🥇Flow protocols ជាឧបករណ៍សម្រាប់ត្រួតពិនិត្យសុវត្ថិភាពបណ្តាញខាងក្នុង

នៅពេលនិយាយអំពីការត្រួតពិនិត្យសុវត្ថិភាពនៃបណ្តាញសាជីវកម្មផ្ទៃក្នុង ឬនាយកដ្ឋាន មនុស្សជាច្រើនភ្ជាប់វាជាមួយនឹងការគ្រប់គ្រងការលេចធ្លាយព័ត៌មាន និងការអនុវត្តដំណោះស្រាយ DLP ។ ហើយប្រសិនបើអ្នកព្យាយាមស្រាយចម្ងល់ និងសួរពីរបៀបដែលអ្នករកឃើញការវាយប្រហារនៅលើបណ្តាញខាងក្នុង នោះចម្លើយនឹងជាក្បួននិយាយអំពីប្រព័ន្ធរកឃើញការឈ្លានពាន (IDS)។ ហើយអ្វីដែលជាជម្រើសតែមួយគត់កាលពី 10-20 ឆ្នាំមុនកំពុងក្លាយជាអនាធិបតេយ្យនាពេលបច្ចុប្បន្ននេះ។ មានប្រសិទ្ធភាពជាង ហើយនៅកន្លែងខ្លះ ជម្រើសតែមួយគត់ដែលអាចធ្វើទៅបានសម្រាប់ការត្រួតពិនិត្យបណ្តាញផ្ទៃក្នុង - ដោយប្រើពិធីការលំហូរ ដែលដើមឡើយត្រូវបានរចនាឡើងដើម្បីស្វែងរកបញ្ហាបណ្តាញ (ការដោះស្រាយបញ្ហា) ប៉ុន្តែយូរ ៗ ទៅបានប្រែទៅជាឧបករណ៍សុវត្ថិភាពគួរឱ្យចាប់អារម្មណ៍។ យើងនឹងនិយាយអំពីអ្វីដែលពិធីការលំហូរនៅទីនោះ និងមួយណាដែលល្អជាងក្នុងការរកឃើញការវាយប្រហារតាមបណ្តាញ ដែលវាល្អបំផុតក្នុងការអនុវត្តការត្រួតពិនិត្យលំហូរ អ្វីដែលត្រូវរកមើលនៅពេលដាក់ពង្រាយគ្រោងការណ៍បែបនេះ និងសូម្បីតែរបៀប "លើក" ទាំងអស់នេះនៅលើឧបករណ៍ក្នុងស្រុក។ នៅក្នុងវិសាលភាពនៃអត្ថបទនេះ។

ខ្ញុំនឹងមិនរស់នៅលើសំណួរ "ហេតុអ្វីបានជាការត្រួតពិនិត្យសន្តិសុខហេដ្ឋារចនាសម្ព័ន្ធផ្ទៃក្នុងចាំបាច់?" ចម្លើយហាក់ដូចជាច្បាស់លាស់។ ប៉ុន្តែប្រសិនបើអ្នកចង់ប្រាកដថាថ្ងៃនេះអ្នកមិនអាចរស់នៅដោយគ្មានវាបាននោះទេ។ សូមមើល វីដេអូខ្លីមួយអំពីរបៀបដែលអ្នកអាចជ្រៀតចូលបណ្តាញសាជីវកម្មដែលការពារដោយជញ្ជាំងភ្លើងតាម 17 វិធី។ ដូច្នេះ យើងនឹងសន្មត់ថាយើងយល់ថាការត្រួតពិនិត្យផ្ទៃក្នុងគឺជារឿងចាំបាច់ ហើយអ្វីដែលនៅសេសសល់គឺត្រូវយល់ពីរបៀបដែលវាអាចត្រូវបានរៀបចំ។

ខ្ញុំនឹងលើកយកប្រភពទិន្នន័យសំខាន់ៗចំនួនបីសម្រាប់ត្រួតពិនិត្យហេដ្ឋារចនាសម្ព័ន្ធនៅកម្រិតបណ្តាញ៖

ចរាចរណ៍ "ឆៅ" ដែលយើងចាប់យក និងបញ្ជូនសម្រាប់ការវិភាគទៅកាន់ប្រព័ន្ធវិភាគជាក់លាក់។
ព្រឹត្តិការណ៍ពីឧបករណ៍បណ្តាញដែលចរាចរណ៍ឆ្លងកាត់
ព័ត៌មានចរាចរណ៍បានទទួលតាមរយៈពិធីការលំហូរមួយ។

ការចាប់យកចរាចរណ៍ឆៅគឺជាជម្រើសដ៏ពេញនិយមបំផុតក្នុងចំណោមអ្នកឯកទេសផ្នែកសន្តិសុខ ព្រោះវាបង្ហាញខ្លួនជាប្រវត្តិសាស្ត្រ និងជាលើកដំបូងបំផុត។ ប្រព័ន្ធរកឃើញការជ្រៀតចូលតាមបណ្តាញធម្មតា (ប្រព័ន្ធរកឃើញការឈ្លានពានពាណិជ្ជកម្មដំបូងបំផុតគឺ NetRanger ពី Wheel Group ដែលបានទិញក្នុងឆ្នាំ 1998 ដោយ Cisco) ត្រូវបានចូលរួមយ៉ាងជាក់លាក់ក្នុងការចាប់យកកញ្ចប់ព័ត៌មាន (និងវគ្គក្រោយៗទៀត) ដែលហត្ថលេខាមួយចំនួនត្រូវបានរកមើល ("ច្បាប់សម្រេចចិត្ត" នៅក្នុង វាក្យសព្ទ FSTEC), សញ្ញានៃការវាយប្រហារ។ ជាការពិតណាស់ អ្នកអាចវិភាគចរាចរណ៍ឆៅមិនត្រឹមតែប្រើ IDS ប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងប្រើឧបករណ៍ផ្សេងទៀត (ឧទាហរណ៍ Wireshark, tcpdum ឬមុខងារ NBAR2 នៅក្នុង Cisco IOS) ប៉ុន្តែជាធម្មតាពួកគេខ្វះមូលដ្ឋានចំណេះដឹងដែលបែងចែកឧបករណ៍សុវត្ថិភាពព័ត៌មានពីឧបករណ៍ធម្មតា ឧបករណ៍ IT ។

ដូច្នេះ ប្រព័ន្ធការពារការវាយប្រហារ។ វិធីសាស្រ្តចាស់បំផុត និងពេញនិយមបំផុតក្នុងការរកឃើញការវាយប្រហារតាមបណ្តាញ ដែលដំណើរការបានល្អនៅបរិវេណ (មិនថាក្រុមហ៊ុន មជ្ឈមណ្ឌលទិន្នន័យ ចម្រៀក។ ក្នុងករណីបណ្តាញដែលបង្កើតឡើងនៅលើមូលដ្ឋាននៃកុងតាក់ធម្មតា ហេដ្ឋារចនាសម្ព័ន្ធនៃឧបករណ៍ចាប់សញ្ញាចាប់ការវាយប្រហារធំពេក - អ្នកនឹងត្រូវដំឡើងឧបករណ៍ចាប់សញ្ញាសម្រាប់ការតភ្ជាប់នីមួយៗទៅនឹងថ្នាំងដែលអ្នកចង់តាមដានការវាយប្រហារ។ ជាការពិតណាស់ ក្រុមហ៊ុនផលិតណាមួយនឹងរីករាយក្នុងការលក់ឧបករណ៍ចាប់សញ្ញារាប់រយរាប់ពាន់ដល់អ្នក ប៉ុន្តែខ្ញុំគិតថាថវិការបស់អ្នកមិនអាចផ្គត់ផ្គង់ការចំណាយបែបនេះបានទេ។ ខ្ញុំអាចនិយាយបានថាសូម្បីតែនៅ Cisco (ហើយយើងជាអ្នកបង្កើត NGIPS) យើងមិនអាចធ្វើបែបនេះបានទេ ទោះបីជាវាហាក់បីដូចជាបញ្ហាតម្លៃគឺនៅចំពោះមុខយើងក៏ដោយ។ ខ្ញុំមិនគួរឈរទេ - វាជាការសម្រេចចិត្តរបស់យើងផ្ទាល់។ លើសពីនេះទៀតសំណួរកើតឡើងរបៀបភ្ជាប់ឧបករណ៍ចាប់សញ្ញានៅក្នុងកំណែនេះ? ចូលទៅក្នុងគម្លាត? ចុះបើឧបករណ៍ចាប់សញ្ញាខ្លួនឯងបរាជ័យ? ទាមទារម៉ូឌុលផ្លូវវាងនៅក្នុងឧបករណ៍ចាប់សញ្ញា? ប្រើឧបករណ៍បំបែក (ប៉ះ)? ទាំងអស់នេះធ្វើឱ្យដំណោះស្រាយមានតម្លៃថ្លៃជាងហើយធ្វើឱ្យវាមិនអាចទិញបានសម្រាប់ក្រុមហ៊ុននៃទំហំណាមួយ។

អ្នកអាចព្យាយាម "ព្យួរ" ឧបករណ៍ចាប់សញ្ញានៅលើច្រក SPAN/RSPAN/ERSPAN និងចរាចរដោយផ្ទាល់ពីច្រកប្តូរដែលត្រូវការទៅវា។ ជម្រើសនេះដកចេញផ្នែកខ្លះនៃបញ្ហាដែលបានពិពណ៌នានៅក្នុងកថាខណ្ឌមុន ប៉ុន្តែបង្កបញ្ហាមួយទៀត - ច្រក SPAN មិនអាចទទួលយកបានទាំងស្រុងនូវចរាចរណ៍ទាំងអស់ដែលនឹងត្រូវបានផ្ញើទៅវា - វានឹងមិនមានកម្រិតបញ្ជូនគ្រប់គ្រាន់ទេ។ អ្នកនឹងត្រូវលះបង់អ្វីមួយ។ ទាំងទុកថ្នាំងមួយចំនួនដោយមិនត្រួតពិនិត្យ (បន្ទាប់មកអ្នកត្រូវកំណត់អាទិភាពពួកវាជាមុន) ឬមិនផ្ញើចរាចរទាំងអស់ពីថ្នាំងទេ ប៉ុន្តែមានតែប្រភេទជាក់លាក់ប៉ុណ្ណោះ។ ក្នុងករណីណាក៏ដោយ យើងអាចខកខានការវាយប្រហារមួយចំនួន។ លើសពីនេះទៀតច្រក SPAN អាចត្រូវបានប្រើសម្រាប់តម្រូវការផ្សេងទៀត។ ជាលទ្ធផល យើងនឹងត្រូវពិនិត្យឡើងវិញនូវ topology បណ្តាញដែលមានស្រាប់ ហើយអាចធ្វើការកែតម្រូវវា ដើម្បីគ្របដណ្តប់បណ្តាញរបស់អ្នកដល់អតិបរមាជាមួយនឹងចំនួនឧបករណ៍ចាប់សញ្ញាដែលអ្នកមាន (និងសម្របសម្រួលវាជាមួយ IT)។

ចុះបើបណ្តាញរបស់អ្នកប្រើផ្លូវ asymmetric? ចុះប្រសិនបើអ្នកបានអនុវត្ត ឬគ្រោងនឹងអនុវត្ត SDN? ចុះបើអ្នកត្រូវការត្រួតពិនិត្យម៉ាស៊ីននិម្មិត ឬធុងដែលចរាចរណ៍មិនទៅដល់កុងតាក់ជាក់ស្តែង? ទាំងនេះគឺជាសំណួរដែលអ្នកលក់ IDS ប្រពៃណីមិនចូលចិត្តព្រោះពួកគេមិនដឹងពីរបៀបឆ្លើយពួកគេ។ ប្រហែលជាពួកគេនឹងបញ្ចុះបញ្ចូលអ្នកថាបច្ចេកវិជ្ជាម៉ូដទាន់សម័យទាំងអស់នេះមានភាពញុះញង់ ហើយអ្នកមិនត្រូវការវាទេ។ ប្រហែលជាពួកគេនឹងនិយាយអំពីតម្រូវការដើម្បីចាប់ផ្តើមតូច។ ឬប្រហែលជាពួកគេនឹងនិយាយថាអ្នកត្រូវដាក់ម៉ាស៊ីនបោកគក់ដ៏មានឥទ្ធិពលនៅកណ្តាលបណ្តាញ ហើយដឹកនាំចរាចរណ៍ទាំងអស់ទៅកាន់វាដោយប្រើឧបករណ៍តុល្យភាព។ ជម្រើសណាមួយត្រូវបានផ្តល់ជូនអ្នក អ្នកត្រូវយល់យ៉ាងច្បាស់អំពីរបៀបដែលវាសាកសមនឹងអ្នក។ ហើយមានតែបន្ទាប់ពីនោះធ្វើការសម្រេចចិត្តលើការជ្រើសរើសវិធីសាស្រ្តក្នុងការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មាននៃហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញ។ ត្រលប់ទៅការចាប់យកកញ្ចប់ព័ត៌មាន ខ្ញុំចង់និយាយថាវិធីសាស្ត្រនេះនៅតែបន្តពេញនិយម និងសំខាន់ ប៉ុន្តែគោលបំណងសំខាន់របស់វាគឺការគ្រប់គ្រងព្រំដែន។ ព្រំដែនរវាងស្ថាប័នរបស់អ្នក និងអ៊ីនធឺណិត ព្រំដែនរវាងមជ្ឈមណ្ឌលទិន្នន័យ និងបណ្តាញផ្សេងទៀត ព្រំដែនរវាងប្រព័ន្ធគ្រប់គ្រងដំណើរការ និងផ្នែកសាជីវកម្ម។ នៅកន្លែងទាំងនេះ IDS/IPS បុរាណនៅតែមានសិទ្ធិមាន និងដោះស្រាយបានល្អជាមួយនឹងភារកិច្ចរបស់ពួកគេ។

ចូរបន្តទៅជម្រើសទីពីរ។ ការវិភាគនៃព្រឹត្តិការណ៍ដែលចេញមកពីឧបករណ៍បណ្តាញក៏អាចត្រូវបានប្រើសម្រាប់គោលបំណងស្វែងរកការវាយប្រហារផងដែរ ប៉ុន្តែមិនមែនជាយន្តការចម្បងនោះទេ ព្រោះវាអនុញ្ញាតឱ្យរកឃើញការឈ្លានពានតិចតួចប៉ុណ្ណោះ។ លើសពីនេះទៀតវាមាននៅក្នុងប្រតិកម្មមួយចំនួន - ការវាយប្រហារត្រូវតែកើតឡើងដំបូងបន្ទាប់មកវាត្រូវតែត្រូវបានកត់ត្រាដោយឧបករណ៍បណ្តាញដែលតាមមធ្យោបាយមួយឬផ្សេងទៀតនឹងផ្តល់សញ្ញាអំពីបញ្ហាសុវត្ថិភាពព័ត៌មាន។ មានវិធីបែបនេះជាច្រើន។ នេះអាចជា syslog, RMON ឬ SNMP ។ ពិធីការពីរចុងក្រោយសម្រាប់ការត្រួតពិនិត្យបណ្តាញនៅក្នុងបរិបទនៃសុវត្ថិភាពព័ត៌មានត្រូវបានប្រើលុះត្រាតែយើងត្រូវការរកឃើញការវាយប្រហារ DoS លើឧបករណ៍បណ្តាញដោយខ្លួនឯង ចាប់តាំងពីការប្រើ RMON និង SNMP វាអាចទៅរួច ឧទាហរណ៍ ដើម្បីត្រួតពិនិត្យការផ្ទុកនៅលើឧបករណ៍កណ្តាល។ processor ឬចំណុចប្រទាក់របស់វា។ នេះគឺជា "តម្លៃថោកបំផុត" មួយ (មនុស្សគ្រប់គ្នាមាន syslog ឬ SNMP) ប៉ុន្តែក៏គ្មានប្រសិទ្ធភាពបំផុតនៃវិធីសាស្រ្តទាំងអស់ក្នុងការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មាននៃហេដ្ឋារចនាសម្ព័ន្ធផ្ទៃក្នុងដែរ - ការវាយប្រហារជាច្រើនត្រូវបានលាក់ពីវា។ ជាការពិតណាស់ ពួកគេមិនគួរត្រូវបានធ្វេសប្រហែសទេ ហើយការវិភាគ syslog ដូចគ្នាជួយអ្នកឱ្យកំណត់អត្តសញ្ញាណទាន់ពេលវេលានៃការផ្លាស់ប្តូរនៅក្នុងការកំណត់រចនាសម្ព័ន្ធឧបករណ៍ខ្លួនវា ការសម្របសម្រួលរបស់វា ប៉ុន្តែវាមិនសមស្របបំផុតសម្រាប់ការរកឃើញការវាយប្រហារនៅលើបណ្តាញទាំងមូលនោះទេ។

ជម្រើសទីបីគឺវិភាគព័ត៌មានអំពីចរាចរណ៍ឆ្លងកាត់ឧបករណ៍ដែលគាំទ្រពិធីការលំហូរមួយក្នុងចំណោមពិធីការលំហូរជាច្រើន។ ក្នុងករណីនេះ ដោយមិនគិតពីពិធីការ ហេដ្ឋារចនាសម្ព័ន្ធខ្សែស្រឡាយចាំបាច់មានធាតុផ្សំបីយ៉ាង៖

ការបង្កើតឬការនាំចេញលំហូរ។ តួនាទីនេះជាធម្មតាត្រូវបានផ្តល់ទៅឱ្យរ៉ោតទ័រ កុងតាក់ ឬឧបករណ៍បណ្តាញផ្សេងទៀត ដែលតាមរយៈការបញ្ជូនចរាចរបណ្តាញតាមរយៈខ្លួនវា អនុញ្ញាតឱ្យអ្នកទាញយកប៉ារ៉ាម៉ែត្រសំខាន់ៗពីវា ដែលបន្ទាប់មកត្រូវបានបញ្ជូនទៅម៉ូឌុលប្រមូល។ ឧទាហរណ៍ Cisco គាំទ្រពិធីការ Netflow មិនត្រឹមតែនៅលើរ៉ោតទ័រ និងកុងតាក់ រួមទាំងនិម្មិត និងឧស្សាហកម្មប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងនៅលើឧបករណ៍បញ្ជាឥតខ្សែ ជញ្ជាំងភ្លើង និងសូម្បីតែម៉ាស៊ីនមេផងដែរ។
លំហូរប្រមូល។ ដោយពិចារណាថាបណ្តាញទំនើបជាធម្មតាមានឧបករណ៍បណ្តាញច្រើនជាងមួយ បញ្ហានៃការប្រមូល និងបង្រួបបង្រួមលំហូរកើតឡើង ដែលត្រូវបានដោះស្រាយដោយប្រើអ្វីដែលគេហៅថា អ្នកប្រមូល ដែលដំណើរការលំហូរដែលទទួលបានហើយបន្ទាប់មកបញ្ជូនពួកគេសម្រាប់ការវិភាគ។
ការវិភាគលំហូរ អ្នកវិភាគត្រូវចំណាយពេលលើកិច្ចការបញ្ញាចម្បង ហើយការអនុវត្តក្បួនដោះស្រាយផ្សេងៗក្នុងការផ្សាយ ទាញការសន្និដ្ឋានជាក់លាក់។ ឧទាហរណ៍ ជាផ្នែកនៃមុខងារ IT ឧបករណ៍វិភាគបែបនេះអាចកំណត់អត្តសញ្ញាណការស្ទះបណ្តាញ ឬវិភាគទម្រង់ផ្ទុកចរាចរណ៍សម្រាប់ការបង្កើនប្រសិទ្ធភាពបណ្តាញបន្ថែមទៀត។ ហើយសម្រាប់សុវត្ថិភាពព័ត៌មាន ឧបករណ៍វិភាគបែបនេះអាចរកឃើញការលេចធ្លាយទិន្នន័យ ការរីករាលដាលនៃកូដព្យាបាទ ឬការវាយប្រហារ DoS។

កុំគិតថាស្ថាបត្យកម្មបីជាន់នេះស្មុគស្មាញពេក - ជម្រើសផ្សេងទៀតទាំងអស់ (លើកលែងតែប្រព័ន្ធត្រួតពិនិត្យបណ្តាញដែលធ្វើការជាមួយ SNMP និង RMON) ក៏ដំណើរការទៅតាមវាដែរ។ យើងមានម៉ាស៊ីនបង្កើតទិន្នន័យសម្រាប់ការវិភាគ ដែលអាចជាឧបករណ៍បណ្តាញ ឬឧបករណ៍ចាប់សញ្ញាឈរតែឯង។ យើងមានប្រព័ន្ធប្រមូលសំឡេងរោទិ៍ និងប្រព័ន្ធគ្រប់គ្រងសម្រាប់ហេដ្ឋារចនាសម្ព័ន្ធត្រួតពិនិត្យទាំងមូល។ សមាសធាតុពីរចុងក្រោយអាចត្រូវបានរួមបញ្ចូលគ្នានៅក្នុងថ្នាំងតែមួយ ប៉ុន្តែនៅក្នុងបណ្តាញធំច្រើន ឬតិច ពួកវាជាធម្មតាត្រូវបានរីករាលដាលនៅលើឧបករណ៍យ៉ាងហោចណាស់ពីរ ដើម្បីធានាបាននូវទំហំនិងភាពជឿជាក់។

មិនដូចការវិភាគកញ្ចប់ព័ត៌មាន ដែលផ្អែកលើការសិក្សាទិន្នន័យបឋមកថា និងតួនៃកញ្ចប់ព័ត៌មាននីមួយៗ និងវគ្គដែលវាមាន ការវិភាគលំហូរពឹងផ្អែកលើការប្រមូលទិន្នន័យមេតាអំពីចរាចរណ៍បណ្តាញ។ ពេលណា ប៉ុន្មាន ពីណា និងកន្លែងណា... ទាំងនេះគឺជាសំណួរដែលឆ្លើយដោយការវិភាគនៃបណ្តាញតេឡេម៉ែត្រដោយប្រើពិធីការលំហូរផ្សេងៗ។ ដំបូងឡើយ ពួកគេត្រូវបានប្រើដើម្បីវិភាគស្ថិតិ និងស្វែងរកបញ្ហា IT នៅលើបណ្តាញ ប៉ុន្តែនៅពេលនោះ យន្តការវិភាគត្រូវបានបង្កើតឡើង វាអាចអនុវត្តពួកវាទៅទូរលេខដូចគ្នាសម្រាប់គោលបំណងសុវត្ថិភាព។ វាគួរឱ្យកត់សម្គាល់ម្តងទៀតថាការវិភាគលំហូរមិនជំនួសឬជំនួសការចាប់យកកញ្ចប់ព័ត៌មានទេ។ វិធីសាស្រ្តទាំងនេះនីមួយៗមានតំបន់នៃការអនុវត្តរបស់វា។ ប៉ុន្តែនៅក្នុងបរិបទនៃអត្ថបទនេះ វាគឺជាការវិភាគលំហូរដែលសមស្របបំផុតសម្រាប់ការត្រួតពិនិត្យហេដ្ឋារចនាសម្ព័ន្ធផ្ទៃក្នុង។ អ្នកមានឧបករណ៍បណ្តាញ (មិនថាពួកវាដំណើរការនៅក្នុងគំរូដែលកំណត់ដោយកម្មវិធី ឬយោងទៅតាមច្បាប់ឋិតិវន្ត) ដែលការវាយប្រហារមិនអាចរំលងបានទេ។ វាអាចរំលងឧបករណ៍ចាប់សញ្ញា IDS បុរាណ ប៉ុន្តែឧបករណ៍បណ្តាញដែលគាំទ្រពិធីការលំហូរមិនអាចទេ។ នេះគឺជាអត្ថប្រយោជន៍នៃវិធីសាស្ត្រនេះ។

ម្យ៉ាងវិញទៀត ប្រសិនបើអ្នកត្រូវការភ័ស្តុតាងសម្រាប់ការអនុវត្តច្បាប់ ឬក្រុមស៊ើបអង្កេតឧប្បត្តិហេតុផ្ទាល់របស់អ្នក អ្នកមិនអាចធ្វើដោយគ្មានការចាប់យកកញ្ចប់ព័ត៌មានទេ - បណ្តាញទូរលេខមិនមែនជាច្បាប់ចម្លងនៃចរាចរណ៍ដែលអាចត្រូវបានប្រើដើម្បីប្រមូលភស្តុតាង។ វាត្រូវការជាចាំបាច់សម្រាប់ការរកឃើញយ៉ាងឆាប់រហ័ស និងការសម្រេចចិត្តក្នុងវិស័យសុវត្ថិភាពព័ត៌មាន។ ម្យ៉ាងវិញទៀត ដោយប្រើការវិភាគទូរលេខ អ្នកអាច "សរសេរ" មិនមែនចរាចរណ៍បណ្តាញទាំងអស់ (ប្រសិនបើមានអ្វី Cisco ដោះស្រាយជាមួយមជ្ឈមណ្ឌលទិន្នន័យ :-) ប៉ុន្តែមានតែអ្វីដែលពាក់ព័ន្ធនឹងការវាយប្រហារប៉ុណ្ណោះ។ ឧបករណ៍វិភាគ Telemetry ក្នុងន័យនេះនឹងបំពេញបន្ថែមយន្តការចាប់យកកញ្ចប់ព័ត៌មានប្រពៃណីបានយ៉ាងល្អ ដោយផ្តល់ពាក្យបញ្ជាសម្រាប់ការចាប់យក និងការផ្ទុកជ្រើសរើស។ បើមិនដូច្នោះទេ អ្នកនឹងត្រូវមានហេដ្ឋារចនាសម្ព័ន្ធផ្ទុកដ៏ធំ។

តោះស្រមៃមើលបណ្តាញដែលដំណើរការក្នុងល្បឿន 250 Mbit/sec។ ប្រសិនបើអ្នកចង់រក្សាទុកបរិមាណនេះ នោះអ្នកនឹងត្រូវការទំហំផ្ទុក 31 MB សម្រាប់ការបញ្ជូនចរាចរណ៍មួយវិនាទី 1,8 GB សម្រាប់មួយនាទី 108 GB សម្រាប់មួយម៉ោង និង 2,6 TB សម្រាប់មួយថ្ងៃ។ ដើម្បីរក្សាទុកទិន្នន័យប្រចាំថ្ងៃពីបណ្តាញដែលមានកម្រិតបញ្ជូន 10 Gbit/s អ្នកនឹងត្រូវការទំហំផ្ទុក 108 TB។ ប៉ុន្តែនិយតករមួយចំនួនតម្រូវឱ្យរក្សាទុកទិន្នន័យសុវត្ថិភាពអស់រយៈពេលជាច្រើនឆ្នាំ... ការកត់ត្រាតាមតម្រូវការ ដែលការវិភាគលំហូរជួយអ្នកក្នុងការអនុវត្ត ជួយកាត់បន្ថយតម្លៃទាំងនេះតាមលំដាប់លំដោយ។ ដោយវិធីនេះ ប្រសិនបើយើងនិយាយអំពីសមាមាត្រនៃបរិមាណនៃទិន្នន័យ telemetry បណ្តាញដែលបានកត់ត្រា និងការចាប់យកទិន្នន័យពេញលេញ នោះវាគឺប្រហែលពី 1 ទៅ 500 ។ សម្រាប់តម្លៃដូចគ្នាដែលបានផ្តល់ឱ្យខាងលើ ការរក្សាទុកប្រតិចារិកពេញលេញនៃចរាចរណ៍ប្រចាំថ្ងៃទាំងអស់។ នឹងមាន 5 និង 216 GB រៀងគ្នា (អ្នកអាចថតវានៅលើ flash drive ធម្មតាបាន)។

ប្រសិនបើសម្រាប់ឧបករណ៍សម្រាប់ការវិភាគទិន្នន័យបណ្តាញឆៅ វិធីសាស្រ្តនៃការចាប់យកវាគឺស្ទើរតែដូចគ្នាពីអ្នកលក់ទៅអ្នកលក់ បន្ទាប់មកនៅក្នុងករណីនៃការវិភាគលំហូរស្ថានភាពគឺខុសគ្នា។ មានជម្រើសជាច្រើនសម្រាប់ពិធីការលំហូរ ភាពខុសគ្នាដែលអ្នកត្រូវដឹងអំពីបរិបទសុវត្ថិភាព។ ការពេញនិយមបំផុតគឺពិធីការ Netflow ដែលបង្កើតឡើងដោយ Cisco ។ មានកំណែជាច្រើននៃពិធីការនេះ ដែលខុសគ្នានៅក្នុងសមត្ថភាពរបស់ពួកគេ និងចំនួនព័ត៌មានចរាចរណ៍ដែលបានកត់ត្រា។ កំណែបច្ចុប្បន្នគឺជាកំណែទីប្រាំបួន (Netflow v9) ដោយផ្អែកលើស្តង់ដារឧស្សាហកម្ម Netflow v10 ដែលត្រូវបានគេស្គាល់ផងដែរថាជា IPFIX ត្រូវបានបង្កើតឡើង។ សព្វថ្ងៃនេះ អ្នកលក់បណ្តាញភាគច្រើនគាំទ្រ Netflow ឬ IPFIX នៅក្នុងឧបករណ៍របស់ពួកគេ។ ប៉ុន្តែមានជម្រើសផ្សេងៗជាច្រើនសម្រាប់ពិធីការលំហូរ - sFlow, jFlow, cFlow, rFlow, NetStream ជាដើម ដែល sFlow គឺពេញនិយមបំផុត។ វាគឺជាប្រភេទនេះដែលត្រូវបានគាំទ្រជាញឹកញាប់បំផុតដោយក្រុមហ៊ុនផលិតក្នុងស្រុកនៃឧបករណ៍បណ្តាញដោយសារតែភាពងាយស្រួលនៃការអនុវត្តរបស់វា។ តើអ្វីជាភាពខុសគ្នាសំខាន់ៗរវាង Netflow ដែលបានក្លាយជាស្តង់ដារជាក់ស្តែង និង sFlow? ខ្ញុំនឹងគូសបញ្ជាក់ចំណុចសំខាន់ៗមួយចំនួន។ ទីមួយ Netflow មានវាលដែលអាចប្ដូរតាមបំណងរបស់អ្នកប្រើបាន ផ្ទុយពីវាលថេរនៅក្នុង sFlow ។ ហើយទីពីរ ហើយនេះគឺជារឿងសំខាន់បំផុតនៅក្នុងករណីរបស់យើង sFlow ប្រមូលអ្វីដែលគេហៅថា telemetry គំរូ។ ផ្ទុយទៅនឹងគំរូដែលមិនបានបង្ហាញសម្រាប់ Netflow និង IPFIX ។ តើអ្វីជាភាពខុសគ្នារវាងពួកគេ?

ស្រមៃថាអ្នកសម្រេចចិត្តអានសៀវភៅ "មជ្ឈមណ្ឌលប្រតិបត្តិការសុវត្ថិភាព៖ ការកសាង ប្រតិបត្តិការ និងការថែរក្សា SOC របស់អ្នក។” នៃសហសេវិករបស់ខ្ញុំ - Gary McIntyre, Joseph Munitz និង Nadem Alfardan (អ្នកអាចទាញយកផ្នែកនៃសៀវភៅពីតំណភ្ជាប់) ។ អ្នកមានជម្រើសបីដើម្បីសម្រេចគោលដៅរបស់អ្នក - អានសៀវភៅទាំងមូល រំលងវា ឈប់នៅរាល់ទំព័រទី 10 ឬទី 20 ឬព្យាយាមស្វែងរកការប្រាប់ឡើងវិញនូវគោលគំនិតសំខាន់ៗនៅលើប្លក់ ឬសេវាកម្មដូចជា SmartReading ។ ដូច្នេះ telemetry ដែលមិនយកគំរូតាមកំពុងអានរាល់ "ទំព័រ" នៃចរាចរបណ្តាញ ពោលគឺការវិភាគទិន្នន័យមេតាសម្រាប់កញ្ចប់នីមួយៗ។ តេឡេម៉ែត្រគំរូគឺជាការសិក្សាជ្រើសរើសចរាចរណ៍ដោយសង្ឃឹមថាគំរូដែលបានជ្រើសរើសនឹងមានអ្វីដែលអ្នកត្រូវការ។ អាស្រ័យលើល្បឿនឆានែល តេឡេម៉ែត្រគំរូនឹងត្រូវបានផ្ញើសម្រាប់ការវិភាគរៀងរាល់ 64th, 200, 500th, 1000th, 2000th ឬសូម្បីតែ 10000th packet ។

នៅក្នុងបរិបទនៃការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មាន នេះមានន័យថា telemetry គំរូគឺសមល្អសម្រាប់ការរកឃើញការវាយប្រហារ DDoS ការស្កេន និងការផ្សព្វផ្សាយកូដព្យាបាទ ប៉ុន្តែអាចខកខានការវាយប្រហារអាតូមិក ឬច្រើនកញ្ចប់ដែលមិនត្រូវបានរួមបញ្ចូលក្នុងគំរូដែលបានផ្ញើសម្រាប់ការវិភាគ។ telemetry ដែលគ្មានគំរូមិនមានគុណវិបត្តិបែបនេះទេ។ ជាមួយនេះ ជួរនៃការវាយប្រហារដែលបានរកឃើញគឺកាន់តែទូលំទូលាយ។ នេះគឺជាបញ្ជីខ្លីៗនៃព្រឹត្តិការណ៍ដែលអាចត្រូវបានរកឃើញដោយប្រើឧបករណ៍វិភាគទូរលេខបណ្តាញ។

ជាការពិតណាស់ អ្នកវិភាគ Netflow ប្រភពបើកចំហមួយចំនួននឹងមិនអនុញ្ញាតឱ្យអ្នកធ្វើដូចនេះទេ ព្រោះភារកិច្ចចម្បងរបស់វាគឺដើម្បីប្រមូល telemetry និងធ្វើការវិភាគជាមូលដ្ឋានលើវាតាមទស្សនៈរបស់ IT ។ ដើម្បីកំណត់អត្តសញ្ញាណការគំរាមកំហែងសុវត្ថិភាពព័ត៌មានដោយផ្អែកលើលំហូរ ចាំបាច់ត្រូវបំពាក់ឧបករណ៍វិភាគជាមួយនឹងម៉ាស៊ីន និងក្បួនដោះស្រាយផ្សេងៗ ដែលនឹងកំណត់បញ្ហាសុវត្ថិភាពតាមអ៊ីនធឺណិតដោយផ្អែកលើស្តង់ដារ ឬស្តង់ដារ Netflow វាល បង្កើនទិន្នន័យស្តង់ដារជាមួយនឹងទិន្នន័យខាងក្រៅពីប្រភព Threat Intelligence ផ្សេងៗ។ល។

ដូច្នេះ ប្រសិនបើអ្នកមានជម្រើស បន្ទាប់មកជ្រើសរើស Netflow ឬ IPFIX ។ ប៉ុន្តែទោះបីជាឧបករណ៍របស់អ្នកដំណើរការតែជាមួយ sFlow ដូចជាក្រុមហ៊ុនផលិតក្នុងស្រុកក៏ដោយ សូម្បីតែក្នុងករណីនេះអ្នកអាចទទួលបានអត្ថប្រយោជន៍ពីវានៅក្នុងបរិបទសុវត្ថិភាព។

នៅរដូវក្តៅឆ្នាំ 2019 ខ្ញុំបានវិភាគសមត្ថភាពដែលក្រុមហ៊ុនផលិតផ្នែករឹងបណ្តាញរុស្ស៊ីមាន ហើយពួកគេទាំងអស់ ដោយមិនរាប់បញ្ចូល NSG, Polygon និង Craftway បានប្រកាសការគាំទ្រសម្រាប់ sFlow (យ៉ាងហោចណាស់ Zelax, Natex, Eltex, QTech, Rusteleteh) ។

សំណួរបន្ទាប់ដែលអ្នកនឹងប្រឈមមុខគឺកន្លែងដែលត្រូវអនុវត្តការគាំទ្រលំហូរសម្រាប់គោលបំណងសុវត្ថិភាព? តាមពិត សំណួរនេះមិនត្រូវបានចោទប្រកាន់ទាំងស្រុងទេ។ ឧបករណ៍ទំនើបស្ទើរតែតែងតែគាំទ្រពិធីការលំហូរ។ ដូច្នេះ ខ្ញុំនឹងកែទម្រង់សំណួរខុសគ្នា - តើកន្លែងណាដែលមានប្រសិទ្ធភាពបំផុតក្នុងការប្រមូល telemetry តាមទស្សនៈសុវត្ថិភាព? ចម្លើយនឹងច្បាស់ណាស់ - នៅកម្រិតចូលប្រើ ដែលអ្នកនឹងឃើញ 100% នៃចរាចរណ៍ទាំងអស់ ដែលអ្នកនឹងមានព័ត៌មានលំអិតអំពីម៉ាស៊ីន (MAC, VLAN, interface ID) ដែលអ្នកអាចត្រួតពិនិត្យចរាចរណ៍ P2P រវាង hosts ដែល មានសារៈសំខាន់សម្រាប់ការស្កេនការរកឃើញ និងការចែកចាយកូដព្យាបាទ។ នៅកម្រិតស្នូល អ្នកប្រហែលជាមិនឃើញចរាចរណ៍មួយចំនួនទេ ប៉ុន្តែនៅកម្រិតបរិវេណ អ្នកនឹងឃើញមួយភាគបួននៃចរាចរណ៍បណ្តាញរបស់អ្នក។ ប៉ុន្តែប្រសិនបើហេតុផលមួយចំនួន អ្នកមានឧបករណ៍បរទេសនៅលើបណ្តាញរបស់អ្នកដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារ "ចូល និងចេញ" ដោយមិនឆ្លងកាត់បរិវេណនោះ ការវិភាគទូរលេខពីវានឹងមិនផ្តល់ឱ្យអ្នកនូវអ្វីនោះទេ។ ដូច្នេះ សម្រាប់ការគ្របដណ្តប់អតិបរមា វាត្រូវបានផ្ដល់អនុសាសន៍ឱ្យបើកការប្រមូល telemetry នៅកម្រិតចូលដំណើរការ។ ក្នុងពេលជាមួយគ្នានេះ វាគួរឱ្យកត់សម្គាល់ថា ទោះបីជាយើងកំពុងនិយាយអំពីនិម្មិត ឬកុងតឺន័រក៏ដោយ ការគាំទ្រលំហូរក៏ត្រូវបានរកឃើញជាញឹកញាប់នៅក្នុងកុងតាក់និម្មិតទំនើប ដែលអនុញ្ញាតឱ្យអ្នកគ្រប់គ្រងចរាចរណ៍នៅទីនោះផងដែរ។

ប៉ុន្តែចាប់តាំងពីខ្ញុំបានលើកប្រធានបទមក ខ្ញុំត្រូវឆ្លើយសំណួរថា តើមានអ្វីប្រសិនបើឧបករណ៍ រូបវន្ត ឬនិម្មិត មិនគាំទ្រពិធីការលំហូរ? ឬការដាក់បញ្ចូលរបស់វាត្រូវបានហាមឃាត់ (ឧទាហរណ៍ ក្នុងផ្នែកឧស្សាហកម្មដើម្បីធានាឱ្យបាននូវភាពជឿជាក់)? ឬការបើកវានាំឱ្យមានការផ្ទុកស៊ីភីយូខ្ពស់ (វាកើតឡើងលើផ្នែករឹងចាស់)? ដើម្បីដោះស្រាយបញ្ហានេះ មានឧបករណ៍ចាប់សញ្ញានិម្មិតឯកទេស (ឧបករណ៍ចាប់សញ្ញាលំហូរ) ដែលជាឧបករណ៍បំបែកធម្មតាសំខាន់ៗ ដែលឆ្លងកាត់ចរាចរឆ្លងកាត់ខ្លួនគេ ហើយចាក់ផ្សាយវាក្នុងទម្រង់លំហូរទៅកាន់ម៉ូឌុលប្រមូល។ ពិតហើយ ក្នុងករណីនេះ យើងទទួលបានបញ្ហាទាំងអស់ដែលយើងបាននិយាយខាងលើទាក់ទងនឹងឧបករណ៍ចាប់យកកញ្ចប់ព័ត៌មាន។ នោះគឺអ្នកត្រូវយល់មិនត្រឹមតែគុណសម្បត្តិនៃបច្ចេកវិទ្យាការវិភាគលំហូរប៉ុណ្ណោះទេប៉ុន្តែថែមទាំងដែនកំណត់របស់វាផងដែរ។

ចំណុចមួយទៀតដែលសំខាន់ក្នុងការចងចាំនៅពេលនិយាយអំពីឧបករណ៍វិភាគលំហូរ។ ប្រសិនបើទាក់ទងទៅនឹងមធ្យោបាយសាមញ្ញនៃការបង្កើតព្រឹត្តិការណ៍សុវត្ថិភាព យើងប្រើ EPS ម៉ែត្រ (ព្រឹត្តិការណ៍ក្នុងមួយវិនាទី) នោះសូចនាករនេះមិនអាចអនុវត្តបានចំពោះការវិភាគតេឡេម៉ែត្រទេ។ វាត្រូវបានជំនួសដោយ FPS (លំហូរក្នុងមួយវិនាទី) ។ ដូចនៅក្នុងករណីនៃ EPS វាមិនអាចត្រូវបានគណនាជាមុនទេប៉ុន្តែអ្នកអាចប៉ាន់ស្មានចំនួនប្រហាក់ប្រហែលនៃខ្សែស្រឡាយដែលឧបករណ៍ជាក់លាក់មួយបង្កើតអាស្រ័យលើភារកិច្ចរបស់វា។ អ្នកអាចស្វែងរកតារាងនៅលើអ៊ីនធឺណិតជាមួយនឹងតម្លៃប្រហាក់ប្រហែលសម្រាប់ប្រភេទផ្សេងគ្នានៃឧបករណ៍សហគ្រាស និងលក្ខខណ្ឌដែលនឹងអនុញ្ញាតឱ្យអ្នកប៉ាន់ស្មានអាជ្ញាប័ណ្ណដែលអ្នកត្រូវការសម្រាប់ឧបករណ៍វិភាគ និងអ្វីដែលស្ថាបត្យកម្មរបស់ពួកគេនឹងទៅជា? ការពិតគឺថាឧបករណ៍ចាប់សញ្ញា IDS ត្រូវបានកំណត់ដោយកម្រិតបញ្ជូនជាក់លាក់ដែលវាអាច "ទាញ" ហើយឧបករណ៍ប្រមូលលំហូរមានដែនកំណត់ផ្ទាល់ខ្លួនដែលត្រូវតែយល់។ ដូច្នេះហើយ បណ្តាញចែកចាយតាមភូមិសាស្រ្តធំៗ ជាធម្មតាមានអ្នកប្រមូលច្រើន។ នៅពេលដែលខ្ញុំបានពិពណ៌នា របៀបដែលបណ្តាញត្រូវបានត្រួតពិនិត្យនៅខាងក្នុង Ciscoខ្ញុំបានផ្តល់ឱ្យចំនួនអ្នកប្រមូលរបស់យើងរួចហើយ - មាន 21 ក្នុងចំណោមពួកគេ ហើយនេះគឺសម្រាប់បណ្តាញដែលនៅរាយប៉ាយពាសពេញទ្វីបចំនួន XNUMX និងលេខឧបករណ៍សកម្មប្រហែលកន្លះលាន)។

យើងប្រើដំណោះស្រាយផ្ទាល់ខ្លួនរបស់យើងជាប្រព័ន្ធត្រួតពិនិត្យ Netflow Cisco Stealthwatchដែលផ្តោតជាពិសេសលើការដោះស្រាយបញ្ហាសន្តិសុខ។ វាមានម៉ាស៊ីនដែលភ្ជាប់មកជាមួយជាច្រើនសម្រាប់ស្វែងរកសកម្មភាពមិនប្រក្រតី គួរឱ្យសង្ស័យ និងច្បាស់លាស់ ដែលអនុញ្ញាតឱ្យអ្នករកឃើញការគំរាមកំហែងផ្សេងៗគ្នាជាច្រើន - ពីការលួចបន្លំរហូតដល់ការលេចធ្លាយព័ត៌មាន ពីការរីករាលដាលនៃកូដព្យាបាទរហូតដល់ការក្លែងបន្លំ។ ដូចឧបករណ៍វិភាគលំហូរភាគច្រើនដែរ នាឡិកា Stealthwatch ត្រូវបានបង្កើតឡើងដោយយោងទៅតាមគ្រោងការណ៍បីកម្រិត (ម៉ាស៊ីនភ្លើង - អ្នកប្រមូល - អ្នកវិភាគ) ប៉ុន្តែវាត្រូវបានបំពេញបន្ថែមដោយលក្ខណៈពិសេសគួរឱ្យចាប់អារម្មណ៍មួយចំនួនដែលមានសារៈសំខាន់នៅក្នុងបរិបទនៃសម្ភារៈដែលកំពុងពិចារណា។ ដំបូង វារួមបញ្ចូលជាមួយដំណោះស្រាយចាប់យកកញ្ចប់ព័ត៌មាន (ដូចជា Cisco Security Packet Analyzer) ដែលអនុញ្ញាតឱ្យអ្នកកត់ត្រាវគ្គបណ្តាញដែលបានជ្រើសរើសសម្រាប់ការស៊ើបអង្កេត និងការវិភាគស៊ីជម្រៅនៅពេលក្រោយ។ ទីពីរ ជាពិសេសដើម្បីពង្រីកភារកិច្ចសុវត្ថិភាព យើងបានបង្កើតពិធីការ nvzFlow ពិសេសដែលអនុញ្ញាតឱ្យអ្នក "ផ្សាយ" សកម្មភាពនៃកម្មវិធីនៅលើថ្នាំងចុងក្រោយ (ម៉ាស៊ីនមេ ស្ថានីយការងារ។ ប្រសិនបើនៅក្នុងកំណែដើមរបស់វា Stealthwatch ដំណើរការជាមួយពិធីការលំហូរណាមួយ (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) នៅកម្រិតបណ្តាញ នោះការគាំទ្រ nvzFlow អនុញ្ញាតឱ្យមានទំនាក់ទំនងទិន្នន័យផងដែរនៅកម្រិតថ្នាំង។ បង្កើនប្រសិទ្ធភាពនៃប្រព័ន្ធទាំងមូល និងមើលឃើញការវាយប្រហារច្រើនជាងឧបករណ៍វិភាគលំហូរបណ្តាញធម្មតា។

វាច្បាស់ណាស់ថានៅពេលនិយាយអំពីប្រព័ន្ធវិភាគ Netflow តាមទស្សនៈសុវត្ថិភាព ទីផ្សារមិនត្រូវបានកំណត់ចំពោះដំណោះស្រាយតែមួយពី Cisco នោះទេ។ អ្នកអាចប្រើដំណោះស្រាយពាណិជ្ជកម្ម និងឥតគិតថ្លៃ ឬចែករំលែកវែរ។ វាពិតជាចម្លែកណាស់ប្រសិនបើខ្ញុំលើកយកដំណោះស្រាយរបស់អ្នកប្រកួតប្រជែងជាឧទាហរណ៍នៅលើប្លក់ Cisco ដូច្នេះខ្ញុំនឹងនិយាយពាក្យពីរបីអំពីរបៀបដែលបណ្តាញតេឡេម៉ែត្រអាចត្រូវបានវិភាគដោយប្រើឈ្មោះពីរដែលពេញនិយម ស្រដៀងគ្នា ប៉ុន្តែនៅតែមានឧបករណ៍ផ្សេងគ្នា - SiLK និង ELK ។

SiLK គឺជាសំណុំឧបករណ៍ (ប្រព័ន្ធសម្រាប់ចំណេះដឹងកម្រិតអ៊ីនធឺណិត) សម្រាប់ការវិភាគចរាចរណ៍ ដែលបង្កើតឡើងដោយ CERT/CC របស់អាមេរិក ហើយដែលគាំទ្រក្នុងបរិបទនៃអត្ថបទថ្ងៃនេះ Netflow (កំណែទី 5 និងទី 9 ដែលជាកំណែពេញនិយមបំផុត) IPFIX និង sFlow និងការប្រើប្រាស់ឧបករណ៍ប្រើប្រាស់ផ្សេងៗ (rwfilter, rwcount, rwflowpack ។ ប៉ុន្តែមានចំណុចសំខាន់មួយចំនួនដែលត្រូវកត់សម្គាល់។ SiLK គឺជាឧបករណ៍បន្ទាត់ពាក្យបញ្ជាដែលធ្វើការវិភាគលើបណ្តាញដោយបញ្ចូលពាក្យបញ្ជាដូចនេះ (ការរកឃើញកញ្ចប់ព័ត៌មាន ICMP ធំជាង 200 បៃ)៖

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

មិនស្រួលខ្លាំងណាស់។ អ្នកអាចប្រើ iSiLK GUI ប៉ុន្តែវានឹងមិនធ្វើឱ្យជីវិតរបស់អ្នកកាន់តែងាយស្រួលនោះទេ មានតែការដោះស្រាយមុខងារមើលឃើញ និងមិនជំនួសអ្នកវិភាគ។ ហើយនេះគឺជាចំណុចទីពីរ។ មិនដូចដំណោះស្រាយពាណិជ្ជកម្មដែលមានមូលដ្ឋានវិភាគរឹងមាំរួចហើយ ក្បួនដោះស្រាយការរកឃើញភាពមិនប្រក្រតី លំហូរការងារដែលត្រូវគ្នាជាដើម។ ក្នុងករណី SiLK អ្នកនឹងត្រូវធ្វើអ្វីៗទាំងអស់នេះដោយខ្លួនឯង ដែលនឹងទាមទារសមត្ថភាពខុសគ្នាបន្តិចបន្តួចពីអ្នកជាជាងការប្រើប្រាស់រួចរាល់- ឧបករណ៍ប្រើប្រាស់។ នេះមិនល្អ ឬអាក្រក់ទេ - នេះគឺជាលក្ខណៈពិសេសរបស់ឧបករណ៍ឥតគិតថ្លៃស្ទើរតែទាំងអស់ដែលសន្មត់ថាអ្នកដឹងពីអ្វីដែលត្រូវធ្វើ ហើយវានឹងជួយអ្នកក្នុងបញ្ហានេះប៉ុណ្ណោះ (ឧបករណ៍ពាណិជ្ជកម្មគឺមិនសូវពឹងផ្អែកលើសមត្ថភាពអ្នកប្រើរបស់វាទេ ទោះបីជាពួកគេក៏សន្មត ដែលអ្នកវិភាគយល់យ៉ាងហោចណាស់ជាមូលដ្ឋាននៃការស៊ើបអង្កេតបណ្តាញ និងការត្រួតពិនិត្យ)។ ប៉ុន្តែសូមត្រលប់ទៅស៊ីលខេវិញ។ វដ្តការងាររបស់អ្នកវិភាគជាមួយវាមើលទៅដូចនេះ៖

ការបង្កើតសម្មតិកម្ម។ យើងត្រូវតែយល់ពីអ្វីដែលយើងនឹងស្វែងរកនៅខាងក្នុងបណ្តាញតេឡេម៉ែត្រ ដឹងពីលក្ខណៈពិសេសដែលយើងនឹងកំណត់អត្តសញ្ញាណភាពមិនប្រក្រតី ឬការគំរាមកំហែងជាក់លាក់។
ការកសាងគំរូ។ ដោយបានបង្កើតសម្មតិកម្មមួយ យើងសរសេរវាដោយប្រើ Python សែល ឬឧបករណ៍ផ្សេងទៀតដែលមិនមាននៅក្នុង SiLK ទេ។
ការធ្វើតេស្ត។ ឥឡូវនេះមកដល់វេនដើម្បីពិនិត្យមើលភាពត្រឹមត្រូវនៃសម្មតិកម្មរបស់យើងដែលត្រូវបានបញ្ជាក់ឬបដិសេធដោយប្រើឧបករណ៍ប្រើប្រាស់ SiLK ចាប់ផ្តើមដោយ 'rw', 'set', 'bag' ។
ការវិភាគទិន្នន័យពិត។ នៅក្នុងប្រតិបត្តិការឧស្សាហកម្ម SiLK ជួយយើងកំណត់អត្តសញ្ញាណអ្វីមួយ ហើយអ្នកវិភាគត្រូវតែឆ្លើយសំណួរ "តើយើងបានរកឃើញអ្វីដែលយើងរំពឹងទុកទេ?", "តើនេះត្រូវគ្នានឹងសម្មតិកម្មរបស់យើងទេ?", "តើធ្វើដូចម្តេចដើម្បីកាត់បន្ថយចំនួនវិជ្ជមានមិនពិត?", "ដោយរបៀបណា? ដើម្បីបង្កើនកម្រិតនៃការទទួលស្គាល់? លល។
ការកែលម្អ។ នៅដំណាក់កាលចុងក្រោយ យើងកែលម្អអ្វីដែលបានធ្វើពីមុន - យើងបង្កើតគំរូ កែលម្អ និងបង្កើនប្រសិទ្ធភាពកូដ កែទម្រង់ និងបញ្ជាក់សម្មតិកម្ម។ល។

វដ្តនេះក៏នឹងអាចអនុវត្តបានចំពោះ Cisco Stealthwatch ដែរ មានតែវិធីចុងក្រោយដែលធ្វើស្វ័យប្រវត្តិកម្មជំហានទាំងប្រាំនេះដល់កម្រិតអតិបរមា ដោយកាត់បន្ថយចំនួនកំហុសអ្នកវិភាគ និងបង្កើនប្រសិទ្ធភាពនៃការរកឃើញឧប្បត្តិហេតុ។ ឧទាហរណ៍ នៅក្នុង SiLK អ្នកអាចបង្កើនស្ថិតិបណ្តាញជាមួយនឹងទិន្នន័យខាងក្រៅនៅលើ IP ព្យាបាទដោយប្រើស្គ្រីបដែលសរសេរដោយដៃ ហើយនៅក្នុង Cisco Stealthwatch វាគឺជាមុខងារដែលភ្ជាប់មកជាមួយដែលបង្ហាញការជូនដំណឹងភ្លាមៗ ប្រសិនបើចរាចរបណ្តាញមានអន្តរកម្មជាមួយអាសយដ្ឋាន IP ពីបញ្ជីខ្មៅ។

ប្រសិនបើអ្នកឡើងខ្ពស់លើសាជីជ្រុង "បង់ប្រាក់" សម្រាប់កម្មវិធីវិភាគលំហូរ នោះបន្ទាប់ពី SiLK ឥតគិតថ្លៃពិត នឹងមាន shareware ELK ដែលមានធាតុផ្សំសំខាន់ៗចំនួនបី - Elasticsearch (ការធ្វើលិបិក្រម ការស្វែងរក និងការវិភាគទិន្នន័យ) Logstash (ទិន្នន័យបញ្ចូល/ទិន្នផល។ ) និង Kibana (ការមើលឃើញ) ។ មិនដូច SiLK ដែលជាកន្លែងដែលអ្នកត្រូវសរសេរអ្វីគ្រប់យ៉ាងដោយខ្លួនឯង ELK មានបណ្ណាល័យ / ម៉ូឌុលដែលត្រៀមរួចជាស្រេចជាច្រើន (ខ្លះបង់ប្រាក់ខ្លះមិន) ដែលធ្វើការវិភាគបណ្តាញទូរលេខដោយស្វ័យប្រវត្តិ។ ឧទាហរណ៍ តម្រង GeoIP នៅក្នុង Logstash អនុញ្ញាតឱ្យអ្នកភ្ជាប់អាសយដ្ឋាន IP ដែលត្រូវបានត្រួតពិនិត្យជាមួយនឹងទីតាំងភូមិសាស្រ្តរបស់ពួកគេ (Stealthwatch មានមុខងារភ្ជាប់មកជាមួយនេះ)។

ELK ក៏មានសហគមន៍ដ៏ធំមួយផងដែរ ដែលកំពុងតែបំពេញនូវសមាសធាតុដែលបាត់សម្រាប់ដំណោះស្រាយត្រួតពិនិត្យនេះ។ ឧទាហរណ៍ ដើម្បីធ្វើការជាមួយ Netflow, IPFIX និង sFlow អ្នកអាចប្រើម៉ូឌុល elastiflowប្រសិនបើអ្នកមិនពេញចិត្តនឹង Logstash Netflow Module ដែលគាំទ្រតែ Netflow ប៉ុណ្ណោះ។

ខណៈពេលដែលផ្តល់នូវប្រសិទ្ធភាពកាន់តែច្រើនក្នុងការប្រមូលលំហូរ និងការស្វែងរកនៅក្នុងនោះ ELK បច្ចុប្បន្នខ្វះការវិភាគដែលភ្ជាប់មកជាមួយដ៏សម្បូរបែបសម្រាប់ការរកឃើញភាពមិនប្រក្រតី និងការគំរាមកំហែងនៅក្នុងបណ្តាញតេឡេម៉ែត្រ។ នោះគឺធ្វើតាមវដ្តជីវិតដែលបានពិពណ៌នាខាងលើ អ្នកនឹងត្រូវពណ៌នាដោយឯករាជ្យនូវគំរូបំពាន ហើយបន្ទាប់មកប្រើវានៅក្នុងប្រព័ន្ធប្រយុទ្ធ (មិនមានម៉ូដែលដែលភ្ជាប់មកជាមួយនៅទីនោះទេ)។

ជាការពិតណាស់ មានផ្នែកបន្ថែមដ៏ទំនើបសម្រាប់ ELK ដែលមានម៉ូដែលមួយចំនួនរួចហើយសម្រាប់ការរកឃើញភាពមិនប្រក្រតីនៅក្នុងបណ្តាញតេឡេមេទិក ប៉ុន្តែផ្នែកបន្ថែមបែបនេះត្រូវចំណាយលុយ ហើយនៅទីនេះសំណួរគឺថាតើហ្គេមនេះមានតម្លៃសម្រាប់ទៀនដែរ ឬអត់ - សរសេរគំរូស្រដៀងគ្នាដោយខ្លួនឯង ទិញវា ការអនុវត្តសម្រាប់ឧបករណ៍ត្រួតពិនិត្យរបស់អ្នក ឬទិញដំណោះស្រាយដែលត្រៀមរួចជាស្រេចនៃថ្នាក់ការវិភាគចរាចរណ៍បណ្តាញ។

ជាទូទៅ ខ្ញុំមិនចង់ចូលរួមក្នុងការជជែកវែកញែកថា វាជាការប្រសើរក្នុងការចំណាយប្រាក់ និងទិញដំណោះស្រាយដែលត្រៀមរួចជាស្រេចសម្រាប់ការត្រួតពិនិត្យភាពខុសប្រក្រតី និងការគំរាមកំហែងនៅក្នុងបណ្តាញតេឡេម៉ែត្រ (ឧទាហរណ៍ Cisco Stealthwatch) ឬដោះស្រាយវាដោយខ្លួនឯង និងប្ដូរតាមបំណងដូចគ្នា SiLK, ELK ឬ nfdump ឬ OSU Flow Tools សម្រាប់ការគំរាមកំហែងថ្មីនីមួយៗ (ខ្ញុំកំពុងនិយាយអំពីពីរចុងក្រោយនៃពួកគេ បានប្រាប់ ពេលមុន)? មនុស្សគ្រប់រូបជ្រើសរើសសម្រាប់ខ្លួនគេ ហើយគ្រប់គ្នាមានហេតុផលផ្ទាល់ខ្លួនរបស់ពួកគេក្នុងការជ្រើសរើសជម្រើសណាមួយក្នុងចំណោមជម្រើសទាំងពីរ។ ខ្ញុំគ្រាន់តែចង់បង្ហាញថា telemetry បណ្តាញគឺជាឧបករណ៍ដ៏សំខាន់មួយក្នុងការធានាសុវត្ថិភាពបណ្តាញនៃហេដ្ឋារចនាសម្ព័ន្ធផ្ទៃក្នុងរបស់អ្នក ហើយអ្នកមិនគួរធ្វេសប្រហែសវាឡើយ ដើម្បីកុំឱ្យចូលរួមក្នុងបញ្ជីក្រុមហ៊ុនដែលឈ្មោះត្រូវបានលើកឡើងនៅក្នុងប្រព័ន្ធផ្សព្វផ្សាយរួមជាមួយនឹង epithets " hacked", "មិនអនុលោមតាមតម្រូវការសុវត្ថិភាពព័ត៌មាន", "មិនគិតពីសុវត្ថិភាពនៃទិន្នន័យ និងទិន្នន័យអតិថិជនរបស់ពួកគេ។"

ដើម្បីសង្ខេប ខ្ញុំចង់រាយបញ្ជីគន្លឹះសំខាន់ៗដែលអ្នកគួរតែអនុវត្តតាមនៅពេលបង្កើតការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មាននៃហេដ្ឋារចនាសម្ព័ន្ធខាងក្នុងរបស់អ្នក៖

កុំដាក់កម្រិតខ្លួនឯងត្រឹមបរិវេណ! ប្រើ (និងជ្រើសរើស) ហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញមិនត្រឹមតែដើម្បីផ្លាស់ទីចរាចរណ៍ពីចំណុច A ទៅចំណុច B ប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងដោះស្រាយបញ្ហាសុវត្ថិភាពតាមអ៊ីនធឺណិតផងដែរ។
សិក្សាយន្តការត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មានដែលមានស្រាប់នៅក្នុងឧបករណ៍បណ្តាញរបស់អ្នក ហើយប្រើប្រាស់វា។
សម្រាប់ការត្រួតពិនិត្យផ្ទៃក្នុង ផ្តល់ចំណូលចិត្តដល់ការវិភាគតេឡេម៉ែត្រ - វាអនុញ្ញាតឱ្យអ្នករកឃើញរហូតដល់ 80-90% នៃឧប្បត្តិហេតុសុវត្ថិភាពព័ត៌មានបណ្តាញទាំងអស់ ខណៈពេលដែលធ្វើអ្វីដែលមិនអាចទៅរួចនៅពេលចាប់យកកញ្ចប់បណ្តាញ និងសន្សំទំហំសម្រាប់រក្សាទុកព្រឹត្តិការណ៍សុវត្ថិភាពព័ត៌មានទាំងអស់។
ដើម្បីតាមដានលំហូរ សូមប្រើ Netflow v9 ឬ IPFIX - ពួកគេផ្តល់ព័ត៌មានបន្ថែមនៅក្នុងបរិបទសុវត្ថិភាព និងអនុញ្ញាតឱ្យអ្នកត្រួតពិនិត្យមិនត្រឹមតែ IPv4 ប៉ុណ្ណោះទេ ប៉ុន្តែក៏មាន IPv6, MPLS ជាដើម។
ប្រើពិធីការលំហូរដែលមិនមានគំរូ - វាផ្តល់ព័ត៌មានបន្ថែមសម្រាប់ការរកឃើញការគំរាមកំហែង។ ឧទាហរណ៍ Netflow ឬ IPFIX ។
ពិនិត្យមើលការផ្ទុកនៅលើឧបករណ៍បណ្តាញរបស់អ្នក - វាប្រហែលជាមិនអាចគ្រប់គ្រងពិធីការលំហូរផងដែរ។ បន្ទាប់មកពិចារណាប្រើឧបករណ៍ចាប់សញ្ញានិម្មិត ឬ Netflow Generation Appliance។
អនុវត្តការត្រួតពិនិត្យជាដំបូងនៅកម្រិតចូលដំណើរការ - នេះនឹងផ្តល់ឱ្យអ្នកនូវឱកាសដើម្បីមើលឃើញ 100% នៃចរាចរណ៍ទាំងអស់។
ប្រសិនបើអ្នកមិនមានជម្រើសទេ ហើយអ្នកកំពុងប្រើឧបករណ៍បណ្តាញរុស្ស៊ី បន្ទាប់មកជ្រើសរើសមួយដែលគាំទ្រពិធីការលំហូរ ឬមានច្រក SPAN/RSPAN ។
រួមបញ្ចូលគ្នានូវប្រព័ន្ធរកឃើញ/ការពារការឈ្លានពាន/ការវាយប្រហារនៅគែម និងប្រព័ន្ធវិភាគលំហូរនៅក្នុងបណ្តាញខាងក្នុង (រួមទាំងនៅក្នុងពពក)។

ទាក់ទងនឹងគន្លឹះចុងក្រោយនេះ ខ្ញុំសូមលើកឧទាហរណ៍មួយដែលខ្ញុំបានផ្តល់ឲ្យរួចមកហើយ។ អ្នកឃើញហើយថា ប្រសិនបើពីមុនសេវាសន្តិសុខព័ត៌មាន Cisco ស្ទើរតែទាំងស្រុងបានបង្កើតប្រព័ន្ធត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មានរបស់ខ្លួននៅលើមូលដ្ឋាននៃប្រព័ន្ធរកឃើញការឈ្លានពាន និងវិធីសាស្ត្រហត្ថលេខា ឥឡូវនេះពួកវាមានត្រឹមតែ 20% នៃឧប្បត្តិហេតុប៉ុណ្ណោះ។ 20% ទៀតធ្លាក់ទៅលើប្រព័ន្ធការវិភាគលំហូរ ដែលបង្ហាញថាដំណោះស្រាយទាំងនេះមិនមែនជាការចង់បានទេ ប៉ុន្តែជាឧបករណ៍ពិតប្រាកដនៅក្នុងសកម្មភាពនៃសេវាកម្មសន្តិសុខព័ត៌មានរបស់សហគ្រាសទំនើប។ លើសពីនេះទៅទៀត អ្នកមានអ្វីដែលសំខាន់បំផុតសម្រាប់ការអនុវត្តរបស់ពួកគេ - ហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញ ការវិនិយោគដែលអាចត្រូវបានការពារបន្ថែមទៀតដោយការចាត់តាំងមុខងារត្រួតពិនិត្យសុវត្ថិភាពព័ត៌មានទៅបណ្តាញ។

ជាពិសេសខ្ញុំមិនបាននិយាយអំពីប្រធានបទនៃការឆ្លើយតបទៅនឹងភាពមិនប្រក្រតី ឬការគំរាមកំហែងដែលត្រូវបានកំណត់នៅក្នុងលំហូរបណ្តាញនោះទេ ប៉ុន្តែខ្ញុំគិតថាវាច្បាស់ហើយថាការត្រួតពិនិត្យមិនគួរបញ្ចប់ត្រឹមការរកឃើញការគំរាមកំហែងនោះទេ។ វាគួរតែត្រូវបានធ្វើតាមដោយការឆ្លើយតប និងនិយមនៅក្នុងរបៀបស្វ័យប្រវត្តិ ឬស្វ័យប្រវត្តិ។ ប៉ុន្តែនេះគឺជាប្រធានបទសម្រាប់អត្ថបទដាច់ដោយឡែកមួយ។

ព័ត៌មានបន្ថែម:

PS ប្រសិនបើវាងាយស្រួលសម្រាប់អ្នកក្នុងការស្តាប់អ្វីគ្រប់យ៉ាងដែលត្រូវបានសរសេរខាងលើ នោះអ្នកអាចមើលបទបង្ហាញរយៈពេលមួយម៉ោងដែលបង្កើតជាមូលដ្ឋាននៃកំណត់ចំណាំនេះ។

ប្រភព: www.habr.com

ពិធីការលំហូរជាឧបករណ៍សម្រាប់ត្រួតពិនិត្យសុវត្ថិភាពបណ្តាញខាងក្នុង

បន្ថែមមតិយោបល់ ответОтменить