ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ ਸੁਰੱਖਿਆ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਇੱਕ ਸਾਧਨ ਵਜੋਂ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ

ਜਦੋਂ ਅੰਦਰੂਨੀ ਕਾਰਪੋਰੇਟ ਜਾਂ ਵਿਭਾਗੀ ਨੈਟਵਰਕ ਦੀ ਸੁਰੱਖਿਆ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦੀ ਗੱਲ ਆਉਂਦੀ ਹੈ, ਤਾਂ ਬਹੁਤ ਸਾਰੇ ਇਸ ਨੂੰ ਜਾਣਕਾਰੀ ਲੀਕ ਨੂੰ ਕੰਟਰੋਲ ਕਰਨ ਅਤੇ DLP ਹੱਲ ਲਾਗੂ ਕਰਨ ਨਾਲ ਜੋੜਦੇ ਹਨ। ਅਤੇ ਜੇਕਰ ਤੁਸੀਂ ਸਵਾਲ ਨੂੰ ਸਪੱਸ਼ਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹੋ ਅਤੇ ਪੁੱਛਦੇ ਹੋ ਕਿ ਤੁਸੀਂ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ 'ਤੇ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਕਿਵੇਂ ਲਗਾਉਂਦੇ ਹੋ, ਤਾਂ ਜਵਾਬ, ਇੱਕ ਨਿਯਮ ਦੇ ਤੌਰ 'ਤੇ, ਘੁਸਪੈਠ ਖੋਜ ਪ੍ਰਣਾਲੀਆਂ (IDS) ਦਾ ਜ਼ਿਕਰ ਹੋਵੇਗਾ। ਅਤੇ 10-20 ਸਾਲ ਪਹਿਲਾਂ ਜੋ ਇੱਕੋ-ਇੱਕ ਵਿਕਲਪ ਸੀ, ਅੱਜ ਉਹ ਅਰਾਜਕਤਾ ਬਣ ਰਿਹਾ ਹੈ। ਇੱਕ ਵਧੇਰੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਹੈ, ਅਤੇ ਕੁਝ ਸਥਾਨਾਂ ਵਿੱਚ, ਇੱਕ ਅੰਦਰੂਨੀ ਨੈਟਵਰਕ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਇੱਕੋ ਇੱਕ ਸੰਭਵ ਵਿਕਲਪ ਹੈ - ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਜੋ ਕਿ ਅਸਲ ਵਿੱਚ ਨੈਟਵਰਕ ਸਮੱਸਿਆਵਾਂ (ਸਮੱਸਿਆ ਨਿਪਟਾਰਾ) ਦੀ ਖੋਜ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤੇ ਗਏ ਸਨ, ਪਰ ਸਮੇਂ ਦੇ ਨਾਲ ਇੱਕ ਬਹੁਤ ਹੀ ਦਿਲਚਸਪ ਸੁਰੱਖਿਆ ਸਾਧਨ ਵਿੱਚ ਬਦਲ ਗਿਆ। ਅਸੀਂ ਇਸ ਬਾਰੇ ਗੱਲ ਕਰਾਂਗੇ ਕਿ ਇੱਥੇ ਕਿਹੜੇ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਹਨ ਅਤੇ ਕਿਹੜੇ ਨੈੱਟਵਰਕ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਵਿੱਚ ਬਿਹਤਰ ਹਨ, ਕਿੱਥੇ ਪ੍ਰਵਾਹ ਨਿਗਰਾਨੀ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਸਭ ਤੋਂ ਵਧੀਆ ਹੈ, ਅਜਿਹੀ ਯੋਜਨਾ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵੇਲੇ ਕੀ ਵੇਖਣਾ ਹੈ, ਅਤੇ ਇੱਥੋਂ ਤੱਕ ਕਿ ਘਰੇਲੂ ਉਪਕਰਣਾਂ 'ਤੇ ਇਹ ਸਭ "ਲਿਫਟ" ਕਿਵੇਂ ਕਰਨਾ ਹੈ। ਇਸ ਲੇਖ ਦੇ ਦਾਇਰੇ ਵਿੱਚ.

ਮੈਂ ਇਸ ਸਵਾਲ 'ਤੇ ਧਿਆਨ ਨਹੀਂ ਦੇਵਾਂਗਾ ਕਿ "ਅੰਦਰੂਨੀ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਸੁਰੱਖਿਆ ਨਿਗਰਾਨੀ ਦੀ ਲੋੜ ਕਿਉਂ ਹੈ?" ਜਵਾਬ ਸਪੱਸ਼ਟ ਜਾਪਦਾ ਹੈ. ਪਰ ਜੇ, ਫਿਰ ਵੀ, ਤੁਸੀਂ ਇੱਕ ਵਾਰ ਫਿਰ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣਾ ਚਾਹੋਗੇ ਕਿ ਅੱਜ ਤੁਸੀਂ ਇਸ ਤੋਂ ਬਿਨਾਂ ਨਹੀਂ ਰਹਿ ਸਕਦੇ, ਇੱਕ ਨਜ਼ਰ ਮਾਰੋ ਤੁਸੀਂ 17 ਤਰੀਕਿਆਂ ਨਾਲ ਫਾਇਰਵਾਲ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਇੱਕ ਕਾਰਪੋਰੇਟ ਨੈਟਵਰਕ ਵਿੱਚ ਕਿਵੇਂ ਪ੍ਰਵੇਸ਼ ਕਰ ਸਕਦੇ ਹੋ ਬਾਰੇ ਇੱਕ ਛੋਟਾ ਵੀਡੀਓ। ਇਸ ਲਈ, ਅਸੀਂ ਇਹ ਮੰਨ ਲਵਾਂਗੇ ਕਿ ਅਸੀਂ ਸਮਝਦੇ ਹਾਂ ਕਿ ਅੰਦਰੂਨੀ ਨਿਗਰਾਨੀ ਇੱਕ ਜ਼ਰੂਰੀ ਚੀਜ਼ ਹੈ ਅਤੇ ਇਹ ਸਭ ਕੁਝ ਇਹ ਸਮਝਣਾ ਹੈ ਕਿ ਇਸਨੂੰ ਕਿਵੇਂ ਸੰਗਠਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਮੈਂ ਨੈੱਟਵਰਕ ਪੱਧਰ 'ਤੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਨਿਗਰਾਨੀ ਲਈ ਤਿੰਨ ਮੁੱਖ ਡਾਟਾ ਸਰੋਤਾਂ ਨੂੰ ਉਜਾਗਰ ਕਰਾਂਗਾ:

• "ਕੱਚਾ" ਟ੍ਰੈਫਿਕ ਜੋ ਅਸੀਂ ਕੈਪਚਰ ਕਰਦੇ ਹਾਂ ਅਤੇ ਕੁਝ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਜਮ੍ਹਾਂ ਕਰਦੇ ਹਾਂ,
• ਨੈੱਟਵਰਕ ਡਿਵਾਈਸਾਂ ਤੋਂ ਇਵੈਂਟਸ ਜਿਨ੍ਹਾਂ ਰਾਹੀਂ ਟ੍ਰੈਫਿਕ ਲੰਘਦਾ ਹੈ,
• ਇੱਕ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਪ੍ਰਾਪਤ ਕੀਤੀ ਟ੍ਰੈਫਿਕ ਜਾਣਕਾਰੀ।

ਸੁਰੱਖਿਆ ਮਾਹਰਾਂ ਵਿੱਚ ਕੱਚੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਕੈਪਚਰ ਕਰਨਾ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਵਿਕਲਪ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਇਤਿਹਾਸਕ ਤੌਰ 'ਤੇ ਪ੍ਰਗਟ ਹੋਇਆ ਸੀ ਅਤੇ ਇਹ ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਸੀ। ਪਰੰਪਰਾਗਤ ਨੈੱਟਵਰਕ ਘੁਸਪੈਠ ਖੋਜ ਪ੍ਰਣਾਲੀ (ਪਹਿਲੀ ਵਪਾਰਕ ਘੁਸਪੈਠ ਖੋਜ ਪ੍ਰਣਾਲੀ ਵ੍ਹੀਲ ਗਰੁੱਪ ਤੋਂ ਨੈਟਰੇਂਜਰ ਸੀ, ਜੋ ਕਿ 1998 ਵਿੱਚ ਸਿਸਕੋ ਦੁਆਰਾ ਖਰੀਦੀ ਗਈ ਸੀ) ਪੈਕਟਾਂ (ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਸੈਸ਼ਨਾਂ) ਨੂੰ ਕੈਪਚਰ ਕਰਨ ਵਿੱਚ ਸਹੀ ਢੰਗ ਨਾਲ ਰੁੱਝੇ ਹੋਏ ਸਨ, ਜਿਸ ਵਿੱਚ ਕੁਝ ਦਸਤਖਤਾਂ ਦੀ ਖੋਜ ਕੀਤੀ ਗਈ ਸੀ ("ਨਿਰਣਾਇਕ ਨਿਯਮ") FSTEC ਪਰਿਭਾਸ਼ਾ), ਸੰਕੇਤਕ ਹਮਲੇ। ਬੇਸ਼ੱਕ, ਤੁਸੀਂ ਨਾ ਸਿਰਫ਼ IDS ਦੀ ਵਰਤੋਂ ਕਰਕੇ, ਸਗੋਂ ਹੋਰ ਸਾਧਨਾਂ (ਉਦਾਹਰਨ ਲਈ, Wireshark, tcpdum ਜਾਂ Cisco IOS ਵਿੱਚ NBAR2 ਕਾਰਜਸ਼ੀਲਤਾ) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੱਚੇ ਟ੍ਰੈਫਿਕ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਉਹਨਾਂ ਕੋਲ ਆਮ ਤੌਰ 'ਤੇ ਗਿਆਨ ਅਧਾਰ ਦੀ ਘਾਟ ਹੁੰਦੀ ਹੈ ਜੋ ਇੱਕ ਨਿਯਮਤ ਤੋਂ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਟੂਲ ਨੂੰ ਵੱਖਰਾ ਕਰਦਾ ਹੈ। ਆਈਟੀ ਟੂਲ।

ਇਸ ਲਈ, ਹਮਲਾ ਖੋਜ ਸਿਸਟਮ. ਨੈੱਟਵਰਕ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦਾ ਸਭ ਤੋਂ ਪੁਰਾਣਾ ਅਤੇ ਸਭ ਤੋਂ ਮਸ਼ਹੂਰ ਤਰੀਕਾ, ਜੋ ਕਿ ਘੇਰੇ 'ਤੇ ਵਧੀਆ ਕੰਮ ਕਰਦਾ ਹੈ (ਕੋਈ ਗੱਲ ਨਹੀਂ - ਕਾਰਪੋਰੇਟ, ਡੇਟਾ ਸੈਂਟਰ, ਖੰਡ, ਆਦਿ), ਪਰ ਆਧੁਨਿਕ ਸਵਿਚ ਕੀਤੇ ਅਤੇ ਸਾਫਟਵੇਅਰ-ਪ੍ਰਭਾਸ਼ਿਤ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਅਸਫਲ ਹੋ ਜਾਂਦੀ ਹੈ। ਪਰੰਪਰਾਗਤ ਸਵਿੱਚਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਬਣੇ ਨੈੱਟਵਰਕ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਣ ਵਾਲੇ ਸੈਂਸਰਾਂ ਦਾ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਬਹੁਤ ਵੱਡਾ ਹੋ ਜਾਂਦਾ ਹੈ - ਤੁਹਾਨੂੰ ਉਸ ਨੋਡ ਦੇ ਹਰੇਕ ਕਨੈਕਸ਼ਨ 'ਤੇ ਇੱਕ ਸੈਂਸਰ ਸਥਾਪਤ ਕਰਨਾ ਹੋਵੇਗਾ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਹਮਲਿਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ। ਕੋਈ ਵੀ ਨਿਰਮਾਤਾ, ਬੇਸ਼ਕ, ਤੁਹਾਨੂੰ ਸੈਂਕੜੇ ਅਤੇ ਹਜ਼ਾਰਾਂ ਸੈਂਸਰ ਵੇਚਣ ਵਿੱਚ ਖੁਸ਼ੀ ਮਹਿਸੂਸ ਕਰੇਗਾ, ਪਰ ਮੈਨੂੰ ਲਗਦਾ ਹੈ ਕਿ ਤੁਹਾਡਾ ਬਜਟ ਅਜਿਹੇ ਖਰਚਿਆਂ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਮੈਂ ਕਹਿ ਸਕਦਾ ਹਾਂ ਕਿ ਸਿਸਕੋ ਵਿਖੇ ਵੀ (ਅਤੇ ਅਸੀਂ ਐਨਜੀਆਈਪੀਐਸ ਦੇ ਡਿਵੈਲਪਰ ਹਾਂ) ਅਸੀਂ ਅਜਿਹਾ ਨਹੀਂ ਕਰ ਸਕੇ, ਹਾਲਾਂਕਿ ਇਹ ਲਗਦਾ ਹੈ ਕਿ ਕੀਮਤ ਦਾ ਮੁੱਦਾ ਸਾਡੇ ਸਾਹਮਣੇ ਹੈ. ਮੈਨੂੰ ਖੜ੍ਹਾ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ - ਇਹ ਸਾਡਾ ਆਪਣਾ ਫੈਸਲਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸਵਾਲ ਉੱਠਦਾ ਹੈ, ਇਸ ਸੰਸਕਰਣ ਵਿੱਚ ਸੈਂਸਰ ਨੂੰ ਕਿਵੇਂ ਜੋੜਨਾ ਹੈ? ਪਾੜੇ ਵਿੱਚ? ਜੇ ਸੈਂਸਰ ਖੁਦ ਫੇਲ ਹੋ ਜਾਵੇ ਤਾਂ ਕੀ ਹੋਵੇਗਾ? ਸੈਂਸਰ ਵਿੱਚ ਬਾਈਪਾਸ ਮੋਡੀਊਲ ਦੀ ਲੋੜ ਹੈ? ਸਪਲਿਟਰ (ਟੈਪ) ਦੀ ਵਰਤੋਂ ਕਰੋ? ਇਹ ਸਭ ਹੱਲ ਨੂੰ ਹੋਰ ਮਹਿੰਗਾ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਵੀ ਆਕਾਰ ਦੀ ਕੰਪਨੀ ਲਈ ਇਸ ਨੂੰ ਅਯੋਗ ਬਣਾਉਂਦਾ ਹੈ.

ਤੁਸੀਂ ਇੱਕ SPAN/RSPAN/ERSPAN ਪੋਰਟ 'ਤੇ ਸੈਂਸਰ ਨੂੰ "ਹੈਂਗ" ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਲੋੜੀਂਦੇ ਸਵਿੱਚ ਪੋਰਟਾਂ ਤੋਂ ਸਿੱਧੇ ਟਰੈਫਿਕ ਨੂੰ ਇਸ 'ਤੇ ਲੈ ਜਾ ਸਕਦੇ ਹੋ। ਇਹ ਵਿਕਲਪ ਪਿਛਲੇ ਪੈਰੇ ਵਿੱਚ ਦੱਸੀ ਗਈ ਸਮੱਸਿਆ ਨੂੰ ਅੰਸ਼ਕ ਤੌਰ 'ਤੇ ਹਟਾਉਂਦਾ ਹੈ, ਪਰ ਇੱਕ ਹੋਰ ਪੇਸ਼ ਕਰਦਾ ਹੈ - SPAN ਪੋਰਟ ਬਿਲਕੁਲ ਉਸ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਸਵੀਕਾਰ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ ਜੋ ਇਸਨੂੰ ਭੇਜਿਆ ਜਾਵੇਗਾ - ਇਸ ਵਿੱਚ ਲੋੜੀਂਦੀ ਬੈਂਡਵਿਡਥ ਨਹੀਂ ਹੋਵੇਗੀ। ਤੁਹਾਨੂੰ ਕੁਝ ਕੁਰਬਾਨ ਕਰਨਾ ਪਏਗਾ. ਜਾਂ ਤਾਂ ਕੁਝ ਨੋਡਾਂ ਨੂੰ ਬਿਨਾਂ ਨਿਗਰਾਨੀ ਦੇ ਛੱਡੋ (ਫਿਰ ਤੁਹਾਨੂੰ ਪਹਿਲਾਂ ਉਹਨਾਂ ਨੂੰ ਤਰਜੀਹ ਦੇਣ ਦੀ ਲੋੜ ਹੈ), ਜਾਂ ਨੋਡ ਤੋਂ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਭੇਜੋ, ਪਰ ਸਿਰਫ ਇੱਕ ਖਾਸ ਕਿਸਮ. ਕਿਸੇ ਵੀ ਹਾਲਤ ਵਿੱਚ, ਅਸੀਂ ਕੁਝ ਹਮਲੇ ਗੁਆ ਸਕਦੇ ਹਾਂ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸਪੈਨ ਪੋਰਟ ਨੂੰ ਹੋਰ ਲੋੜਾਂ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, ਸਾਨੂੰ ਮੌਜੂਦਾ ਨੈੱਟਵਰਕ ਟੌਪੋਲੋਜੀ ਦੀ ਸਮੀਖਿਆ ਕਰਨੀ ਪਵੇਗੀ ਅਤੇ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਤੁਹਾਡੇ ਨੈੱਟਵਰਕ ਨੂੰ ਤੁਹਾਡੇ ਕੋਲ ਮੌਜੂਦ ਸੈਂਸਰਾਂ ਦੀ ਸੰਖਿਆ ਦੇ ਨਾਲ ਵੱਧ ਤੋਂ ਵੱਧ ਕਵਰ ਕਰਨ ਲਈ ਇਸ ਵਿੱਚ ਐਡਜਸਟਮੈਂਟ ਕਰਨੀ ਪਵੇਗੀ (ਅਤੇ ਇਸਨੂੰ IT ਨਾਲ ਤਾਲਮੇਲ ਕਰੋ)।

ਜੇਕਰ ਤੁਹਾਡਾ ਨੈੱਟਵਰਕ ਅਸਮਿਤ ਰੂਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਤਾਂ ਕੀ ਹੋਵੇਗਾ? ਜੇ ਤੁਸੀਂ SDN ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਹੈ ਜਾਂ ਲਾਗੂ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾ ਰਹੇ ਹੋ ਤਾਂ ਕੀ ਹੋਵੇਗਾ? ਉਦੋਂ ਕੀ ਜੇ ਤੁਹਾਨੂੰ ਵਰਚੁਅਲਾਈਜ਼ਡ ਮਸ਼ੀਨਾਂ ਜਾਂ ਕੰਟੇਨਰਾਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਜਿਨ੍ਹਾਂ ਦਾ ਟ੍ਰੈਫਿਕ ਭੌਤਿਕ ਸਵਿੱਚ ਤੱਕ ਬਿਲਕੁਲ ਨਹੀਂ ਪਹੁੰਚਦਾ? ਇਹ ਉਹ ਸਵਾਲ ਹਨ ਜੋ ਰਵਾਇਤੀ IDS ਵਿਕਰੇਤਾ ਪਸੰਦ ਨਹੀਂ ਕਰਦੇ ਕਿਉਂਕਿ ਉਹ ਨਹੀਂ ਜਾਣਦੇ ਕਿ ਉਹਨਾਂ ਦਾ ਜਵਾਬ ਕਿਵੇਂ ਦੇਣਾ ਹੈ। ਸ਼ਾਇਦ ਉਹ ਤੁਹਾਨੂੰ ਮਨਾਉਣਗੇ ਕਿ ਇਹ ਸਾਰੀਆਂ ਫੈਸ਼ਨੇਬਲ ਤਕਨੀਕਾਂ ਹਾਈਪ ਹਨ ਅਤੇ ਤੁਹਾਨੂੰ ਇਸਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਸ਼ਾਇਦ ਉਹ ਛੋਟੀ ਸ਼ੁਰੂਆਤ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਬਾਰੇ ਗੱਲ ਕਰਨਗੇ. ਜਾਂ ਹੋ ਸਕਦਾ ਹੈ ਕਿ ਉਹ ਕਹਿਣਗੇ ਕਿ ਤੁਹਾਨੂੰ ਨੈਟਵਰਕ ਦੇ ਕੇਂਦਰ ਵਿੱਚ ਇੱਕ ਸ਼ਕਤੀਸ਼ਾਲੀ ਥਰੈਸ਼ਰ ਲਗਾਉਣ ਦੀ ਲੋੜ ਹੈ ਅਤੇ ਬੈਲੇਂਸਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਇਸ ਵੱਲ ਨਿਰਦੇਸ਼ਿਤ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ. ਤੁਹਾਨੂੰ ਜੋ ਵੀ ਵਿਕਲਪ ਪੇਸ਼ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤੁਹਾਨੂੰ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਇਹ ਸਮਝਣ ਦੀ ਜ਼ਰੂਰਤ ਹੁੰਦੀ ਹੈ ਕਿ ਇਹ ਤੁਹਾਡੇ ਲਈ ਕਿਵੇਂ ਅਨੁਕੂਲ ਹੈ। ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਹੀ ਨੈੱਟਵਰਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਇੱਕ ਪਹੁੰਚ ਚੁਣਨ ਦਾ ਫੈਸਲਾ ਕਰੋ। ਪੈਕੇਟ ਕੈਪਚਰ 'ਤੇ ਵਾਪਸ ਆਉਣਾ, ਮੈਂ ਇਹ ਕਹਿਣਾ ਚਾਹੁੰਦਾ ਹਾਂ ਕਿ ਇਹ ਤਰੀਕਾ ਬਹੁਤ ਮਸ਼ਹੂਰ ਅਤੇ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਪਰ ਇਸਦਾ ਮੁੱਖ ਉਦੇਸ਼ ਬਾਰਡਰ ਕੰਟਰੋਲ ਹੈ; ਤੁਹਾਡੀ ਸੰਸਥਾ ਅਤੇ ਇੰਟਰਨੈਟ ਵਿਚਕਾਰ ਸੀਮਾਵਾਂ, ਡਾਟਾ ਸੈਂਟਰ ਅਤੇ ਬਾਕੀ ਨੈੱਟਵਰਕ ਵਿਚਕਾਰ ਸੀਮਾਵਾਂ, ਪ੍ਰਕਿਰਿਆ ਨਿਯੰਤਰਣ ਪ੍ਰਣਾਲੀ ਅਤੇ ਕਾਰਪੋਰੇਟ ਹਿੱਸੇ ਵਿਚਕਾਰ ਸੀਮਾਵਾਂ। ਇਹਨਾਂ ਸਥਾਨਾਂ ਵਿੱਚ, ਕਲਾਸਿਕ IDS/IPS ਕੋਲ ਅਜੇ ਵੀ ਮੌਜੂਦ ਹੋਣ ਅਤੇ ਉਹਨਾਂ ਦੇ ਕੰਮਾਂ ਨਾਲ ਚੰਗੀ ਤਰ੍ਹਾਂ ਸਿੱਝਣ ਦਾ ਅਧਿਕਾਰ ਹੈ।

ਚਲੋ ਦੂਜੇ ਵਿਕਲਪ ਵੱਲ ਵਧਦੇ ਹਾਂ। ਨੈਟਵਰਕ ਡਿਵਾਈਸਾਂ ਤੋਂ ਆਉਣ ਵਾਲੀਆਂ ਘਟਨਾਵਾਂ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੇ ਉਦੇਸ਼ਾਂ ਲਈ ਵੀ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਪਰ ਮੁੱਖ ਵਿਧੀ ਵਜੋਂ ਨਹੀਂ, ਕਿਉਂਕਿ ਇਹ ਘੁਸਪੈਠ ਦੀ ਸਿਰਫ ਇੱਕ ਛੋਟੀ ਸ਼੍ਰੇਣੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਕੁਝ ਪ੍ਰਤੀਕਿਰਿਆਸ਼ੀਲਤਾ ਵਿੱਚ ਨਿਹਿਤ ਹੈ - ਪਹਿਲਾਂ ਹਮਲਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਫਿਰ ਇਸਨੂੰ ਇੱਕ ਨੈਟਵਰਕ ਡਿਵਾਈਸ ਦੁਆਰਾ ਰਿਕਾਰਡ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਜੋ ਇੱਕ ਜਾਂ ਕਿਸੇ ਹੋਰ ਤਰੀਕੇ ਨਾਲ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਨਾਲ ਇੱਕ ਸਮੱਸਿਆ ਦਾ ਸੰਕੇਤ ਦੇਵੇਗਾ. ਅਜਿਹੇ ਕਈ ਤਰੀਕੇ ਹਨ। ਇਹ syslog, RMON ਜਾਂ SNMP ਹੋ ਸਕਦਾ ਹੈ। ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਨੈਟਵਰਕ ਨਿਗਰਾਨੀ ਲਈ ਆਖਰੀ ਦੋ ਪ੍ਰੋਟੋਕੋਲ ਕੇਵਲ ਤਾਂ ਹੀ ਵਰਤੇ ਜਾਂਦੇ ਹਨ ਜੇਕਰ ਸਾਨੂੰ ਨੈਟਵਰਕ ਉਪਕਰਣਾਂ 'ਤੇ ਇੱਕ DoS ਹਮਲੇ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਜ਼ਰੂਰਤ ਹੁੰਦੀ ਹੈ, ਕਿਉਂਕਿ RMON ਅਤੇ SNMP ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇਹ ਸੰਭਵ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਡਿਵਾਈਸ ਦੇ ਕੇਂਦਰੀ 'ਤੇ ਲੋਡ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਪ੍ਰੋਸੈਸਰ ਜਾਂ ਇਸਦੇ ਇੰਟਰਫੇਸ। ਇਹ "ਸਭ ਤੋਂ ਸਸਤੇ" ਵਿੱਚੋਂ ਇੱਕ ਹੈ (ਹਰੇਕ ਕੋਲ syslog ਜਾਂ SNMP ਹੈ), ਪਰ ਅੰਦਰੂਨੀ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦੇ ਸਾਰੇ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਸਭ ਤੋਂ ਬੇਅਸਰ ਵੀ ਹੈ - ਬਹੁਤ ਸਾਰੇ ਹਮਲੇ ਇਸ ਤੋਂ ਲੁਕੇ ਹੋਏ ਹਨ। ਬੇਸ਼ੱਕ, ਉਹਨਾਂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਨਹੀਂ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਉਹੀ ਸਿਸਲੌਗ ਵਿਸ਼ਲੇਸ਼ਣ ਤੁਹਾਨੂੰ ਡਿਵਾਈਸ ਦੀ ਸੰਰਚਨਾ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ, ਇਸਦੇ ਸਮਝੌਤਾ, ਪਰ ਇਹ ਪੂਰੇ ਨੈਟਵਰਕ ਤੇ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਬਹੁਤ ਢੁਕਵਾਂ ਨਹੀਂ ਹੈ.

ਤੀਜਾ ਵਿਕਲਪ ਇੱਕ ਅਜਿਹੇ ਯੰਤਰ ਵਿੱਚੋਂ ਲੰਘਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਹੈ ਜੋ ਕਈ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ, ਥ੍ਰੈਡਿੰਗ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ ਤਿੰਨ ਭਾਗ ਹੁੰਦੇ ਹਨ:

• ਵਹਾਅ ਦੀ ਪੈਦਾਵਾਰ ਜਾਂ ਨਿਰਯਾਤ। ਇਹ ਭੂਮਿਕਾ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਰਾਊਟਰ, ਸਵਿੱਚ ਜਾਂ ਹੋਰ ਨੈਟਵਰਕ ਡਿਵਾਈਸ ਨੂੰ ਨਿਰਧਾਰਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ ਆਪਣੇ ਆਪ ਦੁਆਰਾ ਨੈਟਵਰਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪਾਸ ਕਰਕੇ, ਤੁਹਾਨੂੰ ਇਸ ਤੋਂ ਮੁੱਖ ਮਾਪਦੰਡਾਂ ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਜੋ ਕਿ ਫਿਰ ਕਲੈਕਸ਼ਨ ਮੋਡੀਊਲ ਵਿੱਚ ਪ੍ਰਸਾਰਿਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਸਿਸਕੋ ਨੈੱਟਫਲੋ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਨਾ ਸਿਰਫ਼ ਰਾਊਟਰਾਂ ਅਤੇ ਸਵਿੱਚਾਂ 'ਤੇ, ਜਿਸ ਵਿੱਚ ਵਰਚੁਅਲ ਅਤੇ ਉਦਯੋਗਿਕ ਵੀ ਸ਼ਾਮਲ ਹਨ, ਸਗੋਂ ਵਾਇਰਲੈੱਸ ਕੰਟਰੋਲਰਾਂ, ਫਾਇਰਵਾਲਾਂ ਅਤੇ ਸਰਵਰਾਂ 'ਤੇ ਵੀ।
• ਸੰਗ੍ਰਹਿ ਦਾ ਪ੍ਰਵਾਹ। ਇਹ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ ਕਿ ਇੱਕ ਆਧੁਨਿਕ ਨੈਟਵਰਕ ਵਿੱਚ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਤੋਂ ਵੱਧ ਨੈਟਵਰਕ ਯੰਤਰ ਹੁੰਦੇ ਹਨ, ਪ੍ਰਵਾਹਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਅਤੇ ਇਕਸਾਰ ਕਰਨ ਦੀ ਸਮੱਸਿਆ ਪੈਦਾ ਹੁੰਦੀ ਹੈ, ਜਿਸ ਨੂੰ ਅਖੌਤੀ ਕੁਲੈਕਟਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹੱਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਪ੍ਰਾਪਤ ਕੀਤੇ ਪ੍ਰਵਾਹਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਹਨ ਅਤੇ ਫਿਰ ਉਹਨਾਂ ਨੂੰ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਪ੍ਰਸਾਰਿਤ ਕਰਦੇ ਹਨ।
• ਵਹਾਅ ਵਿਸ਼ਲੇਸ਼ਣ ਵਿਸ਼ਲੇਸ਼ਕ ਮੁੱਖ ਬੌਧਿਕ ਕਾਰਜ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ ਅਤੇ, ਸਟ੍ਰੀਮਾਂ ਲਈ ਵੱਖ-ਵੱਖ ਐਲਗੋਰਿਥਮਾਂ ਨੂੰ ਲਾਗੂ ਕਰਕੇ, ਕੁਝ ਸਿੱਟੇ ਕੱਢਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਇੱਕ IT ਫੰਕਸ਼ਨ ਦੇ ਹਿੱਸੇ ਵਜੋਂ, ਅਜਿਹਾ ਵਿਸ਼ਲੇਸ਼ਕ ਨੈੱਟਵਰਕ ਦੀਆਂ ਰੁਕਾਵਟਾਂ ਦੀ ਪਛਾਣ ਕਰ ਸਕਦਾ ਹੈ ਜਾਂ ਹੋਰ ਨੈੱਟਵਰਕ ਅਨੁਕੂਲਨ ਲਈ ਟ੍ਰੈਫਿਕ ਲੋਡ ਪ੍ਰੋਫਾਈਲ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰ ਸਕਦਾ ਹੈ। ਅਤੇ ਜਾਣਕਾਰੀ ਦੀ ਸੁਰੱਖਿਆ ਲਈ, ਅਜਿਹਾ ਵਿਸ਼ਲੇਸ਼ਕ ਡਾਟਾ ਲੀਕ, ਖਤਰਨਾਕ ਕੋਡ ਦੇ ਫੈਲਣ ਜਾਂ DoS ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾ ਸਕਦਾ ਹੈ।

ਇਹ ਨਾ ਸੋਚੋ ਕਿ ਇਹ ਤਿੰਨ-ਪੱਧਰੀ ਆਰਕੀਟੈਕਚਰ ਬਹੁਤ ਗੁੰਝਲਦਾਰ ਹੈ - ਹੋਰ ਸਾਰੇ ਵਿਕਲਪ (ਸਿਵਾਏ, ਸ਼ਾਇਦ, SNMP ਅਤੇ RMON ਨਾਲ ਕੰਮ ਕਰਨ ਵਾਲੇ ਨੈਟਵਰਕ ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀਆਂ) ਵੀ ਇਸਦੇ ਅਨੁਸਾਰ ਕੰਮ ਕਰਦੇ ਹਨ। ਸਾਡੇ ਕੋਲ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਇੱਕ ਡਾਟਾ ਜਨਰੇਟਰ ਹੈ, ਜੋ ਕਿ ਇੱਕ ਨੈੱਟਵਰਕ ਡਿਵਾਈਸ ਜਾਂ ਇੱਕ ਸਟੈਂਡ-ਅਲੋਨ ਸੈਂਸਰ ਹੋ ਸਕਦਾ ਹੈ। ਸਾਡੇ ਕੋਲ ਪੂਰੇ ਨਿਗਰਾਨੀ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਲਈ ਅਲਾਰਮ ਕਲੈਕਸ਼ਨ ਸਿਸਟਮ ਅਤੇ ਪ੍ਰਬੰਧਨ ਪ੍ਰਣਾਲੀ ਹੈ। ਆਖਰੀ ਦੋ ਭਾਗਾਂ ਨੂੰ ਇੱਕ ਸਿੰਗਲ ਨੋਡ ਦੇ ਅੰਦਰ ਜੋੜਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਪਰ ਘੱਟ ਜਾਂ ਘੱਟ ਵੱਡੇ ਨੈਟਵਰਕਾਂ ਵਿੱਚ ਉਹ ਮਾਪਯੋਗਤਾ ਅਤੇ ਭਰੋਸੇਯੋਗਤਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਆਮ ਤੌਰ 'ਤੇ ਘੱਟੋ-ਘੱਟ ਦੋ ਡਿਵਾਈਸਾਂ ਵਿੱਚ ਫੈਲੇ ਹੁੰਦੇ ਹਨ।

ਪੈਕੇਟ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਉਲਟ, ਜੋ ਕਿ ਹਰੇਕ ਪੈਕੇਟ ਦੇ ਸਿਰਲੇਖ ਅਤੇ ਸਰੀਰ ਦੇ ਡੇਟਾ ਦਾ ਅਧਿਐਨ ਕਰਨ 'ਤੇ ਅਧਾਰਤ ਹੈ ਅਤੇ ਇਸ ਵਿੱਚ ਸ਼ਾਮਲ ਸੈਸ਼ਨਾਂ, ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਣ ਨੈਟਵਰਕ ਟ੍ਰੈਫਿਕ ਬਾਰੇ ਮੈਟਾਡੇਟਾ ਇਕੱਤਰ ਕਰਨ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਕਦੋਂ, ਕਿੰਨਾ, ਕਿੱਥੋਂ ਅਤੇ ਕਿੱਥੋਂ, ਕਿਵੇਂ... ਇਹ ਵੱਖ-ਵੱਖ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਦੁਆਰਾ ਜਵਾਬ ਦਿੱਤੇ ਗਏ ਸਵਾਲ ਹਨ। ਸ਼ੁਰੂ ਵਿੱਚ, ਇਹਨਾਂ ਦੀ ਵਰਤੋਂ ਅੰਕੜਿਆਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਅਤੇ ਨੈੱਟਵਰਕ 'ਤੇ ਆਈਟੀ ਸਮੱਸਿਆਵਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਸੀ, ਪਰ ਫਿਰ, ਜਿਵੇਂ ਕਿ ਵਿਸ਼ਲੇਸ਼ਣਾਤਮਕ ਵਿਧੀ ਵਿਕਸਿਤ ਹੋਈ, ਸੁਰੱਖਿਆ ਦੇ ਉਦੇਸ਼ਾਂ ਲਈ ਉਹਨਾਂ ਨੂੰ ਉਸੇ ਟੈਲੀਮੈਟਰੀ 'ਤੇ ਲਾਗੂ ਕਰਨਾ ਸੰਭਵ ਹੋ ਗਿਆ। ਇਹ ਦੁਬਾਰਾ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਣ ਪੈਕੇਟ ਕੈਪਚਰ ਨੂੰ ਬਦਲਦਾ ਜਾਂ ਬਦਲਦਾ ਨਹੀਂ ਹੈ। ਇਹਨਾਂ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਦਾ ਆਪਣਾ ਕਾਰਜ ਖੇਤਰ ਹੈ। ਪਰ ਇਸ ਲੇਖ ਦੇ ਸੰਦਰਭ ਵਿੱਚ, ਇਹ ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਣ ਹੈ ਜੋ ਅੰਦਰੂਨੀ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਸਭ ਤੋਂ ਵਧੀਆ ਹੈ. ਤੁਹਾਡੇ ਕੋਲ ਨੈੱਟਵਰਕ ਯੰਤਰ ਹਨ (ਭਾਵੇਂ ਉਹ ਇੱਕ ਸੌਫਟਵੇਅਰ-ਪ੍ਰਭਾਸ਼ਿਤ ਪੈਰਾਡਾਈਮ ਵਿੱਚ ਕੰਮ ਕਰਦੇ ਹਨ ਜਾਂ ਸਥਿਰ ਨਿਯਮਾਂ ਦੇ ਅਨੁਸਾਰ) ਜਿਨ੍ਹਾਂ ਨੂੰ ਹਮਲਾ ਬਾਈਪਾਸ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਇਹ ਇੱਕ ਕਲਾਸਿਕ IDS ਸੈਂਸਰ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦਾ ਹੈ, ਪਰ ਇੱਕ ਨੈਟਵਰਕ ਡਿਵਾਈਸ ਜੋ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਇਸ ਵਿਧੀ ਦਾ ਫਾਇਦਾ ਹੈ.

ਦੂਜੇ ਪਾਸੇ, ਜੇਕਰ ਤੁਹਾਨੂੰ ਕਾਨੂੰਨ ਲਾਗੂ ਕਰਨ ਜਾਂ ਆਪਣੀ ਖੁਦ ਦੀ ਘਟਨਾ ਜਾਂਚ ਟੀਮ ਲਈ ਸਬੂਤ ਦੀ ਲੋੜ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਪੈਕੇਟ ਕੈਪਚਰ ਤੋਂ ਬਿਨਾਂ ਨਹੀਂ ਕਰ ਸਕਦੇ - ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਟ੍ਰੈਫਿਕ ਦੀ ਕਾਪੀ ਨਹੀਂ ਹੈ ਜਿਸਦੀ ਵਰਤੋਂ ਸਬੂਤ ਇਕੱਠੇ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ; ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਦੇ ਖੇਤਰ ਵਿੱਚ ਤੇਜ਼ੀ ਨਾਲ ਖੋਜ ਅਤੇ ਫੈਸਲੇ ਲੈਣ ਲਈ ਇਸਦੀ ਲੋੜ ਹੈ। ਦੂਜੇ ਪਾਸੇ, ਟੈਲੀਮੈਟਰੀ ਵਿਸ਼ਲੇਸ਼ਣ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਤੁਸੀਂ ਸਾਰੇ ਨੈਟਵਰਕ ਟ੍ਰੈਫਿਕ (ਜੇਕਰ ਕੁਝ ਵੀ ਹੋਵੇ, ਸਿਸਕੋ ਡੇਟਾ ਸੈਂਟਰਾਂ ਨਾਲ ਨਜਿੱਠਦਾ ਹੈ :-) "ਲਿਖ" ਨਹੀਂ ਸਕਦਾ, ਪਰ ਸਿਰਫ ਉਹੀ ਜੋ ਹਮਲੇ ਵਿੱਚ ਸ਼ਾਮਲ ਹੈ। ਇਸ ਸਬੰਧ ਵਿੱਚ ਟੈਲੀਮੈਟਰੀ ਵਿਸ਼ਲੇਸ਼ਣ ਟੂਲ ਰਵਾਇਤੀ ਪੈਕੇਟ ਕੈਪਚਰ ਵਿਧੀ ਨੂੰ ਚੰਗੀ ਤਰ੍ਹਾਂ ਪੂਰਕ ਕਰਨਗੇ, ਚੋਣਵੇਂ ਕੈਪਚਰ ਅਤੇ ਸਟੋਰੇਜ ਲਈ ਕਮਾਂਡਾਂ ਦੇਣਗੇ। ਨਹੀਂ ਤਾਂ, ਤੁਹਾਡੇ ਕੋਲ ਇੱਕ ਵਿਸ਼ਾਲ ਸਟੋਰੇਜ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ.

ਚਲੋ 250 Mbit/sec ਦੀ ਸਪੀਡ ਨਾਲ ਕੰਮ ਕਰਨ ਵਾਲੇ ਨੈੱਟਵਰਕ ਦੀ ਕਲਪਨਾ ਕਰੀਏ। ਜੇਕਰ ਤੁਸੀਂ ਇਸ ਸਾਰੇ ਵਾਲੀਅਮ ਨੂੰ ਸਟੋਰ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ ਤੁਹਾਨੂੰ ਟਰੈਫਿਕ ਟ੍ਰਾਂਸਮਿਸ਼ਨ ਦੇ ਇੱਕ ਸਕਿੰਟ ਲਈ 31 MB ਸਟੋਰੇਜ, ਇੱਕ ਮਿੰਟ ਲਈ 1,8 GB, ਇੱਕ ਘੰਟੇ ਲਈ 108 GB, ਅਤੇ ਇੱਕ ਦਿਨ ਲਈ 2,6 TB ਦੀ ਲੋੜ ਹੋਵੇਗੀ। 10 Gbit/s ਦੀ ਬੈਂਡਵਿਡਥ ਵਾਲੇ ਨੈੱਟਵਰਕ ਤੋਂ ਰੋਜ਼ਾਨਾ ਡਾਟਾ ਸਟੋਰ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ 108 TB ਸਟੋਰੇਜ ਦੀ ਲੋੜ ਹੋਵੇਗੀ। ਪਰ ਕੁਝ ਰੈਗੂਲੇਟਰਾਂ ਨੂੰ ਸਾਲਾਂ ਲਈ ਸੁਰੱਖਿਆ ਡੇਟਾ ਨੂੰ ਸਟੋਰ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ... ਆਨ-ਡਿਮਾਂਡ ਰਿਕਾਰਡਿੰਗ, ਜੋ ਕਿ ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਤੁਹਾਡੀ ਮਦਦ ਕਰਦੀ ਹੈ, ਇਹਨਾਂ ਮੁੱਲਾਂ ਨੂੰ ਆਕਾਰ ਦੇ ਆਦੇਸ਼ਾਂ ਦੁਆਰਾ ਘਟਾਉਣ ਵਿੱਚ ਮਦਦ ਕਰਦੀ ਹੈ। ਵੈਸੇ, ਜੇਕਰ ਅਸੀਂ ਰਿਕਾਰਡ ਕੀਤੇ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਡੇਟਾ ਅਤੇ ਪੂਰੇ ਡੇਟਾ ਕੈਪਚਰ ਦੀ ਮਾਤਰਾ ਦੇ ਅਨੁਪਾਤ ਬਾਰੇ ਗੱਲ ਕਰਦੇ ਹਾਂ, ਤਾਂ ਇਹ ਲਗਭਗ 1 ਤੋਂ 500 ਹੈ। ਉੱਪਰ ਦਿੱਤੇ ਸਮਾਨ ਮੁੱਲਾਂ ਲਈ, ਸਾਰੇ ਰੋਜ਼ਾਨਾ ਟ੍ਰੈਫਿਕ ਦੀ ਪੂਰੀ ਪ੍ਰਤੀਲਿਪੀ ਨੂੰ ਸਟੋਰ ਕਰਨਾ ਕ੍ਰਮਵਾਰ 5 ਅਤੇ 216 GB ਹੋਵੇਗਾ (ਤੁਸੀਂ ਇਸਨੂੰ ਰੈਗੂਲਰ ਫਲੈਸ਼ ਡਰਾਈਵ 'ਤੇ ਵੀ ਰਿਕਾਰਡ ਕਰ ਸਕਦੇ ਹੋ)।

ਜੇ ਕੱਚੇ ਨੈਟਵਰਕ ਡੇਟਾ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਸਾਧਨਾਂ ਲਈ, ਇਸ ਨੂੰ ਕੈਪਚਰ ਕਰਨ ਦਾ ਤਰੀਕਾ ਵਿਕਰੇਤਾ ਤੋਂ ਵਿਕਰੇਤਾ ਤੱਕ ਲਗਭਗ ਇੱਕੋ ਜਿਹਾ ਹੈ, ਤਾਂ ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਣ ਦੇ ਮਾਮਲੇ ਵਿੱਚ ਸਥਿਤੀ ਵੱਖਰੀ ਹੈ. ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਕਈ ਵਿਕਲਪ ਹਨ, ਸੁਰੱਖਿਆ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਤੁਹਾਨੂੰ ਉਹਨਾਂ ਅੰਤਰਾਂ ਬਾਰੇ ਜਾਣਨ ਦੀ ਲੋੜ ਹੈ। ਸਿਸਕੋ ਦੁਆਰਾ ਵਿਕਸਤ ਨੈੱਟਫਲੋ ਪ੍ਰੋਟੋਕੋਲ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਹੈ। ਇਸ ਪ੍ਰੋਟੋਕੋਲ ਦੇ ਕਈ ਸੰਸਕਰਣ ਹਨ, ਉਹਨਾਂ ਦੀਆਂ ਸਮਰੱਥਾਵਾਂ ਅਤੇ ਰਿਕਾਰਡ ਕੀਤੀ ਟ੍ਰੈਫਿਕ ਜਾਣਕਾਰੀ ਦੀ ਮਾਤਰਾ ਵਿੱਚ ਭਿੰਨ ਹਨ। ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਨੌਵਾਂ (ਨੈੱਟਫਲੋ v9) ਹੈ, ਜਿਸ ਦੇ ਆਧਾਰ 'ਤੇ ਉਦਯੋਗ ਮਿਆਰੀ Netflow v10, ਜਿਸ ਨੂੰ IPFIX ਵੀ ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਵਿਕਸਿਤ ਕੀਤਾ ਗਿਆ ਸੀ। ਅੱਜ, ਜ਼ਿਆਦਾਤਰ ਨੈੱਟਵਰਕ ਵਿਕਰੇਤਾ ਆਪਣੇ ਸਾਜ਼ੋ-ਸਾਮਾਨ ਵਿੱਚ Netflow ਜਾਂ IPFIX ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ। ਪਰ ਫਲੋ ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਕਈ ਹੋਰ ਵਿਕਲਪ ਹਨ - sFlow, jFlow, cFlow, rFlow, NetStream, ਆਦਿ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ sFlow ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਹੈ। ਇਹ ਇਸ ਕਿਸਮ ਦੀ ਹੈ ਜੋ ਅਕਸਰ ਲਾਗੂ ਕਰਨ ਦੀ ਸੌਖ ਕਾਰਨ ਨੈਟਵਰਕ ਉਪਕਰਣਾਂ ਦੇ ਘਰੇਲੂ ਨਿਰਮਾਤਾਵਾਂ ਦੁਆਰਾ ਸਮਰਥਤ ਹੁੰਦੀ ਹੈ. ਨੈੱਟਫਲੋ, ਜੋ ਕਿ ਇੱਕ ਡੀ ਫੈਕਟੋ ਸਟੈਂਡਰਡ ਬਣ ਗਿਆ ਹੈ, ਅਤੇ sFlow ਵਿਚਕਾਰ ਮੁੱਖ ਅੰਤਰ ਕੀ ਹਨ? ਮੈਂ ਕਈ ਕੁੰਜੀਆਂ ਨੂੰ ਉਜਾਗਰ ਕਰਾਂਗਾ। ਪਹਿਲਾਂ, Netflow ਵਿੱਚ sFlow ਵਿੱਚ ਸਥਿਰ ਖੇਤਰਾਂ ਦੇ ਉਲਟ ਉਪਭੋਗਤਾ-ਅਨੁਕੂਲ ਖੇਤਰ ਹਨ। ਅਤੇ ਦੂਜਾ, ਅਤੇ ਇਹ ਸਾਡੇ ਕੇਸ ਵਿੱਚ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਚੀਜ਼ ਹੈ, sFlow ਅਖੌਤੀ ਨਮੂਨੇਦਾਰ ਟੈਲੀਮੈਟਰੀ ਨੂੰ ਇਕੱਠਾ ਕਰਦਾ ਹੈ; Netflow ਅਤੇ IPFIX ਲਈ ਨਮੂਨਾ ਰਹਿਤ ਇੱਕ ਦੇ ਉਲਟ। ਉਹਨਾਂ ਵਿੱਚ ਕੀ ਅੰਤਰ ਹੈ?

ਕਲਪਨਾ ਕਰੋ ਕਿ ਤੁਸੀਂ ਕਿਤਾਬ ਪੜ੍ਹਨ ਦਾ ਫੈਸਲਾ ਕਰਦੇ ਹੋ "ਸੁਰੱਖਿਆ ਸੰਚਾਲਨ ਕੇਂਦਰ: ਤੁਹਾਡੇ SOC ਨੂੰ ਬਣਾਉਣਾ, ਸੰਚਾਲਨ ਕਰਨਾ ਅਤੇ ਸਾਂਭ-ਸੰਭਾਲ ਕਰਨਾ"ਮੇਰੇ ਸਾਥੀਆਂ ਵਿੱਚੋਂ - ਗੈਰੀ ਮੈਕਿੰਟਾਇਰ, ਜੋਸੇਫ ਮੁਨੀਟਜ਼ ਅਤੇ ਨਦੇਮ ਅਲਫਰਡਨ (ਤੁਸੀਂ ਲਿੰਕ ਤੋਂ ਕਿਤਾਬ ਦਾ ਕੁਝ ਹਿੱਸਾ ਡਾਊਨਲੋਡ ਕਰ ਸਕਦੇ ਹੋ)। ਆਪਣੇ ਟੀਚੇ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਤੁਹਾਡੇ ਕੋਲ ਤਿੰਨ ਵਿਕਲਪ ਹਨ - ਪੂਰੀ ਕਿਤਾਬ ਪੜ੍ਹੋ, ਇਸ ਨੂੰ ਪੜ੍ਹੋ, ਹਰ 10ਵੇਂ ਜਾਂ 20ਵੇਂ ਪੰਨੇ 'ਤੇ ਰੁਕੋ, ਜਾਂ ਕਿਸੇ ਬਲੌਗ ਜਾਂ ਸਮਾਰਟ ਰੀਡਿੰਗ ਵਰਗੀ ਸੇਵਾ 'ਤੇ ਮੁੱਖ ਸੰਕਲਪਾਂ ਨੂੰ ਦੁਬਾਰਾ ਦੱਸਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੋ। ਇਸ ਲਈ, ਨਮੂਨਾ ਰਹਿਤ ਟੈਲੀਮੈਟਰੀ ਨੈਟਵਰਕ ਟ੍ਰੈਫਿਕ ਦੇ ਹਰ "ਪੰਨੇ" ਨੂੰ ਪੜ੍ਹ ਰਹੀ ਹੈ, ਭਾਵ, ਹਰੇਕ ਪੈਕੇਟ ਲਈ ਮੈਟਾਡੇਟਾ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰ ਰਹੀ ਹੈ। ਨਮੂਨਾ ਟੈਲੀਮੈਟਰੀ ਟ੍ਰੈਫਿਕ ਦਾ ਚੋਣਵਾਂ ਅਧਿਐਨ ਹੈ ਇਸ ਉਮੀਦ ਵਿੱਚ ਕਿ ਚੁਣੇ ਗਏ ਨਮੂਨਿਆਂ ਵਿੱਚ ਉਹ ਸ਼ਾਮਲ ਹੋਵੇਗਾ ਜੋ ਤੁਹਾਨੂੰ ਚਾਹੀਦਾ ਹੈ। ਚੈਨਲ ਦੀ ਗਤੀ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ, ਨਮੂਨਾ ਟੈਲੀਮੈਟਰੀ ਨੂੰ ਹਰ 64ਵੇਂ, 200ਵੇਂ, 500ਵੇਂ, 1000ਵੇਂ, 2000ਵੇਂ ਜਾਂ ਇੱਥੋਂ ਤੱਕ ਕਿ 10000ਵੇਂ ਪੈਕੇਟ 'ਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਭੇਜਿਆ ਜਾਵੇਗਾ।

ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਨਿਗਰਾਨੀ ਦੇ ਸੰਦਰਭ ਵਿੱਚ, ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸੈਂਪਲ ਟੈਲੀਮੈਟਰੀ DDoS ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ, ਸਕੈਨ ਕਰਨ ਅਤੇ ਖਤਰਨਾਕ ਕੋਡ ਫੈਲਾਉਣ ਲਈ ਚੰਗੀ ਤਰ੍ਹਾਂ ਅਨੁਕੂਲ ਹੈ, ਪਰ ਪ੍ਰਮਾਣੂ ਜਾਂ ਮਲਟੀ-ਪੈਕੇਟ ਹਮਲਿਆਂ ਨੂੰ ਖੁੰਝ ਸਕਦਾ ਹੈ ਜੋ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਭੇਜੇ ਗਏ ਨਮੂਨੇ ਵਿੱਚ ਸ਼ਾਮਲ ਨਹੀਂ ਕੀਤੇ ਗਏ ਸਨ। ਨਮੂਨਾ ਰਹਿਤ ਟੈਲੀਮੈਟਰੀ ਦੇ ਅਜਿਹੇ ਨੁਕਸਾਨ ਨਹੀਂ ਹਨ। ਇਸਦੇ ਨਾਲ, ਖੋਜੇ ਗਏ ਹਮਲਿਆਂ ਦੀ ਰੇਂਜ ਬਹੁਤ ਜ਼ਿਆਦਾ ਵਿਆਪਕ ਹੈ। ਇੱਥੇ ਉਹਨਾਂ ਘਟਨਾਵਾਂ ਦੀ ਇੱਕ ਛੋਟੀ ਸੂਚੀ ਹੈ ਜੋ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਵਿਸ਼ਲੇਸ਼ਣ ਟੂਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਖੋਜੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ।

ਬੇਸ਼ੱਕ, ਕੁਝ ਓਪਨ ਸੋਰਸ ਨੈੱਟਫਲੋ ਐਨਾਲਾਈਜ਼ਰ ਤੁਹਾਨੂੰ ਅਜਿਹਾ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦੇਣਗੇ, ਕਿਉਂਕਿ ਇਸਦਾ ਮੁੱਖ ਕੰਮ ਟੈਲੀਮੈਟਰੀ ਨੂੰ ਇਕੱਠਾ ਕਰਨਾ ਅਤੇ IT ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਇਸ 'ਤੇ ਬੁਨਿਆਦੀ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਹੈ। ਵਹਾਅ ਦੇ ਆਧਾਰ 'ਤੇ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ, ਵਿਸ਼ਲੇਸ਼ਕ ਨੂੰ ਵੱਖ-ਵੱਖ ਇੰਜਣਾਂ ਅਤੇ ਐਲਗੋਰਿਦਮਾਂ ਨਾਲ ਲੈਸ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ, ਜੋ ਕਿ ਮਿਆਰੀ ਜਾਂ ਕਸਟਮ ਨੈੱਟਫਲੋ ਖੇਤਰਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਸਮੱਸਿਆਵਾਂ ਦੀ ਪਛਾਣ ਕਰੇਗਾ, ਵੱਖ-ਵੱਖ ਧਮਕੀ ਖੁਫੀਆ ਸਰੋਤਾਂ ਆਦਿ ਤੋਂ ਬਾਹਰੀ ਡੇਟਾ ਨਾਲ ਮਿਆਰੀ ਡੇਟਾ ਨੂੰ ਭਰਪੂਰ ਕਰੇਗਾ।

ਇਸ ਲਈ, ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਕੋਈ ਵਿਕਲਪ ਹੈ, ਤਾਂ Netflow ਜਾਂ IPFIX ਦੀ ਚੋਣ ਕਰੋ। ਪਰ ਭਾਵੇਂ ਤੁਹਾਡਾ ਸਾਜ਼ੋ-ਸਾਮਾਨ ਸਿਰਫ਼ ਘਰੇਲੂ ਨਿਰਮਾਤਾਵਾਂ ਵਾਂਗ, sFlow ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ, ਫਿਰ ਵੀ ਇਸ ਸਥਿਤੀ ਵਿੱਚ ਤੁਸੀਂ ਸੁਰੱਖਿਆ ਸੰਦਰਭ ਵਿੱਚ ਇਸਦਾ ਲਾਭ ਲੈ ਸਕਦੇ ਹੋ।

2019 ਦੀਆਂ ਗਰਮੀਆਂ ਵਿੱਚ, ਮੈਂ ਉਹਨਾਂ ਸਮਰੱਥਾਵਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਜੋ ਰੂਸੀ ਨੈੱਟਵਰਕ ਹਾਰਡਵੇਅਰ ਨਿਰਮਾਤਾਵਾਂ ਕੋਲ ਹਨ ਅਤੇ ਉਹਨਾਂ ਸਾਰਿਆਂ ਨੇ, NSG, ਪੌਲੀਗਨ ਅਤੇ ਕ੍ਰਾਫਟਵੇਅ ਨੂੰ ਛੱਡ ਕੇ, sFlow (ਘੱਟੋ-ਘੱਟ Zelax, Natex, Eltex, QTech, Rusteleteh) ਲਈ ਸਮਰਥਨ ਦਾ ਐਲਾਨ ਕੀਤਾ।

ਅਗਲਾ ਸਵਾਲ ਜਿਸ ਦਾ ਤੁਸੀਂ ਸਾਹਮਣਾ ਕਰੋਗੇ ਉਹ ਹੈ ਕਿ ਸੁਰੱਖਿਆ ਉਦੇਸ਼ਾਂ ਲਈ ਪ੍ਰਵਾਹ ਸਹਾਇਤਾ ਨੂੰ ਕਿੱਥੇ ਲਾਗੂ ਕਰਨਾ ਹੈ? ਵਾਸਤਵ ਵਿੱਚ, ਸਵਾਲ ਪੂਰੀ ਤਰ੍ਹਾਂ ਸਹੀ ਨਹੀਂ ਹੈ. ਆਧੁਨਿਕ ਉਪਕਰਣ ਲਗਭਗ ਹਮੇਸ਼ਾਂ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ. ਇਸ ਲਈ, ਮੈਂ ਸਵਾਲ ਨੂੰ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਸੁਧਾਰਾਂਗਾ - ਸੁਰੱਖਿਆ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਟੈਲੀਮੈਟਰੀ ਨੂੰ ਇਕੱਠਾ ਕਰਨਾ ਸਭ ਤੋਂ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਕਿੱਥੇ ਹੈ? ਜਵਾਬ ਕਾਫ਼ੀ ਸਪੱਸ਼ਟ ਹੋਵੇਗਾ - ਪਹੁੰਚ ਪੱਧਰ 'ਤੇ, ਜਿੱਥੇ ਤੁਸੀਂ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਦਾ 100% ਦੇਖੋਗੇ, ਜਿੱਥੇ ਤੁਹਾਡੇ ਕੋਲ ਮੇਜ਼ਬਾਨਾਂ (MAC, VLAN, ਇੰਟਰਫੇਸ ID) ਬਾਰੇ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਹੋਵੇਗੀ, ਜਿੱਥੇ ਤੁਸੀਂ ਮੇਜ਼ਬਾਨਾਂ ਦੇ ਵਿਚਕਾਰ P2P ਟ੍ਰੈਫਿਕ ਦੀ ਨਿਗਰਾਨੀ ਵੀ ਕਰ ਸਕਦੇ ਹੋ, ਜੋ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਸਕੈਨਿੰਗ ਖੋਜ ਅਤੇ ਵੰਡ ਲਈ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਮੁੱਖ ਪੱਧਰ 'ਤੇ, ਤੁਸੀਂ ਸ਼ਾਇਦ ਕੁਝ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਦੇਖ ਸਕਦੇ ਹੋ, ਪਰ ਘੇਰੇ ਦੇ ਪੱਧਰ 'ਤੇ, ਤੁਸੀਂ ਆਪਣੇ ਸਾਰੇ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਦਾ ਇੱਕ ਚੌਥਾਈ ਹਿੱਸਾ ਦੇਖੋਗੇ। ਪਰ ਜੇ ਕਿਸੇ ਕਾਰਨ ਕਰਕੇ ਤੁਹਾਡੇ ਕੋਲ ਤੁਹਾਡੇ ਨੈਟਵਰਕ ਤੇ ਵਿਦੇਸ਼ੀ ਉਪਕਰਣ ਹਨ ਜੋ ਹਮਲਾਵਰਾਂ ਨੂੰ ਘੇਰੇ ਨੂੰ ਬਾਈਪਾਸ ਕੀਤੇ ਬਿਨਾਂ "ਪ੍ਰਵੇਸ਼ ਕਰਨ ਅਤੇ ਬਾਹਰ ਨਿਕਲਣ" ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ, ਤਾਂ ਇਸ ਤੋਂ ਟੈਲੀਮੈਟਰੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਨਾਲ ਤੁਹਾਨੂੰ ਕੁਝ ਨਹੀਂ ਮਿਲੇਗਾ। ਇਸ ਲਈ, ਵੱਧ ਤੋਂ ਵੱਧ ਕਵਰੇਜ ਲਈ, ਪਹੁੰਚ ਪੱਧਰ 'ਤੇ ਟੈਲੀਮੈਟਰੀ ਸੰਗ੍ਰਹਿ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਸ ਦੇ ਨਾਲ ਹੀ, ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਭਾਵੇਂ ਅਸੀਂ ਵਰਚੁਅਲਾਈਜੇਸ਼ਨ ਜਾਂ ਕੰਟੇਨਰਾਂ ਬਾਰੇ ਗੱਲ ਕਰ ਰਹੇ ਹਾਂ, ਪ੍ਰਵਾਹ ਸਮਰਥਨ ਵੀ ਅਕਸਰ ਆਧੁਨਿਕ ਵਰਚੁਅਲ ਸਵਿੱਚਾਂ ਵਿੱਚ ਪਾਇਆ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਤੁਸੀਂ ਉੱਥੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਵੀ ਨਿਯੰਤਰਿਤ ਕਰ ਸਕਦੇ ਹੋ।

ਪਰ ਕਿਉਂਕਿ ਮੈਂ ਵਿਸ਼ਾ ਉਠਾਇਆ ਹੈ, ਮੈਨੂੰ ਇਸ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦੇਣ ਦੀ ਲੋੜ ਹੈ: ਕੀ ਜੇ ਉਪਕਰਣ, ਭੌਤਿਕ ਜਾਂ ਵਰਚੁਅਲ, ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦੇ? ਜਾਂ ਕੀ ਇਸ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਦੀ ਮਨਾਹੀ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਭਰੋਸੇਯੋਗਤਾ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਉਦਯੋਗਿਕ ਹਿੱਸਿਆਂ ਵਿੱਚ)? ਜਾਂ ਕੀ ਇਸਨੂੰ ਚਾਲੂ ਕਰਨ ਨਾਲ ਉੱਚ CPU ਲੋਡ ਹੁੰਦਾ ਹੈ (ਇਹ ਪੁਰਾਣੇ ਹਾਰਡਵੇਅਰ 'ਤੇ ਹੁੰਦਾ ਹੈ)? ਇਸ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ, ਵਿਸ਼ੇਸ਼ ਵਰਚੁਅਲ ਸੈਂਸਰ (ਫਲੋ ਸੈਂਸਰ) ਹਨ, ਜੋ ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ ਆਮ ਸਪਲਿਟਰ ਹੁੰਦੇ ਹਨ ਜੋ ਆਪਣੇ ਆਪ ਵਿੱਚ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪਾਸ ਕਰਦੇ ਹਨ ਅਤੇ ਇਸਨੂੰ ਕਲੈਕਸ਼ਨ ਮੋਡੀਊਲ ਵਿੱਚ ਪ੍ਰਵਾਹ ਦੇ ਰੂਪ ਵਿੱਚ ਪ੍ਰਸਾਰਿਤ ਕਰਦੇ ਹਨ। ਇਹ ਸੱਚ ਹੈ ਕਿ ਇਸ ਮਾਮਲੇ ਵਿੱਚ ਸਾਨੂੰ ਉਹ ਸਾਰੀਆਂ ਸਮੱਸਿਆਵਾਂ ਮਿਲਦੀਆਂ ਹਨ ਜਿਨ੍ਹਾਂ ਬਾਰੇ ਅਸੀਂ ਉੱਪਰ ਗੱਲ ਕੀਤੀ ਹੈ ਪੈਕੇਟ ਕੈਪਚਰ ਟੂਲਸ ਦੇ ਸਬੰਧ ਵਿੱਚ। ਭਾਵ, ਤੁਹਾਨੂੰ ਨਾ ਸਿਰਫ ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਣ ਤਕਨਾਲੋਜੀ ਦੇ ਫਾਇਦਿਆਂ ਨੂੰ ਸਮਝਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ, ਬਲਕਿ ਇਸ ਦੀਆਂ ਸੀਮਾਵਾਂ ਨੂੰ ਵੀ.

ਇੱਕ ਹੋਰ ਨੁਕਤਾ ਜੋ ਯਾਦ ਰੱਖਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਜਦੋਂ ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਣ ਸਾਧਨਾਂ ਬਾਰੇ ਗੱਲ ਕਰਦੇ ਹੋ. ਜੇਕਰ ਸੁਰੱਖਿਆ ਇਵੈਂਟਸ ਪੈਦਾ ਕਰਨ ਦੇ ਰਵਾਇਤੀ ਸਾਧਨਾਂ ਦੇ ਸਬੰਧ ਵਿੱਚ ਅਸੀਂ EPS ਮੈਟ੍ਰਿਕ (ਇਵੈਂਟ ਪ੍ਰਤੀ ਸਕਿੰਟ) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ, ਤਾਂ ਇਹ ਸੂਚਕ ਟੈਲੀਮੈਟਰੀ ਵਿਸ਼ਲੇਸ਼ਣ 'ਤੇ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦਾ; ਇਹ FPS (ਪ੍ਰਵਾਹ ਪ੍ਰਤੀ ਸਕਿੰਟ) ਦੁਆਰਾ ਬਦਲਿਆ ਗਿਆ ਹੈ। ਜਿਵੇਂ ਕਿ EPS ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਇਸਦੀ ਪਹਿਲਾਂ ਤੋਂ ਗਣਨਾ ਨਹੀਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਪਰ ਤੁਸੀਂ ਕਿਸੇ ਖਾਸ ਡਿਵਾਈਸ ਦੁਆਰਾ ਇਸਦੇ ਕੰਮ ਦੇ ਅਧਾਰ ਤੇ ਤਿਆਰ ਕੀਤੇ ਥਰਿੱਡਾਂ ਦੀ ਅੰਦਾਜ਼ਨ ਸੰਖਿਆ ਦਾ ਅੰਦਾਜ਼ਾ ਲਗਾ ਸਕਦੇ ਹੋ। ਤੁਸੀਂ ਵੱਖ-ਵੱਖ ਕਿਸਮਾਂ ਦੇ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਡਿਵਾਈਸਾਂ ਅਤੇ ਸ਼ਰਤਾਂ ਲਈ ਅੰਦਾਜ਼ਨ ਮੁੱਲਾਂ ਦੇ ਨਾਲ ਇੰਟਰਨੈਟ 'ਤੇ ਟੇਬਲ ਲੱਭ ਸਕਦੇ ਹੋ, ਜੋ ਤੁਹਾਨੂੰ ਇਹ ਅੰਦਾਜ਼ਾ ਲਗਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ ਕਿ ਤੁਹਾਨੂੰ ਵਿਸ਼ਲੇਸ਼ਣ ਟੂਲਸ ਲਈ ਕਿਹੜੇ ਲਾਇਸੰਸ ਦੀ ਲੋੜ ਹੈ ਅਤੇ ਉਨ੍ਹਾਂ ਦਾ ਆਰਕੀਟੈਕਚਰ ਕੀ ਹੋਵੇਗਾ? ਤੱਥ ਇਹ ਹੈ ਕਿ IDS ਸੈਂਸਰ ਇੱਕ ਖਾਸ ਬੈਂਡਵਿਡਥ ਦੁਆਰਾ ਸੀਮਿਤ ਹੈ ਜੋ ਇਹ "ਖਿੱਚ" ਸਕਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਵਾਹ ਕੁਲੈਕਟਰ ਦੀਆਂ ਆਪਣੀਆਂ ਸੀਮਾਵਾਂ ਹਨ ਜਿਨ੍ਹਾਂ ਨੂੰ ਸਮਝਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਸ ਲਈ, ਵੱਡੇ, ਭੂਗੋਲਿਕ ਤੌਰ 'ਤੇ ਵੰਡੇ ਗਏ ਨੈਟਵਰਕਾਂ ਵਿੱਚ ਆਮ ਤੌਰ 'ਤੇ ਕਈ ਕੁਲੈਕਟਰ ਹੁੰਦੇ ਹਨ। ਜਦੋਂ ਮੈਂ ਦੱਸਿਆ Cisco ਦੇ ਅੰਦਰ ਨੈੱਟਵਰਕ ਦੀ ਨਿਗਰਾਨੀ ਕਿਵੇਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਮੈਂ ਪਹਿਲਾਂ ਹੀ ਸਾਡੇ ਕੁਲੈਕਟਰਾਂ ਦੀ ਸੰਖਿਆ ਦੇ ਦਿੱਤੀ ਹੈ - ਉਹਨਾਂ ਵਿੱਚੋਂ 21 ਹਨ। ਅਤੇ ਇਹ ਪੰਜ ਮਹਾਂਦੀਪਾਂ ਵਿੱਚ ਫੈਲੇ ਇੱਕ ਨੈਟਵਰਕ ਲਈ ਹੈ ਅਤੇ ਲਗਭਗ ਅੱਧਾ ਮਿਲੀਅਨ ਕਿਰਿਆਸ਼ੀਲ ਡਿਵਾਈਸਾਂ ਦੀ ਗਿਣਤੀ ਹੈ).

ਅਸੀਂ ਇੱਕ ਨੈੱਟਫਲੋ ਮਾਨੀਟਰਿੰਗ ਸਿਸਟਮ ਵਜੋਂ ਆਪਣੇ ਖੁਦ ਦੇ ਹੱਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਾਂ ਸਿਸਕੋ ਸਟੀਲਥਵਾਚ, ਜੋ ਖਾਸ ਤੌਰ 'ਤੇ ਸੁਰੱਖਿਆ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਹੱਲ ਕਰਨ 'ਤੇ ਕੇਂਦ੍ਰਿਤ ਹੈ। ਇਸ ਵਿੱਚ ਅਸਧਾਰਨ, ਸ਼ੱਕੀ ਅਤੇ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਬਹੁਤ ਸਾਰੇ ਬਿਲਟ-ਇਨ ਇੰਜਣ ਹਨ, ਜੋ ਤੁਹਾਨੂੰ ਵੱਖ-ਵੱਖ ਖਤਰਿਆਂ ਦੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸ਼੍ਰੇਣੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ - ਕ੍ਰਿਪਟੋਮਾਈਨਿੰਗ ਤੋਂ ਲੈ ਕੇ ਜਾਣਕਾਰੀ ਲੀਕ ਤੱਕ, ਖਤਰਨਾਕ ਕੋਡ ਦੇ ਫੈਲਣ ਤੋਂ ਲੈ ਕੇ ਧੋਖਾਧੜੀ ਤੱਕ। ਜ਼ਿਆਦਾਤਰ ਪ੍ਰਵਾਹ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਦੀ ਤਰ੍ਹਾਂ, ਸਟੀਲਥਵਾਚ ਨੂੰ ਤਿੰਨ-ਪੱਧਰੀ ਸਕੀਮ (ਜਨਰੇਟਰ - ਕੁਲੈਕਟਰ - ਵਿਸ਼ਲੇਸ਼ਕ) ਦੇ ਅਨੁਸਾਰ ਬਣਾਇਆ ਗਿਆ ਹੈ, ਪਰ ਇਹ ਕਈ ਦਿਲਚਸਪ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨਾਲ ਪੂਰਕ ਹੈ ਜੋ ਵਿਚਾਰ ਅਧੀਨ ਸਮੱਗਰੀ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਹਨ। ਪਹਿਲਾਂ, ਇਹ ਪੈਕੇਟ ਕੈਪਚਰ ਹੱਲਾਂ (ਜਿਵੇਂ ਕਿ ਸਿਸਕੋ ਸੁਰੱਖਿਆ ਪੈਕੇਟ ਐਨਾਲਾਈਜ਼ਰ) ਨਾਲ ਏਕੀਕ੍ਰਿਤ ਹੁੰਦਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਬਾਅਦ ਵਿੱਚ ਡੂੰਘਾਈ ਨਾਲ ਜਾਂਚ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਚੁਣੇ ਗਏ ਨੈੱਟਵਰਕ ਸੈਸ਼ਨਾਂ ਨੂੰ ਰਿਕਾਰਡ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਦੂਜਾ, ਖਾਸ ਤੌਰ 'ਤੇ ਸੁਰੱਖਿਆ ਕਾਰਜਾਂ ਨੂੰ ਵਧਾਉਣ ਲਈ, ਅਸੀਂ ਇੱਕ ਵਿਸ਼ੇਸ਼ nvzFlow ਪ੍ਰੋਟੋਕੋਲ ਵਿਕਸਤ ਕੀਤਾ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਟੈਲੀਮੈਟਰੀ ਵਿੱਚ ਅੰਤਮ ਨੋਡਾਂ (ਸਰਵਰਾਂ, ਵਰਕਸਟੇਸ਼ਨਾਂ, ਆਦਿ) 'ਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਗਤੀਵਿਧੀ ਨੂੰ "ਪ੍ਰਸਾਰਣ" ਕਰਨ ਅਤੇ ਹੋਰ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਕੁਲੈਕਟਰ ਨੂੰ ਪ੍ਰਸਾਰਿਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਜੇਕਰ ਇਸਦੇ ਮੂਲ ਸੰਸਕਰਣ ਵਿੱਚ ਸਟੀਲਥਵਾਚ ਨੈੱਟਵਰਕ ਪੱਧਰ 'ਤੇ ਕਿਸੇ ਵੀ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ, ਤਾਂ nvzFlow ਸਹਿਯੋਗ ਨੋਡ ਪੱਧਰ 'ਤੇ ਵੀ ਡਾਟਾ ਸਬੰਧਾਂ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਪੂਰੇ ਸਿਸਟਮ ਦੀ ਕੁਸ਼ਲਤਾ ਨੂੰ ਵਧਾਉਣਾ ਅਤੇ ਰਵਾਇਤੀ ਨੈੱਟਵਰਕ ਵਹਾਅ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਨਾਲੋਂ ਵਧੇਰੇ ਹਮਲੇ ਦੇਖਣਾ।

ਇਹ ਸਪੱਸ਼ਟ ਹੈ ਕਿ ਜਦੋਂ ਸੁਰੱਖਿਆ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਨੈੱਟਫਲੋ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਣਾਲੀਆਂ ਬਾਰੇ ਗੱਲ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਮਾਰਕੀਟ ਸਿਸਕੋ ਤੋਂ ਇੱਕ ਸਿੰਗਲ ਹੱਲ ਤੱਕ ਸੀਮਿਤ ਨਹੀਂ ਹੈ. ਤੁਸੀਂ ਵਪਾਰਕ ਅਤੇ ਮੁਫਤ ਜਾਂ ਸ਼ੇਅਰਵੇਅਰ ਹੱਲ ਦੋਵੇਂ ਵਰਤ ਸਕਦੇ ਹੋ। ਇਹ ਬਹੁਤ ਅਜੀਬ ਹੈ ਜੇਕਰ ਮੈਂ ਸਿਸਕੋ ਬਲੌਗ 'ਤੇ ਪ੍ਰਤੀਯੋਗੀਆਂ ਦੇ ਹੱਲਾਂ ਦਾ ਹਵਾਲਾ ਦਿੰਦਾ ਹਾਂ, ਇਸ ਲਈ ਮੈਂ ਇਸ ਬਾਰੇ ਕੁਝ ਸ਼ਬਦ ਕਹਾਂਗਾ ਕਿ ਕਿਵੇਂ ਨੈਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਦਾ ਦੋ ਪ੍ਰਸਿੱਧ, ਨਾਮ ਦੇ ਸਮਾਨ, ਪਰ ਫਿਰ ਵੀ ਵੱਖ-ਵੱਖ ਟੂਲਸ - ਸਿਲਕ ਅਤੇ ELK ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

SiLK ਟ੍ਰੈਫਿਕ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਔਜ਼ਾਰਾਂ (ਇੰਟਰਨੈੱਟ-ਪੱਧਰ ਦੇ ਗਿਆਨ ਲਈ ਸਿਸਟਮ) ਦਾ ਇੱਕ ਸਮੂਹ ਹੈ, ਜੋ ਅਮਰੀਕੀ CERT/CC ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਜੋ ਅੱਜ ਦੇ ਲੇਖ ਦੇ ਸੰਦਰਭ ਵਿੱਚ, Netflow (5ਵਾਂ ਅਤੇ 9ਵਾਂ, ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਸੰਸਕਰਣ), IPFIX ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ। ਅਤੇ sFlow ਅਤੇ ਵੱਖ-ਵੱਖ ਉਪਯੋਗਤਾਵਾਂ (rwfilter, rwcount, rwflowpack, ਆਦਿ) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ 'ਤੇ ਵੱਖ-ਵੱਖ ਕਾਰਵਾਈਆਂ ਕਰਨ ਲਈ ਇਸ ਵਿੱਚ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਦੇ ਸੰਕੇਤਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ। ਪਰ ਨੋਟ ਕਰਨ ਲਈ ਕੁਝ ਮਹੱਤਵਪੂਰਨ ਨੁਕਤੇ ਹਨ. SiLK ਇੱਕ ਕਮਾਂਡ ਲਾਈਨ ਟੂਲ ਹੈ ਜੋ ਇਸ ਤਰ੍ਹਾਂ ਦੀਆਂ ਕਮਾਂਡਾਂ ਦਰਜ ਕਰਕੇ ਔਨ-ਲਾਈਨ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਦਾ ਹੈ (200 ਬਾਈਟ ਤੋਂ ਵੱਡੇ ICMP ਪੈਕੇਟਾਂ ਦੀ ਖੋਜ):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

ਬਹੁਤ ਆਰਾਮਦਾਇਕ ਨਹੀਂ। ਤੁਸੀਂ iSiLK GUI ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਇਹ ਤੁਹਾਡੀ ਜ਼ਿੰਦਗੀ ਨੂੰ ਬਹੁਤ ਸੌਖਾ ਨਹੀਂ ਬਣਾਵੇਗਾ, ਸਿਰਫ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਫੰਕਸ਼ਨ ਨੂੰ ਹੱਲ ਕਰਨਾ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਕ ਨੂੰ ਨਹੀਂ ਬਦਲਣਾ। ਅਤੇ ਇਹ ਦੂਜਾ ਬਿੰਦੂ ਹੈ. ਵਪਾਰਕ ਹੱਲਾਂ ਦੇ ਉਲਟ, ਜਿਸਦਾ ਪਹਿਲਾਂ ਹੀ ਇੱਕ ਠੋਸ ਵਿਸ਼ਲੇਸ਼ਣਾਤਮਕ ਅਧਾਰ, ਵਿਗਾੜ ਖੋਜ ਐਲਗੋਰਿਦਮ, ਅਨੁਸਾਰੀ ਵਰਕਫਲੋ, ਆਦਿ ਹਨ, SiLK ਦੇ ਮਾਮਲੇ ਵਿੱਚ ਤੁਹਾਨੂੰ ਇਹ ਸਭ ਆਪਣੇ ਆਪ ਕਰਨਾ ਪਏਗਾ, ਜਿਸ ਲਈ ਪਹਿਲਾਂ ਤੋਂ ਤਿਆਰ-ਵਰਤਣ ਦੀ ਬਜਾਏ ਤੁਹਾਡੇ ਤੋਂ ਥੋੜੀ ਵੱਖਰੀ ਯੋਗਤਾ ਦੀ ਲੋੜ ਹੋਵੇਗੀ। ਵਰਤਣ ਲਈ ਸੰਦ. ਇਹ ਨਾ ਤਾਂ ਚੰਗਾ ਹੈ ਅਤੇ ਨਾ ਹੀ ਮਾੜਾ - ਇਹ ਲਗਭਗ ਕਿਸੇ ਵੀ ਮੁਫਤ ਟੂਲ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ ਜੋ ਇਹ ਮੰਨਦੀ ਹੈ ਕਿ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿ ਕੀ ਕਰਨਾ ਹੈ, ਅਤੇ ਇਹ ਸਿਰਫ ਇਸ ਵਿੱਚ ਤੁਹਾਡੀ ਮਦਦ ਕਰੇਗਾ (ਵਪਾਰਕ ਸਾਧਨ ਇਸਦੇ ਉਪਭੋਗਤਾਵਾਂ ਦੀਆਂ ਯੋਗਤਾਵਾਂ 'ਤੇ ਘੱਟ ਨਿਰਭਰ ਹਨ, ਹਾਲਾਂਕਿ ਉਹ ਇਹ ਵੀ ਮੰਨਦੇ ਹਨ ਕਿ ਵਿਸ਼ਲੇਸ਼ਕ ਨੈੱਟਵਰਕ ਜਾਂਚਾਂ ਅਤੇ ਨਿਗਰਾਨੀ ਦੀਆਂ ਘੱਟੋ-ਘੱਟ ਬੁਨਿਆਦੀ ਗੱਲਾਂ ਨੂੰ ਸਮਝਦੇ ਹਨ)। ਪਰ ਚਲੋ ਸਿਲਕ ਵੱਲ ਮੁੜਦੇ ਹਾਂ। ਇਸਦੇ ਨਾਲ ਵਿਸ਼ਲੇਸ਼ਕ ਦਾ ਕੰਮ ਦਾ ਚੱਕਰ ਇਸ ਤਰ੍ਹਾਂ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

• ਇੱਕ ਅਨੁਮਾਨ ਤਿਆਰ ਕਰਨਾ. ਸਾਨੂੰ ਇਹ ਸਮਝਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਅਸੀਂ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਦੇ ਅੰਦਰ ਕੀ ਲੱਭ ਰਹੇ ਹੋਵਾਂਗੇ, ਵਿਲੱਖਣ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਜਾਣੋ ਜਿਨ੍ਹਾਂ ਦੁਆਰਾ ਅਸੀਂ ਕੁਝ ਵਿਗਾੜਾਂ ਜਾਂ ਖਤਰਿਆਂ ਦੀ ਪਛਾਣ ਕਰਾਂਗੇ।
• ਇੱਕ ਮਾਡਲ ਬਣਾਉਣਾ. ਇੱਕ ਪਰਿਕਲਪਨਾ ਤਿਆਰ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਅਸੀਂ ਇਸਨੂੰ ਉਸੇ ਪਾਈਥਨ, ਸ਼ੈੱਲ ਜਾਂ ਹੋਰ ਸਾਧਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰੋਗਰਾਮ ਕਰਦੇ ਹਾਂ ਜੋ SiLK ਵਿੱਚ ਸ਼ਾਮਲ ਨਹੀਂ ਹਨ।
• ਟੈਸਟਿੰਗ. ਹੁਣ ਸਾਡੀ ਪਰਿਕਲਪਨਾ ਦੀ ਸ਼ੁੱਧਤਾ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਵਾਰੀ ਆਉਂਦੀ ਹੈ, ਜੋ 'rw', 'set', 'bag' ਨਾਲ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੀਆਂ SiLK ਉਪਯੋਗਤਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪੁਸ਼ਟੀ ਜਾਂ ਖੰਡਨ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
• ਅਸਲ ਡਾਟਾ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ. ਉਦਯੋਗਿਕ ਸੰਚਾਲਨ ਵਿੱਚ, SiLK ਸਾਨੂੰ ਕਿਸੇ ਚੀਜ਼ ਦੀ ਪਛਾਣ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਕ ਨੂੰ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦੇਣੇ ਚਾਹੀਦੇ ਹਨ "ਕੀ ਸਾਨੂੰ ਉਹ ਮਿਲਿਆ ਜੋ ਅਸੀਂ ਉਮੀਦ ਕਰਦੇ ਹਾਂ?", "ਕੀ ਇਹ ਸਾਡੀ ਪਰਿਕਲਪਨਾ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ?", "ਝੂਠੇ ਸਕਾਰਾਤਮਕ ਦੀ ਗਿਣਤੀ ਨੂੰ ਕਿਵੇਂ ਘਟਾਇਆ ਜਾਵੇ?", "ਕਿਵੇਂ ਮਾਨਤਾ ਦੇ ਪੱਧਰ ਨੂੰ ਸੁਧਾਰਨ ਲਈ? » ਇਤਆਦਿ.
• ਸੁਧਾਰ. ਅੰਤਮ ਪੜਾਅ 'ਤੇ, ਅਸੀਂ ਪਹਿਲਾਂ ਕੀਤੇ ਗਏ ਕੰਮਾਂ ਵਿੱਚ ਸੁਧਾਰ ਕਰਦੇ ਹਾਂ - ਅਸੀਂ ਟੈਂਪਲੇਟ ਬਣਾਉਂਦੇ ਹਾਂ, ਕੋਡ ਨੂੰ ਬਿਹਤਰ ਅਤੇ ਅਨੁਕੂਲਿਤ ਕਰਦੇ ਹਾਂ, ਪਰਿਕਲਪਨਾ ਨੂੰ ਸੁਧਾਰਦੇ ਅਤੇ ਸਪਸ਼ਟ ਕਰਦੇ ਹਾਂ, ਆਦਿ।

ਇਹ ਚੱਕਰ ਸਿਸਕੋ ਸਟੀਲਥਵਾਚ 'ਤੇ ਵੀ ਲਾਗੂ ਹੋਵੇਗਾ, ਸਿਰਫ ਆਖਰੀ ਇੱਕ ਇਹਨਾਂ ਪੰਜ ਪੜਾਵਾਂ ਨੂੰ ਵੱਧ ਤੋਂ ਵੱਧ ਸਵੈਚਲਿਤ ਕਰਦਾ ਹੈ, ਵਿਸ਼ਲੇਸ਼ਕ ਦੀਆਂ ਗਲਤੀਆਂ ਦੀ ਗਿਣਤੀ ਨੂੰ ਘਟਾਉਂਦਾ ਹੈ ਅਤੇ ਘਟਨਾ ਖੋਜ ਦੀ ਕੁਸ਼ਲਤਾ ਨੂੰ ਵਧਾਉਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, SiLK ਵਿੱਚ ਤੁਸੀਂ ਹੱਥ-ਲਿਖੀਆਂ ਸਕ੍ਰਿਪਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਖਤਰਨਾਕ IPs 'ਤੇ ਬਾਹਰੀ ਡੇਟਾ ਦੇ ਨਾਲ ਨੈੱਟਵਰਕ ਅੰਕੜਿਆਂ ਨੂੰ ਅਮੀਰ ਬਣਾ ਸਕਦੇ ਹੋ, ਅਤੇ Cisco Stealthwatch ਵਿੱਚ ਇਹ ਇੱਕ ਬਿਲਟ-ਇਨ ਫੰਕਸ਼ਨ ਹੈ ਜੋ ਤੁਰੰਤ ਇੱਕ ਅਲਾਰਮ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦਾ ਹੈ ਜੇਕਰ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਬਲੈਕਲਿਸਟ ਵਿੱਚੋਂ IP ਪਤਿਆਂ ਨਾਲ ਇੰਟਰੈਕਸ਼ਨ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ।

ਜੇਕਰ ਤੁਸੀਂ ਵਹਾਅ ਵਿਸ਼ਲੇਸ਼ਣ ਸੌਫਟਵੇਅਰ ਲਈ "ਅਦਾਇਗੀ" ਪਿਰਾਮਿਡ ਵਿੱਚ ਉੱਚੇ ਜਾਂਦੇ ਹੋ, ਤਾਂ ਬਿਲਕੁਲ ਮੁਫਤ SiLK ਤੋਂ ਬਾਅਦ ਇੱਕ ਸ਼ੇਅਰਵੇਅਰ ELK ਹੋਵੇਗਾ, ਜਿਸ ਵਿੱਚ ਤਿੰਨ ਮੁੱਖ ਭਾਗ ਹੋਣਗੇ - Elasticsearch (ਇੰਡੈਕਸਿੰਗ, ਖੋਜ ਅਤੇ ਡੇਟਾ ਵਿਸ਼ਲੇਸ਼ਣ), ਲੌਗਸਟੈਸ਼ (ਡੇਟਾ ਇਨਪੁਟ/ਆਊਟਪੁੱਟ) ) ਅਤੇ ਕਿਬਾਨਾ (ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ)। SiLK ਦੇ ਉਲਟ, ਜਿੱਥੇ ਤੁਹਾਨੂੰ ਸਭ ਕੁਝ ਖੁਦ ਲਿਖਣਾ ਪੈਂਦਾ ਹੈ, ELK ਕੋਲ ਪਹਿਲਾਂ ਹੀ ਬਹੁਤ ਸਾਰੀਆਂ ਤਿਆਰ ਕੀਤੀਆਂ ਲਾਇਬ੍ਰੇਰੀਆਂ/ਮੋਡਿਊਲ ਹਨ (ਕੁਝ ਭੁਗਤਾਨ ਕੀਤੇ ਗਏ, ਕੁਝ ਨਹੀਂ) ਜੋ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਸਵੈਚਲਿਤ ਕਰਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, Logstash ਵਿੱਚ GeoIP ਫਿਲਟਰ ਤੁਹਾਨੂੰ ਨਿਗਰਾਨੀ ਕੀਤੇ IP ਪਤਿਆਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਭੂਗੋਲਿਕ ਸਥਾਨ ਨਾਲ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ (ਸਟੀਲਥਵਾਚ ਵਿੱਚ ਇਹ ਬਿਲਟ-ਇਨ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ)।

ELK ਕੋਲ ਇੱਕ ਕਾਫ਼ੀ ਵੱਡਾ ਭਾਈਚਾਰਾ ਵੀ ਹੈ ਜੋ ਇਸ ਨਿਗਰਾਨੀ ਹੱਲ ਲਈ ਗੁੰਮ ਹੋਏ ਭਾਗਾਂ ਨੂੰ ਪੂਰਾ ਕਰ ਰਿਹਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, Netflow, IPFIX ਅਤੇ sFlow ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ ਤੁਸੀਂ ਮੋਡੀਊਲ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ elastiflow, ਜੇਕਰ ਤੁਸੀਂ Logstash Netflow ਮੋਡੀਊਲ ਤੋਂ ਸੰਤੁਸ਼ਟ ਨਹੀਂ ਹੋ, ਜੋ ਸਿਰਫ਼ Netflow ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

ਵਹਾਅ ਨੂੰ ਇਕੱਠਾ ਕਰਨ ਅਤੇ ਇਸ ਵਿੱਚ ਖੋਜ ਕਰਨ ਵਿੱਚ ਵਧੇਰੇ ਕੁਸ਼ਲਤਾ ਦਿੰਦੇ ਹੋਏ, ELK ਵਿੱਚ ਵਰਤਮਾਨ ਵਿੱਚ ਨੈਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਵਿੱਚ ਵਿਗਾੜਾਂ ਅਤੇ ਖਤਰਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਅਮੀਰ ਬਿਲਟ-ਇਨ ਵਿਸ਼ਲੇਸ਼ਣ ਦੀ ਘਾਟ ਹੈ। ਭਾਵ, ਉੱਪਰ ਦੱਸੇ ਗਏ ਜੀਵਨ ਚੱਕਰ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹੋਏ, ਤੁਹਾਨੂੰ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਉਲੰਘਣਾ ਦੇ ਮਾਡਲਾਂ ਦਾ ਵਰਣਨ ਕਰਨਾ ਹੋਵੇਗਾ ਅਤੇ ਫਿਰ ਇਸਨੂੰ ਲੜਾਈ ਪ੍ਰਣਾਲੀ ਵਿੱਚ ਵਰਤਣਾ ਹੋਵੇਗਾ (ਉੱਥੇ ਕੋਈ ਬਿਲਟ-ਇਨ ਮਾਡਲ ਨਹੀਂ ਹਨ)।

ਬੇਸ਼ੱਕ, ELK ਲਈ ਹੋਰ ਵਧੀਆ ਐਕਸਟੈਂਸ਼ਨਾਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਨੈਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਵਿੱਚ ਵਿਗਾੜਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਕੁਝ ਮਾਡਲ ਸ਼ਾਮਲ ਹਨ, ਪਰ ਅਜਿਹੇ ਐਕਸਟੈਂਸ਼ਨਾਂ ਲਈ ਪੈਸਾ ਖਰਚ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇੱਥੇ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਕੀ ਗੇਮ ਮੋਮਬੱਤੀ ਦੀ ਕੀਮਤ ਹੈ - ਇੱਕ ਸਮਾਨ ਮਾਡਲ ਆਪਣੇ ਆਪ ਲਿਖੋ, ਇਸਨੂੰ ਖਰੀਦੋ. ਤੁਹਾਡੇ ਮਾਨੀਟਰਿੰਗ ਟੂਲ ਲਈ ਲਾਗੂ ਕਰਨਾ, ਜਾਂ ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਵਿਸ਼ਲੇਸ਼ਣ ਕਲਾਸ ਦਾ ਤਿਆਰ ਕੀਤਾ ਹੱਲ ਖਰੀਦੋ।

ਆਮ ਤੌਰ 'ਤੇ, ਮੈਂ ਇਸ ਬਹਿਸ ਵਿੱਚ ਨਹੀਂ ਪੈਣਾ ਚਾਹੁੰਦਾ ਕਿ ਪੈਸਾ ਖਰਚ ਕਰਨਾ ਅਤੇ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ (ਉਦਾਹਰਨ ਲਈ, ਸਿਸਕੋ ਸਟੀਲਥਵਾਚ) ਵਿੱਚ ਗੜਬੜੀਆਂ ਅਤੇ ਖਤਰਿਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ ਇੱਕ ਤਿਆਰ-ਬਣਾਇਆ ਹੱਲ ਖਰੀਦਣਾ ਬਿਹਤਰ ਹੈ ਜਾਂ ਇਸ ਨੂੰ ਆਪਣੇ ਆਪ ਲੱਭੋ ਅਤੇ ਇਸ ਨੂੰ ਅਨੁਕੂਲਿਤ ਕਰੋ। ਹਰੇਕ ਨਵੇਂ ਖਤਰੇ ਲਈ SiLK, ELK ਜਾਂ nfdump ਜਾਂ OSU ਫਲੋ ਟੂਲਜ਼ (ਮੈਂ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਆਖਰੀ ਦੋ ਬਾਰੇ ਗੱਲ ਕਰ ਰਿਹਾ ਹਾਂ ਦੱਸਿਆ ਪਿਛਲੀ ਵਾਰ)? ਹਰ ਕੋਈ ਆਪਣੇ ਲਈ ਚੁਣਦਾ ਹੈ ਅਤੇ ਦੋਵਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਵੀ ਵਿਕਲਪ ਨੂੰ ਚੁਣਨ ਲਈ ਹਰੇਕ ਦੇ ਆਪਣੇ ਮਨੋਰਥ ਹੁੰਦੇ ਹਨ। ਮੈਂ ਸਿਰਫ਼ ਇਹ ਦਿਖਾਉਣਾ ਚਾਹੁੰਦਾ ਸੀ ਕਿ ਨੈੱਟਵਰਕ ਟੈਲੀਮੈਟਰੀ ਤੁਹਾਡੇ ਅੰਦਰੂਨੀ ਢਾਂਚੇ ਦੀ ਨੈੱਟਵਰਕ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਇੱਕ ਬਹੁਤ ਮਹੱਤਵਪੂਰਨ ਸਾਧਨ ਹੈ ਅਤੇ ਤੁਹਾਨੂੰ ਇਸ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਨਹੀਂ ਕਰਨਾ ਚਾਹੀਦਾ, ਤਾਂ ਜੋ ਉਹਨਾਂ ਕੰਪਨੀਆਂ ਦੀ ਸੂਚੀ ਵਿੱਚ ਸ਼ਾਮਲ ਨਾ ਹੋਵੋ ਜਿਨ੍ਹਾਂ ਦਾ ਨਾਮ ਮੀਡੀਆ ਵਿੱਚ ਉਪਨਾਮਾਂ ਦੇ ਨਾਲ ਦੱਸਿਆ ਗਿਆ ਹੈ। ਹੈਕ ਕੀਤਾ ਗਿਆ", "ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਲੋੜਾਂ ਦੀ ਪਾਲਣਾ ਨਾ ਕਰਨ ਵਾਲਾ" ", "ਆਪਣੇ ਡੇਟਾ ਅਤੇ ਗਾਹਕ ਡੇਟਾ ਦੀ ਸੁਰੱਖਿਆ ਬਾਰੇ ਨਹੀਂ ਸੋਚ ਰਿਹਾ।"

ਸੰਖੇਪ ਕਰਨ ਲਈ, ਮੈਂ ਉਹਨਾਂ ਮੁੱਖ ਸੁਝਾਵਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਨਾ ਚਾਹਾਂਗਾ ਜੋ ਤੁਹਾਨੂੰ ਤੁਹਾਡੇ ਅੰਦਰੂਨੀ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਨਿਗਰਾਨੀ ਬਣਾਉਣ ਵੇਲੇ ਪਾਲਣਾ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ:

1. ਆਪਣੇ ਆਪ ਨੂੰ ਸਿਰਫ ਘੇਰੇ ਤੱਕ ਸੀਮਤ ਨਾ ਕਰੋ! ਨੈੱਟਵਰਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਵਰਤੋਂ (ਅਤੇ ਚੁਣੋ) ਨਾ ਸਿਰਫ਼ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪੁਆਇੰਟ A ਤੋਂ ਪੁਆਇੰਟ B ਤੱਕ ਲਿਜਾਣ ਲਈ, ਸਗੋਂ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਮੁੱਦਿਆਂ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਵੀ।
2. ਆਪਣੇ ਨੈੱਟਵਰਕ ਉਪਕਰਨਾਂ ਵਿੱਚ ਮੌਜੂਦ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਨਿਗਰਾਨੀ ਵਿਧੀਆਂ ਦਾ ਅਧਿਐਨ ਕਰੋ ਅਤੇ ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ।
3. ਅੰਦਰੂਨੀ ਨਿਗਰਾਨੀ ਲਈ, ਟੈਲੀਮੈਟਰੀ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਤਰਜੀਹ ਦਿਓ - ਇਹ ਤੁਹਾਨੂੰ ਸਾਰੀਆਂ ਨੈਟਵਰਕ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਘਟਨਾਵਾਂ ਦਾ 80-90% ਤੱਕ ਪਤਾ ਲਗਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਨੈਟਵਰਕ ਪੈਕਟਾਂ ਨੂੰ ਕੈਪਚਰ ਕਰਨ ਅਤੇ ਸਾਰੀਆਂ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਇਵੈਂਟਾਂ ਨੂੰ ਸਟੋਰ ਕਰਨ ਲਈ ਜਗ੍ਹਾ ਬਚਾਉਣ ਵੇਲੇ ਅਸੰਭਵ ਕੰਮ ਕਰਦੇ ਹੋਏ.
4. ਪ੍ਰਵਾਹ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ ਲਈ, Netflow v9 ਜਾਂ IPFIX ਦੀ ਵਰਤੋਂ ਕਰੋ - ਉਹ ਸੁਰੱਖਿਆ ਸੰਦਰਭ ਵਿੱਚ ਵਧੇਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਕਰਦੇ ਹਨ ਅਤੇ ਤੁਹਾਨੂੰ ਨਾ ਸਿਰਫ਼ IPv4, ਸਗੋਂ IPv6, MPLS, ਆਦਿ ਦੀ ਵੀ ਨਿਗਰਾਨੀ ਕਰਨ ਦਿੰਦੇ ਹਨ।
5. ਇੱਕ ਨਮੂਨਾ ਰਹਿਤ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰੋ - ਇਹ ਧਮਕੀਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਹੋਰ ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, Netflow ਜਾਂ IPFIX।
6. ਆਪਣੇ ਨੈੱਟਵਰਕ ਸਾਜ਼ੋ-ਸਾਮਾਨ 'ਤੇ ਲੋਡ ਦੀ ਜਾਂਚ ਕਰੋ - ਹੋ ਸਕਦਾ ਹੈ ਕਿ ਇਹ ਪ੍ਰਵਾਹ ਪ੍ਰੋਟੋਕੋਲ ਨੂੰ ਵੀ ਸੰਭਾਲਣ ਦੇ ਯੋਗ ਨਾ ਹੋਵੇ। ਫਿਰ ਵਰਚੁਅਲ ਸੈਂਸਰ ਜਾਂ ਨੈੱਟਫਲੋ ਜਨਰੇਸ਼ਨ ਉਪਕਰਣ ਦੀ ਵਰਤੋਂ ਕਰਨ 'ਤੇ ਵਿਚਾਰ ਕਰੋ।
7. ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਪਹੁੰਚ ਪੱਧਰ 'ਤੇ ਨਿਯੰਤਰਣ ਨੂੰ ਲਾਗੂ ਕਰੋ - ਇਹ ਤੁਹਾਨੂੰ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਦਾ 100% ਦੇਖਣ ਦਾ ਮੌਕਾ ਦੇਵੇਗਾ।
8. ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਕੋਈ ਵਿਕਲਪ ਨਹੀਂ ਹੈ ਅਤੇ ਤੁਸੀਂ ਰੂਸੀ ਨੈੱਟਵਰਕ ਸਾਜ਼ੋ-ਸਾਮਾਨ ਦੀ ਵਰਤੋਂ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ ਇੱਕ ਚੁਣੋ ਜੋ ਫਲੋ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਜਾਂ ਜਿਸ ਵਿੱਚ SPAN/RSPAN ਪੋਰਟ ਹਨ।
9. ਕਿਨਾਰਿਆਂ 'ਤੇ ਘੁਸਪੈਠ/ਹਮਲੇ ਦੀ ਖੋਜ/ਰੋਕਥਾਮ ਪ੍ਰਣਾਲੀਆਂ ਅਤੇ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ (ਕਲਾਊਡਾਂ ਸਮੇਤ) ਵਿੱਚ ਵਹਾਅ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਜੋੜੋ।

ਆਖਰੀ ਨੁਕਤੇ ਦੇ ਸੰਬੰਧ ਵਿੱਚ, ਮੈਂ ਇੱਕ ਉਦਾਹਰਣ ਦੇਣਾ ਚਾਹਾਂਗਾ ਜੋ ਮੈਂ ਪਹਿਲਾਂ ਹੀ ਦਿੱਤਾ ਹੈ. ਤੁਸੀਂ ਦੇਖਦੇ ਹੋ ਕਿ ਜੇਕਰ ਪਹਿਲਾਂ Cisco ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਸੇਵਾ ਨੇ ਘੁਸਪੈਠ ਖੋਜ ਪ੍ਰਣਾਲੀਆਂ ਅਤੇ ਦਸਤਖਤ ਵਿਧੀਆਂ ਦੇ ਆਧਾਰ 'ਤੇ ਆਪਣੀ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀ ਨੂੰ ਲਗਭਗ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਣਾਇਆ ਸੀ, ਤਾਂ ਹੁਣ ਉਹ ਸਿਰਫ 20% ਘਟਨਾਵਾਂ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹਨ। ਇੱਕ ਹੋਰ 20% ਵਹਾਅ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਣਾਲੀਆਂ 'ਤੇ ਪੈਂਦਾ ਹੈ, ਜੋ ਸੁਝਾਅ ਦਿੰਦਾ ਹੈ ਕਿ ਇਹ ਹੱਲ ਇੱਕ ਸਨਕੀ ਨਹੀਂ ਹਨ, ਪਰ ਇੱਕ ਆਧੁਨਿਕ ਉੱਦਮ ਦੀਆਂ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਸੇਵਾਵਾਂ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ ਵਿੱਚ ਇੱਕ ਅਸਲ ਸਾਧਨ ਹਨ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਤੁਹਾਡੇ ਕੋਲ ਉਹਨਾਂ ਦੇ ਲਾਗੂ ਕਰਨ ਲਈ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਚੀਜ਼ ਹੈ - ਨੈੱਟਵਰਕ ਬੁਨਿਆਦੀ ਢਾਂਚਾ, ਨਿਵੇਸ਼ ਜਿਸ ਵਿੱਚ ਨੈੱਟਵਰਕ ਨੂੰ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਨਿਗਰਾਨੀ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਸੌਂਪ ਕੇ ਹੋਰ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਮੈਂ ਖਾਸ ਤੌਰ 'ਤੇ ਨੈਟਵਰਕ ਪ੍ਰਵਾਹਾਂ ਵਿੱਚ ਪਛਾਣੀਆਂ ਗਈਆਂ ਵਿਗਾੜਾਂ ਜਾਂ ਖਤਰਿਆਂ ਦਾ ਜਵਾਬ ਦੇਣ ਦੇ ਵਿਸ਼ੇ 'ਤੇ ਨਹੀਂ ਛੂਹਿਆ, ਪਰ ਮੈਂ ਸੋਚਦਾ ਹਾਂ ਕਿ ਇਹ ਪਹਿਲਾਂ ਹੀ ਸਪੱਸ਼ਟ ਹੈ ਕਿ ਨਿਗਰਾਨੀ ਸਿਰਫ ਖ਼ਤਰੇ ਦੀ ਖੋਜ ਨਾਲ ਖਤਮ ਨਹੀਂ ਹੋਣੀ ਚਾਹੀਦੀ. ਇਹ ਇੱਕ ਜਵਾਬ ਦੁਆਰਾ ਅਤੇ ਤਰਜੀਹੀ ਤੌਰ 'ਤੇ ਇੱਕ ਆਟੋਮੈਟਿਕ ਜਾਂ ਸਵੈਚਲਿਤ ਮੋਡ ਵਿੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਪਰ ਇਹ ਇੱਕ ਵੱਖਰੇ ਲੇਖ ਲਈ ਇੱਕ ਵਿਸ਼ਾ ਹੈ.

ਵਧੀਕ ਜਾਣਕਾਰੀ:

• Cisco IOS Netflow ਦਾ ਵਰਣਨ
• ਵੱਖ-ਵੱਖ ਸਿਸਕੋ ਹੱਲਾਂ ਵਿੱਚ ਨੈੱਟਫਲੋ ਸਪੋਰਟ ਮੈਟਰਿਕਸ
• ਵੱਖ-ਵੱਖ ਸਿਸਕੋ ਪਲੇਟਫਾਰਮਾਂ 'ਤੇ ਨੈੱਟਫਲੋ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਲਈ ਗਾਈਡ
• sFlow ਕਮਿਊਨਿਟੀ
• ਸੁਰੱਖਿਆ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਨੈੱਟਫਲੋ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਲਈ Stealtjwatch, SiLK ਅਤੇ ELK ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀ ਲੈਬ
• SiLK ਵੈੱਬਸਾਈਟ
• ਬਹੁਤ ਸਾਰੀਆਂ ਉਦਾਹਰਣਾਂ ਦੇ ਨਾਲ SiLK ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਤਿੰਨ-ਸੌ ਪੰਨਿਆਂ ਦੀ ਗਾਈਡ
• ਲੌਗਸਟੈਸ਼ ਨੈੱਟਫਲੋ ਮੋਡੀਊਲ
• ELK ਵਿੱਚ ਨੈੱਟਫਲੋ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਸਿਸਕੋ ਕਦਮ-ਦਰ-ਕਦਮ ਗਾਈਡ
• Logstash (ELK) ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ NetFlow v.9 Cisco ASA ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ
• ਸਿਸਕੋ ਸਟੀਲਥਵਾਚ ਹੱਲ

ਪੀ.ਐਸ. ਜੇਕਰ ਤੁਹਾਡੇ ਲਈ ਉੱਪਰ ਲਿਖੀ ਗਈ ਹਰ ਚੀਜ਼ ਨੂੰ ਸੁਣਨਾ ਆਸਾਨ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਇਸ ਨੋਟ ਦੇ ਆਧਾਰ 'ਤੇ ਘੰਟਾ-ਲੰਬੀ ਪੇਸ਼ਕਾਰੀ ਦੇਖ ਸਕਦੇ ਹੋ।

ਸਰੋਤ: www.habr.com