ืืื ืื ืืืข ืื ืืืืจ ืืืืืื ืฉื ืจืฉืช ืคื ืื ืืจืืื ืืช ืื ืืืืงืชืืช, ืจืืื ืืงืฉืจืื ืืืช ืขื ืฉืืืื ืืืืืคืืช ืืืืข ืืืืืขืช ืคืชืจืื ืืช DLP. ืืื ืชื ืกื ืืืืืืจ ืืช ืืฉืืื ืืชืฉืืื ืืื ืืชื ืืืืื ืืชืงืคืืช ืืจืฉืช ืืคื ืืืืช, ืื ืืชืฉืืื ืชืืื, ืืืื, ืืืืืจ ืฉื ืืขืจืืืช ืืืืื ืืืืจื (IDS). ืืื ืฉืืืืชื ืืืคืฉืจืืช ืืืืืื ืืคื ื 10-20 ืฉื ื ืืืคื ืืื ืืจืื ืืื ืืืื. ืืฉื ื ืืคืฉืจืืช ืืขืืื ืืืชืจ, ืืืืงืืืืช ืืกืืืืื, ืืืืืื ืืืคืฉืจืืช ืื ืืืืจ ืจืฉืช ืคื ืืืืช - ืฉืืืืฉ ืืคืจืืืืงืืื ืืจืืื, ืฉื ืืขืื ืืืงืืจ ืืืืคืืฉ ืืขืืืช ืืจืฉืช (ืคืชืจืื ืืขืืืช), ืื ืขื ืืืื ืืคืื ืืืื ืืืืื ืืขื ืืื ืืืื. ื ืืืจ ืขื ืืืื ืคืจืืืืงืืื ืืจืืื ืงืืืืื ืืืืื ืืื ืืืืื ืืืชืจ ืืืืชืืจ ืืชืงืคืืช ืจืฉืช, ืืืื ืขืืืฃ ืืืืฉื ื ืืืืจ ืืจืืื, ืื ืืืคืฉ ืืขืช ืคืจืืกืช ืชืื ืืช ืืื, ืืืคืืื ืืืฆื "ืืืจืื" ืืช ืื ืื ืขื ืฆืืื ืืืชื ืืืกืืจืช ืืืืจ ืื.
ืื ืืชืขืื ืขื ืืฉืืื "ืืืืข ืืฉ ืฆืืจื ืื ืืืืจ ืืืืืช ืชืฉืชืืช ืคื ืืืืช?" ื ืจืื ืฉืืชืฉืืื ืืจืืจื. ืืื ืื ืืื ืืืช ืชืจืฆื ืืืืื ืฉืื ืฉืืืื ืืชื ืื ืืืื ืืืืืช ืืืขืืื,
ืืืืชื ืืืืืฉ ืฉืืืฉื ืืงืืจืืช ื ืชืื ืื ืืจืืืืื ืื ืืืืจ ืชืฉืชืืช ืืจืืช ืืจืฉืช:
- ืชืขืืืจื "ืืืืืืช" ืฉืื ื ืืืืืื ืืืืืฉืื ืื ืืชืื ืืืขืจืืืช ื ืืชืื ืืกืืืืืช,
- ืืืจืืขืื ืืืืฉืืจื ืจืฉืช ืฉืืจืื ืขืืืจืช ืชืขืืืจื,
- ืืืืข ืชืขืืืจื ืฉืืชืงืื ืืืืฆืขืืช ืืื ืืคืจืืืืงืืื ืืืจืืื.
ืืืืืช ืชืขืืืจื ืืืืืืช ืืื ืืืคืฉืจืืช ืืคืืคืืืจืืช ืืืืชืจ ืืงืจื ืืืืื ืืืืื, ืืืืืื ืฉืืื ืืืคืืขื ืืืกืืืจืืช ืืืืืชื ืืจืืฉืื ื. ืืขืจืืืช ืงืื ืื ืฆืืื ืืืืช ืืืืืื ืคืจืืฆืืช ืืจืฉืช (ืืืขืจืืช ืืืกืืจืืช ืืจืืฉืื ื ืืืืืื ืคืจืืฆื ืืืืชื NetRanger ืืงืืืฆืช Wheel, ืฉื ืจืืฉื ื-1998 ืขื ืืื ืกืืกืงื) ืขืกืงื ืืืืืง ืืืืืืช ืื ืืช (ืืืืคืืฉืื ืืืืืจืื ืืืชืจ) ืฉืืื ืืืคืฉื ืืชืืืืช ืืกืืืืืช ("ืืืืื ืืืจืืขืื" ื- ืืื ืื FSTEC), ืืืชืืช ืืชืงืคืืช. ืืืืื, ืืชื ืืืื ืื ืชื ืชืขืืืจื ืืืืืืช ืื ืจืง ืืืืฆืขืืช IDS, ืืื ืื ืืืืฆืขืืช ืืืื ืืืจืื (ืืืืืื, Wireshark, tcpdum ืื ืคืื ืงืฆืืื ืืืืช NBAR2 ื-Cisco IOS), ืื ืืจืื ืืกืจ ืืื ืืกืืก ืืืืข ืฉืืืืื ืืื ืืื ืืืืืช ืืืืข ืืืื ืืื ืจืืื ืืื IT.
ืื, ืืขืจืืืช ืืืืื ืชืงืืคื. ืืฉืืื ืืืืชืืงื ืืืคืืคืืืจืืช ืืืืชืจ ืืืืืื ืืชืงืคืืช ืจืฉืช, ืฉืขืืฉื ืขืืืื ืืืื ืืืืงืคืื (ืื ืืฉื ื ืื - ืืจืืื ืืช, ืืืื ืกื ืืจ, ืกืืื ื ืืื'), ืื ื ืืฉืืช ืืจืฉืชืืช ืืืืจื ืืืช ืขื ืืืชืื ืืืืืืจ ืชืืื ื. ืืืงืจื ืฉื ืจืฉืช ืืื ืืื ืขื ืืกืืก ืืชืืื ืงืื ืื ืฆืืื ืืืื, ืืชืฉืชืืช ืฉื ืืืืฉื ื ืืืืื ืชืงืืคื ืืืคืืช ืืืืืื ืืื โ ืชืฆืืจืื ืืืชืงืื ืืืืฉื ืขื ืื ืืืืืจ ืืฆืืืช ืขืืื ืชืจืฆื ืื ืืจ ืืชืงืคืืช. ืื ืืฆืจื, ืืืืื, ืืฉืื ืืืืืจ ืื ืืืืช ืืืืคื ืืืืฉื ืื, ืืื ืื ื ืืืฉื ืฉืืชืงืฆืื ืฉืื ืื ืืืื ืืชืืื ืืืืฆืืืช ืืืื. ืื ื ืืืื ืืืืจ ืฉืืคืืื ืืกืืกืงื (ืืื ืื ื ืืืคืชืืื ืฉื NGIPS) ืื ืืืืื ื ืืขืฉืืช ืืืช, ืืืจืืช ืฉื ืจืื ืฉืขื ืืื ืืืืืจ ืืคื ืื ื. ืื ื ืื ืฆืจืื ืืขืืื - ืื ืืืืื ืฉืื ื. ืื ืืกืฃ, ื ืฉืืืช ืืฉืืื, ืืืฆื ืืืืจ ืืช ืืืืืฉื ืืืจืกื ืื? ืืชืื ืืคืขืจ? ืื ืื ืืืืืฉื ืขืฆืื ื ืืฉื? ืืื ืฆืจืื ืืืืื ืืขืงืฃ ืืืืืฉื? ืืืฉืชืืฉ ืืืคืฆืืื (ืืงืฉ)? ืื ืื ืืืืงืจ ืืช ืืคืชืจืื ืืืืคื ืืืชื ืืื ืืฉืชืื ืขืืืจ ืืืจื ืืื ืกืืจ ืืืื.
ืืชื ืืืื ืื ืกืืช "ืืชืืืช" ืืช ืืืืืฉื ืขื ืืฆืืืช SPAN/RSPAN/ERSPAN ืืืืคื ืืช ืืืื ืชืขืืืจื ืืืฆืืืืช ืืืชื ืื ืืจืฉืืช. ืืคืฉืจืืช ืื ืืกืืจื ืืืงืืช ืืช ืืืขืื ืฉืชืืืจื ืืคืกืงื ืืงืืืืช, ืื ืืฆืืื ืืขืื ื ืืกืคืช - ืืฆืืืช SPAN ืื ืืืืื ืืงืื ืืืืคื ืืืืื ืืช ืื ืืชืขืืืจื ืฉืชืืฉืื ืืืื - ืื ืืืื ืื ืืกืคืืง ืจืืื ืคืก. ืชืฆืืจื ืืืงืจืื ืืฉืื. ืื ืืฉืืจ ืืืง ืืืฆืืชืื ืืื ื ืืืืจ (ืืื ืืชื ืฆืจืื ืืชืขืืฃ ืืืชื ืงืืื), ืื ืืฉืืื ืื ืืช ืื ืืชืขืืืจื ืืืฆืืืช, ืืื ืจืง ืกืื ืืกืืื. ืืื ืืงืจื, ืื ืื ื ืขืืืืื ืืืืืืฅ ืืื ืืชืงืคืืช. ืื ืืกืฃ, ื ืืชื ืืืฉืชืืฉ ืืืฆืืืช SPAN ืืฆืจืืื ืืืจืื. ืืชืืฆืื ืืื, ื ืฆืืจื ืืกืงืืจ ืืช ืืืคืืืืืืืช ืืจืฉืช ืืงืืืืช ืืืืื ืืืฆืข ืื ืืชืืืืช ืขื ืื ืช ืืืกืืช ืืช ืืจืฉืช ืฉืื ืืฆืืจื ืืงืกืืืืืช ืขื ืืกืคืจ ืืืืืฉื ืื ืฉืืจืฉืืชื (ืืืชืื ืืืช ืขื ื-IT).
ืื ืื ืืจืฉืช ืฉืื ืืฉืชืืฉืช ืื ืชืืืื ืืกืืืืจืืื? ืื ืื ืืืฉืืช ืื ืืชืื ื ืช ืืืืฉื SDN? ืื ืื ืืชื ืฆืจืื ืื ืืจ ืืืื ืืช ืืืจืืืืืืืช ืื ืงืื ืืืื ืจืื ืฉืืชื ืืขื ืฉืืื ืื ืืืืขื ืืืชื ืืคืืื ืืืื? ืืื ืฉืืืืช ืฉืกืคืงื IDS ืืกืืจืชืืื ืื ืืืืืื ืื ืื ืื ืืืืขืื ืืื ืืขื ืืช ืขืืืื. ืืืื ืื ืืฉืื ืขื ืืืชื ืฉืื ืืืื ืืืืืืืช ืืืืคื ืชืืืช ืืืื ืื ืืืืค ืืืชื ืื ืฆืจืื ืืช ืื. ืืืื ืื ืืืืจื ืขื ืืฆืืจื ืืืชืืื ืืงืื. ืื ืืืื ืืืืื ืฉืฆืจืื ืืฉืื ืืืจื ืืืง ืืืจืื ืืจืฉืช ืืื ืชื ืืืื ืืช ืื ืืชืขืืืจื ืืืืฆืขืืช ืืืืื ืื. ืื ืืคืฉืจืืช ืฉืชืฆืืข ืื, ืืชื ืฆืจืื ืืืืื ืืืืจืืจ ืืื ืืื ืืชืืืื ืื. ืืจืง ืืืืจ ืืื ืืงืืืื ืืืืื ืขื ืืืืจืช ืืืฉื ืื ืืืืจ ืืืืืช ืืืืืข ืฉื ืชืฉืชืืช ืืจืฉืช. ืื ื ืืืืจ ืืืืืืช ืื ืืช, ืื ื ืจืืฆื ืืืืจ ืฉืืฉืืื ืืื ืืืฉืืื ืืืืืช ืืืื ืคืืคืืืจืืช ืืืฉืืื, ืืื ืืืืจื ืืขืืงืจืืช ืฉืื ืืื ืืงืจืช ืืืืืืช; ืืืืืืช ืืื ืืืจืืื ืฉืื ืืืื ืืจื ื, ืืืืืืช ืืื ืืจืื ืื ืชืื ืื ืืฉืืจ ืืจืฉืช, ืืืืืืช ืืื ืืขืจืืช ืืงืจืช ืืชืืืืืื ืืืืืจ ืืืจืืื ื. ืืืงืืืืช ืืื, ื-IDS/IPS ืืงืืืกืืื ืขืืืื ืืฉ ืืืืช ืงืืื ืืืืชืืืื ืืืื ืขื ืืืฉืืืืช ืฉืืื.
ื ืขืืืจ ืืืคืฉืจืืช ืืฉื ืืื. ื ืืชืื ืืืจืืขืื ืืืืืขืื ืืืืฉืืจื ืจืฉืช ืืืื ืืฉืืฉ ืื ืืืืจืืช ืืืืื ืชืงืืคื, ืื ืื ืืื ืื ืื ืืขืืงืจื, ืฉืื ืืื ืืืคืฉืจ ืืืืืช ืจืง ืืืืงื ืงืื ื ืฉื ืคืจืืฆืืช. ืื ืืกืฃ, ืืื ืืืืขื ืืชืืืืชืืืช ืืกืืืืช - ืืชืงืืคื ืฆืจืืื ืืืชืจืืฉ ืชืืืื, ืืืืจ ืืื ืืื ืืืืืช ืืืืืช ืืชืืขืืช ืขื ืืื ืืืฉืืจ ืจืฉืช, ืฉืืืจื ืื ืื ืืืจืช ืืืืชืช ืขื ืืขืื ืืืืืืช ืืืืข. ืืฉ ืืื ืืจืืื ืืืื. ืื ืืืื ืืืืืช syslog, RMON ืื SNMP. ืฉื ื ืืคืจืืืืงืืืื ืืืืจืื ืื ืื ืืืืจ ืจืฉืช ืืืงืฉืจ ืฉื ืืืืืช ืืืืข ืืฉืืฉืื ืจืง ืื ืื ื ืฆืจืืืื ืืืืืช ืืชืงืคืช DoS ืขื ืฆืืื ืืจืฉืช ืขืฆืื, ืฉืื ืืืืฆืขืืช RMON ื-SNMP ื ืืชื, ืืืฉื, ืื ืืจ ืืช ืืขืืืก ืขื ืืืจืื ืฉื ืืืืฉืืจ. ืืขืื ืื ืืืฉืงืื ืฉืื. ืื ืืืช ื"ืืืืื" (ืืืืื ืืฉ syslog ืื SNMP), ืืื ืื ืืื ืื ืืขืืื ืืื ืืฉืืืืช ืื ืืืืจ ืืืืืช ืืืืืข ืฉื ืชืฉืชืืช ืคื ืืืืช - ืืชืงืคืืช ืจืืืช ืคืฉืื ืืืกืชืจืืช ืืื ื. ืืืืื ืฉืืกืืจ ืืืื ืื ืืืชื, ืืืืชื ื ืืชืื syslog ืขืืืจ ืืืืืช ืืืื ืฉืื ืืืื ืืชืฆืืจืช ืืืืฉืืจ ืขืฆืื, ืืช ืืคืฉืจื ืฉืื, ืืื ืืื ืื ืืชืืื ืืืืืื ืืืืืื ืืชืงืคืืช ืขื ืื ืืจืฉืช.
ืืืคืฉืจืืช ืืฉืืืฉืืช ืืื ืื ืชื ืืืืข ืขื ืชืขืืืจื ืฉืขืืืจืช ืืืืฉืืจ ืืชืืื ืืืื ืืืื ืคืจืืืืงืืื ืืจืืื. ืืืงืจื ืื, ืืื ืงืฉืจ ืืคืจืืืืงืื, ืชืฉืชืืช ืืฉืจืฉืืจ ืืืจืืืช ืืืืจื ืืฉืืืฉื ืืจืืืืื:
- ืืฆืืจื ืื ืืืฆืื ืฉื ืชืืจืื. ืชืคืงืื ืื ืืืงืฆื ืืืจื ืืื ืื ืชื, ืืชื ืื ืืชืงื ืจืฉืช ืืืจ, ืืฉืจ, ืขื ืืื ืืขืืจืช ืชืขืืืจืช ืจืฉืช ืืจืื, ืืืคืฉืจ ืืืืฅ ืืื ื ืคืจืืืจืื ืืจืืืืื, ืืฉืจ ืืืขืืจืื ืืืืจ ืืื ืืืืืื ืืืืกืืฃ. ืืืืืื, ืกืืกืงื ืชืืืืช ืืคืจืืืืงืื Netflow ืื ืจืง ืื ืชืืื ืืืชืืื, ืืืื ืืืจืืืืืืื ืืชืขืฉืืืชืืื, ืืื ืื ืืืงืจืื ืืืืืืืื, ืืืืืช ืืฉ ืืืคืืื ืฉืจืชืื.
- ืืจืืืช ืืืกืืฃ. ืืืชืืฉื ืืื ืฉืืจืฉืช ืืืืจื ืืช ืืฉ ืืืจื ืืื ืืืชืจ ืืืืฉืืจ ืจืฉืช ืืื, ื ืืฆืจืช ืืขืืืช ืืืกืืฃ ืืืืืื ืืจืืืืช, ืฉื ืคืชืจืช ืืืืฆืขืืช ืื ืฉื ืงืจื ืงืืืืื, ืืืขืืืื ืืช ืืืจืืืืช ืืืชืงืืืืช ืืืืืจ ืืื ืืขืืืจืื ืืืชื ืื ืืชืื.
- ื ืืชืื ืืจืืื ืืื ืชื ืืืงื ืขื ืขืฆืื ืืช ืืืฉืืื ืืืื ืืืงืืืืืืช ืืขืืงืจืืช, ืืืืืืช ืืืืืจืืชืืื ืฉืื ืื ืขื ืืจืืื, ืืกืืง ืืกืงื ืืช ืืกืืืืืช. ืืืืืื, ืืืืง ืืคืื ืงืฆืืืช IT, ืื ืชื ืืื ืืืื ืืืืืช ืฆืืืืจื ืืงืืืง ืืจืฉืช ืื ืื ืชื ืืช ืคืจืืคืื ืขืืืก ืืชืขืืืจื ืืฆืืจื ืืืคืืืืืืฆืื ื ืืกืคืช ืฉื ืืจืฉืช. ืืืืขื ืืืืืช ืืืืข, ืื ืชื ืืื ืืืื ืืืืืช ืืืืคืืช ื ืชืื ืื, ืืชืคืฉืืืช ืฉื ืงืื ืืืื ื ืื ืืชืงืคืืช DoS.
ืื ืชืืฉืื ืฉืืืจืืืืงืืืจื ืืชืืช-ืฉืืืชืืช ืืื ืืกืืืืช ืืื โ ืื ืืืคืฉืจืืืืช ืืืืจืืช (ืืืขื, ืืืื, ืืขืจืืืช ื ืืืืจ ืจืฉืชืืช ืฉืขืืืืืช ืขื SNMP ื-RMON) ืื ืขืืืืืช ืืคืื. ืืฉ ืื ื ืืืืื ื ืชืื ืื ืื ืืชืื, ืฉืืืื ืืืืืช ืืืฉืืจ ืจืฉืช ืื ืืืืฉื ืขืฆืืื. ืืจืฉืืชื ื ืืขืจืืช ืืืกืืฃ ืืืขืงืืช ืืืขืจืืช ื ืืืื ืืื ืชืฉืชืืช ืื ืืืืจ. ื ืืชื ืืฉืื ืืช ืฉื ื ืืจืืืืื ืืืืจืื ืื ืืชืื ืฆืืืช ืืื, ืื ืืจืฉืชืืช ืืืืืืช ืืืชืจ ืื ืคืืืช ืื ืืจืื ืืคืืืจืื ืขื ืคื ื ืฉื ื ืืืฉืืจืื ืืคืืืช ืขื ืื ืช ืืืืืื ืืืจืืืืช ืืืืื ืืช.
ืื ืืืื ืื ืืชืื ืื ืืช, ืืืืืกืก ืขื ืืืืื ื ืชืื ื ืืืืชืจืช ืืืืืฃ ืฉื ืื ืื ื ืืืืคืืฉืื ืืื ืืื ืืืจืืืช, ื ืืชืื ืืจืืื ืืกืชืื ืขื ืืืกืืฃ ืืื ื ืชืื ืื ืขื ืชืขืืืจืช ืจืฉืช. ืืชื, ืืื, ืืืืคื ืืืืืคื, ืืื... ืืื ืื ืืฉืืืืช ืฉืืขื ื ืขื ื ืืชืื ืืืืืจืืืช ืจืฉืช ืืืืฆืขืืช ืคืจืืืืงืืื ืืจืืื ืฉืื ืื. ืืชืืืื, ืื ืฉืืืฉื ืื ืืชืื ืกืืืืกืืืงืืช ืืืืืชืืจ ืืขืืืช IT ืืจืฉืช, ืื ืืืืจ ืืื, ืืื ืฉืืชืคืชืื ืื ืื ืื ืื ืื ืืืืืื, ื ืืชื ืืื ืืืืฉื ืืืชื ืขื ืืืชื ืืืืืจืื ืืฆืืจืื ืืืืื. ืจืืื ืืฆืืื ืฉืื ืฉื ืืชืื ืืจืืื ืืื ื ืืืืืฃ ืื ืืืืืฃ ืืืืืช ืื ืืช. ืืื ืืืช ืืืฉืืืืช ืืืื ืืฉ ืชืืื ืืืฉืื ืืฉืื. ืืื ืืืงืฉืจ ืฉื ืืืืจ ืื, ื ืืชืื ืืจืืื ืืื ืืืชืืื ืืืืชืจ ืื ืืืืจ ืชืฉืชืืืช ืคื ืืืืืช. ืืฉ ืื ืืชืงื ื ืจืฉืช (ืืื ืื ืื ืคืืขืืื ืืคืจืืืืื ืืืืืจืช ืชืืื ื ืื ืืคื ืืืืื ืกืืืืื) ืฉืืชืงืคื ืื ืืืืื ืืขืงืืฃ. ืื ืืืื ืืขืงืืฃ ืืืืฉื IDS ืงืืืกื, ืืื ืืชืงื ืจืฉืช ืฉืชืืื ืืคืจืืืืงืื ืืืจืืื ืื ืืืื. ืื ืืืชืจืื ืฉื ืฉืืื ืื.
ืืฆื ืฉื ื, ืื ืืชื ืฆืจืื ืจืืืืช ืืืืืคืช ืืืง ืื ืืฆืืืช ืืงืืจืช ืืืจืืข ืืฉืื, ืืชื ืื ืืืื ืืืกืชืืจ ืืื ืืืืืช ืื ืืช - ืืืืืจืืืช ืจืฉืช ืืื ื ืขืืชืง ืฉื ืชืขืืืจื ืฉื ืืชื ืืืฉืชืืฉ ืื ืืื ืืืกืืฃ ืจืืืืช; ืืื ื ืืืฅ ืืืืืื ืืืืจ ืืงืืืช ืืืืืืช ืืชืืื ืืืืืช ืืืืืข. ืืฆื ืฉื ื, ืืืืฆืขืืช ื ืืชืื ืืืืืจืื, ืืชื ืืืื "ืืืชืื" ืื ืืช ืื ืชืขืืืจืช ืืจืฉืช (ืื ืืืื, ืกืืกืงื ืขืืกืงืช ืืืจืืื ื ืชืื ืื :-), ืืื ืจืง ืืช ืื ืฉืืขืืจืืช ืืืชืงืคื. ืืื ื ืืชืื ืืืืืจืื ืืืงืฉืจ ืื ืืฉืืืื ืืืื ืื ืื ืื ื ืืืืืช ืื ืืช ืืกืืจืชืืื, ืืืชื ื ืคืงืืืืช ืืืืืื ืืืืกืื ืกืืงืืืืืื. ืืืจืช, ืชืฆืืจื ืืงืื ืชืฉืชืืช ืืืกืื ืขื ืงืืช.
ืืืื ื ืืืืื ืจืฉืช ืืคืืขืืช ืืืืืจืืช ืฉื 250 Mbit/sec. ืื ืืชื ืจืืฆื ืืืืกื ืืช ืื ืื ืคื ืืื, ืื ืชืฆืืจื 31 ืืื-ืืืื ืฉื ืืืกืื ืขืืืจ ืฉื ืืื ืืืช ืฉื ืฉืืืืจ ืชืขืืืจื, 1,8 ื'ืืื-ืืืื ืืืงื ืืืช, 108 ื'ืืื-ืืืื ืืฉืขื ืืืช ื-2,6 ืืจื-ืืืื ืืืื ืืื. ืืื ืืืืกื ื ืชืื ืื ืืืืืื ืืจืฉืช ืืจืืื ืคืก ืฉื 10 Gbit/s, ืชืืืงืง ืืืืกืื ืฉื 108 TB. ืืื ืืืง ืืืจืืืืืืจืื ืืืจืฉืื ืืืกืื ื ืชืื ื ืืืืื ืืืฉื ืฉื ืื... ืืงืืื ืืคื ืืจืืฉื, ืฉื ืืชืื ืืจืืื ืขืืืจ ืื ืืืืฉื, ืขืืืจืช ืืืคืืืช ืืช ืืขืจืืื ืืืื ืืกืืจื ืืืื. ืืื, ืื ืื ืื ื ืืืืจืื ืขื ืืืืก ืืื ื ืคื ื ืชืื ื ืืืืืืจืื ืืืืงืืืื ืืจืฉืช ืืืืืืช ื ืชืื ืื ืืืื, ืื ืื ืืื ืืขืจื 1 ืขื 500. ืขืืืจ ืืืชื ืขืจืืื ืฉื ืืชื ื ืืขืื, ืืืกืื ืชืืืื ืืื ืฉื ืื ืืชืขืืืจื ืืืืืืช ืืืื 5 ื-216 GB, ืืืชืืื (ืืชื ืืืื ืืคืืื ืืืงืืื ืืืชื ืืืื ื ืืืืง ืจืืื).
ืื ืขืืืจ ืืืื ืื ืืชืื ื ืชืื ื ืจืฉืช ืืืืืืื, ืฉืืืช ืืืืืชื ืืืขื ืืื ืืกืคืง ืืกืคืง, ืืจื ืฉืืืงืจื ืฉื ื ืืชืื ืชืืจืื ืืืฆื ืฉืื ื. ืืฉื ื ืืกืคืจ ืืคืฉืจืืืืช ืืคืจืืืืงืืื ืืจืืื, ืขื ืืืืืืื ืฉืืื ืืชื ืฆืจืื ืืืขืช ืืืงืฉืจ ืฉื ืืืืื. ืืคืืคืืืจื ืืืืชืจ ืืื ืคืจืืืืงืื Netflow ืฉืคืืชื ืขื ืืื ืกืืกืงื. ืืฉื ื ืืกืคืจ ืืจืกืืืช ืฉื ืคืจืืืืงืื ืื, ืฉืื ืืช ืืืืืืืช ืฉืืื ืืืืืืช ืืืืข ืืชืขืืืจื ืฉื ืจืฉื. ืืืจืกื ืื ืืืืืช ืืื ืืชืฉืืขืืช (Netflow v9), ืฉืขื ืืกืืกื ืคืืชื ืืชืงื ืืชืขืฉืืื Netflow v10, ืืืืืข ืื ืืฉื IPFIX. ืืืื, ืจืื ืกืคืงื ืืจืฉืช ืชืืืืื ื-Netflow ืื IPFIX ืืฆืืื ืฉืืื. ืืื ืืฉ ืขืื ืืคืฉืจืืืืช ืฉืื ืืช ืืคืจืืืืงืืื ืืจืืื - sFlow, jFlow, cFlow, rFlow, NetStream ืืื', ืฉ-sFlow ืืื ืืคืืคืืืจื ืืืืชืจ. ืกืื ืื ื ืชืื ืืจืื ืขื ืืื ืืฆืจื ืื ืืงืืืืื ืฉื ืฆืืื ืจืฉืช ืืืื ืงืืืช ืืืืฉืื ืฉืื. ืืื ืืืืืืื ืืขืืงืจืืื ืืื Netflow, ืฉืืคืื ืืชืงื ืื ืคืงืื, ืืืื sFlow? ืืืืชื ืืืืืฉ ืืื ืืจืืืืื. ืจืืฉืืช, ื-Netflow ืืฉ ืฉืืืช ืื ืืชื ืื ืืืชืืื ืืืฉืืช ืฉื ืืืฉืชืืฉ, ืื ืืืื ืืฉืืืช ืืงืืืขืื ื-sFlow. ืืฉื ืืช, ืืื ืืืืจ ืืืฉืื ืืืืชืจ ืืืงืจื ืฉืื ื, sFlow ืืืกืฃ ืื ืฉื ืงืจื ืืืืืจืื ืืืืืืช; ืื ืืืื ืืื ืฉืื ื ืืื ืขืืืจ Netflow ื-IPFIX. ืื ืืืืื ืืื ืืื?
ืชืืจ ืืขืฆืื ืฉืืชื ืืืืื ืืงืจืื ืืช ืืกืคืจ"
ืืืงืฉืจ ืฉื ื ืืืืจ ืืืืืช ืืืืข, ืืืฉืืขืืช ืืื ืฉืืืืืจืื ืืืืืืช ืืชืืืื ืืืื ืืืืชืืจ ืืชืงืคืืช DDoS, ืกืจืืงื ืืืคืฆืช ืงืื ืืืื ื, ืื ืขืืืื ืืืืืืฅ ืืชืงืคืืช ืืืืืืืช ืื ืืจืืืืช ืื ืืช ืฉืื ื ืืืื ืืืืืื ืฉื ืฉืืื ืื ืืชืื. ืืืืืืจืื ืืื ืืืืื ืืื ืืกืจืื ืืช ืืืื. ืืื, ืืืืื ืืืชืงืคืืช ืฉืืืื ืจืื ืืืจืื. ืืืื ืจืฉืืื ืงืฆืจื ืฉื ืืืจืืขืื ืฉื ืืชื ืืืืืช ืืืืฆืขืืช ืืื ื ืืชืื ืืืืืจืื ืืจืฉืช.
ืืืืื, ืืืืฉืื ืื ืชื Netflow ืืงืื ืคืชืื ืื ืืืคืฉืจ ืืื ืืขืฉืืช ืืืช, ืฉืื ืืืฉืืื ืืขืืงืจืืช ืฉืื ืืื ืืืกืืฃ ืืืืืจืื ืืืขืจืื ืขืืื ื ืืชืื ืืกืืกื ืื ืงืืืช ืืื ืฉื IT. ืืื ืืืืืช ืืืืื ืืืืืช ืืืืข ืขื ืกืื ืืจืืื, ืืฉ ืฆืืจื ืืฆืืื ืืช ืืื ืชื ืืื ืืขืื ืืืืืืจืืชืืื ืฉืื ืื, ืฉืืืื ืืขืืืช ืืืืืช ืกืืืืจ ืขื ืกืื ืฉืืืช Netflow ืกืื ืืจืืืื ืื ืืืชืืืื ืืืฉืืช, ืืขืฉืืจื ื ืชืื ืื ืกืื ืืจืืืื ืื ืชืื ืื ืืืฆืื ืืื ืืืงืืจืืช ืฉืื ืื ืฉื Threat Intelligence ืืื'.
ืืื, ืื ืืฉ ืื ืืจืืจื, ืืืจ Netflow ืื IPFIX. ืืื ืื ืื ืืฆืืื ืฉืื ืขืืื ืจืง ืขื sFlow, ืืื ืืฆืจื ืื ืืงืืืืื, ืื ืื ืืืงืจื ืื ืืชื ืืืื ืืืคืืง ืืื ื ืชืืขืืช ืืืงืฉืจ ืืืืืื ื.
ืืงืืฅ 2019, ื ืืชืืชื ืืช ืืืืืืืช ืฉืืฉ ืืืฆืจื ืืืช ืืืืจืช ืจืฉืชืืช ืจืืกืืืช ืืืืื, ืืืขื NSG, Polygon ื-Craftway, ืืืจืืื ืขื ืชืืืื ื-sFlow (ืืคืืืช Zelax, Natex, Eltex, QTech, Rusteleteh).
ืืฉืืื ืืืื ืฉืชืชืืืื ืืืชื ืืื ืืืื ืืืืฉื ืชืืืื ืืืจืืื ืืืืจืืช ืืืืื? ืืืขืฉื, ืืฉืืื ืืื ื ืืืืฉืช ืืืืื. ืฆืืื ืืืืจื ื ืืืขื ืชืืื ืชืืื ืืคืจืืืืงืืื ืืจืืื. ืืื, ืืืืชื ืื ืกื ืืืืฉ ืืช ืืฉืืื ืืืจืช โ ืืืื ืืื ืืขืื ืืืกืืฃ ืืืืืจืื ืื ืงืืืช ืืื ืืืืื? ืืชืฉืืื ืชืืื ืื ืืจืืจื - ืืจืืช ืืืืฉื, ืฉื ืชืจืื 100% ืืื ืืชืขืืืจื, ืฉื ืืืื ืื ืืืืข ืืคืืจื ืขื ืืืจืืื (MAC, VLAN, interface ID), ืฉื ืชืืื ืืคืืื ืื ืืจ ืชืขืืืจืช P2P ืืื ืืืจืืื, ืืฉืจ ืืื ืงืจืืื ืืืืืื ืืืคืฆื ืฉื ืงืื ืืืื ื ืืกืจืืงื. ืืจืืช ืืืืื, ืืืื ืคืฉืื ืื ืชืจืื ืืืง ืืืชื ืืขื, ืืื ืืจืืช ืืืืงืคืืช, ืชืจืื ืจืืข ืืื ืชืขืืืจืช ืืจืฉืช ืฉืื. ืืื ืื ืืกืืื ืืืฉืื ืืฉ ืื ืืืฉืืจืื ืืจืื ืืจืฉืช ืฉืืืคืฉืจืื ืืชืืงืคืื "ืืืืื ืก ืืืฆืืช" ืืืื ืืขืงืืฃ ืืช ืืืืงืฃ, ืื ื ืืชืื ืืืืืืจืื ืืื ื ืื ืืืชื ืื ืืืื. ืืื, ืืืืกืื ืืจืื, ืืืืืฅ ืืืคืฉืจ ืืืกืืฃ ืืืืืจืื ืืจืืช ืืืืฉื. ืืื ืขื ืืืช, ืจืืื ืืฆืืื ืฉืื ืื ืื ืื ื ืืืืจืื ืขื ืืืจืืืืืืืฆืื ืื ืงืื ืืืื ืจืื, ืชืืืื ืืืจืืื ื ืืฆืืช ืืจืื ืื ืืืชืืื ืืืจืืืืืืื ืืืืจื ืืื, ืืืืคืฉืจืื ืืฉืืื ืขื ืืชืขืืืจื ืื ืฉื.
ืืื ืืื ืฉืืขืืืชื ืืช ืื ืืฉื, ืื ื ืฆืจืื ืืขื ืืช ืขื ืืฉืืื: ืื ืื ืืฆืืื, ืคืืื ืื ืืืจืืืืื, ืื ืชืืื ืืคืจืืืืงืืื ืืจืืื? ืื ืฉืื ืืืืืชื ืืกืืจื (ืืืืืื, ืืืืืจืื ืชืขืฉืืืชืืื ืืื ืืืืืื ืืืื ืืช)? ืื ืฉืืคืขืืชื ืืืืืื ืืขืืืก ืืขืื ืืืื (ืื ืงืืจื ืืืืืจื ืืฉื ื ืืืชืจ)? ืืื ืืคืชืืจ ืืขืื ืื, ืืฉื ื ืืืืฉื ืื ืืืจืืืืืืื ืืืืืืื (ืืืืฉื ื ืืจืืื), ืฉืื ืืขืฆื ืืคืฆืืื ืจืืืืื ืฉืืขืืืจืื ืชื ืืขื ืืจื ืขืฆืื ืืืฉืืจืื ืืืชื ืืฆืืจื ืฉื ืืจืืื ืืืืืื ืืืืกืืฃ. ื ืืื, ืืืงืจื ืืื ืื ืื ื ืืงืืืื ืืช ืื ืืืขืืืช ืฉืืืืจื ื ืขืืืื ืืขืื ืืืืก ืืืื ืืืืืช ืื ืืช. ืืืืืจ, ืืชื ืฆืจืื ืืืืื ืื ืจืง ืืช ืืืชืจืื ืืช ืฉื ืืื ืืืืืืืช ื ืืชืื ืืจืืื, ืืื ืื ืืช ืืืืืืืช ืฉืื.
ืขืื ื ืงืืื ืฉืืฉืื ืืืืืจ ืืฉืืืืจืื ืขื ืืื ื ืืชืื ืืจืืื. ืื ืืืืก ืืืืฆืขืื ืงืื ืื ืฆืืื ืืืื ืืืคืงืช ืืืจืืขื ืืืืื ืื ื ืืฉืชืืฉืื ืืืื EPS (ืืืจืืข ืืฉื ืืื), ืื ืืื ืืืงืืืจ ืื ืืื ื ืืฉืื ืื ืืชืื ืืืืืจืื; ืืื ืืืืืฃ ืขื ืืื FPS (ืืจืืื ืืฉื ืืื). ืืื ืืืงืจื ืฉื EPS, ืื ื ืืชื ืืืฉื ืืืชื ืืจืืฉ, ืื ื ืืชื ืืืขืจืื ืืช ืืืกืคืจ ืืืฉืืขืจ ืฉื ืคืชืืืื ืฉืืืฉืืจ ืืกืืื ืืืืฆืจ ืืืชืื ืืืฉืืืชื. ืืชื ืืืื ืืืฆืื ืืืื ืืจื ื ืืืืืืช ืขื ืขืจืืื ืืฉืืขืจืื ืขืืืจ ืกืืืื ืฉืื ืื ืฉื ืืืฉืืจืื ืืชื ืืื ืืจืืื ืืื, ืฉืืืคืฉืจื ืื ืืืขืจืื ืืืื ืจืืฉืืื ืืช ืืชื ืฆืจืื ืขืืืจ ืืื ื ืืชืื ืืื ืชืืื ืืืจืืืืงืืืจื ืฉืืื? ืืขืืืื ืืื ืฉืืืืฉื ื-IDS ืืืืื ืืจืืื ืคืก ืืกืืื ืฉืืื ืืืื "ืืืฉืื", ืืืืกืคื ืืืจืืื ืืฉ ืืืืืืช ืืฉืื ืฉืืฉ ืืืืื. ืืื, ืืจืฉืชืืช ืืืืืืช ืืคืืืจืืช ืืืืืืจืคืืช ืืฉ ืืืจื ืืื ืืื ืืกืคื ืื. ืืฉืชืืืจืชื
ืื ื ืืฉืชืืฉืื ืืคืชืจืื ืืฉืื ื ืืืขืจืืช ื ืืืืจ ืฉื Netflow
ืืจืืจ ืฉืืืฉืจ ืืืืจืื ืขื ืืขืจืืืช ื ืืชืื Netflow ืื ืงืืืช ืืื ืืืืื, ืืฉืืง ืืื ื ืืืืื ืืคืชืจืื ืืืื ืฉื ืกืืกืงื. ืืชื ืืืื ืืืฉืชืืฉ ืื ืืคืชืจืื ืืช ืืกืืจืืื ืืื ืืคืชืจืื ืืช ืืื ืืืื ืื ืฉืืชืืฃ. ืื ืื ืืืืจ ืื ืืฆืืื ืคืชืจืื ืืช ืฉื ืืชืืจืื ืืืืืืืืช ืืืืื ืฉื ืกืืกืงื, ืื ืื ื ืืืื ืืื ืืืืื ืขื ืืืืคื ืฉืื ื ืืชื ืื ืชื ืืืืืจืืืช ืจืฉืช ืืืืฆืขืืช ืฉื ื ืืืื ืคืืคืืืจืืื, ืืืืื ืืฉืื, ืื ืขืืืื ืฉืื ืื - SiLK ื-ELK.
SiLK ืืื ืืขืจืืช ืืืื (ืืืขืจืืช ืืืืข ืืจืืช ืืื ืืจื ื) ืื ืืชืื ืชืขืืืจื, ืฉืคืืชืื ืขื ืืื ื-CERT/CC ืืืืจืืงืืืช ืืชืืืืช, ืืืงืฉืจ ืฉื ืืืืืจ ืฉื ืืืื, Netflow (5 ื-9, ืืืจืกืืืช ืืคืืคืืืจืืืช ืืืืชืจ), IPFIX ื-sFlow ืืฉืืืืฉ ืืืื ืขืืจ ืฉืื ืื (rwfilter, rwcount, rwflowpack ืืื') ืืืืฆืืข ืคืขืืืืช ืฉืื ืืช ืขื ืืืืืจืืืช ืจืฉืช ืขื ืื ืช ืืืืืช ืกืืื ืื ืฉื ืคืขืืืืช ืื ืืืจืฉืืช ืื. ืืื ืืฉ ืืฆืืื ืืื ื ืงืืืืช ืืฉืืืืช. SiLK ืืื ืืื ืฉืืจืช ืคืงืืื ืืืืฆืข ื ืืชืื ืืงืืื ืขื ืืื ืืื ืช ืคืงืืืืช ืืื ืื (ืืืืื ืื ืืช ICMP ืืืืืืืช ื-200 ืืชืื):
rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15
ืื ืืืื ื ืื. ืืชื ืืืื ืืืฉืชืืฉ ื-iSiLK GUI, ืืื ืื ืื ืืขืฉื ืืช ืืืืื ืฉืื ืืจืื ืืืชืจ ืงืืื, ืจืง ืืคืชืืจ ืืช ืคืื ืงืฆืืืช ืืืืืื ืืื ืืืืืฃ ืืช ืืื ืืืกื. ืืื ืื ืงืืื ืืฉื ืืื. ืื ืืืื ืืคืชืจืื ืืช ืืกืืจืืื, ืฉืืืจ ืืฉ ืืื ืืกืืก ืื ืืืื ืืืฆืง, ืืืืืจืืชืืื ืืืืืื ืืจืืืืช, ืืจืืืช ืขืืืื ืืชืืืื ืืื', ืืืงืจื ืฉื SiLK ืชืฆืืจืื ืืขืฉืืช ืืช ืื ืื ืืขืฆืืื, ืื ืฉืืืจืืฉ ืืื ืืืฉืืจืื ืืขื ืฉืื ืื ืืืฉืจ ืืฉืืืืฉ ืฉืืืจ ืืืื- ืืืื ืืฉืืืืฉ. ืื ืื ืืื ืืื ืจืข - ืื ืชืืื ื ืฉื ืืืขื ืื ืืื ืืื ืื ืฉืื ืื ืฉืืชื ืืืืข ืื ืืขืฉืืช, ืืื ืจืง ืืขืืืจ ืื ืืื (ืืืื ืืกืืจืืื ืคืืืช ืชืืืืื ืืืืฉืืจื ืืืฉืชืืฉืื ืฉืื, ืืืจืืช ืฉืื ืื ืื ืืืื ืฉืื ืืืกืืื ืืืื ืื ืืคืืืช ืืช ืืืกืืืืช ืฉื ืืงืืจืืช ืจืฉืชืืช ืื ืืืืจ). ืืื ืืืื ื ืืืืจ ืืกืืืง. ืืืืืจ ืืขืืืื ืฉื ืืื ืืืกื ืืืชื ื ืจืื ืื:
- ื ืืกืื ืืฉืขืจื. ืขืืื ื ืืืืื ืื ื ืืคืฉ ืืชืื ืืืืืืจืื ืฉื ืืจืฉืช, ืืืืืจ ืืช ืืชืืื ืืช ืืืืืืืืืช ืฉืืืืฆืขืืชื ื ืืื ืืจืืืืช ืื ืืืืืื ืืกืืืืื.
- ืื ืืืช ืืืื. ืืืืจ ืฉืืืืฉื ื ืืฉืขืจื, ืื ื ืืชืื ืชืื ืืืชื ืืืืฆืขืืช ืืืชื Python, ืืขืืคืช ืื ืืืื ืืืจืื ืฉืืื ื ืืืืืื ื- SiLK.
- ืืืืงื. ืืขืช ืืืืข ืืชืืจ ืืืืืง ืืช ื ืืื ืืช ืืืฉืขืจื ืฉืื ื, ืืฉืจ ืืืืฉืจืช ืื ืืืคืจืืช ืืืืฆืขืืช ืืื ืขืืจ ืฉื SiLK ืืืชืืืืื ื-'rw', 'set', 'bag'.
- ื ืืชืื ื ืชืื ืื ืืืืชืืื. ืืชืคืขืื ืชืขืฉืืืชื, SiLK ืขืืืจืช ืื ื ืืืืืช ืืฉืื ืืขื ืืื ืืืืืงืื ืืขื ืืช ืขื ืืฉืืืืช "ืืื ืืฆืื ื ืืช ืื ืฉืฆืืคืื ื?", "ืืื ืื ืชืืื ืืช ืืืฉืขืจื ืฉืื ื?", "ืืืฆื ืืืคืืืช ืืช ืืกืคืจ ืืชืืฆืืืช ืืฉืืืืืืช?", "ืืืฆื ืืฉืคืจ ืืช ืจืืช ืืืืจื? ยป ืืืืื.
- ืึทืฉืืึผึธืึธื. ืืฉืื ืืกืืคื ืื ื ืืฉืคืจืื ืืช ืื ืขืฉื ืงืืื - ืืืฆืจืื ืชืื ืืืช, ืืฉืคืจืื ืืืืืขืืื ืืช ืืงืื, ืื ืกืืื ืืืืฉ ืืืืืืจืื ืืช ืืืฉืขืจื ืืื'.
ืืืืืจ ืื ืืืื ืื ืขื Cisco Stealthwatch, ืจืง ืืืืจืื ืืืคื ืืช ืืืฉืช ืืฉืืืื ืืืื ืืืืืืืืืื ืืืงืกืืืื, ืืคืืืช ืืช ืืกืคืจ ืฉืืืืืช ืืื ืืืกืืื ืืืืืื ืืช ืืืขืืืืช ืฉื ืืืืื ืชืงืจืืืช. ืืืืืื, ื-SiLK ื ืืชื ืืืขืฉืืจ ืกืืืืกืืืงืืช ืจืฉืช ืื ืชืื ืื ืืืฆืื ืืื ืขื ืืชืืืืช IP ืืืื ืืืช ืืืืฆืขืืช ืกืงืจืืคืืื ืืืชื ืื, ืื-Cisco Stealthwatch ืืืืืจ ืืคืื ืงืฆืื ืืืื ืืช ืฉืืฆืืื ืืื ืืืขืงื ืื ืชืขืืืจืช ืจืฉืช ืืืืื ืืื ืืจืืงืฆืืืช ืขื ืืชืืืืช IP ืืืจืฉืืื ืืฉืืืจื.
ืื ืืชื ืืืื ืืืื ืืืชืจ ืืคืืจืืืื "ืืชืฉืืื" ืขืืืจ ืชืืื ืช ื ืืชืื ืืจืืื, ืื ืืืจื ื-SiLK ืืืื ืื ืืืืืืื ืชืืื ELK ืชืืื ืช ืฉืืชืืฃ, ืืืืจืืืช ืืฉืืืฉื ืืจืืืืื ืืจืืืืื - Elasticsearch (ืืื ืืงืก, ืืืคืืฉ ืื ืืชืื ื ืชืื ืื), Logstash (ืงืื/ืคืื ื ืชืื ืื. ) ื-Kibana (ืืืืื). ืื ืืืื ื-SiLK, ืฉืื ืืชื ืฆืจืื ืืืชืื ืืื ืืขืฆืื, ื-ELK ืืฉ ืืืจ ืืจืื ืกืคืจืืืช/ืืืืืืื ืืืื ืื (ืืืงื ืืชืฉืืื, ืืืงื ืื) ืฉืืืืืืื ืืช ืื ืืชืื ืฉื ืืืืืจืืืช ืจืฉืช. ืืืืืื, ืืกื ื GeoIP ื-Logstash ืืืคืฉืจ ืื ืืฉืืื ืืชืืืืช IP ืื ืืืจืืช ืืืืงืืื ืืืืืืืจืคื (ื-Stealthwatch ืืฉ ืชืืื ื ืืืื ืืช ืื).
ื-ELK ืืฉ ืื ืงืืืื ืื ืืืืื ืฉืืฉืืืื ืืช ืืจืืืืื ืืืกืจืื ืขืืืจ ืคืชืจืื ืื ืืืืจ ืืื. ืืืืืื, ืืื ืืขืืื ืขื Netflow, IPFIX ื-sFlow ืืชื ืืืื ืืืฉืชืืฉ ืืืืืื
ืชืื ืืชื ืืขืืืืช ืจืื ืืืชืจ ืืืืกืืฃ ืืืจืืื ืืืืืคืืฉ ืื, ื-ELK ืืกืจื ืืืื ืื ืืืืืงื ืืืื ืืช ืขืฉืืจื ืืืืชืืจ ืืจืืืืช ืืืืืืื ืืืืืืจืืืช ืจืฉืช. ืืืืืจ, ืืขืงืืืช ืืืืืจ ืืืืื ืฉืชืืืจ ืืขืื, ืืืื ืขืืื ืืชืืจ ืืืืคื ืขืฆืืื ืืืืืื ืฉื ืืคืจืืช ืืืืืจ ืืื ืืืฉืชืืฉ ืืื ืืืขืจืืช ืืืืืื (ืืื ืฉื ืืืืืื ืืืื ืื).
ืืฉ ืืืืื ืืจืืืืช ืืชืืืืืืช ืืืชืจ ื-ELK, ืฉืืืจ ืืืืืืช ืืื ืืืืื ืืืืชืืจ ืืจืืืืช ืืืืืืจืืืช ืจืฉืช, ืืื ืืจืืืืช ืืืื ืขืืืืช ืืกืฃ ืืืื ืืฉืืื ืืื ืืื ืืืฉืืง ืฉืืื ืืช ืื ืจ - ืืชืื ืืื ืืืื ืืขืฆืืื, ืจืืฉื ืืืชื. ืืืฉืื ืขืืืจ ืืื ืื ืืืืจ ืฉืื, ืื ืงื ื ืคืชืจืื ืืืื ืฉื ืืืืชื Network Traffic Analysis.
ืืืืคื ืืืื, ืื ื ืื ืจืืฆื ืืืืื ืก ืืืืืืื ืฉืขืืืฃ ืืืืฆืื ืืกืฃ ืืืงื ืืช ืคืชืจืื ืืืื ืื ืืืืจ ืืจืืืืช ืืืืืืื ืืืืืืจืืืช ืจืฉืช (ืืืืืื, Cisco Stealthwatch) ืื ืืืืื ืืช ืื ืืขืฆืื ืืืืชืืื ืืืฉืืช ืืช ืืืชื ืืืืจ. SiLK, ELK ืื nfdump ืื OSU Flow Tools ืขืืืจ ืื ืืืื ืืืฉ (ืื ื ืืืืจ ืขื ืืฉื ืืื ืืืืจืื ืื ืฉืืื
ืืกืืืื, ืืจืฆืื ื ืืคืจื ืืช ืืขืฆืืช ืืขืืงืจืืืช ืฉืืืื ืื ืืขืงืื ืืืจื ืื ืืืช ื ืืืืจ ืืืืืช ืืืืข ืฉื ืืชืฉืชืืช ืืคื ืืืืช ืฉืื:
- ืื ืชืืืื ืืช ืขืฆืื ืจืง ืืืืงืฃ! ืืฉืชืืฉ (ืืืืจ) ืืชืฉืชืืช ืจืฉืช ืื ืจืง ืืื ืืืขืืืจ ืชืขืืืจื ืื ืงืืื A ืื ืงืืื B, ืืื ืื ืืื ืืืคื ืืืขืืืช ืืืืืช ืกืืืืจ.
- ืืื ืืช ืื ืื ืื ื ื ืืืืจ ืืืืืช ืืืืืข ืืงืืืืื ืืฆืืื ืืจืฉืช ืฉืื ืืืฉืชืืฉ ืืื.
- ืื ืืืืจ ืคื ืืื, ืืขืืืคื ื ืืชืื ืืืืืจืื - ืืื ืืืคืฉืจ ืืืืืช ืขื 80-90% ืืื ืืืจืืขื ืืืืืช ืืืืืข ืืจืฉืช, ืชืื ืืืฆืืข ืื ืฉืื ืืคืฉืจ ืืขืช ืืืืืช ืื ืืช ืจืฉืช ืืืืกืืื ืืืงืื ืืืืกืื ืื ืืืจืืขื ืืืืืช ืืืืืข.
- ืืื ืื ืืจ ืืจืืืืช, ืืฉืชืืฉ ื-Netflow v9 ืื IPFIX - ืื ืืกืคืงืื ืืืืข ื ืืกืฃ ืืืงืฉืจ ืืืืื ืืืืคืฉืจืื ืื ืื ืืจ ืื ืจืง IPv4, ืืื ืื IPv6, MPLS ืืื'.
- ืืฉืชืืฉ ืืคืจืืืืงืื ืืจืืื ืืื ืืืืื - ืืื ืืกืคืง ืืืืข ื ืืกืฃ ืืืืชืืจ ืืืืืื. ืืืืืื, Netflow ืื IPFIX.
- ืืืืง ืืช ืืขืืืก ืขื ืฆืืื ืืจืฉืช ืฉืื - ืืืชืื ืฉืืื ืื ืืืื ืืืชืืืื ืื ืขื ืคืจืืืืงืื ืืืจืืื. ืืืืจ ืืื ืฉืงืื ืืืฉืชืืฉ ืืืืืฉื ืื ืืืจืืืืืืื ืื ื-Netflow Generation Appliance.
- ืืืืข ืฉืืืื ืงืืื ืื ืืจืืช ืืืืฉื - ืื ืืืชื ืื ืืช ืืืืืื ืืช ืืจืืืช 100% ืืื ืืชืขืืืจื.
- ืื ืืื ืื ืืจืืจื ืืืชื ืืฉืชืืฉ ืืฆืืื ืจืฉืช ืจืืกื, ืืืจ ืืืื ืฉืชืืื ืืคืจืืืืงืืื ืืจืืื ืื ืืขื ืืฆืืืืช SPAN/RSPAN.
- ืฉืื ืืขืจืืืช ืืืืื/ืื ืืขืช ืืืืจื/ืชืงืืคื ืืงืฆืืืช ืืืขืจืืืช ื ืืชืื ืืจืืื ืืจืฉืช ืืคื ืืืืช (ืืืื ืืขื ื ืื).
ืืืื ืืืืค ืืืืจืื, ืื ื ืจืืฆื ืืชืช ืืืืฉื ืฉืืืจ ื ืชืชื ืืขืืจ. ืืชื ืจืืื ืฉืื ืืขืืจ ืฉืืจืืช ืืืืืช ืืืืืข ืกืืกืงื ืื ื ืืืขื ืืืืืืื ืืช ืืขืจืืช ื ืืืืจ ืืืืืช ืืืืืข ืฉืื ืขื ืืกืืก ืืขืจืืืช ืืืืื ืืืืจื ืืฉืืืืช ืืชืืื, ืืขืช ืื ืืืืืื ืจืง 20% ืืืืืจืืขืื. ืขืื 20% ื ืืคืืื ืขื ืืขืจืืืช ื ืืชืื ืืจืืื, ืื ืฉืืจืื ืฉืืคืชืจืื ืืช ืืืื ืืื ื ืืืื, ืืื ืืื ืืืืชื ืืคืขืืืืช ืฉืืจืืชื ืืืืืช ืืืืข ืฉื ืืืื ืืืืจื ื. ืืชืจื ืืื, ืืฉ ืื ืืช ืืืืจ ืืืฉืื ืืืืชืจ ืืืืฉืื ืฉืืื - ืชืฉืชืืช ืจืฉืช, ืืฉืงืขืืช ืืื ื ืืชื ืืืื ืขืื ืืืชืจ ืขื ืืื ืืงืฆืืช ืคืื ืงืฆืืืช ื ืืืืจ ืืืืืช ืืืืข ืืจืฉืช.
ืื ื ืืขืชื ืกืคืฆืืคืืช ืื ืืฉื ืฉื ืชืืืื ืืืจืืืืช ืื ืืืืืื ืฉืืืื ืืชืืจืืื ืจืฉืช, ืืื ืื ื ืืืฉื ืฉืืืจ ืืจืืจ ืฉืื ืืืืจ ืื ืฆืจืื ืืืกืชืืื ืจืง ืืืืชืืจ ืืืื. ืืืจืื ืืฉ ืืืืื ืืจืฆืื ืืืฆื ืืืืืืื ืื ืืืืืืื. ืืื ืื ื ืืฉื ืืืืืจ ื ืคืจื.
ืืืืข ื ืืกืฃ:
ืชืืืืจ ืฉื Cisco IOS Netflow ืืืจืืฆืช ืชืืืื ืฉื Netflow ืืคืชืจืื ืืช Cisco ืืฉืื ืื ืืืจืื ืืืืืจืช Netflow ืืคืืืคืืจืืืช ืฉืื ืืช ืฉื Cisco ืงืืืืช sFlow ืืขืืื ืืืืฆืขืืช Stealtjwatch, SiLK ื-ELK ืืื ืื ืชื ืืช Netflow ืื ืงืืืช ืืื ืืืืื ืืชืจ SiLK ืืืจืื ืื ืฉืืืฉ ืืืืช ืขืืืืื ืืฉืืืืฉ ื-SiLK ืขื ืืืื ืืืืืืืช Logstash Netflow Module ืกืืกืงื ืืืจืื ืฉืื ืืืจ ืฉืื ืื ืืชืื Netflow ื-ELK ื ืืชืื ืฉื NetFlow v.9 Cisco ASA ืืืืฆืขืืช Logstash (ELK) ืคืชืจืื Cisco Stealthwatch
ื .ื. ืื ืงื ืื ืืืชืจ ืืฉืืืข ืืช ืื ืื ืฉื ืืชื ืืืขืื, ืื ืืชื ืืืื ืืฆืคืืช ืืืฆืืช ืืช ืืฉืขื ืฉืืืืื ืืช ืืืกืืก ืืืขืจื ืื.
ืืงืืจ: www.habr.com