ആന്തരിക നെറ്റ്‌വർക്ക് സുരക്ഷ നിരീക്ഷിക്കുന്നതിനുള്ള ഒരു ഉപകരണമായി ഫ്ലോ പ്രോട്ടോക്കോളുകൾ

ഒരു ഇൻ്റേണൽ കോർപ്പറേറ്റ് അല്ലെങ്കിൽ ഡിപ്പാർട്ട്‌മെൻ്റൽ നെറ്റ്‌വർക്കിൻ്റെ സുരക്ഷ നിരീക്ഷിക്കുമ്പോൾ, വിവര ചോർച്ച നിയന്ത്രിക്കുന്നതിനും ഡിഎൽപി സൊല്യൂഷനുകൾ നടപ്പിലാക്കുന്നതിനുമായി പലരും അതിനെ ബന്ധപ്പെടുത്തുന്നു. നിങ്ങൾ ചോദ്യം വ്യക്തമാക്കാനും ആന്തരിക നെറ്റ്‌വർക്കിലെ ആക്രമണങ്ങൾ എങ്ങനെ കണ്ടെത്തുന്നുവെന്ന് ചോദിക്കാനും ശ്രമിക്കുകയാണെങ്കിൽ, ഉത്തരം സാധാരണയായി നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ സംവിധാനങ്ങളുടെ (IDS) പരാമർശമായിരിക്കും. 10-20 വർഷം മുമ്പ് ഉണ്ടായിരുന്ന ഒരേയൊരു ഓപ്ഷൻ ഇന്ന് അനാക്രോണിസമായി മാറുകയാണ്. കൂടുതൽ ഫലപ്രദമായ, ചില സ്ഥലങ്ങളിൽ, ഒരു ആന്തരിക നെറ്റ്‌വർക്ക് നിരീക്ഷിക്കുന്നതിനുള്ള ഒരേയൊരു ഓപ്ഷൻ ഉണ്ട് - ഫ്ലോ പ്രോട്ടോക്കോളുകൾ ഉപയോഗിച്ച്, അവ നെറ്റ്‌വർക്ക് പ്രശ്നങ്ങൾ (ട്രബിൾഷൂട്ടിംഗ്) തിരയുന്നതിനായി രൂപകൽപ്പന ചെയ്‌തതാണ്, എന്നാൽ കാലക്രമേണ അത് വളരെ രസകരമായ ഒരു സുരക്ഷാ ഉപകരണമായി രൂപാന്തരപ്പെട്ടു. ഏതൊക്കെ ഫ്ലോ പ്രോട്ടോക്കോളുകൾ ഉണ്ട്, നെറ്റ്‌വർക്ക് ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിൽ ഏതാണ് മികച്ചത്, ഫ്ലോ മോണിറ്ററിംഗ് നടപ്പിലാക്കുന്നതാണ് നല്ലത്, അത്തരമൊരു സ്കീം വിന്യസിക്കുമ്പോൾ എന്താണ് ശ്രദ്ധിക്കേണ്ടത്, ഗാർഹിക ഉപകരണങ്ങളിൽ ഇതെല്ലാം എങ്ങനെ "ഉയർത്താം" എന്നിവയെക്കുറിച്ച് ഞങ്ങൾ സംസാരിക്കും. ഈ ലേഖനത്തിൻ്റെ പരിധിയിൽ.

“എന്തുകൊണ്ട് ആന്തരിക ഇൻഫ്രാസ്ട്രക്ചർ സുരക്ഷാ നിരീക്ഷണം ആവശ്യമാണ്?” എന്ന ചോദ്യത്തിൽ ഞാൻ വസിക്കുകയില്ല. ഉത്തരം വ്യക്തമാണെന്ന് തോന്നുന്നു. എന്നിരുന്നാലും, ഇന്ന് നിങ്ങൾക്ക് അതില്ലാതെ ജീവിക്കാൻ കഴിയില്ലെന്ന് ഒരിക്കൽ കൂടി ഉറപ്പാക്കാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, ഒന്ന് നോക്കൂ 17 വഴികളിൽ ഒരു ഫയർവാൾ പരിരക്ഷിച്ചിരിക്കുന്ന ഒരു കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്ക് നിങ്ങൾക്ക് എങ്ങനെ കടന്നുകയറാം എന്നതിനെക്കുറിച്ചുള്ള ഒരു ചെറിയ വീഡിയോ. അതിനാൽ, ആന്തരിക നിരീക്ഷണം ഒരു അനിവാര്യമായ കാര്യമാണെന്നും അത് എങ്ങനെ സംഘടിപ്പിക്കാമെന്ന് മനസിലാക്കാൻ മാത്രമേ ശേഷിക്കുന്നുള്ളൂവെന്നും ഞങ്ങൾ മനസ്സിലാക്കുന്നുവെന്ന് ഞങ്ങൾ അനുമാനിക്കും.

നെറ്റ്‌വർക്ക് തലത്തിൽ ഇൻഫ്രാസ്ട്രക്ചർ നിരീക്ഷിക്കുന്നതിനുള്ള മൂന്ന് പ്രധാന ഡാറ്റ ഉറവിടങ്ങൾ ഞാൻ ഹൈലൈറ്റ് ചെയ്യും:

• ഞങ്ങൾ ക്യാപ്‌ചർ ചെയ്യുകയും ചില വിശകലന സംവിധാനങ്ങളിലേക്ക് വിശകലനത്തിനായി സമർപ്പിക്കുകയും ചെയ്യുന്ന "റോ" ട്രാഫിക്,
• ട്രാഫിക് കടന്നുപോകുന്ന നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്നുള്ള ഇവൻ്റുകൾ,
• ഫ്ലോ പ്രോട്ടോക്കോളുകളിലൊന്ന് വഴി ലഭിച്ച ട്രാഫിക് വിവരങ്ങൾ.

സുരക്ഷാ സ്പെഷ്യലിസ്റ്റുകൾക്കിടയിൽ റോ ട്രാഫിക് ക്യാപ്ചർ ചെയ്യുന്നത് ഏറ്റവും ജനപ്രിയമായ ഓപ്ഷനാണ്, കാരണം ഇത് ചരിത്രപരമായി പ്രത്യക്ഷപ്പെട്ടതും ആദ്യത്തേതും ആയിരുന്നു. പരമ്പരാഗത നെറ്റ്‌വർക്ക് നുഴഞ്ഞുകയറ്റ കണ്ടെത്തൽ സംവിധാനങ്ങൾ (ആദ്യത്തെ വാണിജ്യപരമായ നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ സംവിധാനം വീൽ ഗ്രൂപ്പിൽ നിന്നുള്ള നെറ്റ്‌റേഞ്ചർ ആയിരുന്നു, 1998-ൽ സിസ്‌കോ വാങ്ങിയത്) കൃത്യമായി പാക്കറ്റുകൾ (പിന്നീടുള്ള സെഷനുകൾ) പിടിച്ചെടുക്കുന്നതിൽ ഏർപ്പെട്ടിരുന്നു, അതിൽ ചില ഒപ്പുകൾ (“നിർണ്ണായക നിയമങ്ങൾ” FSTEC ടെർമിനോളജി), സിഗ്നലിംഗ് ആക്രമണങ്ങൾ. തീർച്ചയായും, നിങ്ങൾക്ക് IDS ഉപയോഗിച്ച് മാത്രമല്ല, മറ്റ് ടൂളുകൾ ഉപയോഗിച്ചും റോ ട്രാഫിക്ക് വിശകലനം ചെയ്യാൻ കഴിയും (ഉദാഹരണത്തിന്, Wireshark, tcpdum അല്ലെങ്കിൽ Cisco IOS-ലെ NBAR2 ഫംഗ്‌ഷണാലിറ്റി), എന്നാൽ സാധാരണ ഒരു വിവര സുരക്ഷാ ഉപകരണത്തിൽ നിന്ന് ഒരു വിവര സുരക്ഷാ ഉപകരണത്തെ വേർതിരിക്കുന്ന അറിവ് അവയ്ക്ക് സാധാരണയായി ഇല്ല. ഐടി ഉപകരണം.

അതിനാൽ, ആക്രമണം കണ്ടെത്തൽ സംവിധാനങ്ങൾ. നെറ്റ്‌വർക്ക് ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിനുള്ള ഏറ്റവും പഴക്കമേറിയതും ജനപ്രിയവുമായ രീതി, ചുറ്റളവിൽ (എന്തായാലും - കോർപ്പറേറ്റ്, ഡാറ്റാ സെൻ്റർ, സെഗ്‌മെൻ്റ് മുതലായവ) മികച്ച ജോലി ചെയ്യുന്നു, എന്നാൽ ആധുനിക സ്വിച്ചുചെയ്‌തതും സോഫ്റ്റ്‌വെയർ നിർവചിച്ചതുമായ നെറ്റ്‌വർക്കുകളിൽ പരാജയപ്പെടുന്നു. പരമ്പരാഗത സ്വിച്ചുകളുടെ അടിസ്ഥാനത്തിൽ നിർമ്മിച്ച ഒരു നെറ്റ്‌വർക്കിൻ്റെ കാര്യത്തിൽ, ആക്രമണം കണ്ടെത്തൽ സെൻസറുകളുടെ ഇൻഫ്രാസ്ട്രക്ചർ വളരെ വലുതായിത്തീരുന്നു - നിങ്ങൾ ആക്രമണങ്ങൾ നിരീക്ഷിക്കാൻ ആഗ്രഹിക്കുന്ന നോഡിലേക്കുള്ള ഓരോ കണക്ഷനിലും നിങ്ങൾ ഒരു സെൻസർ ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്. ഏതൊരു നിർമ്മാതാവും, തീർച്ചയായും, നിങ്ങൾക്ക് നൂറുകണക്കിന് ആയിരക്കണക്കിന് സെൻസറുകൾ വിൽക്കുന്നതിൽ സന്തോഷമുണ്ട്, എന്നാൽ നിങ്ങളുടെ ബജറ്റിന് അത്തരം ചെലവുകൾ പിന്തുണയ്ക്കാൻ കഴിയില്ലെന്ന് ഞാൻ കരുതുന്നു. സിസ്‌കോയിൽ പോലും (ഞങ്ങൾ എൻജിഐപിഎസിൻ്റെ ഡവലപ്പർമാരാണ്) ഞങ്ങൾക്ക് ഇത് ചെയ്യാൻ കഴിയില്ലെന്ന് എനിക്ക് പറയാൻ കഴിയും, എന്നിരുന്നാലും വിലയുടെ പ്രശ്നം നമ്മുടെ മുന്നിലുണ്ടെന്ന് തോന്നുന്നു. ഞാൻ നിൽക്കരുത് - ഇത് ഞങ്ങളുടെ സ്വന്തം തീരുമാനമാണ്. കൂടാതെ, ചോദ്യം ഉയർന്നുവരുന്നു, ഈ പതിപ്പിൽ സെൻസർ എങ്ങനെ ബന്ധിപ്പിക്കും? വിടവിലേക്ക്? സെൻസർ തന്നെ പരാജയപ്പെടുകയാണെങ്കിൽ? സെൻസറിൽ ഒരു ബൈപാസ് മൊഡ്യൂൾ ആവശ്യമുണ്ടോ? സ്പ്ലിറ്ററുകൾ (ടാപ്പ്) ഉപയോഗിക്കണോ? ഇതെല്ലാം സൊല്യൂഷൻ കൂടുതൽ ചെലവേറിയതാക്കുകയും ഏതെങ്കിലും വലിപ്പത്തിലുള്ള ഒരു കമ്പനിക്ക് താങ്ങാനാവാത്തതാക്കുകയും ചെയ്യുന്നു.

നിങ്ങൾക്ക് ഒരു SPAN/RSPAN/ERSPAN പോർട്ടിൽ സെൻസർ "ഹാംഗ്" ചെയ്യാനും ആവശ്യമായ സ്വിച്ച് പോർട്ടുകളിൽ നിന്ന് അതിലേക്ക് ട്രാഫിക്ക് നയിക്കാനും ശ്രമിക്കാം. ഈ ഐച്ഛികം മുമ്പത്തെ ഖണ്ഡികയിൽ വിവരിച്ച പ്രശ്നം ഭാഗികമായി നീക്കംചെയ്യുന്നു, പക്ഷേ മറ്റൊന്ന് ഉയർത്തുന്നു - സ്പാൻ പോർട്ടിന് അയയ്‌ക്കുന്ന എല്ലാ ട്രാഫിക്കും പൂർണ്ണമായും സ്വീകരിക്കാൻ കഴിയില്ല - അതിന് മതിയായ ബാൻഡ്‌വിഡ്ത്ത് ഉണ്ടായിരിക്കില്ല. എന്തെങ്കിലും ത്യാഗം ചെയ്യേണ്ടി വരും. ഒന്നുകിൽ ചില നോഡുകൾ നിരീക്ഷിക്കാതെ വിടുക (അപ്പോൾ നിങ്ങൾ ആദ്യം അവയ്ക്ക് മുൻഗണന നൽകണം), അല്ലെങ്കിൽ നോഡിൽ നിന്ന് എല്ലാ ട്രാഫിക്കും അയയ്‌ക്കരുത്, പക്ഷേ ഒരു പ്രത്യേക തരം മാത്രം. എന്തായാലും ചില ആക്രമണങ്ങൾ നമുക്ക് നഷ്ടമായേക്കാം. കൂടാതെ, മറ്റ് ആവശ്യങ്ങൾക്ക് സ്പാൻ പോർട്ട് ഉപയോഗിക്കാം. തൽഫലമായി, നിങ്ങളുടെ പക്കലുള്ള സെൻസറുകളുടെ എണ്ണം (ഐടിയുമായി ഇത് ഏകോപിപ്പിക്കുക) ഉപയോഗിച്ച് നിങ്ങളുടെ നെറ്റ്‌വർക്ക് പരമാവധി പരിരക്ഷിക്കുന്നതിന്, നിലവിലുള്ള നെറ്റ്‌വർക്ക് ടോപ്പോളജി ഞങ്ങൾ അവലോകനം ചെയ്യുകയും അതിൽ ക്രമീകരണങ്ങൾ വരുത്തുകയും വേണം.

നിങ്ങളുടെ നെറ്റ്‌വർക്ക് അസമമായ റൂട്ടുകൾ ഉപയോഗിക്കുന്നെങ്കിലോ? നിങ്ങൾ SDN നടപ്പിലാക്കുകയോ നടപ്പിലാക്കാൻ പദ്ധതിയിടുകയോ ചെയ്താലോ? ഫിസിക്കൽ സ്വിച്ചിലേക്ക് ട്രാഫിക്കിൽ എത്താത്ത വെർച്വലൈസ്ഡ് മെഷീനുകളോ കണ്ടെയ്‌നറുകളോ നിങ്ങൾക്ക് നിരീക്ഷിക്കണമെങ്കിൽ എന്തുചെയ്യും? പരമ്പരാഗത ഐഡിഎസ് വെണ്ടർമാർ ഇഷ്ടപ്പെടാത്ത ചോദ്യങ്ങളാണിവ, കാരണം അവർക്ക് എങ്ങനെ ഉത്തരം നൽകണമെന്ന് അറിയില്ല. ഈ ഫാഷനബിൾ സാങ്കേതികവിദ്യകളെല്ലാം ഹൈപ്പാണെന്നും നിങ്ങൾക്കത് ആവശ്യമില്ലെന്നും അവർ നിങ്ങളെ ബോധ്യപ്പെടുത്തിയേക്കാം. ഒരുപക്ഷേ ചെറുതായി തുടങ്ങേണ്ടതിൻ്റെ ആവശ്യകതയെക്കുറിച്ച് അവർ സംസാരിക്കും. അല്ലെങ്കിൽ നെറ്റ്‌വർക്കിൻ്റെ മധ്യഭാഗത്ത് ശക്തമായ ഒരു മെതിക്കുന്ന യന്ത്രം സ്ഥാപിക്കുകയും ബാലൻസറുകൾ ഉപയോഗിച്ച് അതിലേക്ക് എല്ലാ ട്രാഫിക്കും നയിക്കുകയും ചെയ്യണമെന്ന് അവർ പറഞ്ഞേക്കാം. നിങ്ങൾക്ക് വാഗ്ദാനം ചെയ്യുന്ന ഓപ്ഷൻ എന്തായാലും, അത് നിങ്ങൾക്ക് എങ്ങനെ അനുയോജ്യമാണെന്ന് നിങ്ങൾ വ്യക്തമായി മനസ്സിലാക്കേണ്ടതുണ്ട്. അതിനുശേഷം മാത്രമേ നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറിൻ്റെ വിവര സുരക്ഷ നിരീക്ഷിക്കുന്നതിനുള്ള ഒരു സമീപനം തിരഞ്ഞെടുക്കുന്നതിനെക്കുറിച്ച് തീരുമാനമെടുക്കൂ. പാക്കറ്റ് ക്യാപ്‌ചറിലേക്ക് മടങ്ങുമ്പോൾ, ഈ രീതി വളരെ ജനപ്രിയവും പ്രധാനപ്പെട്ടതുമായി തുടരുന്നുവെന്ന് ഞാൻ പറയാൻ ആഗ്രഹിക്കുന്നു, പക്ഷേ അതിൻ്റെ പ്രധാന ലക്ഷ്യം അതിർത്തി നിയന്ത്രണമാണ്; നിങ്ങളുടെ ഓർഗനൈസേഷനും ഇൻറർനെറ്റും തമ്മിലുള്ള അതിരുകൾ, ഡാറ്റാ സെൻ്ററും മറ്റ് നെറ്റ്‌വർക്കുകളും തമ്മിലുള്ള അതിരുകൾ, പ്രോസസ്സ് കൺട്രോൾ സിസ്റ്റവും കോർപ്പറേറ്റ് സെഗ്‌മെൻ്റും തമ്മിലുള്ള അതിരുകൾ. ഈ സ്ഥലങ്ങളിൽ, ക്ലാസിക് IDS/IPS-കൾക്ക് ഇപ്പോഴും നിലനിൽക്കാനും അവരുടെ ജോലികൾ നന്നായി നേരിടാനും അവകാശമുണ്ട്.

നമുക്ക് രണ്ടാമത്തെ ഓപ്ഷനിലേക്ക് പോകാം. നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്ന് വരുന്ന ഇവൻ്റുകളുടെ വിശകലനം ആക്രമണം കണ്ടെത്തൽ ആവശ്യങ്ങൾക്കും ഉപയോഗിക്കാനാകും, പക്ഷേ പ്രധാന മെക്കാനിസമായിട്ടല്ല, കാരണം ഇത് ഒരു ചെറിയ തരം നുഴഞ്ഞുകയറ്റങ്ങൾ മാത്രം കണ്ടെത്താൻ അനുവദിക്കുന്നു. കൂടാതെ, ഇത് ചില പ്രതിപ്രവർത്തനങ്ങളിൽ അന്തർലീനമാണ് - ആക്രമണം ആദ്യം സംഭവിക്കണം, തുടർന്ന് അത് ഒരു നെറ്റ്‌വർക്ക് ഉപകരണം ഉപയോഗിച്ച് റെക്കോർഡ് ചെയ്യണം, ഇത് ഒരു തരത്തിൽ അല്ലെങ്കിൽ മറ്റൊന്നിൽ വിവര സുരക്ഷയുമായി ബന്ധപ്പെട്ട ഒരു പ്രശ്നത്തെ സൂചിപ്പിക്കുന്നു. അത്തരം നിരവധി മാർഗങ്ങളുണ്ട്. ഇത് syslog, RMON അല്ലെങ്കിൽ SNMP ആകാം. വിവര സുരക്ഷയുടെ പശ്ചാത്തലത്തിൽ നെറ്റ്‌വർക്ക് നിരീക്ഷണത്തിനുള്ള അവസാന രണ്ട് പ്രോട്ടോക്കോളുകൾ നെറ്റ്‌വർക്ക് ഉപകരണത്തിൽ തന്നെ ഒരു DoS ആക്രമണം കണ്ടെത്തണമെങ്കിൽ മാത്രമേ ഉപയോഗിക്കൂ, കാരണം RMON, SNMP എന്നിവ ഉപയോഗിച്ച് ഉപകരണത്തിൻ്റെ സെൻട്രലിലെ ലോഡ് നിരീക്ഷിക്കുന്നത് സാധ്യമാണ്. പ്രോസസ്സർ അല്ലെങ്കിൽ അതിൻ്റെ ഇൻ്റർഫേസുകൾ. ഇത് "വിലകുറഞ്ഞ" ഒന്നാണ് (എല്ലാവർക്കും സിസ്ലോഗ് അല്ലെങ്കിൽ എസ്എൻഎംപി ഉണ്ട്), മാത്രമല്ല ആന്തരിക ഇൻഫ്രാസ്ട്രക്ചറിൻ്റെ വിവര സുരക്ഷ നിരീക്ഷിക്കുന്നതിനുള്ള എല്ലാ രീതികളിലും ഏറ്റവും ഫലപ്രദമല്ലാത്തത് - പല ആക്രമണങ്ങളും അതിൽ നിന്ന് മറഞ്ഞിരിക്കുന്നു. തീർച്ചയായും, അവ അവഗണിക്കരുത്, അതേ സിസ്ലോഗ് വിശകലനം ഉപകരണത്തിൻ്റെ കോൺഫിഗറേഷനിലെ മാറ്റങ്ങൾ, അതിൻ്റെ വിട്ടുവീഴ്ച എന്നിവ സമയബന്ധിതമായി തിരിച്ചറിയാൻ നിങ്ങളെ സഹായിക്കുന്നു, പക്ഷേ മുഴുവൻ നെറ്റ്‌വർക്കിലെയും ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിന് ഇത് വളരെ അനുയോജ്യമല്ല.

നിരവധി ഫ്ലോ പ്രോട്ടോക്കോളുകളിൽ ഒന്നിനെ പിന്തുണയ്ക്കുന്ന ഒരു ഉപകരണത്തിലൂടെ കടന്നുപോകുന്ന ട്രാഫിക്കിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ വിശകലനം ചെയ്യുക എന്നതാണ് മൂന്നാമത്തെ ഓപ്ഷൻ. ഈ സാഹചര്യത്തിൽ, പ്രോട്ടോക്കോൾ പരിഗണിക്കാതെ തന്നെ, ത്രെഡിംഗ് ഇൻഫ്രാസ്ട്രക്ചറിൽ മൂന്ന് ഘടകങ്ങൾ അടങ്ങിയിരിക്കണം:

• ഒഴുക്കിൻ്റെ ഉത്പാദനം അല്ലെങ്കിൽ കയറ്റുമതി. ഈ റോൾ സാധാരണയായി ഒരു റൂട്ടർ, സ്വിച്ച് അല്ലെങ്കിൽ മറ്റ് നെറ്റ്‌വർക്ക് ഉപകരണത്തിന് നിയുക്തമാക്കുന്നു, അത് നെറ്റ്‌വർക്ക് ട്രാഫിക്കിലൂടെ കടന്നുപോകുന്നതിലൂടെ, അതിൽ നിന്ന് പ്രധാന പാരാമീറ്ററുകൾ എക്‌സ്‌ട്രാക്റ്റുചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു, അവ പിന്നീട് ശേഖരണ മൊഡ്യൂളിലേക്ക് കൈമാറുന്നു. ഉദാഹരണത്തിന്, വെർച്വൽ, ഇൻഡസ്ട്രിയൽ എന്നിവ ഉൾപ്പെടെ റൂട്ടറുകളിലും സ്വിച്ചുകളിലും മാത്രമല്ല, വയർലെസ് കൺട്രോളറുകൾ, ഫയർവാളുകൾ, സെർവറുകൾ എന്നിവയിലും നെറ്റ്ഫ്ലോ പ്രോട്ടോക്കോൾ സിസ്‌കോ പിന്തുണയ്ക്കുന്നു.
• ശേഖരണ പ്രവാഹം. ഒരു ആധുനിക നെറ്റ്‌വർക്കിന് സാധാരണയായി ഒന്നിലധികം നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ ഉണ്ടെന്ന് കണക്കിലെടുക്കുമ്പോൾ, ഫ്ലോകൾ ശേഖരിക്കുന്നതിനും ഏകീകരിക്കുന്നതിനുമുള്ള പ്രശ്നം ഉയർന്നുവരുന്നു, ഇത് ശേഖരിക്കുന്നവർ എന്ന് വിളിക്കപ്പെടുന്നവ ഉപയോഗിച്ച് പരിഹരിക്കുന്നു, ഇത് സ്വീകരിച്ച ഫ്ലോകൾ പ്രോസസ്സ് ചെയ്യുകയും വിശകലനത്തിനായി അവ കൈമാറുകയും ചെയ്യുന്നു.
• ഒഴുക്ക് വിശകലനം അനലൈസർ പ്രധാന ബൗദ്ധിക ചുമതല ഏറ്റെടുക്കുകയും സ്ട്രീമുകളിൽ വിവിധ അൽഗോരിതങ്ങൾ പ്രയോഗിക്കുകയും ചില നിഗമനങ്ങളിൽ എത്തിച്ചേരുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, ഒരു ഐടി ഫംഗ്‌ഷൻ്റെ ഭാഗമായി, അത്തരം ഒരു അനലൈസറിന് നെറ്റ്‌വർക്ക് തടസ്സങ്ങൾ തിരിച്ചറിയാനോ കൂടുതൽ നെറ്റ്‌വർക്ക് ഒപ്റ്റിമൈസേഷനായി ട്രാഫിക് ലോഡ് പ്രൊഫൈൽ വിശകലനം ചെയ്യാനോ കഴിയും. വിവര സുരക്ഷയ്ക്കായി, അത്തരം അനലൈസറിന് ഡാറ്റ ചോർച്ച, ക്ഷുദ്ര കോഡിൻ്റെ വ്യാപനം അല്ലെങ്കിൽ DoS ആക്രമണങ്ങൾ എന്നിവ കണ്ടെത്താനാകും.

ഈ ത്രീ-ടയർ ആർക്കിടെക്ചർ വളരെ സങ്കീർണ്ണമാണെന്ന് കരുതരുത് - മറ്റെല്ലാ ഓപ്ഷനുകളും (ഒരുപക്ഷേ, SNMP, RMON എന്നിവയിൽ പ്രവർത്തിക്കുന്ന നെറ്റ്‌വർക്ക് മോണിറ്ററിംഗ് സിസ്റ്റങ്ങൾ ഒഴികെ) അത് അനുസരിച്ച് പ്രവർത്തിക്കുന്നു. വിശകലനത്തിനായി ഞങ്ങൾക്ക് ഒരു ഡാറ്റ ജനറേറ്റർ ഉണ്ട്, അത് ഒരു നെറ്റ്‌വർക്ക് ഉപകരണമോ സ്റ്റാൻഡ്-എലോൺ സെൻസറോ ആകാം. ഞങ്ങൾക്ക് ഒരു അലാറം ശേഖരണ സംവിധാനവും മുഴുവൻ മോണിറ്ററിംഗ് ഇൻഫ്രാസ്ട്രക്ചറിനായി ഒരു മാനേജ്മെൻ്റ് സിസ്റ്റവും ഉണ്ട്. അവസാനത്തെ രണ്ട് ഘടകങ്ങളും ഒരൊറ്റ നോഡിനുള്ളിൽ സംയോജിപ്പിക്കാൻ കഴിയും, എന്നാൽ കൂടുതലോ കുറവോ വലിയ നെറ്റ്‌വർക്കുകളിൽ സ്കേലബിളിറ്റിയും വിശ്വാസ്യതയും ഉറപ്പാക്കുന്നതിനായി അവ സാധാരണയായി രണ്ട് ഉപകരണങ്ങളിലെങ്കിലും വ്യാപിച്ചിരിക്കുന്നു.

ഓരോ പാക്കറ്റിൻ്റെയും തലക്കെട്ടും ബോഡി ഡാറ്റയും അതിൽ അടങ്ങിയിരിക്കുന്ന സെഷനുകളും പഠിക്കുന്നതിനെ അടിസ്ഥാനമാക്കിയുള്ള പാക്കറ്റ് വിശകലനത്തിൽ നിന്ന് വ്യത്യസ്തമായി, നെറ്റ്‌വർക്ക് ട്രാഫിക്കിനെക്കുറിച്ചുള്ള മെറ്റാഡാറ്റ ശേഖരിക്കുന്നതിനെയാണ് ഫ്ലോ വിശകലനം ആശ്രയിക്കുന്നത്. എപ്പോൾ, എത്ര, എവിടെ നിന്ന്, എവിടെ നിന്ന്, എങ്ങനെ... വിവിധ ഫ്ലോ പ്രോട്ടോക്കോളുകൾ ഉപയോഗിച്ച് നെറ്റ്‌വർക്ക് ടെലിമെട്രിയുടെ വിശകലനത്തിലൂടെ ഉത്തരം നൽകുന്ന ചോദ്യങ്ങൾ ഇവയാണ്. തുടക്കത്തിൽ, സ്ഥിതിവിവരക്കണക്കുകൾ വിശകലനം ചെയ്യാനും നെറ്റ്‌വർക്കിൽ ഐടി പ്രശ്നങ്ങൾ കണ്ടെത്താനും അവ ഉപയോഗിച്ചിരുന്നു, എന്നാൽ പിന്നീട്, വിശകലന സംവിധാനങ്ങൾ വികസിപ്പിച്ചപ്പോൾ, സുരക്ഷാ ആവശ്യങ്ങൾക്കായി അവ ഒരേ ടെലിമെട്രിയിൽ പ്രയോഗിക്കാൻ സാധിച്ചു. ഫ്ലോ വിശകലനം പാക്കറ്റ് ക്യാപ്‌ചർ മാറ്റിസ്ഥാപിക്കുകയോ മാറ്റിസ്ഥാപിക്കുകയോ ചെയ്യുന്നില്ല എന്നത് വീണ്ടും ശ്രദ്ധിക്കേണ്ടതാണ്. ഈ രീതികളിൽ ഓരോന്നിനും അതിൻ്റേതായ പ്രയോഗ മേഖലയുണ്ട്. എന്നാൽ ഈ ലേഖനത്തിൻ്റെ പശ്ചാത്തലത്തിൽ, ആന്തരിക ഇൻഫ്രാസ്ട്രക്ചർ നിരീക്ഷിക്കുന്നതിന് ഏറ്റവും അനുയോജ്യമായത് ഒഴുക്ക് വിശകലനമാണ്. നിങ്ങളുടെ പക്കൽ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ ഉണ്ട് (അവ സോഫ്‌റ്റ്‌വെയർ നിർവ്വചിച്ച മാതൃകയിലായാലും സ്റ്റാറ്റിക് നിയമങ്ങൾക്കനുസരിച്ചായാലും) ആക്രമണത്തിന് മറികടക്കാൻ കഴിയില്ല. ഇതിന് ഒരു ക്ലാസിക് IDS സെൻസറിനെ മറികടക്കാൻ കഴിയും, എന്നാൽ ഫ്ലോ പ്രോട്ടോക്കോൾ പിന്തുണയ്ക്കുന്ന ഒരു നെറ്റ്‌വർക്ക് ഉപകരണത്തിന് കഴിയില്ല. ഇതാണ് ഈ രീതിയുടെ പ്രയോജനം.

മറുവശത്ത്, നിയമപാലകർക്കോ നിങ്ങളുടെ സ്വന്തം സംഭവ അന്വേഷണ സംഘത്തിനോ നിങ്ങൾക്ക് തെളിവുകൾ ആവശ്യമുണ്ടെങ്കിൽ, പാക്കറ്റ് ക്യാപ്‌ചർ കൂടാതെ നിങ്ങൾക്ക് ചെയ്യാൻ കഴിയില്ല - നെറ്റ്‌വർക്ക് ടെലിമെട്രി എന്നത് തെളിവുകൾ ശേഖരിക്കാൻ ഉപയോഗിക്കാവുന്ന ട്രാഫിക്കിൻ്റെ ഒരു പകർപ്പല്ല; വിവര സുരക്ഷാ മേഖലയിൽ അതിവേഗം കണ്ടെത്തുന്നതിനും തീരുമാനമെടുക്കുന്നതിനും ഇത് ആവശ്യമാണ്. മറുവശത്ത്, ടെലിമെട്രി വിശകലനം ഉപയോഗിച്ച്, നിങ്ങൾക്ക് എല്ലാ നെറ്റ്‌വർക്ക് ട്രാഫിക്കും "എഴുതാൻ" കഴിയും (എന്തെങ്കിലും ഉണ്ടെങ്കിൽ, സിസ്‌കോ ഡാറ്റാ സെൻ്ററുകൾ കൈകാര്യം ചെയ്യുന്നു :-), എന്നാൽ ആക്രമണത്തിൽ ഉൾപ്പെട്ടവ മാത്രം. ഇക്കാര്യത്തിൽ ടെലിമെട്രി വിശകലന ടൂളുകൾ പരമ്പരാഗത പാക്കറ്റ് ക്യാപ്‌ചർ മെക്കാനിസങ്ങളെ നന്നായി പൂരകമാക്കും, സെലക്ടീവ് ക്യാപ്‌ചറിനും സ്റ്റോറേജിനുമുള്ള കമാൻഡുകൾ നൽകുന്നു. അല്ലെങ്കിൽ, നിങ്ങൾക്ക് ഒരു വലിയ സ്റ്റോറേജ് ഇൻഫ്രാസ്ട്രക്ചർ ഉണ്ടായിരിക്കും.

250 Mbit/sec വേഗതയിൽ പ്രവർത്തിക്കുന്ന ഒരു നെറ്റ്‌വർക്ക് സങ്കൽപ്പിക്കുക. നിങ്ങൾക്ക് ഈ വോളിയം മുഴുവൻ സംഭരിക്കണമെങ്കിൽ, ട്രാഫിക് ട്രാൻസ്മിഷൻ്റെ ഒരു സെക്കൻഡിന് 31 MB, ഒരു മിനിറ്റിന് 1,8 GB, ഒരു മണിക്കൂറിന് 108 GB, ഒരു ദിവസത്തേക്ക് 2,6 TB എന്നിവ ആവശ്യമാണ്. 10 Gbit/s ബാൻഡ്‌വിഡ്‌ത്ത് ഉള്ള ഒരു നെറ്റ്‌വർക്കിൽ നിന്ന് പ്രതിദിന ഡാറ്റ സംഭരിക്കുന്നതിന്, നിങ്ങൾക്ക് 108 TB സ്റ്റോറേജ് ആവശ്യമാണ്. എന്നാൽ ചില റെഗുലേറ്റർമാർക്ക് വർഷങ്ങളോളം സുരക്ഷാ ഡാറ്റ സംഭരിക്കേണ്ടതുണ്ട്... ഓൺ ഡിമാൻഡ് റെക്കോർഡിംഗ്, ഇത് നടപ്പിലാക്കാൻ നിങ്ങളെ സഹായിക്കുന്ന ഫ്ലോ വിശകലനം, ഈ മൂല്യങ്ങൾ മാഗ്നിറ്റ്യൂഡ് ഓർഡറുകൾ വഴി കുറയ്ക്കാൻ സഹായിക്കുന്നു. വഴിയിൽ, റെക്കോർഡ് ചെയ്‌ത നെറ്റ്‌വർക്ക് ടെലിമെട്രി ഡാറ്റയുടെയും പൂർണ്ണമായ ഡാറ്റ ക്യാപ്‌ചറിൻ്റെയും അളവിൻ്റെ അനുപാതത്തെ കുറിച്ച് നമ്മൾ സംസാരിക്കുകയാണെങ്കിൽ, അത് ഏകദേശം 1 മുതൽ 500 വരെയാണ്. മുകളിൽ നൽകിയിരിക്കുന്ന അതേ മൂല്യങ്ങൾക്ക്, എല്ലാ പ്രതിദിന ട്രാഫിക്കിൻ്റെയും പൂർണ്ണമായ ട്രാൻസ്‌ക്രിപ്റ്റ് സംഭരിക്കുന്നു യഥാക്രമം 5 ഉം 216 GB ഉം ആയിരിക്കും (നിങ്ങൾക്ക് ഇത് ഒരു സാധാരണ ഫ്ലാഷ് ഡ്രൈവിൽ പോലും റെക്കോർഡ് ചെയ്യാം ).

അസംസ്‌കൃത നെറ്റ്‌വർക്ക് ഡാറ്റ വിശകലനം ചെയ്യുന്നതിനുള്ള ഉപകരണങ്ങൾക്കായി, അത് ക്യാപ്‌ചർ ചെയ്യുന്ന രീതി വെണ്ടർ മുതൽ വെണ്ടർ വരെ ഏതാണ്ട് സമാനമാണെങ്കിൽ, ഫ്ലോ വിശകലനത്തിൻ്റെ കാര്യത്തിൽ സ്ഥിതി വ്യത്യസ്തമാണ്. ഫ്ലോ പ്രോട്ടോക്കോളുകൾക്കായി നിരവധി ഓപ്ഷനുകൾ ഉണ്ട്, സുരക്ഷയുടെ പശ്ചാത്തലത്തിൽ നിങ്ങൾ അറിയേണ്ട വ്യത്യാസങ്ങൾ. സിസ്കോ വികസിപ്പിച്ചെടുത്ത നെറ്റ്ഫ്ലോ പ്രോട്ടോക്കോൾ ആണ് ഏറ്റവും ജനപ്രിയമായത്. ഈ പ്രോട്ടോക്കോളിൻ്റെ നിരവധി പതിപ്പുകൾ ഉണ്ട്, അവയുടെ കഴിവുകളിലും രേഖപ്പെടുത്തിയിട്ടുള്ള ട്രാഫിക് വിവരങ്ങളുടെ അളവിലും വ്യത്യാസമുണ്ട്. നിലവിലെ പതിപ്പ് ഒമ്പതാമത്തെ (നെറ്റ്ഫ്ലോ v9) ആണ്, അതിൻ്റെ അടിസ്ഥാനത്തിലാണ് IPFIX എന്നും അറിയപ്പെടുന്ന നെറ്റ്ഫ്ലോ v10 എന്ന വ്യവസായ നിലവാരം വികസിപ്പിച്ചെടുത്തത്. ഇന്ന്, മിക്ക നെറ്റ്‌വർക്ക് വെണ്ടർമാരും അവരുടെ ഉപകരണങ്ങളിൽ Netflow അല്ലെങ്കിൽ IPFIX പിന്തുണയ്ക്കുന്നു. എന്നാൽ ഫ്ലോ പ്രോട്ടോക്കോളുകൾക്കായി മറ്റ് നിരവധി ഓപ്ഷനുകൾ ഉണ്ട് - sFlow, jFlow, cFlow, rFlow, NetStream മുതലായവ. ഇതിൽ sFlow ആണ് ഏറ്റവും പ്രചാരമുള്ളത്. നടപ്പിലാക്കുന്നതിനുള്ള എളുപ്പം കാരണം നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളുടെ ആഭ്യന്തര നിർമ്മാതാക്കൾ മിക്കപ്പോഴും പിന്തുണയ്ക്കുന്നത് ഇത്തരത്തിലുള്ളതാണ്. ഒരു ഡി ഫാക്ടോ സ്റ്റാൻഡേർഡായി മാറിയ നെറ്റ്ഫ്ലോയും സ്ഫ്ലോയും തമ്മിലുള്ള പ്രധാന വ്യത്യാസങ്ങൾ എന്തൊക്കെയാണ്? ഞാൻ നിരവധി പ്രധാന കാര്യങ്ങൾ ഹൈലൈറ്റ് ചെയ്യും. ആദ്യം, നെറ്റ്ഫ്ലോയ്ക്ക് sFlow-ലെ ഫിക്സഡ് ഫീൽഡുകൾക്ക് വിരുദ്ധമായി ഉപയോക്താക്കൾക്ക് ഇഷ്ടാനുസൃതമാക്കാവുന്ന ഫീൽഡുകൾ ഉണ്ട്. രണ്ടാമതായി, ഇതാണ് ഞങ്ങളുടെ കാര്യത്തിൽ ഏറ്റവും പ്രധാനപ്പെട്ട കാര്യം, സാമ്പിൾ ടെലിമെട്രി എന്ന് വിളിക്കപ്പെടുന്ന sFlow ശേഖരിക്കുന്നു; Netflow, IPFIX എന്നിവയ്‌ക്കായുള്ള സാമ്പിൾ ചെയ്യാത്തതിൽ നിന്ന് വ്യത്യസ്തമായി. അവർ തമ്മിലുള്ള വ്യത്യാസം എന്താണ്?

നിങ്ങൾ പുസ്തകം വായിക്കാൻ തീരുമാനിച്ചതായി സങ്കൽപ്പിക്കുക "സെക്യൂരിറ്റി ഓപ്പറേഷൻസ് സെൻ്റർ: നിങ്ങളുടെ എസ്ഒസി നിർമ്മിക്കുക, പ്രവർത്തിപ്പിക്കുക, പരിപാലിക്കുക”എൻ്റെ സഹപ്രവർത്തകർ - ഗാരി മക്കിൻ്റയർ, ജോസഫ് മുനിറ്റ്‌സ്, നാഡെം അൽഫാർദാൻ (ലിങ്കിൽ നിന്ന് നിങ്ങൾക്ക് പുസ്തകത്തിൻ്റെ ഒരു ഭാഗം ഡൗൺലോഡ് ചെയ്യാം). നിങ്ങളുടെ ലക്ഷ്യം നേടുന്നതിന് നിങ്ങൾക്ക് മൂന്ന് ഓപ്‌ഷനുകളുണ്ട് - മുഴുവൻ പുസ്തകവും വായിക്കുക, അതിലൂടെ കടന്നുപോകുക, ഓരോ 10-ാം അല്ലെങ്കിൽ 20-ാം പേജിലും നിർത്തുക, അല്ലെങ്കിൽ SmartReading പോലുള്ള ഒരു ബ്ലോഗിലോ സേവനത്തിലോ പ്രധാന ആശയങ്ങളുടെ പുനരാഖ്യാനം കണ്ടെത്താൻ ശ്രമിക്കുക. അതിനാൽ, സാമ്പിൾ ചെയ്യാത്ത ടെലിമെട്രി നെറ്റ്‌വർക്ക് ട്രാഫിക്കിൻ്റെ എല്ലാ "പേജുകളും" വായിക്കുന്നു, അതായത്, ഓരോ പാക്കറ്റിനും മെറ്റാഡാറ്റ വിശകലനം ചെയ്യുന്നു. തിരഞ്ഞെടുത്ത സാമ്പിളുകളിൽ നിങ്ങൾക്കാവശ്യമുള്ളത് അടങ്ങിയിരിക്കുമെന്ന പ്രതീക്ഷയിൽ ട്രാഫിക്കിൻ്റെ തിരഞ്ഞെടുത്ത പഠനമാണ് സാമ്പിൾ ടെലിമെട്രി. ചാനൽ വേഗതയെ ആശ്രയിച്ച്, ഓരോ 64, 200, 500, 1000, 2000 അല്ലെങ്കിൽ 10000 പാക്കറ്റിലും സാമ്പിൾ ടെലിമെട്രി വിശകലനത്തിനായി അയയ്ക്കും.

വിവര സുരക്ഷാ നിരീക്ഷണത്തിൻ്റെ പശ്ചാത്തലത്തിൽ, DDoS ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിനും സ്കാൻ ചെയ്യുന്നതിനും ക്ഷുദ്ര കോഡ് പ്രചരിപ്പിക്കുന്നതിനും സാമ്പിൾ ടെലിമെട്രി വളരെ അനുയോജ്യമാണ്, എന്നാൽ വിശകലനത്തിനായി അയച്ച സാമ്പിളിൽ ഉൾപ്പെടുത്തിയിട്ടില്ലാത്ത ആറ്റോമിക് അല്ലെങ്കിൽ മൾട്ടി-പാക്കറ്റ് ആക്രമണങ്ങൾ നഷ്ടമായേക്കാം എന്നാണ് ഇതിനർത്ഥം. സാമ്പിൾ ചെയ്യാത്ത ടെലിമെട്രിക്ക് അത്തരം ദോഷങ്ങളൊന്നുമില്ല. ഇതോടെ, കണ്ടെത്തിയ ആക്രമണങ്ങളുടെ വ്യാപ്തി വളരെ വിശാലമാണ്. നെറ്റ്‌വർക്ക് ടെലിമെട്രി വിശകലന ഉപകരണങ്ങൾ ഉപയോഗിച്ച് കണ്ടെത്താനാകുന്ന ഇവൻ്റുകളുടെ ഒരു ചെറിയ ലിസ്റ്റ് ഇതാ.

തീർച്ചയായും, ചില ഓപ്പൺ സോഴ്‌സ് നെറ്റ്‌ഫ്ലോ അനലൈസർ ഇത് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കില്ല, കാരണം അതിൻ്റെ പ്രധാന ദൗത്യം ടെലിമെട്രി ശേഖരിക്കുകയും ഐടി വീക്ഷണകോണിൽ നിന്ന് അടിസ്ഥാന വിശകലനം നടത്തുകയും ചെയ്യുക എന്നതാണ്. ഫ്ലോയെ അടിസ്ഥാനമാക്കിയുള്ള വിവര സുരക്ഷാ ഭീഷണികൾ തിരിച്ചറിയുന്നതിന്, അനലൈസറിനെ വിവിധ എഞ്ചിനുകളും അൽഗോരിതങ്ങളും ഉപയോഗിച്ച് സജ്ജീകരിക്കേണ്ടത് ആവശ്യമാണ്, ഇത് സ്റ്റാൻഡേർഡ് അല്ലെങ്കിൽ ഇഷ്‌ടാനുസൃത നെറ്റ്‌ഫ്ലോ ഫീൽഡുകളെ അടിസ്ഥാനമാക്കിയുള്ള സൈബർ സുരക്ഷാ പ്രശ്‌നങ്ങൾ തിരിച്ചറിയുകയും വിവിധ ഭീഷണി ഇൻ്റലിജൻസ് ഉറവിടങ്ങളിൽ നിന്നുള്ള ബാഹ്യ ഡാറ്റ ഉപയോഗിച്ച് സ്റ്റാൻഡേർഡ് ഡാറ്റ സമ്പുഷ്ടമാക്കുകയും ചെയ്യും.

അതിനാൽ, നിങ്ങൾക്ക് ഒരു ചോയിസ് ഉണ്ടെങ്കിൽ, Netflow അല്ലെങ്കിൽ IPFIX തിരഞ്ഞെടുക്കുക. എന്നാൽ നിങ്ങളുടെ ഉപകരണങ്ങൾ ആഭ്യന്തര നിർമ്മാതാക്കളെപ്പോലെ sFlow-ൽ മാത്രമേ പ്രവർത്തിക്കുകയുള്ളൂവെങ്കിലും, ഈ സാഹചര്യത്തിൽ പോലും നിങ്ങൾക്ക് ഒരു സുരക്ഷാ പശ്ചാത്തലത്തിൽ അത് പ്രയോജനപ്പെടുത്താം.

2019 ലെ വേനൽക്കാലത്ത്, റഷ്യൻ നെറ്റ്‌വർക്ക് ഹാർഡ്‌വെയർ നിർമ്മാതാക്കൾക്കുള്ള കഴിവുകൾ ഞാൻ വിശകലനം ചെയ്തു, NSG, പോളിഗോൺ, ക്രാഫ്റ്റ്‌വേ എന്നിവ ഒഴികെ അവയെല്ലാം sFlow ന് പിന്തുണ പ്രഖ്യാപിച്ചു (കുറഞ്ഞത് Zelax, Natex, Eltex, QTech, Rusteleteh).

നിങ്ങൾ അഭിമുഖീകരിക്കുന്ന അടുത്ത ചോദ്യം സുരക്ഷാ ആവശ്യങ്ങൾക്കായി എവിടെയാണ് ഫ്ലോ സപ്പോർട്ട് നടപ്പിലാക്കുക എന്നതാണ്? വാസ്തവത്തിൽ, ചോദ്യം പൂർണ്ണമായും ശരിയായി ഉന്നയിക്കപ്പെട്ടിട്ടില്ല. ആധുനിക ഉപകരണങ്ങൾ മിക്കവാറും എപ്പോഴും ഫ്ലോ പ്രോട്ടോക്കോളുകളെ പിന്തുണയ്ക്കുന്നു. അതിനാൽ, ഞാൻ ചോദ്യം വ്യത്യസ്തമായി പരിഷ്കരിക്കും - സുരക്ഷാ വീക്ഷണകോണിൽ നിന്ന് ടെലിമെട്രി ശേഖരിക്കുന്നത് എവിടെയാണ് ഏറ്റവും ഫലപ്രദം? ഉത്തരം വളരെ വ്യക്തമാകും - ആക്‌സസ് ലെവലിൽ, എല്ലാ ട്രാഫിക്കിൻ്റെയും 100% നിങ്ങൾ കാണും, അവിടെ നിങ്ങൾക്ക് ഹോസ്റ്റുകളെക്കുറിച്ചുള്ള വിശദമായ വിവരങ്ങൾ (MAC, VLAN, ഇൻ്റർഫേസ് ഐഡി) ഉണ്ടായിരിക്കും, അവിടെ നിങ്ങൾക്ക് ഹോസ്റ്റുകൾക്കിടയിലുള്ള P2P ട്രാഫിക് നിരീക്ഷിക്കാൻ പോലും കഴിയും. ക്ഷുദ്ര കോഡ് കണ്ടെത്തുന്നതിനും വിതരണം ചെയ്യുന്നതിനും സ്കാൻ ചെയ്യുന്നത് നിർണായകമാണ്. പ്രധാന തലത്തിൽ, നിങ്ങൾക്ക് ചില ട്രാഫിക്കുകൾ കാണാനാകില്ല, എന്നാൽ ചുറ്റളവിൽ, നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ട്രാഫിക്കിൻ്റെ നാലിലൊന്ന് നിങ്ങൾ കാണും. എന്നാൽ ചില കാരണങ്ങളാൽ നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ വിദേശ ഉപകരണങ്ങൾ ഉണ്ടെങ്കിൽ, അത് ചുറ്റളവ് മറികടക്കാതെ ആക്രമണകാരികളെ "പ്രവേശിക്കുന്നതിനും പുറത്തുകടക്കുന്നതിനും" അനുവദിക്കുന്നു, അതിൽ നിന്നുള്ള ടെലിമെട്രി വിശകലനം ചെയ്യുന്നത് നിങ്ങൾക്ക് ഒന്നും നൽകില്ല. അതിനാൽ, പരമാവധി കവറേജിനായി, ആക്സസ് തലത്തിൽ ടെലിമെട്രി ശേഖരണം പ്രവർത്തനക്ഷമമാക്കാൻ ശുപാർശ ചെയ്യുന്നു. അതേ സമയം, ഞങ്ങൾ വെർച്വലൈസേഷനെക്കുറിച്ചോ കണ്ടെയ്‌നറുകളെക്കുറിച്ചോ സംസാരിക്കുകയാണെങ്കിൽപ്പോലും, ആധുനിക വെർച്വൽ സ്വിച്ചുകളിൽ ഫ്ലോ സപ്പോർട്ട് പലപ്പോഴും കാണപ്പെടുന്നു എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്, ഇത് അവിടെയും ട്രാഫിക് നിയന്ത്രിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

എന്നാൽ ഞാൻ വിഷയം ഉന്നയിച്ചതിനാൽ, ഞാൻ ചോദ്യത്തിന് ഉത്തരം നൽകേണ്ടതുണ്ട്: ഫിസിക്കൽ അല്ലെങ്കിൽ വെർച്വൽ ഉപകരണങ്ങൾ ഫ്ലോ പ്രോട്ടോക്കോളുകളെ പിന്തുണയ്ക്കുന്നില്ലെങ്കിൽ എന്തുചെയ്യും? അല്ലെങ്കിൽ അതിൻ്റെ ഉൾപ്പെടുത്തൽ നിരോധിച്ചിട്ടുണ്ടോ (ഉദാഹരണത്തിന്, വിശ്വാസ്യത ഉറപ്പാക്കാൻ വ്യാവസായിക വിഭാഗങ്ങളിൽ)? അല്ലെങ്കിൽ അത് ഓണാക്കുന്നത് ഉയർന്ന സിപിയു ലോഡിലേക്ക് നയിക്കുമോ (ഇത് പഴയ ഹാർഡ്‌വെയറിൽ സംഭവിക്കുന്നു)? ഈ പ്രശ്നം പരിഹരിക്കാൻ, പ്രത്യേക വെർച്വൽ സെൻസറുകൾ (ഫ്ലോ സെൻസറുകൾ) ഉണ്ട്, അവ പ്രധാനമായും സാധാരണ സ്പ്ലിറ്ററുകളാണ്, അവ വഴി ട്രാഫിക്ക് കടന്നുപോകുകയും ശേഖരണ മൊഡ്യൂളിലേക്കുള്ള ഒഴുക്കിൻ്റെ രൂപത്തിൽ പ്രക്ഷേപണം ചെയ്യുകയും ചെയ്യുന്നു. ശരിയാണ്, ഈ സാഹചര്യത്തിൽ പാക്കറ്റ് ക്യാപ്‌ചർ ടൂളുകളുമായി ബന്ധപ്പെട്ട് ഞങ്ങൾ മുകളിൽ സംസാരിച്ച എല്ലാ പ്രശ്നങ്ങളും നമുക്ക് ലഭിക്കും. അതായത്, ഫ്ലോ വിശകലന സാങ്കേതികവിദ്യയുടെ ഗുണങ്ങൾ മാത്രമല്ല, അതിൻ്റെ പരിമിതികളും നിങ്ങൾ മനസ്സിലാക്കേണ്ടതുണ്ട്.

ഫ്ലോ അനാലിസിസ് ടൂളുകളെ കുറിച്ച് പറയുമ്പോൾ ഓർക്കേണ്ട മറ്റൊരു കാര്യം. സുരക്ഷാ ഇവൻ്റുകൾ സൃഷ്ടിക്കുന്നതിനുള്ള പരമ്പരാഗത മാർഗങ്ങളുമായി ബന്ധപ്പെട്ട് ഞങ്ങൾ EPS മെട്രിക് (സെക്കൻഡിൽ ഇവൻ്റ്) ഉപയോഗിക്കുന്നുവെങ്കിൽ, ടെലിമെട്രി വിശകലനത്തിന് ഈ സൂചകം ബാധകമല്ല; അത് FPS (സെക്കൻഡിലെ ഒഴുക്ക്) ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നു. EPS-ൻ്റെ കാര്യത്തിലെന്നപോലെ, ഇത് മുൻകൂട്ടി കണക്കാക്കാൻ കഴിയില്ല, എന്നാൽ ഒരു പ്രത്യേക ഉപകരണം അതിൻ്റെ ചുമതലയെ ആശ്രയിച്ച് സൃഷ്ടിക്കുന്ന ത്രെഡുകളുടെ ഏകദേശ എണ്ണം നിങ്ങൾക്ക് കണക്കാക്കാം. വ്യത്യസ്‌ത തരം എൻ്റർപ്രൈസ് ഉപകരണങ്ങൾക്കും വ്യവസ്ഥകൾക്കുമായി ഏകദേശ മൂല്യങ്ങളുള്ള പട്ടികകൾ നിങ്ങൾക്ക് ഇൻറർനെറ്റിൽ കണ്ടെത്താൻ കഴിയും, ഇത് വിശകലന ടൂളുകൾക്കായി നിങ്ങൾക്ക് എന്ത് ലൈസൻസുകൾ വേണമെന്നും അവയുടെ ആർക്കിടെക്ചർ എന്തായിരിക്കുമെന്നും കണക്കാക്കാൻ നിങ്ങളെ അനുവദിക്കും? ഐഡിഎസ് സെൻസർ ഒരു നിശ്ചിത ബാൻഡ്‌വിഡ്ത്ത് ഉപയോഗിച്ച് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു എന്നതാണ് വസ്തുത, അതിന് “വലിക്കാൻ” കഴിയും, കൂടാതെ ഫ്ലോ കളക്ടർക്ക് അതിൻ്റേതായ പരിമിതികളുണ്ട്, അത് മനസ്സിലാക്കേണ്ടതുണ്ട്. അതിനാൽ, വലിയ, ഭൂമിശാസ്ത്രപരമായി വിതരണം ചെയ്ത നെറ്റ്‌വർക്കുകളിൽ സാധാരണയായി നിരവധി കളക്ടർമാരുണ്ട്. ഞാൻ വിവരിച്ചപ്പോൾ സിസ്‌കോയ്ക്കുള്ളിലെ നെറ്റ്‌വർക്ക് എങ്ങനെ നിരീക്ഷിക്കപ്പെടുന്നു, ഞങ്ങളുടെ കളക്ടർമാരുടെ എണ്ണം ഞാൻ ഇതിനകം നൽകിയിട്ടുണ്ട് - അവയിൽ 21 എണ്ണം ഉണ്ട്. ഇത് അഞ്ച് ഭൂഖണ്ഡങ്ങളിലായി ചിതറിക്കിടക്കുന്ന ഒരു നെറ്റ്‌വർക്കിന് വേണ്ടിയുള്ളതാണ്, ഏകദേശം അര ദശലക്ഷം സജീവ ഉപകരണങ്ങൾ).

നെറ്റ്ഫ്ലോ മോണിറ്ററിംഗ് സിസ്റ്റമായി ഞങ്ങൾ ഞങ്ങളുടെ സ്വന്തം പരിഹാരം ഉപയോഗിക്കുന്നു സിസ്കോ സ്റ്റെൽത്ത് വാച്ച്, ഇത് സുരക്ഷാ പ്രശ്നങ്ങൾ പരിഹരിക്കുന്നതിൽ പ്രത്യേകം ശ്രദ്ധ കേന്ദ്രീകരിച്ചിരിക്കുന്നു. വ്യത്യസ്‌തമായ, സംശയാസ്പദമായ, വ്യക്തമായ ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങൾ കണ്ടെത്തുന്നതിന് ഇതിന് നിരവധി ബിൽറ്റ്-ഇൻ എഞ്ചിനുകൾ ഉണ്ട്, ഇത് വിവിധ ഭീഷണികളുടെ വിശാലമായ ശ്രേണി കണ്ടെത്താൻ അനുവദിക്കുന്നു - ക്രിപ്‌റ്റോമൈനിംഗ് മുതൽ വിവര ചോർച്ച വരെ, ക്ഷുദ്ര കോഡിൻ്റെ വ്യാപനം മുതൽ വഞ്ചന വരെ. മിക്ക ഫ്ലോ അനലൈസറുകളെയും പോലെ, സ്റ്റെൽത്ത് വാച്ച് ഒരു മൂന്ന്-ലെവൽ സ്കീം (ജനറേറ്റർ - കളക്ടർ - അനലൈസർ) അനുസരിച്ചാണ് നിർമ്മിച്ചിരിക്കുന്നത്, എന്നാൽ പരിഗണനയിലുള്ള മെറ്റീരിയലിൻ്റെ പശ്ചാത്തലത്തിൽ പ്രധാനപ്പെട്ട നിരവധി രസകരമായ സവിശേഷതകൾ ഇതിന് അനുബന്ധമാണ്. ആദ്യം, ഇത് പാക്കറ്റ് ക്യാപ്‌ചർ സൊല്യൂഷനുകളുമായി (സിസ്‌കോ സെക്യൂരിറ്റി പാക്കറ്റ് അനലൈസർ പോലുള്ളവ) സംയോജിപ്പിക്കുന്നു, പിന്നീട് ആഴത്തിലുള്ള അന്വേഷണത്തിനും വിശകലനത്തിനും തിരഞ്ഞെടുത്ത നെറ്റ്‌വർക്ക് സെഷനുകൾ റെക്കോർഡുചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. രണ്ടാമതായി, പ്രത്യേകമായി സുരക്ഷാ ജോലികൾ വിപുലീകരിക്കുന്നതിന്, ഞങ്ങൾ ഒരു പ്രത്യേക nvzFlow പ്രോട്ടോക്കോൾ വികസിപ്പിച്ചെടുത്തിട്ടുണ്ട്, ഇത് എൻഡ് നോഡുകളിലെ (സെർവറുകൾ, വർക്ക്സ്റ്റേഷനുകൾ മുതലായവ) ആപ്ലിക്കേഷനുകളുടെ പ്രവർത്തനം ടെലിമെട്രിയിലേക്ക് "പ്രക്ഷേപണം" ചെയ്യാനും കൂടുതൽ വിശകലനത്തിനായി കളക്ടർക്ക് കൈമാറാനും നിങ്ങളെ അനുവദിക്കുന്നു. Stealthwatch അതിൻ്റെ യഥാർത്ഥ പതിപ്പിൽ നെറ്റ്‌വർക്ക് തലത്തിൽ ഏതെങ്കിലും ഫ്ലോ പ്രോട്ടോക്കോൾ (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നുണ്ടെങ്കിൽ, nvzFlow പിന്തുണ നോഡ് തലത്തിലും ഡാറ്റാ പരസ്പരബന്ധം അനുവദിക്കുന്നു, അതുവഴി. മുഴുവൻ സിസ്റ്റത്തിൻ്റെയും കാര്യക്ഷമത വർദ്ധിപ്പിക്കുകയും പരമ്പരാഗത നെറ്റ്‌വർക്ക് ഫ്ലോ അനലൈസറുകളേക്കാൾ കൂടുതൽ ആക്രമണങ്ങൾ കാണുകയും ചെയ്യുന്നു.

ഒരു സുരക്ഷാ വീക്ഷണകോണിൽ നിന്ന് നെറ്റ്ഫ്ലോ വിശകലന സംവിധാനങ്ങളെക്കുറിച്ച് സംസാരിക്കുമ്പോൾ, വിപണി സിസ്‌കോയിൽ നിന്നുള്ള ഒരൊറ്റ പരിഹാരത്തിൽ പരിമിതപ്പെടുന്നില്ല എന്നത് വ്യക്തമാണ്. നിങ്ങൾക്ക് വാണിജ്യപരവും സൗജന്യവും അല്ലെങ്കിൽ ഷെയർവെയർ സൊല്യൂഷനുകളും ഉപയോഗിക്കാം. സിസ്‌കോ ബ്ലോഗിൽ ഞാൻ എതിരാളികളുടെ സൊല്യൂഷനുകൾ ഉദാഹരണമായി ഉദ്ധരിച്ചാൽ അത് വളരെ വിചിത്രമാണ്, അതിനാൽ രണ്ട് ജനപ്രിയമായ, സമാനമായ, എന്നാൽ ഇപ്പോഴും വ്യത്യസ്തമായ ടൂളുകൾ - സിൽക്ക്, ELK എന്നിവ ഉപയോഗിച്ച് നെറ്റ്‌വർക്ക് ടെലിമെട്രി എങ്ങനെ വിശകലനം ചെയ്യാം എന്നതിനെക്കുറിച്ച് കുറച്ച് വാക്കുകൾ ഞാൻ പറയാം.

അമേരിക്കൻ സിഇആർടി/സിസി വികസിപ്പിച്ച ട്രാഫിക് വിശകലനത്തിനായുള്ള ഒരു കൂട്ടം ടൂളുകളാണ് (ഇൻ്റർനെറ്റ്-ലെവൽ നോളജ് സിസ്റ്റം) സിൽക്ക്, ഇന്നത്തെ ലേഖനത്തിൻ്റെ പശ്ചാത്തലത്തിൽ നെറ്റ്ഫ്ലോ (അഞ്ചാമത്തെയും ഒമ്പതാമത്തെയും, ഏറ്റവും ജനപ്രിയമായ പതിപ്പുകൾ), IPFIX പിന്തുണയ്ക്കുന്നു. നെറ്റ്‌വർക്ക് ടെലിമെട്രിയിൽ അനധികൃത പ്രവർത്തനങ്ങളുടെ ലക്ഷണങ്ങൾ കണ്ടെത്തുന്നതിനായി sFlow, വിവിധ യൂട്ടിലിറ്റികൾ (rwfilter, rwcount, rwflowpack മുതലായവ) ഉപയോഗിച്ച് നെറ്റ്‌വർക്ക് ടെലിമെട്രിയിൽ വിവിധ പ്രവർത്തനങ്ങൾ നടത്തുന്നു. എന്നാൽ ശ്രദ്ധിക്കേണ്ട രണ്ട് പ്രധാന പോയിൻ്റുകൾ ഉണ്ട്. ഇതുപോലുള്ള കമാൻഡുകൾ നൽകി (5 ബൈറ്റുകളിൽ കൂടുതലുള്ള ICMP പാക്കറ്റുകൾ കണ്ടെത്തൽ) ഓൺ-ലൈൻ വിശകലനം നടത്തുന്ന ഒരു കമാൻഡ് ലൈൻ ടൂളാണ് സിൽക്ക്:

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

വളരെ സുഖകരമല്ല. നിങ്ങൾക്ക് iSiLK GUI ഉപയോഗിക്കാം, പക്ഷേ ഇത് നിങ്ങളുടെ ജീവിതം കൂടുതൽ എളുപ്പമാക്കില്ല, വിഷ്വലൈസേഷൻ ഫംഗ്ഷൻ പരിഹരിക്കുക മാത്രമല്ല അനലിസ്റ്റിനെ മാറ്റിസ്ഥാപിക്കുകയുമില്ല. ഇത് രണ്ടാമത്തെ പോയിൻ്റാണ്. വാണിജ്യപരമായ സൊല്യൂഷനുകളിൽ നിന്ന് വ്യത്യസ്തമായി, ഇതിനകം ഒരു സോളിഡ് അനലിറ്റിക്കൽ ബേസ്, അനോമലി ഡിറ്റക്ഷൻ അൽഗോരിതങ്ങൾ, അനുബന്ധ വർക്ക്ഫ്ലോ മുതലായവ, സിൽക്കിൻ്റെ കാര്യത്തിൽ നിങ്ങൾ ഇതെല്ലാം സ്വയം ചെയ്യേണ്ടിവരും, ഇതിന് ഇതിനകം തയ്യാറായിരിക്കുന്നതിനേക്കാൾ അല്പം വ്യത്യസ്തമായ കഴിവുകൾ നിങ്ങളിൽ നിന്ന് ആവശ്യമാണ്- ഉപയോഗിക്കാനുള്ള ഉപകരണങ്ങൾ. ഇത് നല്ലതോ ചീത്തയോ ഒന്നുമല്ല - ഇത് നിങ്ങൾക്ക് എന്തുചെയ്യണമെന്ന് അറിയാമെന്ന് കരുതുന്ന ഏതൊരു സ്വതന്ത്ര ഉപകരണത്തിൻ്റെയും സവിശേഷതയാണ്, ഇത് നിങ്ങളെ സഹായിക്കും (വാണിജ്യ ഉപകരണങ്ങൾ അതിൻ്റെ ഉപയോക്താക്കളുടെ കഴിവുകളെ ആശ്രയിക്കുന്നില്ല, എന്നിരുന്നാലും അവർ അനുമാനിക്കുന്നു. നെറ്റ്‌വർക്ക് അന്വേഷണങ്ങളുടെയും നിരീക്ഷണത്തിൻ്റെയും അടിസ്ഥാനകാര്യങ്ങളെങ്കിലും വിശകലന വിദഗ്ധർ മനസ്സിലാക്കുന്നു). എന്നാൽ നമുക്ക് സിൽക്കിലേക്ക് മടങ്ങാം. അനലിസ്റ്റിൻ്റെ പ്രവർത്തന ചക്രം ഇതുപോലെ കാണപ്പെടുന്നു:

• ഒരു സിദ്ധാന്തം രൂപപ്പെടുത്തുന്നു. നെറ്റ്‌വർക്ക് ടെലിമെട്രിയ്‌ക്കുള്ളിൽ നമ്മൾ എന്താണ് തിരയുന്നതെന്ന് മനസിലാക്കണം, ചില അപാകതകൾ അല്ലെങ്കിൽ ഭീഷണികൾ തിരിച്ചറിയാൻ കഴിയുന്ന അതുല്യമായ ആട്രിബ്യൂട്ടുകൾ അറിയണം.
• ഒരു മാതൃക നിർമ്മിക്കുന്നു. ഒരു സിദ്ധാന്തം രൂപപ്പെടുത്തിയ ശേഷം, അതേ പൈത്തൺ, ഷെൽ അല്ലെങ്കിൽ സിൽക്കിൽ ഉൾപ്പെടുത്താത്ത മറ്റ് ഉപകരണങ്ങൾ ഉപയോഗിച്ച് ഞങ്ങൾ അത് പ്രോഗ്രാം ചെയ്യുന്നു.
• ടെസ്റ്റിംഗ്. 'rw', 'set', 'bag' എന്നിവയിൽ ആരംഭിക്കുന്ന SiLK യൂട്ടിലിറ്റികൾ ഉപയോഗിച്ച് സ്ഥിരീകരിക്കുകയോ നിരാകരിക്കുകയോ ചെയ്യുന്ന ഞങ്ങളുടെ അനുമാനത്തിൻ്റെ കൃത്യത പരിശോധിക്കാനുള്ള ഊഴമാണ് ഇപ്പോൾ വരുന്നത്.
• യഥാർത്ഥ ഡാറ്റയുടെ വിശകലനം. വ്യാവസായിക പ്രവർത്തനത്തിൽ, സിൽക്ക് എന്തെങ്കിലും തിരിച്ചറിയാൻ ഞങ്ങളെ സഹായിക്കുന്നു, കൂടാതെ “ഞങ്ങൾ പ്രതീക്ഷിച്ചത് ഞങ്ങൾ കണ്ടെത്തിയോ?”, “ഇത് ഞങ്ങളുടെ സിദ്ധാന്തവുമായി പൊരുത്തപ്പെടുന്നുണ്ടോ?”, “തെറ്റായ പോസിറ്റീവുകളുടെ എണ്ണം എങ്ങനെ കുറയ്ക്കാം?”, “എങ്ങനെ” എന്നീ ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകണം. അംഗീകാരത്തിൻ്റെ നിലവാരം മെച്ചപ്പെടുത്താൻ? » ഇത്യാദി.
• മെച്ചപ്പെടുത്തൽ. അവസാന ഘട്ടത്തിൽ, ഞങ്ങൾ മുമ്പ് ചെയ്തത് മെച്ചപ്പെടുത്തുന്നു - ഞങ്ങൾ ടെംപ്ലേറ്റുകൾ സൃഷ്ടിക്കുന്നു, കോഡ് മെച്ചപ്പെടുത്തുകയും ഒപ്റ്റിമൈസ് ചെയ്യുകയും, അനുമാനം പരിഷ്കരിക്കുകയും വ്യക്തമാക്കുകയും ചെയ്യുന്നു.

ഈ സൈക്കിൾ Cisco Stealthwatch-നും ബാധകമായിരിക്കും, അവസാനത്തേത് മാത്രമേ ഈ അഞ്ച് ഘട്ടങ്ങളെ പരമാവധി ഓട്ടോമേറ്റ് ചെയ്യുന്നുള്ളൂ, അനലിസ്റ്റ് പിശകുകളുടെ എണ്ണം കുറയ്ക്കുകയും സംഭവം കണ്ടെത്തുന്നതിൻ്റെ കാര്യക്ഷമത വർദ്ധിപ്പിക്കുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, കൈകൊണ്ട് എഴുതിയ സ്‌ക്രിപ്റ്റുകൾ ഉപയോഗിച്ച് ക്ഷുദ്രകരമായ IP-കളിലെ ബാഹ്യ ഡാറ്റ ഉപയോഗിച്ച് സിൽക്ക് നെറ്റ്‌വർക്ക് സ്ഥിതിവിവരക്കണക്കുകൾ സമ്പുഷ്ടമാക്കാം, കൂടാതെ Cisco Stealthwatch-ൽ ഇത് ഒരു ബിൽറ്റ്-ഇൻ ഫംഗ്‌ഷനാണ്, നെറ്റ്‌വർക്ക് ട്രാഫിക്കിൽ ബ്ലാക്ക്‌ലിസ്റ്റിൽ നിന്നുള്ള IP വിലാസങ്ങളുമായുള്ള ഇടപെടലുകൾ ഉണ്ടെങ്കിൽ അത് ഉടനടി ഒരു അലാറം പ്രദർശിപ്പിക്കും.

ഫ്ലോ അനാലിസിസ് സോഫ്‌റ്റ്‌വെയറിനായുള്ള “പണമടച്ച” പിരമിഡിൽ നിങ്ങൾ ഉയർന്നതിലേക്ക് പോകുകയാണെങ്കിൽ, തികച്ചും സൗജന്യമായ സിൽക്കിന് ശേഷം മൂന്ന് പ്രധാന ഘടകങ്ങൾ ഉൾക്കൊള്ളുന്ന ഒരു ഷെയർവെയർ ELK ഉണ്ടാകും - ഇലാസ്റ്റിക് സെർച്ച് (ഇൻഡക്‌സിംഗ്, സെർച്ചിംഗ്, ഡാറ്റ വിശകലനം), ലോഗ്‌സ്റ്റാഷ് (ഡാറ്റ ഇൻപുട്ട്/ഔട്ട്‌പുട്ട്). ) കിബാന (ദൃശ്യവൽക്കരണം). നിങ്ങൾ സ്വയം എല്ലാം എഴുതേണ്ട സിൽക്കിൽ നിന്ന് വ്യത്യസ്തമായി, നെറ്റ്‌വർക്ക് ടെലിമെട്രിയുടെ വിശകലനം ഓട്ടോമേറ്റ് ചെയ്യുന്ന നിരവധി റെഡിമെയ്ഡ് ലൈബ്രറികൾ/മൊഡ്യൂളുകൾ (ചിലത് പണമടച്ചുള്ളവ, ചിലത് അല്ലാത്തത്) ELK-ൽ ഇതിനകം ഉണ്ട്. ഉദാഹരണത്തിന്, Logstash-ലെ GeoIP ഫിൽട്ടർ നിരീക്ഷിക്കപ്പെടുന്ന IP വിലാസങ്ങളെ അവയുടെ ഭൂമിശാസ്ത്രപരമായ സ്ഥാനവുമായി ബന്ധപ്പെടുത്താൻ നിങ്ങളെ അനുവദിക്കുന്നു (Stealthwatch-ന് ഈ അന്തർനിർമ്മിത സവിശേഷതയുണ്ട്).

ഈ നിരീക്ഷണ പരിഹാരത്തിനായി നഷ്‌ടമായ ഘടകങ്ങൾ പൂർത്തിയാക്കുന്ന സാമാന്യം വലിയൊരു കമ്മ്യൂണിറ്റിയും ELK-നുണ്ട്. ഉദാഹരണത്തിന്, Netflow, IPFIX, sFlow എന്നിവയിൽ പ്രവർത്തിക്കാൻ നിങ്ങൾക്ക് മൊഡ്യൂൾ ഉപയോഗിക്കാം ഇലാസ്റ്റിഫ്ലോ, Netflow മാത്രം പിന്തുണയ്ക്കുന്ന Logstash Netflow മൊഡ്യൂളിൽ നിങ്ങൾ തൃപ്തനല്ലെങ്കിൽ.

ഒഴുക്ക് ശേഖരിക്കുന്നതിലും അതിൽ തിരയുന്നതിലും കൂടുതൽ കാര്യക്ഷമത നൽകുമ്പോൾ, നെറ്റ്‌വർക്ക് ടെലിമെട്രിയിലെ അപാകതകളും ഭീഷണികളും കണ്ടെത്തുന്നതിനുള്ള സമ്പന്നമായ ബിൽറ്റ്-ഇൻ അനലിറ്റിക്‌സ് ELK-ന് നിലവിൽ ഇല്ല. അതായത്, മുകളിൽ വിവരിച്ച ജീവിത ചക്രം പിന്തുടർന്ന്, നിങ്ങൾ സ്വതന്ത്രമായി ലംഘന മോഡലുകൾ വിവരിക്കുകയും തുടർന്ന് അത് കോംബാറ്റ് സിസ്റ്റത്തിൽ ഉപയോഗിക്കുകയും വേണം (അവിടെ അന്തർനിർമ്മിത മോഡലുകളൊന്നുമില്ല).

നെറ്റ്‌വർക്ക് ടെലിമെട്രിയിലെ അപാകതകൾ കണ്ടെത്തുന്നതിനുള്ള ചില മോഡലുകൾ ഇതിനകം ഉൾക്കൊള്ളുന്ന ELK-യ്‌ക്കായി കൂടുതൽ സങ്കീർണ്ണമായ വിപുലീകരണങ്ങളുണ്ട്, എന്നാൽ അത്തരം വിപുലീകരണങ്ങൾക്ക് പണം ചിലവാകും, ഇവിടെ ഗെയിം മെഴുകുതിരിക്ക് വിലയുണ്ടോ എന്നതാണ് ചോദ്യം - സമാനമായ ഒരു മോഡൽ സ്വയം എഴുതുക, അത് വാങ്ങുക നിങ്ങളുടെ മോണിറ്ററിംഗ് ടൂൾ നടപ്പിലാക്കുക, അല്ലെങ്കിൽ നെറ്റ്‌വർക്ക് ട്രാഫിക് അനാലിസിസ് ക്ലാസിൻ്റെ റെഡിമെയ്ഡ് പരിഹാരം വാങ്ങുക.

പൊതുവേ, നെറ്റ്‌വർക്ക് ടെലിമെട്രിയിലെ (ഉദാഹരണത്തിന്, സിസ്‌കോ സ്റ്റെൽത്ത്‌വാച്ച്) അപാകതകളും ഭീഷണികളും നിരീക്ഷിക്കുന്നതിന് പണം ചെലവഴിച്ച് ഒരു റെഡിമെയ്ഡ് പരിഹാരം വാങ്ങുന്നതാണ് നല്ലതെന്ന ചർച്ചയിൽ ഏർപ്പെടാൻ ഞാൻ ആഗ്രഹിക്കുന്നില്ല (ഉദാഹരണത്തിന്, സിസ്‌കോ സ്റ്റെൽത്ത്‌വാച്ച്) അല്ലെങ്കിൽ അത് സ്വയം കണ്ടെത്തി ഇഷ്ടാനുസൃതമാക്കുക ഓരോ പുതിയ ഭീഷണിക്കും സിൽക്ക്, ELK അല്ലെങ്കിൽ nfdump അല്ലെങ്കിൽ OSU ഫ്ലോ ടൂളുകൾ (അവയിൽ അവസാനത്തെ രണ്ടിനെക്കുറിച്ചാണ് ഞാൻ സംസാരിക്കുന്നത് പറഞ്ഞു അവസാന സമയം)? ഓരോരുത്തരും സ്വയം തിരഞ്ഞെടുക്കുന്നു, രണ്ട് ഓപ്ഷനുകളിൽ ഏതെങ്കിലും തിരഞ്ഞെടുക്കുന്നതിന് എല്ലാവർക്കും അവരുടേതായ ഉദ്ദേശ്യങ്ങളുണ്ട്. നിങ്ങളുടെ ആന്തരിക ഇൻഫ്രാസ്ട്രക്ചറിൻ്റെ നെറ്റ്‌വർക്ക് സുരക്ഷ ഉറപ്പാക്കുന്നതിൽ നെറ്റ്‌വർക്ക് ടെലിമെട്രി വളരെ പ്രധാനപ്പെട്ട ഒരു ഉപകരണമാണെന്ന് കാണിക്കാൻ ഞാൻ ആഗ്രഹിച്ചു, നിങ്ങൾ അത് അവഗണിക്കരുത്, അതിനാൽ മാധ്യമങ്ങളിൽ പേര് പരാമർശിച്ചിരിക്കുന്ന കമ്പനികളുടെ പട്ടികയിൽ ചേരാതിരിക്കുക. ഹാക്ക് ചെയ്തു", "വിവര സുരക്ഷാ ആവശ്യകതകൾ പാലിക്കാത്തത്" ", "അവരുടെ ഡാറ്റയുടെയും ഉപഭോക്തൃ ഡാറ്റയുടെയും സുരക്ഷയെക്കുറിച്ച് ചിന്തിക്കുന്നില്ല."

ചുരുക്കത്തിൽ, നിങ്ങളുടെ ആന്തരിക ഇൻഫ്രാസ്ട്രക്ചറിൻ്റെ വിവര സുരക്ഷാ നിരീക്ഷണം നിർമ്മിക്കുമ്പോൾ നിങ്ങൾ പിന്തുടരേണ്ട പ്രധാന നുറുങ്ങുകൾ പട്ടികപ്പെടുത്താൻ ഞാൻ ആഗ്രഹിക്കുന്നു:

1. ചുറ്റളവിൽ മാത്രം പരിമിതപ്പെടുത്തരുത്! പോയിൻ്റ് എയിൽ നിന്ന് പോയിൻ്റ് ബിയിലേക്ക് ട്രാഫിക് നീക്കാൻ മാത്രമല്ല, സൈബർ സുരക്ഷാ പ്രശ്‌നങ്ങൾ പരിഹരിക്കാനും നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചർ ഉപയോഗിക്കുക (തിരഞ്ഞെടുക്കുക).
2. നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിലവിലുള്ള വിവര സുരക്ഷാ നിരീക്ഷണ സംവിധാനങ്ങൾ പഠിച്ച് അവ ഉപയോഗിക്കുക.
3. ആന്തരിക നിരീക്ഷണത്തിനായി, ടെലിമെട്രി വിശകലനത്തിന് മുൻഗണന നൽകുക - നെറ്റ്‌വർക്ക് പാക്കറ്റുകൾ ക്യാപ്‌ചർ ചെയ്യുമ്പോഴും എല്ലാ വിവര സുരക്ഷാ ഇവൻ്റുകൾ സംഭരിക്കുന്നതിന് ഇടം ലാഭിക്കുമ്പോഴും അസാധ്യമായത് ചെയ്യുമ്പോൾ, എല്ലാ നെറ്റ്‌വർക്ക് വിവര സുരക്ഷാ സംഭവങ്ങളുടെയും 80-90% വരെ കണ്ടെത്താൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു.
4. ഒഴുക്ക് നിരീക്ഷിക്കുന്നതിന്, Netflow v9 അല്ലെങ്കിൽ IPFIX ഉപയോഗിക്കുക - അവ ഒരു സുരക്ഷാ പശ്ചാത്തലത്തിൽ കൂടുതൽ വിവരങ്ങൾ നൽകുകയും IPv4 മാത്രമല്ല, IPv6, MPLS മുതലായവയും നിരീക്ഷിക്കാൻ നിങ്ങളെ അനുവദിക്കുകയും ചെയ്യുന്നു.
5. സാമ്പിൾ ചെയ്യാത്ത ഫ്ലോ പ്രോട്ടോക്കോൾ ഉപയോഗിക്കുക - ഇത് ഭീഷണികൾ കണ്ടെത്തുന്നതിന് കൂടുതൽ വിവരങ്ങൾ നൽകുന്നു. ഉദാഹരണത്തിന്, Netflow അല്ലെങ്കിൽ IPFIX.
6. നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ഉപകരണത്തിലെ ലോഡ് പരിശോധിക്കുക - അതിന് ഫ്ലോ പ്രോട്ടോക്കോൾ കൈകാര്യം ചെയ്യാൻ കഴിഞ്ഞേക്കില്ല. തുടർന്ന് വെർച്വൽ സെൻസറുകൾ അല്ലെങ്കിൽ നെറ്റ്ഫ്ലോ ജനറേഷൻ അപ്ലയൻസ് ഉപയോഗിക്കുന്നത് പരിഗണിക്കുക.
7. ആക്സസ് തലത്തിൽ ആദ്യം നിയന്ത്രണം നടപ്പിലാക്കുക - ഇത് എല്ലാ ട്രാഫിക്കിൻ്റെയും 100% കാണാനുള്ള അവസരം നൽകും.
8. നിങ്ങൾക്ക് ചോയിസ് ഇല്ലെങ്കിൽ നിങ്ങൾ റഷ്യൻ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ ഉപയോഗിക്കുകയാണെങ്കിൽ, ഫ്ലോ പ്രോട്ടോക്കോളുകളെ പിന്തുണയ്ക്കുന്നതോ SPAN/RSPAN പോർട്ടുകളുള്ളതോ ആയ ഒന്ന് തിരഞ്ഞെടുക്കുക.
9. അരികുകളിൽ നുഴഞ്ഞുകയറ്റം/ആക്രമണം കണ്ടെത്തൽ/പ്രിവൻഷൻ സംവിധാനങ്ങളും ആന്തരിക നെറ്റ്‌വർക്കിലെ ഒഴുക്ക് വിശകലന സംവിധാനങ്ങളും (മേഘങ്ങൾ ഉൾപ്പെടെ) സംയോജിപ്പിക്കുക.

അവസാനത്തെ നുറുങ്ങിനെക്കുറിച്ച്, ഞാൻ മുമ്പ് നൽകിയ ഒരു ദൃഷ്ടാന്തം നൽകാൻ ഞാൻ ആഗ്രഹിക്കുന്നു. നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ സംവിധാനങ്ങളുടെയും സിഗ്നേച്ചർ രീതികളുടെയും അടിസ്ഥാനത്തിലാണ് മുമ്പ് സിസ്കോ ഇൻഫർമേഷൻ സെക്യൂരിറ്റി സർവീസ് അതിൻ്റെ വിവര സുരക്ഷാ മോണിറ്ററിംഗ് സിസ്റ്റം പൂർണ്ണമായും നിർമ്മിച്ചതെങ്കിൽ, ഇപ്പോൾ അവ 20% സംഭവങ്ങൾ മാത്രമാണ് വഹിക്കുന്നത്. മറ്റൊരു 20% ഫ്ലോ അനാലിസിസ് സിസ്റ്റങ്ങളിൽ വീഴുന്നു, ഇത് സൂചിപ്പിക്കുന്നത് ഈ പരിഹാരങ്ങൾ ഒരു ആഗ്രഹമല്ല, മറിച്ച് ഒരു ആധുനിക എൻ്റർപ്രൈസസിൻ്റെ വിവര സുരക്ഷാ സേവനങ്ങളുടെ പ്രവർത്തനങ്ങളിലെ ഒരു യഥാർത്ഥ ഉപകരണമാണ്. മാത്രമല്ല, അവ നടപ്പിലാക്കുന്നതിനുള്ള ഏറ്റവും പ്രധാനപ്പെട്ട കാര്യം നിങ്ങൾക്കുണ്ട് - നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചർ, നെറ്റ്‌വർക്കിലേക്ക് വിവര സുരക്ഷാ നിരീക്ഷണ പ്രവർത്തനങ്ങൾ നൽകിക്കൊണ്ട് കൂടുതൽ പരിരക്ഷിക്കാവുന്ന നിക്ഷേപങ്ങൾ.

നെറ്റ്‌വർക്ക് ഫ്ലോകളിൽ തിരിച്ചറിഞ്ഞിട്ടുള്ള അപാകതകളോടും ഭീഷണികളോടും പ്രതികരിക്കുന്ന വിഷയത്തിൽ ഞാൻ പ്രത്യേകമായി സ്പർശിച്ചിട്ടില്ല, പക്ഷേ ഒരു ഭീഷണി കണ്ടെത്തുന്നതിലൂടെ മാത്രം നിരീക്ഷണം അവസാനിക്കരുതെന്ന് ഇതിനകം വ്യക്തമായതായി ഞാൻ കരുതുന്നു. അതിന് ശേഷം ഒരു പ്രതികരണം നൽകണം, വെയിലത്ത് ഒരു ഓട്ടോമാറ്റിക് അല്ലെങ്കിൽ ഓട്ടോമേറ്റഡ് മോഡിൽ വേണം. എന്നാൽ ഇത് ഒരു പ്രത്യേക ലേഖനത്തിനുള്ള വിഷയമാണ്.

കൂടുതൽ വിവരങ്ങൾ:

• Cisco IOS നെറ്റ്ഫ്ലോയുടെ വിവരണം
• വിവിധ സിസ്കോ സൊല്യൂഷനുകളിൽ നെറ്റ്ഫ്ലോ സപ്പോർട്ട് മാട്രിക്സ്
• വിവിധ സിസ്കോ പ്ലാറ്റ്ഫോമുകളിൽ നെറ്റ്ഫ്ലോ കോൺഫിഗർ ചെയ്യുന്നതിനുള്ള ഗൈഡ്
• sFlow കമ്മ്യൂണിറ്റി
• ഒരു സുരക്ഷാ വീക്ഷണകോണിൽ നിന്ന് നെറ്റ്ഫ്ലോ വിശകലനം ചെയ്യാൻ Stealtjwatch, Silk, ELK എന്നിവ ഉപയോഗിക്കുന്ന ലാബ്
• സിൽക്ക് വെബ്സൈറ്റ്
• ടൺ കണക്കിന് ഉദാഹരണങ്ങളുള്ള സിൽക്ക് ഉപയോഗിക്കുന്നതിനുള്ള മുന്നൂറ് പേജുള്ള ഗൈഡ്
• ലോഗ്സ്റ്റാഷ് നെറ്റ്ഫ്ലോ മൊഡ്യൂൾ
• ELK-ലെ നെറ്റ്ഫ്ലോ വിശകലനത്തിലേക്കുള്ള സിസ്കോ സ്റ്റെപ്പ്-ബൈ-സ്റ്റെപ്പ് ഗൈഡ്
• Logstash (ELK) ഉപയോഗിച്ച് NetFlow v.9 Cisco ASA യുടെ വിശകലനം
• സിസ്കോ സ്റ്റെൽത്ത് വാച്ച് സൊല്യൂഷൻ

പി.എസ്. മുകളിൽ എഴുതിയതെല്ലാം കേൾക്കുന്നത് നിങ്ങൾക്ക് എളുപ്പമാണെങ്കിൽ, ഈ കുറിപ്പിൻ്റെ അടിസ്ഥാനമായ ഒരു മണിക്കൂർ ദൈർഘ്യമുള്ള അവതരണം നിങ്ങൾക്ക് കാണാൻ കഴിയും.

അവലംബം: www.habr.com