ການຕິດຕາມເຄືອຂ່າຍແລະການກວດພົບການເຄື່ອນໄຫວເຄືອຂ່າຍຜິດປົກກະຕິໂດຍໃຊ້ວິທີແກ້ໄຂ Flowmon Networks

ບໍ່ດົນມານີ້, ທ່ານສາມາດຊອກຫາວັດສະດຸຈໍານວນຫລາຍໃນຫົວຂໍ້ໃນອິນເຕີເນັດ. ການວິເຄາະການຈະລາຈອນໃນຂອບເຂດເຄືອຂ່າຍ. ໃນເວລາດຽວກັນ, ສໍາລັບເຫດຜົນບາງຢ່າງທີ່ທຸກຄົນລືມຫມົດກ່ຽວກັບ ການວິເຄາະການຈະລາຈອນທ້ອງຖິ່ນ, ຊຶ່ງບໍ່ມີຄວາມສໍາຄັນຫນ້ອຍ. ບົດຄວາມນີ້ເວົ້າເຖິງຫົວຂໍ້ນີ້ຢ່າງແນ່ນອນ. ຍົກ​ຕົວ​ຢ່າງ ເຄືອຂ່າຍ Flowmon ພວກເຮົາຈະຈື່ຈໍາ Netflow ເກົ່າທີ່ດີ (ແລະທາງເລືອກຂອງມັນ), ເບິ່ງກໍລະນີທີ່ຫນ້າສົນໃຈ, ຄວາມຜິດປົກກະຕິທີ່ເປັນໄປໄດ້ໃນເຄືອຂ່າຍແລະຊອກຫາຂໍ້ດີຂອງການແກ້ໄຂເມື່ອ ເຄືອຂ່າຍທັງຫມົດເຮັດວຽກເປັນເຊັນເຊີດຽວ. ແລະສໍາຄັນທີ່ສຸດ, ທ່ານສາມາດດໍາເນີນການວິເຄາະດັ່ງກ່າວຂອງການຈະລາຈອນໃນທ້ອງຖິ່ນຢ່າງສົມບູນໂດຍບໍ່ເສຍຄ່າ, ພາຍໃນຂອບເຂດຂອງໃບອະນຸຍາດທົດລອງ (45 ມື້). ຖ້າຫົວຂໍ້ແມ່ນຫນ້າສົນໃຈກັບທ່ານ, ຍິນດີຕ້ອນຮັບ cat. ຖ້າທ່ານຂີ້ກຽດເກີນໄປທີ່ຈະອ່ານ, ຫຼັງຈາກນັ້ນ, ຊອກຫາລ່ວງຫນ້າ, ທ່ານສາມາດລົງທະບຽນສໍາລັບ webinar ທີ່ຈະມາເຖິງ, ບ່ອນທີ່ພວກເຮົາຈະສະແດງແລະບອກທ່ານທຸກຢ່າງ (ທ່ານຍັງສາມາດຮຽນຮູ້ກ່ຽວກັບການຝຶກອົບຮົມຜະລິດຕະພັນທີ່ຈະມາເຖິງຢູ່ທີ່ນັ້ນ).

ເຄືອຂ່າຍ Flowmon ແມ່ນຫຍັງ?

ກ່ອນອື່ນ ໝົດ, Flowmon ແມ່ນຜູ້ຂາຍ IT ຂອງເອີຣົບ. ບໍລິສັດແມ່ນພາສາເຊັກໂກ, ມີສໍານັກງານໃຫຍ່ຢູ່ໃນ Brno (ບັນຫາການລົງໂທດແມ່ນບໍ່ໄດ້ຍົກຂຶ້ນມາ). ໃນຮູບແບບປະຈຸບັນ, ບໍລິສັດໄດ້ຢູ່ໃນຕະຫຼາດຕັ້ງແຕ່ປີ 2007. ກ່ອນຫນ້ານີ້, ມັນເປັນທີ່ຮູ້ຈັກພາຍໃຕ້ຍີ່ຫໍ້ Invea-Tech. ດັ່ງນັ້ນ, ໃນຈໍານວນທັງຫມົດ, ເກືອບ 20 ປີໄດ້ໃຊ້ເວລາໃນການພັດທະນາຜະລິດຕະພັນແລະວິທີແກ້ໄຂ.

Flowmon ຖືກຈັດເປັນຍີ່ຫໍ້ A-class. ພັດທະນາໂຊລູຊັ່ນລະດັບພຣີມຽມສຳລັບລູກຄ້າວິສາຫະກິດ ແລະຖືກຮັບຮູ້ຢູ່ໃນກ່ອງ Gartner ສໍາລັບການຕິດຕາມ ແລະວິນິໄສເຄືອຂ່າຍປະສິດທິພາບ (NPMD). ຍິ່ງໄປກວ່ານັ້ນ, ຫນ້າສົນໃຈ, ຂອງບໍລິສັດທັງຫມົດໃນບົດລາຍງານ, Flowmon ແມ່ນຜູ້ຂາຍດຽວທີ່ຖືກສັງເກດເຫັນໂດຍ Gartner ເປັນຜູ້ຜະລິດວິທີແກ້ໄຂສໍາລັບທັງການຕິດຕາມເຄືອຂ່າຍແລະການປົກປ້ອງຂໍ້ມູນ (ການວິເຄາະພຶດຕິກໍາເຄືອຂ່າຍ). ມັນບໍ່ໄດ້ເປັນອັນດັບຫນຶ່ງເທື່ອ, ແຕ່ເນື່ອງຈາກນີ້ມັນບໍ່ຢືນຄືກັບປີກ Boeing.

ຜະລິດຕະພັນແກ້ໄຂບັນຫາໃດແດ່?

ໃນທົ່ວໂລກ, ພວກເຮົາສາມາດຈໍາແນກກຸ່ມຂອງວຽກງານດັ່ງຕໍ່ໄປນີ້ແກ້ໄຂໂດຍຜະລິດຕະພັນຂອງບໍລິສັດ:

1. ເພີ່ມທະວີຄວາມຫມັ້ນຄົງຂອງເຄືອຂ່າຍ, ເຊັ່ນດຽວກັນກັບຊັບພະຍາກອນເຄືອຂ່າຍ, ໂດຍຫຼຸດຜ່ອນການ downtime ແລະຄວາມບໍ່ມີຂອງເຂົາເຈົ້າ;
2. ເພີ່ມລະດັບການປະຕິບັດເຄືອຂ່າຍໂດຍລວມ;
3. ການເພີ່ມປະສິດທິພາບຂອງພະນັກງານບໍລິຫານ ເນື່ອງຈາກ:
   • ການນໍາໃຊ້ເຄື່ອງມືຕິດຕາມກວດກາເຄືອຂ່າຍທີ່ທັນສະໄຫມໂດຍອີງໃສ່ຂໍ້ມູນກ່ຽວກັບການໄຫລຂອງ IP;
   • ສະຫນອງການວິເຄາະລາຍລະອຽດກ່ຽວກັບການເຮັດວຽກແລະສະຖານະຂອງເຄືອຂ່າຍ - ຜູ້ໃຊ້ແລະແອັບພລິເຄຊັນທີ່ເຮັດວຽກຢູ່ໃນເຄືອຂ່າຍ, ຂໍ້ມູນການຖ່າຍທອດ, ຊັບພະຍາກອນ, ການບໍລິການແລະຂໍ້;
   • ຕອບສະຫນອງຕໍ່ເຫດການກ່ອນທີ່ມັນຈະເກີດຂຶ້ນ, ແລະບໍ່ແມ່ນຫຼັງຈາກຜູ້ໃຊ້ແລະລູກຄ້າສູນເສຍການບໍລິການ;
   • ຫຼຸດຜ່ອນເວລາ ແລະຊັບພະຍາກອນທີ່ຈໍາເປັນເພື່ອບໍລິຫານເຄືອຂ່າຍ ແລະໂຄງລ່າງ IT;
   • ເຮັດໃຫ້ວຽກງານແກ້ໄຂບັນຫາງ່າຍຂຶ້ນ.
4. ​ເພີ່ມ​ທະວີ​ຄວາມ​ປອດ​ໄພ​ຂອງ​ເຄືອ​ຂ່າຍ ​ແລະ ຊັບພະຍາກອນ​ຂໍ້​ມູນ​ຂ່າວສານ​ຂອງ​ວິ​ສາ​ຫະກິດ, ​ໂດຍ​ຜ່ານ​ການ​ນຳ​ໃຊ້​ເຕັກ​ໂນ​ໂລ​ຊີ​ທີ່​ບໍ່​ມີ​ລາຍ​ເຊັນ​ໃນ​ການ​ກວດ​ສອບ​ການ​ເຄື່ອນ​ໄຫວ​ເຄືອ​ຂ່າຍ​ທີ່​ຜິດ​ລັກ​ສະ​ນະ ​ແລະ ຮ້າຍ​ແຮງ, ພ້ອມ​ທັງ “ການ​ໂຈມ​ຕີ​ບໍ່​ມີ​ວັນ”;
5. ຮັບປະກັນລະດັບ SLA ທີ່ຕ້ອງການສໍາລັບຄໍາຮ້ອງສະຫມັກເຄືອຂ່າຍແລະຖານຂໍ້ມູນ.

ຫຼັກຊັບຜະລິດຕະພັນ Flowmon Networks

ຕອນນີ້ໃຫ້ເບິ່ງໂດຍກົງຢູ່ໃນຫຼັກຊັບຜະລິດຕະພັນ Flowmon Networks ແລະຊອກຫາສິ່ງທີ່ບໍລິສັດເຮັດ. ດັ່ງທີ່ຫຼາຍຄົນໄດ້ຄາດເດົາແລ້ວຈາກຊື່, ຄວາມຊ່ຽວຊານຕົ້ນຕໍແມ່ນຢູ່ໃນການແກ້ໄຂສໍາລັບການຕິດຕາມການໄຫຼຂອງນ້ໍາ, ບວກກັບຈໍານວນໂມດູນເພີ່ມເຕີມທີ່ຂະຫຍາຍການເຮັດວຽກພື້ນຖານ.

ໃນຄວາມເປັນຈິງ, Flowmon ສາມາດເອີ້ນວ່າບໍລິສັດຂອງຜະລິດຕະພັນຫນຶ່ງ, ຫຼືແທນທີ່ຈະ, ການແກ້ໄຂຫນຶ່ງ. ລອງພິຈາລະນາເບິ່ງວ່າອັນນີ້ດີຫຼືບໍ່ດີ.

ຫຼັກ​ຂອງ​ລະ​ບົບ​ແມ່ນ​ຕົວ​ເກັບ​ກໍາ​, ທີ່​ຮັບ​ຜິດ​ຊອບ​ສໍາ​ລັບ​ການ​ເກັບ​ກໍາ​ຂໍ້​ມູນ​ໂດຍ​ນໍາ​ໃຊ້​ໂຄງ​ການ​ການ​ໄຫຼ​ຕ່າງໆ​, ເຊັ່ນ​: NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX... ມັນຂ້ອນຂ້າງສົມເຫດສົມຜົນວ່າສໍາລັບບໍລິສັດທີ່ບໍ່ກ່ຽວຂ້ອງກັບຜູ້ຜະລິດອຸປະກອນເຄືອຂ່າຍໃດກໍ່ຕາມ, ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະສະເຫນີໃຫ້ຕະຫຼາດເປັນຜະລິດຕະພັນທົ່ວໄປທີ່ບໍ່ຕິດກັບມາດຕະຖານຫຼືໂປໂຕຄອນຫນຶ່ງ.

Flowmon ເກັບ

ຕົວເກັບຂໍ້ມູນແມ່ນມີໃຫ້ທັງເປັນເຊີບເວີຮາດແວ ແລະເປັນເຄື່ອງສະເໝືອນ (VMware, Hyper-V, KVM). ໂດຍວິທີທາງການ, ແພລະຕະຟອມຮາດແວຖືກປະຕິບັດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ DELL ທີ່ກໍາຫນົດເອງ, ເຊິ່ງອັດຕະໂນມັດລົບລ້າງບັນຫາສ່ວນໃຫຍ່ທີ່ມີການຮັບປະກັນແລະ RMA. ອົງປະກອບຮາດແວທີ່ເປັນເຈົ້າຂອງດຽວແມ່ນບັດຈັບພາບການຈະລາຈອນ FPGA ພັດທະນາໂດຍບໍລິສັດຍ່ອຍຂອງ Flowmon, ເຊິ່ງອະນຸຍາດໃຫ້ຕິດຕາມດ້ວຍຄວາມໄວສູງເຖິງ 100 Gbps.

ແຕ່ສິ່ງທີ່ຕ້ອງເຮັດຖ້າອຸປະກອນເຄືອຂ່າຍທີ່ມີຢູ່ບໍ່ສາມາດສ້າງການໄຫຼເຂົ້າທີ່ມີຄຸນນະພາບສູງ? ຫຼືການໂຫຼດຂອງອຸປະກອນສູງເກີນໄປ? ບໍ່ມີບັນຫາ:

Flowmon Prob

ໃນກໍລະນີນີ້, Flowmon Networks ສະເຫນີໃຫ້ໃຊ້ probes ຂອງຕົນເອງ (Flowmon Probe), ເຊິ່ງເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍໂດຍຜ່ານ SPAN port ຂອງ switch ຫຼືໃຊ້ຕົວແຍກ TAP passive.

SPAN (ພອດກະຈົກ) ແລະຕົວເລືອກການປະຕິບັດ TAP

ໃນກໍລະນີນີ້, ການຈາລະຈອນດິບທີ່ມາຮອດ Flowmon Probe ຈະຖືກປ່ຽນເປັນ IPFIX ຂະຫຍາຍທີ່ມີຫຼາຍກວ່ານັ້ນ. 240 metrics ກັບ​ຂໍ້​ມູນ​. ໃນຂະນະທີ່ໂປໂຕຄອນ NetFlow ມາດຕະຖານທີ່ຜະລິດໂດຍອຸປະກອນເຄືອຂ່າຍມີບໍ່ເກີນ 80 metrics. ນີ້ອະນຸຍາດໃຫ້ສໍາລັບການເບິ່ງເຫັນໂປໂຕຄອນບໍ່ພຽງແຕ່ໃນລະດັບ 3 ແລະ 4, ແຕ່ຍັງຢູ່ໃນລະດັບ 7 ຕາມຮູບແບບ ISO OSI. ດັ່ງນັ້ນ, ຜູ້ບໍລິຫານເຄືອຂ່າຍສາມາດຕິດຕາມການເຮັດວຽກຂອງແອັບພລິເຄຊັນແລະໂປໂຕຄອນເຊັ່ນ e-mail, HTTP, DNS, SMB ...

ຕາມແນວຄວາມຄິດ, ສະຖາປັດຕະຍະກໍາຢ່າງມີເຫດຜົນຂອງລະບົບເບິ່ງຄືວ່າ:

ສ່ວນສູນກາງຂອງເຄືອຂ່າຍ Flowmon ທັງຫມົດ "ລະບົບນິເວດ" ແມ່ນຕົວເກັບລວບລວມ, ເຊິ່ງໄດ້ຮັບການຈະລາຈອນຈາກອຸປະກອນເຄືອຂ່າຍທີ່ມີຢູ່ແລ້ວຫຼືເຄື່ອງກວດຫາຂອງຕົນເອງ (Probe). ແຕ່ສໍາລັບການແກ້ໄຂວິສາຫະກິດ, ການສະຫນອງຫນ້າທີ່ພຽງແຕ່ສໍາລັບການຕິດຕາມການຈະລາຈອນເຄືອຂ່າຍຈະງ່າຍດາຍເກີນໄປ. ການແກ້ໄຂແຫຼ່ງເປີດຍັງສາມາດເຮັດສິ່ງນີ້ໄດ້, ເຖິງແມ່ນວ່າບໍ່ແມ່ນການປະຕິບັດດັ່ງກ່າວ. ມູນຄ່າຂອງ Flowmon ແມ່ນໂມດູນເພີ່ມເຕີມທີ່ຂະຫຍາຍການເຮັດວຽກພື້ນຖານ:

• ໂມດູນ ຄວາມ​ປອດ​ໄພ​ການ​ຊອກ​ຫາ​ຜິດ​ປົກ​ກະ​ຕິ​ - ການກໍານົດກິດຈະກໍາເຄືອຂ່າຍຜິດປົກກະຕິ, ລວມທັງການໂຈມຕີສູນ, ໂດຍອີງໃສ່ການວິເຄາະ heuristic ຂອງການຈະລາຈອນແລະໂປຣໄຟລ໌ເຄືອຂ່າຍປົກກະຕິ;
• ໂມດູນ ການກວດສອບການປະຕິບັດການສະ ໝັກ - ການ​ຕິດ​ຕາມ​ກວດ​ກາ​ການ​ປະ​ຕິ​ບັດ​ຂອງ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ເຄືອ​ຂ່າຍ​ໂດຍ​ບໍ່​ມີ​ການ​ຕິດ​ຕັ້ງ "ຕົວ​ແທນ​" ແລະ​ມີ​ອິດ​ທິ​ພົນ​ລະ​ບົບ​ເປົ້າ​ຫມາຍ​;
• ໂມດູນ ບັນທຶກການຈະລາຈອນ - ການບັນທຶກຊິ້ນສ່ວນຂອງການຈະລາຈອນເຄືອຂ່າຍຕາມຊຸດຂອງກົດລະບຽບທີ່ກໍານົດໄວ້ກ່ອນຫຼືອີງຕາມຕົວກະຕຸ້ນຈາກໂມດູນ ADS, ສໍາລັບການແກ້ໄຂບັນຫາເພີ່ມເຕີມແລະ / ຫຼືການສືບສວນເຫດການຄວາມປອດໄພຂອງຂໍ້ມູນ;
• ໂມດູນ ການປ້ອງກັນ DDoS – ການ​ປົກ​ປ້ອງ​ຂອບ​ເຂດ​ເຄືອ​ຂ່າຍ​ຈາກ​ການ​ປະ​ຕິ​ເສດ DoS/DDoS volumetric ຂອງ​ການ​ໂຈມ​ຕີ​ບໍ​ລິ​ການ​, ລວມ​ທັງ​ການ​ໂຈມ​ຕີ​ໃນ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ (OSI L3/L4/L7​)​.

ໃນບົດຄວາມນີ້, ພວກເຮົາຈະເບິ່ງວິທີການເຮັດວຽກທັງຫມົດດໍາລົງຊີວິດໂດຍໃຊ້ຕົວຢ່າງຂອງ 2 ໂມດູນ - ການຕິດຕາມປະສິດທິພາບເຄືອຂ່າຍ ແລະວິນິໄສ и ຄວາມ​ປອດ​ໄພ​ການ​ຊອກ​ຫາ​ຜິດ​ປົກ​ກະ​ຕິ​.
ຂໍ້ມູນເບື້ອງຕົ້ນ:

• ເຊີບເວີ Lenovo RS 140 ກັບ VMware 6.0 hypervisor;
• Flowmon Collector ຮູບພາບເຄື່ອງ virtual ທີ່ທ່ານສາມາດເຮັດໄດ້ ດາວ​ນ​໌​ໂຫລດ​ທີ່​ນີ້​;
• ຄູ່ຂອງສະຫວິດທີ່ສະຫນັບສະຫນູນໂປໂຕຄອນການໄຫຼ.

ຂັ້ນຕອນທີ 1. ຕິດຕັ້ງ Flowmon Collector

ການນຳໃຊ້ເຄື່ອງສະເໝືອນໃນ VMware ເກີດຂຶ້ນໃນແບບມາດຕະຖານທັງໝົດຈາກແມ່ແບບ OVF. ດັ່ງນັ້ນ, ພວກເຮົາໄດ້ຮັບເຄື່ອງ virtual ແລ່ນ CentOS ແລະມີຊອບແວພ້ອມທີ່ຈະໃຊ້. ຄວາມຕ້ອງການຊັບພະຍາກອນແມ່ນມະນຸດ:

ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນເພື່ອປະຕິບັດການເລີ່ມຕົ້ນພື້ນຖານໂດຍໃຊ້ຄໍາສັ່ງ sysconfig:

ພວກເຮົາກໍາຫນົດຄ່າ IP ໃນພອດການຈັດການ, DNS, ເວລາ, ຊື່ເຈົ້າພາບແລະສາມາດເຊື່ອມຕໍ່ກັບການໂຕ້ຕອບຂອງເວັບ.

ຂັ້ນຕອນທີ 2. ການຕິດຕັ້ງໃບອະນຸຍາດ

ໃບອະນຸຍາດທົດລອງສໍາລັບຫນຶ່ງເດືອນເຄິ່ງຫນຶ່ງແມ່ນຖືກສ້າງຂຶ້ນແລະດາວໂຫລດພ້ອມກັບຮູບພາບ virtual machine. ໂຫຼດຜ່ານ ສູນການຕັ້ງຄ່າ -> ໃບອະນຸຍາດ. ດັ່ງນັ້ນ, ພວກເຮົາເຫັນວ່າ:

ທັງຫມົດແມ່ນກຽມພ້ອມ. ເຈົ້າສາມາດເລີ່ມເຮັດວຽກໄດ້.

ຂັ້ນ​ຕອນ​ທີ 3. ການ​ຕັ້ງ​ຄ່າ​ເຄື່ອງ​ຮັບ​ໃນ​ຕົວ​ເກັບ​ກໍາ​

ໃນຂັ້ນຕອນນີ້, ທ່ານຈໍາເປັນຕ້ອງຕັດສິນໃຈວ່າລະບົບຈະໄດ້ຮັບຂໍ້ມູນຈາກແຫຼ່ງຕ່າງໆແນວໃດ. ດັ່ງທີ່ພວກເຮົາໄດ້ກ່າວກ່ອນຫນ້ານີ້, ນີ້ອາດຈະເປັນຫນຶ່ງຂອງໂປໂຕຄອນການໄຫຼຫຼືພອດ SPAN ໃນສະວິດ.

ໃນຕົວຢ່າງຂອງພວກເຮົາ, ພວກເຮົາຈະນໍາໃຊ້ການຮັບຂໍ້ມູນໂດຍໃຊ້ໂປໂຕຄອນ NetFlow v9 ແລະ IPFIX. ໃນກໍລະນີນີ້, ພວກເຮົາລະບຸທີ່ຢູ່ IP ຂອງການໂຕ້ຕອບການຈັດການເປັນເປົ້າຫມາຍ - 192.168.78.198. ອິນເຕີເຟດ eth2 ແລະ eth3 (ກັບປະເພດການໂຕ້ຕອບການຕິດຕາມ) ຖືກນໍາໃຊ້ເພື່ອຮັບສໍາເນົາຂອງການຈະລາຈອນ "ດິບ" ຈາກພອດ SPAN ຂອງສະວິດ. ພວກເຮົາປ່ອຍໃຫ້ພວກເຂົາຜ່ານ, ບໍ່ແມ່ນກໍລະນີຂອງພວກເຮົາ.
ຕໍ່ໄປ, ພວກເຮົາກວດເບິ່ງທ່າເຮືອເກັບລວບລວມບ່ອນທີ່ການຈະລາຈອນຄວນໄປ.

ໃນກໍລະນີຂອງພວກເຮົາ, ຜູ້ເກັບໄດ້ຟັງການຈາລະຈອນຢູ່ໃນພອດ UDP/2055.

ຂັ້ນຕອນທີ 4. ການຕັ້ງຄ່າອຸປະກອນເຄືອຂ່າຍສໍາລັບການໄຫຼອອກ

ການຕັ້ງຄ່າ NetFlow ໃນອຸປະກອນ Cisco Systems ອາດຈະຖືກເອີ້ນວ່າເປັນວຽກງານທົ່ວໄປຢ່າງສົມບູນສໍາລັບຜູ້ບໍລິຫານເຄືອຂ່າຍໃດໆ. ຕົວຢ່າງຂອງພວກເຮົາ, ພວກເຮົາຈະເອົາສິ່ງທີ່ຜິດປົກກະຕິຫຼາຍ. ຕົວຢ່າງ, ເຣົາເຕີ MikroTik RB2011UiAS-2HnD. ແມ່ນແລ້ວ, ແປກປະຫຼາດພຽງພໍ, ການແກ້ໄຂງົບປະມານດັ່ງກ່າວສໍາລັບຫ້ອງການຂະຫນາດນ້ອຍ ແລະບ້ານຍັງຮອງຮັບ NetFlow v5/v9 ແລະ IPFIX protocols. ໃນການຕັ້ງຄ່າ, ກໍານົດເປົ້າຫມາຍ (ທີ່ຢູ່ຜູ້ເກັບ 192.168.78.198 ແລະພອດ 2055):

ແລະເພີ່ມ metrics ທັງຫມົດທີ່ມີຢູ່ສໍາລັບການສົ່ງອອກ:

ໃນຈຸດນີ້, ພວກເຮົາສາມາດເວົ້າໄດ້ວ່າການຕິດຕັ້ງພື້ນຖານແມ່ນສໍາເລັດ. ພວກເຮົາກວດເບິ່ງວ່າການຈະລາຈອນເຂົ້າໄປໃນລະບົບບໍ.

ຂັ້ນ​ຕອນ​ທີ 5​: ການ​ທົດ​ສອບ​ແລະ​ການ​ປະ​ຕິ​ບັດ​ການ​ຕິດ​ຕາມ​ກວດ​ກາ​ປະ​ສິດ​ທິ​ພາບ​ເຄືອ​ຂ່າຍ​ແລະ​ໂມ​ດູນ​ວິ​ນິດ​ໄສ​

ທ່ານສາມາດກວດສອບການປະກົດຕົວຂອງການຈະລາຈອນຈາກແຫຼ່ງທີ່ຢູ່ໃນພາກ ສູນຕິດຕາມ Flowmon -> ແຫຼ່ງຂໍ້ມູນ:

ພວກເຮົາເຫັນວ່າຂໍ້ມູນກໍາລັງເຂົ້າໄປໃນລະບົບ. ບາງຄັ້ງຫຼັງຈາກຜູ້ເກັບລວບລວມຂໍ້ມູນໄດ້ສະສົມ, widget ຈະເລີ່ມສະແດງຂໍ້ມູນ:

ລະບົບດັ່ງກ່າວຖືກສ້າງຂຶ້ນໃນຫຼັກການເຈາະລົງ. ນັ້ນແມ່ນ, ຜູ້ໃຊ້, ເມື່ອເລືອກສ່ວນທີ່ມີຄວາມສົນໃຈໃນແຜນວາດຫຼືກາຟ, "ຕົກລົງ" ໃນລະດັບຄວາມເລິກຂອງຂໍ້ມູນທີ່ລາວຕ້ອງການ:

ລົງໄປຫາຂໍ້ມູນກ່ຽວກັບການເຊື່ອມຕໍ່ແຕ່ລະເຄືອຂ່າຍ ແລະການເຊື່ອມຕໍ່:

ຂັ້ນຕອນທີ 6. ໂມດູນຄວາມປອດໄພກວດຫາຜິດປົກກະຕິ

ໂມດູນນີ້ສາມາດເອີ້ນວ່າບາງທີຫນຶ່ງທີ່ຫນ້າສົນໃຈຫຼາຍທີ່ສຸດ, ຍ້ອນການນໍາໃຊ້ວິທີການທີ່ບໍ່ມີລາຍເຊັນສໍາລັບການກວດສອບຄວາມຜິດປົກກະຕິໃນການຈະລາຈອນເຄືອຂ່າຍແລະກິດຈະກໍາເຄືອຂ່າຍທີ່ເປັນອັນຕະລາຍ. ແຕ່ນີ້ບໍ່ແມ່ນການປຽບທຽບຂອງລະບົບ IDS/IPS. ການເຮັດວຽກກັບໂມດູນເລີ່ມຕົ້ນດ້ວຍ "ການຝຶກອົບຮົມ" ຂອງມັນ. ເພື່ອເຮັດສິ່ງນີ້, ຕົວຊ່ວຍສ້າງພິເສດກໍານົດອົງປະກອບແລະການບໍລິການທີ່ສໍາຄັນທັງຫມົດຂອງເຄືອຂ່າຍ, ລວມທັງ:

• ທີ່ຢູ່ gateway, DNS, DHCP ແລະເຄື່ອງແມ່ຂ່າຍ NTP,
• ທີ່ຢູ່ ໃນພາກສ່ວນຜູ້ໃຊ້ແລະເຄື່ອງແມ່ຂ່າຍ.

ຫຼັງຈາກນັ້ນ, ລະບົບຈະເຂົ້າສູ່ຮູບແບບການຝຶກອົບຮົມ, ເຊິ່ງໃຊ້ເວລາໂດຍສະເລ່ຍຈາກ 2 ອາທິດຫາ 1 ເດືອນ. ໃນລະຫວ່າງເວລານີ້, ລະບົບສ້າງການຈະລາຈອນພື້ນຖານທີ່ສະເພາະກັບເຄືອຂ່າຍຂອງພວກເຮົາ. ເວົ້າງ່າຍໆ, ລະບົບຮຽນຮູ້:

• ພຶດຕິກຳອັນໃດທີ່ປົກກະຕິສຳລັບໂຫນດເຄືອຂ່າຍ?
• ປະລິມານຂອງຂໍ້ມູນໃດທີ່ຖືກໂອນໂດຍປົກກະຕິແລະເປັນປົກກະຕິສໍາລັບເຄືອຂ່າຍ?
• ເວລາປະຕິບັດງານປົກກະຕິສໍາລັບຜູ້ໃຊ້ແມ່ນຫຍັງ?
• ແອັບພລິເຄຊັນໃດທີ່ເຮັດວຽກຢູ່ໃນເຄືອຂ່າຍ?
• ແລະອື່ນໆອີກ..

ດັ່ງນັ້ນ, ພວກເຮົາໄດ້ຮັບເຄື່ອງມືທີ່ກໍານົດຄວາມຜິດປົກກະຕິໃດໆໃນເຄືອຂ່າຍຂອງພວກເຮົາແລະ deviations ຈາກພຶດຕິກໍາປົກກະຕິ. ນີ້ແມ່ນບາງຕົວຢ່າງທີ່ລະບົບອະນຸຍາດໃຫ້ທ່ານສາມາດກວດພົບໄດ້:

• ການແຜ່ກະຈາຍຂອງ malware ໃຫມ່ໃນເຄືອຂ່າຍທີ່ບໍ່ໄດ້ຖືກກວດພົບໂດຍລາຍເຊັນຂອງ antivirus;
• ການສ້າງ DNS, ICMP ຫຼືອຸໂມງອື່ນໆແລະການສົ່ງຂໍ້ມູນຜ່ານ firewall;
• ຮູບລັກສະນະຂອງຄອມພິວເຕີໃຫມ່ໃນເຄືອຂ່າຍທີ່ເປັນ DHCP ແລະ / ຫຼືເຄື່ອງແມ່ຂ່າຍ DNS.

ມາເບິ່ງກັນວ່າມີຊີວິດແນວໃດ. ຫຼັງຈາກລະບົບຂອງທ່ານໄດ້ຮັບການຝຶກອົບຮົມ ແລະສ້າງພື້ນຖານຂອງການຈະລາຈອນເຄືອຂ່າຍ, ມັນຈະເລີ່ມກວດພົບເຫດການ:

ໜ້າຫຼັກຂອງໂມດູນແມ່ນກຳນົດເວລາສະແດງເຫດການທີ່ໄດ້ລະບຸໄວ້. ໃນຕົວຢ່າງຂອງພວກເຮົາ, ພວກເຮົາເຫັນຈຸດທີ່ຊັດເຈນ, ປະມານລະຫວ່າງ 9 ຫາ 16 ຊົ່ວໂມງ. ໃຫ້ເລືອກເອົາມັນແລະເບິ່ງລາຍລະອຽດເພີ່ມເຕີມ.

ພຶດຕິກໍາທີ່ຜິດປົກກະຕິຂອງຜູ້ໂຈມຕີໃນເຄືອຂ່າຍແມ່ນເຫັນໄດ້ຊັດເຈນ. ມັນທັງຫມົດເລີ່ມຕົ້ນດ້ວຍຄວາມຈິງທີ່ວ່າເຈົ້າພາບທີ່ມີທີ່ຢູ່ 192.168.3.225 ໄດ້ເລີ່ມຕົ້ນການສະແກນຕາມລວງນອນຂອງເຄືອຂ່າຍໃນພອດ 3389 (ບໍລິການ Microsoft RDP) ແລະພົບເຫັນ "ຜູ້ຖືກເຄາະຮ້າຍ" ທີ່ມີທ່າແຮງ 14:

и

ເຫດການທີ່ບັນທຶກໄວ້ຕໍ່ໄປນີ້ - ເຈົ້າພາບ 192.168.3.225 ເລີ່ມຕົ້ນການໂຈມຕີແບບບັງຄັບ brute force ລະຫັດຜ່ານໃນການບໍລິການ RDP (ພອດ 3389) ຢູ່ທີ່ທີ່ຢູ່ທີ່ໄດ້ລະບຸໄວ້ກ່ອນຫນ້ານີ້:

ເປັນຜົນມາຈາກການໂຈມຕີ, ກວດພົບຄວາມຜິດປົກກະຕິ SMTP ໃນໜຶ່ງໃນໂຮສທີ່ຖືກແຮັກ. ໃນຄໍາສັບຕ່າງໆອື່ນໆ, SPAM ໄດ້ເລີ່ມຕົ້ນ:

ຕົວຢ່າງນີ້ແມ່ນສະແດງໃຫ້ເຫັນຢ່າງຈະແຈ້ງກ່ຽວກັບຄວາມສາມາດຂອງລະບົບແລະໂມດູນຄວາມປອດໄພກວດຫາຄວາມຜິດປົກກະຕິໂດຍສະເພາະ. ຕັດສິນປະສິດທິພາບສໍາລັບຕົວທ່ານເອງ. ນີ້ສະຫຼຸບພາບລວມທີ່ເປັນປະໂຫຍດຂອງການແກ້ໄຂ.

ສະຫລຸບ

ຂໍໃຫ້ສະຫຼຸບສິ່ງທີ່ພວກເຮົາສາມາດສະຫຼຸບກ່ຽວກັບ Flowmon:

• Flowmon ເປັນການແກ້ໄຂທີ່ນິຍົມສໍາລັບລູກຄ້າຂອງບໍລິສັດ;
• ຂໍຂອບໃຈກັບຄວາມຫຼາກຫຼາຍແລະຄວາມເຂົ້າກັນໄດ້ຂອງມັນ, ການລວບລວມຂໍ້ມູນແມ່ນມີຢູ່ຈາກແຫຼ່ງໃດກໍ່ຕາມ: ອຸປະກອນເຄືອຂ່າຍ (Cisco, Juniper, HPE, Huawei ...) ຫຼື probes ຂອງທ່ານເອງ (Flowmon Probe);
• ຄວາມສາມາດໃນການປັບຂະຫນາດຂອງການແກ້ໄຂຊ່ວຍໃຫ້ທ່ານສາມາດຂະຫຍາຍການເຮັດວຽກຂອງລະບົບໂດຍການເພີ່ມໂມດູນໃຫມ່, ເຊັ່ນດຽວກັນກັບການເພີ່ມຜົນຜະລິດຍ້ອນວິທີການທີ່ມີຄວາມຍືດຫຍຸ່ນໃນການອອກໃບອະນຸຍາດ;
• ຜ່ານການໃຊ້ເທັກໂນໂລຍີການວິເຄາະທີ່ບໍ່ມີລາຍເຊັນ, ລະບົບອະນຸຍາດໃຫ້ທ່ານສາມາດກວດພົບການໂຈມຕີແບບບໍ່ມີວັນເຖິງແມ່ນຈະບໍ່ຮູ້ຈັກກັບ antiviruses ແລະລະບົບ IDS/IPS;
• ຂອບໃຈທີ່ສໍາເລັດ "ຄວາມໂປ່ງໃສ" ໃນການຕິດຕັ້ງແລະການປະກົດຕົວຂອງລະບົບໃນເຄືອຂ່າຍ - ການແກ້ໄຂບໍ່ມີຜົນກະທົບຕໍ່ການດໍາເນີນງານຂອງ nodes ແລະອົງປະກອບອື່ນໆຂອງໂຄງສ້າງ IT ຂອງທ່ານ;
• Flowmon ແມ່ນການແກ້ໄຂພຽງແຕ່ໃນຕະຫຼາດທີ່ສະຫນັບສະຫນູນການຕິດຕາມການຈະລາຈອນທີ່ມີຄວາມໄວສູງເຖິງ 100 Gbps;
• Flowmon ແມ່ນການແກ້ໄຂສໍາລັບເຄືອຂ່າຍຂອງຂະຫນາດໃດຫນຶ່ງ;
• ອັດຕາສ່ວນລາຄາ / ຫນ້າທີ່ທີ່ດີທີ່ສຸດໃນບັນດາວິທີແກ້ໄຂທີ່ຄ້າຍຄືກັນ.

ໃນການທົບທວນຄືນນີ້, ພວກເຮົາໄດ້ກວດເບິ່ງຫນ້ອຍກວ່າ 10% ຂອງການເຮັດວຽກທັງຫມົດຂອງການແກ້ໄຂ. ໃນບົດຄວາມຕໍ່ໄປພວກເຮົາຈະເວົ້າກ່ຽວກັບໂມດູນ Flowmon Networks ທີ່ຍັງເຫຼືອ. ການນໍາໃຊ້ໂມດູນການຕິດຕາມການປະຕິບັດຂອງແອັບພລິເຄຊັນເປັນຕົວຢ່າງ, ພວກເຮົາຈະສະແດງໃຫ້ເຫັນວ່າຜູ້ບໍລິຫານແອັບພລິເຄຊັນທຸລະກິດສາມາດຮັບປະກັນການມີຢູ່ໃນລະດັບ SLA ທີ່ກໍານົດໄວ້, ເຊັ່ນດຽວກັນກັບການວິນິດໄສບັນຫາໄວເທົ່າທີ່ຈະໄວໄດ້.

ນອກຈາກນັ້ນ, ພວກເຮົາຂໍເຊີນທ່ານເຂົ້າຮ່ວມກອງປະຊຸມທາງເວັບຂອງພວກເຮົາ (10.09.2019/XNUMX/XNUMX) ອຸທິດຕົນເພື່ອການແກ້ໄຂຂອງເຄືອຂ່າຍ Flowmon ຜູ້ຂາຍ. ເພື່ອລົງທະບຽນລ່ວງໜ້າ, ພວກເຮົາຂໍໃຫ້ທ່ານ ລົງທະບຽນທີ່ນີ້.
ນັ້ນແມ່ນທັງຫມົດສໍາລັບຕອນນີ້, ຂອບໃຈສໍາລັບຄວາມສົນໃຈຂອງທ່ານ!

ພຽງແຕ່ຜູ້ໃຊ້ລົງທະບຽນສາມາດເຂົ້າຮ່ວມໃນການສໍາຫຼວດ. ເຂົ້າ​ສູ່​ລະ​ບົບກະລຸນາ.

ທ່ານກໍາລັງໃຊ້ Netflow ສໍາລັບການກວດສອບເຄືອຂ່າຍບໍ?

• ແມ່ນ​ແລ້ວ

• ບໍ່, ແຕ່ຂ້ອຍວາງແຜນທີ່ຈະ

• ບໍ່​ມີ

9 ຜູ້ໃຊ້ລົງຄະແນນສຽງ. 3 ຜູ້ໃຊ້ງົດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com