{"id":37437,"date":"2019-10-31T22:17:38","date_gmt":"2019-10-31T19:17:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\/"},"modified":"2019-10-31T22:17:38","modified_gmt":"2019-10-31T19:17:38","slug":"flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","title":{"rendered":"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>Amikor a bels\u0151 v\u00e1llalati vagy hat\u00f3s\u00e1gi h\u00e1l\u00f3zat biztons\u00e1gi monitoroz\u00e1s\u00e1r\u00f3l van sz\u00f3, sokakban az inform\u00e1ci\u00f3sziv\u00e1rg\u00e1s ellen\u0151rz\u00e9se \u00e9s a DLP-megold\u00e1sok bevezet\u00e9se mer\u00fcl fel. Mit sz\u00f3ln\u00e1l, ha pontos\u00edtan\u00e1nk a k\u00e9rd\u00e9st, \u00e9s megk\u00e9rdezn\u00e9nk, hogyan fedezed fel a t\u00e1mad\u00e1sokat a bels\u0151 h\u00e1l\u00f3zaton? A v\u00e1lasz \u00e1ltal\u00e1ban a behatol\u00e1s\u00e9rz\u00e9kel\u0151 rendszerek (IDS) eml\u00edt\u00e9se. Ami 10-20 \u00e9ve m\u00e9g az egyetlen lehet\u0151s\u00e9g volt, ma m\u00e1r anachronizmusnak sz\u00e1m\u00edt. L\u00e9tezik egy hat\u00e9konyabb, s\u0151t, egyes esetekben az egyetlen lehets\u00e9ges m\u00f3dszer a bels\u0151 h\u00e1l\u00f3zat monitoroz\u00e1s\u00e1ra \u2014 a flow-protokollokat haszn\u00e1lni, amelyek eredetileg a h\u00e1l\u00f3zati probl\u00e9m\u00e1k keres\u00e9s\u00e9re (troubleshooting) k\u00e9sz\u00fcltek, de id\u0151vel nagyon \u00e9rdekes biztons\u00e1gi eszk\u00f6zz\u00e9 alakultak. Ebben a cikkben arr\u00f3l fogunk besz\u00e9lni, hogy milyen flow-protokollok l\u00e9teznek, \u00e9s melyek seg\u00edtenek a legjobban a h\u00e1l\u00f3zati t\u00e1mad\u00e1sok \u00e9szlel\u00e9s\u00e9ben, hol \u00e9rdemes a flow monitoroz\u00e1s\u00e1t bevezetni, mire \u00e9rdemes figyelni a rendszer ki\u00e9p\u00edt\u00e9sekor, \u00e9s ak\u00e1r arr\u00f3l is, hogyan lehet mindezt hazai eszk\u00f6z\u00f6k\u00f6n m\u0171k\u00f6dtetni.<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<p>Nem fogok meg\u00e1llni a k\u00e9rd\u00e9sn\u00e9l, hogy \"Mi\u00e9rt sz\u00fcks\u00e9ges a bels\u0151 infrastrukt\u00fara biztons\u00e1gi monitoroz\u00e1sa?\" A v\u00e1lasz nyilv\u00e1nval\u00f3. De ha m\u00e9gis szeretn\u00e9l megbizonyosodni r\u00f3la, hogy ma m\u00e1r ez elengedhetetlen, <noindex><a rel=\"nofollow\" href=\"https:\/\/gblogs.cisco.com\/ru\/17attackvectors\/\">n\u00e9zd meg<\/a><\/noindex> ez a r\u00f6vid vide\u00f3, amely bemutatja, hogy 17 m\u00f3don lehet behatolni egy t\u0171zfallal v\u00e9dett v\u00e1llalati h\u00e1l\u00f3zatba. Teh\u00e1t tekints\u00fck \u00fagy, hogy \u00e9rtj\u00fck, hogy a bels\u0151 monitoroz\u00e1s sz\u00fcks\u00e9ges, \u00e9s csak annyit kell meg\u00e9rten\u00fcnk, hogyan szervezhetj\u00fck meg.<\/p>\n<p>H\u00e1rom kulcsfontoss\u00e1g\u00fa adatforr\u00e1st emeln\u00e9k ki a h\u00e1l\u00f3zati szint\u0171 infrastrukt\u00fara monitoroz\u00e1s\u00e1hoz:<\/p>\n<ul>\n<li>\"nyers\" forgalom, amelyet r\u00f6gz\u00edt\u00fcnk \u00e9s elemz\u00e9sre k\u00fcld\u00fcnk k\u00fcl\u00f6nb\u00f6z\u0151 elemz\u0151 rendszereknek,<\/li>\n<li>h\u00e1l\u00f3zati eszk\u00f6z\u00f6kb\u0151l sz\u00e1rmaz\u00f3 esem\u00e9nyek, amelyeken kereszt\u00fcl a forgalom \u00e1thalad,<\/li>\n<li>a forgalomrel kapcsolatos inform\u00e1ci\u00f3, amelyet az egyik flow-protokoll alapj\u00e1n kapunk.<\/li>\n<\/ul>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/09c7087593661d5b159ecc9e9ab39d16.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA nyers forgalom elfog\u00e1sa a legn\u00e9pszer\u0171bb v\u00e1laszt\u00e1s a biztons\u00e1gi szakemberek sz\u00e1m\u00e1ra, mivel t\u00f6rt\u00e9nelmileg ez volt az els\u0151 lehet\u0151s\u00e9g. A hagyom\u00e1nyos behatol\u00e1s-\u00e9rz\u00e9kel\u0151 rendszerek (az els\u0151 kereskedelmi behatol\u00e1s-\u00e9rz\u00e9kel\u0151 rendszer a NetRanger volt, amelyet a Wheel Group k\u00e9sz\u00edtett, \u00e9s 1998-ban v\u00e1s\u00e1rolt meg a Cisco) \u00e9ppen a csomagok (k\u00e9s\u0151bb a szekci\u00f3k) elfog\u00e1s\u00e1val foglalkoztak, amelyekben bizonyos al\u00e1\u00edr\u00e1sokat kerestek (\u201cd\u00f6nt\u00e9si szab\u00e1lyok\u201d a FST\u00c9K terminol\u00f3gi\u00e1j\u00e1ban), amelyek t\u00e1mad\u00e1sokat jeleznek. Nyilv\u00e1nval\u00f3, hogy a nyers forgalmat nemcsak IDS seg\u00edts\u00e9g\u00e9vel lehet elemezni, hanem m\u00e1s eszk\u00f6z\u00f6kkel is (p\u00e9ld\u00e1ul Wireshark, tcpdump vagy a Cisco IOS NBAR2 funkci\u00f3ja), de ezek \u00e1ltal\u00e1ban nem rendelkeznek azokkal az ismeretekkel, amelyek megk\u00fcl\u00f6nb\u00f6ztetik a biztons\u00e1gi eszk\u00f6zt a szok\u00e1sos IT-eszk\u00f6z\u00f6kt\u0151l.<\/p>\n<p>Teh\u00e1t, behatol\u00e1s-\u00e9rz\u00e9kel\u0151 rendszerek. A legr\u00e9gebbi \u00e9s legn\u00e9pszer\u0171bb h\u00e1l\u00f3zati t\u00e1mad\u00e1sok \u00e9rz\u00e9kel\u00e9si m\u00f3dszer, amely j\u00f3l teljes\u00edt a peremen (f\u00fcggetlen\u00fcl att\u00f3l, hogy v\u00e1llalati, adatk\u00f6zponti, szegmens stb.), de a modern v\u00e1lt\u00f3- \u00e9s szoftveresen defini\u00e1lt h\u00e1l\u00f3zatokban nem tud l\u00e9p\u00e9st tartani. Ha a h\u00e1l\u00f3zatot hagyom\u00e1nyos kapcsol\u00f3kra \u00e9p\u00edtik, a t\u00e1mad\u00e1sok \u00e9rz\u00e9kel\u00e9s\u00e9re szolg\u00e1l\u00f3 \u00e9rz\u00e9kel\u0151 infrastrukt\u00fara t\u00fal nagy lesz \u2013 egy \u00e9rz\u00e9kel\u0151t kell telep\u00edteni minden egyes csatlakoz\u00e1sra, amelyhez a t\u00e1mad\u00e1sokat figyelni szeretn\u00e9. Minden gy\u00e1rt\u00f3 term\u00e9szetesen \u00f6r\u00fclne, ha eladna \u00d6nnek t\u00f6bb sz\u00e1z \u00e9s ezer \u00e9rz\u00e9kel\u0151t, de gondolom, a k\u00f6lts\u00e9gvet\u00e9se nem b\u00edrja el az ilyen kiad\u00e1sokat. Azt kell mondanom, hogy m\u00e9g a Cisco-n\u00e1l (mi vagyunk az NGIPS fejleszt\u0151i) sem tudtuk ezt megoldani, j\u00f3llehet, l\u00e1tsz\u00f3lag az \u00e1r k\u00e9rd\u00e9se nem \u00e1llhatott fenn \u2013 ez m\u00e9gis a saj\u00e1t megold\u00e1sunk. Ezenk\u00edv\u00fcl k\u00e9rd\u00e9s mer\u00fcl fel, hogy hogyan csatlakoztathatjuk az \u00e9rz\u00e9kel\u0151t ilyen form\u00e1ban? Kih\u00faz\u00e1sban? Mi van, ha mag\u00e1nak az \u00e9rz\u00e9kel\u0151nek hib\u00e1sodik el? K\u00f6vetelni kell a bypass modul megl\u00e9t\u00e9t az \u00e9rz\u00e9kel\u0151ben? Haszn\u00e1ljunk eloszt\u00f3kat (tap)? Mindez n\u00f6veli a megold\u00e1s k\u00f6lts\u00e9geit, \u00e9s megfizethetetlenn\u00e9 teszi azt b\u00e1rmilyen m\u00e9ret\u0171 c\u00e9g sz\u00e1m\u00e1ra.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/4763c13237dbe9ffa38d62075939ffba.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMegpr\u00f3b\u00e1lhatja \u201er\u00e1akasztani\u201d az \u00e9rz\u00e9kel\u0151t a SPAN\/RSPAN\/ERSPAN portokra, \u00e9s ir\u00e1ny\u00edtani a forgalmat a sz\u00fcks\u00e9ges switchek portjair\u00f3l. Ez a megold\u00e1s r\u00e9szben enyh\u00edti a kor\u00e1bban eml\u00edtett probl\u00e9m\u00e1t, de egy m\u00e1sikat felvet \u2014 a SPAN port nem tudja fogadni az \u00f6sszes forgalmat, amelyet ir\u00e1ny\u00edtani fognak r\u00e1 \u2014 nem lesz elegend\u0151 s\u00e1vsz\u00e9less\u00e9ge. K\u00e9nytelen lesz valamir\u0151l lemondani. Vagy a csom\u00f3pontok egy r\u00e9sz\u00e9t meg kell hagyni figyel\u00e9s n\u00e9lk\u00fcl (ehhez el\u0151zetesen prioriz\u00e1lni kell \u0151ket), vagy nem az \u00f6sszes csom\u00f3pont forgalm\u00e1t ir\u00e1ny\u00edtani, hanem csak egy bizonyos t\u00edpus\u00fat. B\u00e1rmilyen esetben el\u0151fordulhat, hogy kihagyunk n\u00e9h\u00e1ny t\u00e1mad\u00e1st. Ezenk\u00edv\u00fcl a SPAN portot m\u00e1s c\u00e9lokra is felhaszn\u00e1lhatj\u00e1k. Ennek eredm\u00e9nyek\u00e9nt \u00e1t kell gondolnunk a megl\u00e9v\u0151 h\u00e1l\u00f3zati topol\u00f3gi\u00e1t, \u00e9s esetleg m\u00f3dos\u00edt\u00e1sokat kell v\u00e9gezn\u00fcnk, hogy maxim\u00e1lisan lefedj\u00fck a h\u00e1l\u00f3zat\u00e1t a rendelkez\u00e9sre \u00e1ll\u00f3 \u00e9rz\u00e9kel\u0151k sz\u00e1m\u00e1val (\u00e9s ezt \u00f6ssze kell hangolnunk az IT-val).<\/p>\n<p>Mi van, ha a h\u00e1l\u00f3zata aszimmetrikus \u00fatvonalakat haszn\u00e1l? Mi van, ha SDN-t integr\u00e1ltak, vagy tervezik az integr\u00e1l\u00e1s\u00e1t? Mi van, ha virtu\u00e1lis g\u00e9peket vagy kont\u00e9nereket kell monitorozni, amelyek forgalma egy\u00e1ltal\u00e1n nem jut el a fizikai switchhez? Ezekre a k\u00e9rd\u00e9sekre a hagyom\u00e1nyos IDS gy\u00e1rt\u00f3i nem szeretik a v\u00e1laszokat, mert nem tudj\u00e1k, hogyan reag\u00e1ljanak r\u00e1juk. Lehets\u00e9ges, hogy arra pr\u00f3b\u00e1lnak r\u00e1besz\u00e9lni, hogy ezek a divatos technol\u00f3gi\u00e1k csak \u00fcres szavak, \u00e9s \u00d6nnek nincs sz\u00fcks\u00e9ge r\u00e1juk. Tal\u00e1n azt mondj\u00e1k, hogy kis l\u00e9p\u00e9sekkel kell kezdenie. Vagy lehet, hogy azt tan\u00e1csolj\u00e1k, hogy \u00e1ll\u00edtson fel egy er\u0151teljes k\u00f6zponti megold\u00e1st a h\u00e1l\u00f3zat k\u00f6zep\u00e9n, \u00e9s ir\u00e1ny\u00edtson minden forgalmat oda a terhel\u00e9seloszt\u00f3kon kereszt\u00fcl. B\u00e1rmi legyen is az aj\u00e1nlott megold\u00e1s, \u00d6nnek mag\u00e1nak kell pontosan meg\u00e9rtenie, hogy mennyire felel meg \u00d6nnek. Csak ezt k\u00f6vet\u0151en kell d\u00f6ntenie a h\u00e1l\u00f3zati infrastrukt\u00fara biztons\u00e1gi monitoroz\u00e1s\u00e1nak megk\u00f6zel\u00edt\u00e9s\u00e9r\u0151l. Visszat\u00e9rve a csomagcaptur\u00e1l\u00e1sra, meg kell eml\u00edtenem, hogy ez a m\u00f3dszer tov\u00e1bbra is rendk\u00edv\u00fcl n\u00e9pszer\u0171 \u00e9s fontos, de alapvet\u0151 feladata a hat\u00e1rok ellen\u0151rz\u00e9se: a hat\u00e1rok k\u00f6z\u00f6tt az \u00d6n szervezete \u00e9s az Internet k\u00f6z\u00f6tt, a hat\u00e1rok k\u00f6z\u00f6tt az adatk\u00f6zpont \u00e9s a t\u00f6bbi h\u00e1l\u00f3zat k\u00f6z\u00f6tt, a hat\u00e1rok k\u00f6z\u00f6tt az automatiz\u00e1lt vez\u00e9rl\u0151rendszer \u00e9s a v\u00e1llalati szegmens k\u00f6z\u00f6tt. Ezekben a helyekben a klasszikus IDS\/IPS megold\u00e1sok tov\u00e1bbra is indokoltak \u00e9s j\u00f3l teljes\u00edtenek a kit\u0171z\u00f6tt feladatokkal.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/7a5898e0aa9e3e9275dda3e2c7b75c5c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nT\u00e9rj\u00fcnk \u00e1t a m\u00e1sodik lehet\u0151s\u00e9gre. Az esem\u00e9nyek elemz\u00e9se, amelyek a h\u00e1l\u00f3zati eszk\u00f6z\u00f6kr\u0151l \u00e9rkeznek, szint\u00e9n haszn\u00e1lhat\u00f3 a t\u00e1mad\u00e1sok \u00e9szlel\u00e9s\u00e9re, de nem mint f\u0151 mechanizmus, mivel csak egy sz\u0171k bet\u00f6r\u00e9soszt\u00e1lyt k\u00e9pes \u00e9szlelni. R\u00e1ad\u00e1sul van egy bizonyos reakci\u00f3k\u00e9pess\u00e9ge \u2014 a t\u00e1mad\u00e1snak el\u0151sz\u00f6r meg kell t\u00f6rt\u00e9nnie, majd r\u00f6gz\u00edteni kell azt a h\u00e1l\u00f3zati eszk\u00f6znek, amely valamilyen m\u00f3don jelezni fog a kibert\u00e9r biztons\u00e1g\u00e1val kapcsolatos probl\u00e9m\u00e1t. Sz\u00e1mos m\u00f3dszer l\u00e9tezik erre. Ezek lehetnek syslog, RMON vagy SNMP. Az utols\u00f3 k\u00e9t protokoll a h\u00e1l\u00f3zati megfigyel\u00e9shez a kibert\u00e9r biztons\u00e1g\u00e1nak kontextus\u00e1ban csak akkor alkalmazhat\u00f3, ha DoS-t\u00e1mad\u00e1st szeretn\u00e9nk \u00e9szlelni mag\u00e1n a h\u00e1l\u00f3zati berendez\u00e9sen, mivel RMON \u00e9s SNMP seg\u00edts\u00e9g\u00e9vel p\u00e9ld\u00e1ul nyomon k\u00f6vethetj\u00fck a berendez\u00e9s k\u00f6zponti processzor\u00e1nak vagy interf\u00e9szeinek terhel\u00e9s\u00e9t. Ez egyike a leg<\/p>\n<p>A harmadik lehet\u0151s\u00e9g a forgalom inform\u00e1ci\u00f3inak elemz\u00e9se, amely egy olyan eszk\u00f6z\u00f6n halad \u00e1t, amely t\u00e1mogatja az egyik flow-protokollt. Ebben az esetben f\u00fcggetlen\u00fcl a protokollt\u00f3l, a folyamokkal val\u00f3 munka infrastrukt\u00far\u00e1j\u00e1nak h\u00e1rom \u00f6sszetev\u0151b\u0151l kell \u00e1llnia:<\/p>\n<ul>\n<li>Flow gener\u00e1l\u00e1s vagy export\u00e1l\u00e1s. Ezt a szerepet \u00e1ltal\u00e1ban egy router, egy switch vagy m\u00e1s h\u00e1l\u00f3zati eszk\u00f6z t\u00f6lti be, amely a h\u00e1l\u00f3zati forgalmat \u00e1tengedve kiemeli bel\u0151le a kulcsfontoss\u00e1g\u00fa param\u00e9tereket, amelyeket ezut\u00e1n a gy\u0171jt\u0151 modulnak tov\u00e1bb\u00edtanak. P\u00e9ld\u00e1ul a Cisco eset\u00e9ben a Netflow protokoll nemcsak routereken \u00e9s switcheken, bele\u00e9rtve a virtu\u00e1lis \u00e9s ipari berendez\u00e9seket is, hanem vezet\u00e9k n\u00e9lk\u00fcli vez\u00e9rl\u0151k\u00f6n, t\u0171zfalakon \u00e9s m\u00e9g szervereken is t\u00e1mogatott.<\/li>\n<li>Flow gy\u0171jt\u00e9s. Figyelembe v\u00e9ve, hogy a modern h\u00e1l\u00f3zatokban \u00e1ltal\u00e1ban t\u00f6bb mint egy h\u00e1l\u00f3zati eszk\u00f6z tal\u00e1lhat\u00f3, felmer\u00fcl a folyamok gy\u0171jt\u00e9s\u00e9nek \u00e9s egyes\u00edt\u00e9s\u00e9nek feladata, amelyet \u00fagynevezett gy\u0171jt\u0151k seg\u00edts\u00e9g\u00e9vel oldanak meg, amelyek feldolgozz\u00e1k a kapott folyamokat, majd azokat elemz\u00e9s c\u00e9lj\u00e1b\u00f3l tov\u00e1bb\u00edtj\u00e1k.<\/li>\n<li>Folyam-elemz\u00e9s. Az elemz\u0151 mag\u00e1ra v\u00e1llalja az alapvet\u0151 intellektu\u00e1lis feladatot, \u00e9s k\u00fcl\u00f6nb\u00f6z\u0151 algoritmusokat alkalmazva a folyamokra, k\u00fcl\u00f6nb\u00f6z\u0151 k\u00f6vetkeztet\u00e9seket von le. P\u00e9ld\u00e1ul az IT funkci\u00f3n bel\u00fcl egy ilyen elemz\u0151 k\u00e9pes azonos\u00edtani a h\u00e1l\u00f3zati sz\u0171k keresztmetszeteket vagy elemezni a forgalom terhel\u00e9si profilj\u00e1t a h\u00e1l\u00f3zat tov\u00e1bbi optimaliz\u00e1l\u00e1sa \u00e9rdek\u00e9ben. Az inform\u00e1ci\u00f3biztons\u00e1g ter\u00e9n pedig az elemz\u0151 k\u00e9pes azonos\u00edtani az adatlop\u00e1sokat, rosszindulat\u00fa k\u00f3dok terjed\u00e9s\u00e9t vagy DoS t\u00e1mad\u00e1sokat. <\/li>\n<\/ul>\n<p>Nem \u00e9rdemes azt gondolni, hogy egy ilyen h\u00e1romszintes architekt\u00fara t\u00fals\u00e1gosan bonyolult \u2014 minden m\u00e1s lehet\u0151s\u00e9g (kiv\u00e9ve tal\u00e1n az SNMP \u00e9s RMON alapj\u00e1n m\u0171k\u00f6d\u0151 h\u00e1l\u00f3zati megfigyel\u0151 rendszereket) is ezen alapelvek szerint m\u0171k\u00f6dik. Van egy adatgener\u00e1tor az elemz\u00e9shez, amely lehet egy h\u00e1l\u00f3zati eszk\u00f6z vagy egy \u00f6n\u00e1ll\u00f3 \u00e9rz\u00e9kel\u0151. Van egy riaszt\u00e1si jelz\u00e9sek gy\u0171jt\u00e9s\u00e9re szolg\u00e1l\u00f3 rendszer, \u00e9s van egy a teljes megfigyel\u00e9si infrastrukt\u00fara ir\u00e1ny\u00edt\u00e1s\u00e1ra szolg\u00e1l\u00f3 rendszer. Az utols\u00f3 k\u00e9t \u00f6sszetev\u0151 egy csom\u00f3pont keretein bel\u00fcl egyes\u00edthet\u0151, de a nagyobb h\u00e1l\u00f3zatokban \u00e1ltal\u00e1ban legal\u00e1bb k\u00e9t k\u00fcl\u00f6n eszk\u00f6zre oszlik, a sk\u00e1l\u00e1zhat\u00f3s\u00e1g \u00e9s megb\u00edzhat\u00f3s\u00e1g \u00e9rdek\u00e9ben.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/65de74b0a7556606355f9b176ef7e19c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA csomagok elemz\u00e9s\u00e9vel ellent\u00e9tben, amely a csomagok fejl\u00e9c\u00e9nek \u00e9s adatainak minden r\u00e9sz\u00e9nek tanulm\u00e1nyoz\u00e1s\u00e1n alapul, a folyamok elemz\u00e9se a h\u00e1l\u00f3zati forgalom metadatainak gy\u0171jt\u00e9s\u00e9re t\u00e1maszkodik. Mikor, mennyi, honnan \u00e9s hov\u00e1, hogyan\u2026 ezek a k\u00e9rd\u00e9sek azok, amelyekre a h\u00e1l\u00f3zati telemetria folyamata elemz\u00e9se v\u00e1laszol k\u00fcl\u00f6nb\u00f6z\u0151 flow protokollok seg\u00edts\u00e9g\u00e9vel. Eredetileg a statisztik\u00e1k elemz\u00e9s\u00e9re \u00e9s az IT probl\u00e9m\u00e1k felder\u00edt\u00e9s\u00e9re haszn\u00e1lt\u00e1k a h\u00e1l\u00f3zatban, de ahogy az elemz\u0151 mechanizmusok fejl\u0151dtek, lehet\u0151v\u00e9 v\u00e1lt a telemetria hasonl\u00f3 c\u00e9lokra val\u00f3 alkalmaz\u00e1sa is. \u00c9rdemes m\u00e9g egyszer hangs\u00falyozni, hogy a folyamok elemz\u00e9se nem helyettes\u00edti \u00e9s nem t\u00f6rli el a csomagok r\u00f6gz\u00edt\u00e9s\u00e9t. Mindegyiknek megvan a saj\u00e1t alkalmaz\u00e1si ter\u00fclete. De a cikk kontextus\u00e1ban a folyamok elemz\u00e9se a legjobban a bels\u0151 infrastrukt\u00fara megfigyel\u00e9s\u00e9re alkalmas. Vannak h\u00e1l\u00f3zati eszk\u00f6zei (b\u00e1r l\u00e9nyegtelen, hogy programozottan defini\u00e1lt paradigm\u00e1ban m\u0171k\u00f6dnek vagy statikus szab\u00e1lyok szerint), amelyeken a t\u00e1mad\u00e1s nem tud \u00e1tjutni. A klasszikus IDS \u00e9rz\u00e9kel\u0151j\u00e9n \u00e1t tud menni, de a flow protokollt t\u00e1mogat\u00f3 h\u00e1l\u00f3zati eszk\u00f6z\u00f6n nem. Ez a m\u00f3dszer el\u0151nye. <\/p>\n<p>M\u00e1sr\u00e9szt, ha bizony\u00edt\u00e9kokkal kell szolg\u00e1lnia a b\u0171 enforcement sz\u00e1m\u00e1ra vagy a saj\u00e1t incidensvizsg\u00e1l\u00f3 csapata sz\u00e1m\u00e1ra, akkor a csomagok r\u00f6gz\u00edt\u00e9se elengedhetetlen \u2014 a h\u00e1l\u00f3zati telemetria nem a forgalom m\u00e1solata, amelyet bizony\u00edt\u00e9kok \u00f6sszegy\u0171jt\u00e9s\u00e9re lehet haszn\u00e1lni; ez az IT biztons\u00e1g ter\u00fclet\u00e9n a gyors \u00e9szlel\u00e9shez \u00e9s d\u00f6nt\u00e9sekhez sz\u00fcks\u00e9ges. M\u00e1sr\u00e9szr\u0151l, a telemetria elemz\u00e9s\u00e9vel nem kell az \u00f6sszes h\u00e1l\u00f3zati forgalmat \u201e\u00edrnia\u201d (ha van valaki, akivel foglalkozik, az a Cisco \u00e9s az adatk\u00f6zpontok :-), hanem csak azt, amely a t\u00e1mad\u00e1sban r\u00e9szt vesz. A telemetriai elemz\u0151 eszk\u00f6z\u00f6k j\u00f3l kieg\u00e9sz\u00edtik a hagyom\u00e1nyos csomagr\u00f6gz\u00edt\u0151 mechanizmusokat azzal, hogy lehet\u0151v\u00e9 teszik a szelekci\u00f3s r\u00f6gz\u00edt\u00e9st \u00e9s t\u00e1rol\u00e1st. Ellenkez\u0151 esetben hatalmas t\u00e1rol\u00e1si infrastrukt\u00far\u00e1val kell rendelkeznie.<\/p>\n<p>K\u00e9pzelj\u00fcnk el egy 250 Mbit\/s sebess\u00e9ggel m\u0171k\u00f6d\u0151 h\u00e1l\u00f3zatot. Ha szeretn\u00e9 meg\u0151rizni az \u00f6sszes ezen mennyis\u00e9get, akkor 31 MB t\u00e1rol\u00f3ra van sz\u00fcks\u00e9ge egy m\u00e1sodpercnyi forgalom \u00e1tvitel\u00e9hez, 1,8 GB-ra egy perchez, 108 GB-ra egy \u00f3r\u00e1hoz \u00e9s 2,6 TB-ra egy naphoz. A napi adatok t\u00e1rol\u00e1s\u00e1hoz egy 10 Gbit\/s s\u00e1vsz\u00e9less\u00e9g\u0171 h\u00e1l\u00f3zatr\u00f3l 108 TB t\u00e1rol\u00f3ra van sz\u00fcks\u00e9ge. R\u00e1ad\u00e1sul egyes szab\u00e1lyoz\u00f3k \u00e9veken \u00e1t megk\u00f6vetelik az adatok t\u00e1rol\u00e1s\u00e1t\u2026 A \u201ek\u00e9r\u00e9sre t\u00f6rt\u00e9n\u0151 r\u00f6gz\u00edt\u00e9s\u201d, amihez a forgalom elemz\u00e9s seg\u00edt, rendk\u00edv\u00fcl cs\u00f6kkenti ezeket az \u00e9rt\u00e9keket. Egy\u00e9bk\u00e9nt, ha a h\u00e1l\u00f3zati telemetria \u00e1ltal r\u00f6gz\u00edtett adatok mennyis\u00e9g\u00e9t \u00e9s a teljes adatgy\u0171jt\u00e9st n\u00e9zz\u00fck, ez k\u00f6r\u00fclbel\u00fcl 1 az 500hoz ar\u00e1nyban \u00e1ll. Az el\u0151z\u0151 \u00e9rt\u00e9kekhez k\u00e9pest a teljes napi forgalom teljes dek\u00f3dol\u00e1sa 5 \u00e9s 216 GB lenne (m\u00e9g egy szok\u00e1sos USB flash meghajt\u00f3ra is r\u00f6gz\u00edthet\u0151).<\/p>\n<p>Ha a nyers h\u00e1l\u00f3zati adatok elemz\u00e9s\u00e9nek m\u00f3dszerei gyakorlatilag nem k\u00fcl\u00f6nb\u00f6znek a gy\u00e1rt\u00f3k eset\u00e9ben, akkor a folyamatok elemz\u00e9se m\u00e1s helyzet. Sz\u00e1mos v\u00e1ltozat l\u00e9tezik flow-protokollokb\u00f3l, melyek elt\u00e9r\u00e9seir\u0151l tudni kell a biztons\u00e1g szempontj\u00e1b\u00f3l. A legn\u00e9pszer\u0171bb a Cisco \u00e1ltal kifejlesztett Netflow protokoll. T\u00f6bb verzi\u00f3ja l\u00e9tezik ennek a protokollnak, amelyek elt\u00e9rnek a lehet\u0151s\u00e9geik \u00e9s a forgalomr\u00f3l r\u00f6gz\u00edtett inform\u00e1ci\u00f3k mennyis\u00e9g\u00e9ben. A jelenlegi verzi\u00f3 a kilencedik (Netflow v9), amelyen alapul a Netflow v10 ipari szabv\u00e1ny, m\u00e1s n\u00e9ven IPFIX. Ma a legt\u00f6bb h\u00e1l\u00f3zati gy\u00e1rt\u00f3 t\u00e1mogatja a Netflow-t vagy az IPFIX-et az eszk\u00f6zeiben. De vannak k\u00fcl\u00f6nb\u00f6z\u0151 egy\u00e9b flow-protokollok is \u2014 sFlow, jFlow, cFlow, rFlow, NetStream stb., amelyek k\u00f6z\u00fcl a sFlow a legn\u00e9pszer\u0171bb. Ezt t\u00e1mogatj\u00e1k leggyakrabban a hazai h\u00e1l\u00f3zati berendez\u00e9sek gy\u00e1rt\u00f3i, mivel k\u00f6nnyen megval\u00f3s\u00edthat\u00f3. Mik a kulcsfontoss\u00e1g\u00fa k\u00fcl\u00f6nbs\u00e9gek a de facto sztenderdk\u00e9nt kezelt Netflow \u00e9s az sFlow k\u00f6z\u00f6tt? N\u00e9h\u00e1ny l\u00e9nyeges k\u00fcl\u00f6nbs\u00e9get kiemeln\u00e9k. El\u0151sz\u00f6r is, a Netflow konfigur\u00e1lhat\u00f3 mez\u0151kkel rendelkezik, m\u00edg az sFlow-ban r\u00f6gz\u00edtett mez\u0151k tal\u00e1lhat\u00f3k. M\u00e1sodszor, ami a legfontosabb a mi eset\u00fcnkben, az sFlow \u00fagynevezett mint\u00e1zott telemetri\u00e1t gy\u0171jt; szemben a nem mint\u00e1zott telemetri\u00e1val, amely a Netflow \u00e9s az IPFIX saj\u00e1tja. Mi a k\u00fcl\u00f6nbs\u00e9g k\u00f6z\u00f6tt\u00fck?<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/96782b57ccaddd731d5084c127076d49.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nK\u00e9pzelje el, hogy szeretne megismerkedni a \u201e<noindex><a rel=\"nofollow\" href=\"http:\/\/www.ciscopress.com\/store\/security-operations-center-building-operating-and-maintaining-9780134052014\">Security Operations Center: Building, Operating, and Maintaining your SOC<\/a><\/noindex>\u201c c\u00edm\u0171 k\u00f6nyvvel, amelyet koll\u00e9g\u00e1im, Gary McIntyre, Joseph Muniz \u00e9s Nadem Alfarhan \u00edrtak (a hivatkoz\u00e1s seg\u00edts\u00e9g\u00e9vel let\u00f6ltheti a k\u00f6nyv egy r\u00e9sz\u00e9t). H\u00e1rom lehet\u0151s\u00e9ge van a kit\u0171z\u00f6tt c\u00e9l el\u00e9r\u00e9s\u00e9re \u2014 elolvasni a k\u00f6nyvet teljes terjedelm\u00e9ben, \u00e1tfutni azt, meg\u00e1llva minden 10. vagy 20. oldalon, vagy megpr\u00f3b\u00e1lni tal\u00e1lni egy \u00f6sszefoglal\u00f3t a f\u0151bb koncepci\u00f3kr\u00f3l egy blogban vagy olyan szolg\u00e1ltat\u00e1sban, mint a SmartReading. Nos, a nem mint\u00e1zott telemetria olyan, mint a h\u00e1l\u00f3zati forgalom minden \u201eoldal\u00e1nak\u201d elolvas\u00e1sa, azaz az egyes csomagok metaadatainak elemz\u00e9se. A mint\u00e1zott telemetria pedig a forgalom szelekt\u00edv vizsg\u00e1lata, abban a rem\u00e9nyben, hogy a kiv\u00e1lasztott mint\u00e1k k\u00f6z\u00f6tt olyan inform\u00e1ci\u00f3t tal\u00e1l, amire sz\u00fcks\u00e9ge van. A csatorna sebess\u00e9g\u00e9t\u0151l f\u00fcgg\u0151en a mint\u00e1zott telemetria elemz\u00e9s c\u00e9lj\u00e1b\u00f3l a 64., 200., 500., 1000., 2000. vagy ak\u00e1r a 10000. csomagot k\u00e9pes tov\u00e1bb\u00edtani.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/28b798498a11a5e6f72ef847ea2dbaaa.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA biztons\u00e1gi monitoring kontextus\u00e1ban ez azt jelenti, hogy a mintav\u00e9telezett telemetria j\u00f3l alkalmazhat\u00f3 DDoS-t\u00e1mad\u00e1sok, szkennel\u00e9sek \u00e9s rosszindulat\u00fa k\u00f3dok terjeszt\u00e9s\u00e9nek felfedez\u00e9s\u00e9re, de kihagyhat atomikus vagy t\u00f6bbcsomagos t\u00e1mad\u00e1sokat, amelyek nem ker\u00fcltek bele a mint\u00e1ba, amelyet elemz\u00e9sre k\u00fcldtek. A nem mintav\u00e9telezett telemetri\u00e1nak nincsenek ilyen h\u00e1tr\u00e1nyai, \u00edgy sokkal sz\u00e9lesebb a felfedezetts\u00e9gi spektruma. \u00cdme egy r\u00f6vid lista azokr\u00f3l az esem\u00e9nyekr\u0151l, amelyeket a h\u00e1l\u00f3zati telemetria elemz\u00e9s\u00e9re szolg\u00e1l\u00f3 eszk\u00f6z\u00f6kkel \u00e9szlelni lehet.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/be3a11d4826978d9c882074f22ee97c1.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nTerm\u00e9szetesen egy open source Netflow-analiz\u00e1tor erre nem k\u00e9pes, mivel alapvet\u0151 feladata a telemetria gy\u0171jt\u00e9se \u00e9s annak alapvet\u0151 IT szempont\u00fa elemz\u00e9se. A flow alap\u00fa informatikai fenyeget\u00e9sek felfedez\u00e9s\u00e9hez az elemz\u0151t k\u00fcl\u00f6nb\u00f6z\u0151 motorokkal \u00e9s algoritmusokkal kell felszerelni, amelyek a standard vagy egyedi Netflow mez\u0151k alapj\u00e1n felfedezik a kiberbiztons\u00e1gi probl\u00e9m\u00e1kat, gazdag\u00edtj\u00e1k a standard adatokat k\u00fcl\u00f6nb\u00f6z\u0151 Threat Intelligence forr\u00e1sokkal stb.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/60e876dbfbdffd160e9899f87aa6303c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEz\u00e9rt, ha van v\u00e1laszt\u00e1si lehet\u0151s\u00e9ge, \u00e1lljon meg a Netflow vagy IPFIX mellett. De m\u00e9g ha az \u00d6n eszk\u00f6ze kiz\u00e1r\u00f3lag sFlow-t t\u00e1mogat, mint a helyi gy\u00e1rt\u00f3k eset\u00e9ben, akkor is hasznot h\u00fazhat bel\u0151le a biztons\u00e1g szempontj\u00e1b\u00f3l. <\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/ee75809ccde4f366ca5f5ead7beed58c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n2019 nyar\u00e1n elemeztem a lehet\u0151s\u00e9geket, amelyeket a orosz h\u00e1l\u00f3zati hardver gy\u00e1rt\u00f3k k\u00edn\u00e1lnak, \u00e9s mindannyian, kiv\u00e9ve az NSG-t, a Poligon-t \u00e9s a Kraftveit, azt \u00e1ll\u00edtott\u00e1k, hogy t\u00e1mogatj\u00e1k az sFlow-t (legal\u00e1bbis a Zelax, a Natex, az Eltex, a QTech \u00e9s a Rusteletech eset\u00e9ben). <\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/acd1ed477af59e1439d941374c596d16.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA k\u00f6vetkez\u0151 k\u00e9rd\u00e9s, amely felmer\u00fcl, hogy hol \u00e9rdemes bevezetni a flow t\u00e1mogat\u00e1s\u00e1t a biztons\u00e1gi c\u00e9lok \u00e9rdek\u00e9ben? Val\u00f3j\u00e1ban a k\u00e9rd\u00e9s nem teljesen korrekt\u00fcl van megfogalmazva. A modern berendez\u00e9seken a flow protokollok t\u00e1mogat\u00e1sa szinte mindig adott. Ez\u00e9rt a k\u00e9rd\u00e9st m\u00e1sk\u00e9nt fogalmazn\u00e1m \u00e1t \u2014 hol a leghat\u00e9konyabb gy\u0171jteni a telemetri\u00e1t a biztons\u00e1g szempontj\u00e1b\u00f3l? A v\u00e1lasz el\u00e9g nyilv\u00e1nval\u00f3 \u2014 a hozz\u00e1f\u00e9r\u00e9si szinten, ahol a forgalom 100%-\u00e1t l\u00e1thatja, ahol r\u00e9szletes inform\u00e1ci\u00f3t kap a hosztokr\u00f3l (MAC, VLAN, interf\u00e9sz ID), ahol m\u00e9g a hosztok k\u00f6z\u00f6tti P2P forgalmat is nyomon tudja k\u00f6vetni, ami kritikus a szkennel\u00e9s \u00e9s a k\u00e1rt\u00e9kony k\u00f3d terjed\u00e9s\u00e9nek \u00e9szlel\u00e9s\u00e9hez. Az alap szinten a forgalom egy r\u00e9sz\u00e9t egyszer\u0171en nem l\u00e1thatja, a perem szinten pedig, ha szerencs\u00e9je van, csak a h\u00e1l\u00f3zati forgalma egynegyed\u00e9t fogja l\u00e1tni. De ha valamilyen okb\u00f3l az \u00d6n h\u00e1l\u00f3zat\u00e1ban olyan idegen eszk\u00f6z\u00f6k jelentek meg, amelyek lehet\u0151v\u00e9 teszik a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra a \u201ebemenetel\u201d \u00e9s \u201ekimenetel\u201d megker\u00fcl\u00e9s\u00e9t, akkor a telemetria elemz\u00e9se ebb\u0151l nem fog hasznot hozni. Ez\u00e9rt a maxim\u00e1lis lefedetts\u00e9g \u00e9rdek\u00e9ben aj\u00e1nlott a telemetria gy\u0171jt\u00e9s\u00e9t kifejezetten a hozz\u00e1f\u00e9r\u00e9si szinten elind\u00edtani. \u00c9rdemes megjegyezni, hogy m\u00e9g ha virtualiz\u00e1ci\u00f3r\u00f3l vagy kont\u00e9nerekr\u0151l van sz\u00f3, akkor a modern virtu\u00e1lis switchekben is gyakran el\u0151fordul a flow t\u00e1mogat\u00e1s, amely lehet\u0151v\u00e9 teszi a forgalom ellen\u0151rz\u00e9s\u00e9t ott is.<\/p>\n<p>De mivel m\u00e1r felhoztam a t\u00e9m\u00e1t, v\u00e1laszolni kell arra a k\u00e9rd\u00e9sre is, mi van akkor, ha a berendez\u00e9s, ak\u00e1r fizikai, ak\u00e1r virtu\u00e1lis, nem t\u00e1mogatja a flow protokollokat? Vagy annak bekapcsol\u00e1sa tilos (p\u00e9ld\u00e1ul ipari szegmensekben a megb\u00edzhat\u00f3s\u00e1g biztos\u00edt\u00e1sa \u00e9rdek\u00e9ben)? Vagy hogy az aktiv\u00e1l\u00e1sa a k\u00f6zponti processzor nagy terhel\u00e9s\u00e9hez vezet (ez el\u0151fordulhat elavult berendez\u00e9seken)? E probl\u00e9m\u00e1k megold\u00e1s\u00e1ra l\u00e9teznek speci\u00e1lis virtu\u00e1lis \u00e9rz\u00e9kel\u0151k (flow sensor), amelyek l\u00e9nyeg\u00e9ben egyszer\u0171 eloszt\u00f3k, amelyek \u00e1tengedik a forgalmat, \u00e9s azt flow form\u00e1j\u00e1ban tov\u00e1bb\u00edtj\u00e1k az \u00f6sszegy\u0171jt\u0151 modul fel\u00e9. Az igazs\u00e1g az, hogy ebben az esetben sz\u00e1mos probl\u00e9m\u00e1val szembes\u00fcl\u00fcnk, amelyeket kor\u00e1bban eml\u00edtett\u00fcnk a csomagok r\u00f6gz\u00edt\u00e9s\u00e9vel kapcsolatban. Teh\u00e1t fontos meg\u00e9rteni nemcsak a flow analiz\u00e1l\u00f3 technol\u00f3gia el\u0151nyeit, hanem annak korl\u00e1tait is.<\/p>\n<p>M\u00e9g egy fontos szempont, amit \u00e9rdemes figyelembe venni a folyamelemz\u0151 eszk\u00f6z\u00f6k kapcs\u00e1n. Ha a hagyom\u00e1nyos biztons\u00e1gi esem\u00e9nygener\u00e1l\u00f3k eset\u00e9ben az EPS (events per second, esem\u00e9nyek m\u00e1sodpercenk\u00e9nt) mutat\u00f3t alkalmazzuk, akkor a telemetria elemz\u00e9s\u00e9n\u00e9l ez a mutat\u00f3 nem alkalmazhat\u00f3; helyette az FPS (flows per second, folyamatok m\u00e1sodpercenk\u00e9nt) ker\u00fcl el\u0151t\u00e9rbe. Az EPS-hez hasonl\u00f3an ezt sem lehet el\u0151re kisz\u00e1m\u00edtani, de meg lehet becs\u00fclni a k\u00fcl\u00f6nb\u00f6z\u0151 eszk\u00f6z\u00f6k \u00e1ltal gener\u00e1lt folyamatok hozz\u00e1vet\u0151leges sz\u00e1m\u00e1t a feladatuk f\u00fcggv\u00e9ny\u00e9ben. Az interneten tal\u00e1lhat\u00f3ak t\u00e1bl\u00e1zatok, amelyek az ipari eszk\u00f6z\u00f6k k\u00fcl\u00f6nb\u00f6z\u0151 t\u00edpusaihoz tartoz\u00f3 p\u00e9ldaszer\u0171 \u00e9rt\u00e9keket tartalmaznak, amelyek seg\u00edtenek megbecs\u00fclni, hogy milyen licenszekre van sz\u00fcks\u00e9ge a folyamelemz\u0151 eszk\u00f6z\u00f6knek \u00e9s milyen architekt\u00far\u00e1ra van sz\u00fcks\u00e9g\u00fck. Az a helyzet, hogy az IDS \u00e9rz\u00e9kel\u0151knek korl\u00e1tozott s\u00e1vsz\u00e9less\u00e9g\u00fck van, amelyet <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/348532\/\">monitor\u00e1lj\u00e1k a Cisco bels\u0151 h\u00e1l\u00f3zat\u00e1t,<\/a><\/noindex>, m\u00e1r eml\u00edtettem a gy\u0171jt\u0151ink sz\u00e1m\u00e1t \u2014 ez 21. \u00c9s ez egy olyan h\u00e1l\u00f3zat sz\u00e1m\u00e1ra, amely \u00f6t kontinensre terjed ki, \u00e9s k\u00f6r\u00fclbel\u00fcl f\u00e9lmilli\u00f3 akt\u00edv eszk\u00f6zt sz\u00e1ml\u00e1l.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/a5935ef7f7a3511cbf291fce59e96d71.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA Netflow megfigyel\u0151 rendszerk\u00e9nt a saj\u00e1t megold\u00e1sunkat haszn\u00e1ljuk, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/ru_ru\/products\/security\/stealthwatch\/index.html\">a Cisco Stealthwatchot.<\/a><\/noindex>, amely kifejezetten a biztons\u00e1gi feladatok megold\u00e1s\u00e1ra \u00f6sszpontos\u00edt. Sz\u00e1mos be\u00e9p\u00edtett motorral rendelkezik, amelyek k\u00e9pesek \u00e9szlelni a rendellenes, gyan\u00fas \u00e9s ny\u00edltan rosszindulat\u00fa tev\u00e9kenys\u00e9geket, lehet\u0151v\u00e9 t\u00e9ve a k\u00fcl\u00f6nf\u00e9le fenyeget\u00e9sek sz\u00e9les spektrum\u00e1nak detekt\u00e1l\u00e1s\u00e1t \u2014 a kriptovaluta b\u00e1ny\u00e1szatt\u00f3l az inform\u00e1ci\u00f3sziv\u00e1rg\u00e1son \u00e1t a rosszindulat\u00fa k\u00f3d terjeszt\u00e9s\u00e9ig \u00e9s a csal\u00e1sokig. Mint a legt\u00f6bb Stealthwatch folyamatelemz\u0151, h\u00e1romszint\u0171 architekt\u00far\u00e1ra \u00e9p\u00fcl (gener\u00e1tor \u2014 gy\u0171jt\u0151 \u2014 elemz\u0151), de sz\u00e1mos \u00e9rdekes funkci\u00f3val kieg\u00e9sz\u00edtett\u00e9k, amelyek fontosak a vizsg\u00e1lt anyag szempontj\u00e1b\u00f3l. El\u0151sz\u00f6r is, integr\u00e1l\u00f3dik a csomagfog\u00f3 megold\u00e1sokkal (p\u00e9ld\u00e1ul Cisco Security Packet Analyzer), ami lehet\u0151v\u00e9 teszi a kiv\u00e1lasztott h\u00e1l\u00f3zati \u00fcl\u00e9sek r\u00f6gz\u00edt\u00e9s\u00e9t a k\u00e9s\u0151bbi m\u00e9lyrehat\u00f3 vizsg\u00e1lat \u00e9s elemz\u00e9s c\u00e9lj\u00e1b\u00f3l. M\u00e1sodszor, a biztons\u00e1gi feladatok kib\u0151v\u00edt\u00e9se \u00e9rdek\u00e9ben egy speci\u00e1lis nvzFlow protokollt fejlesztett\u00fcnk ki, amely lehet\u0151v\u00e9 teszi az alkalmaz\u00e1sok aktivit\u00e1s\u00e1nak \u201ek\u00f6zvet\u00edt\u00e9s\u00e9t\u201d a v\u00e9gponti eszk\u00f6z\u00f6k\u00f6n (szervereken, munka\u00e1llom\u00e1sokon stb.) telemetri\u00e1v\u00e1, \u00e9s annak gy\u0171jt\u0151be t\u00f6rt\u00e9n\u0151 tov\u00e1bb\u00edt\u00e1s\u00e1t tov\u00e1bbi elemz\u00e9s c\u00e9lj\u00e1b\u00f3l. M\u00edg az eredeti Stealthwatch b\u00e1rmilyen flow-protokollal (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) m\u0171k\u00f6dik a h\u00e1l\u00f3zati szinten, az nvzFlow t\u00e1mogat\u00e1s lehet\u0151v\u00e9 teszi az adatok korrel\u00e1l\u00e1s\u00e1t csom\u00f3ponti szinten is, ez\u00e1ltal n\u00f6velve az eg\u00e9sz rendszer hat\u00e9konys\u00e1g\u00e1t, \u00e9s t\u00f6bb t\u00e1mad\u00e1st \u00e9szlelve, mint a hagyom\u00e1nyos h\u00e1l\u00f3zati folyamatelemz\u0151k.<\/p>\n<p>Nyilv\u00e1nval\u00f3, hogy a Netflow elemz\u0151 rendszerek biztons\u00e1gi szempontj\u00e1b\u00f3l nem csup\u00e1n a Cisco megold\u00e1saira korl\u00e1toz\u00f3dnak. Haszn\u00e1lhat\u00f3k kereskedelmi, ingyenes vagy felt\u00e9telesen ingyenes megold\u00e1sok is. Kicsit furcsa lenne, ha a Cisco blogj\u00e1ban versenyt\u00e1rsak megold\u00e1sait eml\u00edten\u00e9m, ez\u00e9rt mondok n\u00e9h\u00e1ny sz\u00f3t arr\u00f3l, hogy a h\u00e1l\u00f3zati telemetria hogyan elemezhet\u0151 k\u00e9t n\u00e9pszer\u0171, nev\u00fckben hasonl\u00f3, de m\u00e9gis k\u00fcl\u00f6nb\u00f6z\u0151 eszk\u00f6zzel \u2014 SiLK \u00e9s ELK.<\/p>\n<p>A SiLK egy eszk\u00f6z\u00f6kb\u0151l \u00e1ll\u00f3 k\u00e9szlet (a System for Internet-Level Knowledge), amely a forgalom elemz\u00e9s\u00e9re szolg\u00e1l, \u00e9s az amerikai CERT\/CC fejlesztette ki. A cikk szempontj\u00e1b\u00f3l a Netflow (5. \u00e9s 9. legn\u00e9pszer\u0171bb verzi\u00f3), IPFIX \u00e9s sFlow t\u00e1mogatott, k\u00fcl\u00f6nb\u00f6z\u0151 eszk\u00f6z\u00f6k (rwfilter, rwcount, rwflowpack stb.) seg\u00edts\u00e9g\u00e9vel k\u00fcl\u00f6nb\u00f6z\u0151 m\u0171veleteket v\u00e9gezhet a h\u00e1l\u00f3zati telemetri\u00e1val, hogy \u00e9szlelje a jogosulatlan tev\u00e9kenys\u00e9gek jeleit. azonban \u00e9rdemes megjegyezni n\u00e9h\u00e1ny fontos dolgot. A SiLK egy parancssori eszk\u00f6z, \u00e9s a m\u0171k\u00f6d\u00e9si elemz\u00e9seket mindig olyan parancsok be\u00edr\u00e1s\u00e1val v\u00e9gezz\u00fck, mint az (ICMP-csomagok \u00e9szlel\u00e9se, amelyek m\u00e9rete meghaladja a 200 b\u00e1jtot):<\/p>\n<p><code>rwfilter --flowtypes=all\/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15<\/code><\/p>\n<p>ez nem t\u00fal k\u00e9nyelmes. Haszn\u00e1lhat grafikus fel\u00fcletet is, mint az iSiLK, de ez nem fog sokat seg\u00edteni az \u00e9let\u00e9n, mivel csak a vizualiz\u00e1l\u00e1s funkci\u00f3j\u00e1t l\u00e1tja el, \u00e9s nem helyettes\u00edti az elemz\u0151 munk\u00e1j\u00e1t. Ez a m\u00e1sodik fontos megjegyz\u00e9s. A kereskedelmi megold\u00e1sokkal ellent\u00e9tben, amelyekre m\u00e1r egy szil\u00e1rd analitikai alap \u00e9p\u00fclt, anom\u00e1lia\u00e9szlel\u00e9si algoritmusok, a munkafolyamatok stb. vonatkoz\u00f3an, a SiLK eset\u00e9ben mindezt \u00f6n\u00e1ll\u00f3an kell elv\u00e9geznie, ami olyan k\u00e9szs\u00e9geket ig\u00e9nyel, amelyek elt\u00e9rnek a m\u00e1r k\u00e9sz eszk\u00f6z\u00f6k haszn\u00e1lat\u00e1t\u00f3l. Ez nem j\u00f3 vagy rossz \u2014 ez a szinte b\u00e1rmely ingyenes eszk\u00f6z saj\u00e1toss\u00e1ga, amely abb\u00f3l indul ki, hogy tudnia kell, mit kell tennie, \u00e9s az csak seg\u00edt ebben (a kereskedelmi eszk\u00f6z\u00f6k kev\u00e9sb\u00e9 f\u00fcggenek a felhaszn\u00e1l\u00f3k kompetenci\u00e1it\u00f3l, b\u00e1r azt is felt\u00e9telezik, hogy az elemz\u0151k legal\u00e1bb az alapvet\u0151 h\u00e1l\u00f3zati nyomoz\u00e1si \u00e9s megfigyel\u00e9si ismeretekkel rendelkeznek). De t\u00e9rj\u00fcnk vissza a SiLK-hez. Az elemz\u0151 munkafolyamata ennek megfelel\u0151en a k\u00f6vetkez\u0151k\u00e9ppen alakul:<\/p>\n<ul>\n<li>Hipot\u00e9zis megfogalmaz\u00e1sa. Meg kell \u00e9rten\u00fcnk, mit akarunk keresni a h\u00e1l\u00f3zati telemetri\u00e1ban, \u00e9s ismerni kell azokat az egyedi attrib\u00fatumokat, amelyek alapj\u00e1n az adott anom\u00e1li\u00e1kat vagy fenyeget\u00e9seket azonos\u00edtjuk.<\/li>\n<li>Modell kialak\u00edt\u00e1sa. Miut\u00e1n megfogalmaztuk a hipot\u00e9zist, programozzuk azt a Python, shell vagy m\u00e1s, a SiLK-on k\u00edv\u00fcli eszk\u00f6z\u00f6k seg\u00edts\u00e9g\u00e9vel.<\/li>\n<li>Tesztel\u00e9s. El\u00e9rkezett az id\u0151, hogy ellen\u0151rizz\u00fck hipot\u00e9zis\u00fcnk helyess\u00e9g\u00e9t, amelyet a SiLK, a &#8216;rw&#8217;, &#8216;set&#8217;, &#8216;bag&#8217; kezdet\u0171 eszk\u00f6z\u00f6k seg\u00edts\u00e9g\u00e9vel er\u0151s\u00edt\u00fcnk meg vagy c\u00e1folunk meg.<\/li>\n<li>Val\u00f3s adatok elemz\u00e9se. A SiLK ipari haszn\u00e1lat\u00e1ban seg\u00edt felfedezni valamit, \u00e9s az elemz\u0151nek v\u00e1laszolnia kell a k\u00e9rd\u00e9sekre: \u201eR\u00e1tal\u00e1ltunk arra, amit v\u00e1rtunk?\u201d, \u201eEz megfelel a hipotezis\u00fcnknek?\u201d, \u201eHogyan cs\u00f6kkenthet\u0151 a hamis riaszt\u00e1sok sz\u00e1ma?\u201d, \u201eHogyan jav\u00edthat\u00f3 a felismer\u00e9s szintje?\u201d stb.<\/li>\n<li>Fejleszt\u00e9s. A v\u00e9gs\u0151 szakaszban jav\u00edtjuk a kor\u00e1bban elk\u00e9sz\u00fclt anyagot \u2014 sablonokat hozunk l\u00e9tre, optimaliz\u00e1ljuk a k\u00f3dot, \u00fajrafogalmazzuk \u00e9s pontos\u00edtjuk a hipotezist, stb.<\/li>\n<\/ul>\n<p>Ez a ciklus alkalmazhat\u00f3 a Cisco Stealthwatchra is, csak az ut\u00f3bbi maxim\u00e1lisan automatiz\u00e1lja ezeket az \u00f6t l\u00e9p\u00e9st, cs\u00f6kkentve az elemz\u0151 hib\u00e1inak sz\u00e1m\u00e1t \u00e9s n\u00f6velve az esem\u00e9nyek \u00e9szlel\u00e9s\u00e9nek gyorsas\u00e1g\u00e1t. P\u00e9ld\u00e1ul a SiLK-n\u00e9l a h\u00e1l\u00f3zati statisztik\u00e1kat kieg\u00e9sz\u00edtheted k\u00fcls\u0151 adatokkal a rosszindulat\u00fa IP-kr\u0151l saj\u00e1t magad \u00e1ltal \u00edrt szkriptekkel, m\u00edg a Cisco Stealthwatchban ez egy be\u00e9p\u00edtett funkci\u00f3, amely azonnal riaszt, ha a h\u00e1l\u00f3zati forgalomban olyan IP-c\u00edmekkel tal\u00e1lkozunk, amelyek a feketelist\u00e1n szerepelnek.<\/p>\n<p>Ha felmegy\u00fcnk a flow-elemz\u0151 szoftverek \"fizet\u0151s\" piramis\u00e1nak cs\u00facs\u00e1ra, akkor a teljesen ingyenes SiLK ut\u00e1n k\u00f6vetkezik a felt\u00e9telesen ingyenes ELK, amely h\u00e1rom kulcsfontoss\u00e1g\u00fa \u00f6sszetev\u0151b\u0151l \u00e1ll \u2014 Elasticsearch (indexel\u00e9s, keres\u00e9s \u00e9s adatanal\u00edzis), Logstash (adatbe\/ki), \u00e9s Kibana (vizualiz\u00e1ci\u00f3). A SiLK-t\u0151l elt\u00e9r\u0151en, ahol mindent saj\u00e1t magadnak kell meg\u00edrnod, az ELK-nek m\u00e1r sok k\u00e9sz k\u00f6nyvt\u00e1ra\/module van (r\u00e9szben fizet\u0151s, r\u00e9szben ingyenes), amelyek automatiz\u00e1lj\u00e1k a h\u00e1l\u00f3zati telemetria elemz\u00e9s\u00e9t. P\u00e9ld\u00e1ul a Logstash GeoIP sz\u0171r\u0151je lehet\u0151v\u00e9 teszi az \u00e9szlelt IP-c\u00edmek f\u00f6ldrajzi hely\u00e9nek hozz\u00e1rendel\u00e9s\u00e9t (a Stealthwatch eset\u00e9ben ez is be\u00e9p\u00edtett funkci\u00f3).<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/addd9d9656f64f81d86a0cce8ee0810b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAz ELK-nek szint\u00e9n el\u00e9g nagy k\u00f6z\u00f6ss\u00e9ge van, amely kieg\u00e9sz\u00edti az ezt a monitoroz\u00e1si megold\u00e1st megval\u00f3s\u00edt\u00f3 hi\u00e1nyz\u00f3 \u00f6sszetev\u0151ket. P\u00e9ld\u00e1ul, hogy a Netflow, IPFIX \u00e9s sFlow-ra tudj\u00e1l dolgozni, haszn\u00e1lhatod a modult <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/robcowart\/elastiflow\">elastiflow<\/a><\/noindex>, ha a Logstash Netflow modullal nem vagy megel\u00e9gedve, amely csak a Netflow-t t\u00e1mogatja.<\/p>\n<p>Az ELK, mik\u00f6zben gyorsabb\u00e1 teszi a flow \u00f6sszegy\u0171jt\u00e9s\u00e9t \u00e9s keres\u00e9s\u00e9t, jelenleg nem rendelkezik gazdag be\u00e9p\u00edtett analitik\u00e1val az anom\u00e1li\u00e1k \u00e9s fenyeget\u00e9sek \u00e9szlel\u00e9s\u00e9re a h\u00e1l\u00f3zati telemetri\u00e1ban. Teh\u00e1t a fentebb le\u00edrt \u00e9letciklus k\u00f6vet\u00e9sekor neked magadnak kell le\u00edrnod a zavar\u00e1si modelleket, majd azokat a harci rendszerben haszn\u00e1lnod (be\u00e9p\u00edtett modellek ott nincsenek).<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/6d8368f4c130c3a5770890cb6c5fe5ab.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nTerm\u00e9szetesen l\u00e9teznek enn\u00e9l bonyolultabb ELK kiterjeszt\u00e9sek is, amelyek m\u00e1r tartalmaznak bizonyos anom\u00e1li\u00e1k \u00e9szlel\u00e9si modelleket a h\u00e1l\u00f3zati telemetri\u00e1ban, de ezek a kiterjeszt\u00e9sek p\u00e9nzbe ker\u00fclnek, \u00e9s itt m\u00e1r k\u00e9rd\u00e9s, hogy meg\u00e9ri-e \u2014 saj\u00e1t modellt \u00edrni, megv\u00e1s\u00e1rolni a megval\u00f3s\u00edt\u00e1s\u00e1t a saj\u00e1t monitoring eszk\u00f6ze sz\u00e1m\u00e1ra, vagy ink\u00e1bb k\u00e9sz megold\u00e1st venni a Network Traffic Analysis kateg\u00f3ri\u00e1ban.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/d938ebb4271c4dfb73a1e4b6e94c91d6.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nIgaz\u00e1b\u00f3l nem szeretn\u00e9k belemenni a vit\u00e1ba, hogy \u00e9rdemesebb-e p\u00e9nzt k\u00f6lteni \u00e9s k\u00e9sz megold\u00e1st v\u00e1s\u00e1rolni anom\u00e1li\u00e1k \u00e9s fenyeget\u00e9sek monitoroz\u00e1s\u00e1ra a h\u00e1l\u00f3zati telemetri\u00e1ban (p\u00e9ld\u00e1ul Cisco Stealthwatch), vagy ink\u00e1bb magunknak felfejleszteni \u00e9s b\u00e1rmely \u00faj fenyeget\u00e9shez hozz\u00e1igaz\u00edtani a SiLK, ELK vagy nfdump, vagy az OSU Flow Tools (az utols\u00f3 kett\u0151re gondolok) haszn\u00e1lat\u00e1t, mint ahogy a legut\u00f3bb tettem. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/348532\/\">besz\u00e9ltem<\/a><\/noindex> Mindenki saj\u00e1t mag\u00e1nak v\u00e1laszt, \u00e9s mindenkinek megvannak a maga indokai, hogy melyik opci\u00f3t v\u00e1lassza. \u00c9n csak azt akartam bemutatni, hogy a h\u00e1l\u00f3zati telemetria egy nagyon fontos eszk\u00f6z a bels\u0151 infrastrukt\u00fara h\u00e1l\u00f3zati biztons\u00e1g\u00e1nak biztos\u00edt\u00e1s\u00e1ban, \u00e9s nem szabad figyelmen k\u00edv\u00fcl hagyni, hogy ne b\u0151v\u00fclj\u00f6n annak a c\u00e9gek list\u00e1ja, akiknek a neve a m\u00e9di\u00e1ban olyan jelz\u0151kkel szerepel, mint \"felt\u00f6rt\", \"a kiberbiztons\u00e1gi k\u00f6vetelm\u00e9nyeknek nem megfelel\u0151\", \"nem t\u00f6r\u0151d\u0151 az adatai \u00e9s az \u00fcgyfelei adatai biztons\u00e1g\u00e1val\".<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/de7df67df66b7abe89170c7f92fcefca.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00d6sszegz\u00e9sk\u00e9ppen szeretn\u00e9m megeml\u00edteni azokat a kulcsfontoss\u00e1g\u00fa tan\u00e1csokat, amelyeket \u00e9rdemes k\u00f6vetni a bels\u0151 infrastrukt\u00fara kiberbiztons\u00e1gi monitoroz\u00e1s\u00e1nak fel\u00e9p\u00edt\u00e9sekor:<\/p>\n<ol>\n<li>Ne korl\u00e1toz\u00f3djon csup\u00e1n a peremre! Haszn\u00e1lja (\u00e9s v\u00e1lassza) a h\u00e1l\u00f3zati infrastrukt\u00far\u00e1t nemcsak arra, hogy a forgalmat A pontb\u00f3l B pontba ir\u00e1ny\u00edtsa, hanem a kiberbiztons\u00e1g k\u00e9rd\u00e9seinek megold\u00e1s\u00e1ra is.<\/li>\n<li>Tanulm\u00e1nyozza a megl\u00e9v\u0151 kiberbiztons\u00e1gi monitoring mechanizmusokat az \u00d6n h\u00e1l\u00f3zati berendez\u00e9seiben, \u00e9s haszn\u00e1lja ki azokat.<\/li>\n<li>Bels\u0151 monitoroz\u00e1shoz el\u0151nyben r\u00e9szes\u00edtse a telemetria elemz\u00e9s\u00e9t \u2014 ez lehet\u0151v\u00e9 teszi a kiberbiztons\u00e1gi esem\u00e9nyek 80-90%-\u00e1nak \u00e9szlel\u00e9s\u00e9t, ezzel olyasmit v\u00e9gezve, amit a h\u00e1l\u00f3zati csomagok elfog\u00e1s\u00e1val nem lehet megtenni, mik\u00f6zben megtakar\u00edtja a kiberbiztons\u00e1gi esem\u00e9nyek t\u00e1rol\u00e1s\u00e1hoz sz\u00fcks\u00e9ges helyet.<\/li>\n<li>A forgalom monitoroz\u00e1s\u00e1hoz haszn\u00e1ljon Netflow v9-et vagy IPFIX-t \u2013 ezek t\u00f6bb inform\u00e1ci\u00f3t k\u00edn\u00e1lnak a biztons\u00e1g kontextus\u00e1ban, \u00e9s lehet\u0151v\u00e9 teszik nemcsak az IPv4, hanem az IPv6, MPLS stb. monitoroz\u00e1s\u00e1t is.<\/li>\n<li>Haszn\u00e1ljon nem mintav\u00e9telezett flow-protokollt \u2013 ez t\u00f6bb inform\u00e1ci\u00f3t ny\u00fajt a fenyeget\u00e9sek \u00e9szlel\u00e9s\u00e9hez. P\u00e9ld\u00e1ul Netflow vagy IPFIX.<\/li>\n<li>Ellen\u0151rizze a h\u00e1l\u00f3zati berendez\u00e9sei terhel\u00e9s\u00e9t \u2013 lehet, hogy nem k\u00e9pesek kezelni a flow-protokollokat is. Gondolkodjon virtu\u00e1lis \u00e9rz\u00e9kel\u0151k vagy Netflow Generation Appliance alkalmaz\u00e1s\u00e1n.<\/li>\n<li>Val\u00f3s\u00edtson meg ellen\u0151rz\u00e9st els\u0151sorban a hozz\u00e1f\u00e9r\u00e9s szintj\u00e9n \u2013 ez lehet\u0151v\u00e9 teszi, hogy l\u00e1ssa a forgalom 100%-\u00e1t.<\/li>\n<li>Ha nincs m\u00e1s v\u00e1laszt\u00e1sa, \u00e9s orosz h\u00e1l\u00f3zati berendez\u00e9seket haszn\u00e1l, v\u00e1lassza azt, amely t\u00e1mogatja a flow-protokollokat vagy rendelkezik SPAN\/RSPAN portokkal.<\/li>\n<li>Kombin\u00e1lja a behatol\u00e1s\/ t\u00e1mad\u00e1smegel\u0151z\u0151 rendszereket a hat\u00e1rokon \u00e9s a bels\u0151 h\u00e1l\u00f3zati forgalomelemz\u0151 rendszereket (bele\u00e9rtve a felh\u0151ket is).<\/li>\n<\/ol>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/c54e4b02a906f470bbfb617f48cdd216.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA legutols\u00f3 tan\u00e1cs kapcs\u00e1n szeretn\u00e9k bemutatni egy illusztr\u00e1ci\u00f3t, amit kor\u00e1bban m\u00e1r eml\u00edtettem. L\u00e1tja, hogy ha kor\u00e1bban a Cisco inform\u00e1ci\u00f3biztons\u00e1gi szolg\u00e1ltat\u00e1s szinte teljes m\u00e9rt\u00e9kben IDS-alap\u00fa monitoring rendszereken \u00e9s al\u00e1\u00edr\u00e1s-alap\u00fa m\u00f3dszereken alapult, most a t\u00e1rgyk\u00f6r\u00fckbe tartoz\u00f3 incidensek csup\u00e1n 20%-\u00e1t k\u00e9pviselik. Egy m\u00e1sik 20% a forgalomelemz\u0151 rendszerekre vonatkozik, ami azt mutatja, hogy ezek a megold\u00e1sok nem szesz\u00e9lyek, hanem val\u00f3s eszk\u00f6z\u00f6k a modern v\u00e1llalatok inform\u00e1ci\u00f3biztons\u00e1gi szolg\u00e1latainak m\u0171k\u00f6d\u00e9s\u00e9ben. R\u00e1ad\u00e1sul a megval\u00f3s\u00edt\u00e1shoz megvan a legfontosabb \u2013 a h\u00e1l\u00f3zati infrastrukt\u00fara, amelynek befektet\u00e9seit m\u00e9g jobban meg lehet v\u00e9deni, ha a h\u00e1l\u00f3zatra m\u00e9g inform\u00e1ci\u00f3biztons\u00e1gi monitoring funkci\u00f3kat is r\u00e1ruh\u00e1z.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokollok, mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoring eszk\u00f6ze\" src=\"\/wp-content\/uploads\/2019\/08\/2166f265222c43b0b2cbbcf4091c1f8c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nK\u00fcl\u00f6n\u00f6sen nem akartam a h\u00e1l\u00f3zati forgalomban felfedezett anom\u00e1li\u00e1kra vagy fenyeget\u00e9sekre val\u00f3 reag\u00e1l\u00e1s t\u00e9m\u00e1j\u00e1val foglalkozni, de gondolom, \u00edgy is vil\u00e1gos, hogy a monitoring nem \u00e9r v\u00e9get csak a fenyeget\u00e9s felfedez\u00e9s\u00e9vel. Ezt reag\u00e1l\u00e1snak kell k\u00f6vetnie, \u00e9s lehet\u0151leg automatikus vagy automatiz\u00e1lt m\u00f3don. De ez m\u00e1r egy k\u00fcl\u00f6n anyag t\u00e9m\u00e1ja.<\/p>\n<p>Tov\u00e1bbi inform\u00e1ci\u00f3:<\/p>\n<ul>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/ios-nx-os-software\/ios-netflow\/index.html\">Cisco IOS Netflow le\u00edr\u00e1s<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/netflow-support-matrix\/ta-p\/3644638\">Netflow t\u00e1mogat\u00e1si m\u00e1trix k\u00fcl\u00f6nb\u00f6z\u0151 Cisco megold\u00e1sokban<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/td\/docs\/security\/stealthwatch\/netflow\/Cisco_NetFlow_Configuration.pdf\">\u00datmutat\u00f3 Netflow konfigur\u00e1l\u00e1s\u00e1hoz k\u00fcl\u00f6nb\u00f6z\u0151 Cisco platformokon<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/sflow.org\">sFlow k\u00f6z\u00f6ss\u00e9g<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.ciscolive.com\/c\/dam\/r\/ciscolive\/us\/docs\/2015\/pdf\/LTRSEC-3336.pdf\">Laborgyakorlat Stealthwatch, SiLK \u00e9s ELK haszn\u00e1lat\u00e1val a Netflow biztons\u00e1gi szempontb\u00f3l t\u00f6rt\u00e9n\u0151 elemz\u00e9s\u00e9hez<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/tools.netsa.cert.org\/silk\/\">SiLK weboldal<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/tools.netsa.cert.org\/silk\/analysis-handbook.pdf\">H\u00e1romsz\u00e1z oldalas k\u00e9zik\u00f6nyv a SiLK haszn\u00e1lat\u00e1r\u00f3l sok p\u00e9ld\u00e1val<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.elastic.co\/guide\/en\/logstash\/current\/netflow-module.html\">Logstash Netflow modul<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/blogs.cisco.com\/security\/step-by-step-setup-of-elk-for-netflow-analytics\">Cisco l\u00e9p\u00e9sr\u0151l l\u00e9p\u00e9sre \u00fatmutat\u00f3 a Netflow elemz\u00e9s\u00e9hez az ELK-n<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/307528\/\">Cisco ASA NetFlow v.9 elemz\u00e9se Logstash (ELK) seg\u00edts\u00e9g\u00e9vel<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/ru_ru\/products\/security\/stealthwatch\/index.html\">Cisco Stealthwatch megold\u00e1s<\/a><\/noindex><\/li>\n<\/ul>\n<p>Ui. Ha \u00d6n sz\u00e1m\u00e1ra egyszer\u0171bb hallani mindazt, ami fentebb \u00edr\u00f3dott, megn\u00e9zheti azt az egy \u00f3r\u00e1s prezent\u00e1ci\u00f3t, amely alapj\u00e1t k\u00e9pezi ennek a jegyzetnek.<\/p>\n<p><center><div class=\"youtube-placeholder\" data-id=\"ncDRZsueETo\" onclick=\"loadVideo(this)\">\r\n        <img decoding=\"async\" src=\"https:\/\/img.youtube.com\/vi\/ncDRZsueETo\/hqdefault.jpg\" alt=\"Vide\u00f3 lej\u00e1tsz\u00e1sa\" loading=\"lazy\" width=\"480\" height=\"360\" style=\"width:100%;height:auto;\">\r\n        <div class=\"play-button\"><\/div>\r\n    <\/div><\/center><br \/>\n<br \/>Forr\u00e1s: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/464601\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u0410 \u0435\u0441\u043b\u0438 \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u0443\u0442\u043e\u0447\u043d\u0438\u0442\u044c \u0432\u043e\u043f\u0440\u043e\u0441 \u0438 \u0441\u043f\u0440\u043e\u0441\u0438\u0442\u044c, \u043a\u0430\u043a \u0432\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0435\u0442\u0435 \u0430\u0442\u0430\u043a\u0438 \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u043e\u0442\u0432\u0435\u0442\u043e\u043c \u0431\u0443\u0434\u0435\u0442, \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a (intrusion detection systems, IDS). \u0418 \u0442\u043e, \u0447\u0442\u043e \u0431\u044b\u043b\u043e \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":28091,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37437","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"hu_HU\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Flow-\u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T19:17:38+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T19:17:38+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47A Flow-protokollok mint a bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoringj\u00e1nak eszk\u00f6zei | ProHoster","description":"Amikor a v\u00e1llalati vagy hat\u00f3s\u00e1gi bels\u0151 h\u00e1l\u00f3zat biztons\u00e1gi monitoringj\u00e1ra ker\u00fcl a sor, sokakban az inform\u00e1ci\u00f3sziv\u00e1rg\u00e1s ellen\u0151rz\u00e9se \u00e9s a DLP-megold\u00e1sok bevezet\u00e9se mer\u00fcl fel.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Flow-\u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 | ProHoster","og:description":"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:17:38+00:00","article:modified_time":"2019-10-31T19:17:38+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37437","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 17:49:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:26:28","updated":"2026-01-23 17:49:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/37437","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=37437"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/37437\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/28091"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=37437"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=37437"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=37437"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}