आन्तरिक नेटवर्कको सुरक्षा निगरानीको लागि एक उपकरणको रूपमा प्रवाह प्रोटोकलहरू

जब यो आन्तरिक कर्पोरेट वा विभागीय नेटवर्कको सुरक्षाको निगरानी गर्न आउँछ, धेरैले यसलाई सूचना चुहावट नियन्त्रण गर्न र DLP समाधानहरू लागू गर्नेसँग जोड्छन्। र यदि तपाइँ प्रश्न स्पष्ट गर्न प्रयास गर्नुहुन्छ र तपाइँ कसरी आन्तरिक नेटवर्कमा आक्रमणहरू पत्ता लगाउन सक्नुहुन्छ, त्यसपछि जवाफ, एक नियमको रूपमा, घुसपैठ पत्ता लगाउने प्रणाली (IDS) को उल्लेख हुनेछ। र 10-20 वर्ष पहिले एउटै विकल्प के थियो आज एक anachronism बनिरहेको छ। त्यहाँ थप प्रभावकारी छ, र केहि स्थानहरूमा, आन्तरिक नेटवर्क निगरानीको लागि मात्र सम्भव विकल्प - प्रवाह प्रोटोकलहरू प्रयोग गरेर, जुन मूल रूपमा नेटवर्क समस्याहरू (समस्या निवारण) खोज्न डिजाइन गरिएको थियो, तर समयको साथ एक धेरै रोचक सुरक्षा उपकरणमा परिणत भयो। हामी त्यहाँ कुन फ्लो प्रोटोकलहरू छन् र नेटवर्क आक्रमणहरू पत्ता लगाउनमा कुन कुन राम्रो छ भन्ने बारे कुरा गर्नेछौं, फ्लो अनुगमन लागू गर्न कहाँ उत्तम छ, यस्तो योजना लागू गर्दा के खोज्ने, र घरेलु उपकरणहरूमा यी सबै कसरी "लिफ्ट" गर्ने। यस लेखको दायरा भित्र।

"आन्तरिक पूर्वाधार सुरक्षा अनुगमन किन आवश्यक छ?" भन्ने प्रश्नमा म बस्ने छैन। जवाफ स्पष्ट देखिन्छ। तर यदि, तैपनि, तपाईं एक पटक फेरि यो सुनिश्चित गर्न चाहनुहुन्छ कि आज तपाईं बिना बाँच्न सक्नुहुन्न, एक पटक हेर तपाइँ कसरी 17 तरिकामा फायरवाल द्वारा सुरक्षित कर्पोरेट नेटवर्क घुसाउन सक्नुहुन्छ भन्ने बारेको छोटो भिडियो। त्यसकारण, हामीले आन्तरिक अनुगमन आवश्यक कुरा हो भनी बुझेका छौं र यसलाई कसरी व्यवस्थित गर्न सकिन्छ भन्ने कुरा बुझ्न बाँकी छ भनी हामी मान्नेछौं।

म नेटवर्क स्तर मा पूर्वाधार निगरानी को लागी तीन प्रमुख डेटा स्रोतहरु हाइलाइट गर्नेछु:

• "कच्चा" ट्राफिक जुन हामीले क्याप्चर गर्छौं र केहि विश्लेषण प्रणालीहरूमा विश्लेषणको लागि पेश गर्छौं,
• ट्राफिक पास हुने नेटवर्क उपकरणहरूबाट घटनाहरू,
• ट्राफिक जानकारी प्रवाह प्रोटोकल मध्ये एक मार्फत प्राप्त।

कच्चा ट्राफिक क्याप्चर गर्नु सुरक्षा विशेषज्ञहरू बीच सबैभन्दा लोकप्रिय विकल्प हो, किनभने यो ऐतिहासिक रूपमा देखा पर्‍यो र यो पहिलो थियो। परम्परागत नेटवर्क घुसपैठ पत्ता लगाउने प्रणालीहरू (सबैभन्दा पहिलो व्यावसायिक घुसपैठ पत्ता लगाउने प्रणाली व्हील समूहबाट नेटरेन्जर थियो, सिस्कोद्वारा 1998 मा खरिद गरिएको थियो) सटीक रूपमा प्याकेटहरू (र पछिका सत्रहरू) क्याप्चर गर्नमा संलग्न थिए जसमा निश्चित हस्ताक्षरहरू ("निर्णायक नियमहरू" खोजिएको थियो। FSTEC शब्दावली), संकेत आक्रमणहरू। निस्सन्देह, तपाईले कच्चा ट्राफिकलाई आईडीएस प्रयोग गरेर मात्र होइन, तर अन्य उपकरणहरू (उदाहरणका लागि, सिस्को IOS मा Wireshark, tcpdum वा NBAR2 कार्यक्षमता) प्रयोग गरेर विश्लेषण गर्न सक्नुहुन्छ, तर तिनीहरूसँग सामान्य रूपमा सूचना सुरक्षा उपकरणलाई नियमितबाट छुट्याउन सक्ने ज्ञानको अभाव हुन्छ। आईटी उपकरण।

त्यसैले, आक्रमण पत्ता लगाउने प्रणाली। सञ्जाल आक्रमणहरू पत्ता लगाउने सबैभन्दा पुरानो र सबैभन्दा लोकप्रिय विधि, जसले परिधिमा राम्रो काम गर्छ (जे भए पनि - कर्पोरेट, डाटा सेन्टर, खण्ड, आदि), तर आधुनिक स्विच र सफ्टवेयर-परिभाषित नेटवर्कहरूमा असफल हुन्छ। परम्परागत स्विचहरूको आधारमा निर्मित नेटवर्कको मामलामा, आक्रमण पत्ता लगाउने सेन्सरहरूको पूर्वाधार धेरै ठूलो हुन्छ - तपाईंले नोडमा प्रत्येक जडानको लागि सेन्सर स्थापना गर्नुपर्नेछ जसमा तपाईं आक्रमणहरू निगरानी गर्न चाहनुहुन्छ। कुनै पनि निर्माता, निस्सन्देह, तपाईंलाई सयौं र हजारौं सेन्सरहरू बेच्न खुसी हुनेछन्, तर मलाई लाग्छ कि तपाईंको बजेटले त्यस्ता खर्चहरूलाई समर्थन गर्न सक्दैन। म भन्न सक्छु कि सिस्कोमा पनि (र हामी एनजीआईपीएसका विकासकर्ताहरू हौं) हामीले यो गर्न सकेनौं, यद्यपि यो मूल्यको मुद्दा हाम्रो अगाडि छ जस्तो देखिन्छ। म उभिनु हुँदैन - यो हाम्रो आफ्नै निर्णय हो। यसको अतिरिक्त, प्रश्न उठ्छ, कसरी यो संस्करण मा सेन्सर जडान गर्न? खाडलमा ? यदि सेन्सर आफै असफल भयो भने के हुन्छ? सेन्सरमा बाइपास मोड्युल चाहिन्छ? स्प्लिटरहरू (ट्याप) प्रयोग गर्ने हो? यो सबैले समाधानलाई महँगो बनाउँछ र यसलाई कुनै पनि आकारको कम्पनीको लागि अप्ठ्यारो बनाउँछ।

तपाईंले SPAN/RSPAN/ERSPAN पोर्टमा सेन्सरलाई "ह्याङ" गर्ने प्रयास गर्न सक्नुहुन्छ र आवश्यक स्विच पोर्टहरूबाट यसमा प्रत्यक्ष ट्राफिक जान सक्नुहुन्छ। यो विकल्पले अघिल्लो अनुच्छेदमा वर्णन गरिएको समस्यालाई आंशिक रूपमा हटाउँछ, तर अर्को एउटा खडा गर्छ - SPAN पोर्टले यसमा पठाइने सबै ट्राफिकहरू स्वीकार गर्न सक्दैन - यसमा पर्याप्त ब्यान्डविथ हुनेछैन। केहि बलिदान दिनु पर्नेछ। या त केहि नोडहरू अनुगमन बिना छोड्नुहोस् (त्यसपछि तपाईंले तिनीहरूलाई पहिले प्राथमिकता दिन आवश्यक छ), वा नोडबाट सबै ट्राफिक पठाउनुहोस्, तर केवल एक निश्चित प्रकार। कुनै पनि अवस्थामा, हामीले केही आक्रमणहरू गुमाउन सक्छौं। थप रूपमा, SPAN पोर्ट अन्य आवश्यकताहरूको लागि प्रयोग गर्न सकिन्छ। नतिजाको रूपमा, हामीले अवस्थित नेटवर्क टोपोलोजीको समीक्षा गर्नुपर्नेछ र सम्भवतः तपाइँसँग भएको सेन्सरहरूको संख्याको साथ तपाइँको नेटवर्कलाई अधिकतममा कभर गर्न (र यसलाई IT सँग समन्वय गर्नुहोस्) मा समायोजन गर्नुपर्दछ।

यदि तपाइँको नेटवर्कले असममित मार्गहरू प्रयोग गर्दछ भने के हुन्छ? यदि तपाईंले SDN लागू गर्नुभएको छ वा योजना बनाउँदै हुनुहुन्छ भने के हुन्छ? यदि तपाईले भर्चुअलाइज्ड मेसिन वा कन्टेनरहरू निगरानी गर्न आवश्यक छ जसको ट्राफिक भौतिक स्विचमा पुग्दैन? यी प्रश्नहरू हुन् जुन परम्परागत IDS विक्रेताहरूले मन पराउँदैनन् किनभने उनीहरूलाई उनीहरूको जवाफ कसरी दिने भनेर थाहा छैन। सायद तिनीहरूले तपाईंलाई मनाउनेछन् कि यी सबै फैशनेबल प्रविधिहरू हाइप हुन् र तपाईंलाई यसको आवश्यकता छैन। सायद तिनीहरूले सानो सुरु गर्न आवश्यकता बारेमा कुरा गर्नेछन्। वा हुनसक्छ उनीहरूले भन्नेछन् कि तपाईले नेटवर्कको केन्द्रमा शक्तिशाली थ्रेसर राख्नु पर्छ र ब्यालेन्सरहरू प्रयोग गरेर सबै ट्राफिकलाई निर्देशित गर्न आवश्यक छ। जुनसुकै विकल्प तपाईंलाई प्रस्ताव गरिएको छ, तपाईंले स्पष्ट रूपमा बुझ्नु आवश्यक छ कि यो कसरी उपयुक्त छ। र त्यस पछि मात्र नेटवर्क पूर्वाधारको सूचना सुरक्षा निगरानी गर्न दृष्टिकोण छनौट गर्ने निर्णय गर्नुहोस्। प्याकेट क्याप्चरमा फर्केर, म भन्न चाहन्छु कि यो विधि धेरै लोकप्रिय र महत्त्वपूर्ण छ, तर यसको मुख्य उद्देश्य सीमा नियन्त्रण हो; तपाईंको संगठन र इन्टरनेट बीचको सीमाहरू, डाटा सेन्टर र नेटवर्कको बाँकी बीचको सीमाहरू, प्रक्रिया नियन्त्रण प्रणाली र कर्पोरेट खण्ड बीचको सीमाहरू। यी स्थानहरूमा, क्लासिक IDS/IPS सँग अझै पनि अवस्थित र तिनीहरूका कार्यहरूसँग राम्रोसँग सामना गर्ने अधिकार छ।

दोस्रो विकल्पमा जाऔं। नेटवर्क उपकरणहरूबाट आउने घटनाहरूको विश्लेषणलाई आक्रमण पत्ता लगाउने उद्देश्यका लागि पनि प्रयोग गर्न सकिन्छ, तर मुख्य संयन्त्रको रूपमा होइन, किनकि यसले सानो वर्गको घुसपैठ पत्ता लगाउन अनुमति दिन्छ। थप रूपमा, यो केहि प्रतिक्रियात्मकतामा निहित छ - आक्रमण पहिले हुनुपर्दछ, त्यसपछि यो नेटवर्क उपकरण द्वारा रेकर्ड गरिनु पर्छ, जसले कुनै न कुनै रूपमा सूचना सुरक्षाको साथ समस्यालाई संकेत गर्दछ। त्यहाँ यस्ता धेरै तरिकाहरू छन्। यो syslog, RMON वा SNMP हुन सक्छ। सूचना सुरक्षाको सन्दर्भमा सञ्जाल अनुगमनका लागि अन्तिम दुई प्रोटोकलहरू मात्र प्रयोग गरिन्छ यदि हामीले नेटवर्क उपकरणमा DoS आक्रमण पत्ता लगाउन आवश्यक छ, किनकि RMON र SNMP प्रयोग गर्दा यो सम्भव छ, उदाहरणका लागि, उपकरणको केन्द्रमा लोड निगरानी गर्न। प्रोसेसर वा यसको इन्टरफेस। यो "सस्तो" मध्ये एक हो (सबैसँग syslog वा SNMP छ), तर आन्तरिक पूर्वाधारको सूचना सुरक्षा अनुगमन गर्ने सबै विधिहरूमध्ये सबैभन्दा प्रभावहीन छ - धेरै आक्रमणहरू यसबाट लुकेका छन्। निस्सन्देह, तिनीहरूलाई बेवास्ता गर्नु हुँदैन, र एउटै syslog विश्लेषणले तपाईंलाई समयमै उपकरणको कन्फिगरेसनमा परिवर्तनहरू पहिचान गर्न मद्दत गर्दछ, यसको सम्झौता, तर यो सम्पूर्ण नेटवर्कमा आक्रमणहरू पत्ता लगाउनको लागि धेरै उपयुक्त छैन।

तेस्रो विकल्प भनेको धेरै प्रवाह प्रोटोकलहरू मध्ये एउटालाई समर्थन गर्ने यन्त्रबाट गुजरने ट्राफिकको बारेमा जानकारीको विश्लेषण गर्नु हो। यस अवस्थामा, प्रोटोकलको पर्वाह नगरी, थ्रेडिङ पूर्वाधार आवश्यक रूपमा तीन घटकहरू समावेश गर्दछ:

• प्रवाहको उत्पादन वा निर्यात। यो भूमिका सामान्यतया एक राउटर, स्विच वा अन्य नेटवर्क उपकरणमा तोकिएको छ, जसले, नेटवर्क ट्राफिक आफैंबाट पारित गरेर, तपाइँलाई यसबाट मुख्य प्यारामिटरहरू निकाल्न अनुमति दिन्छ, जुन त्यसपछि सङ्कलन मोड्युलमा पठाइन्छ। उदाहरणका लागि, सिस्कोले नेटफ्लो प्रोटोकललाई भर्चुअल र औद्योगिक सहित राउटर र स्विचहरूमा मात्र नभई वायरलेस कन्ट्रोलरहरू, फायरवालहरू र सर्भरहरूमा पनि समर्थन गर्दछ।
• सङ्कलन प्रवाह। एक आधुनिक नेटवर्कमा सामान्यतया एक भन्दा बढी नेटवर्क उपकरणहरू छन् भन्ने कुरालाई ध्यानमा राख्दै, प्रवाहहरू सङ्कलन र समेकित गर्ने समस्या उत्पन्न हुन्छ, जुन तथाकथित कलेक्टरहरू प्रयोग गरेर हल गरिन्छ, जसले प्राप्त प्रवाहहरूलाई प्रशोधन गर्दछ र त्यसपछि तिनीहरूलाई विश्लेषणको लागि प्रसारण गर्दछ।
• प्रवाह विश्लेषण विश्लेषकले मुख्य बौद्धिक कार्य लिन्छ र स्ट्रिमहरूमा विभिन्न एल्गोरिदमहरू लागू गर्दै, निश्चित निष्कर्षहरू निकाल्छ। उदाहरणका लागि, IT प्रकार्यको भागको रूपमा, यस्तो विश्लेषकले नेटवर्क बाधाहरू पहिचान गर्न वा थप नेटवर्क अप्टिमाइजेसनको लागि ट्राफिक लोड प्रोफाइलको विश्लेषण गर्न सक्छ। र सूचना सुरक्षाको लागि, यस्तो विश्लेषकले डाटा लीक, मालिसियस कोडको फैलावट वा DoS आक्रमणहरू पत्ता लगाउन सक्छ।

यो तीन-स्तरीय वास्तुकला धेरै जटिल छ भनेर नसोच्नुहोस् - अन्य सबै विकल्पहरू (सिवाय, SNMP र RMON सँग काम गर्ने नेटवर्क निगरानी प्रणालीहरू बाहेक) पनि यो अनुसार काम गर्दछ। हामीसँग विश्लेषणको लागि डेटा जनरेटर छ, जुन नेटवर्क उपकरण वा स्ट्यान्ड-अलोन सेन्सर हुन सक्छ। हामीसँग अलार्म सङ्कलन प्रणाली र सम्पूर्ण निगरानी पूर्वाधारको लागि व्यवस्थापन प्रणाली छ। अन्तिम दुई कम्पोनेन्टहरू एकल नोड भित्र जोड्न सकिन्छ, तर अधिक वा कम ठूला नेटवर्कहरूमा तिनीहरू सामान्यतया कम्तिमा दुई यन्त्रहरूमा फैलिन्छन् ताकि स्केलेबिलिटी र विश्वसनीयता सुनिश्चित गर्न सकिन्छ।

प्याकेट विश्लेषणको विपरीत, जुन प्रत्येक प्याकेटको हेडर र बडी डेटा र यसमा समावेश गरिएका सत्रहरूको अध्ययनमा आधारित हुन्छ, प्रवाह विश्लेषण नेटवर्क ट्राफिकको बारेमा मेटाडेटा सङ्कलनमा निर्भर हुन्छ। कहिले, कति, कहाँ र कहाँ, कसरी... यी प्रश्नहरूको जवाफ विभिन्न प्रवाह प्रोटोकलहरू प्रयोग गरी नेटवर्क टेलिमेट्रीको विश्लेषणद्वारा दिइन्छ। सुरुमा, तिनीहरू तथ्याङ्कहरू विश्लेषण गर्न र नेटवर्कमा आईटी समस्याहरू फेला पार्न प्रयोग गरिन्थ्यो, तर पछि, विश्लेषणात्मक संयन्त्रहरू विकसित भएपछि, सुरक्षा उद्देश्यका लागि तिनीहरूलाई एउटै टेलिमेट्रीमा लागू गर्न सम्भव भयो। यो फेरि ध्यान दिन लायक छ कि प्रवाह विश्लेषणले प्याकेट क्याप्चर प्रतिस्थापन वा प्रतिस्थापन गर्दैन। यी विधिहरू मध्ये प्रत्येक अनुप्रयोगको आफ्नै क्षेत्र छ। तर यस लेखको सन्दर्भमा, यो प्रवाह विश्लेषण हो जुन आन्तरिक पूर्वाधारको अनुगमनको लागि उपयुक्त छ। तपाईंसँग नेटवर्क उपकरणहरू छन् (चाहे तिनीहरू सफ्टवेयर-परिभाषित प्रतिमानमा वा स्थिर नियमहरू अनुसार काम गर्छन्) जुन आक्रमणले बाइपास गर्न सक्दैन। यसले क्लासिक IDS सेन्सरलाई बाइपास गर्न सक्छ, तर प्रवाह प्रोटोकललाई समर्थन गर्ने नेटवर्क उपकरणले सक्दैन। यो यस विधि को लाभ हो।

अर्कोतर्फ, यदि तपाइँलाई कानून प्रवर्तन वा तपाइँको आफ्नै घटना अनुसन्धान टोलीको लागि प्रमाण चाहिन्छ भने, तपाइँ प्याकेट क्याप्चर बिना गर्न सक्नुहुन्न - नेटवर्क टेलिमेट्री ट्राफिकको प्रतिलिपि होइन जुन प्रमाण सङ्कलन गर्न प्रयोग गर्न सकिन्छ; यो सूचना सुरक्षाको क्षेत्रमा छिटो पत्ता लगाउन र निर्णय लिने को लागी आवश्यक छ। अर्कोतर्फ, टेलिमेट्री विश्लेषण प्रयोग गरेर, तपाईले सबै नेटवर्क ट्राफिक (यदि केहि हो भने, सिस्कोले डाटा सेन्टरहरू :-) लाई "लेखन" गर्न सक्नुहुन्न, तर आक्रमणमा संलग्न भएको मात्र। यस सम्बन्धमा टेलीमेट्री विश्लेषण उपकरणहरूले पारम्परिक प्याकेट क्याप्चर मेकानिजमहरूलाई राम्रोसँग पूरक हुनेछ, चयनात्मक क्याप्चर र भण्डारणको लागि आदेशहरू दिँदै। अन्यथा, तपाईंसँग ठूलो भण्डारण पूर्वाधार हुनुपर्छ।

250 Mbit/sec को गतिमा सञ्चालित नेटवर्कको कल्पना गरौं। यदि तपाइँ यो सबै भोल्युम भण्डारण गर्न चाहनुहुन्छ भने, तपाइँलाई ट्राफिक प्रसारणको एक सेकेन्डको लागि 31 MB भण्डारण, एक मिनेटको लागि 1,8 GB, एक घण्टाको लागि 108 GB, र एक दिनको लागि 2,6 TB भण्डारण चाहिन्छ। 10 Gbit/s को ब्यान्डविथ भएको नेटवर्कबाट दैनिक डाटा भण्डारण गर्न, तपाईंलाई 108 TB भण्डारण चाहिन्छ। तर केही नियामकहरूलाई वर्षौंको लागि सुरक्षा डेटा भण्डारण गर्न आवश्यक छ... मागमा रेकर्डिङ, जुन प्रवाह विश्लेषणले तपाईंलाई कार्यान्वयन गर्न मद्दत गर्छ, यी मानहरूलाई म्याग्निच्युडको अर्डरद्वारा घटाउन मद्दत गर्छ। वैसे, यदि हामीले रेकर्ड गरिएको नेटवर्क टेलिमेट्री डाटा र पूरा डाटा क्याप्चरको भोल्युमको अनुपातको बारेमा कुरा गर्छौं भने, यो लगभग 1 देखि 500 ​​सम्म हुन्छ। माथि दिइएका समान मानहरूको लागि, सबै दैनिक ट्राफिकको पूर्ण ट्रान्सक्रिप्ट भण्डारण गर्दै। क्रमशः 5 र 216 GB हुनेछ (तपाईले यसलाई नियमित फ्लैश ड्राइभमा पनि रेकर्ड गर्न सक्नुहुन्छ)।

यदि कच्चा नेटवर्क डेटा विश्लेषण गर्न उपकरणहरूको लागि, यसलाई क्याप्चर गर्ने विधि विक्रेताबाट विक्रेतामा लगभग समान छ, त्यसपछि प्रवाह विश्लेषणको अवस्थामा स्थिति फरक छ। त्यहाँ प्रवाह प्रोटोकलहरूका लागि धेरै विकल्पहरू छन्, सुरक्षाको सन्दर्भमा तपाईंले जान्नु पर्ने भिन्नताहरू। सबैभन्दा लोकप्रिय सिस्को द्वारा विकसित नेटफ्लो प्रोटोकल हो। यस प्रोटोकलका धेरै संस्करणहरू छन्, तिनीहरूको क्षमताहरू र रेकर्ड गरिएको ट्राफिक जानकारीको मात्रामा फरक छ। हालको संस्करण नवौं (नेटफ्लो v9) हो, जसको आधारमा उद्योग मानक Netflow v10, जसलाई IPFIX पनि भनिन्छ, विकसित गरिएको थियो। आज, धेरै नेटवर्क विक्रेताहरूले आफ्नो उपकरणहरूमा Netflow वा IPFIX समर्थन गर्छन्। तर त्यहाँ प्रवाह प्रोटोकलहरूको लागि अन्य विभिन्न विकल्पहरू छन् - sFlow, jFlow, cFlow, rFlow, NetStream, आदि, जसमध्ये sFlow सबैभन्दा लोकप्रिय छ। यो यो प्रकार हो जुन प्रायः यसको कार्यान्वयनको सहजताको कारण नेटवर्क उपकरणको घरेलू निर्माताहरू द्वारा समर्थित छ। नेटफ्लो, जुन वास्तविक मानक भएको छ, र sFlow बीचको मुख्य भिन्नताहरू के हुन्? म धेरै कुञ्जीहरू हाइलाइट गर्नेछु। पहिलो, नेटफ्लोमा sFlow मा निश्चित क्षेत्रहरूको विपरित प्रयोगकर्ता-अनुकूलित क्षेत्रहरू छन्। र दोस्रो, र यो हाम्रो मामलामा सबैभन्दा महत्त्वपूर्ण कुरा हो, sFlow ले तथाकथित नमूना टेलिमेट्री सङ्कलन गर्दछ; Netflow र IPFIX को लागि नमूना नभएको को विपरीत। तिनीहरू बीच के भिन्नता छ?

कल्पना गर्नुहोस् कि तपाईंले किताब पढ्ने निर्णय गर्नुभयो "सुरक्षा सञ्चालन केन्द्र: निर्माण, सञ्चालन, र आफ्नो SOC को रखरखाव"मेरा सहकर्मीहरू - गैरी म्याकइन्टायर, जोसेफ मुनिट्ज र नादेम अल्फार्डन (तपाईले लिङ्कबाट पुस्तकको अंश डाउनलोड गर्न सक्नुहुन्छ)। तपाईंसँग आफ्नो लक्ष्य हासिल गर्नका लागि तीनवटा विकल्पहरू छन् - सम्पूर्ण पुस्तक पढ्नुहोस्, त्यसमा स्किम गर्नुहोस्, प्रत्येक १० वा २० औं पृष्ठमा रोक्नुहोस्, वा स्मार्ट रिडिङ जस्ता ब्लग वा सेवामा मुख्य अवधारणाहरूको पुन: बताउन प्रयास गर्नुहोस्। त्यसोभए, नमूनारहित टेलिमेट्रीले नेटवर्क ट्राफिकको प्रत्येक "पृष्ठ" पढिरहेको छ, त्यो हो, प्रत्येक प्याकेटको लागि मेटाडेटा विश्लेषण गर्दै। नमूना टेलीमेट्री भनेको ट्राफिकको छनोट गरिएको अध्ययन हो जुन आशा छ कि चयन गरिएका नमूनाहरूले तपाईंलाई आवश्यक पर्ने कुराहरू समावेश गर्दछ। च्यानल गतिमा निर्भर गर्दै, नमूना टेलीमेट्री प्रत्येक 10 औं, 20 औं, 64 औं, 200 औं, 500 वा 1000 औं प्याकेटमा विश्लेषणको लागि पठाइनेछ।

सूचना सुरक्षा अनुगमनको सन्दर्भमा, यसको मतलब यो हो कि नमूना गरिएको टेलिमेट्री DDoS आक्रमणहरू पत्ता लगाउन, स्क्यानिङ, र दुर्भावनापूर्ण कोड फैलाउनको लागि उपयुक्त छ, तर विश्लेषणको लागि पठाइएको नमूनामा समावेश नगरिएका परमाणु वा बहु-प्याकेट आक्रमणहरू छुटाउन सक्छ। नमूनारहित टेलिमेट्रीमा त्यस्ता बेफाइदाहरू छैनन्। यससँग, पत्ता लगाइएका आक्रमणहरूको दायरा धेरै फराकिलो छ। यहाँ घटनाहरूको छोटो सूची छ जुन नेटवर्क टेलिमेट्री विश्लेषण उपकरणहरू प्रयोग गरेर पत्ता लगाउन सकिन्छ।

निस्सन्देह, केहि खुला स्रोत नेटफ्लो विश्लेषकले तपाईंलाई यो गर्न अनुमति दिँदैन, किनकि यसको मुख्य कार्य टेलिमेट्री सङ्कलन गर्नु र IT दृष्टिकोणबाट आधारभूत विश्लेषण गर्नु हो। प्रवाहमा आधारित सूचना सुरक्षा खतराहरू पहिचान गर्न, विश्लेषकलाई विभिन्न इन्जिनहरू र एल्गोरिदमहरूसँग सुसज्जित गर्न आवश्यक छ, जसले मानक वा अनुकूलन नेटफ्लो क्षेत्रहरूमा आधारित साइबर सुरक्षा समस्याहरू पहिचान गर्नेछ, विभिन्न खतरा खुफिया स्रोतहरूबाट बाह्य डाटाको साथ मानक डाटालाई समृद्ध बनाउँदछ।

त्यसकारण, यदि तपाइँसँग छनौट छ भने, त्यसपछि Netflow वा IPFIX छान्नुहोस्। तर तपाईको उपकरणले घरेलु उत्पादकहरू जस्तै sFlow सँग मात्र काम गर्छ भने पनि, यस अवस्थामा पनि तपाईले सुरक्षा सन्दर्भमा यसको फाइदा लिन सक्नुहुन्छ।

2019 को गर्मीमा, मैले रूसी नेटवर्क हार्डवेयर निर्माताहरूसँग भएका क्षमताहरूको विश्लेषण गरें र तिनीहरू सबै, NSG, बहुभुज र क्राफ्टवे बाहेक, sFlow (कम्तीमा Zelax, Natex, Eltex, QTech, Rusteleteh) को लागि समर्थनको घोषणा गरे।

अर्को प्रश्न तपाईंले सामना गर्नुहुनेछ सुरक्षा उद्देश्यका लागि प्रवाह समर्थन कहाँ लागू गर्ने? वास्तवमा, प्रश्न पूर्ण रूपमा सही रूपमा प्रस्तुत गरिएको छैन। आधुनिक उपकरणहरूले प्राय: प्रवाह प्रोटोकलहरूलाई समर्थन गर्दछ। त्यसकारण, म प्रश्नलाई फरक तरिकाले सुधार गर्नेछु - सुरक्षा दृष्टिकोणबाट टेलिमेट्री सङ्कलन गर्न सबैभन्दा प्रभावकारी कहाँ छ? जवाफ एकदम स्पष्ट हुनेछ - पहुँच स्तरमा, जहाँ तपाइँ सबै ट्राफिकको 100% देख्नुहुनेछ, जहाँ तपाइँ होस्टहरू (MAC, VLAN, इन्टरफेस आईडी) मा विस्तृत जानकारी पाउनुहुनेछ, जहाँ तपाइँ होस्टहरू बीच P2P ट्राफिक पनि निगरानी गर्न सक्नुहुन्छ, जुन। स्क्यानिङ पत्ता लगाउन र मालिसियस कोडको वितरणको लागि महत्वपूर्ण छ। कोर स्तरमा, तपाईले केहि ट्राफिक मात्र देख्न सक्नुहुन्न, तर परिधि स्तरमा तपाईले आफ्नो कुल नेटवर्क ट्राफिकको एक चौथाई देख्नुहुनेछ। तर यदि कुनै कारणको लागि तपाइँसँग तपाइँको नेटवर्कमा विदेशी उपकरणहरू छन् जसले आक्रमणकारीहरूलाई परिधिमा नजाइकन "प्रविष्ट र बाहिर निस्कन" अनुमति दिन्छ, त्यसपछि यसबाट टेलिमेट्रीको विश्लेषणले तपाइँलाई केहि दिने छैन। त्यसैले, अधिकतम कभरेजको लागि, पहुँच स्तरमा टेलिमेट्री सङ्कलन सक्षम गर्न सिफारिस गरिन्छ। एकै समयमा, यो ध्यान दिन लायक छ कि यदि हामी भर्चुअलाइजेसन वा कन्टेनरहरूको बारेमा कुरा गर्दैछौं, प्रवाह समर्थन पनि प्रायः आधुनिक भर्चुअल स्विचहरूमा पाइन्छ, जसले तपाईंलाई त्यहाँ ट्राफिक नियन्त्रण गर्न अनुमति दिन्छ।

तर मैले विषय उठाएपछि, मैले प्रश्नको जवाफ दिन आवश्यक छ: यदि उपकरण, भौतिक वा भर्चुअल, प्रवाह प्रोटोकल समर्थन गर्दैन भने के हुन्छ? वा यसको समावेश निषेधित छ (उदाहरणका लागि, औद्योगिक क्षेत्रहरूमा विश्वसनीयता सुनिश्चित गर्न)? वा यसलाई सक्रिय गर्दा उच्च CPU लोड हुन्छ (यो पुरानो हार्डवेयरमा हुन्छ)? यस समस्याको समाधान गर्न, त्यहाँ विशेष भर्चुअल सेन्सरहरू (फ्लो सेन्सरहरू) छन्, जुन अनिवार्य रूपमा सामान्य स्प्लिटरहरू हुन् जसले ट्राफिकलाई आफैंबाट पार गर्दछ र यसलाई सङ्कलन मोड्युलमा प्रवाहको रूपमा प्रसारण गर्दछ। साँचो, यस अवस्थामा हामीले प्याकेट क्याप्चर उपकरणहरूको सम्बन्धमा माथिको बारेमा कुरा गरेका सबै समस्याहरू पाउँछौं। त्यो हो, तपाईंले प्रवाह विश्लेषण प्रविधिको फाइदाहरू मात्र होइन, यसको सीमितताहरू पनि बुझ्न आवश्यक छ।

प्रवाह विश्लेषण उपकरणहरूको बारेमा कुरा गर्दा याद गर्न महत्त्वपूर्ण अर्को बिन्दु। यदि सुरक्षा घटनाहरू उत्पन्न गर्ने परम्परागत माध्यमहरूको सम्बन्धमा हामीले EPS मेट्रिक (घटना प्रति सेकेन्ड) प्रयोग गर्छौं, तब यो सूचक टेलिमेट्री विश्लेषणमा लागू हुँदैन; यसलाई FPS (प्रवाह प्रति सेकेन्ड) द्वारा प्रतिस्थापित गरिएको छ। EPS को मामलामा जस्तै, यो अग्रिम गणना गर्न सकिँदैन, तर तपाइँ थ्रेडहरूको अनुमानित संख्या अनुमान गर्न सक्नुहुन्छ जुन एक विशेष उपकरणले यसको कार्यमा निर्भर गर्दछ। तपाईले इन्टरनेटमा विभिन्न प्रकारका इन्टरप्राइज उपकरणहरू र सर्तहरूका लागि अनुमानित मानहरूका साथ तालिकाहरू फेला पार्न सक्नुहुन्छ, जसले तपाईंलाई विश्लेषण उपकरणहरूको लागि कुन इजाजतपत्रहरू चाहिन्छ र तिनीहरूको वास्तुकला कस्तो हुनेछ भनेर अनुमान गर्न अनुमति दिनेछ? तथ्य यो हो कि IDS सेन्सर एक निश्चित ब्यान्डविथमा सीमित छ कि यसले "तान" सक्छ, र प्रवाह कलेक्टरको आफ्नै सीमाहरू छन् जुन बुझ्नुपर्छ। त्यसकारण, ठूला, भौगोलिक रूपमा वितरित नेटवर्कहरूमा प्राय: धेरै सङ्कलकहरू हुन्छन्। जब मैले वर्णन गरें कसरी Cisco भित्र नेटवर्क निगरानी गरिन्छ, मैले पहिले नै हाम्रा कलेक्टरहरूको संख्या दिएको छु - त्यहाँ 21 छन् र यो पाँच महाद्वीपहरूमा फैलिएको नेटवर्कको लागि हो र लगभग आधा मिलियन सक्रिय उपकरणहरू छन्)।

हामी नेटफ्लो निगरानी प्रणालीको रूपमा हाम्रो आफ्नै समाधान प्रयोग गर्दछौं सिस्को स्टेल्थवाच, जुन विशेष गरी सुरक्षा समस्याहरू समाधान गर्न केन्द्रित छ। योसँग असामान्य, संदिग्ध र स्पष्ट रूपमा मालिसियस गतिविधि पत्ता लगाउनका लागि धेरै निर्मित इन्जिनहरू छन्, जसले तपाईंलाई विभिन्न खतराहरूको विस्तृत दायरा पत्ता लगाउन अनुमति दिन्छ - क्रिप्टोमाइनिङदेखि जानकारी चुहावटसम्म, मालिसियस कोडको फैलावटदेखि धोखाधडीसम्म। धेरै प्रवाह विश्लेषकहरू जस्तै, Stealthwatch तीन-स्तर योजना (जेनेरेटर - कलेक्टर - विश्लेषक) अनुसार बनाइएको छ, तर यो विचाराधीन सामग्रीको सन्दर्भमा महत्त्वपूर्ण रहेका रोचक सुविधाहरूको एक संख्याको साथ पूरक छ। पहिले, यो प्याकेट क्याप्चर समाधानहरू (जस्तै सिस्को सुरक्षा प्याकेट विश्लेषक) सँग एकीकृत हुन्छ, जसले तपाईंलाई पछि गहिरो अनुसन्धान र विश्लेषणको लागि चयन गरिएका नेटवर्क सत्रहरू रेकर्ड गर्न अनुमति दिन्छ। दोस्रो, विशेष गरी सुरक्षा कार्यहरू विस्तार गर्न, हामीले एक विशेष nvzFlow प्रोटोकल विकास गरेका छौं, जसले तपाईंलाई अन्त नोडहरू (सर्भरहरू, कार्यस्थानहरू, आदि) मा अनुप्रयोगहरूको गतिविधिलाई टेलिमेट्रीमा "प्रसारण" गर्न र थप विश्लेषणको लागि कलेक्टरमा पठाउन अनुमति दिन्छ। यदि यसको मूल संस्करणमा Stealthwatch ले नेटवर्क स्तरमा कुनै पनि प्रवाह प्रोटोकल (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) सँग काम गर्दछ, तब nvzFlow समर्थनले नोड स्तरमा पनि डाटा सहसंबंधलाई अनुमति दिन्छ। सम्पूर्ण प्रणालीको दक्षता बढाउँदै र परम्परागत नेटवर्क प्रवाह विश्लेषकहरू भन्दा बढी आक्रमणहरू हेर्दै।

यो स्पष्ट छ कि सुरक्षा दृष्टिकोणबाट नेटफ्लो विश्लेषण प्रणालीहरूको बारेमा कुरा गर्दा, बजार सिस्कोको एकल समाधानमा सीमित छैन। तपाइँ दुबै व्यावसायिक र नि: शुल्क वा शेयरवेयर समाधानहरू प्रयोग गर्न सक्नुहुन्छ। यो एकदम अनौठो छ यदि मैले सिस्को ब्लगमा प्रतियोगीहरूको समाधानहरू उदाहरणको रूपमा उद्धृत गर्दछु, त्यसैले म कसरी नेटवर्क टेलिमेट्री दुई लोकप्रिय, नाममा समान, तर अझै पनि फरक उपकरणहरू - SiLK र ELK प्रयोग गरेर विश्लेषण गर्न सकिन्छ भन्ने बारे केही शब्दहरू भन्नेछु।

SiLK अमेरिकी CERT/CC द्वारा विकसित ट्राफिक विश्लेषणका लागि उपकरण (इन्टरनेट-स्तर ज्ञानको लागि प्रणाली) को एक सेट हो र जसले समर्थन गर्दछ, आजको लेखको सन्दर्भमा, नेटफ्लो (5 औं र 9 औं, सबैभन्दा लोकप्रिय संस्करण), IPFIX। र sFlow र विभिन्न उपयोगिताहरू (rwfilter, rwcount, rwflowpack, आदि) को प्रयोग गरी नेटवर्क टेलिमेट्रीमा विभिन्न कार्यहरू गर्नको लागि यसमा अनाधिकृत कार्यहरूको संकेतहरू पत्ता लगाउन। तर ध्यान दिनुपर्ने केही महत्त्वपूर्ण बुँदाहरू छन्। SiLK कमाण्ड लाइन उपकरण हो जसले यस प्रकारका आदेशहरू प्रविष्ट गरेर अन-लाइन विश्लेषण गर्दछ (200 बाइट्स भन्दा ठूला ICMP प्याकेटहरू पत्ता लगाउने):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

धेरै सहज छैन। तपाइँ iSiLK GUI प्रयोग गर्न सक्नुहुन्छ, तर यसले तपाइँको जीवनलाई धेरै सजिलो बनाउँदैन, केवल भिजुअलाइजेशन प्रकार्य समाधान गर्दै र विश्लेषकलाई प्रतिस्थापन गर्दैन। र यो दोस्रो बिन्दु हो। व्यावसायिक समाधानहरूको विपरीत, जसमा पहिले नै ठोस विश्लेषणात्मक आधार, विसंगति पत्ता लगाउने एल्गोरिदमहरू, सम्बन्धित कार्यप्रवाह, इत्यादि छन्, SiLK को मामलामा तपाईंले यो सबै आफैं गर्नुपर्दछ, जसको लागि पहिले नै तयार प्रयोग गर्नु भन्दा अलि फरक दक्षताहरू आवश्यक पर्दछ। उपकरणहरू प्रयोग गर्न। यो न त राम्रो हो न नराम्रो - यो लगभग कुनै पनि नि: शुल्क उपकरणको एक विशेषता हो जसले तपाईंलाई के गर्ने थाहा छ भनेर मान्दछ, र यसले तपाईंलाई यसका लागि मात्र मद्दत गर्दछ (व्यावसायिक उपकरणहरू यसको प्रयोगकर्ताहरूको दक्षतामा कम निर्भर छन्, यद्यपि तिनीहरूले पनि मान्छन्। कि विश्लेषकहरूले कम्तिमा सञ्जाल अनुसन्धान र निगरानीको आधारभूत कुराहरू बुझ्छन्)। तर सिल्कमा फर्कौं। यससँग विश्लेषकको कार्य चक्र यस्तो देखिन्छ:

• परिकल्पना तयार गर्दै। हामीले नेटवर्क टेलीमेट्री भित्र के खोज्दैछौं भनेर हामीले बुझ्नुपर्छ, विशिष्ट विशेषताहरू जान्नुहोस् जसद्वारा हामीले निश्चित विसंगतिहरू वा खतराहरू पहिचान गर्नेछौं।
• मोडल निर्माण गर्दै। परिकल्पना तयार गरिसकेपछि, हामी यसलाई उही पाइथन, शेल वा SiLK मा समावेश नभएका अन्य उपकरणहरू प्रयोग गरेर प्रोग्राम गर्छौं।
• परीक्षण। अब हाम्रो परिकल्पनाको शुद्धता जाँच गर्ने पालो आउँछ, जुन 'rw', 'set', 'bag' बाट सुरु हुने SiLK उपयोगिताहरू प्रयोग गरेर पुष्टि वा खण्डन गरिएको छ।
• वास्तविक डाटा विश्लेषण। औद्योगिक सञ्चालनमा, SiLK ले हामीलाई केहि चिन्न मद्दत गर्दछ र विश्लेषकले प्रश्नहरूको जवाफ दिनुपर्छ "के हामीले अपेक्षा गरेका थियौं?", "के यो हाम्रो परिकल्पनासँग मेल खान्छ?", "झूटा सकारात्मकहरूको संख्या कसरी घटाउने?", "कसरी पहिचानको स्तर सुधार गर्न? र यस्तै।
• सुधार। अन्तिम चरणमा, हामी पहिले गरिएको कुरा सुधार गर्छौं - हामी टेम्प्लेटहरू सिर्जना गर्छौं, कोडलाई सुधार र अप्टिमाइज गर्छौं, परिकल्पनालाई सुधार र स्पष्ट पार्छौं, आदि।

यो चक्र Cisco Stealthwatch मा पनि लागू हुनेछ, केवल अन्तिम एकले यी पाँच चरणहरूलाई अधिकतममा स्वचालित बनाउँछ, विश्लेषक त्रुटिहरूको संख्या घटाउँछ र घटना पत्ता लगाउने क्षमता बढाउँछ। उदाहरणका लागि, SiLK मा तपाईले हस्तलिखित स्क्रिप्टहरू प्रयोग गरेर मालिसियस IP मा बाह्य डेटाको साथ नेटवर्क तथ्याङ्कहरू समृद्ध गर्न सक्नुहुन्छ, र Cisco Stealthwatch मा यो एक निर्मित प्रकार्य हो जसले तुरुन्तै अलार्म प्रदर्शन गर्दछ यदि नेटवर्क ट्राफिकले कालोसूचीबाट IP ठेगानाहरूसँग अन्तर्क्रिया समावेश गर्दछ।

यदि तपाइँ प्रवाह विश्लेषण सफ्टवेयरको लागि "भुक्तानी" पिरामिड माथि जानुहुन्छ भने, त्यसपछि पूर्ण रूपमा नि: शुल्क SiLK पछि त्यहाँ एक सेयरवेयर ELK हुनेछ, जसमा तीन मुख्य घटकहरू समावेश छन् - Elasticsearch (अनुक्रमणिका, खोज र डेटा विश्लेषण), Logstash (डेटा इनपुट/आउटपुट)। ) र किबाना (भिजुअलाइजेशन)। SiLK को विपरीत, जहाँ तपाईंले आफैंले सबै कुरा लेख्नुपर्छ, ELK सँग पहिले नै धेरै तयार पुस्तकालयहरू/मोड्युलहरू छन् (केही भुक्तान गरिएको, केही होइन) जसले नेटवर्क टेलिमेट्रीको विश्लेषण स्वचालित गर्दछ। उदाहरणका लागि, Logstash मा GeoIP फिल्टरले तपाईंलाई अनुगमन गरिएका IP ठेगानाहरूलाई तिनीहरूको भौगोलिक स्थानसँग सम्बद्ध गर्न अनुमति दिन्छ (Stealthwatch मा यो बिल्ट-इन सुविधा छ)।

ELK सँग पनि एकदम ठूलो समुदाय छ जसले यो निगरानी समाधानको लागि छुटेका घटकहरू पूरा गर्दैछ। उदाहरणका लागि, Netflow, IPFIX र sFlow सँग काम गर्न तपाईंले मोड्युल प्रयोग गर्न सक्नुहुन्छ elastiflow, यदि तपाईं Logstash Netflow मोड्युलसँग सन्तुष्ट हुनुहुन्न भने, जसले Netflow लाई मात्र समर्थन गर्छ।

प्रवाह सङ्कलन र यसमा खोजीमा थप दक्षता दिँदा, ELK हाल नेटवर्क टेलिमेट्रीमा विसंगतिहरू र खतराहरू पत्ता लगाउनको लागि रिच बिल्ट-इन एनालिटिक्सको अभाव छ। त्यो हो, माथि वर्णन गरिएको जीवन चक्र पछ्याउँदै, तपाईंले स्वतन्त्र रूपमा उल्लङ्घन मोडेलहरू वर्णन गर्नुपर्नेछ र त्यसपछि यसलाई लडाई प्रणालीमा प्रयोग गर्नुपर्नेछ (त्यहाँ कुनै निर्मित मोडेलहरू छैनन्)।

त्यहाँ, निस्सन्देह, ELK का लागि थप परिष्कृत विस्तारहरू छन्, जसमा नेटवर्क टेलिमेट्रीमा विसंगतिहरू पत्ता लगाउनका लागि पहिले नै केही मोडेलहरू छन्, तर त्यस्ता विस्तारहरूले पैसा खर्च गर्छन् र यहाँ प्रश्न यो हो कि खेल मैनबत्तीको लायक छ कि छैन - एक समान मोडेल आफैं लेख्नुहोस्, यसको खरीद गर्नुहोस्। तपाइँको निगरानी उपकरण को लागी कार्यान्वयन, वा नेटवर्क ट्राफिक विश्लेषण वर्ग को तैयार समाधान किन्न।

सामान्यतया, म यो बहसमा पर्न चाहन्न कि यो पैसा खर्च गर्न र नेटवर्क टेलिमेट्री (उदाहरणका लागि, सिस्को स्टेल्थवाच) मा विसंगतिहरू र खतराहरूको निगरानीको लागि तयार समाधान किन्न वा यसलाई आफैं पत्ता लगाउन र त्यसैलाई अनुकूलित गर्न राम्रो छ। प्रत्येक नयाँ खतराको लागि SiLK, ELK वा nfdump वा OSU फ्लो उपकरणहरू (म ती मध्ये अन्तिम दुईको बारेमा कुरा गर्दैछु। बताए अन्तिम पटक)? सबैजना आफैंको लागि छनौट गर्छन् र सबैजना दुई विकल्पहरू मध्ये कुनै पनि छनौट गर्नको लागि आफ्नै मनसाय छ। म भर्खरै देखाउन चाहन्छु कि नेटवर्क टेलिमेट्री तपाईको आन्तरिक पूर्वाधारको नेटवर्क सुरक्षा सुनिश्चित गर्नको लागि एक धेरै महत्त्वपूर्ण उपकरण हो र तपाईले यसलाई बेवास्ता गर्नु हुँदैन, ताकि मिडियामा नाम उल्लेख गरिएका कम्पनीहरूको सूचीमा सामेल हुन नपरोस्। ह्याक गरिएको", "सूचना सुरक्षा आवश्यकताहरूको पालना नगरेको" "," तिनीहरूको डेटा र ग्राहकको डेटाको सुरक्षाको बारेमा सोचेको छैन।"

संक्षेपमा, म तपाईंको आन्तरिक पूर्वाधारको सूचना सुरक्षा अनुगमन निर्माण गर्दा तपाईंले पालना गर्नुपर्ने मुख्य सुझावहरू सूचीबद्ध गर्न चाहन्छु:

1. आफूलाई परिधिमा मात्र सीमित नगर्नुहोस्! बिन्दु A बाट बिन्दु B मा ट्राफिक सार्न मात्र होइन, तर साइबर सुरक्षा मुद्दाहरूलाई सम्बोधन गर्न नेटवर्क पूर्वाधार प्रयोग गर्नुहोस् (र छनौट गर्नुहोस्)।
2. तपाईंको नेटवर्क उपकरणमा अवस्थित सूचना सुरक्षा निगरानी संयन्त्रहरू अध्ययन गर्नुहोस् र तिनीहरूलाई प्रयोग गर्नुहोस्।
3. आन्तरिक निगरानीको लागि, टेलिमेट्री विश्लेषणलाई प्राथमिकता दिनुहोस् - यसले तपाइँलाई नेटवर्क प्याकेटहरू क्याप्चर गर्दा र सबै सूचना सुरक्षा घटनाहरू भण्डारण गर्न ठाउँ बचत गर्दा असम्भव के गर्दै गर्दा सबै नेटवर्क जानकारी सुरक्षा घटनाहरूको 80-90% सम्म पत्ता लगाउन अनुमति दिन्छ।
4. प्रवाहहरू निगरानी गर्न, Netflow v9 वा IPFIX प्रयोग गर्नुहोस् - तिनीहरूले सुरक्षा सन्दर्भमा थप जानकारी प्रदान गर्छन् र तपाईंलाई IPv4 मात्र होइन, IPv6, MPLS, आदि पनि निगरानी गर्न अनुमति दिन्छ।
5. नमूनारहित प्रवाह प्रोटोकल प्रयोग गर्नुहोस् - यसले खतराहरू पत्ता लगाउन थप जानकारी प्रदान गर्दछ। उदाहरण को लागी, Netflow वा IPFIX।
6. तपाईको नेटवर्क उपकरणमा लोड जाँच गर्नुहोस् - यसले प्रवाह प्रोटोकललाई पनि ह्यान्डल गर्न सक्षम नहुन सक्छ। त्यसपछि भर्चुअल सेन्सर वा नेटफ्लो जेनेरेसन उपकरण प्रयोग गर्ने विचार गर्नुहोस्।
7. पहुँच स्तरमा सबै भन्दा पहिले नियन्त्रण लागू गर्नुहोस् - यसले तपाईंलाई सबै ट्राफिकको 100% हेर्ने अवसर दिनेछ।
8. यदि तपाइँसँग कुनै विकल्प छैन र तपाइँ रूसी नेटवर्क उपकरणहरू प्रयोग गर्दै हुनुहुन्छ भने, त्यसपछि फ्लो प्रोटोकल समर्थन गर्ने वा SPAN/RSPAN पोर्टहरू भएको एउटा छनौट गर्नुहोस्।
9. छेउमा घुसपैठ/आक्रमण पत्ता लगाउने/रोकथाम प्रणालीहरू संयोजन गर्नुहोस् र आन्तरिक नेटवर्कमा प्रवाह विश्लेषण प्रणालीहरू (क्लाउडमा समेत)।

अन्तिम टिपको सन्दर्भमा, म पहिले नै दिएको दृष्टान्त दिन चाहन्छु। तपाईंले देख्नुहुन्छ कि यदि पहिले सिस्को सूचना सुरक्षा सेवाले लगभग पूर्ण रूपमा आफ्नो सूचना सुरक्षा निगरानी प्रणाली घुसपैठ पत्ता लगाउने प्रणाली र हस्ताक्षर विधिहरूको आधारमा निर्माण गरेको थियो, अब तिनीहरू घटनाहरूको 20% मात्र हुन्। अर्को 20% प्रवाह विश्लेषण प्रणालीहरूमा पर्दछ, जसले सुझाव दिन्छ कि यी समाधानहरू एक सनक होइन, तर आधुनिक उद्यमको सूचना सुरक्षा सेवाहरूको गतिविधिहरूमा वास्तविक उपकरण हो। यसबाहेक, तपाईंसँग तिनीहरूको कार्यान्वयनको लागि सबैभन्दा महत्त्वपूर्ण कुरा छ - नेटवर्क पूर्वाधार, लगानीहरू जसमा नेटवर्कमा सूचना सुरक्षा निगरानी कार्यहरू असाइन गरेर थप सुरक्षित गर्न सकिन्छ।

मैले विशेष रूपमा नेटवर्क प्रवाहहरूमा पहिचान गरिएका विसंगतिहरू वा धम्कीहरूको जवाफ दिने विषयमा छुइनँ, तर मलाई लाग्छ कि यो पहिले नै स्पष्ट छ कि अनुगमन खतराको पहिचान गरेर मात्र समाप्त हुनु हुँदैन। यो प्रतिक्रिया द्वारा पछ्याइएको हुनुपर्छ र अधिमानतः स्वचालित वा स्वचालित मोडमा। तर यो छुट्टै लेखको लागि विषय हो।

थप जानकारी:

• सिस्को आईओएस नेटफ्लोको विवरण
• विभिन्न सिस्को समाधानहरूमा नेटफ्लो समर्थन म्याट्रिक्स
• विभिन्न सिस्को प्लेटफर्महरूमा नेटफ्लो कन्फिगर गर्न गाइड
• sFlow समुदाय
• सुरक्षा दृष्टिकोणबाट नेटफ्लोको विश्लेषण गर्न Stealtjwatch, SiLK र ELK प्रयोग गरेर प्रयोगशाला
• SiLK वेबसाइट
• टन उदाहरणहरूको साथ SiLK प्रयोग गर्न तीन-सय-पृष्ठ गाइड
• Logstash Netflow मोड्युल
• ELK मा नेटफ्लो विश्लेषणको लागि सिस्को चरण-दर-चरण गाइड
• Logstash (ELK) को प्रयोग गरेर NetFlow v.9 Cisco ASA को विश्लेषण
• सिस्को स्टेल्थवाच समाधान

PS यदि तपाईंलाई माथि लेखिएका सबै कुरा सुन्न सजिलो छ भने, तपाईंले यो नोटको आधार बन्ने घण्टा लामो प्रस्तुति हेर्न सक्नुहुन्छ।

स्रोत: www.habr.com