Саяхан та интернетээс энэ сэдвээр асар их хэмжээний материалыг олж болно. сүлжээний периметр дэх хөдөлгөөний шинжилгээ. Үүний зэрэгцээ, зарим шалтгааны улмаас хүн бүр бүрэн мартсан орон нутгийн замын хөдөлгөөний шинжилгээ, энэ нь багагүй чухал юм. Энэ нийтлэл нь яг энэ сэдвийг хөндсөн болно. Жишээлбэл Бид хуучин сайн Netflow (болон түүний хувилбаруудыг) санаж, сонирхолтой тохиолдлууд, сүлжээнд гарч болзошгүй гажигуудыг харж, шийдлийн давуу талыг олж мэдэх болно. бүх сүлжээ нь нэг мэдрэгч шиг ажилладаг. Хамгийн гол нь та туршилтын лицензийн хүрээнд орон нутгийн замын хөдөлгөөний шинжилгээг бүрэн үнэ төлбөргүй хийх боломжтой.45 хоног). Хэрэв энэ сэдэв танд сонирхолтой байвал мууранд тавтай морилно уу. Хэрэв та уншихаас залхуу байгаа бол урагшаа харж бүртгүүлж болно , бид танд бүгдийг харуулж, хэлэх болно (та тэндээс удахгүй болох бүтээгдэхүүний сургалтын талаар мэдэж болно).
Flowmon Networks гэж юу вэ?
Юуны өмнө, Flowmon бол Европын мэдээллийн технологийн үйлдвэрлэгч юм. Тус компани нь Чех, Брно хотод төвтэй (хориг шийтгэлийн асуудал ч хөндөгдөөгүй). Одоогийн байдлаар тус компани 2007 оноос хойш зах зээлд гарч ирсэн. Өмнө нь энэ нь Invea-Tech брэндээр алдартай байсан. Тиймээс нийтдээ 20 гаруй жилийг бүтээгдэхүүн, шийдэл боловсруулахад зарцуулсан.
Flowmon нь А зэрэглэлийн брэнд юм. Байгууллагын хэрэглэгчдэд зориулсан дээд зэргийн шийдлүүдийг боловсруулдаг бөгөөд Сүлжээний гүйцэтгэлийн хяналт, оношлогооны (NPMD) Gartner хайрцагт хүлээн зөвшөөрөгдсөн. Сонирхолтой нь, тайланд дурдсан бүх компаниудын дотроос Flowmon бол сүлжээний хяналт, мэдээлэл хамгаалах (Сүлжээний зан үйлийн шинжилгээ) шийдэл үйлдвэрлэгч гэж Gartner-аас тэмдэглэсэн цорын ганц үйлдвэрлэгч юм. Энэ нь одоогоор нэгдүгээр байр эзэлээгүй байгаа ч үүнээс болж Боинг далавч шиг зогсохгүй байна.
Бүтээгдэхүүн нь ямар асуудлыг шийдэж байна вэ?
Дэлхий даяар бид компанийн бүтээгдэхүүнээр шийдэгдсэн дараахь ажлуудыг ялгаж салгаж болно.
- сүлжээний тогтвортой байдал, түүнчлэн сүлжээний нөөцийг суллах, ашиглах боломжгүй байдлыг багасгах замаар нэмэгдүүлэх;
- сүлжээний гүйцэтгэлийн ерөнхий түвшинг нэмэгдүүлэх;
- Захиргааны ажилтнуудын үр ашгийг нэмэгдүүлэх нь:
- IP урсгалын талаарх мэдээлэлд суурилсан сүлжээний хяналтын орчин үеийн шинэлэг хэрэгслийг ашиглах;
- сүлжээний үйл ажиллагаа, төлөв байдлын талаархи нарийвчилсан дүн шинжилгээ хийх - сүлжээнд ажиллаж байгаа хэрэглэгчид болон програмууд, дамжуулагдсан өгөгдөл, харилцан үйлчлэлийн нөөц, үйлчилгээ, зангилаа;
- Хэрэглэгчид болон үйлчлүүлэгчид үйлчилгээгээ алдсаны дараа бус, тохиолдохоос нь өмнө тохиолдлуудад хариу өгөх;
- сүлжээ, мэдээллийн технологийн дэд бүтцийг удирдахад шаардагдах цаг хугацаа, нөөцийг багасгах;
- алдааг олж засварлах ажлыг хялбарчлах.
- сүлжээний хэвийн бус, хортой сүлжээний үйл ажиллагаа, түүнчлэн "тэг өдрийн халдлага" илрүүлэх гарын үсэггүй технологийг ашиглан аж ахуйн нэгжийн сүлжээ, мэдээллийн нөөцийн аюулгүй байдлын түвшинг нэмэгдүүлэх;
- сүлжээний програмууд болон мэдээллийн санд зориулсан SLA-ийн шаардлагатай түвшинг хангах.
Flowmon Networks бүтээгдэхүүний багц
Одоо Flowmon Networks-ийн бүтээгдэхүүний багцыг шууд харцгаая, мөн тус компани яг юу хийдэг болохыг олж мэдье. Олон хүмүүс нэрнээс нь таамаглаж байсанчлан гол мэргэшил нь урсгалын урсгалыг хянах шийдэл, үндсэн функцийг өргөжүүлэх хэд хэдэн нэмэлт модулиуд юм.
Үнэн хэрэгтээ Флоумоныг нэг бүтээгдэхүүн, эс тэгвээс нэг шийдлийн компани гэж нэрлэж болно. Энэ нь сайн эсвэл муу эсэхийг олж мэдье.
Системийн цөм нь цуглуулагч бөгөөд янз бүрийн урсгалын протоколуудыг ашиглан мэдээлэл цуглуулах үүрэгтэй. NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX...Сүлжээний тоног төхөөрөмж үйлдвэрлэгчид хамааралгүй компанийн хувьд аль нэг стандарт, протоколтой холбоогүй бүх нийтийн бүтээгдэхүүнийг зах зээлд санал болгох нь туйлын логик юм.
Флоумон цуглуулагч
Коллекторыг техник хангамжийн сервер болон виртуал машин (VMware, Hyper-V, KVM) хэлбэрээр ашиглах боломжтой. Дашрамд хэлэхэд, техник хангамжийн платформ нь DELL серверүүд дээр хэрэгждэг бөгөөд энэ нь баталгаат хугацаа болон RMA-тай холбоотой ихэнх асуудлыг автоматаар арилгадаг. Цорын ганц өмчийн техник хангамжийн бүрэлдэхүүн хэсэг нь Flowmon-ийн охин компаниас боловсруулсан FPGA траффикийн картууд бөгөөд 100 Gbps хүртэл хурдыг хянах боломжийг олгодог.
Гэхдээ одоо байгаа сүлжээний төхөөрөмж нь өндөр чанартай урсгалыг бий болгох боломжгүй бол яах вэ? Эсвэл тоног төхөөрөмжийн ачаалал хэт өндөр байна уу? Асуудалгүй:
Флоумон Проб
Энэ тохиолдолд Flowmon Networks нь шилжүүлэгчийн SPAN портоор эсвэл идэвхгүй TAP задлагч ашиглан сүлжээнд холбогдсон өөрийн датчик (Flowmon Probe) ашиглахыг санал болгож байна.
SPAN (толь порт) болон TAP хэрэгжүүлэх сонголтууд
Энэ тохиолдолд Flowmon датчик дээр ирж буй түүхий траффик нь илүү олон мэдээллийг агуулсан өргөтгөсөн IPFIX болгон хувиргадаг. Мэдээлэл бүхий 240 хэмжигдэхүүн. Сүлжээний төхөөрөмжөөр үүсгэсэн NetFlow стандарт протокол нь 80-аас илүүгүй хэмжигдэхүүнийг агуулдаг. Энэ нь зөвхөн 3 ба 4-р түвшинд төдийгүй ISO OSI загварын дагуу 7-р түвшинд протоколын харагдах байдлыг хангах боломжийг олгодог. Үүний үр дүнд сүлжээний администраторууд цахим шуудан, HTTP, DNS, SMB... гэх мэт програмууд болон протоколуудын ажиллагааг хянах боломжтой болсон.
Үзэл баримтлалын хувьд системийн логик архитектур нь дараах байдалтай байна.
Flowmon Networks-ийн бүхэл бүтэн "экосистем"-ийн гол хэсэг нь одоо байгаа сүлжээний төхөөрөмж эсвэл өөрийн датчик (Strebe) -ээс траффик хүлээн авдаг Коллектор юм. Гэхдээ Enterprise шийдлийн хувьд зөвхөн сүлжээний урсгалыг хянах функцээр хангах нь хэтэрхий энгийн байх болно. Нээлттэй эхийн шийдлүүд нь ийм гүйцэтгэлтэй биш ч гэсэн үүнийг хийж чадна. Flowmon-ийн үнэ цэнэ нь үндсэн функцийг өргөжүүлэх нэмэлт модулиуд юм.
- модуль Аномали илрүүлэх аюулгүй байдал – замын хөдөлгөөний эвристик дүн шинжилгээ ба ердийн сүлжээний профайл дээр үндэслэн сүлжээний хэвийн бус үйл ажиллагаа, түүний дотор тэг өдрийн халдлагыг тодорхойлох;
- модуль Хэрэглээний гүйцэтгэлийн хяналт – “агент” суулгахгүйгээр, зорилтот системд нөлөөлөхгүйгээр сүлжээний хэрэглээний гүйцэтгэлийг хянах;
- модуль Замын хөдөлгөөний бичигч - мэдээллийн аюулгүй байдлын зөрчлийг цаашид олж засварлах, судлах зорилгоор урьдчилан тодорхойлсон дүрмийн дагуу эсвэл ADS модулийн триггерийн дагуу сүлжээний хөдөлгөөний хэсгүүдийг бүртгэх;
- модуль DDoS хамгаалалт – сүлжээний периметрийг DoS/DDoS үйлчилгээний довтолгооноос татгалзах, түүний дотор програмууд руу хийх халдлагаас хамгаалах (OSI L3/L4/L7).
Энэ нийтлэлд бид 2 модулийн жишээн дээр бүх зүйл хэрхэн ажилладаг талаар авч үзэх болно. Сүлжээний гүйцэтгэлийн хяналт, оношлогоо и Аномали илрүүлэх аюулгүй байдал.
Эхний мэдээлэл:
- VMware 140 гипервизортой Lenovo RS 6.0 сервер;
- Flowmon Collector виртуал машины зураг ;
- урсгалын протоколуудыг дэмждэг хос унтраалга.
Алхам 1. Flowmon Collector суулгана уу
Виртуал машиныг VMware дээр байрлуулах нь OVF загвараас бүрэн стандарт байдлаар явагддаг. Үүний үр дүнд бид CentOS үйлдлийн системтэй, хэрэглэхэд бэлэн програм хангамж бүхий виртуал машинтай болсон. Нөөцийн шаардлага хүмүүнлэг байна:
Үлдсэн зүйл бол командыг ашиглан үндсэн эхлэлийг гүйцэтгэх явдал юм системийн тохиргоо:
Бид удирдлагын порт, DNS, цаг, хостын нэр дээр IP-г тохируулж, WEB интерфэйстэй холбогдож болно.
Алхам 2. Лиценз суурилуулах
Нэг сар хагасын туршилтын лицензийг виртуал машины зургийн хамт үүсгэж, татаж авдаг. -аар ачаалагдсан Тохиргооны төв -> Лиценз. Үүний үр дүнд бид харж байна:
Бүгд бэлэн. Та ажиллаж эхлэх боломжтой.
Алхам 3. Коллектор дээр хүлээн авагчийг тохируулах
Энэ үе шатанд систем эх сурвалжаас өгөгдлийг хэрхэн хүлээж авахаа шийдэх хэрэгтэй. Өмнө дурьдсанчлан энэ нь урсгалын протоколуудын нэг эсвэл шилжүүлэгч дээрх SPAN порт байж болно.
Бидний жишээн дээр бид протокол ашиглан өгөгдөл хүлээн авах болно NetFlow v9 ба IPFIX. Энэ тохиолдолд бид удирдлагын интерфейсийн IP хаягийг зорилтот болгон зааж өгдөг. 192.168.78.198. eth2 ба eth3 (Хяналтын интерфэйсийн төрөлтэй) интерфэйсүүд нь шилжүүлэгчийн SPAN портоос "түүхий" траффикийн хуулбарыг хүлээн авахад ашиглагддаг. Бид тэдний хэргийг биш харин тэднийг дамжуулж өгсөн.
Дараа нь бид траффик явах ёстой коллекторын портыг шалгана.
Манай тохиолдолд коллектор нь UDP/2055 портын урсгалыг сонсдог.
Алхам 4. Урсгал экспортлох сүлжээний тоног төхөөрөмжийг тохируулах
Cisco Systems төхөөрөмж дээр NetFlow-ийг тохируулах нь сүлжээний администраторын хувьд нийтлэг ажил гэж нэрлэгдэх боломжтой. Бидний жишээн дээр бид илүү ер бусын зүйлийг авах болно. Жишээлбэл, MikroTik RB2011UiAS-2HnD чиглүүлэгч. Тийм ээ, хачирхалтай нь, жижиг болон гэрийн оффисуудад зориулсан ийм төсвийн шийдэл нь NetFlow v5/v9 болон IPFIX протоколуудыг дэмждэг. Тохиргоонд зорилтыг тохируулна уу (цуглуулагчийн хаяг 192.168.78.198 ба порт 2055):
Мөн экспортлох боломжтой бүх хэмжигдэхүүнийг нэмнэ үү:
Энэ үед бид үндсэн тохиргоо дууссан гэж хэлж болно. Бид замын хөдөлгөөн системд нэвтэрч байгаа эсэхийг шалгадаг.
Алхам 5: Сүлжээний гүйцэтгэлийн хяналт, оношлогооны модулийг турших, ажиллуулах
Та хэсэг дэх эх сурвалжаас замын хөдөлгөөн байгаа эсэхийг шалгаж болно Флоумон хяналтын төв -> Эх сурвалж:
Бид өгөгдөл системд нэвтэрч байгааг харж байна. Коллектор траффик хуримтлуулсаны дараа хэсэг хугацааны дараа виджетүүд мэдээллийг харуулж эхэлнэ.
Систем нь өрөмдлөгийн зарчим дээр суурилдаг. Өөрөөр хэлбэл, хэрэглэгч диаграмм эсвэл график дээрх сонирхлын хэсгийг сонгохдоо түүнд шаардлагатай мэдээллийн гүний түвшинд "унадаг".
Сүлжээний холболт, холболт бүрийн талаарх мэдээллийг:
Алхам 6. Аномали илрүүлэх хамгаалалтын модуль
Сүлжээний траффик болон хортой сүлжээний үйл ажиллагаанд гажиг илрүүлэх гарын үсэггүй аргуудын ачаар энэ модулийг хамгийн сонирхолтой гэж нэрлэж болно. Гэхдээ энэ нь IDS/IPS системийн аналог биш юм. Модультай ажиллах нь түүний "сургалт" -аас эхэлдэг. Үүнийг хийхийн тулд тусгай шидтэн нь сүлжээний бүх үндсэн бүрэлдэхүүн хэсэг, үйлчилгээг зааж өгдөг, үүнд:
- гарц хаягууд, DNS, DHCP болон NTP серверүүд,
- хэрэглэгчийн болон серверийн сегмент дэх хаягжилт.
Үүний дараа систем нь сургалтын горимд ордог бөгөөд энэ нь дунджаар 2 долоо хоногоос 1 сар хүртэл үргэлжилдэг. Энэ хугацаанд систем нь манай сүлжээнд хамаарах үндсэн урсгалыг үүсгэдэг. Энгийнээр хэлбэл, систем дараахь зүйлийг сурдаг.
- Сүлжээний зангилааны хувьд ямар зан үйл байдаг вэ?
- Сүлжээний хувьд ямар хэмжээний өгөгдөл ихэвчлэн дамждаг бөгөөд хэвийн байдаг вэ?
- Хэрэглэгчдийн ажлын ердийн хугацаа хэд вэ?
- сүлжээнд ямар програмууд ажилладаг вэ?
- болон бусад олон..
Үүний үр дүнд бид сүлжээн дэх аливаа гажиг, ердийн зан үйлээс хазайлтыг тодорхойлох хэрэгслийг олж авдаг. Систем танд илрүүлэх боломжийг олгодог хэд хэдэн жишээ энд байна:
- вирусны эсрэг гарын үсгээр илрээгүй шинэ хортой програмыг сүлжээнд түгээх;
- DNS, ICMP эсвэл бусад хонгил барьж, галт ханыг тойрч мэдээлэл дамжуулах;
- DHCP ба/эсвэл DNS серверийн дүр төрхтэй сүлжээнд шинэ компьютер гарч ирэх.
Энэ нь ямар байхыг шууд харцгаая. Таны системийг сургаж, сүлжээний траффикийн үндсэн шугамыг бий болгосны дараа тэрээр дараах тохиолдлуудыг илрүүлж эхэлдэг.
Модулийн үндсэн хуудас нь тодорхойлсон тохиолдлуудыг харуулсан цагийн хуваарь юм. Бидний жишээн дээр бид ойролцоогоор 9-16 цагийн хооронд тодорхой өсөлтийг харж байна. Үүнийг сонгоод илүү нарийвчлан авч үзье.
Сүлжээнд халдагч этгээдийн хэвийн бус үйлдэл илт харагдаж байна. Энэ бүхэн 192.168.3.225 хаягтай хост 3389 порт (Microsoft RDP үйлчилгээ) дээрх сүлжээг хэвтээ сканнердаж эхэлсэн бөгөөд 14 боломжит "хохирогч"-ыг олсонтой холбоотой юм.
и
Дараах бүртгэгдсэн тохиолдлууд - 192.168.3.225 хост өмнө нь тодорхойлсон хаягууд дээр RDP үйлчилгээ (порт 3389) дээр харгис хүчээр нууц үг ашиглахын тулд харгис хүчээр халдлага хийж эхлэв:
Халдлагын үр дүнд хакердсан хостуудын нэг дээр SMTP гажиг илэрсэн. Өөрөөр хэлбэл, СПАМ эхэлсэн байна:
Энэ жишээ нь системийн чадавхи, ялангуяа гажиг илрүүлэх хамгаалалтын модулийн тод жишээ юм. Үр нөлөөг нь өөрөө дүгнэ. Энэ нь шийдлийн функциональ тоймыг дуусгаж байна.
дүгнэлт
Флоумоны талаар ямар дүгнэлт хийж болохыг нэгтгэн дүгнэж үзье.
- Flowmon бол корпорацийн үйлчлүүлэгчдэд зориулсан дээд зэргийн шийдэл юм;
- олон талт, нийцтэй байдлын ачаар ямар ч эх сурвалжаас мэдээлэл цуглуулах боломжтой: сүлжээний төхөөрөмж (Cisco, Juniper, HPE, Huawei...) эсвэл өөрийн датчик (Flowmon Probe);
- Шийдлийн өргөтгөх чадвар нь шинэ модулиудыг нэмэх замаар системийн ажиллагааг өргөжүүлэх, лицензийн уян хатан хандлагын ачаар бүтээмжийг нэмэгдүүлэх боломжийг олгодог;
- гарын үсэггүй шинжилгээний технологийг ашигласнаар систем нь вирусны эсрэг болон IDS/IPS системүүдэд үл мэдэгдэх тэг өдрийн халдлагыг илрүүлэх боломжийг олгодог;
- Сүлжээнд системийг суурилуулах, ажиллуулах бүрэн "ил тод байдлын" ачаар - шийдэл нь таны мэдээллийн технологийн дэд бүтцийн бусад зангилаа, бүрэлдэхүүн хэсгүүдийн үйл ажиллагаанд нөлөөлөхгүй;
- Flowmon бол 100 Gbps хүртэл хурдтай замын хөдөлгөөний хяналтыг дэмждэг зах зээл дээрх цорын ганц шийдэл юм;
- Flowmon бол ямар ч хэмжээний сүлжээнд зориулсан шийдэл юм;
- ижил төстэй шийдлүүдийн дунд хамгийн сайн үнэ / үйл ажиллагааны харьцаа.
Энэхүү тоймд бид шийдлийн нийт функцын 10% -иас бага хувийг шалгасан. Дараагийн өгүүллээр бид Flowmon Networks-ийн үлдсэн модулиудын талаар ярих болно. Хэрэглээний гүйцэтгэлийн хяналтын модулийг жишээ болгон ашигласнаар бид бизнесийн програмын администраторууд өгөгдсөн SLA түвшинд хүртээмжтэй байх, түүнчлэн асуудлыг аль болох хурдан оношлох боломжтойг харуулах болно.
Мөн бид таныг Flowmon Networks үйлдвэрлэгчийн шийдлүүдэд зориулсан вебинарт (10.09.2019/XNUMX/XNUMX) урьж байна. Урьдчилан бүртгүүлэхийг бид танаас хүсч байна .
Энэ бол одоохондоо, сонирхсонд баярлалаа!
Зөвхөн бүртгэлтэй хэрэглэгчид санал асуулгад оролцох боломжтой. , гуйя.
Та сүлжээний хяналтанд Netflow ашиглаж байна уу?
-
Тийм
-
Үгүй ээ, гэхдээ би хийхээр төлөвлөж байна
-
Ямар ч
9 хэрэглэгч санал өгсөн. 3 хэрэглэгч түдгэлзсэн.
Эх сурвалж: www.habr.com