ქსელის მონიტორინგი და ანომალიური ქსელის აქტივობის გამოვლენა Flowmon Networks გადაწყვეტილებების გამოყენებით

ბოლო დროს ინტერნეტში შეგიძლიათ იპოვოთ უზარმაზარი მასალები ამ თემაზე. ტრაფიკის ანალიზი ქსელის პერიმეტრზე. ამავდროულად, რატომღაც ყველას სრულიად დაავიწყდა ადგილობრივი მოძრაობის ანალიზი, რაც არანაკლებ მნიშვნელოვანია. ეს სტატია ეხება ზუსტად ამ თემას. Მაგალითად Flowmon Networks ჩვენ გავიხსენებთ ძველ კარგ Netflow-ს (და მის ალტერნატივებს), გადავხედავთ საინტერესო შემთხვევებს, შესაძლო ანომალიებს ქსელში და გავარკვევთ გამოსავლის უპირატესობებში, როდესაც მთელი ქსელი მუშაობს როგორც ერთი სენსორი. და რაც მთავარია, თქვენ შეგიძლიათ ჩაატაროთ ადგილობრივი ტრაფიკის ასეთი ანალიზი სრულიად უფასოდ, საცდელი ლიცენზიის ფარგლებში (45 დღით). თუ თემა თქვენთვის საინტერესოა, კეთილი იყოს თქვენი მობრძანება კატაში. თუ ძალიან ეზარებათ კითხვა, მაშინ, წინსვლის ყურებით, შეგიძლიათ დარეგისტრირდეთ მომავალი ვებინარი, სადაც ჩვენ გაჩვენებთ და გეტყვით ყველაფერს (შეგიძლიათ იქვე გაეცნოთ პროდუქტის მოახლოებულ ტრენინგს).

რა არის Flowmon Networks?

პირველ რიგში, Flowmon არის ევროპული IT გამყიდველი. კომპანია ჩეხურია, სათაო ოფისი ბრნოშია (სანქციების საკითხი არც კი დამდგარა). ამჟამინდელი სახით კომპანია ბაზარზე 2007 წლიდან არსებობს. ადრე ის ცნობილი იყო Invea-Tech ბრენდის ქვეშ. ასე რომ, მთლიანობაში, თითქმის 20 წელი დაიხარჯა პროდუქტებისა და გადაწყვეტილებების შემუშავებაზე.

Flowmon პოზიციონირებულია, როგორც A კლასის ბრენდი. ავითარებს პრემიუმ გადაწყვეტილებებს საწარმოს მომხმარებლებისთვის და აღიარებულია Gartner ყუთებში ქსელის მუშაობის მონიტორინგისა და დიაგნოსტიკისთვის (NPMD). უფრო მეტიც, საინტერესოა, რომ მოხსენებაში მოყვანილი ყველა კომპანიადან Flowmon არის ერთადერთი გამყიდველი, რომელიც Gartner-მა აღნიშნა, როგორც გადაწყვეტილებების მწარმოებელი, როგორც ქსელის მონიტორინგისთვის, ასევე ინფორმაციის დაცვისთვის (ქსელის ქცევის ანალიზი). ის ჯერ არ იკავებს პირველ ადგილს, მაგრამ ამის გამო ის არ დგას როგორც ბოინგის ფრთა.

რა პრობლემებს წყვეტს პროდუქტი?

გლობალურად, ჩვენ შეგვიძლია გამოვყოთ კომპანიის პროდუქტების მიერ გადაჭრილი ამოცანების შემდეგი ჯგუფი:

1. ქსელის, ასევე ქსელის რესურსების სტაბილურობის გაზრდა მათი შეფერხებისა და მიუწვდომლობის მინიმიზაციის გზით;
2. ქსელის მუშაობის საერთო დონის გაზრდა;
3. ადმინისტრაციული პერსონალის ეფექტურობის გაზრდის გამო:
   • თანამედროვე ინოვაციური ქსელის მონიტორინგის ინსტრუმენტების გამოყენება IP ნაკადების შესახებ ინფორმაციის საფუძველზე;
   • დეტალური ანალიტიკის უზრუნველყოფა ქსელის ფუნქციონირებისა და მდგომარეობის შესახებ - ქსელში გაშვებული მომხმარებლები და აპლიკაციები, გადაცემული მონაცემები, ურთიერთქმედების რესურსები, სერვისები და კვანძები;
   • რეაგირება ინციდენტებზე, სანამ ისინი მოხდება და არა მას შემდეგ, რაც მომხმარებლები და კლიენტები დაკარგავენ მომსახურებას;
   • ქსელისა და IT ინფრასტრუქტურის ადმინისტრირებისათვის საჭირო დროისა და რესურსების შემცირება;
   • პრობლემების მოგვარების ამოცანების გამარტივება.
4. საწარმოს ქსელისა და საინფორმაციო რესურსების უსაფრთხოების დონის ამაღლება, არახელმოწერის ტექნოლოგიების გამოყენებით ანომალიური და მავნე ქსელის აქტივობის, ასევე „ნულოვანი დღის შეტევების“ გამოსავლენად;
5. ქსელური აპლიკაციებისა და მონაცემთა ბაზებისთვის SLA-ს საჭირო დონის უზრუნველყოფა.

Flowmon Networks პროდუქტის პორტფოლიო

ახლა მოდით პირდაპირ გადავხედოთ Flowmon Networks-ის პროდუქტის პორტფოლიოს და გავარკვიოთ, რას აკეთებს კომპანია. როგორც ბევრმა უკვე გამოიცანით სახელიდან, მთავარი სპეციალიზაცია არის გადაწყვეტილებები ნაკადის ნაკადის ტრაფიკის მონიტორინგისთვის, პლუს რამდენიმე დამატებითი მოდული, რომელიც აფართოებს ძირითად ფუნქციონირებას.

სინამდვილეში, Flowmon-ს შეიძლება ეწოდოს ერთი პროდუქტის კომპანია, უფრო სწორად, ერთი გადაწყვეტა. მოდით გავარკვიოთ ეს კარგია თუ ცუდი.

სისტემის ბირთვი არის კოლექტორი, რომელიც პასუხისმგებელია მონაცემთა შეგროვებაზე სხვადასხვა ნაკადის პროტოკოლების გამოყენებით, მაგ. NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX... სავსებით ლოგიკურია, რომ კომპანიისთვის, რომელიც არ არის ასოცირებული ქსელური აღჭურვილობის რომელიმე მწარმოებელთან, მნიშვნელოვანია ბაზარზე შესთავაზოს უნივერსალური პროდუქტი, რომელიც არ არის მიბმული რომელიმე სტანდარტთან ან პროტოკოლთან.

Flowmon კოლექტორი

კოლექტორი ხელმისაწვდომია როგორც აპარატურის სერვერის, ასევე ვირტუალური მანქანის სახით (VMware, Hyper-V, KVM). სხვათა შორის, ტექნიკის პლატფორმა დანერგილია პერსონალურად მორგებულ DELL სერვერებზე, რაც ავტომატურად გამორიცხავს გარანტიისა და RMA-სთან დაკავშირებული პრობლემების უმეტესობას. ერთადერთი საკუთრებაში არსებული ტექნიკის კომპონენტებია FPGA ტრაფიკის დაჭერის ბარათები, რომლებიც შემუშავებულია Flowmon-ის შვილობილი კომპანიის მიერ, რომელიც საშუალებას იძლევა მონიტორინგი 100 გბიტ/წმ-მდე სიჩქარით.

მაგრამ რა უნდა გააკეთოს, თუ არსებული ქსელური მოწყობილობა ვერ შეძლებს მაღალი ხარისხის ნაკადის გამომუშავებას? ან ძალიან მაღალია დატვირთვა აღჭურვილობაზე? Არაა პრობლემა:

Flowmon Prob

ამ შემთხვევაში Flowmon Networks გთავაზობთ გამოიყენოს საკუთარი ზონდები (Flowmon Probe), რომლებიც დაკავშირებულია ქსელთან გადამრთველის SPAN პორტის მეშვეობით ან პასიური TAP გამყოფების გამოყენებით.

SPAN (სარკის პორტი) და TAP განხორციელების ვარიანტები

ამ შემთხვევაში, Flowmon Probe-ზე შემოსული ნედლეული ტრაფიკი გარდაიქმნება გაფართოებულ IPFIX-ად, რომელიც შეიცავს მეტს. 240 მეტრიკა ინფორმაციით. მაშინ როცა ქსელური აღჭურვილობის მიერ გენერირებული სტანდარტული NetFlow პროტოკოლი შეიცავს არაუმეტეს 80 მეტრიკას. ეს იძლევა პროტოკოლის ხილვადობის საშუალებას არა მხოლოდ მე-3 და მე-4 დონეზე, არამედ მე-7 დონეზე ISO OSI მოდელის მიხედვით. შედეგად, ქსელის ადმინისტრატორებს შეუძლიათ აკონტროლონ აპლიკაციებისა და პროტოკოლების ფუნქციონირება, როგორიცაა ელექტრონული ფოსტა, HTTP, DNS, SMB...

კონცეპტუალურად, სისტემის ლოგიკური არქიტექტურა ასე გამოიყურება:

მთელი Flowmon Networks „ეკოსისტემის“ ცენტრალური ნაწილი არის კოლექტორი, რომელიც იღებს ტრაფიკს არსებული ქსელის აღჭურვილობიდან ან საკუთარი ზონდებიდან (Probe). მაგრამ Enterprise გადაწყვეტისთვის, ფუნქციონირების უზრუნველყოფა მხოლოდ ქსელის ტრაფიკის მონიტორინგისთვის ძალიან მარტივი იქნება. ღია წყაროს გადაწყვეტილებებს ასევე შეუძლიათ ამის გაკეთება, თუმცა არა ასეთი შესრულებით. Flowmon-ის ღირებულება არის დამატებითი მოდულები, რომლებიც აფართოებენ ძირითად ფუნქციონირებას:

• მოდული ანომალიის გამოვლენის უსაფრთხოება – ქსელის ანომალიური აქტივობის იდენტიფიცირება, მათ შორის ნულოვანი დღის შეტევები, ტრაფიკის ევრისტიკული ანალიზისა და ტიპიური ქსელის პროფილის საფუძველზე;
• მოდული განაცხადის შესრულების მონიტორინგი – ქსელური აპლიკაციების მუშაობის მონიტორინგი „აგენტების“ დაყენებისა და სამიზნე სისტემებზე ზემოქმედების გარეშე;
• მოდული მოძრაობის ჩამწერი – ქსელის ტრაფიკის ფრაგმენტების ჩაწერა წინასწარ განსაზღვრული წესების მიხედვით ან ADS მოდულის ტრიგერის მიხედვით, ინფორმაციული უსაფრთხოების ინციდენტების შემდგომი აღმოფხვრის ან/და გამოკვლევისთვის;
• მოდული DDoS დაცვა – ქსელის პერიმეტრის დაცვა მოცულობითი DoS/DDoS სერვისზე უარის თქმის შეტევებისგან, აპლიკაციებზე თავდასხმების ჩათვლით (OSI L3/L4/L7).

ამ სტატიაში ჩვენ გადავხედავთ, თუ როგორ მუშაობს ყველაფერი პირდაპირ ეთერში, 2 მოდულის მაგალითის გამოყენებით - ქსელის მუშაობის მონიტორინგი და დიაგნოსტიკა и ანომალიის გამოვლენის უსაფრთხოება.
საწყისი მონაცემები:

• Lenovo RS 140 სერვერი VMware 6.0 ჰიპერვიზორით;
• Flowmon Collector ვირტუალური მანქანის სურათი, რომელიც შეგიძლიათ ჩამოტვირთეთ აქ;
• გადამრთველების წყვილი, რომლებიც მხარს უჭერენ ნაკადის პროტოკოლებს.

ნაბიჯი 1. დააინსტალირეთ Flowmon Collector

ვირტუალური მანქანის განლაგება VMware-ზე ხდება სრულიად სტანდარტული წესით OVF შაბლონიდან. შედეგად, ჩვენ ვიღებთ ვირტუალურ მანქანას, რომელიც მუშაობს CentOS და მზა პროგრამული უზრუნველყოფით. რესურსების მოთხოვნები ჰუმანურია:

რჩება მხოლოდ ძირითადი ინიციალიზაციის შესრულება ბრძანების გამოყენებით sysconfig:

ჩვენ ვაკონფიგურირებთ IP-ს მართვის პორტზე, DNS-ზე, დროს, ჰოსტის სახელზე და შეგვიძლია დაკავშირება WEB ინტერფეისთან.

ნაბიჯი 2. ლიცენზიის ინსტალაცია

ერთი და ნახევარი თვის საცდელი ლიცენზია იქმნება და ჩამოიტვირთება ვირტუალური მანქანის სურათთან ერთად. ჩაიტვირთა მეშვეობით კონფიგურაციის ცენტრი -> ლიცენზია. შედეგად ჩვენ ვხედავთ:

ყველაფერი მზადაა. შეგიძლიათ დაიწყოთ მუშაობა.

ნაბიჯი 3. მიმღების დაყენება კოლექტორზე

ამ ეტაპზე, თქვენ უნდა გადაწყვიტოთ, როგორ მიიღებს სისტემა მონაცემებს წყაროებიდან. როგორც ადრე ვთქვით, ეს შეიძლება იყოს ერთ-ერთი ნაკადის პროტოკოლი ან SPAN პორტი გადამრთველზე.

ჩვენს მაგალითში, ჩვენ გამოვიყენებთ მონაცემთა მიღებას პროტოკოლების გამოყენებით NetFlow v9 და IPFIX. ამ შემთხვევაში, ჩვენ მივუთითებთ მართვის ინტერფეისის IP მისამართს, როგორც სამიზნე - 192.168.78.198. ინტერფეისები eth2 და eth3 (Monitoring ინტერფეისის ტიპით) გამოიყენება გადამრთველის SPAN პორტიდან „ნედლეული“ ტრაფიკის ასლის მისაღებად. ჩვენ მათ გავუშვით და არა ჩვენი საქმე.
შემდეგი, ჩვენ ვამოწმებთ კოლექტორის პორტს, სადაც უნდა წავიდეს ტრაფიკი.

ჩვენს შემთხვევაში, კოლექციონერი უსმენს ტრაფიკს UDP/2055 პორტზე.

ნაბიჯი 4. ქსელის აღჭურვილობის კონფიგურაცია ნაკადის ექსპორტისთვის

NetFlow-ის დაყენება Cisco Systems-ის მოწყობილობებზე, ალბათ, შეიძლება ეწოდოს სრულიად საერთო ამოცანას ნებისმიერი ქსელის ადმინისტრატორისთვის. ჩვენი მაგალითისთვის ავიღოთ რაღაც უფრო უჩვეულო. მაგალითად, MikroTik RB2011UiAS-2HnD როუტერი. დიახ, უცნაურად საკმარისია, ასეთი ბიუჯეტის გადაწყვეტა მცირე და სახლის ოფისებისთვის ასევე მხარს უჭერს NetFlow v5/v9 და IPFIX პროტოკოლებს. პარამეტრებში დააყენეთ სამიზნე (კოლექტორის მისამართი 192.168.78.198 და პორტი 2055):

და დაამატეთ ექსპორტისთვის ხელმისაწვდომი ყველა მეტრიკა:

ამ ეტაპზე შეგვიძლია ვთქვათ, რომ ძირითადი დაყენება დასრულებულია. ჩვენ ვამოწმებთ, შედის თუ არა ტრაფიკი სისტემაში.

ნაბიჯი 5: ქსელის მუშაობის მონიტორინგისა და დიაგნოსტიკის მოდულის ტესტირება და ფუნქციონირება

თქვენ შეგიძლიათ შეამოწმოთ ტრაფიკის არსებობა წყაროდან განყოფილებაში Flowmon Monitoring Center –> წყაროები:

ჩვენ ვხედავთ, რომ მონაცემები შედის სისტემაში. კოლექციონერის მიერ ტრაფიკის დაგროვებიდან გარკვეული დროის შემდეგ, ვიჯეტები დაიწყებენ ინფორმაციის ჩვენებას:

სისტემა აგებულია ბურღვის პრინციპზე. ანუ, მომხმარებელი, დიაგრამაზე ან გრაფიკზე საინტერესო ფრაგმენტის არჩევისას, "ეცემა" მონაცემთა სიღრმეზე, რომელიც მას სჭირდება:

ინფორმაცია თითოეული ქსელის კავშირისა და კავშირის შესახებ:

ნაბიჯი 6. ანომალიის გამოვლენის უსაფრთხოების მოდული

ამ მოდულს შეიძლება ეწოდოს ალბათ ერთ-ერთი ყველაზე საინტერესო, ხელმოწერის გარეშე მეთოდების გამოყენების წყალობით, ქსელის ტრაფიკში ანომალიებისა და მავნე ქსელის აქტივობის გამოსავლენად. მაგრამ ეს არ არის IDS/IPS სისტემების ანალოგი. მოდულთან მუშაობა იწყება მისი „ტრენინგით“. ამისათვის სპეციალური ოსტატი განსაზღვრავს ქსელის ყველა ძირითად კომპონენტს და სერვისს, მათ შორის:

• კარიბჭის მისამართები, DNS, DHCP და NTP სერვერები,
• მისამართით მომხმარებლის და სერვერის სეგმენტებში.

ამის შემდეგ სისტემა გადადის ვარჯიშის რეჟიმში, რომელიც გრძელდება საშუალოდ 2 კვირიდან 1 თვემდე. ამ დროის განმავლობაში, სისტემა წარმოქმნის საბაზისო ტრაფიკს, რომელიც სპეციფიკურია ჩვენი ქსელისთვის. მარტივად რომ ვთქვათ, სისტემა სწავლობს:

• რა ქცევაა ტიპიური ქსელის კვანძებისთვის?
• რა მოცულობის მონაცემები გადადის ჩვეულებრივ და ნორმალურია ქსელისთვის?
• რა არის ტიპიური ოპერაციული დრო მომხმარებლებისთვის?
• რა აპლიკაციები მუშაობს ქსელში?
• და უფრო მეტი..

შედეგად, ჩვენ ვიღებთ ინსტრუმენტს, რომელიც განსაზღვრავს ჩვენს ქსელში არსებულ ნებისმიერ ანომალიას და ტიპიური ქცევისგან გადახრებს. აქ მოცემულია რამდენიმე მაგალითი, რომელთა ამოცნობის სისტემა საშუალებას გაძლევთ:

• ქსელში ახალი მავნე პროგრამის გავრცელება, რომელიც არ არის გამოვლენილი ანტივირუსული ხელმოწერებით;
• DNS, ICMP ან სხვა გვირაბების აგება და მონაცემთა გადაცემა firewall-ის გვერდის ავლით;
• ქსელში ახალი კომპიუტერის გამოჩენა, რომელიც წარმოადგენს DHCP და/ან DNS სერვერს.

ვნახოთ, როგორ გამოიყურება პირდაპირ ეთერში. მას შემდეგ რაც თქვენი სისტემა მომზადდება და ააშენებს ქსელის ტრაფიკის საბაზისო ხაზს, ის იწყებს ინციდენტების გამოვლენას:

მოდულის მთავარ გვერდზე არის გამოვლენილი ინციდენტების ჩვენების ვადები. ჩვენს მაგალითში, ჩვენ ვხედავთ მკაფიო მწვერვალს, დაახლოებით 9-დან 16 საათამდე. მოდით ავირჩიოთ და უფრო დეტალურად განვიხილოთ.

აშკარად ჩანს თავდამსხმელის ანომალიური ქცევა ქსელში. ეს ყველაფერი იწყება იმით, რომ მასპინძელმა მისამართით 192.168.3.225 დაიწყო ქსელის ჰორიზონტალური სკანირება პორტზე 3389 (Microsoft RDP სერვისი) და აღმოაჩინა 14 პოტენციური „მსხვერპლი“:

и

შემდეგი ჩაწერილი ინციდენტი - მასპინძელი 192.168.3.225 იწყებს უხეში ძალის შეტევას RDP სერვისზე (პორტი 3389) უხეში ძალის გამოყენებით, ადრე გამოვლენილ მისამართებზე:

თავდასხმის შედეგად ერთ-ერთ გატაცებულ ჰოსტზე აღმოჩენილია SMTP ანომალია. სხვა სიტყვებით რომ ვთქვათ, SPAM დაიწყო:

ეს მაგალითი არის სისტემის და კერძოდ ანომალიის გამოვლენის უსაფრთხოების მოდულის შესაძლებლობების აშკარა დემონსტრირება. ეფექტურობა თავად განსაჯეთ. ეს ამთავრებს გადაწყვეტის ფუნქციურ მიმოხილვას.

დასკვნა

მოდით შევაჯამოთ რა დასკვნების გაკეთება შეგვიძლია Flowmon-ის შესახებ:

• Flowmon არის პრემიუმ გადაწყვეტა კორპორატიული მომხმარებლებისთვის;
• მრავალფეროვნებისა და თავსებადობის წყალობით, მონაცემთა შეგროვება ხელმისაწვდომია ნებისმიერი წყაროდან: ქსელური მოწყობილობიდან (Cisco, Juniper, HPE, Huawei...) ან თქვენი საკუთარი ზონდებიდან (Flowmon Probe);
• გადაწყვეტის მასშტაბურობის შესაძლებლობები საშუალებას გაძლევთ გააფართოვოთ სისტემის ფუნქციონირება ახალი მოდულების დამატებით, ასევე გაზარდოთ პროდუქტიულობა ლიცენზირებისადმი მოქნილი მიდგომის წყალობით;
• ხელმოწერის გარეშე ანალიზის ტექნოლოგიების გამოყენებით სისტემა საშუალებას გაძლევთ აღმოაჩინოთ ნულოვანი დღის შეტევები ანტივირუსებისა და IDS/IPS სისტემებისთვისაც კი უცნობი;
• სრული „გამჭვირვალობის“ წყალობით, სისტემის ინსტალაციისა და ქსელში ყოფნის თვალსაზრისით - გამოსავალი არ იმოქმედებს თქვენი IT ინფრასტრუქტურის სხვა კვანძებისა და კომპონენტების მუშაობაზე;
• Flowmon არის ერთადერთი გამოსავალი ბაზარზე, რომელიც მხარს უჭერს ტრაფიკის მონიტორინგს 100 გბ/წმ სიჩქარით;
• Flowmon არის გამოსავალი ნებისმიერი მასშტაბის ქსელებისთვის;
• საუკეთესო ფასი/ფუნქციონალურობის თანაფარდობა მსგავს გადაწყვეტილებებს შორის.

ამ მიმოხილვაში ჩვენ გამოვიკვლიეთ ხსნარის მთლიანი ფუნქციონირების 10%-ზე ნაკლები. შემდეგ სტატიაში ვისაუბრებთ Flowmon Networks-ის დარჩენილ მოდულებზე. განაცხადის შესრულების მონიტორინგის მოდულის მაგალითის გამოყენებით, ჩვენ ვაჩვენებთ, თუ როგორ შეუძლიათ ბიზნეს აპლიკაციის ადმინისტრატორებს უზრუნველყონ ხელმისაწვდომობა მოცემულ SLA დონეზე, ისევე როგორც პრობლემების დიაგნოსტიკა რაც შეიძლება სწრაფად.

ასევე, გვსურს მოგიწვიოთ ჩვენს ვებინარზე (10.09.2019/XNUMX/XNUMX), რომელიც ეძღვნება გამყიდველი Flowmon Networks-ის გადაწყვეტილებებს. წინასწარ ჩაწერას გთხოვთ დარეგისტრირდით აქ.
ჯერ სულ ესაა, გმადლობთ დაინტერესებისთვის!

გამოკითხვაში მონაწილეობა შეუძლიათ მხოლოდ დარეგისტრირებულ მომხმარებლებს. Შებრძანდითგთხოვთ

იყენებთ Netflow-ს ქსელის მონიტორინგისთვის?

• დიახ

• არა, მაგრამ ვგეგმავ

• არარის

მისცა ხმა 9 მომხმარებელმა. 3 მომხმარებელმა თავი შეიკავა.

წყარო: www.habr.com