Мрежно следење и откривање на аномални мрежни активности со помош на решенијата на Flowmon Networks

Неодамна, на Интернет можете да најдете огромна количина на материјали за оваа тема. анализа на сообраќајот на мрежниот периметар. Во исто време, поради некоја причина сите целосно заборавија анализа на локалниот сообраќај, што не е помалку важно. Оваа статија се однесува токму на оваа тема. На пример Flowmon Networks ќе се сеќаваме на стариот добар Netflow (и неговите алтернативи), ќе погледнеме интересни случаи, можни аномалии во мрежата и ќе ги дознаеме предностите на решението кога целата мрежа работи како еден сензор. И што е најважно, можете да спроведете таква анализа на локалниот сообраќај целосно бесплатно, во рамките на пробната лиценца (45 дена). Ако темата ви е интересна, добредојде во мачка. Ако сте премногу мрзливи за читање, тогаш, гледајќи напред, можете да се регистрирате претстојниот вебинар, каде што ќе покажеме и ќе ви кажеме сè (таму можете да дознаете и за претстојната обука за производи).

Што е Flowmon Networks?

Како прво, Flowmon е европски продавач на ИТ. Компанијата е чешка, со седиште во Брно (прашањето за санкции не е ни покренато). Во сегашната форма, компанијата е на пазарот од 2007 година. Претходно, беше познат под брендот Invea-Tech. Значи, вкупно, речиси 20 години беа потрошени за развој на производи и решенија.

Flowmon е позициониран како бренд од А-класа. Развива премиум решенија за претпријатијата клиенти и е препознаен во полињата на Гартнер за следење и дијагностика на перформансите на мрежата (NPMD). Згора на тоа, интересно е дека од сите компании во извештајот, Flowmon е единствениот продавач забележан од Gartner како производител на решенија и за следење на мрежата и за заштита на информации (Network Behavior Analysis). Сè уште не го зазема првото место, но поради тоа не стои како крило на Боинг.

Кои проблеми ги решава производот?

На глобално ниво, можеме да го разликуваме следниов базен на задачи што ги решаваат производите на компанијата:

1. зголемување на стабилноста на мрежата, како и мрежните ресурси, преку минимизирање на нивното застој и недостапност;
2. зголемување на целокупното ниво на перформанси на мрежата;
3. зголемување на ефикасноста на административниот персонал поради:
   • користење на современи иновативни алатки за следење на мрежата засновани на информации за тековите на IP;
   • обезбедување детална аналитика за функционирањето и состојбата на мрежата - корисници и апликации кои работат на мрежата, пренесените податоци, ресурсите, услугите и јазлите кои се во интеракција;
   • реагирање на инциденти пред да се случат, а не откако корисниците и клиентите ќе ја изгубат услугата;
   • намалување на времето и ресурсите потребни за администрирање на мрежата и ИТ инфраструктурата;
   • поедноставување на задачите за решавање проблеми.
4. зголемување на нивото на безбедност на мрежата и информациските ресурси на претпријатието, преку употреба на технологии без потпис за откривање на аномални и малициозни мрежни активности, како и „напади од нула ден“;
5. обезбедување на потребното ниво на SLA за мрежни апликации и бази на податоци.

Портфолио на производи на Flowmon Networks

Сега да погледнеме директно во портфолиото на производи на Flowmon Networks и да дознаеме што точно прави компанијата. Како што многумина веќе погодија од името, главната специјализација е во решенијата за следење на протокот на сообраќај, плус голем број дополнителни модули кои ја прошируваат основната функционалност.

Всушност, Flowmon може да се нарече компанија на еден производ, или подобро кажано, едно решение. Ајде да разбереме дали ова е добро или лошо.

Јадрото на системот е колекторот, кој е одговорен за собирање податоци користејќи различни протоколи за проток, како на пр. NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX... Сосема е логично дека за компанија која не е поврзана со ниту еден производител на мрежна опрема, важно е да му понуди на пазарот универзален производ кој не е врзан за ниту еден стандард или протокол.

Flowmon колектор

Колекторот е достапен и како хардверски сервер и како виртуелна машина (VMware, Hyper-V, KVM). Патем, хардверската платформа е имплементирана на прилагодени сервери DELL, што автоматски ги елиминира повеќето проблеми со гаранцијата и RMA. Единствените сопственички хардверски компоненти се FPGA картичките за снимање сообраќај развиени од подружница на Flowmon, кои овозможуваат следење со брзина до 100 Gbps.

Но, што да направите ако постоечката мрежна опрема не е во состојба да генерира висококвалитетен проток? Или оптоварувањето на опремата е превисоко? Нема проблем:

Флоумон Проб

Во овој случај, Flowmon Networks нуди да користи свои сонди (Flowmon Probe), кои се поврзани на мрежата преку портата SPAN на прекинувачот или со помош на пасивни разделувачи на TAP.

Опции за имплементација SPAN (порта за огледало) и TAP

Во овој случај, необработениот сообраќај што пристигнува до Flowmon Probe се претвора во проширен IPFIX кој содржи повеќе 240 метрика со информации. Додека стандардниот протокол NetFlow генериран од мрежна опрема содржи не повеќе од 80 метрики. Ова овозможува видливост на протоколот не само на нивоата 3 и 4, туку и на ниво 7 според ISO OSI моделот. Како резултат на тоа, мрежните администратори можат да го следат функционирањето на апликациите и протоколите како што се е-пошта, HTTP, DNS, SMB...

Концептуално, логичката архитектура на системот изгледа вака:

Централниот дел на целиот „екосистем“ на Flowmon Networks е колекторот, кој прима сообраќај од постоечката мрежна опрема или сопствените сонди (Сонда). Но, за едно Enterprise решение, обезбедувањето функционалност само за следење на мрежниот сообраќај би било премногу едноставно. Решенијата со отворен код исто така можат да го направат ова, иако не со такви перформанси. Вредноста на Flowmon се дополнителни модули кои ја прошируваат основната функционалност:

• модул Безбедност за откривање аномалија – идентификација на аномална мрежна активност, вклучително и нулти-ден напади, врз основа на хеуристичка анализа на сообраќајот и типичен мрежен профил;
• модул Следење на ефикасноста на апликацијата – следење на перформансите на мрежните апликации без инсталирање „агенти“ и влијание врз целните системи;
• модул Снимач на сообраќај – снимање на фрагменти од мрежниот сообраќај според збир на однапред дефинирани правила или според активирач од модулот ADS, за понатамошно отстранување на проблеми и/или истражување на инциденти со безбедноста на информациите;
• модул DDoS заштита – заштита на периметарот на мрежата од волуметриски DoS/DDoS denial of service напади, вклучувајќи напади на апликации (OSI L3/L4/L7).

Во оваа статија, ќе погледнеме како сè работи во живо користејќи го примерот на 2 модули - Следење и дијагностика на перформансите на мрежата и Безбедност за откривање аномалија.
Основна линија:

• Сервер Lenovo RS 140 со хипервизор VMware 6.0;
• Сликата на виртуелната машина на Flowmon Collector што можете преземете овде;
• пар прекинувачи кои поддржуваат протоколи за проток.

Чекор 1. Инсталирајте го колекторот Flowmon

Распоредувањето на виртуелна машина на VMware се случува на сосема стандарден начин од шаблонот OVF. Како резултат на тоа, добиваме виртуелна машина со CentOS и со софтвер подготвен за употреба. Барањата за ресурси се хумани:

Останува само да се изврши основната иницијализација со помош на командата sysconfig:

Конфигурираме IP на портата за управување, DNS, време, име на домаќин и можеме да се поврземе со WEB интерфејсот.

Чекор 2. Инсталација на лиценца

Се генерира и се презема пробна лиценца за еден и пол месец заедно со сликата на виртуелната машина. Вчитано преку Конфигурациски центар -> Лиценца. Како резултат, гледаме:

Сè е подготвено. Можете да почнете да работите.

Чекор 3. Поставување на ресиверот на колекторот

Во оваа фаза, треба да одлучите како системот ќе прима податоци од извори. Како што рековме претходно, ова може да биде еден од протоколите за проток или порта SPAN на прекинувачот.

Во нашиот пример, ќе користиме прием на податоци користејќи протоколи NetFlow v9 и IPFIX. Во овој случај, ја одредуваме IP адресата на интерфејсот за управување како цел - 192.168.78.198. Интерфејсите eth2 и eth3 (со тип на интерфејс за следење) се користат за примање копија од „суров“ сообраќај од портата SPAN на прекинувачот. Ние ги пуштивме, а не нашиот случај.
Следно, ја проверуваме колекторската порта каде треба да оди сообраќајот.

Во нашиот случај, колекторот го слуша сообраќајот на портата UDP/2055.

Чекор 4. Конфигурирање на мрежна опрема за извоз на проток

Поставувањето NetFlow на опремата на Cisco Systems веројатно може да се нарече сосема вообичаена задача за секој мрежен администратор. За нашиот пример, ќе земеме нешто понеобично. На пример, рутерот MikroTik RB2011UiAS-2HnD. Да, чудно е доволно, но таквото буџетско решение за мали и домашни канцеларии ги поддржува и протоколите NetFlow v5/v9 и IPFIX. Во поставките, поставете ја целта (адреса на колектор 192.168.78.198 и порта 2055):

И додадете ги сите метрики достапни за извоз:

Во овој момент можеме да кажеме дека основното поставување е завршено. Проверуваме дали сообраќајот влегува во системот.

Чекор 5: Тестирање и управување со модулот за следење и дијагностика на перформансите на мрежата

Можете да го проверите присуството на сообраќај од изворот во делот Центар за следење на Flowmon –> Извори:

Гледаме дека податоците влегуваат во системот. Некое време откако собирачот ќе го акумулира сообраќајот, виџетите ќе почнат да прикажуваат информации:

Системот е изграден на принципот на вежбање. Тоа е, корисникот, при изборот на фрагмент од интерес на дијаграм или график, „паѓа“ на нивото на длабочина на податоци што му се потребни:

До информации за секоја мрежна врска и врска:

Чекор 6. Безбедносен модул за откривање аномалија

Овој модул може да се нарече можеби еден од најинтересните, благодарение на употребата на методи без потпис за откривање аномалии во мрежниот сообраќај и злонамерната мрежна активност. Но, ова не е аналог на IDS/IPS системите. Работата со модулот започнува со неговата „обука“. За да го направите ова, специјален волшебник ги одредува сите клучни компоненти и услуги на мрежата, вклучувајќи:

• адреси на портали, DNS, DHCP и NTP сервери,
• адресирање во кориснички и серверски сегменти.

После ова, системот оди во режим на обука, кој во просек трае од 2 недели до 1 месец. За тоа време, системот генерира основен сообраќај што е специфичен за нашата мрежа. Едноставно кажано, системот учи:

• какво однесување е типично за мрежните јазли?
• Кои количини на податоци обично се пренесуваат и се нормални за мрежата?
• Кое е типичното време на работа за корисниците?
• кои апликации работат на мрежата?
• и уште повеќе..

Како резултат на тоа, добиваме алатка која ги идентификува сите аномалии во нашата мрежа и отстапувања од типичното однесување. Еве неколку примери што системот ви овозможува да ги откриете:

• дистрибуција на нов малициозен софтвер на мрежата што не е откриен со антивирусни потписи;
• изградба на DNS, ICMP или други тунели и пренос на податоци заобиколувајќи го заштитниот ѕид;
• појавата на нов компјутер на мрежата кој се претставува како DHCP и/или DNS сервер.

Ајде да видиме како изгледа во живо. Откако вашиот систем ќе биде обучен и ќе изгради основна линија за мрежниот сообраќај, тој почнува да открива инциденти:

Главната страница на модулот е временска линија која прикажува идентификувани инциденти. Во нашиот пример, гледаме јасен скок, приближно помеѓу 9 и 16 часа. Ајде да го избереме и да погледнеме подетално.

Аномалното однесување на напаѓачот на мрежата е јасно видливо. Сè започнува со фактот дека домаќинот со адреса 192.168.3.225 започна хоризонтално скенирање на мрежата на портата 3389 (услуга Microsoft RDP) и пронајде 14 потенцијални „жртви“:

и

Следниот снимен инцидент - домаќинот 192.168.3.225 започнува напад со брутална сила за лозинки со брутална сила на услугата RDP (порта 3389) на претходно идентификуваните адреси:

Како резултат на нападот, SMTP аномалија е откриена на еден од хакираните хостови. Со други зборови, СПАМ започна:

Овој пример е јасна демонстрација на можностите на системот и особено на безбедносниот модул за откривање аномалија. Проценете ја ефективноста сами. Ова го заклучува функционалниот преглед на решението.

Заклучок

Ајде да резимираме какви заклучоци можеме да извлечеме за Flowmon:

• Flowmon е премиум решение за корпоративни клиенти;
• благодарение на неговата разновидност и компатибилност, собирањето податоци е достапно од кој било извор: мрежна опрема (Cisco, Juniper, HPE, Huawei...) или ваши сопствени сонди (Flowmon Probe);
• Способностите за приспособливост на решението ви овозможуваат да ја проширите функционалноста на системот со додавање нови модули, како и да ја зголемите продуктивноста благодарение на флексибилниот пристап кон лиценцирањето;
• преку употреба на технологии за анализа без потпис, системот ви овозможува да откриете напади од нула дена дури и непознати за антивирусите и системите IDS/IPS;
• благодарение на целосната „транспарентност“ во однос на инсталацијата и присуството на системот на мрежата - решението не влијае на работата на другите јазли и компоненти на вашата ИТ инфраструктура;
• Flowmon е единственото решение на пазарот кое поддржува следење на сообраќајот со брзина до 100 Gbps;
• Flowmon е решение за мрежи од кој било размер;
• најдобар сооднос цена/функционалност меѓу слични решенија.

Во овој преглед, испитавме помалку од 10% од вкупната функционалност на решението. Во следната статија ќе зборуваме за преостанатите модули на Flowmon Networks. Користејќи го модулот за следење на перформансите на апликацијата како пример, ќе покажеме како администраторите на деловните апликации можат да обезбедат достапност на дадено ниво на SLA, како и да ги дијагностицираат проблемите што е можно побрзо.

Исто така, би сакале да ве поканиме на нашиот вебинар (10.09.2019) посветен на решенијата на продавачот Flowmon Networks. За да се регистрирате однапред, ве молиме регистрирај се овде.
Засега тоа е сè, ви благодариме за интересот!

Само регистрирани корисници можат да учествуваат во анкетата. Најави се, вие сте добредојдени.

Дали користите Netflow за следење на мрежата?

• Да

• Не, но планирам

• Не

Гласаа 9 корисници. 3 корисници се воздржаа.

Извор: www.habr.com