दैनिक डेटा संग्रहीत करने के लिए, आपको 108 TB स्टोरेज की आवश्यकता होगी। लेकिन कुछ नियामकों को वर्षों तक सुरक्षा डेटा संग्रहीत करने की आवश्यकता होती है... ऑन-डिमांड रिकॉर्डिंग, जो प्रवाह विश्लेषण आपको लागू करने में मदद करती है, इन मूल्यों को परिमाण के क्रम से कम करने में मदद करती है। वैसे, अगर हम रिकॉर्ड किए गए नेटवर्क टेलीमेट्री डेटा की मात्रा और पूर्ण डेटा कैप्चर के अनुपात के बारे में बात करते हैं, तो यह लगभग 1 से 500 है। ऊपर दिए गए समान मूल्यों के लिए, सभी दैनिक ट्रैफ़िक का पूर्ण प्रतिलेख संग्रहीत करना क्रमशः 5 और 216 जीबी होंगे (आप इसे नियमित फ्लैश ड्राइव पर भी रिकॉर्ड कर सकते हैं)।

यदि कच्चे नेटवर्क डेटा का विश्लेषण करने वाले उपकरणों के लिए, इसे कैप्चर करने की विधि विक्रेता से विक्रेता तक लगभग समान है, तो प्रवाह विश्लेषण के मामले में स्थिति अलग है। फ़्लो प्रोटोकॉल के लिए कई विकल्प हैं, जिनके अंतर के बारे में आपको सुरक्षा के संदर्भ में जानना आवश्यक है। सिस्को द्वारा विकसित नेटफ्लो प्रोटोकॉल सबसे लोकप्रिय है। इस प्रोटोकॉल के कई संस्करण हैं, जो उनकी क्षमताओं और दर्ज की गई ट्रैफ़िक जानकारी की मात्रा में भिन्न हैं। वर्तमान संस्करण नौवां (नेटफ्लो v9) है, जिसके आधार पर उद्योग मानक नेटफ्लो v10, जिसे IPFIX भी कहा जाता है, विकसित किया गया था। आज, अधिकांश नेटवर्क विक्रेता अपने उपकरणों में नेटफ़्लो या IPFIX का समर्थन करते हैं। लेकिन फ्लो प्रोटोकॉल के लिए कई अन्य विकल्प हैं - sFlow, jFlow, cFlow, rFlow, NetStream, आदि, जिनमें से sFlow सबसे लोकप्रिय है। यह वह प्रकार है जिसे इसके कार्यान्वयन में आसानी के कारण अक्सर नेटवर्क उपकरण के घरेलू निर्माताओं द्वारा समर्थित किया जाता है। नेटफ्लो, जो एक वास्तविक मानक बन गया है, और एसफ्लो के बीच मुख्य अंतर क्या हैं? मैं कई प्रमुख बातों पर प्रकाश डालूँगा। सबसे पहले, नेटफ़्लो में sFlow में निश्चित फ़ील्ड के विपरीत उपयोगकर्ता-अनुकूलन योग्य फ़ील्ड हैं। और दूसरी बात, और यह हमारे मामले में सबसे महत्वपूर्ण बात है, sFlow तथाकथित नमूना टेलीमेट्री एकत्र करता है; नेटफ़्लो और IPFIX के लिए अनसैंपल्ड के विपरीत। उनके बीच क्या अंतर है?

कल्पना कीजिए कि आपने "पुस्तक पढ़ने का निर्णय लिया है"सुरक्षा संचालन केंद्र: आपके एसओसी का निर्माण, संचालन और रखरखाव” मेरे सहयोगियों में से - गैरी मैकइंटायर, जोसेफ मुनिट्ज़ और नाडेम अल्फ़रदान (आप लिंक से पुस्तक का हिस्सा डाउनलोड कर सकते हैं)। अपने लक्ष्य को प्राप्त करने के लिए आपके पास तीन विकल्प हैं - पूरी किताब पढ़ें, उसे सरसरी तौर पर पढ़ें, हर 10वें या 20वें पेज पर रुकें, या किसी ब्लॉग या स्मार्टरीडिंग जैसी सेवा पर मुख्य अवधारणाओं की रीटेलिंग खोजने का प्रयास करें। तो, अनसैंपल्ड टेलीमेट्री नेटवर्क ट्रैफ़िक के प्रत्येक "पेज" को पढ़ रही है, यानी प्रत्येक पैकेट के लिए मेटाडेटा का विश्लेषण कर रही है। नमूना टेलीमेट्री ट्रैफ़िक का चयनात्मक अध्ययन है, इस आशा में कि चयनित नमूनों में वह शामिल होगा जिसकी आपको आवश्यकता है। चैनल की गति के आधार पर, नमूना टेलीमेट्री को हर 64वें, 200वें, 500वें, 1000वें, 2000वें या यहां तक ​​कि 10000वें पैकेट पर विश्लेषण के लिए भेजा जाएगा।

सूचना सुरक्षा निगरानी के संदर्भ में, इसका मतलब है कि नमूना टेलीमेट्री DDoS हमलों का पता लगाने, स्कैन करने और दुर्भावनापूर्ण कोड फैलाने के लिए उपयुक्त है, लेकिन परमाणु या बहु-पैकेट हमलों को याद कर सकती है जो विश्लेषण के लिए भेजे गए नमूने में शामिल नहीं थे। अनसैंपल्ड टेलीमेट्री में ऐसे नुकसान नहीं हैं। इसके साथ, पता लगाए गए हमलों की सीमा बहुत व्यापक है। यहां उन घटनाओं की एक छोटी सूची दी गई है जिन्हें नेटवर्क टेलीमेट्री विश्लेषण टूल का उपयोग करके पता लगाया जा सकता है।

बेशक, कुछ ओपन सोर्स नेटफ़्लो विश्लेषक आपको ऐसा करने की अनुमति नहीं देंगे, क्योंकि इसका मुख्य कार्य टेलीमेट्री एकत्र करना और आईटी दृष्टिकोण से उस पर बुनियादी विश्लेषण करना है। प्रवाह के आधार पर सूचना सुरक्षा खतरों की पहचान करने के लिए, विश्लेषक को विभिन्न इंजनों और एल्गोरिदम से लैस करना आवश्यक है, जो मानक या कस्टम नेटफ्लो फ़ील्ड के आधार पर साइबर सुरक्षा समस्याओं की पहचान करेगा, विभिन्न खतरा खुफिया स्रोतों से बाहरी डेटा के साथ मानक डेटा को समृद्ध करेगा, आदि।

इसलिए, यदि आपके पास कोई विकल्प है, तो नेटफ़्लो या IPFIX चुनें। लेकिन अगर आपका उपकरण घरेलू निर्माताओं की तरह केवल sFlow के साथ काम करता है, तो भी इस मामले में आप सुरक्षा संदर्भ में इससे लाभ उठा सकते हैं।

2019 की गर्मियों में, मैंने रूसी नेटवर्क हार्डवेयर निर्माताओं की क्षमताओं का विश्लेषण किया और एनएसजी, पॉलीगॉन और क्राफ्टवे को छोड़कर, उनमें से सभी ने sFlow (कम से कम ज़ेलैक्स, नेटेक्स, एलटेक्स, क्यूटेक, रुस्टेलेथ) के लिए समर्थन की घोषणा की।

अगला प्रश्न आपके सामने होगा कि सुरक्षा उद्देश्यों के लिए प्रवाह समर्थन कहाँ लागू किया जाए? वास्तव में, प्रश्न पूरी तरह से सही ढंग से प्रस्तुत नहीं किया गया है। आधुनिक उपकरण लगभग हमेशा प्रवाह प्रोटोकॉल का समर्थन करते हैं। इसलिए, मैं इस प्रश्न को अलग तरीके से सुधारूंगा - सुरक्षा के दृष्टिकोण से टेलीमेट्री एकत्र करना सबसे प्रभावी कहां है? उत्तर बिल्कुल स्पष्ट होगा - एक्सेस स्तर पर, जहां आप सभी ट्रैफ़िक का 100% देखेंगे, जहां आपके पास होस्ट्स (मैक, वीएलएएन, इंटरफ़ेस आईडी) पर विस्तृत जानकारी होगी, जहां आप होस्ट्स के बीच पी2पी ट्रैफ़िक की निगरानी भी कर सकते हैं, जो स्कैनिंग दुर्भावनापूर्ण कोड का पता लगाने और वितरण के लिए महत्वपूर्ण है। मुख्य स्तर पर, हो सकता है कि आपको कुछ ट्रैफ़िक दिखाई न दे, लेकिन परिधि स्तर पर, आप अपने सभी नेटवर्क ट्रैफ़िक का एक चौथाई देखेंगे। लेकिन अगर किसी कारण से आपके नेटवर्क पर विदेशी उपकरण हैं जो हमलावरों को परिधि को दरकिनार किए बिना "प्रवेश करने और बाहर निकलने" की अनुमति देते हैं, तो इससे टेलीमेट्री का विश्लेषण करने से आपको कुछ नहीं मिलेगा। इसलिए, अधिकतम कवरेज के लिए, एक्सेस स्तर पर टेलीमेट्री संग्रह को सक्षम करने की अनुशंसा की जाती है। साथ ही, यह ध्यान देने योग्य है कि भले ही हम वर्चुअलाइजेशन या कंटेनर के बारे में बात कर रहे हों, आधुनिक वर्चुअल स्विच में फ्लो सपोर्ट भी अक्सर पाया जाता है, जो आपको वहां भी ट्रैफिक को नियंत्रित करने की अनुमति देता है।

लेकिन चूंकि मैंने विषय उठाया है, इसलिए मुझे इस प्रश्न का उत्तर देने की आवश्यकता है: क्या होगा यदि उपकरण, भौतिक या आभासी, प्रवाह प्रोटोकॉल का समर्थन नहीं करता है? या क्या इसका समावेश निषिद्ध है (उदाहरण के लिए, विश्वसनीयता सुनिश्चित करने के लिए औद्योगिक क्षेत्रों में)? या क्या इसे चालू करने से सीपीयू लोड अधिक हो जाता है (पुराने हार्डवेयर पर ऐसा होता है)? इस समस्या को हल करने के लिए, विशेष वर्चुअल सेंसर (फ्लो सेंसर) हैं, जो अनिवार्य रूप से साधारण स्प्लिटर हैं जो ट्रैफ़िक को अपने माध्यम से पास करते हैं और इसे संग्रह मॉड्यूल में प्रवाह के रूप में प्रसारित करते हैं। सच है, इस मामले में हमें पैकेट कैप्चर टूल के संबंध में वे सभी समस्याएं मिलती हैं जिनके बारे में हमने ऊपर बात की थी। यानी आपको न केवल प्रवाह विश्लेषण तकनीक के फायदे, बल्कि इसकी सीमाएं भी समझने की जरूरत है।

प्रवाह विश्लेषण उपकरणों के बारे में बात करते समय एक और बात याद रखना महत्वपूर्ण है। यदि सुरक्षा घटनाओं को उत्पन्न करने के पारंपरिक साधनों के संबंध में हम ईपीएस मीट्रिक (प्रति सेकंड घटना) का उपयोग करते हैं, तो यह संकेतक टेलीमेट्री विश्लेषण पर लागू नहीं होता है; इसे एफपीएस (प्रति सेकंड प्रवाह) द्वारा प्रतिस्थापित किया जाता है। जैसा कि ईपीएस के मामले में होता है, इसकी गणना पहले से नहीं की जा सकती है, लेकिन आप किसी विशेष डिवाइस द्वारा उसके कार्य के आधार पर उत्पन्न होने वाले थ्रेड्स की अनुमानित संख्या का अनुमान लगा सकते हैं। आप इंटरनेट पर विभिन्न प्रकार के उद्यम उपकरणों और स्थितियों के लिए अनुमानित मूल्यों के साथ तालिकाएँ पा सकते हैं, जो आपको यह अनुमान लगाने की अनुमति देगा कि आपको विश्लेषण उपकरणों के लिए कौन से लाइसेंस की आवश्यकता है और उनकी वास्तुकला क्या होगी? तथ्य यह है कि आईडीएस सेंसर एक निश्चित बैंडविड्थ द्वारा सीमित है जिसे वह "खींच" सकता है, और प्रवाह कलेक्टर की अपनी सीमाएं हैं जिन्हें समझा जाना चाहिए। इसलिए, बड़े, भौगोलिक रूप से वितरित नेटवर्क में आमतौर पर कई संग्राहक होते हैं। जब मैंने वर्णन किया सिस्को के अंदर नेटवर्क की निगरानी कैसे की जाती है, मैंने पहले ही हमारे संग्राहकों की संख्या दे दी है - उनमें से 21 हैं। और यह पांच महाद्वीपों में फैले नेटवर्क के लिए है और लगभग आधे मिलियन सक्रिय डिवाइस हैं)।

हम नेटफ्लो मॉनिटरिंग सिस्टम के रूप में अपने स्वयं के समाधान का उपयोग करते हैं सिस्को स्टील्थवॉच, जो विशेष रूप से सुरक्षा समस्याओं को हल करने पर केंद्रित है। इसमें असंगत, संदिग्ध और स्पष्ट रूप से दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए कई अंतर्निहित इंजन हैं, जो आपको विभिन्न खतरों की एक विस्तृत श्रृंखला का पता लगाने की अनुमति देता है - क्रिप्टोमाइनिंग से लेकर सूचना लीक तक, दुर्भावनापूर्ण कोड के प्रसार से लेकर धोखाधड़ी तक। अधिकांश प्रवाह विश्लेषकों की तरह, स्टेल्थवॉच को तीन-स्तरीय योजना (जनरेटर - कलेक्टर - विश्लेषक) के अनुसार बनाया गया है, लेकिन यह कई दिलचस्प विशेषताओं के साथ पूरक है जो विचाराधीन सामग्री के संदर्भ में महत्वपूर्ण हैं। सबसे पहले, यह पैकेट कैप्चर समाधान (जैसे सिस्को सुरक्षा पैकेट विश्लेषक) के साथ एकीकृत होता है, जो आपको बाद में गहन जांच और विश्लेषण के लिए चयनित नेटवर्क सत्र रिकॉर्ड करने की अनुमति देता है। दूसरे, विशेष रूप से सुरक्षा कार्यों का विस्तार करने के लिए, हमने एक विशेष nvzFlow प्रोटोकॉल विकसित किया है, जो आपको अंत नोड्स (सर्वर, वर्कस्टेशन इत्यादि) पर अनुप्रयोगों की गतिविधि को टेलीमेट्री में "प्रसारित" करने और आगे के विश्लेषण के लिए कलेक्टर को प्रेषित करने की अनुमति देता है। यदि अपने मूल संस्करण में स्टील्थवॉच नेटवर्क स्तर पर किसी भी फ्लो प्रोटोकॉल (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) के साथ काम करता है, तो nvzFlow समर्थन नोड स्तर पर भी डेटा सहसंबंध की अनुमति देता है। पूरे सिस्टम की दक्षता बढ़ाना और पारंपरिक नेटवर्क प्रवाह विश्लेषकों की तुलना में अधिक हमले देखना।

यह स्पष्ट है कि जब सुरक्षा के दृष्टिकोण से नेटफ्लो विश्लेषण प्रणालियों के बारे में बात की जाती है, तो बाजार सिस्को के एकल समाधान तक सीमित नहीं है। आप वाणिज्यिक और मुफ़्त या शेयरवेयर दोनों समाधानों का उपयोग कर सकते हैं। अगर मैं सिस्को ब्लॉग पर प्रतिस्पर्धियों के समाधानों को उदाहरण के रूप में उद्धृत करता हूं तो यह काफी अजीब है, इसलिए मैं इस बारे में कुछ शब्द कहूंगा कि कैसे नेटवर्क टेलीमेट्री का विश्लेषण दो लोकप्रिय, नाम में समान, लेकिन फिर भी अलग-अलग टूल - SiLK और ELK का उपयोग करके किया जा सकता है।

SiLK ट्रैफ़िक विश्लेषण के लिए उपकरणों का एक सेट (इंटरनेट-स्तरीय ज्ञान के लिए सिस्टम) है, जिसे अमेरिकी CERT/CC द्वारा विकसित किया गया है और जो आज के लेख के संदर्भ में, नेटफ़्लो (5वें और 9वें, सबसे लोकप्रिय संस्करण), IPFIX का समर्थन करता है। और sFlow और इसमें अनधिकृत कार्यों के संकेतों का पता लगाने के लिए नेटवर्क टेलीमेट्री पर विभिन्न ऑपरेशन करने के लिए विभिन्न उपयोगिताओं (rwfilter, rwcount, rwflowpack, आदि) का उपयोग करना। लेकिन ध्यान देने योग्य कुछ महत्वपूर्ण बिंदु हैं। SiLK एक कमांड लाइन टूल है जो इस तरह कमांड दर्ज करके ऑन-लाइन विश्लेषण करता है (200 बाइट्स से बड़े ICMP पैकेट का पता लगाना):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

बहुत आरामदायक नहीं. आप iSiLK GUI का उपयोग कर सकते हैं, लेकिन यह आपके जीवन को अधिक आसान नहीं बनाएगा, केवल विज़ुअलाइज़ेशन फ़ंक्शन को हल करेगा और विश्लेषक को प्रतिस्थापित नहीं करेगा। और ये दूसरा बिंदु है. वाणिज्यिक समाधानों के विपरीत, जिनके पास पहले से ही एक ठोस विश्लेषणात्मक आधार, विसंगति का पता लगाने वाले एल्गोरिदम, संबंधित वर्कफ़्लो इत्यादि हैं, SiLK के मामले में आपको यह सब स्वयं करना होगा, जिसके लिए पहले से तैयार उपयोग की तुलना में आपसे थोड़ी अलग दक्षताओं की आवश्यकता होगी- उपयोग के लिए उपकरण. यह न तो अच्छा है और न ही बुरा - यह लगभग किसी भी मुफ्त टूल की एक विशेषता है जो मानती है कि आप जानते हैं कि क्या करना है, और यह केवल इसमें आपकी मदद करेगा (वाणिज्यिक उपकरण अपने उपयोगकर्ताओं की दक्षताओं पर कम निर्भर होते हैं, हालांकि वे यह भी मानते हैं विश्लेषक कम से कम नेटवर्क जांच और निगरानी की बुनियादी बातें समझते हैं)। लेकिन चलिए SiLK पर वापस आते हैं। इसके साथ विश्लेषक का कार्य चक्र इस प्रकार दिखता है:

• एक परिकल्पना तैयार करना. हमें यह समझना चाहिए कि हम नेटवर्क टेलीमेट्री के अंदर क्या खोज रहे होंगे, उन अद्वितीय विशेषताओं को जानना होगा जिनके द्वारा हम कुछ विसंगतियों या खतरों की पहचान करेंगे।
• एक मॉडल का निर्माण. एक परिकल्पना तैयार करने के बाद, हम इसे उसी पायथन, शेल या SiLK में शामिल नहीं किए गए अन्य उपकरणों का उपयोग करके प्रोग्राम करते हैं।
• परिक्षण। यह हमारी परिकल्पना की सत्यता की जांच करने का समय है, जिसकी पुष्टि या खंडन 'आरडब्ल्यू', 'सेट', 'बैग' से शुरू होने वाली SiLK उपयोगिताओं का उपयोग करके किया जाता है।
• वास्तविक डेटा का विश्लेषण. औद्योगिक संचालन में, SiLK हमें कुछ पहचानने में मदद करता है और विश्लेषक को सवालों का जवाब देना होगा "क्या हमें वह मिला जिसकी हमें उम्मीद थी?", "क्या यह हमारी परिकल्पना के अनुरूप है?", "झूठी सकारात्मकता की संख्या कैसे कम करें?", "कैसे मान्यता के स्तर में सुधार करने के लिए? » और इसी तरह।
• सुधार। अंतिम चरण में, हम पहले जो किया गया था उसमें सुधार करते हैं - हम टेम्पलेट बनाते हैं, कोड में सुधार और अनुकूलन करते हैं, परिकल्पना को सुधारते और स्पष्ट करते हैं, आदि।

यह चक्र सिस्को स्टील्थवॉच पर भी लागू होगा, केवल अंतिम वाला इन पांच चरणों को अधिकतम तक स्वचालित करता है, जिससे विश्लेषक त्रुटियों की संख्या कम हो जाती है और घटना का पता लगाने की दक्षता बढ़ जाती है। उदाहरण के लिए, SiLK में आप हाथ से लिखी स्क्रिप्ट का उपयोग करके दुर्भावनापूर्ण आईपी पर बाहरी डेटा के साथ नेटवर्क आंकड़ों को समृद्ध कर सकते हैं, और सिस्को स्टील्थवॉच में यह एक अंतर्निहित फ़ंक्शन है जो नेटवर्क ट्रैफ़िक में ब्लैकलिस्ट से आईपी पते के साथ इंटरैक्शन होने पर तुरंत अलार्म प्रदर्शित करता है।

यदि आप प्रवाह विश्लेषण सॉफ़्टवेयर के लिए "भुगतान किए गए" पिरामिड में ऊपर जाते हैं, तो बिल्कुल मुफ्त SiLK के बाद एक शेयरवेयर ELK होगा, जिसमें तीन प्रमुख घटक शामिल होंगे - इलास्टिक्स खोज (अनुक्रमण, खोज और डेटा विश्लेषण), लॉगस्टैश (डेटा इनपुट / आउटपुट) ) और किबाना (विज़ुअलाइज़ेशन)। SiLK के विपरीत, जहां आपको सब कुछ स्वयं लिखना होता है, ELK के पास पहले से ही कई तैयार लाइब्रेरी/मॉड्यूल हैं (कुछ भुगतान किए गए, कुछ नहीं) जो नेटवर्क टेलीमेट्री के विश्लेषण को स्वचालित करते हैं। उदाहरण के लिए, लॉगस्टैश में जियोआईपी फ़िल्टर आपको मॉनिटर किए गए आईपी पते को उनके भौगोलिक स्थान के साथ जोड़ने की अनुमति देता है (स्टील्थवॉच में यह अंतर्निहित सुविधा है)।

ईएलके के पास एक काफी बड़ा समुदाय भी है जो इस निगरानी समाधान के लिए लापता घटकों को पूरा कर रहा है। उदाहरण के लिए, नेटफ़्लो, IPFIX और sFlow के साथ काम करने के लिए आप मॉड्यूल का उपयोग कर सकते हैं इलास्टिफ्लो, यदि आप लॉगस्टैश नेटफ्लो मॉड्यूल से संतुष्ट नहीं हैं, जो केवल नेटफ्लो का समर्थन करता है।

प्रवाह एकत्र करने और उसमें खोज करने में अधिक दक्षता प्रदान करते हुए, ईएलके में वर्तमान में नेटवर्क टेलीमेट्री में विसंगतियों और खतरों का पता लगाने के लिए समृद्ध अंतर्निहित विश्लेषण का अभाव है। अर्थात्, ऊपर वर्णित जीवन चक्र का पालन करते हुए, आपको स्वतंत्र रूप से उल्लंघन मॉडल का वर्णन करना होगा और फिर इसे युद्ध प्रणाली में उपयोग करना होगा (वहां कोई अंतर्निहित मॉडल नहीं हैं)।

बेशक, ईएलके के लिए अधिक परिष्कृत एक्सटेंशन हैं, जिनमें पहले से ही नेटवर्क टेलीमेट्री में विसंगतियों का पता लगाने के लिए कुछ मॉडल शामिल हैं, लेकिन ऐसे एक्सटेंशन में पैसा खर्च होता है और सवाल यह है कि क्या गेम मोमबत्ती के लायक है - एक समान मॉडल स्वयं लिखें, इसका कार्यान्वयन खरीदें अपने निगरानी उपकरण के लिए, या नेटवर्क ट्रैफ़िक विश्लेषण वर्ग का तैयार समाधान खरीदें।

सामान्य तौर पर, मैं इस बहस में नहीं पड़ना चाहता कि नेटवर्क टेलीमेट्री (उदाहरण के लिए, सिस्को स्टील्थवॉच) में विसंगतियों और खतरों की निगरानी के लिए पैसा खर्च करना और तैयार समाधान खरीदना बेहतर है या इसे स्वयं पता लगाना और इसे अनुकूलित करना बेहतर है। प्रत्येक नए खतरे के लिए SiLK, ELK या nfdump या OSU फ्लो टूल्स (मैं उनमें से अंतिम दो के बारे में बात कर रहा हूं मुझे बताया गया है पिछली बार)? प्रत्येक व्यक्ति अपने लिए चयन करता है और दोनों में से किसी एक विकल्प को चुनने के लिए प्रत्येक व्यक्ति के अपने-अपने उद्देश्य होते हैं। मैं बस यह दिखाना चाहता था कि नेटवर्क टेलीमेट्री आपके आंतरिक बुनियादी ढांचे की नेटवर्क सुरक्षा सुनिश्चित करने में एक बहुत ही महत्वपूर्ण उपकरण है और आपको इसकी उपेक्षा नहीं करनी चाहिए, ताकि उन कंपनियों की सूची में शामिल न हों जिनका नाम मीडिया में विशेषणों के साथ उल्लेखित है। हैक किया गया", "सूचना सुरक्षा आवश्यकताओं का अनुपालन न करना" ", "अपने डेटा और ग्राहक डेटा की सुरक्षा के बारे में नहीं सोचना।"

संक्षेप में, मैं उन प्रमुख युक्तियों को सूचीबद्ध करना चाहूंगा जिनका आपको अपने आंतरिक बुनियादी ढांचे की सूचना सुरक्षा निगरानी बनाते समय पालन करना चाहिए:

1. अपने आप को केवल परिधि तक सीमित न रखें! नेटवर्क बुनियादी ढांचे का उपयोग करें (और चुनें) न केवल ट्रैफ़िक को बिंदु ए से बिंदु बी तक ले जाने के लिए, बल्कि साइबर सुरक्षा मुद्दों के समाधान के लिए भी।
2. अपने नेटवर्क उपकरण में मौजूदा सूचना सुरक्षा निगरानी तंत्र का अध्ययन करें और उनका उपयोग करें।
3. आंतरिक निगरानी के लिए, टेलीमेट्री विश्लेषण को प्राथमिकता दें - यह आपको सभी नेटवर्क सूचना सुरक्षा घटनाओं का 80-90% तक पता लगाने की अनुमति देता है, जबकि नेटवर्क पैकेटों को कैप्चर करते समय और सभी सूचना सुरक्षा घटनाओं को संग्रहीत करने के लिए स्थान की बचत करते समय जो असंभव है वह करता है।
4. प्रवाह की निगरानी के लिए, नेटफ़्लो v9 या IPFIX का उपयोग करें - वे सुरक्षा संदर्भ में अधिक जानकारी प्रदान करते हैं और आपको न केवल IPv4, बल्कि IPv6, MPLS, आदि की भी निगरानी करने की अनुमति देते हैं।
5. अनसैंपल्ड फ्लो प्रोटोकॉल का उपयोग करें - यह खतरों का पता लगाने के लिए अधिक जानकारी प्रदान करता है। उदाहरण के लिए, नेटफ़्लो या IPFIX।
6. अपने नेटवर्क उपकरण पर लोड की जाँच करें - यह प्रवाह प्रोटोकॉल को संभालने में भी सक्षम नहीं हो सकता है। फिर वर्चुअल सेंसर या नेटफ्लो जेनरेशन उपकरण का उपयोग करने पर विचार करें।
7. सबसे पहले पहुंच स्तर पर नियंत्रण लागू करें - इससे आपको सभी ट्रैफ़िक का 100% देखने का अवसर मिलेगा।
8. यदि आपके पास कोई विकल्प नहीं है और आप रूसी नेटवर्क उपकरण का उपयोग कर रहे हैं, तो ऐसा उपकरण चुनें जो प्रवाह प्रोटोकॉल का समर्थन करता हो या जिसमें SPAN/RSPAN पोर्ट हों।
9. किनारों पर घुसपैठ/हमले का पता लगाने/रोकथाम प्रणालियों और आंतरिक नेटवर्क (बादलों सहित) में प्रवाह विश्लेषण प्रणालियों को संयोजित करें।

आखिरी टिप के संबंध में, मैं एक उदाहरण देना चाहूंगा जो मैं पहले ही दे चुका हूं। आप देखते हैं कि यदि पहले सिस्को सूचना सुरक्षा सेवा ने लगभग पूरी तरह से अपनी सूचना सुरक्षा निगरानी प्रणाली को घुसपैठ का पता लगाने वाली प्रणालियों और हस्ताक्षर विधियों के आधार पर बनाया था, तो अब वे केवल 20% घटनाओं के लिए जिम्मेदार हैं। अन्य 20% प्रवाह विश्लेषण प्रणालियों पर पड़ता है, जो बताता है कि ये समाधान कोई सनक नहीं हैं, बल्कि एक आधुनिक उद्यम की सूचना सुरक्षा सेवाओं की गतिविधियों में एक वास्तविक उपकरण हैं। इसके अलावा, आपके पास उनके कार्यान्वयन के लिए सबसे महत्वपूर्ण चीज है - नेटवर्क बुनियादी ढांचा, जिसमें नेटवर्क को सूचना सुरक्षा निगरानी कार्य सौंपकर निवेश को और अधिक संरक्षित किया जा सकता है।

मैंने विशेष रूप से नेटवर्क प्रवाह में पहचानी गई विसंगतियों या खतरों पर प्रतिक्रिया देने के विषय पर बात नहीं की, लेकिन मुझे लगता है कि यह पहले से ही स्पष्ट है कि निगरानी केवल खतरे का पता लगाने के साथ समाप्त नहीं होनी चाहिए। इसके बाद प्रतिक्रिया दी जानी चाहिए और अधिमानतः स्वचालित या स्वचालित मोड में। लेकिन यह एक अलग लेख का विषय है.

अतिरिक्त जानकारी:

• सिस्को आईओएस नेटफ्लो का विवरण
• विभिन्न सिस्को समाधानों में नेटफ़्लो समर्थन मैट्रिक्स
• विभिन्न सिस्को प्लेटफार्मों पर नेटफ्लो को कॉन्फ़िगर करने के लिए गाइड
• एसफ्लो समुदाय
• सुरक्षा दृष्टिकोण से नेटफ़्लो का विश्लेषण करने के लिए स्टील्टजवॉच, SiLK और ELK का उपयोग करने वाली लैब
• SiLK वेबसाइट
• ढेर सारे उदाहरणों के साथ SiLK का उपयोग करने के लिए तीन सौ पन्नों की मार्गदर्शिका
• लॉगस्टैश नेटफ़्लो मॉड्यूल
• ईएलके में नेटफ्लो विश्लेषण के लिए सिस्को चरण-दर-चरण मार्गदर्शिका
• लॉगस्टैश (ईएलके) का उपयोग करके नेटफ्लो v.9 सिस्को एएसए का विश्लेषण
• सिस्को स्टील्थवॉच समाधान

पुनश्च. यदि आपके लिए ऊपर लिखी गई हर बात सुनना आसान है, तो आप घंटे भर की प्रस्तुति देख सकते हैं जिसने इस नोट का आधार बनाया।

स्रोत: www.habr.com