🥇내부 네트워크 보안을 모니터링하기 위한 도구인 Flow 프로토콜

내부 기업 또는 부서 네트워크의 보안을 모니터링할 때 많은 사람들이 이를 정보 유출 제어 및 DLP 솔루션 구현과 연관시킵니다. 그리고 질문을 명확히 하고 내부 네트워크에 대한 공격을 어떻게 탐지하는지 묻는다면, 대답은 대개 침입 탐지 시스템(IDS)에 대한 언급일 것입니다. 그리고 10~20년 전에는 유일한 선택이었던 것이 오늘날 시대착오적이 되는 것이었습니다. 원래 네트워크 문제(문제 해결)를 검색하기 위해 설계되었지만 시간이 지나면서 매우 흥미로운 보안 도구로 변모한 플로우 프로토콜을 사용하는 것이 내부 네트워크를 모니터링하는 데 더 효과적이고 일부 장소에서는 유일하게 가능한 옵션이 있습니다. 우리는 어떤 흐름 프로토콜이 있고 어떤 프로토콜이 네트워크 공격을 더 잘 탐지하는지, 흐름 모니터링을 구현하는 것이 가장 좋은 곳, 이러한 체계를 배포할 때 찾아야 할 사항, 심지어 국내 장비에서 이 모든 것을 "리프트"하는 방법에 대해 이야기하겠습니다. 이 기사의 범위 내에서.

“내부 인프라 보안 모니터링이 왜 필요한가?”라는 질문에 대해서는 더 이상 언급하지 않겠습니다. 대답은 분명한 것 같습니다. 하지만 그럼에도 불구하고 오늘은 그것 없이는 살 수 없다는 것을 다시 한 번 확인하고 싶다면, 모양 17가지 방법으로 방화벽으로 보호되는 기업 네트워크에 침투하는 방법에 대한 짧은 비디오입니다. 따라서 우리는 내부 모니터링이 필요한 것임을 이해하고 남은 것은 그것이 어떻게 구성될 수 있는지 이해하는 것이라고 가정합니다.

네트워크 수준에서 인프라를 모니터링하기 위한 세 가지 주요 데이터 소스를 강조하겠습니다.

당사가 분석을 위해 캡처하고 특정 분석 시스템에 제출하는 "원시" 트래픽,
트래픽이 통과하는 네트워크 장치의 이벤트,
흐름 프로토콜 중 하나를 통해 수신된 트래픽 정보.

원시 트래픽 캡처는 보안 전문가들 사이에서 가장 인기 있는 옵션입니다. 역사적으로 가장 먼저 등장한 방식이기 때문입니다. 기존의 네트워크 침입 탐지 시스템(최초의 상용 침입 탐지 시스템은 1998년 Cisco에서 구입한 Wheel Group의 NetRanger였습니다)은 특정 서명이 검색되는 패킷(및 이후 세션)을 캡처하는 데 정확하게 관여했습니다("결정적인 규칙"). FSTEC 용어), 신호 공격. 물론 IDS를 사용하는 것뿐만 아니라 다른 도구(예: Wireshark, tcpdum 또는 Cisco IOS의 NBAR2 기능)를 사용해도 원시 트래픽을 분석할 수 있지만 일반적으로 정보 보안 도구와 일반 도구를 구별하는 지식 기반이 부족합니다. IT 도구.

공격 탐지 시스템입니다. 네트워크 공격을 탐지하는 가장 오래되고 널리 사용되는 방법으로, 경계(기업, 데이터 센터, 세그먼트 등 무엇이든)에서는 훌륭하게 작동하지만 최신 스위치 및 소프트웨어 정의 네트워크에서는 실패합니다. 기존 스위치를 기반으로 구축된 네트워크의 경우 공격 탐지 센서의 인프라가 너무 커집니다. 공격을 모니터링하려는 노드에 대한 각 연결에 센서를 설치해야 합니다. 물론 모든 제조업체는 수백, 수천 개의 센서를 기꺼이 판매할 것이지만 귀하의 예산이 그러한 비용을 감당할 수 없다고 생각합니다. Cisco(그리고 우리는 NGIPS 개발자)에서도 가격 문제가 우리 앞에 있는 것처럼 보이지만 이를 수행할 수 없다고 말할 수 있습니다. 참아서는 안 돼요. 그건 우리 스스로의 결정이에요. 또한 이 버전에서 센서를 연결하는 방법에 대한 질문이 생깁니다. 틈새로? 센서 자체가 고장나면 어떻게 되나요? 센서에 바이패스 모듈이 필요합니까? 스플리터(탭)를 사용하시겠습니까? 이 모든 것이 솔루션 비용을 더 비싸게 만들고 어떤 규모의 회사에서도 감당할 수 없게 만듭니다.

SPAN/RSPAN/ERSPAN 포트에 센서를 "걸고" 필요한 스위치 포트에서 해당 포트로 트래픽을 전달할 수 있습니다. 이 옵션은 이전 단락에서 설명한 문제를 부분적으로 제거하지만 또 다른 문제가 발생합니다. SPAN 포트는 전송될 모든 트래픽을 완전히 수용할 수 없으며 대역폭이 충분하지 않습니다. 당신은 뭔가를 희생해야 할 것입니다. 일부 노드를 모니터링하지 않고 그대로 두거나(먼저 우선 순위를 지정해야 함) 노드에서 모든 트래픽을 전송하지 않고 특정 유형만 전송합니다. 어쨌든 우리는 일부 공격을 놓칠 수 있습니다. 또한 SPAN 포트는 다른 요구 사항에도 사용될 수 있습니다. 결과적으로 우리는 기존 네트워크 토폴로지를 검토하고 가능한 경우 보유 센서 수로 네트워크를 최대화하기 위해 이를 조정해야 합니다(그리고 이를 IT와 조정해야 합니다).

네트워크가 비대칭 경로를 사용한다면 어떻게 될까요? SDN을 구현했거나 구현할 계획이라면 어떻게 해야 합니까? 트래픽이 물리적 스위치에 전혀 도달하지 않는 가상화된 머신이나 컨테이너를 모니터링해야 한다면 어떻게 될까요? 이는 전통적인 IDS 공급업체가 답변하는 방법을 모르기 때문에 좋아하지 않는 질문입니다. 아마도 그들은 이러한 모든 최신 기술이 과대 광고이며 필요하지 않다고 당신을 설득할 것입니다. 아마도 그들은 작게 시작해야 한다고 말할 것입니다. 아니면 네트워크 중앙에 강력한 탈곡기를 배치하고 밸런서를 사용하여 모든 트래픽을 네트워크로 보내야 한다고 말할 수도 있습니다. 귀하에게 어떤 옵션이 제공되든 귀하는 그것이 귀하에게 어떻게 적합한지 명확하게 이해해야 합니다. 그 후에야 네트워크 인프라의 정보 보안을 모니터링하는 접근 방식을 선택하기로 결정합니다. 패킷 캡처로 돌아가서 이 방법은 계속해서 매우 인기 있고 중요하지만 주요 목적은 국경 통제라고 말하고 싶습니다. 조직과 인터넷 사이의 경계, 데이터 센터와 나머지 네트워크 사이의 경계, 프로세스 제어 시스템과 기업 부문 사이의 경계. 이러한 장소에서는 기존 IDS/IPS가 여전히 존재하고 해당 작업을 잘 수행할 권리가 있습니다.

두 번째 옵션으로 넘어 갑시다. 네트워크 장치에서 발생하는 이벤트 분석은 공격 탐지 목적으로 사용될 수도 있지만 작은 종류의 침입만 탐지할 수 있으므로 기본 메커니즘으로는 사용할 수 없습니다. 또한 이는 일부 반응성에 내재되어 있습니다. 공격이 먼저 발생한 다음 네트워크 장치에 기록되어야 하며, 이는 어떤 방식으로든 정보 보안에 문제가 있다는 신호를 보냅니다. 그러한 방법에는 여러 가지가 있습니다. 이는 syslog, RMON 또는 SNMP일 수 있습니다. 정보 보안 측면에서 네트워크 모니터링을 위한 마지막 두 프로토콜은 네트워크 장비 자체에 대한 DoS 공격을 감지해야 하는 경우에만 사용됩니다. 예를 들어 RMON 및 SNMP를 사용하면 장치 중앙의 부하를 모니터링할 수 있기 때문입니다. 프로세서 또는 해당 인터페이스. 이것은 "가장 저렴한" 방법 중 하나이지만(모든 사람이 syslog 또는 SNMP를 가지고 있음) 내부 인프라의 정보 보안을 모니터링하는 모든 방법 중에서 가장 비효율적입니다. 많은 공격이 단순히 숨겨집니다. 물론 무시해서는 안되며 동일한 syslog 분석을 통해 장치 자체 구성의 변경 사항과 장치 손상을 적시에 식별하는 데 도움이 되지만 전체 네트워크에 대한 공격을 탐지하는 데는 그다지 적합하지 않습니다.

세 번째 옵션은 여러 흐름 프로토콜 중 하나를 지원하는 장치를 통과하는 트래픽에 대한 정보를 분석하는 것입니다. 이 경우 프로토콜에 관계없이 스레딩 인프라는 반드시 다음 세 가지 구성 요소로 구성됩니다.

흐름 생성 또는 내보내기. 이 역할은 일반적으로 라우터, 스위치 또는 기타 네트워크 장치에 할당되며, 이를 통해 네트워크 트래픽을 자체적으로 전달함으로써 주요 매개변수를 추출한 다음 수집 모듈로 전송할 수 있습니다. 예를 들어 Cisco는 가상 및 산업용 라우터와 스위치뿐만 아니라 무선 컨트롤러, 방화벽, 심지어 서버에서도 Netflow 프로토콜을 지원합니다.
수집 흐름. 최신 네트워크에는 일반적으로 둘 이상의 네트워크 장치가 있다는 점을 고려하면 흐름을 수집하고 통합하는 문제가 발생합니다. 이는 수신된 흐름을 처리한 다음 분석을 위해 전송하는 소위 수집기를 사용하여 해결됩니다.
흐름 분석 분석기는 주요 지적 작업을 수행하고 다양한 알고리즘을 스트림에 적용하여 특정 결론을 도출합니다. 예를 들어, IT 기능의 일부로 이러한 분석기는 네트워크 병목 현상을 식별하거나 추가 네트워크 최적화를 위해 트래픽 로드 프로필을 분석할 수 있습니다. 그리고 정보 보안을 위해 이러한 분석기는 데이터 유출, 악성 코드 확산 또는 DoS 공격을 탐지할 수 있습니다.

이 XNUMX계층 아키텍처가 너무 복잡하다고 생각하지 마십시오. 다른 모든 옵션(SNMP 및 RMON과 함께 작동하는 네트워크 모니터링 시스템 제외)도 이에 따라 작동합니다. 우리는 네트워크 장치일 수도 있고 독립형 센서일 수도 있는 분석용 데이터 생성기를 보유하고 있습니다. 모니터링 인프라 전체에 대한 알람 수집 시스템과 관리 시스템을 갖추고 있습니다. 마지막 두 구성 요소는 단일 노드 내에서 결합될 수 있지만 다소 대규모 네트워크에서는 확장성과 안정성을 보장하기 위해 일반적으로 최소 두 개의 장치에 분산됩니다.

각 패킷의 헤더 및 본문 데이터와 패킷이 구성되는 세션을 연구하는 패킷 분석과 달리 흐름 분석은 네트워크 트래픽에 대한 메타데이터 수집에 의존합니다. 언제, 얼마만큼, 어디서, 어디서, 어떻게... 이러한 질문은 다양한 플로우 프로토콜을 사용한 네트워크 원격 측정 분석을 통해 답변됩니다. 처음에는 통계를 분석하고 네트워크의 IT 문제를 찾는 데 사용되었지만 분석 메커니즘이 개발됨에 따라 보안 목적으로 동일한 원격 측정에 적용하는 것이 가능해졌습니다. 흐름 분석은 패킷 캡처를 대체하거나 대체하지 않는다는 점을 다시 한 번 주목할 가치가 있습니다. 이러한 각 방법에는 고유한 적용 영역이 있습니다. 하지만 이 기사의 맥락에서 내부 인프라를 모니터링하는 데 가장 적합한 것은 흐름 분석입니다. 공격이 우회할 수 없는 네트워크 장치(소프트웨어 정의 패러다임에서 작동하든 정적 규칙에 따라 작동하든)가 있습니다. 이는 기존 IDS 센서를 우회할 수 있지만 흐름 프로토콜을 지원하는 네트워크 장치는 우회할 수 없습니다. 이것이 이 방법의 장점이다.

반면, 법 집행 기관이나 사건 조사팀을 위한 증거가 필요한 경우 패킷 캡처 없이는 할 수 없습니다. 네트워크 원격 측정은 증거를 수집하는 데 사용할 수 있는 트래픽 복사본이 아닙니다. 정보보안 분야에서 신속한 탐지와 의사결정을 위해 필요합니다. 반면, 원격 측정 분석을 사용하면 모든 네트워크 트래픽(만약 Cisco가 데이터 센터를 처리하는 경우 :-)이 아니라 공격과 관련된 트래픽만 "기록"할 수 있습니다. 이와 관련하여 원격 측정 분석 도구는 기존 패킷 캡처 메커니즘을 잘 보완하여 선택적 캡처 및 저장에 대한 명령을 제공합니다. 그렇지 않으면 거대한 스토리지 인프라를 갖추어야 합니다.

250Mbit/초의 속도로 작동하는 네트워크를 상상해 봅시다. 이 볼륨을 모두 저장하려면 트래픽 전송 31초에 1,8MB, 108분에 2,6GB, 10시간에 108GB, 하루에 1TB의 스토리지가 필요합니다. 500Gbit/s 대역폭의 네트워크에서 일일 데이터를 저장하려면 5TB의 스토리지가 필요합니다. 그러나 일부 규제 기관에서는 보안 데이터를 수년 동안 보관해야 합니다. 흐름 분석을 구현하는 데 도움이 되는 주문형 녹음은 이러한 값을 몇 배나 줄이는 데 도움이 됩니다. 그런데 기록된 네트워크 원격 측정 데이터의 양과 전체 데이터 캡처의 비율에 대해 이야기하면 약 216 대 XNUMX입니다. 위에 제공된 동일한 값에 대해 모든 일일 트래픽의 전체 기록을 저장합니다. 각각 XNUMXGB와 XNUMXGB입니다(일반 플래시 드라이브에 기록할 수도 있습니다).

원시 네트워크 데이터를 분석하는 도구의 경우 이를 캡처하는 방법이 공급업체마다 거의 동일하지만 흐름 분석의 경우 상황이 다릅니다. 흐름 프로토콜에는 여러 가지 옵션이 있으며 보안 측면에서 알아야 할 차이점이 있습니다. 가장 널리 사용되는 프로토콜은 Cisco에서 개발한 Netflow 프로토콜입니다. 이 프로토콜에는 기능과 기록되는 교통 정보의 양이 다른 여러 버전이 있습니다. 현재 버전은 IPFIX라고도 알려진 업계 표준 Netflow v9을 기반으로 개발된 10번째 버전(Netflow vXNUMX)입니다. 오늘날 대부분의 네트워크 공급업체는 장비에서 Netflow 또는 IPFIX를 지원합니다. 그러나 흐름 프로토콜에는 sFlow, jFlow, cFlow, rFlow, NetStream 등 다양한 다른 옵션이 있으며 그중 sFlow가 가장 많이 사용됩니다. 구현이 쉽기 때문에 국내 네트워크 장비 제조업체에서 가장 자주 지원하는 유형입니다. 사실상의 표준이 된 Netflow와 sFlow의 주요 차이점은 무엇입니까? 몇 가지 핵심 사항을 강조하겠습니다. 첫째, Netflow에는 sFlow의 고정 필드와 달리 사용자 정의 가능한 필드가 있습니다. 둘째, 이것이 우리의 경우 가장 중요한 것입니다. sFlow는 소위 샘플링된 원격 측정을 수집합니다. Netflow 및 IPFIX의 샘플링되지 않은 것과는 대조적입니다. 그들 사이의 차이점은 무엇입니까?

당신이 책을 읽기로 결정했다고 상상해보십시오.보안 운영 센터: SOC 구축, 운영 및 유지 관리” 내 동료들 – Gary McIntyre, Joseph Munitz 및 Nadem Alfardan (링크에서 책의 일부를 다운로드할 수 있음). 목표를 달성하기 위한 세 가지 옵션이 있습니다. 책 전체를 읽거나, 훑어보거나, 10~20페이지마다 멈추거나, 블로그나 SmartReading과 같은 서비스에서 핵심 개념을 다시 설명하는 것입니다. 따라서 샘플링되지 않은 원격 분석은 네트워크 트래픽의 모든 "페이지"를 읽습니다. 즉, 각 패킷에 대한 메타데이터를 분석합니다. 샘플링된 원격 측정은 선택한 샘플에 필요한 내용이 포함되기를 바라는 선택적 트래픽 연구입니다. 채널 속도에 따라 64번째, 200번째, 500번째, 1000번째, 2000번째 또는 10000번째 패킷마다 분석을 위해 샘플링된 원격 측정이 전송됩니다.

정보 보안 모니터링의 맥락에서 이는 샘플링된 원격 측정이 DDoS 공격 탐지, 검사 및 악성 코드 확산에 매우 적합하지만 분석을 위해 전송된 샘플에 포함되지 않은 원자 또는 다중 패킷 공격을 놓칠 수 있음을 의미합니다. 샘플링되지 않은 원격 측정에는 이러한 단점이 없습니다. 이를 통해 탐지되는 공격 범위가 훨씬 넓어졌습니다. 다음은 네트워크 원격 측정 분석 도구를 사용하여 감지할 수 있는 간단한 이벤트 목록입니다.

물론 일부 오픈 소스 Netflow 분석기는 이를 허용하지 않습니다. 주요 작업은 IT 관점에서 원격 분석을 수집하고 이에 대한 기본 분석을 수행하는 것이기 때문입니다. 흐름을 기반으로 정보 보안 위협을 식별하려면 표준 또는 사용자 정의 Netflow 필드를 기반으로 사이버 보안 문제를 식별하고 다양한 위협 인텔리전스 소스 등의 외부 데이터로 표준 데이터를 강화하는 다양한 엔진 및 알고리즘을 분석기에 장착해야 합니다.

따라서 선택할 수 있는 경우 Netflow 또는 IPFIX를 선택하세요. 그러나 귀하의 장비가 국내 제조업체처럼 sFlow에서만 작동하더라도 이 경우에도 보안 측면에서 이점을 누릴 수 있습니다.

2019년 여름에 저는 러시아 네트워크 하드웨어 제조업체가 보유하고 있는 기능을 분석했으며 NSG, Polygon 및 Craftway를 제외한 모든 제조업체는 sFlow(적어도 Zelax, Natex, Eltex, QTech, Rusteleteh)에 대한 지원을 발표했습니다.

다음으로 직면하게 될 질문은 보안 목적으로 흐름 지원을 어디에 구현할 것인가입니다. 실제로 질문은 완전히 올바르게 제기되지 않았습니다. 최신 장비는 거의 항상 흐름 프로토콜을 지원합니다. 따라서 질문을 다르게 재구성하겠습니다. 보안 관점에서 원격 측정을 수집하는 것이 가장 효과적인 곳은 어디입니까? 대답은 매우 분명할 것입니다. 액세스 수준에서는 모든 트래픽의 100%를 볼 수 있고, 호스트(MAC, VLAN, 인터페이스 ID)에 대한 자세한 정보를 볼 수 있으며, 호스트 간의 P2P 트래픽도 모니터링할 수 있습니다. 악성코드 탐지 및 배포에 매우 중요합니다. 코어 수준에서는 일부 트래픽이 표시되지 않을 수 있지만 경계 수준에서는 전체 네트워크 트래픽의 XNUMX/XNUMX이 표시됩니다. 그러나 어떤 이유로 공격자가 경계를 우회하지 않고 "들어오고 나가"는 것을 허용하는 외부 장치가 네트워크에 있는 경우 원격 측정을 분석해도 아무 것도 얻을 수 없습니다. 따라서 적용 범위를 최대화하려면 액세스 수준에서 원격 측정 수집을 활성화하는 것이 좋습니다. 동시에 가상화나 컨테이너에 관해 이야기하더라도 최신 가상 스위치에서도 흐름 지원이 종종 발견되므로 그곳에서도 트래픽을 제어할 수 있다는 점은 주목할 가치가 있습니다.

하지만 주제를 제기했기 때문에 다음 질문에 대답해야 합니다. 물리적이든 가상이든 장비가 플로우 프로토콜을 지원하지 않으면 어떻게 될까요? 아니면 포함이 금지됩니까(예: 신뢰성 보장을 위해 산업 부문에 포함)? 아니면 이 기능을 켜면 CPU 부하가 높아지나요(오래된 하드웨어에서 발생함)? 이 문제를 해결하기 위해 트래픽을 자체적으로 전달하고 흐름 형태로 수집 모듈에 브로드캐스트하는 기본적으로 일반 분배기인 특수 가상 센서(흐름 센서)가 있습니다. 사실, 이 경우 패킷 캡처 도구와 관련하여 위에서 이야기한 모든 문제가 발생합니다. 즉, 흐름해석 기술의 장점뿐만 아니라 한계도 이해해야 합니다.

흐름 분석 도구에 대해 이야기할 때 기억해야 할 또 다른 중요한 사항입니다. 보안 이벤트를 생성하는 기존 방법과 관련하여 EPS 메트릭(초당 이벤트)을 사용하는 경우 이 지표는 원격 분석에 적용할 수 없습니다. 이는 FPS(초당 흐름)로 대체됩니다. EPS의 경우와 마찬가지로 미리 계산할 수는 없지만 특정 장치가 해당 작업에 따라 생성하는 스레드 수를 대략적으로 추정할 수 있습니다. 다양한 유형의 기업 장치 및 조건에 대한 대략적인 값이 포함된 표를 인터넷에서 찾을 수 있습니다. 이를 통해 분석 도구에 필요한 라이센스와 해당 아키텍처가 무엇인지 추정할 수 있습니다. 사실 IDS 센서는 "당길" 수 있는 특정 대역폭에 의해 제한되며 흐름 수집기에는 이해해야 할 자체 제한이 있습니다. 따라서 지리적으로 분산된 대규모 네트워크에는 일반적으로 여러 수집기가 있습니다. 내가 설명했을 때 Cisco 내부에서 네트워크를 모니터링하는 방법, 저는 이미 수집가 수를 제시했습니다. 그 중 21명이 있으며 이는 XNUMX개 대륙에 분산되어 있고 약 XNUMX만 개의 활성 장치에 달하는 네트워크용입니다.

Netflow 모니터링 시스템으로 자체 솔루션을 사용합니다. 시스코 스텔스워치, 특히 보안 문제 해결에 중점을 두고 있습니다. 비정상적이고 의심스럽고 명백히 악의적인 활동을 탐지하기 위한 엔진이 많이 내장되어 있어 암호화폐 채굴부터 정보 유출, 악성 코드 확산, 사기까지 다양한 위협을 탐지할 수 있습니다. 대부분의 흐름 분석기와 마찬가지로 Stealthwatch는 XNUMX단계 구성(생성기 - 수집기 - 분석기)에 따라 구축되었지만 고려 중인 자료의 맥락에서 중요한 여러 가지 흥미로운 기능으로 보완됩니다. 첫째, Cisco Security Packet Analyser와 같은 패킷 캡처 솔루션과 통합되어 나중에 심층 조사 및 분석을 위해 선택한 네트워크 세션을 기록할 수 있습니다. 둘째, 특히 보안 작업을 확장하기 위해 우리는 엔드 노드(서버, 워크스테이션 등)의 애플리케이션 활동을 원격 측정으로 "브로드캐스트"하고 추가 분석을 위해 수집기로 전송할 수 있는 특별한 nvzFlow 프로토콜을 개발했습니다. 원래 버전의 Stealthwatch가 네트워크 수준에서 모든 흐름 프로토콜(sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream)과 작동하는 경우 nvzFlow 지원은 노드 수준에서도 데이터 상관 관계를 허용합니다. 전체 시스템의 효율성을 높이고 기존 네트워크 흐름 분석기보다 더 많은 공격을 확인합니다.

보안 관점에서 Netflow 분석 시스템에 대해 이야기할 때 시장은 Cisco의 단일 솔루션에만 국한되지 않습니다. 상업용, 무료 또는 셰어웨어 솔루션을 모두 사용할 수 있습니다. Cisco 블로그에서 경쟁사의 솔루션을 예로 든다면 꽤 이상할 것입니다. 따라서 이름은 유사하지만 여전히 다른 두 가지 널리 사용되는 도구인 SiLK와 ELK를 사용하여 네트워크 원격 측정을 분석할 수 있는 방법에 대해 몇 마디 말씀드리겠습니다.

SiLK는 미국 CERT/CC에서 개발한 트래픽 분석을 위한 도구 세트(인터넷 수준 지식 시스템)로, 오늘 기사의 맥락에서 Netflow(5번째 및 9번째, 가장 인기 있는 버전), IPFIX를 지원합니다. sFlow 및 다양한 유틸리티(rwfilter, rwcount, rwflowpack 등)를 사용하여 네트워크 원격 측정에 대한 다양한 작업을 수행하여 무단 작업의 징후를 감지합니다. 그러나 주목해야 할 몇 가지 중요한 사항이 있습니다. SiLK는 다음과 같은 명령을 입력하여 온라인 분석을 수행하는 명령줄 도구입니다(200바이트보다 큰 ICMP 패킷 감지).

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

별로 편안하지 않습니다. iSiLK GUI를 사용할 수 있지만 시각화 기능만 해결하고 분석자를 교체하지 않고 삶을 훨씬 쉽게 만들어주지는 않습니다. 그리고 이것이 두 번째 요점입니다. 이미 탄탄한 분석 기반, 이상 탐지 알고리즘, 해당 워크플로우 등을 갖춘 상용 솔루션과 달리 SiLK의 경우 이 모든 작업을 직접 수행해야 하며 이미 준비된 솔루션을 사용할 때와는 약간 다른 역량이 필요합니다. 도구를 사용합니다. 이것은 좋지도 나쁘지도 않습니다. 이것은 무엇을 해야할지 알고 있다고 가정하는 거의 모든 무료 도구의 기능이며 이것에만 도움이 될 것입니다. 상용 도구는 사용자의 역량에 덜 의존하지만, 그들은 또한 가정합니다. 분석가는 최소한 네트워크 조사 및 모니터링의 기본 사항을 이해하고 있어야 합니다. 하지만 SiLK로 돌아가 보겠습니다. 분석가의 작업 주기는 다음과 같습니다.

가설 수립. 우리는 네트워크 원격 측정 내부에서 무엇을 찾고 있는지 이해하고 특정 변칙이나 위협을 식별하는 고유한 속성을 알아야 합니다.
모델 구축. 가설을 세운 후 SiLK에 포함되지 않은 동일한 Python, 셸 또는 기타 도구를 사용하여 이를 프로그래밍합니다.
테스트. 이제 'rw', 'set', 'bag'로 시작하는 SiLK 유틸리티를 사용하여 확인되거나 반박된 가설의 정확성을 확인할 차례입니다.
실제 데이터 분석. 산업 운영에서 SiLK는 무언가를 식별하는 데 도움이 되며 분석가는 "우리가 예상한 것을 찾았습니까?", "이것이 우리의 가설과 일치합니까?", "오탐지 수를 줄이는 방법", "어떻게 해야 합니까?"라는 질문에 답해야 합니다. 인지도를 높이려면? » 등등.
개선. 마지막 단계에서는 템플릿 생성, 코드 개선 및 최적화, 가설 재구성 및 명확화 등 이전에 수행한 작업을 개선합니다.

이 주기는 Cisco Stealthwatch에도 적용할 수 있으며, 마지막 단계만 이 XNUMX단계를 최대로 자동화하여 분석가 오류 수를 줄이고 사고 감지 효율성을 높입니다. 예를 들어 SiLK에서는 손으로 작성한 스크립트를 사용하여 악성 IP에 대한 외부 데이터로 네트워크 통계를 강화할 수 있으며, Cisco Stealthwatch에서는 네트워크 트래픽에 블랙리스트의 IP 주소와의 상호 작용이 포함된 경우 즉시 경보를 표시하는 내장 기능입니다.

흐름 분석 소프트웨어에 대한 "유료" 피라미드에서 더 높이 올라가면 완전 무료 SiLK 다음에는 Elasticsearch(인덱싱, 검색 및 데이터 분석), Logstash(데이터 입력/출력)의 세 가지 주요 구성 요소로 구성된 셰어웨어 ELK가 있습니다. ) 및 Kibana(시각화). 모든 것을 직접 작성해야 하는 SiLK와 달리 ELK에는 이미 네트워크 원격 분석 분석을 자동화하는 기성 라이브러리/모듈(일부 유료, 일부 아님)이 많이 있습니다. 예를 들어, Logstash의 GeoIP 필터를 사용하면 모니터링되는 IP 주소를 지리적 위치와 연결할 수 있습니다(Stealthwatch에는 이 기능이 내장되어 있습니다).

ELK에는 또한 이 모니터링 솔루션의 누락된 구성 요소를 완성하는 상당히 큰 커뮤니티가 있습니다. 예를 들어 Netflow, IPFIX 및 sFlow를 사용하려면 다음 모듈을 사용할 수 있습니다. 엘라스티플로우, Netflow만 지원하는 Logstash Netflow 모듈이 만족스럽지 않은 경우.

흐름을 수집하고 검색하는 데 더 많은 효율성을 제공하는 반면, ELK에는 현재 네트워크 원격 측정의 이상 및 위협을 탐지하기 위한 풍부한 내장 분석이 부족합니다. 즉, 위에서 설명한 라이프 사이클에 따라 위반 모델을 독립적으로 설명하고 이를 전투 시스템에서 사용해야 합니다(내장된 모델이 없음).

물론 네트워크 원격 측정에서 이상 현상을 감지하기 위한 일부 모델이 이미 포함되어 있는 ELK에 대한 더 정교한 확장이 있지만 이러한 확장에는 비용이 들며 여기서 문제는 게임이 가치가 있는지 여부입니다. 유사한 모델을 직접 작성하고 구매하십시오. 모니터링 도구를 구현하거나 네트워크 트래픽 분석 클래스의 기성 솔루션을 구입하세요.

일반적으로 저는 네트워크 원격 측정의 이상 및 위협을 모니터링하기 위해 돈을 쓰고 기성 솔루션(예: Cisco Stealthwatch)을 구입하는 것이 더 낫다는 논쟁에 참여하고 싶지 않습니다. 각각의 새로운 위협에 대한 SiLK, ELK, nfdump 또는 OSU Flow Tools(마지막 두 가지에 대해 이야기하고 있습니다. 말한 마지막으로)? 모든 사람은 스스로 선택하며 두 가지 옵션 중 하나를 선택하는 동기도 있습니다. 저는 네트워크 원격 측정이 내부 인프라의 네트워크 보안을 보장하는 데 매우 중요한 도구이며 이를 무시해서는 안 된다는 점을 보여주고 싶었습니다. " 해킹당했습니다”, “정보 보안 요구 사항을 준수하지 않습니다”, “데이터 및 고객 데이터의 보안에 대해 생각하지 않습니다.”

요약하자면, 내부 인프라에 대한 정보 보안 모니터링을 구축할 때 따라야 할 주요 팁을 나열하고 싶습니다.

자신을 경계에만 국한시키지 마세요! 네트워크 인프라를 사용(및 선택)하여 트래픽을 A 지점에서 B 지점으로 이동할 뿐만 아니라 사이버 보안 문제도 해결합니다.
네트워크 장비의 기존 정보 보안 모니터링 메커니즘을 연구하고 활용하십시오.
내부 모니터링의 경우 원격 측정 분석을 선호합니다. 이를 통해 모든 네트워크 정보 보안 사고의 최대 80-90%를 감지하는 동시에 네트워크 패킷을 캡처하고 모든 정보 보안 이벤트를 저장할 공간을 절약할 때 불가능한 작업을 수행할 수 있습니다.
흐름을 모니터링하려면 Netflow v9 또는 IPFIX를 사용하세요. 보안 컨텍스트에서 더 많은 정보를 제공하고 IPv4뿐만 아니라 IPv6, MPLS 등도 모니터링할 수 있습니다.
샘플링되지 않은 흐름 프로토콜을 사용합니다. 위협 탐지를 위한 추가 정보를 제공합니다. 예를 들어 Netflow 또는 IPFIX입니다.
네트워크 장비의 부하를 확인하십시오. 흐름 프로토콜도 처리하지 못할 수도 있습니다. 그런 다음 가상 센서 또는 Netflow Generation Appliance 사용을 고려해보세요.
우선 액세스 수준에서 제어를 구현합니다. 이렇게 하면 모든 트래픽을 100% 볼 수 있는 기회가 제공됩니다.
선택의 여지가 없고 러시아 네트워크 장비를 사용하는 경우 흐름 프로토콜을 지원하거나 SPAN/RSPAN 포트가 있는 장비를 선택하십시오.
엣지의 침입/공격 탐지/방지 시스템과 내부 네트워크(클라우드 포함)의 흐름 분석 시스템을 결합합니다.

마지막 팁에 대해서는 이전에 이미 제시한 예를 하나 말씀드리고 싶습니다. 이전에 Cisco 정보 보안 서비스가 침입 탐지 시스템 및 서명 방법을 기반으로 정보 보안 모니터링 시스템을 거의 완전히 구축했다면 이제는 사고의 20%만 차지한다는 것을 알 수 있습니다. 또 다른 20%는 흐름 분석 시스템에 속하며, 이는 이러한 솔루션이 변덕스러운 것이 아니라 현대 기업의 정보 보안 서비스 활동에 사용되는 실제 도구임을 나타냅니다. 또한 구현에 있어 가장 중요한 것은 네트워크 인프라, 정보 보안 모니터링 기능을 네트워크에 할당하여 투자를 더욱 보호할 수 있는 것입니다.

네트워크 흐름에서 확인된 이상 징후나 위협에 대한 대응이라는 주제는 구체적으로 다루지 않았지만, 모니터링이 위협 탐지만으로 끝나서는 안 된다는 점은 이미 분명하다고 생각합니다. 그 다음에는 응답이 뒤따라야 하며 가급적이면 자동 또는 자동 모드로 진행해야 합니다. 그러나 이것은 별도의 기사에 대한 주제입니다.

추가 정보 :

추신. 위에 쓰여진 모든 내용을 듣는 것이 더 쉽다면 이 노트의 기초가 되는 한 시간 동안의 프레젠테이션을 시청할 수 있습니다.

출처 : habr.com

내부 네트워크 보안을 모니터링하기 위한 도구인 플로우 프로토콜

코멘트를 추가 답장을 취소