अंतर्गत नेटवर्क सुरक्षिततेचे परीक्षण करण्यासाठी एक साधन म्हणून फ्लो प्रोटोकॉल

अंतर्गत कॉर्पोरेट किंवा विभागीय नेटवर्कच्या सुरक्षेवर लक्ष ठेवण्याचा प्रश्न येतो तेव्हा, अनेकजण माहिती गळती नियंत्रित करणे आणि DLP उपाय लागू करण्याशी संबंधित असतात. आणि जर तुम्ही प्रश्नाचे स्पष्टीकरण देण्याचा प्रयत्न केला आणि तुम्हाला अंतर्गत नेटवर्कवरील हल्ले कसे ओळखता हे विचारले तर, नियमानुसार, उत्तरात घुसखोरी शोध प्रणाली (IDS) चा उल्लेख असेल. आणि 10-20 वर्षांपूर्वी जो एकच पर्याय होता तो आज कालबाह्य होत आहे. एक अधिक प्रभावी आणि काही ठिकाणी, अंतर्गत नेटवर्कचे निरीक्षण करण्याचा एकमेव संभाव्य पर्याय आहे - प्रवाह प्रोटोकॉल वापरणे, जे मूळतः नेटवर्क समस्या (समस्यानिवारण) शोधण्यासाठी डिझाइन केले गेले होते, परंतु कालांतराने एक अतिशय मनोरंजक सुरक्षा साधनात रूपांतरित झाले. आम्ही तेथे कोणते प्रवाह प्रोटोकॉल आहेत आणि नेटवर्क हल्ले शोधण्यात कोणते चांगले आहेत, प्रवाह निरीक्षण कोठे लागू करणे चांगले आहे, अशी योजना तैनात करताना काय पहावे आणि हे सर्व घरगुती उपकरणांवर "उचल" कसे करावे याबद्दल आम्ही चर्चा करू. या लेखाच्या व्याप्तीमध्ये.

"अंतर्गत पायाभूत सुविधा सुरक्षा निरीक्षणाची गरज का आहे?" या प्रश्नावर मी लक्ष देणार नाही. उत्तर स्पष्ट दिसत आहे. परंतु, तरीही, आपण आज पुन्हा एकदा हे सुनिश्चित करू इच्छित असाल की आपण त्याशिवाय जगू शकत नाही, इथे बघ फायरवॉलद्वारे संरक्षित कॉर्पोरेट नेटवर्कमध्ये तुम्ही १७ मार्गांनी कसे प्रवेश करू शकता याबद्दलचा एक छोटा व्हिडिओ. म्हणून, आम्ही असे गृहीत धरू की आम्हाला समजले आहे की अंतर्गत देखरेख ही एक आवश्यक गोष्ट आहे आणि ते कसे आयोजित केले जाऊ शकते हे समजून घेणे बाकी आहे.

मी नेटवर्क स्तरावर पायाभूत सुविधांचे निरीक्षण करण्यासाठी तीन प्रमुख डेटा स्रोत हायलाइट करेन:

• "कच्ची" रहदारी जी आम्ही कॅप्चर करतो आणि विशिष्ट विश्लेषण प्रणालींकडे विश्लेषणासाठी सबमिट करतो,
• नेटवर्क उपकरणांवरील इव्हेंट ज्याद्वारे रहदारी जाते,
• फ्लो प्रोटोकॉलपैकी एकाद्वारे प्राप्त झालेली रहदारी माहिती.

सुरक्षा तज्ञांमध्ये कच्चा रहदारी कॅप्चर करणे हा सर्वात लोकप्रिय पर्याय आहे, कारण तो ऐतिहासिकदृष्ट्या दिसून आला आणि तो पहिला होता. पारंपारिक नेटवर्क घुसखोरी शोध प्रणाली (पहिली व्यावसायिक घुसखोरी शोध प्रणाली ही व्हील ग्रुपची नेटरेंजर होती, 1998 मध्ये सिस्कोने खरेदी केली होती) पॅकेट्स (आणि नंतरचे सत्र) कॅप्चर करण्यात तंतोतंत गुंतलेली होती ज्यामध्ये विशिष्ट स्वाक्षर्या शोधल्या जात होत्या ("निर्णायक नियम" FSTEC शब्दावली), सिग्नलिंग हल्ले. अर्थात, तुम्ही केवळ आयडीएस वापरूनच नव्हे तर इतर साधने (उदाहरणार्थ, वायरशार्क, tcpdum किंवा Cisco IOS मधील NBAR2 कार्यक्षमता) वापरून कच्च्या रहदारीचे विश्लेषण करू शकता, परंतु त्यांच्याकडे सामान्यत: माहिती सुरक्षा साधनाला नियमित पासून वेगळे करणारे ज्ञान बेस नसतो. आयटी साधन.

तर, हल्ला शोधण्याची यंत्रणा. नेटवर्क हल्ले शोधण्याची सर्वात जुनी आणि लोकप्रिय पद्धत, जी परिमितीवर चांगले काम करते (काहीही असो - कॉर्पोरेट, डेटा सेंटर, सेगमेंट इ.), परंतु आधुनिक स्विच केलेल्या आणि सॉफ्टवेअर-परिभाषित नेटवर्कमध्ये अपयशी ठरते. पारंपारिक स्विचच्या आधारे तयार केलेल्या नेटवर्कच्या बाबतीत, आक्रमण शोध सेन्सरची पायाभूत सुविधा खूप मोठी होते - तुम्हाला ज्या नोडवर आक्रमणांचे निरीक्षण करायचे आहे त्या प्रत्येक कनेक्शनवर तुम्हाला सेन्सर स्थापित करावा लागेल. कोणताही निर्माता, नक्कीच, तुम्हाला शेकडो आणि हजारो सेन्सर विकण्यात आनंद होईल, परंतु मला वाटते की तुमचे बजेट अशा खर्चांना समर्थन देऊ शकत नाही. मी म्हणू शकतो की सिस्कोमध्ये देखील (आणि आम्ही एनजीआयपीएसचे विकसक आहोत) आम्ही हे करू शकलो नाही, जरी असे दिसते की किंमतीचा मुद्दा आमच्यासमोर आहे. मी उभे राहू नये - हा आपला स्वतःचा निर्णय आहे. याव्यतिरिक्त, प्रश्न उद्भवतो, या आवृत्तीमध्ये सेन्सर कसा जोडायचा? अंतर मध्ये? सेन्सरच अयशस्वी झाल्यास काय? सेन्सरमध्ये बायपास मॉड्यूलची आवश्यकता आहे? स्प्लिटर (टॅप) वापरायचे? हे सर्व उपाय अधिक महाग बनवते आणि कोणत्याही आकाराच्या कंपनीसाठी ते परवडणारे नाही.

तुम्ही SPAN/RSPAN/ERSPAN पोर्टवर सेन्सरला “हँग” करण्याचा प्रयत्न करू शकता आणि आवश्यक स्विच पोर्टवरून थेट रहदारी त्याकडे नेऊ शकता. हा पर्याय मागील परिच्छेदात वर्णन केलेली समस्या अंशतः काढून टाकतो, परंतु आणखी एक उभा करतो - SPAN पोर्ट त्याच्याकडे पाठवले जाणारे सर्व रहदारी पूर्णपणे स्वीकारू शकत नाही - त्यात पुरेशी बँडविड्थ नसेल. तुम्हाला काहीतरी त्याग करावा लागेल. एकतर निरीक्षण न करता काही नोड्स सोडा (नंतर तुम्हाला त्यांना प्रथम प्राधान्य देणे आवश्यक आहे), किंवा नोडमधून सर्व रहदारी पाठवा, परंतु केवळ विशिष्ट प्रकार. कोणत्याही परिस्थितीत, आम्ही काही हल्ले चुकवू शकतो. याशिवाय, स्पॅन पोर्ट इतर गरजांसाठी वापरता येईल. परिणामी, आम्हाला विद्यमान नेटवर्क टोपोलॉजीचे पुनरावलोकन करावे लागेल आणि तुमच्या नेटवर्कला तुमच्याकडे असलेल्या सेन्सर्सच्या संख्येसह जास्तीत जास्त कव्हर करण्यासाठी (आणि हे IT सह समन्वयित करण्यासाठी) शक्यतो त्यामध्ये समायोजन करावे लागेल.

तुमचे नेटवर्क असममित मार्ग वापरत असल्यास काय? जर तुम्ही SDN लागू केले असेल किंवा योजना आखत असाल तर? जर तुम्हाला व्हर्च्युअलाइज्ड मशीन्स किंवा कंटेनर्सचे निरीक्षण करण्याची आवश्यकता असेल ज्यांचे ट्रॅफिक भौतिक स्विचपर्यंत पोहोचत नाही? हे असे प्रश्न आहेत जे पारंपारिक आयडीएस विक्रेत्यांना आवडत नाहीत कारण त्यांना त्यांची उत्तरे कशी द्यावी हे माहित नाही. कदाचित ते तुम्हाला पटवून देतील की हे सर्व फॅशनेबल तंत्रज्ञान हायप आहेत आणि तुम्हाला त्याची गरज नाही. कदाचित ते लहान सुरुवात करण्याच्या गरजेबद्दल बोलतील. किंवा कदाचित ते म्हणतील की तुम्हाला नेटवर्कच्या मध्यभागी एक शक्तिशाली थ्रेशर ठेवणे आवश्यक आहे आणि बॅलन्सर वापरून सर्व रहदारी त्याकडे निर्देशित करणे आवश्यक आहे. तुम्हाला कोणताही पर्याय ऑफर केला जात असला तरी तो तुम्हाला कसा अनुकूल आहे हे स्पष्टपणे समजून घेणे आवश्यक आहे. आणि त्यानंतरच नेटवर्क इन्फ्रास्ट्रक्चरच्या माहितीच्या सुरक्षेचे परीक्षण करण्याचा दृष्टिकोन निवडण्याचा निर्णय घ्या. पॅकेट कॅप्चरकडे परत येताना, मला असे म्हणायचे आहे की ही पद्धत खूप लोकप्रिय आणि महत्त्वपूर्ण आहे, परंतु तिचा मुख्य उद्देश सीमा नियंत्रण आहे; तुमची संस्था आणि इंटरनेट यांच्यातील सीमा, डेटा सेंटर आणि उर्वरित नेटवर्कमधील सीमा, प्रक्रिया नियंत्रण प्रणाली आणि कॉर्पोरेट विभाग यांच्यातील सीमा. या ठिकाणी, क्लासिक IDS/IPS ला अजूनही अस्तित्वात असण्याचा आणि त्यांच्या कार्यांना चांगल्या प्रकारे सामोरे जाण्याचा अधिकार आहे.

चला दुसऱ्या पर्यायाकडे वळू. नेटवर्क उपकरणांवरून येणाऱ्या घटनांचे विश्लेषण हल्ला शोधण्याच्या उद्देशाने देखील वापरले जाऊ शकते, परंतु मुख्य यंत्रणा म्हणून नाही, कारण ते केवळ लहान वर्गाच्या घुसखोरी शोधण्याची परवानगी देते. याव्यतिरिक्त, हे काही प्रतिक्रियाशीलतेमध्ये अंतर्निहित आहे - हल्ला प्रथम होणे आवश्यक आहे, नंतर ते नेटवर्क डिव्हाइसद्वारे रेकॉर्ड केले जाणे आवश्यक आहे, जे एक किंवा दुसर्या मार्गाने माहिती सुरक्षिततेसह समस्या दर्शवेल. असे अनेक मार्ग आहेत. हे syslog, RMON किंवा SNMP असू शकते. माहिती सुरक्षिततेच्या संदर्भात नेटवर्क मॉनिटरिंगसाठी शेवटचे दोन प्रोटोकॉल फक्त नेटवर्क उपकरणांवरच DoS हल्ला शोधण्याची आवश्यकता असल्यासच वापरले जातात, कारण RMON आणि SNMP वापरणे शक्य आहे, उदाहरणार्थ, डिव्हाइसच्या मध्यभागी लोडचे निरीक्षण करणे. प्रोसेसर किंवा त्याचे इंटरफेस. हे "सर्वात स्वस्त" पैकी एक आहे (प्रत्येकाकडे syslog किंवा SNMP आहे), परंतु अंतर्गत पायाभूत सुविधांच्या माहितीच्या सुरक्षिततेचे परीक्षण करण्याच्या सर्व पद्धतींपैकी सर्वात कुचकामी देखील आहे - बरेच हल्ले त्यातून लपलेले आहेत. अर्थात, त्यांच्याकडे दुर्लक्ष केले जाऊ नये आणि समान syslog विश्लेषण आपल्याला डिव्हाइसच्या कॉन्फिगरेशनमधील बदल, त्यातील तडजोड वेळेवर ओळखण्यास मदत करते, परंतु संपूर्ण नेटवर्कवरील हल्ले शोधण्यासाठी ते फारसे योग्य नाही.

तिसरा पर्याय म्हणजे अनेक फ्लो प्रोटोकॉलपैकी एकाला सपोर्ट करणाऱ्या डिव्हाइसमधून जाणाऱ्या रहदारीबद्दलच्या माहितीचे विश्लेषण करणे. या प्रकरणात, प्रोटोकॉलकडे दुर्लक्ष करून, थ्रेडिंग इन्फ्रास्ट्रक्चरमध्ये तीन घटक असणे आवश्यक आहे:

• प्रवाहाची निर्मिती किंवा निर्यात. ही भूमिका सामान्यत: राउटर, स्विच किंवा इतर नेटवर्क डिव्हाइसला नियुक्त केली जाते, जे स्वतः नेटवर्क रहदारी पार करून, तुम्हाला त्यातून मुख्य पॅरामीटर्स काढण्याची परवानगी देते, जे नंतर संग्रह मॉड्यूलमध्ये प्रसारित केले जातात. उदाहरणार्थ, Cisco नेटफ्लो प्रोटोकॉलला केवळ राउटर आणि स्विचेसवरच सपोर्ट करते, व्हर्च्युअल आणि इंडस्ट्रियलसह, पण वायरलेस कंट्रोलर, फायरवॉल आणि अगदी सर्व्हरवर देखील.
• संग्रह प्रवाह. आधुनिक नेटवर्कमध्ये सामान्यत: एकापेक्षा जास्त नेटवर्क उपकरणे असतात हे लक्षात घेऊन, प्रवाह संकलित आणि एकत्रित करण्याची समस्या उद्भवते, ज्याचे निराकरण तथाकथित संग्राहक वापरून केले जाते, जे प्राप्त झालेल्या प्रवाहांवर प्रक्रिया करतात आणि नंतर विश्लेषणासाठी प्रसारित करतात.
• प्रवाह विश्लेषण विश्लेषक मुख्य बौद्धिक कार्य करतो आणि प्रवाहांवर विविध अल्गोरिदम लागू करून काही निष्कर्ष काढतो. उदाहरणार्थ, IT कार्याचा भाग म्हणून, असे विश्लेषक नेटवर्क अडथळे ओळखू शकतात किंवा पुढील नेटवर्क ऑप्टिमायझेशनसाठी ट्रॅफिक लोड प्रोफाइलचे विश्लेषण करू शकतात. आणि माहितीच्या सुरक्षिततेसाठी, असे विश्लेषक डेटा लीक, दुर्भावनापूर्ण कोडचा प्रसार किंवा DoS हल्ले शोधू शकतात.

हे त्रि-स्तरीय आर्किटेक्चर खूप क्लिष्ट आहे असे समजू नका - इतर सर्व पर्याय (कदाचित, SNMP आणि RMON सह कार्यरत नेटवर्क मॉनिटरिंग सिस्टम वगळता) देखील त्यानुसार कार्य करतात. आमच्याकडे विश्लेषणासाठी डेटा जनरेटर आहे, जो नेटवर्क डिव्हाइस किंवा स्टँड-अलोन सेन्सर असू शकतो. आमच्याकडे संपूर्ण मॉनिटरिंग इन्फ्रास्ट्रक्चरसाठी अलार्म संकलन प्रणाली आणि व्यवस्थापन प्रणाली आहे. शेवटचे दोन घटक एकाच नोडमध्ये एकत्र केले जाऊ शकतात, परंतु अधिक किंवा कमी मोठ्या नेटवर्कमध्ये ते सामान्यत: स्केलेबिलिटी आणि विश्वासार्हता सुनिश्चित करण्यासाठी कमीतकमी दोन उपकरणांमध्ये पसरलेले असतात.

पॅकेट विश्लेषणाच्या विपरीत, जे प्रत्येक पॅकेटचे शीर्षलेख आणि मुख्य भाग डेटा आणि त्यात समाविष्ट असलेल्या सत्रांच्या अभ्यासावर आधारित आहे, प्रवाह विश्लेषण नेटवर्क रहदारीबद्दल मेटाडेटा गोळा करण्यावर अवलंबून असते. केव्हा, किती, कुठून आणि कुठून, कसे... या प्रश्नांची उत्तरे विविध प्रवाह प्रोटोकॉल वापरून नेटवर्क टेलिमेट्रीच्या विश्लेषणाद्वारे दिली जातात. सुरुवातीला, ते आकडेवारीचे विश्लेषण करण्यासाठी आणि नेटवर्कवर आयटी समस्या शोधण्यासाठी वापरले जात होते, परंतु नंतर, विश्लेषणात्मक यंत्रणा विकसित झाल्यामुळे, सुरक्षिततेच्या उद्देशाने त्यांना समान टेलिमेट्रीवर लागू करणे शक्य झाले. हे पुन्हा लक्षात घेण्यासारखे आहे की प्रवाह विश्लेषण पॅकेट कॅप्चर पुनर्स्थित किंवा बदलत नाही. या प्रत्येक पद्धतीचे स्वतःचे अनुप्रयोग क्षेत्र आहे. परंतु या लेखाच्या संदर्भात, हे प्रवाह विश्लेषण आहे जे अंतर्गत पायाभूत सुविधांचे परीक्षण करण्यासाठी सर्वात योग्य आहे. तुमच्याकडे नेटवर्क डिव्हाइसेस आहेत (मग ते सॉफ्टवेअर-परिभाषित पॅराडाइममध्ये किंवा स्थिर नियमांनुसार चालतात) ज्याला हल्ला बायपास करू शकत नाही. हे क्लासिक आयडीएस सेन्सरला बायपास करू शकते, परंतु फ्लो प्रोटोकॉलला समर्थन देणारे नेटवर्क डिव्हाइस करू शकत नाही. हा या पद्धतीचा फायदा आहे.

दुसरीकडे, जर तुम्हाला कायद्याची अंमलबजावणी किंवा तुमच्या स्वतःच्या घटना तपास पथकासाठी पुरावे हवे असतील, तर तुम्ही पॅकेट कॅप्चरशिवाय करू शकत नाही - नेटवर्क टेलीमेट्री ही ट्रॅफिकची प्रत नाही जी पुरावा गोळा करण्यासाठी वापरली जाऊ शकते; माहिती सुरक्षेच्या क्षेत्रात जलद शोध आणि निर्णय घेण्यासाठी ते आवश्यक आहे. दुसरीकडे, टेलीमेट्री विश्लेषणाचा वापर करून, तुम्ही सर्व नेटवर्क रहदारी (काही असल्यास, सिस्को डेटा केंद्रांशी व्यवहार करते :-) "लिहू" शकत नाही, परंतु केवळ त्या हल्ल्यात सामील आहे. या संदर्भात टेलीमेट्री विश्लेषण साधने पारंपारिक पॅकेट कॅप्चर यंत्रणा चांगल्या प्रकारे पूरक होतील, निवडक कॅप्चर आणि स्टोरेजसाठी कमांड देतात. अन्यथा, तुमच्याकडे प्रचंड स्टोरेज इन्फ्रास्ट्रक्चर असणे आवश्यक आहे.

250 Mbit/s च्या वेगाने कार्यरत नेटवर्कची कल्पना करूया. जर तुम्हाला हे सर्व व्हॉल्यूम संचयित करायचे असेल, तर तुम्हाला ट्रॅफिक ट्रान्समिशनच्या एका सेकंदासाठी 31 MB स्टोरेज, एका मिनिटासाठी 1,8 GB, एका तासासाठी 108 GB आणि एका दिवसासाठी 2,6 TB ची आवश्यकता असेल. 10 Gbit/s बँडविड्थ असलेल्या नेटवर्कवरून दैनिक डेटा संचयित करण्यासाठी, तुम्हाला 108 TB स्टोरेजची आवश्यकता असेल. परंतु काही नियामकांना वर्षानुवर्षे सुरक्षितता डेटा संग्रहित करणे आवश्यक आहे... मागणीनुसार रेकॉर्डिंग, जे प्रवाह विश्लेषण तुम्हाला अंमलात आणण्यास मदत करते, ही मूल्ये प्रमाणानुसार कमी करण्यास मदत करते. तसे, जर आपण रेकॉर्ड केलेल्या नेटवर्क टेलीमेट्री डेटा आणि संपूर्ण डेटा कॅप्चरच्या व्हॉल्यूमच्या गुणोत्तराबद्दल बोललो, तर ते अंदाजे 1 ते 500 आहे. वर दिलेल्या समान मूल्यांसाठी, सर्व दैनिक रहदारीचा संपूर्ण उतारा संग्रहित करणे अनुक्रमे 5 आणि 216 GB असेल (आपण ते नियमित फ्लॅश ड्राइव्हवर देखील रेकॉर्ड करू शकता ).

जर कच्च्या नेटवर्क डेटाचे विश्लेषण करण्याच्या साधनांसाठी, ते कॅप्चर करण्याची पद्धत विक्रेत्यापासून विक्रेत्यापर्यंत जवळजवळ सारखीच असेल, तर प्रवाह विश्लेषणाच्या बाबतीत परिस्थिती वेगळी आहे. फ्लो प्रोटोकॉलसाठी अनेक पर्याय आहेत, ज्यामधील फरक तुम्हाला सुरक्षिततेच्या संदर्भात माहित असणे आवश्यक आहे. सिस्कोने विकसित केलेला नेटफ्लो प्रोटोकॉल सर्वात लोकप्रिय आहे. या प्रोटोकॉलच्या अनेक आवृत्त्या आहेत, त्यांच्या क्षमतांमध्ये आणि रेकॉर्ड केलेल्या रहदारी माहितीच्या प्रमाणात भिन्न आहेत. सध्याची आवृत्ती नववी (नेटफ्लो v9) आहे, ज्याच्या आधारावर उद्योग मानक Netflow v10, ज्याला IPFIX म्हणूनही ओळखले जाते, विकसित केले गेले. आज, बहुतेक नेटवर्क विक्रेते त्यांच्या उपकरणांमध्ये Netflow किंवा IPFIX चे समर्थन करतात. परंतु फ्लो प्रोटोकॉलसाठी इतर विविध पर्याय आहेत - sFlow, jFlow, cFlow, rFlow, NetStream, इ, ज्यापैकी sFlow सर्वात लोकप्रिय आहे. हा प्रकार आहे जो बहुतेक वेळा त्याच्या अंमलबजावणीच्या सुलभतेमुळे नेटवर्क उपकरणांच्या घरगुती उत्पादकांद्वारे समर्थित असतो. नेटफ्लो, जे वास्तविक मानक बनले आहे आणि sFlow मधील मुख्य फरक काय आहेत? मी अनेक प्रमुख मुद्दे हायलाइट करेन. प्रथम, sFlow मधील निश्चित फील्डच्या विरूद्ध Netflow मध्ये वापरकर्ता-सानुकूल फील्ड आहेत. आणि दुसरे म्हणजे, आणि आमच्या बाबतीत ही सर्वात महत्वाची गोष्ट आहे, sFlow तथाकथित नमुना टेलीमेट्री गोळा करते; नेटफ्लो आणि आयपीएफआयएक्ससाठी नमुना न केलेल्याच्या उलट. त्यांच्यात काय फरक आहे?

कल्पना करा की तुम्ही पुस्तक वाचायचे ठरवले आहे "सिक्युरिटी ऑपरेशन्स सेंटर: तुमचा SOC तयार करणे, ऑपरेट करणे आणि त्याची देखभाल करणेमाझे सहकारी - गॅरी मॅकिन्टायर, जोसेफ मुनिट्झ आणि नादेम अल्फार्डन (तुम्ही दुव्यावरून पुस्तकाचा काही भाग डाउनलोड करू शकता). तुमचे उद्दिष्ट साध्य करण्यासाठी तुमच्याकडे तीन पर्याय आहेत - संपूर्ण पुस्तक वाचा, त्यामधून स्किम करा, प्रत्येक 10व्या किंवा 20व्या पानावर थांबा किंवा ब्लॉग किंवा स्मार्टरीडिंग सारख्या सेवेवर मुख्य संकल्पना पुन्हा सांगण्याचा प्रयत्न करा. तर, नमुना नसलेली टेलीमेट्री नेटवर्क रहदारीचे प्रत्येक “पृष्ठ” वाचत आहे, म्हणजेच प्रत्येक पॅकेटसाठी मेटाडेटा विश्लेषित करत आहे. सॅम्पल टेलीमेट्री हा ट्रॅफिकचा निवडक अभ्यास आहे या आशेने की निवडलेल्या नमुन्यांमध्ये तुम्हाला जे हवे आहे ते असेल. चॅनेलच्या गतीवर अवलंबून, नमुना टेलीमेट्री प्रत्येक 64व्या, 200व्या, 500व्या, 1000व्या, 2000व्या किंवा अगदी 10000व्या पॅकेटला विश्लेषणासाठी पाठवला जाईल.

माहिती सुरक्षा निरीक्षणाच्या संदर्भात, याचा अर्थ असा आहे की सॅम्पल टेलीमेट्री DDoS हल्ले शोधण्यासाठी, स्कॅनिंग करण्यासाठी आणि दुर्भावनापूर्ण कोड पसरवण्यासाठी योग्य आहे, परंतु विश्लेषणासाठी पाठवलेल्या नमुन्यामध्ये समाविष्ट नसलेले अणू किंवा मल्टी-पॅकेट हल्ले चुकवू शकतात. नमुना नसलेल्या टेलीमेट्रीमध्ये असे तोटे नाहीत. यासह, आढळलेल्या हल्ल्यांची श्रेणी खूप विस्तृत आहे. नेटवर्क टेलीमेट्री विश्लेषण साधनांचा वापर करून शोधल्या जाऊ शकणाऱ्या घटनांची येथे एक छोटी सूची आहे.

अर्थात, काही ओपन सोर्स नेटफ्लो विश्लेषक तुम्हाला हे करण्याची परवानगी देणार नाहीत, कारण त्याचे मुख्य कार्य टेलिमेट्री गोळा करणे आणि त्यावर आयटी दृष्टिकोनातून मूलभूत विश्लेषण करणे हे आहे. प्रवाहावर आधारित माहिती सुरक्षा धोके ओळखण्यासाठी, विश्लेषक विविध इंजिन आणि अल्गोरिदमसह सुसज्ज करणे आवश्यक आहे, जे मानक किंवा सानुकूल नेटफ्लो फील्डवर आधारित सायबरसुरक्षा समस्या ओळखतील, विविध धोक्याच्या बुद्धिमत्ता स्त्रोतांकडील बाह्य डेटासह मानक डेटा समृद्ध करेल इ.

म्हणून, तुमच्याकडे पर्याय असल्यास, नेटफ्लो किंवा आयपीएफआयएक्स निवडा. परंतु जरी तुमची उपकरणे केवळ sFlow सोबत काम करत असतील, जसे की घरगुती उत्पादक, तरीही या प्रकरणात तुम्हाला सुरक्षिततेच्या संदर्भात त्याचा फायदा होऊ शकतो.

2019 च्या उन्हाळ्यात, मी रशियन नेटवर्क हार्डवेअर उत्पादकांकडे असलेल्या क्षमतांचे विश्लेषण केले आणि त्या सर्वांनी, NSG, Polygon आणि Craftway वगळून, sFlow (किमान Zelax, Natex, Eltex, QTech, Rusteleteh) साठी समर्थन जाहीर केले.

पुढील प्रश्न तुम्हाला भेडसावतील की सुरक्षिततेसाठी प्रवाह समर्थन कोठे लागू करायचे? खरं तर, प्रश्न पूर्णपणे योग्यरित्या मांडलेला नाही. आधुनिक उपकरणे जवळजवळ नेहमीच प्रवाह प्रोटोकॉलचे समर्थन करतात. म्हणून, मी प्रश्न वेगळ्या प्रकारे सुधारित करेन - सुरक्षिततेच्या दृष्टिकोनातून टेलिमेट्री गोळा करणे सर्वात प्रभावी कोठे आहे? उत्तर अगदी स्पष्ट असेल - प्रवेश स्तरावर, जिथे तुम्हाला 100% सर्व रहदारी दिसेल, जिथे तुमच्याकडे यजमानांची तपशीलवार माहिती असेल (MAC, VLAN, इंटरफेस आयडी), जिथे तुम्ही यजमानांमधील P2P रहदारीचे निरीक्षण देखील करू शकता, जे स्कॅनिंग शोधणे आणि दुर्भावनायुक्त कोडचे वितरण करणे हे महत्त्वाचे आहे. मूळ स्तरावर, तुम्हाला कदाचित काही रहदारी दिसणार नाही, परंतु परिमिती स्तरावर, तुम्हाला तुमच्या सर्व नेटवर्क रहदारीचा एक चतुर्थांश भाग दिसेल. परंतु जर काही कारणास्तव तुमच्या नेटवर्कवर परदेशी उपकरणे असतील जी हल्लेखोरांना परिमिती न सोडता “प्रवेश आणि बाहेर पडू” देतात, तर त्यामधून टेलीमेट्रीचे विश्लेषण केल्याने तुम्हाला काहीही मिळणार नाही. म्हणून, जास्तीत जास्त कव्हरेजसाठी, प्रवेश स्तरावर टेलीमेट्री संग्रह सक्षम करण्याची शिफारस केली जाते. त्याच वेळी, हे लक्षात घेण्यासारखे आहे की जरी आम्ही व्हर्च्युअलायझेशन किंवा कंटेनरबद्दल बोलत असलो तरीही, प्रवाह समर्थन देखील आधुनिक व्हर्च्युअल स्विचमध्ये आढळते, जे आपल्याला तेथे रहदारी नियंत्रित करण्यास अनुमती देते.

परंतु मी हा विषय उपस्थित केल्यामुळे, मला या प्रश्नाचे उत्तर देणे आवश्यक आहे: उपकरणे, भौतिक किंवा आभासी, प्रवाह प्रोटोकॉलला समर्थन देत नसल्यास काय? किंवा त्याचा समावेश प्रतिबंधित आहे (उदाहरणार्थ, विश्वासार्हता सुनिश्चित करण्यासाठी औद्योगिक विभागांमध्ये)? किंवा ते चालू केल्याने जास्त CPU लोड होते (हे जुन्या हार्डवेअरवर होते)? या समस्येचे निराकरण करण्यासाठी, विशेष व्हर्च्युअल सेन्सर (फ्लो सेन्सर) आहेत, जे मूलत: सामान्य स्प्लिटर आहेत जे स्वतःहून रहदारी पार करतात आणि संग्रह मॉड्यूलमध्ये प्रवाहाच्या स्वरूपात प्रसारित करतात. खरे आहे, या प्रकरणात आम्हाला पॅकेट कॅप्चर टूल्सच्या संदर्भात आम्ही वर बोललेल्या सर्व समस्या मिळतात. म्हणजेच, आपल्याला केवळ प्रवाह विश्लेषण तंत्रज्ञानाचे फायदेच नव्हे तर त्याच्या मर्यादा देखील समजून घेणे आवश्यक आहे.

प्रवाह विश्लेषण साधनांबद्दल बोलताना आणखी एक मुद्दा लक्षात ठेवणे आवश्यक आहे. सुरक्षा इव्हेंट तयार करण्याच्या पारंपारिक माध्यमांच्या संबंधात आम्ही EPS मेट्रिक (इव्हेंट प्रति सेकंद) वापरत असल्यास, हे सूचक टेलिमेट्री विश्लेषणास लागू होणार नाही; ते FPS (प्रवाह प्रति सेकंद) ने बदलले आहे. ईपीएसच्या बाबतीत, त्याची आगाऊ गणना केली जाऊ शकत नाही, परंतु विशिष्ट डिव्हाइस त्याच्या कार्यानुसार व्युत्पन्न केलेल्या थ्रेड्सच्या अंदाजे संख्येचा अंदाज लावू शकता. वेगवेगळ्या प्रकारच्या एंटरप्राइझ डिव्हाइसेस आणि शर्तींसाठी अंदाजे मूल्यांसह आपण इंटरनेटवर टेबल शोधू शकता, जे आपल्याला विश्लेषण साधनांसाठी कोणते परवाने आवश्यक आहेत आणि त्यांचे आर्किटेक्चर काय असेल याचा अंदाज लावू शकतात? वस्तुस्थिती अशी आहे की आयडीएस सेन्सर एका विशिष्ट बँडविड्थद्वारे मर्यादित आहे जे ते "पुल" करू शकते आणि फ्लो कलेक्टरच्या स्वतःच्या मर्यादा आहेत ज्या समजून घेतल्या पाहिजेत. म्हणून, मोठ्या, भौगोलिकदृष्ट्या वितरित नेटवर्कमध्ये सहसा अनेक संग्राहक असतात. जेव्हा मी वर्णन केले Cisco मध्ये नेटवर्कचे परीक्षण कसे केले जाते, मी आमच्या संग्राहकांची संख्या आधीच दिली आहे - त्यापैकी 21 आहेत. आणि हे पाच खंडांमध्ये पसरलेल्या नेटवर्कसाठी आहे आणि सुमारे अर्धा दशलक्ष सक्रिय डिव्हाइसेसची संख्या आहे).

नेटफ्लो मॉनिटरिंग सिस्टम म्हणून आम्ही आमचे स्वतःचे समाधान वापरतो सिस्को स्टेल्थवॉच, जे विशेषतः सुरक्षा समस्या सोडवण्यावर केंद्रित आहे. यात विसंगत, संशयास्पद आणि स्पष्टपणे दुर्भावनापूर्ण क्रियाकलाप शोधण्यासाठी अनेक अंगभूत इंजिन आहेत, जे तुम्हाला विविध धोक्यांची विस्तृत श्रेणी शोधण्याची परवानगी देतात - क्रिप्टोमाइनिंगपासून माहिती लीकपर्यंत, दुर्भावनापूर्ण कोडच्या प्रसारापासून ते फसवणुकीपर्यंत. बहुतेक प्रवाह विश्लेषकांप्रमाणे, स्टील्थवॉच तीन-स्तरीय योजनेनुसार (जनरेटर - कलेक्टर - विश्लेषक) तयार केले गेले आहे, परंतु ते विचाराधीन सामग्रीच्या संदर्भात महत्त्वपूर्ण असलेल्या अनेक मनोरंजक वैशिष्ट्यांसह पूरक आहे. प्रथम, ते पॅकेट कॅप्चर सोल्यूशन्स (जसे की सिस्को सिक्युरिटी पॅकेट विश्लेषक) सह समाकलित करते, जे तुम्हाला नंतरच्या सखोल तपासणी आणि विश्लेषणासाठी निवडलेल्या नेटवर्क सत्रांची नोंद करण्यास अनुमती देते. दुसरे म्हणजे, विशेषत: सुरक्षा कार्यांचा विस्तार करण्यासाठी, आम्ही एक विशेष nvzFlow प्रोटोकॉल विकसित केला आहे, जो तुम्हाला एंड नोड्स (सर्व्हर्स, वर्कस्टेशन्स इ.) वरील ऍप्लिकेशन्सच्या क्रियाकलापांना टेलिमेट्रीमध्ये "प्रसारण" करण्यास आणि पुढील विश्लेषणासाठी कलेक्टरकडे प्रसारित करण्यास अनुमती देतो. जर स्टील्थवॉच त्याच्या मूळ आवृत्तीमध्ये नेटवर्क स्तरावर कोणत्याही प्रवाह प्रोटोकॉल (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) सह कार्य करत असेल, तर nvzFlow समर्थन नोड स्तरावर देखील डेटा परस्परसंबंधास अनुमती देते. संपूर्ण प्रणालीची कार्यक्षमता वाढवणे आणि पारंपारिक नेटवर्क प्रवाह विश्लेषकांपेक्षा अधिक हल्ले पाहणे.

हे स्पष्ट आहे की सुरक्षेच्या दृष्टिकोनातून नेटफ्लो विश्लेषण प्रणालींबद्दल बोलत असताना, बाजार सिस्कोच्या एका सोल्यूशनपुरता मर्यादित नाही. तुम्ही व्यावसायिक आणि विनामूल्य किंवा शेअरवेअर दोन्ही उपाय वापरू शकता. मी सिस्को ब्लॉगवर प्रतिस्पर्ध्यांचे उपाय उदाहरणे म्हणून उद्धृत केले तर ते खूप विचित्र आहे, म्हणून मी दोन लोकप्रिय, नावाप्रमाणेच, परंतु तरीही भिन्न साधने - SiLK आणि ELK वापरून नेटवर्क टेलिमेट्रीचे विश्लेषण कसे केले जाऊ शकते याबद्दल काही शब्द सांगेन.

SiLK हा ट्रॅफिक विश्लेषणासाठी (इंटरनेट-स्तर ज्ञानाची प्रणाली) साधनांचा एक संच आहे, जो अमेरिकन CERT/CC ने विकसित केला आहे आणि जे आजच्या लेखाच्या संदर्भात, Netflow (5वी आणि 9वी, सर्वात लोकप्रिय आवृत्ती), IPFIX चे समर्थन करते. आणि sFlow आणि त्यात अनधिकृत क्रियांची चिन्हे शोधण्यासाठी नेटवर्क टेलिमेट्रीवर विविध ऑपरेशन्स करण्यासाठी विविध उपयुक्तता (rwfilter, rwcount, rwflowpack, इ.) वापरणे. पण लक्षात घेण्यासारखे काही महत्त्वाचे मुद्दे आहेत. SiLK हे कमांड लाइन टूल आहे जे या सारख्या कमांड टाकून ऑन-लाइन विश्लेषण करते (200 बाइट्सपेक्षा मोठे ICMP पॅकेट शोधणे):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

खूप आरामदायक नाही. तुम्ही iSiLK GUI वापरू शकता, परंतु ते तुमचे जीवन अधिक सोपे करणार नाही, फक्त व्हिज्युअलायझेशन फंक्शनचे निराकरण करेल आणि विश्लेषक बदलणार नाही. आणि हा दुसरा मुद्दा आहे. व्यावसायिक सोल्यूशन्सच्या विपरीत, ज्यात आधीपासूनच एक ठोस विश्लेषणात्मक आधार आहे, विसंगती शोध अल्गोरिदम, संबंधित वर्कफ्लो इ., SiLK च्या बाबतीत तुम्हाला हे सर्व स्वतः करावे लागेल, ज्यासाठी आधीच तयार वापरण्यापेक्षा तुमच्याकडून थोडी वेगळी क्षमता आवश्यक असेल- वापरण्यासाठी साधने. हे चांगले किंवा वाईट नाही - हे जवळजवळ कोणत्याही विनामूल्य साधनाचे वैशिष्ट्य आहे जे असे गृहीत धरते की आपल्याला काय करावे हे माहित आहे आणि ते केवळ आपल्याला यात मदत करेल (व्यावसायिक साधने त्याच्या वापरकर्त्यांच्या क्षमतांवर कमी अवलंबून असतात, जरी ते गृहीत धरतात. की विश्लेषकांना नेटवर्क तपासणी आणि निरीक्षणाची किमान मूलभूत माहिती समजते). पण सिल्क कडे परत जाऊया. त्याच्यासह विश्लेषकाचे कार्य चक्र असे दिसते:

• एक गृहीतक तयार करणे. आम्ही नेटवर्क टेलीमेट्रीमध्ये काय शोधत आहोत हे आम्हाला समजले पाहिजे, विशिष्ट गुणधर्म जाणून घ्या ज्याद्वारे आम्ही विशिष्ट विसंगती किंवा धोके ओळखू.
• एक मॉडेल तयार करणे. एक गृहीतक तयार केल्यावर, आम्ही त्याच Python, शेल किंवा SiLK मध्ये समाविष्ट नसलेली इतर साधने वापरून प्रोग्राम करतो.
• चाचणी. आता आमच्या गृहीतकाची शुद्धता तपासण्याची पाळी आली आहे, जी 'rw', 'सेट', 'बॅग' ने सुरू होणाऱ्या SiLK युटिलिटीज वापरून पुष्टी किंवा खंडन केली जाते.
• वास्तविक डेटाचे विश्लेषण. औद्योगिक ऑपरेशनमध्ये, SiLK आम्हाला काहीतरी ओळखण्यात मदत करते आणि विश्लेषकाने प्रश्नांची उत्तरे दिली पाहिजेत की "आम्हाला जे अपेक्षित आहे ते सापडले का?", "हे आमच्या गृहीतकाशी जुळते का?", "खोट्या सकारात्मकतेची संख्या कशी कमी करावी?", "कसे. ओळख पातळी सुधारण्यासाठी? » आणि असेच.
• सुधारणा. अंतिम टप्प्यावर, आम्ही पूर्वी जे केले होते ते सुधारतो - आम्ही टेम्पलेट तयार करतो, कोड सुधारतो आणि ऑप्टिमाइझ करतो, परिकल्पना सुधारतो आणि स्पष्ट करतो इ.

हे चक्र Cisco Stealthwatch ला देखील लागू होईल, फक्त शेवटची एक या पाच पायऱ्या जास्तीत जास्त स्वयंचलित करते, विश्लेषक त्रुटींची संख्या कमी करते आणि घटना शोधण्याची कार्यक्षमता वाढवते. उदाहरणार्थ, SiLK मध्ये तुम्ही हाताने लिहिलेल्या स्क्रिप्टचा वापर करून दुर्भावनापूर्ण IP वर बाह्य डेटासह नेटवर्क आकडेवारी समृद्ध करू शकता आणि Cisco Stealthwatch मध्ये हे अंगभूत फंक्शन आहे जे नेटवर्क रहदारीमध्ये ब्लॅकलिस्टमधील IP पत्त्यांसह परस्परसंवाद असल्यास त्वरित अलार्म प्रदर्शित करते.

जर तुम्ही फ्लो ॲनालिसिस सॉफ्टवेअरसाठी “पेड” पिरॅमिडच्या वर गेलात, तर पूर्णपणे मोफत SiLK नंतर एक शेअरवेअर ELK असेल, ज्यामध्ये तीन प्रमुख घटक असतील - Elasticsearch (इंडेक्सिंग, सर्चिंग आणि डेटा ॲनालिसिस), लॉगस्टॅश (डेटा इनपुट/आउटपुट). ) आणि किबाना ( व्हिज्युअलायझेशन). SiLK च्या विपरीत, जिथे तुम्हाला सर्वकाही स्वतःच लिहावे लागते, ELK मध्ये आधीच अनेक रेडीमेड लायब्ररी/मॉड्यूल आहेत (काही सशुल्क, काही नाहीत) जे नेटवर्क टेलीमेट्रीचे विश्लेषण स्वयंचलित करतात. उदाहरणार्थ, Logstash मधील GeoIP फिल्टर तुम्हाला निरीक्षण केलेले IP पत्ते त्यांच्या भौगोलिक स्थानाशी जोडण्याची परवानगी देतो (स्टील्थवॉचमध्ये हे अंगभूत वैशिष्ट्य आहे).

ELK मध्ये देखील एक मोठा समुदाय आहे जो या मॉनिटरिंग सोल्यूशनसाठी गहाळ घटक पूर्ण करत आहे. उदाहरणार्थ, Netflow, IPFIX आणि sFlow सह काम करण्यासाठी तुम्ही मॉड्यूल वापरू शकता elastiflow, तुम्ही Logstash Netflow मॉड्यूलशी समाधानी नसल्यास, जे फक्त Netflow चे समर्थन करते.

प्रवाह संकलित करण्यात आणि त्यामध्ये शोधण्यात अधिक कार्यक्षमता देत असताना, नेटवर्क टेलीमेट्रीमधील विसंगती आणि धोके शोधण्यासाठी ELK मध्ये सध्या समृद्ध अंगभूत विश्लेषणे नाहीत. म्हणजेच, वर वर्णन केलेल्या जीवनचक्राचे अनुसरण करून, आपल्याला उल्लंघन मॉडेलचे स्वतंत्रपणे वर्णन करावे लागेल आणि नंतर ते लढाऊ प्रणालीमध्ये वापरावे लागेल (तेथे कोणतेही अंगभूत मॉडेल नाहीत).

अर्थातच, ELK साठी अधिक अत्याधुनिक विस्तार आहेत, ज्यात नेटवर्क टेलीमेट्रीमधील विसंगती शोधण्यासाठी आधीच काही मॉडेल्स आहेत, परंतु अशा विस्तारांसाठी पैसे मोजावे लागतात आणि येथे प्रश्न असा आहे की गेम मेणबत्तीसाठी योग्य आहे का - स्वतः एक समान मॉडेल लिहा, ते विकत घ्या. तुमच्या मॉनिटरिंग टूलची अंमलबजावणी करा किंवा नेटवर्क ट्रॅफिक ॲनालिसिस क्लासचे रेडीमेड सोल्यूशन खरेदी करा.

सर्वसाधारणपणे, मला या वादात पडायचे नाही की नेटवर्क टेलीमेट्री (उदाहरणार्थ, सिस्को स्टील्थवॉच) मधील विसंगती आणि धोक्यांवर लक्ष ठेवण्यासाठी पैसे खर्च करणे आणि रेडीमेड सोल्यूशन विकत घेणे किंवा ते स्वतः शोधणे आणि ते सानुकूलित करणे चांगले आहे. प्रत्येक नवीन धोक्यासाठी SiLK, ELK किंवा nfdump किंवा OSU फ्लो टूल्स ( मी त्यापैकी शेवटच्या दोन बद्दल बोलत आहे सांगितले गेल्या वेळी)? प्रत्येकजण स्वतःसाठी निवडतो आणि प्रत्येकाचा दोन पर्यायांपैकी कोणताही पर्याय निवडण्यामागे त्यांचे स्वतःचे हेतू असतात. मला फक्त हे दाखवायचे होते की नेटवर्क टेलीमेट्री हे तुमच्या अंतर्गत पायाभूत सुविधांच्या नेटवर्क सुरक्षिततेची खात्री करण्यासाठी एक अतिशय महत्त्वाचे साधन आहे आणि तुम्ही त्याकडे दुर्लक्ष करू नये, जेणेकरून मीडियामध्ये ज्या कंपन्यांचे नाव या नावांसह नमूद केले आहे त्यांच्या यादीत सामील होऊ नये. हॅक केलेले", "माहिती सुरक्षा आवश्यकतांचे पालन न करणारे" ", "त्यांच्या डेटाच्या आणि ग्राहकांच्या डेटाच्या सुरक्षिततेबद्दल विचार करत नाही."

थोडक्यात, तुमच्या अंतर्गत इन्फ्रास्ट्रक्चरची माहिती सुरक्षा निरीक्षण तयार करताना तुम्ही ज्या मुख्य टिप्सचे पालन केले पाहिजे त्या मी सूचीबद्ध करू इच्छितो:

1. स्वतःला फक्त परिमितीपुरते मर्यादित करू नका! नेटवर्क इन्फ्रास्ट्रक्चरचा वापर करा (आणि निवडा) ट्रॅफिक पॉइंट A मधून पॉइंट B कडे हलवण्यासाठीच नाही तर सायबर सुरक्षा समस्यांचे निराकरण करण्यासाठी देखील.
2. तुमच्या नेटवर्क उपकरणांमधील विद्यमान माहिती सुरक्षा निरीक्षण यंत्रणेचा अभ्यास करा आणि त्यांचा वापर करा.
3. अंतर्गत देखरेखीसाठी, टेलीमेट्री विश्लेषणास प्राधान्य द्या - नेटवर्क पॅकेट्स कॅप्चर करताना आणि सर्व माहिती सुरक्षा इव्हेंट्स संचयित करण्यासाठी जागा वाचवताना जे अशक्य आहे ते करत असताना, हे आपल्याला नेटवर्क माहिती सुरक्षा घटनांपैकी 80-90% पर्यंत शोधण्याची परवानगी देते.
4. प्रवाहांचे निरीक्षण करण्यासाठी, Netflow v9 किंवा IPFIX वापरा - ते सुरक्षिततेच्या संदर्भात अधिक माहिती देतात आणि तुम्हाला केवळ IPv4च नाही तर IPv6, MPLS इ.चेही निरीक्षण करण्याची परवानगी देतात.
5. नमुना नसलेला प्रवाह प्रोटोकॉल वापरा - ते धोके शोधण्यासाठी अधिक माहिती प्रदान करते. उदाहरणार्थ, Netflow किंवा IPFIX.
6. तुमच्या नेटवर्क उपकरणावरील लोड तपासा - ते फ्लो प्रोटोकॉल देखील हाताळू शकत नाही. त्यानंतर व्हर्च्युअल सेन्सर्स किंवा नेटफ्लो जनरेशन अप्लायन्स वापरण्याचा विचार करा.
7. सर्व प्रथम प्रवेश स्तरावर नियंत्रण लागू करा - हे तुम्हाला 100% रहदारी पाहण्याची संधी देईल.
8. तुमच्याकडे पर्याय नसल्यास आणि तुम्ही रशियन नेटवर्क उपकरणे वापरत असल्यास, फ्लो प्रोटोकॉलला सपोर्ट करणारे किंवा SPAN/RSPAN पोर्ट असलेले एखादे निवडा.
9. कडांवर घुसखोरी/हल्ला शोध/प्रतिबंध प्रणाली आणि अंतर्गत नेटवर्कमधील प्रवाह विश्लेषण प्रणाली (ढगांसह) एकत्र करा.

शेवटच्या टिप बद्दल, मी एक उदाहरण देऊ इच्छितो जे मी आधीच दिले आहे. आपण पहात आहात की जर पूर्वी सिस्को माहिती सुरक्षा सेवेने जवळजवळ संपूर्णपणे घुसखोरी शोध प्रणाली आणि स्वाक्षरी पद्धतींच्या आधारावर माहिती सुरक्षा मॉनिटरिंग सिस्टम तयार केली असेल, तर आता केवळ 20% घटनांसाठी ते जबाबदार आहेत. आणखी 20% प्रवाह विश्लेषण प्रणालीवर पडतात, जे सूचित करते की हे उपाय एक लहरी नाहीत, परंतु आधुनिक एंटरप्राइझच्या माहिती सुरक्षा सेवांच्या क्रियाकलापांमध्ये एक वास्तविक साधन आहेत. शिवाय, त्यांच्या अंमलबजावणीसाठी तुमच्याकडे सर्वात महत्त्वाची गोष्ट आहे - नेटवर्क इन्फ्रास्ट्रक्चर, गुंतवणूक ज्यामध्ये नेटवर्कला माहिती सुरक्षा मॉनिटरिंग फंक्शन्स नियुक्त करून अधिक संरक्षित केले जाऊ शकते.

मी विशेषत: नेटवर्क प्रवाहांमध्ये ओळखल्या गेलेल्या विसंगती किंवा धोक्यांना प्रतिसाद देण्याच्या विषयावर स्पर्श केला नाही, परंतु मला असे वाटते की हे आधीच स्पष्ट आहे की देखरेख केवळ धोक्याच्या शोधाने संपू नये. ते प्रतिसादानंतर आणि शक्यतो स्वयंचलित किंवा स्वयंचलित मोडमध्ये असावे. पण हा स्वतंत्र लेखाचा विषय आहे.

अतिरिक्त माहिती:

• सिस्को आयओएस नेटफ्लोचे वर्णन
• विविध सिस्को सोल्यूशन्समध्ये नेटफ्लो सपोर्ट मॅट्रिक्स
• विविध सिस्को प्लॅटफॉर्मवर नेटफ्लो कॉन्फिगर करण्यासाठी मार्गदर्शक
• sFlow समुदाय
• सुरक्षिततेच्या दृष्टीकोनातून नेटफ्लोचे विश्लेषण करण्यासाठी Stealtjwatch, SiLK आणि ELK वापरून लॅब
• SiLK वेबसाइट
• अनेक उदाहरणांसह SiLK वापरण्यासाठी तीन-शंभर पृष्ठांचे मार्गदर्शक
• लॉगस्टॅश नेटफ्लो मॉड्यूल
• ELK मधील नेटफ्लो विश्लेषणासाठी सिस्को चरण-दर-चरण मार्गदर्शक
• लॉगस्टॅश (ELK) वापरून NetFlow v.9 Cisco ASA चे विश्लेषण
• सिस्को स्टेल्थवॉच सोल्यूशन

पुनश्च. वर लिहिलेल्या सर्व गोष्टी ऐकणे तुमच्यासाठी सोपे असल्यास, या नोटचा आधार असलेले तासभराचे सादरीकरण तुम्ही पाहू शकता.

स्त्रोत: www.habr.com