Flowmon Networks 솔루션을 이용한 네트워크 모니터링 및 비정상적인 네트워크 활동 감지

최근 인터넷에서 해당 주제에 관한 엄청난 양의 자료를 찾을 수 있습니다. 네트워크 경계에서의 트래픽 분석. 동시에, 어떤 이유로 모두가 완전히 잊어 버렸습니다. 지역 교통 분석, 이는 그다지 중요하지 않습니다. 이 기사에서는 바로 이 주제를 다루고 있습니다. 예를 들어 플로우몬네트웍스 우리는 오래된 Netflow(및 그 대안)를 기억하고, 흥미로운 사례와 네트워크에서 발생할 수 있는 이상 현상을 살펴보고, 다음과 같은 경우 솔루션의 장점을 알아봅니다. 전체 네트워크가 단일 센서로 작동. 그리고 가장 중요한 것은 평가판 라이센스 프레임워크 내에서 지역 트래픽 분석을 완전히 무료로 수행할 수 있다는 것입니다(45 일). 주제가 흥미롭다면 고양이에 오신 것을 환영합니다. 읽기가 너무 게으른 경우 앞을 내다보고 등록할 수 있습니다. 다가오는 웹 세미나에서 모든 내용을 보여주고 설명합니다(예정된 제품 교육에 대해서도 알아볼 수 있습니다).

플로우몬네트웍스란?

먼저 플로우몬은 유럽의 IT 벤더입니다. 회사는 체코이고 브르노에 본사가 있습니다(제재 문제는 제기되지도 않았습니다). 현재 형태로 이 회사는 2007년부터 시장에 출시되었습니다. 이전에는 Invea-Tech 브랜드로 알려졌습니다. 따라서 제품과 솔루션을 개발하는 데 거의 20년이 소요되었습니다.

플로우몬은 A급 브랜드로 자리잡고 있습니다. 기업 고객을 위한 프리미엄 솔루션을 개발하고 Gartner의 NPMD(네트워크 성능 모니터링 및 진단) 부문에서 인정을 받았습니다. 또한 흥미롭게도 보고서에 포함된 모든 회사 중에서 Flowmon은 Gartner가 네트워크 모니터링 및 정보 보호(네트워크 행동 분석) 솔루션 제조업체로 언급한 유일한 공급업체입니다. 아직 XNUMX위는 아니지만, 이로 인해 보잉 날개처럼 서 있지는 않습니다.

제품은 어떤 문제를 해결하는가?

전 세계적으로 회사 제품으로 해결되는 작업 풀은 다음과 같이 구분할 수 있습니다.

1. 가동 중지 시간과 비가용성을 최소화하여 네트워크 및 네트워크 리소스의 안정성을 높입니다.
2. 네트워크 성능의 전반적인 수준을 향상시킵니다.
3. 다음과 같은 이유로 행정 인력의 효율성이 향상됩니다.
   • IP 흐름에 대한 정보를 기반으로 하는 현대적이고 혁신적인 네트워크 모니터링 도구를 사용합니다.
   • 네트워크에서 실행되는 사용자 및 애플리케이션, 전송된 데이터, 상호 작용하는 리소스, 서비스 및 노드 등 네트워크의 기능 및 상태에 대한 자세한 분석을 제공합니다.
   • 사용자와 고객의 서비스가 중단된 후가 아니라 사고가 발생하기 전에 대응합니다.
   • 네트워크 및 IT 인프라를 관리하는 데 필요한 시간과 리소스를 줄입니다.
   • 문제 해결 작업을 단순화합니다.
4. 비시그니처 기술을 사용하여 변칙적이고 악의적인 네트워크 활동과 "제로 데이 공격"을 탐지함으로써 기업의 네트워크 및 정보 자원의 보안 수준을 높입니다.
5. 네트워크 애플리케이션 및 데이터베이스에 필요한 SLA 수준을 보장합니다.

Flowmon Networks 제품 포트폴리오

이제 Flowmon Networks의 제품 포트폴리오를 직접 살펴보고 회사가 정확히 어떤 일을 하는지 알아보겠습니다. 많은 사람들이 이름에서 이미 짐작했듯이, 주요 전문 분야는 스트리밍 흐름 트래픽 모니터링 솔루션과 기본 기능을 확장하는 다양한 추가 모듈입니다.

사실 플로우몬은 하나의 제품, 아니 오히려 하나의 솔루션을 갖춘 회사라고 할 수 있습니다. 이것이 좋은지 나쁜지 알아 봅시다.

시스템의 핵심은 다음과 같은 다양한 흐름 프로토콜을 사용하여 데이터 수집을 담당하는 수집기입니다. NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX... 네트워크 장비 제조업체와 제휴하지 않은 회사의 경우 하나의 표준이나 프로토콜에 얽매이지 않는 범용 제품을 시장에 제공하는 것이 중요하다는 것은 매우 논리적입니다.

플로우몬 콜렉터

수집기는 하드웨어 서버와 가상 머신(VMware, Hyper-V, KVM)으로 모두 사용할 수 있습니다. 그런데 하드웨어 플랫폼은 맞춤형 DELL 서버에 구현되어 보증 및 RMA와 관련된 대부분의 문제를 자동으로 제거합니다. 유일한 독점 하드웨어 구성 요소는 Flowmon 자회사가 개발한 FPGA 트래픽 캡처 카드로, 최대 100Gbps의 속도로 모니터링이 가능합니다.

그런데 기존 네트워크 장비로 고품질의 흐름을 생성할 수 없다면 어떻게 해야 할까요? 아니면 장비의 부하가 너무 높습니까? 괜찮아요:

플로우몬 프로브

이 경우 Flowmon Networks는 스위치의 SPAN 포트를 통해 또는 패시브 TAP 스플리터를 사용하여 네트워크에 연결되는 자체 프로브(Flowmon 프로브)를 사용할 것을 제안합니다.

SPAN(미러 포트) 및 TAP 구현 옵션

이 경우 Flowmon 프로브에 도착하는 원시 트래픽은 더 많은 정보를 포함하는 확장된 IPFIX로 변환됩니다. 정보가 포함된 240개 측정항목. 네트워크 장비에서 생성된 표준 NetFlow 프로토콜에는 80개 이하의 메트릭이 포함됩니다. 이를 통해 ISO OSI 모델에 따라 레벨 3과 4뿐 아니라 레벨 7에서도 프로토콜 가시성을 확보할 수 있습니다. 결과적으로 네트워크 관리자는 이메일, HTTP, DNS, SMB와 같은 애플리케이션 및 프로토콜의 기능을 모니터링할 수 있습니다.

개념적으로 시스템의 논리적 아키텍처는 다음과 같습니다.

Flowmon Networks 전체 "생태계"의 중심 부분은 기존 네트워크 장비 또는 자체 프로브(Probe)로부터 트래픽을 수신하는 Collector입니다. 그러나 엔터프라이즈 솔루션의 경우 네트워크 트래픽 모니터링만을 위한 기능을 제공하는 것은 너무 간단합니다. 오픈 소스 솔루션도 이러한 성능을 제공하지는 못하더라도 이를 수행할 수 있습니다. Flowmon의 가치는 기본 기능을 확장하는 추가 모듈입니다.

• 모듈 이상 탐지 보안 – 트래픽에 대한 경험적 분석과 일반적인 네트워크 프로필을 기반으로 제로데이 공격을 포함한 비정상적인 네트워크 활동을 식별합니다.
• 모듈 애플리케이션 성능 모니터링 – "에이전트"를 설치하거나 대상 시스템에 영향을 주지 않고 네트워크 애플리케이션의 성능을 모니터링합니다.
• 모듈 트래픽 레코더 – 추가 문제 해결 및/또는 정보 보안 사고 조사를 위해 사전 정의된 규칙 세트 또는 ADS 모듈의 트리거에 따라 네트워크 트래픽 조각을 기록합니다.
• 모듈 DDoS 방지 – 애플리케이션에 대한 공격(OSI L3/L4/L7)을 포함하여 대규모 DoS/DDoS 서비스 거부 공격으로부터 네트워크 경계를 보호합니다.

이 기사에서는 두 가지 모듈의 예를 사용하여 모든 것이 실시간으로 작동하는 방식을 살펴보겠습니다. 네트워크 성능 모니터링 및 진단 и 이상 탐지 보안.
기준선 :

• VMware 140 하이퍼바이저를 갖춘 Lenovo RS 6.0 서버;
• Flowmon Collector 가상 머신 이미지를 사용할 수 있습니다. 여기에서 다운로드하십시오;
• 흐름 프로토콜을 지원하는 스위치 쌍.

1단계. Flowmon Collector 설치

VMware에서 가상 머신 배포는 OVF 템플릿에서 완전히 표준적인 방식으로 수행됩니다. 결과적으로 우리는 CentOS를 실행하고 바로 사용할 수 있는 소프트웨어를 갖춘 가상 머신을 갖게 되었습니다. 자원 요구 사항은 인도적입니다.

남은 것은 명령을 사용하여 기본 초기화를 수행하는 것입니다. 시스템 구성:

관리 포트에 IP, DNS, 시간, 호스트 이름을 구성하고 WEB 인터페이스에 연결할 수 있습니다.

2단계. 라이센스 설치

XNUMX개월 반 동안 사용할 수 있는 평가판 라이센스가 생성되어 가상 머신 이미지와 함께 다운로드됩니다. 다음을 통해 로드됨 구성 센터 -> 라이센스. 결과적으로 다음을 볼 수 있습니다.

모든 것이 준비되었습니다. 작업을 시작할 수 있습니다.

3단계. 수집기에서 수신기 설정

이 단계에서는 시스템이 소스로부터 데이터를 수신하는 방법을 결정해야 합니다. 앞서 말했듯이 이는 흐름 프로토콜 중 하나이거나 스위치의 SPAN 포트일 수 있습니다.

이 예에서는 프로토콜을 사용하여 데이터 수신을 사용합니다. NetFlow v9 및 IPFIX. 이 경우 관리 인터페이스의 IP 주소를 대상으로 지정합니다. 192.168.78.198. 인터페이스 eth2 및 eth3(모니터링 인터페이스 유형 포함)은 스위치의 SPAN 포트에서 "원시" 트래픽 복사본을 수신하는 데 사용됩니다. 우리의 경우가 아니라 우리가 그것을 통과시켰습니다.
다음으로 트래픽이 이동해야 하는 수집기 포트를 확인합니다.

우리의 경우 수집기는 포트 UDP/2055에서 트래픽을 수신합니다.

4단계. 흐름 내보내기를 위한 네트워크 장비 구성

Cisco Systems 장비에 NetFlow를 설정하는 것은 모든 네트워크 관리자에게 완전히 일반적인 작업이라고 할 수 있습니다. 이 예에서는 좀 더 특이한 것을 살펴보겠습니다. 예를 들어 MikroTik RB2011UiAS-2HnD 라우터가 있습니다. 예, 이상하게도 소규모 및 홈 오피스를 위한 이러한 예산 솔루션은 NetFlow v5/v9 및 IPFIX 프로토콜도 지원합니다. 설정에서 대상(수집기 주소 192.168.78.198 및 포트 2055)을 설정합니다.

그리고 내보낼 수 있는 모든 측정항목을 추가하세요.

이제 기본 설정이 완료되었다고 할 수 있습니다. 트래픽이 시스템으로 유입되는지 확인합니다.

5단계: 네트워크 성능 모니터링 및 진단 모듈 테스트 및 작동

섹션에서 소스의 트래픽 존재 여부를 확인할 수 있습니다. 플로우몬 모니터링 센터 –> 출처:

데이터가 시스템에 입력되는 것을 볼 수 있습니다. 수집기가 트래픽을 축적한 후 얼마 후에 위젯에 정보가 표시되기 시작합니다.

이 시스템은 드릴다운 원칙을 기반으로 구축되었습니다. 즉, 사용자가 다이어그램이나 그래프에서 관심 있는 부분을 선택할 때 필요한 데이터 깊이 수준으로 "떨어집니다".

각 네트워크 연결 및 연결에 대한 정보는 다음과 같습니다.

6단계. 이상 탐지 보안 모듈

이 모듈은 아마도 가장 흥미로운 모듈 중 하나라고 할 수 있습니다. 시그니처가 필요 없는 방법을 사용하여 네트워크 트래픽의 이상 징후와 악의적인 네트워크 활동을 탐지하는 덕분입니다. 그러나 이것은 IDS/IPS 시스템과 유사하지 않습니다. 모듈 작업은 "훈련"으로 시작됩니다. 이를 위해 특수 마법사는 다음을 포함하여 네트워크의 모든 주요 구성 요소와 서비스를 지정합니다.

• 게이트웨이 주소, DNS, DHCP 및 NTP 서버,
• 사용자 및 서버 세그먼트의 주소 지정.

그 후 시스템은 훈련 모드로 들어가며, 이는 평균 2주에서 1개월 동안 지속됩니다. 이 시간 동안 시스템은 당사 네트워크와 관련된 기본 트래픽을 생성합니다. 간단히 말해서 시스템은 다음을 학습합니다.

• 네트워크 노드의 일반적인 동작은 무엇입니까?
• 일반적으로 전송되는 데이터의 양은 어느 정도이며 네트워크에 정상입니까?
• 사용자의 일반적인 사용 시간은 얼마나 됩니까?
• 네트워크에서 어떤 응용 프로그램이 실행됩니까?
• 그리고 훨씬 더 ..

결과적으로 우리는 네트워크의 모든 이상 현상과 일반적인 동작과의 편차를 식별하는 도구를 얻게 됩니다. 다음은 시스템에서 감지할 수 있는 몇 가지 예입니다.

• 바이러스 백신 서명으로 탐지되지 않는 새로운 악성 코드가 네트워크에 배포됩니다.
• DNS, ICMP 또는 기타 터널을 구축하고 방화벽을 우회하여 데이터를 전송합니다.
• 네트워크에 DHCP 및/또는 DNS 서버로 위장한 새 컴퓨터의 출현.

어떤 모습인지 라이브로 살펴보겠습니다. 시스템이 훈련되고 네트워크 트래픽 기준이 구축되면 사고 감지가 시작됩니다.

모듈의 기본 페이지는 식별된 사건을 표시하는 타임라인입니다. 이 예에서는 대략 9시간에서 16시간 사이에 뚜렷한 스파이크가 나타납니다. 선택해서 좀 더 자세히 살펴보겠습니다.

네트워크에서 공격자의 변칙적인 행동이 명확하게 보입니다. 모든 것은 주소가 192.168.3.225인 호스트가 포트 3389(Microsoft RDP 서비스)에서 네트워크의 수평 스캔을 시작했고 14명의 잠재적인 "피해자"를 발견했다는 사실에서 시작됩니다.

и

다음 기록된 사건 - 호스트 192.168.3.225는 이전에 식별된 주소의 RDP 서비스(포트 3389)에 대한 무차별 암호 대입 공격을 시작합니다.

공격 결과, 해킹된 호스트 중 하나에서 SMTP 이상 현상이 감지되었습니다. 즉, SPAM이 시작되었습니다.

이 예는 시스템과 특히 이상 탐지 보안 모듈의 기능을 명확하게 보여줍니다. 효과는 직접 판단해 보세요. 이것으로 솔루션의 기능 개요를 마칩니다.

결론

Flowmon에 대해 어떤 결론을 내릴 수 있는지 요약해 보겠습니다.

• Flowmon은 기업 고객을 위한 프리미엄 솔루션입니다.
• 다용성과 호환성 덕분에 네트워크 장비(Cisco, Juniper, HPE, Huawei...) 또는 자체 프로브(Flowmon Probe) 등 모든 소스에서 데이터 수집이 가능합니다.
• 솔루션의 확장성 기능을 사용하면 새 모듈을 추가하여 시스템 기능을 확장할 수 있을 뿐만 아니라 라이센스에 대한 유연한 접근 방식을 통해 생산성을 높일 수 있습니다.
• 시그니처 프리 분석 기술을 사용하면 바이러스 백신 및 IDS/IPS 시스템에 알려지지 않은 제로 데이 공격을 탐지할 수 있습니다.
• 네트워크에서의 시스템 설치 및 존재 측면에서 완벽한 "투명성" 덕분에 솔루션은 IT 인프라의 다른 노드 및 구성 요소 작동에 영향을 미치지 않습니다.
• Flowmon은 최대 100Gbps의 속도로 트래픽 모니터링을 지원하는 시장에서 유일한 솔루션입니다.
• Flowmon은 모든 규모의 네트워크를 위한 솔루션입니다.
• 유사한 솔루션 중에서 최고의 가격/기능 비율을 제공합니다.

이번 검토에서 우리는 솔루션의 전체 기능 중 10% 미만을 조사했습니다. 다음 기사에서는 나머지 Flowmon Networks 모듈에 대해 이야기하겠습니다. 애플리케이션 성능 모니터링 모듈을 예로 사용하여 비즈니스 애플리케이션 관리자가 주어진 SLA 수준에서 가용성을 보장하고 문제를 최대한 빨리 진단할 수 있는 방법을 보여줍니다.

또한 공급업체인 Flowmon Networks의 솔루션에 관한 웨비나(10.09.2019년 XNUMX월 XNUMX일)에 여러분을 초대하고 싶습니다. 사전등록을 하시려면 여기에 등록하세요.
지금은 여기까지입니다. 관심을 가져주셔서 감사합니다!

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

네트워크 모니터링을 위해 Netflow를 사용하고 있습니까?

• Да

• 아니요, 하지만 그럴 계획이에요

• 아니

9명의 사용자가 투표했습니다. 3명의 사용자가 기권했습니다.

출처 : habr.com