🥇Monitoraggio della rete e rilevamento delle attività anomale della rete con le soluzioni Flowmon Networks

Negli ultimi tempi, si possono trovare moltissimi materiali online sul tema analisi del traffico sul perimetro della rete. Tuttavia, tutti sembrano aver completamente dimenticato l' analisi del traffico locale, che è altrettanto importante. Questo articolo tratta proprio di questo tema. Prendendo come esempio Flowmon Networks , ricorderemo il vecchio e caro Netflow (e le sue alternative), esamineremo casi interessanti, possibili anomalie nella rete e scopriremo i vantaggi di una soluzione in cui l'intera rete funziona come un unico sensore. E la cosa più importante è che è possibile condurre un'analisi simile del traffico localmente in modo completamente gratuito, nell'ambito della licenza di prova (45 giorni). Se l'argomento ti interessa, sei il benvenuto sotto il cat. Se invece hai voglia di leggere, puoi registrarti per il prossimo webinar, dove mostreremo e racconteremo tutto (lì potrai anche scoprire informazioni sulla formazione futura del prodotto).

Cos'è Flowmon Networks?

Innanzitutto, Flowmon è un fornitore IT europeo. È un'azienda ceca con sede a Brno (la questione delle sanzioni non è rilevante). La società è presente sul mercato nella sua forma attuale dal 2007. Prima era conosciuta con il marchio Invea-Tech. In totale, quindi, ci sono stati quasi 20 anni di sviluppo di prodotti e soluzioni.

Flowmon si posiziona come un marchio di classe A. Sviluppa soluzioni premium per clienti aziendali ed è stato riconosciuto negli ambienti di Gartner nel settore del Network Performance Monitoring and Diagnostics (NPMD). Inoltre, è interessante notare che, tra tutte le aziende nel rapporto, Flowmon è l'unico fornitore riconosciuto da Gartner come produttore di soluzioni sia per il monitoraggio della rete che per la protezione delle informazioni (Network Behavior Analysis). Non occupa ancora il primo posto, ma non ha nemmeno prezzi da ala di un Boeing.

Quali problemi consente di risolvere il prodotto?

Globalmente, si possono evidenziare le seguenti aree di problemi risolti dai prodotti della compagnia:

miglioramento della stabilità operativa della rete e delle risorse di rete riducendo al minimo i tempi di inattività e di indisponibilità;
aumento del livello complessivo delle prestazioni della rete;
ottimizzazione dell'efficienza del personale amministrativo attraverso:
- l'uso di strumenti moderni di monitoraggio di rete innovativi, basati su informazioni sui flussi IP;
- la fornitura di analisi dettagliate sul funzionamento e lo stato della rete, sugli utenti e le applicazioni che operano sulla rete, sui dati trasferiti, sulle risorse, servizi e nodi interagenti;
- la reazione agli incidenti prima che si verifichino, e non dopo che il servizio è stato perso da parte degli utenti e dei clienti;
- la riduzione del tempo e delle risorse necessarie per l'amministrazione della rete e dell'infrastruttura IT;
- la semplificazione delle attività di ricerca dei guasti.
incremento del livello di sicurezza della rete e delle risorse informative dell'azienda, grazie all'uso di tecnologie non basate su firme per l'identificazione di attività anomale e dannose nella rete, così come attacchi zero-day;
garanzia del livello SLA richiesto per le applicazioni e i database di rete.

Il portafoglio prodotti di Flowmon Networks

Ora esaminiamo da vicino il portafoglio prodotti di Flowmon Networks e scopriamo di cosa si occupa specificamente l'azienda. Come molti già avranno intuito dal nome, la specializzazione principale è nelle soluzioni per il monitoraggio del traffico flow, oltre a una serie di moduli aggiuntivi che espandono le funzionalità di base.

Di fatto, Flowmon può essere considerata un'azienda con un solo prodotto, o meglio – una sola soluzione. Vediamo se questo è un bene o un male.

Il cuore del sistema è il collector, responsabile della raccolta dei dati tramite vari protocolli flow, come NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIXÈ del tutto logico che per un'azienda non affiliata a nessuno dei produttori di apparecchiature di rete sia importante offrire sul mercato un prodotto universale, non legato a uno specifico standard o protocollo.

Flowmon Collector

Il collector è disponibile sia come server hardware che come macchina virtuale (VMware, Hyper-V, KVM). Tra l'altro, la piattaforma hardware è realizzata su server DELL personalizzati, il che elimina automaticamente gran parte delle preoccupazioni riguardo garanzia e RMA. L'unico componente hardware proprietario è rappresentato dalle schede FPGA per la cattura del traffico, sviluppate dalla sussidiaria Flowmon, che permettono di monitorare velocità fino a 100 Gbps.

Ma cosa fare se l'attuale equipaggiamento di rete non può generare un flow di qualità? O se il carico sull'equipaggiamento è troppo elevato? Nessun problema:

Flowmon Prob

In questo caso, Flowmon Networks offre l'uso di probe proprietari (Flowmon Probe), che si collegano alla rete tramite la porta SPAN dello switch o utilizzando splitter TAP passivi.

Opzioni di implementazione SPAN (mirror port) e TAP

In questo caso, il traffico "grezzo" che entra nel Flowmon Probe viene convertito in IPFIX esteso, contenente più di 240 metriche con informazioni. Mentre nel protocollo NetFlow standard, generato dall'hardware di rete, ci sono al massimo 80 metriche. Questo consente di garantire la visibilità non solo dei protocolli ai livelli 3 e 4, ma anche al livello 7 secondo il modello ISO OSI. Di conseguenza, gli amministratori di rete possono monitorare il funzionamento di applicazioni e protocolli come e-mail, HTTP, DNS, SMB…

Concettualmente, l'architettura logica del sistema appare come segue:

Il cuore di tutta l'«ecosistema» Flowmon Networks è il Collector, che riceve il traffico dall'hardware di rete esistente o dai propri sonde (Probe). Tuttavia, per le soluzioni Enterprise, fornire funzionalità esclusivamente per il monitoraggio del traffico di rete sarebbe troppo semplice. Anche le soluzioni Open Source sono in grado di farlo, sebbene con prestazioni inferiori. Il valore di Flowmon risiede nei moduli aggiuntivi che ampliano la funzionalità di base:

modulo Anomaly Detection Security – identificazione dell'attività di rete anomala, inclusi attacchi di tipo «zero-day», basata su analisi euristica del traffico e profilo di rete tipico;
modulo Application Performance Monitoring – monitoraggio delle prestazioni delle applicazioni di rete senza installare "agenti" e senza influire sui sistemi di destinazione;
modulo Traffic Recorder – registrazione di frammenti di traffico di rete in base a un insieme di regole predefinite o a un trigger dal modulo ADS, per un successivo troubleshooting e/o indagini sugli incidenti di sicurezza informatica;
modulo Protezione DDoS – protezione del perimetro di rete da attacchi volumetrici di Denial of Service (DoS/DDoS), inclusi gli attacchi alle applicazioni (OSI L3/L4/L7).

In questo articolo vedremo come funziona dal vivo con due moduli – Monitoraggio e Diagnostica delle Prestazioni di Rete e Anomaly Detection Security.
Dati di base:

server Lenovo RS 140 con ipervisor VMware 6.0;
immagine della macchina virtuale Flowmon Collector, che può essere scaricata qui;
una coppia di switch con supporto per i protocolli flow.

Passo 1. Installazione di Flowmon Collector

Il deployment della macchina virtuale su VMware avviene in modo del tutto standard da un template OVF. Alla fine otteniamo una macchina virtuale gestita da CentOS e con software pronto all'uso. Le risorse richieste sono umane:

Rimane solo da eseguire l'inizializzazione di base con il comando sysconfig:

Configuriamo l'IP sulla porta di gestione, il DNS, l'ora, l'hostname e possiamo connetterci all'interfaccia WEB.

Passo 2. Installazione della licenza

La licenza trial di un mese e mezzo viene generata e scaricata insieme all'immagine della macchina virtuale. Si carica tramite Configuration Center -> License. Alla fine vediamo:

Tutto è pronto. Possiamo iniziare a lavorare.

Passo 3. Configurazione del ricevitore sul collector

A questo punto è necessario decidere in che modo i dati provenienti dalle fonti entreranno nel sistema. Come abbiamo già detto, questo può essere uno dei protocolli flow o una porta SPAN su uno switch.

Nel nostro esempio utilizzeremo la ricezione dei dati tramite i protocolli NetFlow v9 e IPFIX. In questo caso, come target indichiamo l'indirizzo IP dell'interfaccia di gestione – 192.168.78.198. Le interfacce eth2 ed eth3 (di tipo Monitoring interface) sono utilizzate per ricevere una copia del traffico "grezzo" dalla porta SPAN dello switch. Le ignoriamo, non ci interessano.
Successivamente verifichiamo la porta del collector, dove deve arrivare il traffico.

Nel nostro caso, il collector si aspetta traffico sulla porta UDP/2055.

Passo 4. Configurazione dell'hardware di rete per l'esportazione del flow

Configurare NetFlow su hardware Cisco Systems può essere considerato un compito abbastanza comune per qualsiasi amministratore di rete. Per il nostro esempio, prendiamo qualcosa di più insolito. Ad esempio, il router MikroTik RB2011UiAS-2HnD. Sì, per quanto strano possa sembrare, questa soluzione economica per piccoli e home office supporta anch'essa i protocolli NetFlow v5/v9 e IPFIX. Nelle impostazioni impostiamo il target (l'indirizzo del collector 192.168.78.198 e la porta 2055):

E aggiungiamo tutte le metriche disponibili da esportare:

A questo punto possiamo dire che la configurazione di base è completata. Verifichiamo se il traffico arriva nel sistema.

Passo 5. Verifica e utilizzo del modulo Network Performance Monitoring and Diagnostics

Per controllare la presenza di traffico da una sorgente, è possibile andare nella sezione Flowmon Monitoring Center –> Sources:

Possiamo vedere che i dati stanno entrando nel sistema. Dopo un po' di tempo, una volta che il collector avrà accumulato il traffico, i widget cominceranno a visualizzare le informazioni:

È stata costruita una sistema secondo il principio del drill down. Questo significa che l'utente, selezionando la porzione desiderata nel diagramma o nel grafico, "scende" fino al livello di dettaglio dei dati di cui ha bisogno:

Fino alle informazioni su ogni connessione e collegamento di rete:

Passo 6. Modulo Rilevamento Anomalie di Sicurezza

Questo modulo può essere considerato uno dei più interessanti, grazie all'uso di metodi di rilevamento delle anomalie nel traffico di rete e nelle attività malevole senza firma. Tuttavia, non è un sistema IDS/IPS. L'utilizzo del modulo inizia con il suo "addestramento". A tale scopo, in una procedura guidata speciale vengono specificati tutti i componenti e i servizi chiave della rete, inclusi:

gli indirizzi dei gateway, dei server DNS, DHCP e NTP,
la segmentazione degli indirizzi degli utenti e dei server.

Dopo di ciò, il sistema passa in modalità di addestramento, che dura mediamente da 2 settimane a 1 mese. Durante questo periodo, il sistema forma una baseline del traffico caratteristico della nostra rete. In parole semplici, il sistema studia:

quale comportamento è caratteristico per i nodi della rete?
quali volumi di dati vengono normalmente trasferiti e sono considerati normali per la rete?
quale tempo di attività è tipico per gli utenti?
quali applicazioni funzionano nella rete?
e molto altro..

Alla fine, otteniamo uno strumento che identifica eventuali anomalie nella nostra rete e deviazioni dal comportamento caratteristico. Ecco un paio di esempi che il sistema può rilevare:

distribuzione in rete di nuovo malware, non rilevabile dalle firme antivirus;
creazione di tunnel DNS, ICMP o altri e trasferimento di dati aggirando il firewall;
apparizione in rete di un nuovo computer che si spaccia per un server DHCP e/o DNS.

Vediamo come appare in tempo reale. Dopo che il tuo sistema ha completato l'addestramento e ha costruito un baseline del traffico di rete, inizia a rilevare gli incidenti:

La pagina principale del modulo mostra un grafico temporale con gli incidenti rilevati. Nel nostro esempio vediamo un chiaro picco, circa tra le 9 e le 16. Lo evidenziamo e guardiamo più da vicino.

È evidente un comportamento anomalo dell'attaccante nella rete. Tutto inizia quando l'host con indirizzo 192.168.3.225 inizia la scansione orizzontale della rete sulla porta 3389 (servizio Microsoft RDP) trovando 14 potenziali "vittime":

Il successivo incidente registrato è l'host 192.168.3.225 che avvia un attacco di brute force per l'individuazione delle password sul servizio RDP (porta 3389) sugli indirizzi precedentemente identificati:

In seguito agli attacchi, su uno degli host compromessi viene registrata un'anomalia SMTP. In altre parole, è iniziata la diffusione di SPAM:

Questo esempio è una dimostrazione chiara delle capacità del sistema e del modulo Anomaly Detection Security, in particolare. Giudicate voi stessi l'efficacia. Concludiamo qui la panoramica funzionale della soluzione.

Conclusione

Riepiloghiamo quali conclusioni possiamo trarre su Flowmon in sintesi:

Flowmon è una soluzione di livello premium per clienti aziendali;
grazie alla sua versatilità e compatibilità, la raccolta dei dati è disponibile da qualsiasi fonte: attrezzature di rete (Cisco, Juniper, HPE, Huawei…) o dai propri sonde (Flowmon Probe);
le capacità di scalabilità della soluzione consentono di espandere le funzionalità del sistema aggiungendo nuovi moduli, aumentando anche le prestazioni grazie a un approccio flessibile alle licenze;
grazie all'uso di tecnologie di analisi senza firma, il sistema è in grado di rilevare anche attacchi zero-day sconosciuti ai programmi antivirus e ai sistemi IDS/IPS;
grazie alla completa 'trasparenza' in termini di installazione e presenza del sistema nella rete, la soluzione non influisce sul funzionamento di altri nodi e componenti della vostra infrastruttura IT.
Flowmon – l'unica soluzione sul mercato che supporta il monitoraggio del traffico a velocità fino a 100 Gbit/s;
Flowmon – una soluzione per reti di qualsiasi dimensione;
miglior rapporto qualità/prezzo tra soluzioni simili.

In questa recensione abbiamo analizzato meno del 10% delle funzionalità complete della soluzione. Nel prossimo articolo, parleremo degli altri moduli di Flowmon Networks. Utilizzando il modulo Application Performance Monitoring, mostreremo come gli amministratori di applicazioni aziendali possano garantire la disponibilità a un determinato livello SLA e diagnosticare rapidamente i problemi.

Inoltre, vogliamo invitarvi al nostro webinar (10.09.2019), dedicato alle soluzioni del fornitore Flowmon Networks. Per la registrazione anticipata, vi preghiamo di completare la registrazione qui.
Per ora è tutto, grazie per il vostro interesse!

Solo gli utenti registrati possono partecipare al sondaggio. Accedi, per favore.