🥇Monitoraggio della rete e identificazione dell'attività di rete anomala con le soluzioni Flowmon Networks

Negli ultimi tempi, su Internet si possono trovare un'enorme quantità di materiali sul tema analisi del traffico nel perimetro della rete. Tuttavia, tutti sembrano aver dimenticato completamente il analisi del traffico locale, che è altrettanto importante. Questo articolo è dedicato proprio a questo tema. Prendendo come esempio Flowmon Networks , ricorderemo il vecchio e caro Netflow (e le sue alternative), esamineremo casi interessanti, possibili anomalie nella rete e scopriremo i vantaggi della soluzione quando l'intera rete funziona come un unico sensore. E la cosa più importante è che è possibile effettuare un'analisi simile del traffico localmente completamente gratuitamente, nell'ambito di una licenza di prova (45 giorni). Se il tema vi interessa, benvenuti sotto il cat. Se siete pigri a leggere, potete registrarvi per il prossimo webinar, dove mostreremo e racconteremo tutto (là potrete anche scoprire informazioni sul prossimo training del prodotto).

Che cos'è Flowmon Networks?

Prima di tutto, Flowmon è un fornitore IT europeo. È un'azienda ceca, con sede a Brno (il tema delle sanzioni non è nemmeno da considerare). Nella sua forma attuale, l'azienda è presente sul mercato dal 2007. Prima era conosciuta con il marchio Invea-Tech. Quindi, in totale, sono stati investiti quasi 20 anni nello sviluppo di prodotti e soluzioni.

Flowmon si posiziona come un marchio di classe A. Sviluppa soluzioni premium per clienti aziendali ed è citato nei quadranti Gartner nel settore del Network Performance Monitoring and Diagnostics (NPMD). Interessante notare che, di tutte le aziende nel report, Flowmon è l'unico fornitore riconosciuto da Gartner come produttore di soluzioni sia per il monitoraggio della rete che per la protezione delle informazioni (Network Behavior Analysis). Non occupa ancora il primo posto, ma nemmeno costa quanto un'ala di un Boeing.

Quali problemi permette di risolvere il prodotto?

Globalmente, si possono individuare i seguenti ambiti di applicazione delle soluzioni dell'azienda:

migliorare la stabilità del funzionamento della rete e delle risorse di rete riducendo al minimo i tempi di inattività e di non disponibilità;
aumentare il livello generale di prestazioni della rete;
migliorare l'efficienza del personale amministrativo, tramite:
- l'uso di strumenti moderni di monitoraggio della rete innovativi, basati su informazioni sui flussi IP;
- fornire analisi dettagliate sul funzionamento e sulla condizione della rete – utenti e applicazioni che operano nella rete, dati trasferiti, risorse interattive, servizi e nodi;
- rispondere agli incidenti prima che si verifichino, e non dopo la perdita del servizio da parte di utenti e clienti;
- ridurre i tempi e le risorse necessarie per l'amministrazione della rete e dell'infrastruttura IT;
- semplificare i compiti di ricerca delle anomalie.
aumentare il livello di sicurezza della rete e delle risorse informative dell'impresa, attraverso l'uso di tecnologie non basate su firme per identificare attività di rete anomale e dannose, così come attacchi di tipo "zero-day";
garantire il livello SLA richiesto per le applicazioni di rete e i database.

Portafoglio prodotti di Flowmon Networks

Ora esaminiamo direttamente il portafoglio prodotti di Flowmon Networks e scopriamo di cosa si occupa esattamente l'azienda. Come molti già hanno intuito dal nome, la specializzazione principale è nelle soluzioni per il monitoraggio del traffico flusso, oltre a una serie di moduli aggiuntivi che espandono le funzionalità di base.

Di fatto, Flowmon può essere considerata un'azienda di un solo prodotto, o meglio – di una sola soluzione. Vediamo se questo è un bene o un male.

Il cuore del sistema è il collector, responsabile della raccolta di dati tramite vari protocolli flow, come NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX… È del tutto logico che per un'azienda non affiliata a nessun produttore di hardware di rete – sia importante offrire al mercato un prodotto universale, non legato a uno specifico standard o protocollo.

Flowmon Collector

Il collector è disponibile sia come server hardware che come macchina virtuale (VMware, Hyper-V, KVM). Tra l'altro, la piattaforma hardware è realizzata su server DELL personalizzati, il che elimina automaticamente gran parte delle domande relative alla garanzia e al RMA. L'unico componente hardware proprietario è rappresentato da schede FPGA per la cattura del traffico, sviluppate da una società controllata di Flowmon, che consentono di monitorare a velocità fino a 100 Gbps.

Ma cosa fare se l'attuale hardware di rete non può generare un flow di qualità? O se il carico sull'hardware è troppo elevato? Nessun problema:

Flowmon Prob

In questo caso, Flowmon Networks offre di utilizzare i propri sensori (Flowmon Probe), che si collegano alla rete tramite la porta SPAN dello switch o utilizzando TAP passivi.

Opzioni di implementazione SPAN (porta mirror) e TAP

In questo caso, il traffico "grezzo" che arriva al Flowmon Probe viene convertito in IPFIX esteso, contenente più di 240 metriche con informazioni. Mentre nel protocollo standard NetFlow, generato dalle apparecchiature di rete, non ci sono più di 80 metriche. Questo consente di garantire la visibilità dei protocolli non solo ai livelli 3 e 4, ma anche al livello 7 del modello ISO OSI. Di conseguenza, gli amministratori di rete possono monitorare il funzionamento di applicazioni e protocolli come e-mail, HTTP, DNS, SMB…

Concettualmente, l'architettura logica del sistema appare come segue:

Il cuore dell'intera "ecosistema" di Flowmon Networks è il Collector, che riceve il traffico dall'equipaggiamento di rete esistente o dai propri sensori (Probe). Ma per le soluzioni enterprise, fornire funzionalità esclusivamente per il monitoraggio del traffico di rete sarebbe troppo semplice. Anche le soluzioni Open Source possono farlo, sebbene non con la stessa efficienza. Il valore di Flowmon risiede nei moduli aggiuntivi, che ampliano le funzionalità di base:

modulo Anomaly Detection Security – rilevamento di attività di rete anomale, comprese le attacchi ‘zero-day’, basandosi sull'analisi euristica del traffico e del profilo di rete tipico;
modulo Application Performance Monitoring – monitoraggio delle prestazioni delle applicazioni di rete senza l'installazione di ‘agent’ e senza impatto sui sistemi target;
modulo Traffic Recorder – registrazione di frammenti di traffico di rete secondo un insieme di regole predefinite o tramite un trigger dal modulo ADS, per ulteriori risoluzioni di problemi e/o indagini sugli incidenti di sicurezza delle informazioni;
modulo DDoS Protection – protezione del perimetro di rete dagli attacchi volumetrici di denial-of-service DoS/DDoS, inclusi gli attacchi alle applicazioni (OSI L3/L4/L7).

In questo articolo esamineremo come funziona tutto in tempo reale utilizzando 2 moduli – Network Performance Monitoring and Diagnostics e Anomaly Detection Security.
Dati di origine:

server Lenovo RS 140 con hypervisor VMware 6.0;
immagine della macchina virtuale Flowmon Collector, che può essere scaricata qui;
una coppia di switch che supportano i protocolli flow.

Passo 1. Installazione di Flowmon Collector

Il deployment della macchina virtuale su VMware avviene in modo completamente standard da un modello OVF. Alla fine otteniamo una macchina virtuale che esegue CentOS e con software pronto all'uso. I requisiti delle risorse sono umani:

Rimane solo da eseguire l'inizializzazione di base con il comando sysconfig:

Configuriamo l'IP sulla porta di gestione, DNS, ora, Nome host e possiamo collegarci all'interfaccia WEB.

Passo 2. Installazione della licenza

Una licenza di prova di un mese e mezzo viene generata e scaricata insieme all'immagine della macchina virtuale. Viene caricata tramite Configuration Center -> Licenza. Alla fine possiamo vedere:

Tutto è pronto. Possiamo iniziare a lavorare.

Passo 3. Configurazione del ricevitore sul collector

In questa fase è necessario decidere come i dati saranno inviati al sistema dalle fonti. Come abbiamo detto in precedenza, può trattarsi di uno dei protocolli flow o di una porta SPAN sullo switch.

Nel nostro esempio utilizzeremo la ricezione dei dati tramite i protocolli NetFlow v9 e IPFIX. In questo caso, come destinazione indichiamo l'indirizzo IP dell'interfaccia di gestione - 192.168.78.198. Le interfacce eth2 ed eth3 (di tipo Monitoring interface) sono utilizzate per ricevere una copia del traffico "grezzo" dalla porta SPAN dello switch. Le ignoriamo, non ci interessano.
Controlliamo quindi la porta del collector, dove deve arrivare il traffico.

Nel nostro caso, il collector si aspetta il traffico sulla porta UDP/2055.

Passo 4. Configurazione dell'hardware di rete per l'esportazione dei flow

La configurazione di NetFlow su hardware Cisco Systems può essere considerata un'attività alquanto ordinaria per qualsiasi amministratore di rete. Per il nostro esempio, prenderemo qualcosa di più particolare. Ad esempio, il router MikroTik RB2011UiAS-2HnD. Sì, per quanto strano possa sembrare, questa soluzione economica per uffici piccoli e domestici supporta anche i protocolli NetFlow v5/v9 e IPFIX. Nelle impostazioni specificiamo la destinazione (indirizzo del collector 192.168.78.198 e porta 2055):

E aggiungiamo tutte le metriche disponibili per l'esportazione:

A questo punto possiamo dire che la configurazione di base è completata. Controlliamo se il traffico viene inviato al sistema.

Passo 5. Verifica e utilizzo del modulo di Monitoraggio e Diagnostica delle Prestazioni di rete

Possiamo controllare la presenza di traffico dalla fonte nella sezione Flowmon Monitoring Center -> Fonti:

Possiamo vedere che i dati stanno arrivando nel sistema. Dopo un certo periodo, dopo che il collector avrà accumulato traffico, i widget inizieranno a mostrare informazioni:

È stato costruito un sistema secondo il principio del drill down. Cioè, l'utente, selezionando il frammento di suo interesse nello schema o nel grafico, "scende" fino al livello di profondità dei dati di cui ha bisogno:

Fino alle informazioni su ogni connessione di rete e collegamento:

Passo 6. Modulo di Sicurezza Rilevamento Anomalie

Questo modulo può essere considerato, forse, uno dei più interessanti, grazie all'uso di metodi di rilevamento delle anomalie nel traffico di rete e nell'attività di rete malevola senza firme. Ma non è l'equivalente dei sistemi IDS/IPS. Il lavoro con il modulo inizia con il suo "addestramento". Per questo, in un wizard speciale vengono indicati tutti i componenti chiave e i servizi di rete, tra cui:

indirizzi dei gateway, server DNS, DHCP e NTP,
indirizzamento nei segmenti utenti e server.

Dopo di ciò, il sistema passa in modalità di apprendimento, che dura in media da 2 settimane a 1 mese. Durante questo periodo, il sistema forma un baseline del traffico caratteristico della nostra rete. In altre parole, il sistema studia:

quale comportamento è caratteristico per i nodi della rete?
quali volumi di dati vengono solitamente trasferiti e sono normali per la rete?
quale è il tempo di funzionamento tipico per gli utenti?
quali applicazioni operano nella rete?
e molto altro ancora..

Alla fine, otteniamo uno strumento che rileva qualsiasi anomalia nella nostra rete e deviazioni dal comportamento caratteristico. Ecco un paio di esempi che il sistema consente di scoprire:

la diffusione di nuovo malware nella rete, non rilevato dalle firme degli antivirus;
la creazione di tunnel DNS, ICMP o altri e il trasferimento di dati bypassando il firewall;
la comparsa nella rete di un nuovo computer che si spaccia per un server DHCP e/o DNS.

Vediamo come si presenta in tempo reale. Dopo che il tuo sistema ha completato l'addestramento e ha costruito il baseline del traffico di rete, inizia a rilevare incidenti:

La pagina principale del modulo è un grafico temporale che mostra gli incidenti rilevati. Nel nostro esempio vediamo un chiaro picco, circa tra le 9 e le 16. Lo evidenziamo e approfondiamo.

Si percepisce chiaramente un comportamento anomalo di un aggressore nella rete. Tutto inizia con un host con indirizzo 192.168.3.225 che ha iniziato a scansionare orizzontalmente la rete sulla porta 3389 (servizio Microsoft RDP) e trova 14 potenziali "vittime":

Il prossimo incidente registrato è l'host 192.168.3.225 che inizia un attacco di brute force per la ricerca delle password sul servizio RDP (porta 3389) sugli indirizzi precedentemente identificati:

A seguito dell'attacco, si registra un'anomalia SMTP su uno degli host compromessi. In altre parole, è iniziato l'invio di SPAM:

Questo esempio è una dimostrazione visiva delle capacità del sistema e del modulo Anomaly Detection Security, in particolare. Giudicate voi stessi l'efficacia. Con questo concludiamo la revisione funzionale della soluzione.

Conclusione

Riepiloghiamo quali conclusioni possiamo trarre su Flowmon:

Flowmon è una soluzione di livello premium per i clienti aziendali;
Grazie alla sua versatilità e compatibilità, la raccolta dati è disponibile da qualsiasi fonte: apparecchiature di rete (Cisco, Juniper, HPE, Huawei…) o dai propri sensori (Flowmon Probe);
Le capacità di scalabilità della soluzione consentono di ampliare le funzionalità del sistema mediante l'aggiunta di nuovi moduli, oltre a migliorare le prestazioni grazie a un approccio flessibile alla licenza;
Grazie all'uso di tecnologie di analisi senza firma, il sistema consente di rilevare attacchi zero-day anche sconosciuti ai software antivirus e ai sistemi IDS/IPS;
Grazie alla completa "trasparenza" in termini di installazione e presenza del sistema nella rete, la soluzione non influisce sul funzionamento di altri nodi e componenti della tua infrastruttura IT;
Flowmon è l'unica soluzione sul mercato che supporta il monitoraggio del traffico a velocità fino a 100 Gbit/s;
Flowmon è una soluzione per reti di qualsiasi dimensione;
miglior rapporto qualità/prezzo tra soluzioni simili.

In questa recensione abbiamo esaminato meno del 10% delle funzionalità complessive della soluzione. Nella prossima articolo parleremo degli altri moduli di Flowmon Networks. Utilizzando il modulo Application Performance Monitoring, mostreremo come gli amministratori delle applicazioni aziendali possano garantire la disponibilità a un livello SLA prestabilito e diagnosticare problemi il più rapidamente possibile.

Inoltre, desideriamo invitarti al nostro webinar (10.09.2019) dedicato alle soluzioni del fornitore Flowmon Networks. Per la registrazione anticipata, ti chiediamo di registrarti qui.
Per ora è tutto, grazie per il tuo interesse!

Solo gli utenti registrati possono partecipare al sondaggio. Accedi, per favore.