फ़्लोमन नेटवर्क समाधानों का उपयोग करके नेटवर्क की निगरानी और असामान्य नेटवर्क गतिविधि का पता लगाना

हाल ही में, आप इंटरनेट पर इस विषय पर भारी मात्रा में सामग्री पा सकते हैं। नेटवर्क परिधि पर यातायात विश्लेषण. उसी समय, किसी कारण से हर कोई पूरी तरह से भूल गया स्थानीय यातायात विश्लेषणजो कम महत्वपूर्ण नहीं है. यह आलेख सटीक रूप से इसी विषय को संबोधित करता है। उदाहरण के लिए फ़्लोमन नेटवर्क हम पुराने अच्छे नेटफ़्लो (और उसके विकल्पों) को याद करेंगे, दिलचस्प मामलों, नेटवर्क में संभावित विसंगतियों को देखेंगे और समाधान के फ़ायदों का पता लगाएंगे जब पूरा नेटवर्क एक सेंसर के रूप में काम करता है. और सबसे महत्वपूर्ण बात यह है कि आप ट्रायल लाइसेंस के ढांचे के भीतर स्थानीय ट्रैफ़िक का ऐसा विश्लेषण पूरी तरह से निःशुल्क कर सकते हैं (45 дней). यदि विषय आपके लिए दिलचस्प है, तो कैट में आपका स्वागत है। यदि आप पढ़ने में बहुत आलसी हैं, तो, आगे देखते हुए, आप इसके लिए पंजीकरण कर सकते हैं आगामी वेबिनार, जहां हम आपको सब कुछ दिखाएंगे और बताएंगे (आप वहां आगामी उत्पाद प्रशिक्षण के बारे में भी जान सकते हैं)।

फ्लोमोन नेटवर्क क्या है?

सबसे पहले, फ्लोमोन एक यूरोपीय आईटी विक्रेता है। कंपनी चेक है, जिसका मुख्यालय ब्रनो में है (प्रतिबंधों का मुद्दा भी नहीं उठाया गया है)। अपने वर्तमान स्वरूप में, कंपनी 2007 से बाज़ार में है। पहले, इसे Invea-Tech ब्रांड के तहत जाना जाता था। इस प्रकार, कुल मिलाकर, उत्पादों और समाधानों को विकसित करने में लगभग 20 वर्ष व्यतीत हो गए।

फ्लोमोन को ए-क्लास ब्रांड के रूप में स्थान दिया गया है। एंटरप्राइज़ ग्राहकों के लिए प्रीमियम समाधान विकसित करता है और नेटवर्क परफॉर्मेंस मॉनिटरिंग एंड डायग्नोस्टिक्स (एनपीएमडी) के लिए गार्टनर बॉक्स में मान्यता प्राप्त है। इसके अलावा, दिलचस्प बात यह है कि रिपोर्ट में सभी कंपनियों में से, फ़्लोमन एकमात्र विक्रेता है जिसे गार्टनर ने नेटवर्क निगरानी और सूचना सुरक्षा (नेटवर्क व्यवहार विश्लेषण) दोनों के लिए समाधान के निर्माता के रूप में नोट किया है। यह अभी तक प्रथम स्थान पर नहीं है, लेकिन इसके कारण यह बोइंग विंग की तरह खड़ा नहीं है।

उत्पाद किन समस्याओं का समाधान करता है?

विश्व स्तर पर, हम कंपनी के उत्पादों द्वारा हल किए गए कार्यों के निम्नलिखित पूल को अलग कर सकते हैं:

1. नेटवर्क की स्थिरता, साथ ही नेटवर्क संसाधनों को उनके डाउनटाइम और अनुपलब्धता को कम करके बढ़ाना;
2. नेटवर्क प्रदर्शन के समग्र स्तर में वृद्धि;
3. प्रशासनिक कर्मियों की दक्षता में वृद्धि के कारण:
   • आईपी ​​​​प्रवाह के बारे में जानकारी के आधार पर आधुनिक नवीन नेटवर्क निगरानी उपकरणों का उपयोग करना;
   • नेटवर्क की कार्यप्रणाली और स्थिति के बारे में विस्तृत विश्लेषण प्रदान करना - नेटवर्क पर चलने वाले उपयोगकर्ता और एप्लिकेशन, प्रेषित डेटा, इंटरैक्टिंग संसाधन, सेवाएं और नोड्स;
   • घटनाओं के घटित होने से पहले ही उन पर प्रतिक्रिया देना, न कि उपयोगकर्ताओं और ग्राहकों द्वारा सेवा खो देने के बाद;
   • नेटवर्क और आईटी बुनियादी ढांचे को प्रशासित करने के लिए आवश्यक समय और संसाधनों को कम करना;
   • समस्या निवारण कार्यों को सरल बनाना.
4. असामान्य और दुर्भावनापूर्ण नेटवर्क गतिविधि, साथ ही "शून्य-दिवसीय हमलों" का पता लगाने के लिए गैर-हस्ताक्षर प्रौद्योगिकियों के उपयोग के माध्यम से उद्यम के नेटवर्क और सूचना संसाधनों की सुरक्षा के स्तर को बढ़ाना;
5. नेटवर्क अनुप्रयोगों और डेटाबेस के लिए SLA का आवश्यक स्तर सुनिश्चित करना।

फ़्लोमन नेटवर्क उत्पाद पोर्टफोलियो

आइए अब सीधे फ़्लोमन नेटवर्क्स उत्पाद पोर्टफोलियो पर नज़र डालें और पता करें कि कंपनी वास्तव में क्या करती है। जैसा कि कई लोग पहले ही नाम से अनुमान लगा चुके हैं, मुख्य विशेषज्ञता स्ट्रीमिंग प्रवाह ट्रैफ़िक निगरानी के समाधान में है, साथ ही कई अतिरिक्त मॉड्यूल भी हैं जो बुनियादी कार्यक्षमता का विस्तार करते हैं।

वास्तव में, फ्लोमोन को एक उत्पाद या यूं कहें कि एक समाधान वाली कंपनी कहा जा सकता है। आइए जानें कि यह अच्छा है या बुरा।

सिस्टम का मूल कलेक्टर है, जो विभिन्न प्रवाह प्रोटोकॉल जैसे डेटा एकत्र करने के लिए जिम्मेदार है नेटफ्लो v5/v9, जेफ्लो, एसफ्लो, नेटस्ट्रीम, आईपीफिक्स... यह काफी तार्किक है कि किसी ऐसी कंपनी के लिए जो किसी भी नेटवर्क उपकरण निर्माता से संबद्ध नहीं है, बाजार को एक सार्वभौमिक उत्पाद पेश करना महत्वपूर्ण है जो किसी एक मानक या प्रोटोकॉल से बंधा नहीं है।

फ़्लोमन कलेक्टर

कलेक्टर हार्डवेयर सर्वर और वर्चुअल मशीन (वीएमवेयर, हाइपर-वी, केवीएम) दोनों के रूप में उपलब्ध है। वैसे, हार्डवेयर प्लेटफ़ॉर्म को अनुकूलित DELL सर्वर पर कार्यान्वित किया जाता है, जो वारंटी और RMA के साथ अधिकांश समस्याओं को स्वचालित रूप से समाप्त कर देता है। एकमात्र मालिकाना हार्डवेयर घटक फ़्लोमन की सहायक कंपनी द्वारा विकसित एफपीजीए ट्रैफ़िक कैप्चर कार्ड हैं, जो 100 जीबीपीएस तक की गति पर निगरानी की अनुमति देते हैं।

लेकिन यदि मौजूदा नेटवर्क उपकरण उच्च गुणवत्ता वाला प्रवाह उत्पन्न करने में सक्षम नहीं है तो क्या करें? या उपकरण पर भार बहुत अधिक है? कोई बात नहीं:

फ्लोमोन प्रोब

इस मामले में, फ़्लोमन नेटवर्क अपने स्वयं के जांच (फ़्लोमन प्रोब) का उपयोग करने की पेशकश करता है, जो स्विच के स्पैन पोर्ट के माध्यम से या निष्क्रिय टीएपी स्प्लिटर्स का उपयोग करके नेटवर्क से जुड़े होते हैं।

स्पैन (मिरर पोर्ट) और टीएपी कार्यान्वयन विकल्प

इस मामले में, फ़्लोमन प्रोब पर आने वाला कच्चा ट्रैफ़िक अधिक युक्त विस्तारित IPFIX में परिवर्तित हो जाता है जानकारी के साथ 240 मेट्रिक्स. जबकि नेटवर्क उपकरण द्वारा उत्पन्न मानक नेटफ्लो प्रोटोकॉल में 80 से अधिक मेट्रिक्स नहीं होते हैं। यह न केवल स्तर 3 और 4 पर, बल्कि आईएसओ ओएसआई मॉडल के अनुसार स्तर 7 पर भी प्रोटोकॉल दृश्यता की अनुमति देता है। परिणामस्वरूप, नेटवर्क प्रशासक ई-मेल, HTTP, DNS, SMB जैसे एप्लिकेशन और प्रोटोकॉल के कामकाज की निगरानी कर सकते हैं...

वैचारिक रूप से, सिस्टम की तार्किक वास्तुकला इस तरह दिखती है:

संपूर्ण फ़्लोमन नेटवर्क "पारिस्थितिकी तंत्र" का केंद्रीय भाग कलेक्टर है, जो मौजूदा नेटवर्क उपकरण या अपने स्वयं के जांच (प्रोब) से ट्रैफ़िक प्राप्त करता है। लेकिन एंटरप्राइज़ समाधान के लिए, केवल नेटवर्क ट्रैफ़िक की निगरानी के लिए कार्यक्षमता प्रदान करना बहुत सरल होगा। ओपन सोर्स समाधान भी ऐसा कर सकते हैं, भले ही ऐसे प्रदर्शन के साथ नहीं। फ्लोमोन का मूल्य अतिरिक्त मॉड्यूल हैं जो बुनियादी कार्यक्षमता का विस्तार करते हैं:

• मॉड्यूल विसंगति का पता लगाने की सुरक्षा - ट्रैफ़िक के अनुमानी विश्लेषण और एक विशिष्ट नेटवर्क प्रोफ़ाइल के आधार पर, शून्य-दिन के हमलों सहित असामान्य नेटवर्क गतिविधि की पहचान;
• मॉड्यूल आवेदन प्रदर्शन की निगरानी - "एजेंटों" को स्थापित किए बिना और लक्ष्य प्रणालियों को प्रभावित किए बिना नेटवर्क अनुप्रयोगों के प्रदर्शन की निगरानी करना;
• मॉड्यूल ट्रैफिक रिकॉर्डर - सूचना सुरक्षा घटनाओं की आगे की समस्या निवारण और/या जांच के लिए पूर्वनिर्धारित नियमों के एक सेट के अनुसार या एडीएस मॉड्यूल से ट्रिगर के अनुसार नेटवर्क ट्रैफ़िक के टुकड़े रिकॉर्ड करना;
• मॉड्यूल डीडीओएस संरक्षण - अनुप्रयोगों पर हमलों (OSI L3/L4/L7) सहित वॉल्यूमेट्रिक DoS/DDoS सेवा हमलों से इनकार से नेटवर्क परिधि की सुरक्षा।

इस लेख में, हम देखेंगे कि 2 मॉड्यूल के उदाहरण का उपयोग करके सब कुछ लाइव कैसे काम करता है - नेटवर्क प्रदर्शन निगरानी और निदान и विसंगति का पता लगाने की सुरक्षा.
आरंभिक डेटा:

• वीएमवेयर 140 हाइपरवाइजर के साथ लेनोवो आरएस 6.0 सर्वर;
• फ़्लोमन कलेक्टर वर्चुअल मशीन छवि जो आप कर सकते हैं यहाँ डाउनलोड करें;
• प्रवाह प्रोटोकॉल का समर्थन करने वाले स्विचों की एक जोड़ी।

चरण 1. फ़्लोमन कलेक्टर स्थापित करें

VMware पर वर्चुअल मशीन की तैनाती OVF टेम्पलेट से पूरी तरह से मानक तरीके से होती है। परिणामस्वरूप, हमें CentOS चलाने वाली और उपयोग के लिए तैयार सॉफ़्टवेयर वाली एक वर्चुअल मशीन मिलती है। संसाधन आवश्यकताएँ मानवीय हैं:

जो कुछ बचा है वह कमांड का उपयोग करके बुनियादी आरंभीकरण करना है sysconfig:

हम प्रबंधन पोर्ट, डीएनएस, समय, होस्टनाम पर आईपी कॉन्फ़िगर करते हैं और वेब इंटरफ़ेस से कनेक्ट कर सकते हैं।

चरण 2. लाइसेंस स्थापना

वर्चुअल मशीन छवि के साथ डेढ़ महीने के लिए एक परीक्षण लाइसेंस तैयार और डाउनलोड किया जाता है। के माध्यम से लोड किया गया कॉन्फ़िगरेशन केंद्र -> लाइसेंस. परिणामस्वरूप हम देखते हैं:

सब तैयार है. आप काम करना शुरू कर सकते हैं.

चरण 3. कलेक्टर पर रिसीवर स्थापित करना

इस स्तर पर, आपको यह तय करने की आवश्यकता है कि सिस्टम स्रोतों से डेटा कैसे प्राप्त करेगा। जैसा कि हमने पहले कहा, यह प्रवाह प्रोटोकॉल या स्विच पर एक स्पैन पोर्ट में से एक हो सकता है।

हमारे उदाहरण में, हम प्रोटोकॉल का उपयोग करके डेटा रिसेप्शन का उपयोग करेंगे नेटफ्लो v9 और IPFIX. इस मामले में, हम लक्ष्य के रूप में प्रबंधन इंटरफ़ेस का आईपी पता निर्दिष्ट करते हैं - 192.168.78.198. इंटरफ़ेस eth2 और eth3 (मॉनिटरिंग इंटरफ़ेस प्रकार के साथ) का उपयोग स्विच के SPAN पोर्ट से "कच्चे" ट्रैफ़िक की एक प्रति प्राप्त करने के लिए किया जाता है। हमने उन्हें जाने दिया, हमारे मामले को नहीं।
इसके बाद, हम कलेक्टर पोर्ट की जाँच करते हैं जहाँ ट्रैफ़िक जाना चाहिए।

हमारे मामले में, कलेक्टर पोर्ट यूडीपी/2055 पर यातायात को सुनता है।

चरण 4. प्रवाह निर्यात के लिए नेटवर्क उपकरण कॉन्फ़िगर करना

सिस्को सिस्टम्स उपकरण पर नेटफ्लो स्थापित करना संभवतः किसी भी नेटवर्क प्रशासक के लिए पूरी तरह से सामान्य कार्य कहा जा सकता है। अपने उदाहरण के लिए, हम कुछ और असामान्य चीज़ लेंगे। उदाहरण के लिए, MikroTik RB2011UiAS-2HnD राउटर। हां, अजीब तरह से, छोटे और घरेलू कार्यालयों के लिए ऐसा बजट समाधान नेटफ्लो v5/v9 और IPFIX प्रोटोकॉल का भी समर्थन करता है। सेटिंग्स में, लक्ष्य निर्धारित करें (कलेक्टर पता 192.168.78.198 और पोर्ट 2055):

और निर्यात के लिए उपलब्ध सभी मीट्रिक जोड़ें:

इस बिंदु पर हम कह सकते हैं कि बुनियादी सेटअप पूरा हो गया है। हम जाँचते हैं कि ट्रैफ़िक सिस्टम में प्रवेश कर रहा है या नहीं।

चरण 5: नेटवर्क प्रदर्शन निगरानी और डायग्नोस्टिक्स मॉड्यूल का परीक्षण और संचालन

आप अनुभाग में स्रोत से ट्रैफ़िक की उपस्थिति की जाँच कर सकते हैं फ्लोमोन मॉनिटरिंग सेंटर -> स्रोत:

हम देखते हैं कि डेटा सिस्टम में प्रवेश कर रहा है। कलेक्टर द्वारा ट्रैफ़िक जमा करने के कुछ समय बाद, विजेट जानकारी प्रदर्शित करना शुरू कर देंगे:

सिस्टम ड्रिल डाउन सिद्धांत पर बनाया गया है। अर्थात्, उपयोगकर्ता, किसी आरेख या ग्राफ़ पर रुचि के टुकड़े का चयन करते समय, डेटा की गहराई के स्तर तक "गिर जाता है" जिसकी उसे आवश्यकता होती है:

प्रत्येक नेटवर्क कनेक्शन और कनेक्शन के बारे में जानकारी के लिए नीचे:

चरण 6. विसंगति का पता लगाने वाला सुरक्षा मॉड्यूल

नेटवर्क ट्रैफ़िक और दुर्भावनापूर्ण नेटवर्क गतिविधि में विसंगतियों का पता लगाने के लिए हस्ताक्षर-मुक्त तरीकों के उपयोग के कारण, इस मॉड्यूल को शायद सबसे दिलचस्प में से एक कहा जा सकता है। लेकिन यह आईडीएस/आईपीएस सिस्टम का एनालॉग नहीं है। मॉड्यूल के साथ काम करना उसके "प्रशिक्षण" से शुरू होता है। ऐसा करने के लिए, एक विशेष विज़ार्ड नेटवर्क के सभी प्रमुख घटकों और सेवाओं को निर्दिष्ट करता है, जिनमें शामिल हैं:

• गेटवे पते, डीएनएस, डीएचसीपी और एनटीपी सर्वर,
• उपयोगकर्ता और सर्वर खंडों में संबोधित करना।

इसके बाद, सिस्टम प्रशिक्षण मोड में चला जाता है, जो औसतन 2 सप्ताह से 1 महीने तक चलता है। इस समय के दौरान, सिस्टम बेसलाइन ट्रैफ़िक उत्पन्न करता है जो हमारे नेटवर्क के लिए विशिष्ट है। सीधे शब्दों में कहें तो सिस्टम सीखता है:

• नेटवर्क नोड्स के लिए कौन सा व्यवहार विशिष्ट है?
• डेटा की कितनी मात्रा आम तौर पर स्थानांतरित की जाती है और नेटवर्क के लिए सामान्य है?
• उपयोगकर्ताओं के लिए सामान्य परिचालन समय क्या है?
• नेटवर्क पर कौन से एप्लिकेशन चलते हैं?
• और भी बहुत कुछ..

परिणामस्वरूप, हमें एक उपकरण मिलता है जो हमारे नेटवर्क में किसी भी विसंगति और विशिष्ट व्यवहार से विचलन की पहचान करता है। यहां कुछ उदाहरण दिए गए हैं जिनका सिस्टम आपको पता लगाने की अनुमति देता है:

• नेटवर्क पर नए मैलवेयर का वितरण जो एंटीवायरस हस्ताक्षरों द्वारा पता नहीं लगाया जाता है;
• डीएनएस, आईसीएमपी या अन्य सुरंगों का निर्माण करना और फ़ायरवॉल को दरकिनार कर डेटा संचारित करना;
• डीएचसीपी और/या डीएनएस सर्वर के रूप में नेटवर्क पर एक नए कंप्यूटर की उपस्थिति।

आइए लाइव देखें कि यह कैसा दिखता है। आपके सिस्टम को प्रशिक्षित करने और नेटवर्क ट्रैफ़िक की आधार रेखा बनाने के बाद, यह घटनाओं का पता लगाना शुरू कर देता है:

मॉड्यूल का मुख्य पृष्ठ पहचानी गई घटनाओं को प्रदर्शित करने वाली एक समयरेखा है। हमारे उदाहरण में, हम एक स्पष्ट स्पाइक देखते हैं, लगभग 9 से 16 घंटों के बीच। आइए इसे चुनें और अधिक विस्तार से देखें।

नेटवर्क पर हमलावर का विसंगतिपूर्ण व्यवहार स्पष्ट रूप से दिखाई देता है। यह सब इस तथ्य से शुरू होता है कि 192.168.3.225 पते वाले होस्ट ने पोर्ट 3389 (Microsoft RDP सेवा) पर नेटवर्क का क्षैतिज स्कैन शुरू किया और 14 संभावित "पीड़ित" पाए:

и

निम्नलिखित दर्ज की गई घटना - होस्ट 192.168.3.225 पहले से पहचाने गए पते पर आरडीपी सेवा (पोर्ट 3389) पर पासवर्ड को बलपूर्वक लागू करने के लिए एक क्रूर बल हमला शुरू करता है:

हमले के परिणामस्वरूप, हैक किए गए होस्ट में से एक पर एसएमटीपी विसंगति का पता चला है। दूसरे शब्दों में, स्पैम शुरू हो गया है:

यह उदाहरण सिस्टम की क्षमताओं और विशेष रूप से विसंगति का पता लगाने वाले सुरक्षा मॉड्यूल का स्पष्ट प्रदर्शन है। प्रभावशीलता का आकलन स्वयं करें। इससे समाधान का कार्यात्मक अवलोकन समाप्त हो जाता है।

निष्कर्ष

आइए संक्षेप में बताएं कि फ्लोमोन के बारे में हम क्या निष्कर्ष निकाल सकते हैं:

• फ्लोमोन कॉर्पोरेट ग्राहकों के लिए एक प्रीमियम समाधान है;
• इसकी बहुमुखी प्रतिभा और अनुकूलता के कारण, डेटा संग्रह किसी भी स्रोत से उपलब्ध है: नेटवर्क उपकरण (सिस्को, जुनिपर, एचपीई, हुआवेई...) या आपकी अपनी जांच (फ्लोमन प्रोब);
• समाधान की स्केलेबिलिटी क्षमताएं आपको नए मॉड्यूल जोड़कर सिस्टम की कार्यक्षमता का विस्तार करने की अनुमति देती हैं, साथ ही लाइसेंसिंग के लचीले दृष्टिकोण के कारण उत्पादकता में वृद्धि करती हैं;
• हस्ताक्षर-मुक्त विश्लेषण तकनीकों के उपयोग के माध्यम से, सिस्टम आपको शून्य-दिन के हमलों का पता लगाने की अनुमति देता है, यहां तक ​​कि एंटीवायरस और आईडीएस/आईपीएस सिस्टम के लिए भी अज्ञात;
• नेटवर्क पर सिस्टम की स्थापना और उपस्थिति के संदर्भ में पूर्ण "पारदर्शिता" के लिए धन्यवाद - समाधान आपके आईटी बुनियादी ढांचे के अन्य नोड्स और घटकों के संचालन को प्रभावित नहीं करता है;
• फ़्लोमोन बाज़ार में एकमात्र समाधान है जो 100 जीबीपीएस तक की गति पर ट्रैफ़िक निगरानी का समर्थन करता है;
• फ्लोमोन किसी भी पैमाने के नेटवर्क के लिए एक समाधान है;
• समान समाधानों के बीच सर्वोत्तम मूल्य/कार्यक्षमता अनुपात।

इस समीक्षा में, हमने समाधान की कुल कार्यक्षमता के 10% से कम की जांच की। अगले लेख में हम शेष फ़्लोमन नेटवर्क मॉड्यूल के बारे में बात करेंगे। एक उदाहरण के रूप में एप्लिकेशन प्रदर्शन मॉनिटरिंग मॉड्यूल का उपयोग करते हुए, हम दिखाएंगे कि कैसे व्यावसायिक एप्लिकेशन प्रशासक किसी दिए गए SLA स्तर पर उपलब्धता सुनिश्चित कर सकते हैं, साथ ही समस्याओं का यथाशीघ्र निदान भी कर सकते हैं।

इसके अलावा, हम आपको विक्रेता फ़्लोमन नेटवर्क्स के समाधानों के लिए समर्पित हमारे वेबिनार (10.09.2019/XNUMX/XNUMX) में आमंत्रित करना चाहेंगे। हम आपसे पूर्व-पंजीकरण करने के लिए कहते हैं यहां रजिस्टर करें.
अभी के लिए बस इतना ही, आपकी रुचि के लिए धन्यवाद!

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

क्या आप नेटवर्क मॉनिटरिंग के लिए नेटफ़्लो का उपयोग कर रहे हैं?

• Да

• नहीं, लेकिन मेरी योजना है

• नहीं

9 उपयोगकर्ताओं ने मतदान किया। 3 उपयोगकर्ता अनुपस्थित रहे।

स्रोत: www.habr.com