Flow protocols ເປັນເຄື່ອງມືໃນການຕິດຕາມຄວາມປອດໄພຂອງເຄືອຂ່າຍພາຍໃນ

ໃນເວລາທີ່ມັນມາກັບການຕິດຕາມຄວາມປອດໄພຂອງເຄືອຂ່າຍຂອງບໍລິສັດພາຍໃນຫຼືພະແນກ, ຫຼາຍຄົນເຊື່ອມໂຍງກັບມັນກັບການຄວບຄຸມການຮົ່ວໄຫລຂອງຂໍ້ມູນແລະການປະຕິບັດການແກ້ໄຂ DLP. ແລະຖ້າທ່ານພະຍາຍາມຊີ້ແຈງຄໍາຖາມແລະຖາມວິທີທີ່ທ່ານກວດພົບການໂຈມຕີໃນເຄືອຂ່າຍພາຍໃນ, ຫຼັງຈາກນັ້ນຄໍາຕອບຈະ, ຕາມກົດລະບຽບ, ເປັນການກ່າວເຖິງລະບົບການກວດສອບການລ່ວງລະເມີດ (IDS). ແລະສິ່ງທີ່ເປັນທາງເລືອກດຽວ 10-20 ປີກ່ອນຫນ້ານີ້ແມ່ນກາຍເປັນ anachronism ໃນມື້ນີ້. ມີປະສິດທິພາບຫຼາຍຂຶ້ນ, ແລະໃນບາງບ່ອນ, ທາງເລືອກດຽວທີ່ເປັນໄປໄດ້ສໍາລັບການກວດສອບເຄືອຂ່າຍພາຍໃນ - ການນໍາໃຊ້ໂປໂຕຄອນການໄຫຼ, ເຊິ່ງໄດ້ຖືກອອກແບບໃນເບື້ອງຕົ້ນເພື່ອຄົ້ນຫາບັນຫາເຄືອຂ່າຍ (ການແກ້ໄຂບັນຫາ), ແຕ່ເມື່ອເວລາຜ່ານໄປ, ປ່ຽນເປັນເຄື່ອງມືຄວາມປອດໄພທີ່ຫນ້າສົນໃຈຫຼາຍ. ພວກເຮົາຈະເວົ້າກ່ຽວກັບການໄຫຼເຂົ້າຂອງໂປໂຕຄອນແມ່ນຫຍັງແລະອັນໃດດີກວ່າໃນການກວດສອບການໂຈມຕີເຄືອຂ່າຍ, ບ່ອນທີ່ມັນດີທີ່ສຸດໃນການປະຕິບັດການຕິດຕາມການໄຫຼ, ສິ່ງທີ່ຕ້ອງຊອກຫາໃນເວລາທີ່ນໍາໃຊ້ໂຄງການດັ່ງກ່າວ, ແລະແມ້ກະທັ້ງວິທີການ "ຍົກ" ທັງຫມົດນີ້ຢູ່ໃນອຸປະກອນພາຍໃນປະເທດ. ຢູ່ໃນຂອບເຂດຂອງບົດຄວາມນີ້.

ຂ້າພະເຈົ້າຈະບໍ່ຢູ່ໃນຄໍາຖາມທີ່ວ່າ "ເປັນຫຍັງການກວດສອບຄວາມປອດໄພຂອງໂຄງສ້າງພື້ນຖານພາຍໃນຈຶ່ງຈໍາເປັນ?" ຄໍາຕອບເບິ່ງຄືວ່າຈະແຈ້ງ. ແຕ່ຖ້າຫາກວ່າ, ຢ່າງໃດກໍຕາມ, ທ່ານຕ້ອງການໃຫ້ແນ່ໃຈວ່າອີກເທື່ອຫນຶ່ງວ່າມື້ນີ້ທ່ານບໍ່ສາມາດດໍາລົງຊີວິດໂດຍບໍ່ມີການມັນ, ເບິ່ງ ວິດີໂອສັ້ນກ່ຽວກັບວິທີທີ່ທ່ານສາມາດເຈາະເຄືອຂ່າຍຂອງບໍລິສັດທີ່ປ້ອງກັນໂດຍ firewall ໃນ 17 ວິທີ. ດັ່ງນັ້ນ, ພວກເຮົາຈະສົມມຸດວ່າພວກເຮົາເຂົ້າໃຈວ່າການຕິດຕາມພາຍໃນເປັນສິ່ງທີ່ຈໍາເປັນແລະທັງຫມົດທີ່ຍັງຄົງຢູ່ແມ່ນເພື່ອເຂົ້າໃຈວິທີການຈັດລະບຽບ.

ຂ້າພະເຈົ້າຈະຍົກໃຫ້ເຫັນສາມແຫຼ່ງຂໍ້ມູນທີ່ສໍາຄັນສໍາລັບການຕິດຕາມໂຄງສ້າງພື້ນຖານໃນລະດັບເຄືອຂ່າຍ:

• "ວັດຖຸດິບ" ການຈະລາຈອນທີ່ພວກເຮົາເກັບກໍາແລະສົ່ງສໍາລັບການວິເຄາະລະບົບການວິເຄາະສະເພາະໃດຫນຶ່ງ,
• ເຫດການຈາກອຸປະກອນເຄືອຂ່າຍທີ່ການຈະລາຈອນຜ່ານ,
• ຂໍ້​ມູນ​ການ​ຈະ​ລາ​ຈອນ​ທີ່​ໄດ້​ຮັບ​ໂດຍ​ຜ່ານ​ການ​ຫນຶ່ງ​ຂອງ​ໂປ​ຣ​ໂຕ​ຄອນ​ການ​ໄຫຼ​.

ການຈັບພາບການຈາລະຈອນດິບແມ່ນທາງເລືອກທີ່ນິຍົມທີ່ສຸດໃນບັນດາຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພ, ເພາະວ່າມັນປາກົດຢູ່ໃນປະຫວັດສາດແລະເປັນຄັ້ງທໍາອິດ. ລະບົບການກວດສອບການລ່ວງລະເມີດເຄືອຂ່າຍແບບດັ້ງເດີມ (ລະບົບການກວດສອບການບຸກລຸກທາງການຄ້າຄັ້ງທໍາອິດແມ່ນ NetRanger ຈາກກຸ່ມລໍ້, ຊື້ໃນປີ 1998 ໂດຍ Cisco) ໄດ້ມີສ່ວນຮ່ວມຢ່າງແນ່ນອນໃນການຈັບແພັກເກັດ (ແລະກອງປະຊຸມຕໍ່ມາ) ເຊິ່ງບາງລາຍເຊັນໄດ້ຖືກຊອກຫາ ("ກົດລະບຽບການຕັດສິນ" ໃນ FSTEC terminology), ສັນຍານການໂຈມຕີ. ແນ່ນອນ, ທ່ານສາມາດວິເຄາະການຈະລາຈອນດິບບໍ່ພຽງແຕ່ໃຊ້ IDS, ແຕ່ຍັງໃຊ້ເຄື່ອງມືອື່ນໆ (ຕົວຢ່າງເຊັ່ນ Wireshark, tcpdum ຫຼືຟັງຊັນ NBAR2 ໃນ Cisco IOS), ແຕ່ພວກເຂົາມັກຈະຂາດຄວາມຮູ້ພື້ນຖານທີ່ແຕກຕ່າງຈາກເຄື່ອງມືຄວາມປອດໄພຂອງຂໍ້ມູນຈາກປົກກະຕິ. ເຄື່ອງມື IT.

ດັ່ງນັ້ນ, ລະບົບກວດຈັບການໂຈມຕີ. ວິທີການທີ່ເກົ່າແກ່ທີ່ສຸດແລະເປັນທີ່ນິຍົມທີ່ສຸດໃນການກວດສອບການໂຈມຕີຂອງເຄືອຂ່າຍ, ເຊິ່ງເຮັດວຽກໄດ້ດີໃນຂອບເຂດ (ບໍ່ວ່າບໍລິສັດ, ສູນຂໍ້ມູນ, ພາກສ່ວນ, ແລະອື່ນໆ), ແຕ່ລົ້ມເຫລວໃນເຄືອຂ່າຍສະຫຼັບທີ່ທັນສະໄຫມແລະຊອບແວທີ່ກໍານົດ. ໃນກໍລະນີຂອງເຄືອຂ່າຍທີ່ສ້າງຂຶ້ນບົນພື້ນຖານຂອງສະວິດທໍາມະດາ, ໂຄງສ້າງພື້ນຖານຂອງເຊັນເຊີກວດຈັບການໂຈມຕີກາຍເປັນຂະຫນາດໃຫຍ່ເກີນໄປ - ທ່ານຈະຕ້ອງຕິດຕັ້ງເຊັນເຊີໃນແຕ່ລະການເຊື່ອມຕໍ່ກັບ node ທີ່ທ່ານຕ້ອງການຕິດຕາມການໂຈມຕີ. ຜູ້ຜະລິດໃດໆ, ແນ່ນອນ, ຈະຍິນດີທີ່ຈະຂາຍເຊັນເຊີຫຼາຍຮ້ອຍພັນເຊັນເຊີໃຫ້ທ່ານ, ແຕ່ຂ້າພະເຈົ້າຄິດວ່າງົບປະມານຂອງທ່ານບໍ່ສາມາດສະຫນັບສະຫນູນຄ່າໃຊ້ຈ່າຍດັ່ງກ່າວ. ຂ້ອຍສາມາດເວົ້າໄດ້ວ່າເຖິງແມ່ນວ່າຢູ່ Cisco (ແລະພວກເຮົາເປັນຜູ້ພັດທະນາ NGIPS) ພວກເຮົາບໍ່ສາມາດເຮັດສິ່ງນີ້ໄດ້, ເຖິງແມ່ນວ່າມັນເບິ່ງຄືວ່າບັນຫາຂອງລາຄາແມ່ນຢູ່ຂ້າງຫນ້າພວກເຮົາ. ຂ້ອຍບໍ່ຄວນຢືນ - ມັນເປັນການຕັດສິນໃຈຂອງພວກເຮົາເອງ. ນອກຈາກນັ້ນ, ຄໍາຖາມທີ່ເກີດຂື້ນ, ວິທີການເຊື່ອມຕໍ່ເຊັນເຊີໃນສະບັບນີ້? ເຂົ້າໄປໃນຊ່ອງຫວ່າງ? ຈະເປັນແນວໃດຖ້າເຊັນເຊີຕົວມັນເອງລົ້ມເຫລວ? ຕ້ອງການໂມດູນ bypass ໃນເຊັນເຊີບໍ? ໃຊ້ຕົວແຍກ (ແຕະ) ບໍ? ທັງຫມົດນີ້ເຮັດໃຫ້ການແກ້ໄຂລາຄາແພງກວ່າແລະເຮັດໃຫ້ມັນບໍ່ສາມາດຊື້ໄດ້ສໍາລັບບໍລິສັດຂອງຂະຫນາດໃດກໍ່ຕາມ.

ທ່ານສາມາດພະຍາຍາມ "ວາງສາຍ" ເຊັນເຊີຢູ່ໃນພອດ SPAN/RSPAN/ERSPAN ແລະການຈະລາຈອນໂດຍກົງຈາກພອດສະວິດທີ່ຕ້ອງການໄປຫາມັນ. ຕົວເລືອກນີ້ເອົາບາງສ່ວນບັນຫາທີ່ອະທິບາຍໄວ້ໃນວັກກ່ອນຫນ້າ, ແຕ່ສ້າງອີກອັນຫນຶ່ງ - ພອດ SPAN ບໍ່ສາມາດຍອມຮັບການຈະລາຈອນທັງຫມົດທີ່ຈະຖືກສົ່ງໄປຫາມັນ - ມັນຈະບໍ່ມີແບນວິດພຽງພໍ. ທ່ານຈະຕ້ອງເສຍສະລະບາງສິ່ງບາງຢ່າງ. ບໍ່ວ່າຈະອອກຈາກບາງ nodes ໂດຍບໍ່ມີການຕິດຕາມ (ຫຼັງຈາກນັ້ນທ່ານຈໍາເປັນຕ້ອງຈັດລໍາດັບຄວາມສໍາຄັນຂອງພວກເຂົາກ່ອນ), ຫຼືສົ່ງການຈະລາຈອນທັງຫມົດຈາກ node, ແຕ່ພຽງແຕ່ບາງປະເພດ. ໃນກໍລະນີໃດກໍ່ຕາມ, ພວກເຮົາອາດຈະພາດການໂຈມຕີບາງຢ່າງ. ນອກຈາກນັ້ນ, ພອດ SPAN ສາມາດໃຊ້ສໍາລັບຄວາມຕ້ອງການອື່ນໆ. ດັ່ງນັ້ນ, ພວກເຮົາຈະຕ້ອງໄດ້ທົບທວນຄືນ topology ເຄືອຂ່າຍທີ່ມີຢູ່ແລ້ວແລະອາດຈະເຮັດໃຫ້ການປັບຕົວກັບມັນເພື່ອໃຫ້ເຄືອຂ່າຍຂອງທ່ານກວມເອົາສູງສຸດດ້ວຍຈໍານວນເຊັນເຊີທີ່ທ່ານມີ (ແລະປະສານງານກັບ IT).

ຈະເປັນແນວໃດຖ້າເຄືອຂ່າຍຂອງທ່ານໃຊ້ເສັ້ນທາງທີ່ບໍ່ສົມມາດ? ຈະເປັນແນວໃດຖ້າທ່ານໄດ້ປະຕິບັດຫຼືກໍາລັງວາງແຜນທີ່ຈະປະຕິບັດ SDN? ຈະເປັນແນວໃດຖ້າທ່ານຕ້ອງການຕິດຕາມກວດກາເຄື່ອງຈັກ virtualized ຫຼືຕູ້ຄອນເທນເນີທີ່ການຈະລາຈອນບໍ່ມາຮອດສະວິດທາງດ້ານຮ່າງກາຍທັງຫມົດ? ເຫຼົ່ານີ້ແມ່ນຄໍາຖາມທີ່ຜູ້ຂາຍ IDS ແບບດັ້ງເດີມບໍ່ມັກເພາະວ່າພວກເຂົາບໍ່ຮູ້ວິທີຕອບພວກເຂົາ. ບາງທີພວກເຂົາອາດຈະຊັກຊວນເຈົ້າວ່າເຕັກໂນໂລຢີທີ່ທັນສະ ໄໝ ເຫຼົ່ານີ້ແມ່ນ hype ແລະເຈົ້າບໍ່ຕ້ອງການມັນ. ບາງທີພວກເຂົາຈະເວົ້າກ່ຽວກັບຄວາມຕ້ອງການທີ່ຈະເລີ່ມຕົ້ນຂະຫນາດນ້ອຍ. ຫຼືບາງທີເຂົາເຈົ້າຈະເວົ້າວ່າທ່ານຈໍາເປັນຕ້ອງເອົາເຄື່ອງ thresher ທີ່ມີປະສິດທິພາບຢູ່ໃຈກາງຂອງເຄືອຂ່າຍແລະຊີ້ນໍາການຈະລາຈອນທັງຫມົດໄປຫາມັນໂດຍໃຊ້ເຄື່ອງດຸ່ນດ່ຽງ. ທາງເລືອກໃດກໍ່ຕາມທີ່ສະເຫນີໃຫ້ທ່ານ, ທ່ານຈໍາເປັນຕ້ອງເຂົ້າໃຈຢ່າງຈະແຈ້ງວ່າມັນເຫມາະສົມກັບທ່ານແນວໃດ. ແລະພຽງແຕ່ຫຼັງຈາກນັ້ນເຮັດໃຫ້ການຕັດສິນໃຈເລືອກວິທີການໃນການຕິດຕາມຄວາມປອດໄພຂອງຂໍ້ມູນຂອງໂຄງສ້າງເຄືອຂ່າຍ. ກັບຄືນໄປຫາການຈັບແພັກເກັດ, ຂ້າພະເຈົ້າຢາກເວົ້າວ່າວິທີການນີ້ຍັງສືບຕໍ່ເປັນທີ່ນິຍົມແລະມີຄວາມສໍາຄັນຫຼາຍ, ແຕ່ຈຸດປະສົງຕົ້ນຕໍຂອງມັນແມ່ນການຄວບຄຸມຊາຍແດນ; ເຂດແດນລະຫວ່າງອົງການຂອງເຈົ້າແລະອິນເຕີເນັດ, ຂອບເຂດລະຫວ່າງສູນຂໍ້ມູນແລະສ່ວນທີ່ເຫຼືອຂອງເຄືອຂ່າຍ, ຂອບເຂດລະຫວ່າງລະບົບການຄວບຄຸມຂະບວນການແລະສ່ວນຂອງບໍລິສັດ. ໃນສະຖານທີ່ເຫຼົ່ານີ້, IDS/IPS ຄລາສສິກຍັງມີສິດທີ່ຈະມີຢູ່ແລະຮັບມືກັບວຽກງານຂອງເຂົາເຈົ້າໄດ້ດີ.

ໃຫ້ກ້າວໄປສູ່ທາງເລືອກທີສອງ. ການວິເຄາະເຫດການທີ່ມາຈາກອຸປະກອນເຄືອຂ່າຍຍັງສາມາດຖືກນໍາໃຊ້ເພື່ອຈຸດປະສົງກວດຫາການໂຈມຕີ, ແຕ່ບໍ່ແມ່ນກົນໄກຕົ້ນຕໍ, ເນື່ອງຈາກວ່າມັນອະນຸຍາດໃຫ້ກວດພົບພຽງແຕ່ຫ້ອງຮຽນຂະຫນາດນ້ອຍຂອງການບຸກລຸກ. ນອກຈາກນັ້ນ, ມັນປະກົດຂຶ້ນໃນບາງປະຕິກິລິຍາ - ການໂຈມຕີຕ້ອງເກີດຂຶ້ນຄັ້ງທໍາອິດ, ຫຼັງຈາກນັ້ນມັນຕ້ອງໄດ້ຮັບການບັນທຶກໄວ້ໂດຍອຸປະກອນເຄືອຂ່າຍ, ເຊິ່ງໃນທາງຫນຶ່ງຫຼືອື່ນຈະສົ່ງສັນຍານເຖິງບັນຫາຄວາມປອດໄພຂອງຂໍ້ມູນ. ມີຫຼາຍວິທີດັ່ງກ່າວ. ນີ້ອາດຈະເປັນ syslog, RMON ຫຼື SNMP. ສອງໂປໂຕຄອນສຸດທ້າຍສໍາລັບການກວດສອບເຄືອຂ່າຍໃນສະພາບການຄວາມປອດໄພຂອງຂໍ້ມູນແມ່ນໃຊ້ພຽງແຕ່ຖ້າພວກເຮົາຕ້ອງການກວດພົບການໂຈມຕີ DoS ໃນອຸປະກອນເຄືອຂ່າຍຂອງມັນເອງ, ນັບຕັ້ງແຕ່ການນໍາໃຊ້ RMON ແລະ SNMP ມັນເປັນໄປໄດ້, ສໍາລັບການຍົກຕົວຢ່າງ, ການກວດສອບການໂຫຼດຢູ່ໃນສູນກາງຂອງອຸປະກອນ. ໂປເຊດເຊີຫຼືການໂຕ້ຕອບຂອງມັນ. ນີ້ແມ່ນຫນຶ່ງໃນ "ລາຄາຖືກທີ່ສຸດ" (ທຸກຄົນມີ syslog ຫຼື SNMP), ແຕ່ຍັງບໍ່ມີປະສິດຕິຜົນທີ່ສຸດຂອງວິທີການຕິດຕາມຄວາມປອດໄພຂອງຂໍ້ມູນຂອງໂຄງສ້າງພື້ນຖານພາຍໃນ - ການໂຈມຕີຈໍານວນຫຼາຍແມ່ນຖືກເຊື່ອງໄວ້ຈາກມັນ. ແນ່ນອນ, ພວກເຂົາບໍ່ຄວນຖືກລະເລີຍ, ແລະການວິເຄາະ syslog ດຽວກັນຊ່ວຍໃຫ້ທ່ານກໍານົດເວລາການປ່ຽນແປງໃນການຕັ້ງຄ່າຂອງອຸປະກອນຕົວມັນເອງ, ການປະນີປະນອມຂອງມັນ, ແຕ່ມັນບໍ່ເຫມາະສົມຫຼາຍສໍາລັບການກວດສອບການໂຈມຕີໃນເຄືອຂ່າຍທັງຫມົດ.

ທາງເລືອກທີສາມແມ່ນການວິເຄາະຂໍ້ມູນກ່ຽວກັບການຈະລາຈອນທີ່ຜ່ານອຸປະກອນທີ່ສະຫນັບສະຫນູນຫນຶ່ງໃນຫຼາຍໂປໂຕຄອນການໄຫຼ. ໃນ​ກໍ​ລະ​ນີ​ນີ້​, ໂດຍ​ບໍ່​ສົນ​ເລື່ອງ​ຂອງ​ອະ​ນຸ​ສັນ​ຍາ​, ໂຄງ​ລ່າງ​ພື້ນ​ຖານ​ກະ​ທູ້​ທີ່​ຈໍາ​ເປັນ​ປະ​ກອບ​ດ້ວຍ​ສາມ​ອົງ​ປະ​ກອບ​:

• ການຜະລິດຫຼືສົ່ງອອກການໄຫຼ. ພາລະບົດບາດນີ້ມັກຈະຖືກມອບຫມາຍໃຫ້ກັບ router, ສະຫຼັບຫຼືອຸປະກອນເຄືອຂ່າຍອື່ນໆ, ເຊິ່ງ, ໂດຍການຖ່າຍທອດການຈະລາຈອນເຄືອຂ່າຍຜ່ານຕົວມັນເອງ, ຊ່ວຍໃຫ້ທ່ານສາມາດສະກັດຕົວກໍານົດການທີ່ສໍາຄັນຈາກມັນ, ເຊິ່ງຫຼັງຈາກນັ້ນຖືກສົ່ງໄປຫາໂມດູນການລວບລວມ. ຕົວຢ່າງ, Cisco ສະຫນັບສະຫນູນ Netflow protocol ບໍ່ພຽງແຕ່ຢູ່ໃນ routers ແລະ switches, ລວມທັງ virtual ແລະອຸດສາຫະກໍາ, ແຕ່ຍັງຢູ່ໃນຕົວຄວບຄຸມໄຮ້ສາຍ, firewalls ແລະແມ້ກະທັ້ງເຄື່ອງແມ່ຂ່າຍ.
• ກະແສເກັບກຳ. ພິຈາລະນາວ່າເຄືອຂ່າຍທີ່ທັນສະໄຫມມັກຈະມີອຸປະກອນເຄືອຂ່າຍຫຼາຍກວ່າຫນຶ່ງ, ບັນຫາຂອງການລວບລວມແລະການລວບລວມການໄຫຼເຂົ້າກໍ່ເກີດຂື້ນ, ເຊິ່ງຖືກແກ້ໄຂໂດຍໃຊ້ຕົວເກັບລວບລວມ, ເຊິ່ງປຸງແຕ່ງກະແສທີ່ໄດ້ຮັບແລະຫຼັງຈາກນັ້ນສົ່ງຂໍ້ມູນເພື່ອວິເຄາະ.
• ການວິເຄາະກະແສ ນັກວິເຄາະໃຊ້ເວລາໃນວຽກງານທາງປັນຍາຕົ້ນຕໍແລະ, ການນໍາໃຊ້ algorithms ຕ່າງໆໃນການສາຍນ້ໍາ, ແຕ້ມບົດສະຫຼຸບທີ່ແນ່ນອນ. ຕົວຢ່າງ, ເປັນສ່ວນຫນຶ່ງຂອງການທໍາງານຂອງ IT, ການວິເຄາະດັ່ງກ່າວສາມາດກໍານົດຂໍ້ບົກຜ່ອງຂອງເຄືອຂ່າຍຫຼືວິເຄາະຂໍ້ມູນການໂຫຼດການຈະລາຈອນສໍາລັບການເພີ່ມປະສິດທິພາບເຄືອຂ່າຍຕື່ມອີກ. ແລະເພື່ອຄວາມປອດໄພຂອງຂໍ້ມູນ, ເຄື່ອງວິເຄາະດັ່ງກ່າວສາມາດກວດພົບການຮົ່ວໄຫລຂອງຂໍ້ມູນ, ການແຜ່ກະຈາຍຂອງລະຫັດອັນຕະລາຍຫຼືການໂຈມຕີ DoS.

ຢ່າຄິດວ່າສະຖາປັດຕະຍະກໍາສາມຊັ້ນນີ້ແມ່ນສັບສົນເກີນໄປ - ທາງເລືອກອື່ນທັງຫມົດ (ຍົກເວັ້ນ, ບາງທີ, ລະບົບຕິດຕາມກວດກາເຄືອຂ່າຍທີ່ເຮັດວຽກກັບ SNMP ແລະ RMON) ຍັງເຮັດວຽກຕາມມັນ. ພວກເຮົາມີເຄື່ອງສ້າງຂໍ້ມູນສໍາລັບການວິເຄາະ, ເຊິ່ງສາມາດເປັນອຸປະກອນເຄືອຂ່າຍຫຼືເຊັນເຊີ stand-alone. ພວກ​ເຮົາ​ມີ​ລະ​ບົບ​ການ​ເກັບ​ກໍາ​ຂໍ້​ມູນ​ເຕືອນ​ໄພ​ແລະ​ລະ​ບົບ​ການ​ຄຸ້ມ​ຄອງ​ສໍາ​ລັບ​ໂຄງ​ລ່າງ​ພື້ນ​ຖານ​ການ​ຕິດ​ຕາມ​ທັງ​ຫມົດ​. ອົງປະກອບສອງອັນສຸດທ້າຍສາມາດຖືກລວມເຂົ້າກັນພາຍໃນໂຫນດດຽວ, ແຕ່ໃນເຄືອຂ່າຍຂະຫນາດໃຫຍ່ຫຼາຍຫຼືຫນ້ອຍພວກມັນມັກຈະແຜ່ລາມໄປທົ່ວອຸປະກອນຢ່າງຫນ້ອຍສອງຢ່າງເພື່ອຮັບປະກັນການຂະຫຍາຍແລະຄວາມຫນ້າເຊື່ອຖື.

ບໍ່ເຫມືອນກັບການວິເຄາະແພັກເກັດ, ເຊິ່ງອີງໃສ່ການສຶກສາຂໍ້ມູນສ່ວນຫົວແລະຮ່າງກາຍຂອງແຕ່ລະແພັກເກັດແລະກອງປະຊຸມທີ່ມັນປະກອບດ້ວຍ, ການວິເຄາະການໄຫຼແມ່ນອີງໃສ່ການເກັບກໍາຂໍ້ມູນ metadata ກ່ຽວກັບການຈະລາຈອນເຄືອຂ່າຍ. ເວລາ, ຫຼາຍປານໃດ, ຈາກບ່ອນໃດ, ແນວໃດ, ເຫຼົ່ານີ້ແມ່ນຄໍາຖາມທີ່ຕອບໂດຍການວິເຄາະຂອງ telemetry ເຄືອຂ່າຍໂດຍໃຊ້ໂປໂຕຄອນການໄຫຼເຂົ້າກັນ. ໃນເບື້ອງຕົ້ນ, ພວກເຂົາຖືກນໍາໃຊ້ເພື່ອວິເຄາະສະຖິຕິແລະຊອກຫາບັນຫາ IT ໃນເຄືອຂ່າຍ, ແຕ່ຫຼັງຈາກນັ້ນ, ເມື່ອກົນໄກການວິເຄາະພັດທະນາ, ມັນເປັນໄປໄດ້ທີ່ຈະນໍາໃຊ້ພວກມັນກັບ telemetry ດຽວກັນເພື່ອຈຸດປະສົງຄວາມປອດໄພ. ມັນເປັນມູນຄ່າທີ່ສັງເກດອີກເທື່ອຫນຶ່ງວ່າການວິເຄາະການໄຫຼບໍ່ໄດ້ທົດແທນຫຼືທົດແທນການຈັບແພັກເກັດ. ແຕ່ລະວິທີການເຫຼົ່ານີ້ມີພື້ນທີ່ຄໍາຮ້ອງສະຫມັກຂອງຕົນເອງ. ແຕ່ໃນສະພາບການຂອງບົດຄວາມນີ້, ມັນແມ່ນການວິເຄາະການໄຫຼເຂົ້າທີ່ເຫມາະສົມທີ່ສຸດສໍາລັບການຕິດຕາມໂຄງສ້າງພື້ນຖານພາຍໃນ. ທ່ານ​ມີ​ອຸ​ປະ​ກອນ​ເຄືອ​ຂ່າຍ (ບໍ່​ວ່າ​ຈະ​ເຮັດ​ວຽກ​ຢູ່​ໃນ​ຂະ​ບວນ​ການ​ທີ່​ກໍາ​ນົດ​ໂດຍ​ຊອບ​ແວ​ຫຼື​ຕາມ​ກົດ​ລະ​ບຽບ​ສະ​ຖິດ​) ທີ່​ການ​ໂຈມ​ຕີ​ບໍ່​ສາ​ມາດ​ຂ້າມ​ຜ່ານ​. ມັນ​ສາ​ມາດ​ຂ້າມ​ເຊັນ​ເຊີ IDS ຄລາ​ສ​ສິກ, ແຕ່​ອຸ​ປະ​ກອນ​ເຄືອ​ຂ່າຍ​ທີ່​ສະ​ຫນັບ​ສະ​ຫນູນ​ການ​ໄຫຼ​ບໍ່​ສາ​ມາດ. ນີ້ແມ່ນປະໂຫຍດຂອງວິທີການນີ້.

ໃນທາງກົງກັນຂ້າມ, ຖ້າທ່ານຕ້ອງການຫຼັກຖານສໍາລັບການບັງຄັບໃຊ້ກົດຫມາຍຫຼືທີມງານສືບສວນເຫດການຂອງທ່ານເອງ, ທ່ານບໍ່ສາມາດເຮັດໄດ້ໂດຍບໍ່ມີການຈັບແພັກເກັດ - telemetry ເຄືອຂ່າຍບໍ່ແມ່ນສໍາເນົາຂອງການຈະລາຈອນທີ່ສາມາດນໍາໃຊ້ເພື່ອເກັບກໍາຫຼັກຖານ; ມັນເປັນສິ່ງຈໍາເປັນສໍາລັບການຊອກຄົ້ນຫາຢ່າງໄວວາແລະການຕັດສິນໃຈໃນດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນ. ໃນທາງກົງກັນຂ້າມ, ການນໍາໃຊ້ການວິເຄາະ telemetry, ທ່ານສາມາດ "ຂຽນ" ບໍ່ແມ່ນການຈາລະຈອນຂອງເຄືອຂ່າຍທັງຫມົດ (ຖ້າມີຫຍັງ, Cisco ຈັດການກັບສູນຂໍ້ມູນ :-), ແຕ່ວ່າພຽງແຕ່ສິ່ງທີ່ມີສ່ວນຮ່ວມໃນການໂຈມຕີ. ເຄື່ອງມືການວິເຄາະ Telemetry ໃນເລື່ອງນີ້ຈະເສີມສ້າງກົນໄກການຈັບແພັກເກັດແບບດັ້ງເດີມໄດ້ດີ, ໃຫ້ຄໍາສັ່ງສໍາລັບການເລືອກແລະການເກັບຮັກສາ. ຖ້າບໍ່ດັ່ງນັ້ນ, ທ່ານຈະຕ້ອງມີໂຄງສ້າງພື້ນຖານການເກັບຮັກສາ colossal.

ລອງນຶກພາບເບິ່ງວ່າເຄືອຂ່າຍເຮັດວຽກດ້ວຍຄວາມໄວ 250 Mbit/ວິນາທີ. ຖ້າທ່ານຕ້ອງການເກັບຮັກສາປະລິມານທັງຫມົດນີ້, ທ່ານຈະຕ້ອງການບ່ອນເກັບຂໍ້ມູນ 31 MB ສໍາລັບການສົ່ງການຈະລາຈອນຫນຶ່ງວິນາທີ, 1,8 GB ສໍາລັບຫນຶ່ງນາທີ, 108 GB ສໍາລັບຫນຶ່ງຊົ່ວໂມງ, ແລະ 2,6 TB ສໍາລັບມື້ຫນຶ່ງ. ເພື່ອເກັບຂໍ້ມູນປະຈໍາວັນຈາກເຄືອຂ່າຍທີ່ມີແບນວິດ 10 Gbit/s, ທ່ານຈະຕ້ອງການບ່ອນເກັບຂໍ້ມູນ 108 TB. ແຕ່ຜູ້ຄວບຄຸມບາງຄົນຮຽກຮ້ອງໃຫ້ມີການເກັບຮັກສາຂໍ້ມູນຄວາມປອດໄພສໍາລັບປີ ... ການບັນທຶກຕາມຄວາມຕ້ອງການ, ການວິເຄາະການໄຫຼເຂົ້າທີ່ຊ່ວຍໃຫ້ທ່ານປະຕິບັດ, ຊ່ວຍຫຼຸດຜ່ອນຄ່າເຫຼົ່ານີ້ໂດຍຄໍາສັ່ງຂອງຂະຫນາດ. ໂດຍວິທີທາງການ, ຖ້າພວກເຮົາສົນທະນາກ່ຽວກັບອັດຕາສ່ວນຂອງປະລິມານຂອງຂໍ້ມູນ telemetry ເຄືອຂ່າຍທີ່ບັນທຶກໄວ້ແລະເກັບກໍາຂໍ້ມູນຄົບຖ້ວນສົມບູນ, ຫຼັງຈາກນັ້ນມັນແມ່ນປະມານ 1 ຫາ 500. ສໍາລັບຄ່າດຽວກັນທີ່ໄດ້ກ່າວມາຂ້າງເທິງ, ການເກັບຮັກສາຂໍ້ຄວາມເຕັມຂອງການຈະລາຈອນປະຈໍາວັນທັງຫມົດ. ຈະເປັນ 5 ແລະ 216 GB, ຕາມລໍາດັບ (ເຖິງແມ່ນວ່າທ່ານສາມາດບັນທຶກມັນຢູ່ໃນ flash drive ປົກກະຕິ).

ຖ້າສໍາລັບເຄື່ອງມືສໍາລັບການວິເຄາະຂໍ້ມູນເຄືອຂ່າຍດິບ, ວິທີການຈັບມັນເກືອບຄືກັນຈາກຜູ້ຂາຍໄປຫາຜູ້ຂາຍ, ຫຼັງຈາກນັ້ນໃນກໍລະນີຂອງການວິເຄາະການໄຫຼຂອງສະຖານະການແມ່ນແຕກຕ່າງກັນ. ມີຫລາຍທາງເລືອກສໍາລັບໂປໂຕຄອນການໄຫຼ, ຄວາມແຕກຕ່າງທີ່ທ່ານຈໍາເປັນຕ້ອງຮູ້ກ່ຽວກັບຄວາມປອດໄພ. ທີ່ນິຍົມຫຼາຍທີ່ສຸດແມ່ນ Netflow protocol ພັດທະນາໂດຍ Cisco. ມີຫຼາຍສະບັບຂອງໂປໂຕຄອນນີ້, ແຕກຕ່າງກັນໃນຄວາມສາມາດຂອງເຂົາເຈົ້າແລະຈໍານວນຂໍ້ມູນການຈະລາຈອນທີ່ບັນທຶກໄວ້. ສະບັບປະຈຸບັນແມ່ນເກົ້າ (Netflow v9), ບົນພື້ນຖານຂອງມາດຕະຖານອຸດສາຫະກໍາ Netflow v10, ຊຶ່ງເອີ້ນກັນວ່າ IPFIX, ໄດ້ຖືກພັດທະນາ. ໃນມື້ນີ້, ຜູ້ຂາຍເຄືອຂ່າຍສ່ວນໃຫຍ່ສະຫນັບສະຫນູນ Netflow ຫຼື IPFIX ໃນອຸປະກອນຂອງພວກເຂົາ. ແຕ່ມີທາງເລືອກອື່ນໆສໍາລັບໂປໂຕຄອນການໄຫຼ - sFlow, jFlow, cFlow, rFlow, NetStream, ແລະອື່ນໆ, ເຊິ່ງ sFlow ເປັນທີ່ນິຍົມທີ່ສຸດ. ມັນແມ່ນປະເພດນີ້ທີ່ໄດ້ຮັບການສະຫນັບສະຫນູນຫຼາຍທີ່ສຸດໂດຍຜູ້ຜະລິດພາຍໃນປະເທດຂອງອຸປະກອນເຄືອຂ່າຍເນື່ອງຈາກຄວາມສະດວກໃນການປະຕິບັດຂອງມັນ. ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນລະຫວ່າງ Netflow, ເຊິ່ງໄດ້ກາຍເປັນມາດຕະຖານ de facto, ແລະ sFlow ແມ່ນຫຍັງ? ຂ້າພະເຈົ້າຈະເນັ້ນໃສ່ຫຼາຍອັນທີ່ສໍາຄັນ. ທໍາອິດ, Netflow ມີທົ່ງນາທີ່ຜູ້ໃຊ້ສາມາດປັບແຕ່ງໄດ້ເຊິ່ງກົງກັນຂ້າມກັບຊ່ອງຂໍ້ມູນຄົງທີ່ຢູ່ໃນ sFlow. ແລະອັນທີສອງ, ແລະນີ້ແມ່ນສິ່ງທີ່ສໍາຄັນທີ່ສຸດໃນກໍລະນີຂອງພວກເຮົາ, sFlow ເກັບກໍາອັນທີ່ເອີ້ນວ່າ telemetry ຕົວຢ່າງ; ກົງກັນຂ້າມກັບ unsampled ຫນຶ່ງສໍາລັບ Netflow ແລະ IPFIX. ຄວາມແຕກຕ່າງລະຫວ່າງພວກມັນແມ່ນຫຍັງ?

ຈິນຕະນາການວ່າເຈົ້າຕັດສິນໃຈອ່ານປຶ້ມ "ສູນ​ປະ​ຕິ​ບັດ​ການ​ຄວາມ​ປອດ​ໄພ​: ການ​ກໍ່​ສ້າງ​, ການ​ດໍາ​ເນີນ​ງານ​, ແລະ​ການ​ຮັກ​ສາ SOC ຂອງ​ທ່ານ​” ຂອງເພື່ອນຮ່ວມງານຂອງຂ້ອຍ - Gary McIntyre, Joseph Munitz ແລະ Nadem Alfardan (ທ່ານສາມາດດາວໂຫລດບາງສ່ວນຂອງປື້ມຈາກການເຊື່ອມຕໍ່). ທ່ານມີສາມທາງເລືອກໃນການບັນລຸເປົ້າຫມາຍຂອງທ່ານ - ອ່ານຫນັງສືທັງຫມົດ, ຂ້າມມັນ, ຢຸດຢູ່ໃນທຸກໆຫນ້າທີ 10 ຫຼື 20, ຫຼືພະຍາຍາມຊອກຫາການເລົ່າຄືນຂອງແນວຄວາມຄິດທີ່ສໍາຄັນໃນ blog ຫຼືບໍລິການເຊັ່ນ SmartReading. ດັ່ງນັ້ນ, telemetry unsampled ແມ່ນອ່ານທຸກໆ "ຫນ້າ" ຂອງການຈະລາຈອນເຄືອຂ່າຍ, ນັ້ນແມ່ນ, ການວິເຄາະ metadata ສໍາລັບແຕ່ລະແພັກເກັດ. ການເກັບຕົວຢ່າງ telemetry ແມ່ນການສຶກສາການຄັດເລືອກຂອງການຈະລາຈອນໂດຍຫວັງວ່າຕົວຢ່າງທີ່ເລືອກຈະມີສິ່ງທີ່ທ່ານຕ້ອງການ. ອີງຕາມຄວາມໄວຂອງຊ່ອງທາງ, telemetry ຕົວຢ່າງຈະຖືກສົ່ງສໍາລັບການວິເຄາະທຸກໆ 64th, 200th, 500th, 1000th, 2000th ຫຼືແມ້ກະທັ້ງ 10000th packet.

ໃນສະພາບການຂອງການກວດສອບຄວາມປອດໄພຂອງຂໍ້ມູນ, ນີ້ຫມາຍຄວາມວ່າ telemetry ຕົວຢ່າງແມ່ນເຫມາະສົມດີສໍາລັບການກວດສອບການໂຈມຕີ DDoS, ການສະແກນແລະການເຜີຍແຜ່ລະຫັດທີ່ເປັນອັນຕະລາຍ, ແຕ່ອາດຈະພາດການໂຈມຕີປະລໍາມະນູຫຼືຫຼາຍແພັກເກັດທີ່ບໍ່ໄດ້ລວມຢູ່ໃນຕົວຢ່າງທີ່ສົ່ງສໍາລັບການວິເຄາະ. telemetry unsampled ບໍ່ມີຂໍ້ເສຍດັ່ງກ່າວ. ດ້ວຍນີ້, ຂອບເຂດຂອງການໂຈມຕີທີ່ກວດພົບແມ່ນກວ້າງກວ່າ. ນີ້ແມ່ນບັນຊີລາຍຊື່ສັ້ນຂອງເຫດການທີ່ສາມາດກວດພົບໄດ້ໂດຍໃຊ້ເຄື່ອງມືການວິເຄາະ telemetry ເຄືອຂ່າຍ.

ແນ່ນອນ, ບາງແຫຼ່ງ open source Netflow analyzer ຈະບໍ່ອະນຸຍາດໃຫ້ທ່ານເຮັດສິ່ງນີ້, ເພາະວ່າວຽກງານຕົ້ນຕໍຂອງມັນແມ່ນການເກັບກໍາ telemetry ແລະເຮັດການວິເຄາະພື້ນຖານກ່ຽວກັບມັນຈາກມຸມເບິ່ງ IT. ເພື່ອກໍານົດໄພຂົ່ມຂູ່ດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນໂດຍອີງໃສ່ການໄຫຼເຂົ້າ, ມັນຈໍາເປັນຕ້ອງໄດ້ຕິດຕັ້ງເຄື່ອງວິເຄາະດ້ວຍເຄື່ອງຈັກແລະສູດການຄິດໄລ່ຕ່າງໆ, ເຊິ່ງຈະກໍານົດບັນຫາຄວາມປອດໄພທາງອິນເຕີເນັດໂດຍອີງໃສ່ມາດຕະຖານຫຼືຊ່ອງ Netflow ທີ່ກໍາຫນົດເອງ, ເສີມສ້າງຂໍ້ມູນມາດຕະຖານດ້ວຍຂໍ້ມູນພາຍນອກຈາກແຫຼ່ງຂໍ້ມູນ Threat Intelligence ຕ່າງໆ, ແລະອື່ນໆ.

ດັ່ງນັ້ນ, ຖ້າທ່ານມີທາງເລືອກ, ຫຼັງຈາກນັ້ນເລືອກ Netflow ຫຼື IPFIX. ແຕ່ເຖິງແມ່ນວ່າອຸປະກອນຂອງທ່ານພຽງແຕ່ເຮັດວຽກກັບ sFlow, ເຊັ່ນຜູ້ຜະລິດພາຍໃນ, ເຖິງແມ່ນວ່າໃນກໍລະນີນີ້ທ່ານສາມາດໄດ້ຮັບຜົນປະໂຫຍດຈາກມັນໃນສະພາບການຄວາມປອດໄພ.

ໃນຊ່ວງລຶະເບິ່ງຮ້ອນຂອງ 2019, ຂ້າພະເຈົ້າໄດ້ວິເຄາະຄວາມສາມາດທີ່ຜູ້ຜະລິດຮາດແວເຄືອຂ່າຍລັດເຊຍມີແລະທັງຫມົດ, ຍົກເວັ້ນ NSG, Polygon ແລະ Craftway, ປະກາດການສະຫນັບສະຫນູນ sFlow (ຢ່າງຫນ້ອຍ Zelax, Natex, Eltex, QTech, Rusteleteh).

ຄໍາຖາມຕໍ່ໄປທີ່ທ່ານຈະປະເຊີນຫນ້າແມ່ນບ່ອນທີ່ຈະປະຕິບັດການສະຫນັບສະຫນູນການໄຫຼເຂົ້າເພື່ອຈຸດປະສົງຄວາມປອດໄພ? ໃນຄວາມເປັນຈິງ, ຄໍາຖາມບໍ່ໄດ້ຖືກຕັ້ງຢ່າງຖືກຕ້ອງ. ອຸປະກອນທີ່ທັນສະໄຫມເກືອບສະເຫມີສະຫນັບສະຫນູນໂປໂຕຄອນການໄຫຼ. ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າຈະປະຕິຮູບຄໍາຖາມທີ່ແຕກຕ່າງກັນ - ມັນມີປະສິດທິພາບທີ່ສຸດໃນການລວບລວມ telemetry ຈາກຈຸດຄວາມປອດໄພຂອງທັດສະນະ? ຄໍາຕອບຈະເຫັນໄດ້ຊັດເຈນ - ໃນລະດັບການເຂົ້າເຖິງ, ບ່ອນທີ່ທ່ານຈະເຫັນ 100% ຂອງການຈະລາຈອນທັງຫມົດ, ບ່ອນທີ່ທ່ານຈະມີຂໍ້ມູນລາຍລະອຽດກ່ຽວກັບ hosts (MAC, VLAN, interface ID), ບ່ອນທີ່ທ່ານສາມາດກວດສອບການຈາລະຈອນ P2P ລະຫວ່າງ hosts, ເຊິ່ງ. ແມ່ນສໍາຄັນສໍາລັບການສະແກນການກວດຫາແລະການແຈກຢາຍລະຫັດອັນຕະລາຍ. ໃນລະດັບຫຼັກ, ທ່ານອາດຈະບໍ່ເຫັນບາງສ່ວນຂອງການຈະລາຈອນ, ແຕ່ໃນລະດັບ perimeter, ທ່ານຈະເຫັນຫນຶ່ງສ່ວນສີ່ຂອງການຈະລາຈອນເຄືອຂ່າຍທັງຫມົດຂອງທ່ານ. ແຕ່ຖ້າສໍາລັບເຫດຜົນບາງຢ່າງທີ່ທ່ານມີອຸປະກອນຕ່າງປະເທດຢູ່ໃນເຄືອຂ່າຍຂອງທ່ານທີ່ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີ "ເຂົ້າແລະອອກ" ໂດຍບໍ່ມີການ bypass perimeter, ຫຼັງຈາກນັ້ນການວິເຄາະ telemetry ຈາກມັນຈະບໍ່ໃຫ້ທ່ານຫຍັງ. ດັ່ງນັ້ນ, ສໍາລັບການຄຸ້ມຄອງສູງສຸດ, ແນະນໍາໃຫ້ເປີດໃຊ້ການເກັບກໍາ telemetry ໃນລະດັບການເຂົ້າເຖິງ. ໃນຂະນະດຽວກັນ, ມັນເປັນມູນຄ່າທີ່ສັງເກດວ່າເຖິງແມ່ນວ່າພວກເຮົາກໍາລັງເວົ້າກ່ຽວກັບ virtualization ຫຼື containers, ການສະຫນັບສະຫນູນການໄຫຼແມ່ນມັກຈະພົບເຫັນຢູ່ໃນສະຫຼັບ virtual ທີ່ທັນສະໄຫມ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຄວບຄຸມການຈະລາຈອນຢູ່ທີ່ນັ້ນ.

ແຕ່ນັບຕັ້ງແຕ່ຂ້າພະເຈົ້າໄດ້ຍົກຫົວຂໍ້, ຂ້າພະເຈົ້າຈໍາເປັນຕ້ອງຕອບຄໍາຖາມ: ຈະເປັນແນວໃດຖ້າອຸປະກອນ, ທາງດ້ານຮ່າງກາຍຫຼື virtual, ບໍ່ສະຫນັບສະຫນູນການໄຫຼເຂົ້າ? ຫຼືການລວມຂອງມັນໄດ້ຖືກຫ້າມ (ຕົວຢ່າງ, ໃນພາກສ່ວນອຸດສາຫະກໍາເພື່ອຮັບປະກັນຄວາມຫນ້າເຊື່ອຖື)? ຫຼືການເປີດມັນນໍາໄປສູ່ການໂຫຼດ CPU ສູງ (ອັນນີ້ເກີດຂຶ້ນກັບຮາດແວເກົ່າ)? ເພື່ອແກ້ໄຂບັນຫານີ້, ມີເຊັນເຊີ virtual ພິເສດ (ເຊັນເຊີການໄຫຼ), ເຊິ່ງເປັນຕົວແຍກທໍາມະດາທີ່ສໍາຄັນທີ່ຜ່ານການຈະລາຈອນຜ່ານຕົວມັນເອງແລະອອກອາກາດໃນຮູບແບບຂອງການໄຫຼໄປຫາໂມດູນການເກັບກໍາ. ແທ້ຈິງແລ້ວ, ໃນກໍລະນີນີ້ພວກເຮົາໄດ້ຮັບບັນຫາທັງຫມົດທີ່ພວກເຮົາໄດ້ເວົ້າກ່ຽວກັບຂ້າງເທິງທີ່ກ່ຽວຂ້ອງກັບເຄື່ອງມືຈັບແພັກເກັດ. ນັ້ນແມ່ນ, ທ່ານຈໍາເປັນຕ້ອງເຂົ້າໃຈບໍ່ພຽງແຕ່ຂໍ້ດີຂອງເຕັກໂນໂລຢີການວິເຄາະການໄຫຼ, ແຕ່ຍັງຈໍາກັດຂອງມັນ.

ອີກຈຸດຫນຶ່ງທີ່ມີຄວາມສໍາຄັນທີ່ຈະຈື່ຈໍາໃນເວລາທີ່ເວົ້າກ່ຽວກັບເຄື່ອງມືການວິເຄາະການໄຫຼ. ຖ້າກ່ຽວກັບວິທີທົ່ວໄປຂອງການສ້າງເຫດການຄວາມປອດໄພທີ່ພວກເຮົາໃຊ້ EPS metric (ເຫດການຕໍ່ວິນາທີ), ຕົວຊີ້ວັດນີ້ແມ່ນໃຊ້ບໍ່ໄດ້ກັບການວິເຄາະ telemetry; ມັນຖືກແທນທີ່ດ້ວຍ FPS (ການໄຫຼຕໍ່ວິນາທີ). ເຊັ່ນດຽວກັນກັບກໍລະນີຂອງ EPS, ມັນບໍ່ສາມາດຄິດໄລ່ລ່ວງຫນ້າ, ແຕ່ທ່ານສາມາດຄາດຄະເນຈໍານວນກະທູ້ໂດຍປະມານທີ່ອຸປະກອນສະເພາະໃດຫນຶ່ງສ້າງຂື້ນກັບວຽກງານຂອງມັນ. ທ່ານສາມາດຊອກຫາຕາຕະລາງໃນອິນເຕີເນັດທີ່ມີມູນຄ່າປະມານສໍາລັບປະເພດຕ່າງໆຂອງອຸປະກອນວິສາຫະກິດແລະເງື່ອນໄຂ, ເຊິ່ງຈະຊ່ວຍໃຫ້ທ່ານສາມາດຄາດຄະເນວ່າໃບອະນຸຍາດທີ່ທ່ານຕ້ອງການສໍາລັບເຄື່ອງມືການວິເຄາະແລະສະຖາປັດຕະຍະກໍາຂອງພວກມັນແມ່ນຫຍັງ? ຄວາມຈິງແລ້ວແມ່ນວ່າເຊັນເຊີ IDS ຖືກຈໍາກັດໂດຍແບນວິດທີ່ແນ່ນອນທີ່ມັນສາມາດ "ດຶງ", ແລະຕົວເກັບນ້ໍາມີຂໍ້ຈໍາກັດຂອງຕົນເອງທີ່ຕ້ອງເຂົ້າໃຈ. ດັ່ງນັ້ນ, ໃນຂະຫນາດໃຫຍ່, ເຄືອຂ່າຍການແຈກຢາຍທາງພູມສັນຖານ, ປົກກະຕິແລ້ວມີຫຼາຍຕົວເກັບ. ໃນເວລາທີ່ຂ້າພະເຈົ້າໄດ້ອະທິບາຍ ວິທີການຕິດຕາມເຄືອຂ່າຍພາຍໃນ Cisco, ຂ້າພະເຈົ້າໄດ້ໃຫ້ຈໍານວນຜູ້ລວບລວມຂອງພວກເຮົາແລ້ວ - ມີ 21 ຂອງພວກເຂົາ. ແລະນີ້ແມ່ນສໍາລັບເຄືອຂ່າຍທີ່ກະແຈກກະຈາຍໄປທົ່ວຫ້າທະວີບແລະຈໍານວນອຸປະກອນທີ່ມີການເຄື່ອນໄຫວປະມານເຄິ່ງຫນຶ່ງລ້ານ).

ພວກເຮົາໃຊ້ການແກ້ໄຂຂອງພວກເຮົາເອງເປັນລະບົບການຕິດຕາມ Netflow Cisco Stealthwatch, ເຊິ່ງແມ່ນສຸມໃສ່ການແກ້ໄຂບັນຫາຄວາມປອດໄພໂດຍສະເພາະ. ມັນມີເຄື່ອງຈັກໃນຕົວຈໍານວນຫຼາຍສໍາລັບການກວດສອບກິດຈະກໍາທີ່ຜິດປົກກະຕິ, ສົງໃສແລະເປັນອັນຕະລາຍຢ່າງຊັດເຈນ, ເຮັດໃຫ້ມັນສາມາດກວດພົບການຂົ່ມຂູ່ທີ່ແຕກຕ່າງກັນຫຼາຍ - ຈາກ cryptomining ກັບການຮົ່ວໄຫລຂອງຂໍ້ມູນ, ຈາກການແຜ່ກະຈາຍຂອງລະຫັດອັນຕະລາຍກັບການສໍ້ໂກງ. ເຊັ່ນດຽວກັນກັບນັກວິເຄາະການໄຫຼເຂົ້າຫຼາຍທີ່ສຸດ, Stealthwatch ຖືກສ້າງຂຶ້ນຕາມໂຄງການສາມລະດັບ (ເຄື່ອງກໍາເນີດ - ຕົວເກັບລວບລວມ - ການວິເຄາະ), ແຕ່ມັນໄດ້ຖືກເສີມດ້ວຍລັກສະນະທີ່ຫນ້າສົນໃຈຫຼາຍອັນທີ່ມີຄວາມສໍາຄັນໃນສະພາບການຂອງວັດສະດຸທີ່ກໍາລັງພິຈາລະນາ. ທໍາອິດ, ມັນປະສົມປະສານກັບການແກ້ໄຂການຈັບແພັກເກັດ (ເຊັ່ນ Cisco Security Packet Analyzer), ຊ່ວຍໃຫ້ທ່ານສາມາດບັນທຶກກອງປະຊຸມເຄືອຂ່າຍທີ່ເລືອກສໍາລັບການສືບສວນແລະການວິເຄາະໃນຄວາມເລິກຕໍ່ມາ. ອັນທີສອງ, ໂດຍສະເພາະເພື່ອຂະຫຍາຍວຽກງານຄວາມປອດໄພ, ພວກເຮົາໄດ້ພັດທະນາໂປໂຕຄອນ nvzFlow ພິເສດ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດ "ອອກອາກາດ" ກິດຈະກໍາຂອງຄໍາຮ້ອງສະຫມັກໃນ end nodes (ເຄື່ອງແມ່ຂ່າຍ, ສະຖານີເຮັດວຽກ, ແລະອື່ນໆ) ເຂົ້າໄປໃນ telemetry ແລະສົ່ງມັນໄປຫາຜູ້ເກັບເພື່ອການວິເຄາະຕື່ມອີກ. ຖ້າຢູ່ໃນສະບັບຕົ້ນສະບັບ Stealthwatch ເຮັດວຽກກັບໂປໂຕຄອນການໄຫຼໃດໆ (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) ໃນລະດັບເຄືອຂ່າຍ, ຫຼັງຈາກນັ້ນ, ການສະຫນັບສະຫນູນ nvzFlow ອະນຸຍາດໃຫ້ມີຄວາມສໍາພັນກັບຂໍ້ມູນໃນລະດັບ node, ດັ່ງນັ້ນ. ເພີ່ມປະສິດທິພາບຂອງລະບົບທັງຫມົດແລະເຫັນການໂຈມຕີຫຼາຍກ່ວາເຄື່ອງວິເຄາະການໄຫຼຂອງເຄືອຂ່າຍແບບດັ້ງເດີມ.

ມັນເປັນທີ່ຊັດເຈນວ່າໃນເວລາທີ່ເວົ້າກ່ຽວກັບລະບົບການວິເຄາະ Netflow ຈາກຈຸດຄວາມປອດໄພຂອງທັດສະນະ, ຕະຫຼາດບໍ່ຈໍາກັດການແກ້ໄຂດຽວຈາກ Cisco. ທ່ານ​ສາ​ມາດ​ນໍາ​ໃຊ້​ວິ​ທີ​ແກ້​ໄຂ​ການ​ຄ້າ​ແລະ​ຟຣີ​ຫຼື shareware​. ມັນແປກຫຼາຍຖ້າຂ້ອຍອ້າງເຖິງວິທີແກ້ໄຂຂອງຄູ່ແຂ່ງເປັນຕົວຢ່າງໃນ blog Cisco, ດັ່ງນັ້ນຂ້ອຍຈະເວົ້າສອງສາມຄໍາກ່ຽວກັບວິທີການ telemetry ເຄືອຂ່າຍສາມາດວິເຄາະໂດຍໃຊ້ສອງທີ່ນິຍົມ, ຊື່ຄ້າຍຄືກັນ, ແຕ່ຍັງມີເຄື່ອງມືທີ່ແຕກຕ່າງກັນ - SiLK ແລະ ELK.

SiLK ແມ່ນຊຸດຂອງເຄື່ອງມື (ລະບົບຄວາມຮູ້ລະດັບອິນເຕີເນັດ) ສໍາລັບການວິເຄາະການຈະລາຈອນ, ພັດທະນາໂດຍ CERT/CC ຂອງອາເມລິກາ ແລະທີ່ສະຫນັບສະຫນູນ, ໃນສະພາບການຂອງບົດຄວາມໃນມື້ນີ້, Netflow (ສະບັບທີ 5 ແລະ 9, ສະບັບທີ່ນິຍົມຫຼາຍທີ່ສຸດ), IPFIX ແລະ sFlow ແລະການນໍາໃຊ້ອຸປະກອນຕ່າງໆ (rwfilter, rwcount, rwflowpack, ແລະອື່ນໆ) ເພື່ອດໍາເນີນການຕ່າງໆໃນເຄືອຂ່າຍ telemetry ເພື່ອກວດພົບອາການຂອງການກະທໍາທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດໃນມັນ. ແຕ່ມີບາງຈຸດສໍາຄັນທີ່ຄວນສັງເກດ. SiLK ເປັນ​ເຄື່ອງ​ມື​ບັນ​ຊີ​ຄໍາ​ສັ່ງ​ທີ່​ປະ​ຕິ​ບັດ​ການ​ວິ​ເຄາະ​ອອນ​ໄລ​ນ​໌​ໂດຍ​ການ​ໃສ່​ຄໍາ​ສັ່ງ​ເຊັ່ນ​ນີ້ (ການ​ກວດ​ສອບ​ຂອງ ICMP packets ຂະ​ຫນາດ​ໃຫຍ່​ກ​່​ວາ 200 bytes​)​:

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

ບໍ່ສະດວກສະບາຍຫຼາຍ. ທ່ານສາມາດນໍາໃຊ້ iSiLK GUI, ແຕ່ມັນຈະບໍ່ເຮັດໃຫ້ຊີວິດຂອງທ່ານງ່າຍຂຶ້ນຫຼາຍ, ພຽງແຕ່ແກ້ໄຂຫນ້າທີ່ສະແດງພາບແລະບໍ່ປ່ຽນແທນນັກວິເຄາະ. ແລະນີ້ແມ່ນຈຸດທີສອງ. ບໍ່ເຫມືອນກັບການແກ້ໄຂທາງການຄ້າ, ທີ່ມີພື້ນຖານການວິເຄາະທີ່ແຂງ, ຂັ້ນຕອນການກວດພົບຜິດປົກກະຕິ, ຂະບວນການເຮັດວຽກທີ່ສອດຄ້ອງກັນ, ແລະອື່ນໆ, ໃນກໍລະນີຂອງ SiLK ທ່ານຈະຕ້ອງເຮັດທັງຫມົດນີ້ຕົວທ່ານເອງ, ເຊິ່ງຈະຮຽກຮ້ອງໃຫ້ມີຄວາມສາມາດທີ່ແຕກຕ່າງກັນເລັກນ້ອຍຈາກທ່ານຈາກການນໍາໃຊ້ທີ່ກຽມພ້ອມແລ້ວ. ເຄື່ອງມືທີ່ໃຊ້. ນີ້ບໍ່ແມ່ນສິ່ງທີ່ດີຫຼືບໍ່ດີ - ນີ້ແມ່ນລັກສະນະຂອງເກືອບທຸກເຄື່ອງມືຟຣີທີ່ສົມມຸດວ່າທ່ານຮູ້ວ່າຈະເຮັດແນວໃດ, ແລະມັນພຽງແຕ່ຈະຊ່ວຍໃຫ້ທ່ານມີນີ້ (ເຄື່ອງມືການຄ້າແມ່ນຫນ້ອຍຂຶ້ນກັບຄວາມສາມາດຂອງຜູ້ໃຊ້, ເຖິງແມ່ນວ່າພວກເຂົາຍັງສົມມຸດວ່າ. ວ່ານັກວິເຄາະເຂົ້າໃຈຢ່າງຫນ້ອຍພື້ນຖານຂອງການສືບສວນແລະການຕິດຕາມເຄືອຂ່າຍ). ແຕ່ໃຫ້ກັບຄືນໄປ SiLK. ວົງຈອນການເຮັດວຽກຂອງນັກວິເຄາະກັບມັນເບິ່ງຄືວ່ານີ້:

• ການສ້າງສົມມຸດຕິຖານ. ພວກ​ເຮົາ​ຕ້ອງ​ເຂົ້າ​ໃຈ​ສິ່ງ​ທີ່​ພວກ​ເຮົາ​ຈະ​ຊອກ​ຫາ​ຢູ່​ໃນ telemetry ເຄືອ​ຂ່າຍ​, ຮູ້​ຄຸນ​ລັກ​ສະ​ນະ​ເປັນ​ເອ​ກະ​ລັກ​ໂດຍ​ການ​ທີ່​ພວກ​ເຮົາ​ຈະ​ກໍາ​ນົດ​ຄວາມ​ຜິດ​ປົກ​ກະ​ຕິ​ຫຼື​ໄພ​ຂົ່ມ​ຂູ່​.
• ການສ້າງແບບຈໍາລອງ. ໂດຍໄດ້ສ້າງສົມມຸດຕິຖານ, ພວກເຮົາວາງແຜນມັນໂດຍໃຊ້ Python, shell ຫຼືເຄື່ອງມືອື່ນໆທີ່ບໍ່ລວມຢູ່ໃນ SiLK.
• ການທົດສອບ. ມັນເຖິງເວລາທີ່ຈະກວດສອບຄວາມຖືກຕ້ອງຂອງສົມມຸດຕິຖານຂອງພວກເຮົາ, ເຊິ່ງຖືກຢືນຢັນຫຼືປະຕິເສດໂດຍໃຊ້ SiLK utilities ເລີ່ມຕົ້ນດ້ວຍ 'rw', 'set', 'bag'.
• ການວິເຄາະຂໍ້ມູນທີ່ແທ້ຈິງ. ໃນການດໍາເນີນງານອຸດສາຫະກໍາ, SiLK ຊ່ວຍໃຫ້ພວກເຮົາກໍານົດບາງສິ່ງບາງຢ່າງແລະນັກວິເຄາະຕ້ອງຕອບຄໍາຖາມ "ພວກເຮົາພົບສິ່ງທີ່ພວກເຮົາຄາດຫວັງບໍ?", "ນີ້ສອດຄ່ອງກັບສົມມຸດຕິຖານຂອງພວກເຮົາບໍ?", "ວິທີການຫຼຸດຜ່ອນຈໍານວນຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ?", "ແນວໃດ? ເພື່ອປັບປຸງລະດັບການຮັບຮູ້? » ແລະອື່ນໆ.
• ການປັບປຸງ. ໃນຂັ້ນຕອນສຸດທ້າຍ, ພວກເຮົາປັບປຸງສິ່ງທີ່ໄດ້ເຮັດກ່ອນຫນ້ານີ້ - ພວກເຮົາສ້າງແບບຈໍາລອງ, ປັບປຸງແລະເພີ່ມປະສິດທິພາບລະຫັດ, ປັບປຸງໃຫມ່ແລະຊີ້ແຈງສົມມຸດຕິຖານ, ແລະອື່ນໆ.

ວົງຈອນນີ້ຍັງຈະສາມາດໃຊ້ໄດ້ກັບ Cisco Stealthwatch, ມີພຽງແຕ່ຫນຶ່ງສຸດທ້າຍ automates ຫ້າຂັ້ນຕອນເຫຼົ່ານີ້ສູງສຸດ, ຫຼຸດຜ່ອນຈໍານວນຂອງຄວາມຜິດພາດຂອງນັກວິເຄາະແລະເພີ່ມປະສິດທິພາບຂອງການກວດສອບເຫດການ. ຕົວຢ່າງເຊັ່ນ, ໃນ SiLK ທ່ານສາມາດເພີ່ມສະຖິຕິເຄືອຂ່າຍດ້ວຍຂໍ້ມູນພາຍນອກກ່ຽວກັບ IP ທີ່ເປັນອັນຕະລາຍໂດຍໃຊ້ສະຄິບທີ່ຂຽນດ້ວຍມື, ແລະໃນ Cisco Stealthwatch ມັນເປັນຟັງຊັນທີ່ສ້າງຂຶ້ນໃນທັນທີທີ່ສະແດງສັນຍານເຕືອນຖ້າຫາກວ່າການຈະລາຈອນເຄືອຂ່າຍມີການໂຕ້ຕອບກັບທີ່ຢູ່ IP ຈາກບັນຊີດໍາ.

ຖ້າທ່ານໄປສູງກວ່າໃນ pyramid "ຈ່າຍ" ສໍາລັບຊອບແວການວິເຄາະການໄຫຼ, ຫຼັງຈາກນັ້ນ, ຫຼັງຈາກ SiLK ຟຣີຢ່າງແທ້ຈິງຈະມີ shareware ELK, ປະກອບດ້ວຍສາມອົງປະກອບທີ່ສໍາຄັນ - Elasticsearch (ດັດສະນີ, ການຄົ້ນຫາແລະການວິເຄາະຂໍ້ມູນ), Logstash (ຂໍ້ມູນເຂົ້າ / ຜົນຜະລິດ. ) ແລະ Kibana (ການສະແດງພາບ). ບໍ່ເຫມືອນກັບ SiLK, ບ່ອນທີ່ທ່ານຕ້ອງຂຽນທຸກສິ່ງທຸກຢ່າງດ້ວຍຕົນເອງ, ELK ມີຫ້ອງສະຫມຸດ / ໂມດູນທີ່ກຽມພ້ອມຫຼາຍ (ບາງອັນທີ່ຈ່າຍ, ບາງອັນບໍ່ແມ່ນ) ທີ່ອັດຕະໂນມັດການວິເຄາະຂອງ telemetry ເຄືອຂ່າຍ. ຕົວຢ່າງ, ຕົວກອງ GeoIP ໃນ Logstash ຊ່ວຍໃຫ້ທ່ານສາມາດເຊື່ອມໂຍງທີ່ຢູ່ IP ທີ່ຖືກກວດສອບກັບສະຖານທີ່ຕັ້ງພູມສາດຂອງພວກເຂົາ (Stealthwatch ມີຄຸນສົມບັດໃນຕົວນີ້).

ELK ຍັງມີຊຸມຊົນຂະຫນາດໃຫຍ່ພໍສົມຄວນທີ່ກໍາລັງເຮັດສໍາເລັດອົງປະກອບທີ່ຂາດຫາຍໄປສໍາລັບການແກ້ໄຂການຕິດຕາມນີ້. ຕົວຢ່າງ, ເພື່ອເຮັດວຽກກັບ Netflow, IPFIX ແລະ sFlow ທ່ານສາມາດນໍາໃຊ້ໂມດູນ elastiflow, ຖ້າທ່ານບໍ່ພໍໃຈກັບ Logstash Netflow Module, ເຊິ່ງພຽງແຕ່ສະຫນັບສະຫນູນ Netflow ເທົ່ານັ້ນ.

ໃນຂະນະທີ່ໃຫ້ປະສິດທິພາບເພີ່ມເຕີມໃນການເກັບກໍາການໄຫຼເຂົ້າແລະການຊອກຫາໃນມັນ, ELK ປະຈຸບັນຍັງຂາດການວິເຄາະທີ່ອຸດົມສົມບູນໃນຕົວສໍາລັບການກວດສອບຄວາມຜິດປົກກະຕິແລະໄພຂົ່ມຂູ່ໃນ telemetry ເຄືອຂ່າຍ. ນັ້ນແມ່ນ, ປະຕິບັດຕາມວົງຈອນຊີວິດທີ່ໄດ້ກ່າວມາຂ້າງເທິງ, ທ່ານຈະຕ້ອງອະທິບາຍແບບຈໍາລອງການລ່ວງລະເມີດຢ່າງເປັນເອກະລາດແລະຫຼັງຈາກນັ້ນນໍາໃຊ້ມັນໃນລະບົບການຕໍ່ສູ້ (ບໍ່ມີຕົວແບບທີ່ສ້າງຂຶ້ນໃນນັ້ນ).

ແນ່ນອນ, ມີການຂະຫຍາຍທີ່ມີຄວາມຊັບຊ້ອນຫຼາຍສໍາລັບ ELK, ເຊິ່ງມີບາງຕົວແບບສໍາລັບການກວດສອບຄວາມຜິດປົກກະຕິໃນເຄືອຂ່າຍ telemetry, ແຕ່ການຂະຫຍາຍດັ່ງກ່າວມີຄ່າໃຊ້ຈ່າຍຫຼາຍແລະໃນທີ່ນີ້ຄໍາຖາມແມ່ນວ່າເກມແມ່ນຕົກເປັນມູນຄ່າຂອງທຽນ - ຂຽນຕົວແບບທີ່ຄ້າຍຄືກັນ, ຊື້ມັນ. ການປະຕິບັດສໍາລັບເຄື່ອງມືຕິດຕາມຂອງທ່ານ, ຫຼືຊື້ການແກ້ໄຂທີ່ກຽມພ້ອມຂອງຫ້ອງຮຽນການວິເຄາະການຈະລາຈອນເຄືອຂ່າຍ.

ໂດຍທົ່ວໄປ, ຂ້ອຍບໍ່ຕ້ອງການທີ່ຈະເຂົ້າໄປໃນການໂຕ້ວາທີວ່າມັນດີກວ່າທີ່ຈະໃຊ້ເງິນແລະຊື້ການແກ້ໄຂທີ່ກຽມພ້ອມສໍາລັບການຕິດຕາມຄວາມຜິດປົກກະຕິແລະໄພຂົ່ມຂູ່ໃນ telemetry ເຄືອຂ່າຍ (ຕົວຢ່າງ Cisco Stealthwatch) ຫຼືຄິດຕົວເອງແລະປັບແຕ່ງດຽວກັນ. SiLK, ELK ຫຼື nfdump ຫຼື OSU Flow Tools ສໍາລັບແຕ່ລະໄພຂົ່ມຂູ່ໃຫມ່ (ຂ້າພະເຈົ້າເວົ້າກ່ຽວກັບສອງອັນສຸດທ້າຍຂອງພວກເຂົາ. ບອກ ຄັ້ງ​ສຸດ​ທ້າຍ)? ບຸກຄົນທຸກຄົນເລືອກສໍາລັບຕົນເອງແລະທຸກຄົນມີແຮງຈູງໃຈຂອງຕົນເອງສໍາລັບການເລືອກຫນຶ່ງໃນສອງທາງເລືອກ. ຂ້າພະເຈົ້າພຽງແຕ່ຕ້ອງການສະແດງໃຫ້ເຫັນວ່າ telemetry ເຄືອຂ່າຍເປັນເຄື່ອງມືທີ່ມີຄວາມສໍາຄັນຫຼາຍໃນການຮັບປະກັນຄວາມປອດໄພຂອງເຄືອຂ່າຍຂອງໂຄງສ້າງພື້ນຖານພາຍໃນຂອງທ່ານແລະທ່ານບໍ່ຄວນລະເລີຍມັນ, ເພື່ອບໍ່ໃຫ້ເຂົ້າຮ່ວມບັນຊີລາຍຊື່ຂອງບໍລິສັດທີ່ມີຊື່ໄດ້ຖືກກ່າວເຖິງໃນສື່ມວນຊົນພ້ອມກັບ epithets " hacked", "ບໍ່ປະຕິບັດຕາມຂໍ້ກໍານົດຄວາມປອດໄພຂອງຂໍ້ມູນ", "ບໍ່ຄິດກ່ຽວກັບຄວາມປອດໄພຂອງຂໍ້ມູນແລະຂໍ້ມູນລູກຄ້າຂອງພວກເຂົາ."

ເພື່ອສະຫຼຸບ, ຂ້າພະເຈົ້າຢາກບອກຄໍາແນະນໍາທີ່ສໍາຄັນທີ່ທ່ານຄວນປະຕິບັດຕາມໃນເວລາສ້າງການກວດສອບຄວາມປອດໄພຂອງຂໍ້ມູນພື້ນຖານໂຄງລ່າງພາຍໃນຂອງທ່ານ:

1. ຢ່າ​ຈໍາ​ກັດ​ຕົວ​ທ່ານ​ເອງ​ພຽງ​ແຕ່ perimeter ໄດ້​! ໃຊ້ (ແລະເລືອກ) ໂຄງລ່າງເຄືອຂ່າຍບໍ່ພຽງແຕ່ຈະຍ້າຍການຈະລາຈອນຈາກຈຸດ A ຫາຈຸດ B, ແຕ່ຍັງແກ້ໄຂບັນຫາຄວາມປອດໄພທາງອິນເຕີເນັດ.
2. ສຶກສາກົນໄກການຕິດຕາມຄວາມປອດໄພຂອງຂໍ້ມູນທີ່ມີຢູ່ໃນອຸປະກອນເຄືອຂ່າຍຂອງທ່ານແລະນໍາໃຊ້ພວກມັນ.
3. ສໍາລັບການກວດສອບພາຍໃນ, ໃຫ້ຄວາມມັກໃນການວິເຄາະ telemetry - ມັນຊ່ວຍໃຫ້ທ່ານສາມາດກວດພົບເຖິງ 80-90% ຂອງເຫດການຄວາມປອດໄພຂອງຂໍ້ມູນເຄືອຂ່າຍທັງຫມົດ, ໃນຂະນະທີ່ເຮັດສິ່ງທີ່ເປັນໄປບໍ່ໄດ້ໃນເວລາທີ່ຈັບແພັກເກັດເຄືອຂ່າຍແລະປະຫຍັດພື້ນທີ່ສໍາລັບການເກັບຮັກສາເຫດການຄວາມປອດໄພຂໍ້ມູນທັງຫມົດ.
4. ເພື່ອຕິດຕາມການໄຫຼເຂົ້າ, ໃຊ້ Netflow v9 ຫຼື IPFIX - ພວກເຂົາສະຫນອງຂໍ້ມູນເພີ່ມເຕີມໃນສະພາບການຄວາມປອດໄພແລະຊ່ວຍໃຫ້ທ່ານສາມາດຕິດຕາມບໍ່ພຽງແຕ່ IPv4, ແຕ່ຍັງ IPv6, MPLS, ແລະອື່ນໆ.
5. ໃຊ້ໂປຣໂຕຄອນການໄຫຼເຂົ້າທີ່ບໍ່ໄດ້ເກັບຕົວຢ່າງ - ມັນໃຫ້ຂໍ້ມູນເພີ່ມເຕີມເພື່ອກວດຫາໄພຂົ່ມຂູ່. ຕົວຢ່າງ, Netflow ຫຼື IPFIX.
6. ກວດເບິ່ງການໂຫຼດໃນອຸປະກອນເຄືອຂ່າຍຂອງທ່ານ - ມັນອາດຈະບໍ່ສາມາດຈັດການກັບໂປໂຕຄອນການໄຫຼໄດ້ເຊັ່ນກັນ. ຈາກນັ້ນພິຈາລະນານໍາໃຊ້ເຊັນເຊີ virtual ຫຼື Netflow Generation Appliance.
7. ປະຕິບັດການຄວບຄຸມຄັ້ງທໍາອິດໃນລະດັບການເຂົ້າເຖິງ - ນີ້ຈະໃຫ້ທ່ານມີໂອກາດທີ່ຈະເຫັນ 100% ຂອງການຈະລາຈອນທັງຫມົດ.
8. ຖ້າທ່ານບໍ່ມີທາງເລືອກແລະທ່ານກໍາລັງໃຊ້ອຸປະກອນເຄືອຂ່າຍລັດເຊຍ, ຫຼັງຈາກນັ້ນໃຫ້ເລືອກເອົາຫນຶ່ງທີ່ສະຫນັບສະຫນູນການໄຫຼເຂົ້າຫຼືມີພອດ SPAN/RSPAN.
9. ສົມທົບລະບົບການກວດຫາການບຸກລຸກ / ການໂຈມຕີ / ປ້ອງກັນຢູ່ແຄມແລະລະບົບການວິເຄາະການໄຫຼເຂົ້າຢູ່ໃນເຄືອຂ່າຍພາຍໃນ (ລວມທັງຢູ່ໃນເມຄ).

ກ່ຽວ​ກັບ​ຄໍາ​ແນະ​ນໍາ​ທີ່​ຜ່ານ​ມາ​, ຂ້າ​ພະ​ເຈົ້າ​ຂໍ​ໃຫ້​ຮູບ​ພາບ​ທີ່​ຂ້າ​ພະ​ເຈົ້າ​ໄດ້​ໃຫ້​ກ່ອນ​ຫນ້າ​ນີ້​. ທ່ານເຫັນວ່າຖ້າເມື່ອກ່ອນການບໍລິການດ້ານຄວາມປອດໄພຂໍ້ມູນ Cisco ເກືອບທັງຫມົດກໍ່ສ້າງລະບົບການກວດສອບຄວາມປອດໄພຂໍ້ມູນຂອງຕົນບົນພື້ນຖານຂອງລະບົບການກວດສອບການບຸກລຸກແລະວິທີການລາຍເຊັນ, ໃນປັດຈຸບັນພວກເຂົາກວມເອົາພຽງແຕ່ 20% ຂອງເຫດການ. ອີກ 20% ຕົກຢູ່ໃນລະບົບການວິເຄາະການໄຫຼວຽນ, ເຊິ່ງຊີ້ໃຫ້ເຫັນວ່າການແກ້ໄຂເຫຼົ່ານີ້ບໍ່ແມ່ນຄວາມກະຕືລືລົ້ນ, ແຕ່ເປັນເຄື່ອງມືທີ່ແທ້ຈິງໃນກິດຈະກໍາການບໍລິການຄວາມປອດໄພຂໍ້ມູນຂອງວິສາຫະກິດທີ່ທັນສະໄຫມ. ຍິ່ງໄປກວ່ານັ້ນ, ທ່ານມີສິ່ງທີ່ສໍາຄັນທີ່ສຸດສໍາລັບການປະຕິບັດຂອງພວກເຂົາ - ໂຄງສ້າງພື້ນຖານຂອງເຄືອຂ່າຍ, ການລົງທຶນທີ່ສາມາດໄດ້ຮັບການປົກປ້ອງຕື່ມອີກໂດຍການມອບຫມາຍຫນ້າທີ່ຕິດຕາມຄວາມປອດໄພຂອງຂໍ້ມູນໃຫ້ກັບເຄືອຂ່າຍ.

ຂ້າພະເຈົ້າໂດຍສະເພາະບໍ່ໄດ້ສໍາຜັດກັບຫົວຂໍ້ຂອງການຕອບສະຫນອງຄວາມຜິດປົກກະຕິຫຼືໄພຂົ່ມຂູ່ທີ່ລະບຸໄວ້ໃນການໄຫລຂອງເຄືອຂ່າຍ, ແຕ່ຂ້າພະເຈົ້າຄິດວ່າມັນຈະແຈ້ງແລ້ວວ່າການຕິດຕາມບໍ່ຄວນສິ້ນສຸດພຽງແຕ່ການກວດພົບໄພຂົ່ມຂູ່. ມັນຄວນຈະປະຕິບັດຕາມໂດຍການຕອບສະຫນອງແລະມັກຢູ່ໃນໂຫມດອັດຕະໂນມັດຫຼືອັດຕະໂນມັດ. ແຕ່ນີ້ແມ່ນຫົວຂໍ້ສໍາລັບບົດຄວາມແຍກຕ່າງຫາກ.

ຂໍ້ມູນເພີ່ມເຕີມ:

• ລາຍລະອຽດຂອງ Cisco IOS Netflow
• Netflow ສະຫນັບສະຫນູນ matrix ໃນການແກ້ໄຂ Cisco ຕ່າງໆ
• ຄູ່ມືການຕັ້ງຄ່າ Netflow ໃນເວທີ Cisco ຕ່າງໆ
• ຊຸມຊົນ sFlow
• ຫ້ອງທົດລອງໃຊ້ Stealtjwatch, SiLK ແລະ ELK ເພື່ອວິເຄາະ Netflow ຈາກມຸມມອງຄວາມປອດໄພ
• ເວັບໄຊທ໌ SiLK
• ຄູ່ມືສາມຮ້ອຍຫນ້າສໍາລັບການນໍາໃຊ້ SiLK ທີ່ມີຕົວຢ່າງຫຼາຍໂຕນ
• Logstash Netflow Module
• Cisco ຂັ້ນຕອນໂດຍຂັ້ນຕອນຄູ່ມືການວິເຄາະ Netflow ໃນ ELK
• ການວິເຄາະ NetFlow v.9 Cisco ASA ໂດຍໃຊ້ Logstash (ELK)
• Cisco Stealthwatch Solution

PS. ຖ້າເຈົ້າໄດ້ຍິນທຸກຢ່າງທີ່ຂຽນໄວ້ຂ້າງເທິງນັ້ນງ່າຍກວ່າ, ເຈົ້າສາມາດເບິ່ງການນຳສະເໜີທີ່ຍາວກວ່າຊົ່ວໂມງທີ່ເປັນພື້ນຖານຂອງບັນທຶກນີ້.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com