{"id":37189,"date":"2019-10-31T22:16:15","date_gmt":"2019-10-31T19:16:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\/"},"modified":"2019-10-31T22:16:15","modified_gmt":"2019-10-31T19:16:15","slug":"setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","title":{"rendered":"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/8509341060b74259e9383af1b28c1e59.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nRecentemente, \u00e9 poss\u00edvel encontrar uma enorme quantidade de materiais sobre o tema <b>an\u00e1lise de tr\u00e1fego na borda da rede<\/b>. No entanto, todos parecem ter esquecido sobre a <b>an\u00e1lise de tr\u00e1fego local<\/b>, que \u00e9 igualmente importante. Este artigo aborda exatamente esse tema. Usando como exemplo <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/flowmon\">Flowmon Networks<\/a><\/noindex> , vamos relembrar o antigo e bom Netflow (e suas alternativas), analisaremos casos interessantes, poss\u00edveis anomalias na rede e conheceremos as vantagens da solu\u00e7\u00e3o quando <b>toda a rede funciona como um \u00fanico sensor<\/b>. E o mais importante \u2014 realizar tal an\u00e1lise de tr\u00e1fego local pode ser feito completamente gr\u00e1tis, no \u00e2mbito de uma licen\u00e7a trial (<b>45 dias<\/b>). Se o tema lhe interessa, sinta-se \u00e0 vontade para continuar lendo. Se voc\u00ea est\u00e1 com pregui\u00e7a de ler, j\u00e1 adiantando, voc\u00ea pode se registrar para o <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/events\/vebinari_flowmon\">pr\u00f3ximo webinar<\/a><\/noindex>, onde mostraremos tudo e falaremos (l\u00e1 voc\u00ea tamb\u00e9m poder\u00e1 saber sobre o treinamento do produto que est\u00e1 por vir).<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h3>O que \u00e9 Flowmon Networks?<\/h3>\n<p>\nPrimeiramente, Flowmon \u00e9 um fornecedor de TI europeu. A empresa \u00e9 checa, com sede na cidade de Brno (a quest\u00e3o das san\u00e7\u00f5es nem se levanta). Em sua forma atual, a empresa est\u00e1 no mercado desde 2007. Antes disso, era conhecida sob a marca Invea-Tech. Assim, no total, quase 20 anos foram dedicados ao desenvolvimento de produtos e solu\u00e7\u00f5es.<\/p>\n<p>Flowmon se posiciona como uma marca de classe A. Desenvolve solu\u00e7\u00f5es premium para clientes corporativos e \u00e9 reconhecida nos gr\u00e1ficos da Gartner na \u00e1rea de Monitoramento e Diagn\u00f3stico de Desempenho de Redes (NPMD). E curiosamente, entre todas as empresas no relat\u00f3rio, Flowmon \u00e9 o \u00fanico fornecedor mencionado pela Gartner como produtor de solu\u00e7\u00f5es tanto para monitoramento de redes quanto para prote\u00e7\u00e3o de informa\u00e7\u00f5es (An\u00e1lise de Comportamento de Rede). N\u00e3o ocupa o primeiro lugar ainda, mas por causa disso tamb\u00e9m n\u00e3o tem um pre\u00e7o astron\u00f4mico.<\/p>\n<h3>Quais problemas o produto permite resolver?<\/h3>\n<p>\nGlobalmente, podemos destacar o seguinte conjunto de problemas que os produtos da empresa resolvem:<\/p>\n<ol>\n<li>aumento da estabilidade do funcionamento da rede, bem como dos recursos de rede, minimizando o tempo de inatividade e indisponibilidade;<\/li>\n<li>aumento do n\u00edvel geral de desempenho da rede;<\/li>\n<li>aumento da efic\u00e1cia do pessoal de administra\u00e7\u00e3o, atrav\u00e9s de:\n<ul>\n<li>uso de ferramentas modernas de monitoramento de rede inovadoras, baseadas em informa\u00e7\u00f5es sobre fluxos de IP;<\/li>\n<li> fornecimento de an\u00e1lises detalhadas sobre o funcionamento e o estado da rede \u2013 usu\u00e1rios e aplica\u00e7\u00f5es que operam na rede, dados transmitidos, recursos interativos, servi\u00e7os e n\u00f3s;<\/li>\n<li> resposta a incidentes antes que eles ocorram, em vez de ap\u00f3s a perda de servi\u00e7o pelos usu\u00e1rios e clientes;<\/li>\n<li> redu\u00e7\u00e3o do tempo e dos recursos necess\u00e1rios para a administra\u00e7\u00e3o da rede e da infraestrutura de TI;<\/li>\n<li> simplifica\u00e7\u00e3o das tarefas de solu\u00e7\u00e3o de problemas.<\/li>\n<\/ul>\n<\/li>\n<li>aumento do n\u00edvel de seguran\u00e7a da rede e dos recursos de informa\u00e7\u00e3o da empresa, por meio do uso de tecnologias n\u00e3o baseadas em assinatura para detectar atividades de rede an\u00f4malas e maliciosas, assim como ataques de dia zero;<\/li>\n<li>garantia do n\u00edvel de SLA exigido para aplica\u00e7\u00f5es de rede e bancos de dados.<\/li>\n<\/ol>\n<p><\/p>\n<h3>Portf\u00f3lio de produtos da Flowmon Networks<\/h3>\n<p>\nAgora vamos considerar diretamente o portf\u00f3lio de produtos da Flowmon Networks e descobrir do que a empresa realmente se ocupa. Como muitos j\u00e1 devem ter adivinhado pelo nome, a especializa\u00e7\u00e3o principal est\u00e1 em solu\u00e7\u00f5es para monitoramento de tr\u00e1fego flow, al\u00e9m de uma s\u00e9rie de m\u00f3dulos adicionais que ampliam a funcionalidade b\u00e1sica.<\/p>\n<p>De fato, a Flowmon pode ser chamada de uma empresa de um \u00fanico produto, ou melhor \u2013 de uma \u00fanica solu\u00e7\u00e3o. Vamos analisar se isso \u00e9 bom ou ruim.<\/p>\n<p>O n\u00facleo do sistema \u00e9 o coletor, respons\u00e1vel pela coleta de dados atrav\u00e9s de diversos protocolos de flow, como <b>NetFlow v5\/v9, jFlow, sFlow, NetStream, IPFIX<\/b>\u2026 \u00c9 bastante l\u00f3gico que, para uma empresa n\u00e3o afiliada a nenhum dos fabricantes de equipamentos de rede, \u00e9 importante oferecer ao mercado um produto universal, n\u00e3o vinculado a um \u00fanico padr\u00e3o ou protocolo.<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/d8dddeaa90c8bc03b78282b7ca00ea86.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Flowmon Collector<\/i><\/p>\n<p>O coletor \u00e9 disponibilizado tanto na forma de um servidor f\u00edsico quanto na forma de uma m\u00e1quina virtual (VMware, Hyper-V, KVM). A prop\u00f3sito, a plataforma f\u00edsica \u00e9 implementada em servidores DELL personalizados, o que automaticamente elimina a maior parte das quest\u00f5es relacionadas \u00e0 garantia e RMA. Sua \u00fanica componente de hardware s\u00e3o as placas FPGA para captura de tr\u00e1fego, desenvolvidas pela empresa subsidi\u00e1ria da Flowmon, permitindo monitoramento em velocidades de at\u00e9 100 Gbps.<\/p>\n<p>Mas o que fazer se o equipamento de rede existente n\u00e3o tem a capacidade de gerar um flow de qualidade? Ou se a carga sobre o equipamento \u00e9 muito alta? Sem problemas:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/53dda0e4f42ddbf7a8add1064e0ab913.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Flowmon Prob<\/i><\/p>\n<p>Neste caso, a Flowmon Networks oferece o uso de sondas pr\u00f3prias (Flowmon Probe), que se conectam \u00e0 rede atrav\u00e9s da porta SPAN do switch ou utilizando divisores passivos TAP.<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/298507c4bcb3d562f9621ff59ee6018f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Op\u00e7\u00f5es de implementa\u00e7\u00e3o SPAN (porta espelho) e TAP<\/i><\/p>\n<p>Nesse caso, o tr\u00e1fego \u2018bruto\u2019 que chega na Flowmon Probe \u00e9 convertido em IPFIX avan\u00e7ado, contendo mais <b>240 m\u00e9tricas com informa\u00e7\u00f5es<\/b>. Enquanto isso, no protocolo padr\u00e3o NetFlow, gerado pelo equipamento de rede, n\u00e3o h\u00e1 mais de 80 m\u00e9tricas. Isso permite a visibilidade dos protocolos n\u00e3o apenas nos n\u00edveis 3 e 4, mas tamb\u00e9m no n\u00edvel 7 segundo o modelo ISO OSI. Como resultado, os administradores de rede podem monitorar o funcionamento de aplicativos e protocolos como e-mail, HTTP, DNS, SMB\u2026<\/p>\n<p>Conceitualmente, a arquitetura l\u00f3gica do sistema parece da seguinte forma:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/273517a6aa47726fe51c498114908c14.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA parte central de toda a \u2018ecosfera\u2019 da Flowmon Networks \u00e9 o Collector, que recebe o tr\u00e1fego do equipamento de rede existente ou das suas pr\u00f3prias sondas (Probe). Mas para a solu\u00e7\u00e3o Enterprise, oferecer funcionalidade apenas para monitoramento de tr\u00e1fego de rede seria muito simples. Isso tamb\u00e9m pode ser feito por solu\u00e7\u00f5es Open Source, ainda que n\u00e3o com a mesma performance. O valor da Flowmon reside em m\u00f3dulos adicionais que expandem a funcionalidade b\u00e1sica:<\/p>\n<ul>\n<li>m\u00f3dulo <b>Detec\u00e7\u00e3o de Anomalias de Seguran\u00e7a<\/b> \u2013 identifica\u00e7\u00e3o de atividades an\u00f4malas na rede, incluindo ataques de \u2018zero-day\u2019, com base na an\u00e1lise heur\u00edstica do tr\u00e1fego e no perfil de rede t\u00edpico;<\/li>\n<li>m\u00f3dulo <b>Monitoramento de Desempenho de Aplica\u00e7\u00f5es<\/b> \u2013 controle de performance de aplica\u00e7\u00f5es de rede sem a necessidade de instalar \u2018agentes\u2019 ou impactar os sistemas-alvo;<\/li>\n<li>m\u00f3dulo <b>Gravador de Tr\u00e1fego<\/b> \u2013 grava\u00e7\u00e3o de fragmentos de tr\u00e1fego de rede com base em um conjunto pr\u00e9-definido de regras ou por um gatilho do m\u00f3dulo ADS, para posterior troubleshooting e\/ou investiga\u00e7\u00e3o de incidentes de seguran\u00e7a da informa\u00e7\u00e3o;<\/li>\n<li>m\u00f3dulo <b>Prote\u00e7\u00e3o DDoS<\/b> \u2013 prote\u00e7\u00e3o do per\u00edmetro da rede contra ataques volum\u00e9tricos de nega\u00e7\u00e3o de servi\u00e7o DoS\/DDoS, incluindo ataques a aplica\u00e7\u00f5es (OSI L3\/L4\/L7).<\/li>\n<\/ul>\n<p>\nNeste artigo, vamos examinar como tudo funciona na pr\u00e1tica com base em 2 m\u00f3dulos \u2013 <b>Monitoramento e Diagn\u00f3stico de Performance de Rede<\/b> e <b>Detec\u00e7\u00e3o de Anomalias de Seguran\u00e7a<\/b>.<br \/>\nDados iniciais:<\/p>\n<ul>\n<li>servidor Lenovo RS 140 com hipervisor VMware 6.0;<\/li>\n<li>imagem da m\u00e1quina virtual Flowmon Collector, que pode ser <noindex><a rel=\"nofollow\" href=\"https:\/\/www.flowmon.com\/en\/download-free-trial\">baixada aqui<\/a><\/noindex>;<\/li>\n<li>um par de switches com suporte a protocolos flow.<\/li>\n<\/ul>\n<p><\/p>\n<h3>Passo 1. Instala\u00e7\u00e3o do Flowmon Collector<\/h3>\n<p>\nA implementa\u00e7\u00e3o de uma m\u00e1quina virtual no VMware ocorre de forma completamente padr\u00e3o a partir do modelo OVF. No final, obtemos uma m\u00e1quina virtual rodando CentOS e com software pronto para uso. Os requisitos de recursos s\u00e3o razo\u00e1veis:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/9ae1559b01c639763e0053ee1de120ca.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nResta apenas executar a inicializa\u00e7\u00e3o b\u00e1sica com o comando <b>sysconfig<\/b>:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/c65a47dfd025595f7256b1e30b941e42.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nConfigura-se o IP na porta de gerenciamento, DNS, hora, hostname e podemos nos conectar \u00e0 interface WEB.<\/p>\n<h3>Passo 2. Instala\u00e7\u00e3o da licen\u00e7a<\/h3>\n<p>\nUma licen\u00e7a de teste de um m\u00eas e meio \u00e9 gerada e baixada junto com a imagem da m\u00e1quina virtual. \u00c9 carregada por meio de <b>Configuration Center -&gt; License<\/b>. No final, vemos:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/a5c1c99ad14cf4ca5dfb560d55fa369d.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nTudo pronto. Podemos come\u00e7ar a trabalhar.<\/p>\n<h3>Passo 3. Configura\u00e7\u00e3o do receptor no coletor<\/h3>\n<p>\nNeste est\u00e1gio, \u00e9 necess\u00e1rio decidir como os dados das fontes ser\u00e3o enviados ao sistema. Como j\u00e1 mencionamos, isso pode ser um dos protocolos flow ou a porta SPAN no switch.<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/3ff1c77a58c152314a1615dd98ca92ca.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEm nosso exemplo, vamos usar a recep\u00e7\u00e3o de dados pelos protocolos <b>NetFlow v9 e IPFIX<\/b>. Nesse caso, como alvo, indicamos o endere\u00e7o IP da interface de gerenciamento \u2013 <b>192.168.78.198<\/b>. As interfaces eth2 e eth3 (do tipo Monitoring interface) s\u00e3o usadas para receber uma c\u00f3pia do tr\u00e1fego \"bruto\" da porta SPAN do switch. Vamos ignor\u00e1-las, n\u00e3o \u00e9 o nosso caso.<br \/>\nEm seguida, verificamos a porta do coletor, onde o tr\u00e1fego deve chegar.<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/31fff2f3bfef52b001edb39bdb3293f9.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNo nosso caso, o coletor espera tr\u00e1fego na porta UDP\/2055.<\/p>\n<h3>Passo 4. Configura\u00e7\u00e3o do equipamento de rede para exporta\u00e7\u00e3o de flow<\/h3>\n<p>\nConfigurar o NetFlow em equipamentos da Cisco Systems pode ser considerado uma tarefa bastante comum para qualquer administrador de rede. Para nosso exemplo, vamos escolher algo mais inusitado. Por exemplo, o roteador MikroTik RB2011UiAS-2HnD. Sim, estranhamente, essa solu\u00e7\u00e3o econ\u00f4mica para pequenos e home offices tamb\u00e9m suporta os protocolos NetFlow v5\/v9 e IPFIX. Nas configura\u00e7\u00f5es, definimos o alvo (endere\u00e7o do coletor 192.168.78.198 e porta 2055):<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/3604b4c1c0b013a3822e99d97ab9e9cb.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nE adicionamos todas as m\u00e9tricas dispon\u00edveis para exporta\u00e7\u00e3o:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/f22fa921b4195b184e82c12a2b852f3c.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nCom isso, podemos dizer que a configura\u00e7\u00e3o b\u00e1sica est\u00e1 conclu\u00edda. Verificamos se o tr\u00e1fego est\u00e1 chegando ao sistema.<\/p>\n<h3>Passo 5. Verifica\u00e7\u00e3o e opera\u00e7\u00e3o do m\u00f3dulo Network Performance Monitoring and Diagnostics<\/h3>\n<p>\nPara verificar a presen\u00e7a de tr\u00e1fego da fonte, podemos acessar a se\u00e7\u00e3o <b>Flowmon Monitoring Center \u2013&gt; Sources<\/b>:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/b167ac4ba70c07d9d0fb521a1cf1a7ea.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPodemos ver que os dados est\u00e3o chegando ao sistema. Ap\u00f3s algum tempo, quando o coletor acumular tr\u00e1fego, os widgets come\u00e7ar\u00e3o a exibir informa\u00e7\u00f5es:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/8cee4912c371366ff30ff7597f87cabc.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nFoi constru\u00edda uma sistema com base no princ\u00edpio drill down. Ou seja, o usu\u00e1rio, ao escolher um fragmento de seu interesse no esquema ou gr\u00e1fico, \"mergulha\" at\u00e9 o n\u00edvel de profundidade dos dados que precisa:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/1caa3b3c59dcd77210f690606a16740f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAt\u00e9 informa\u00e7\u00f5es sobre cada conex\u00e3o de rede e conex\u00e3o:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/ef8c8f4d2df0ae65b94fcc3be058099b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>Passo 6. M\u00f3dulo de Detec\u00e7\u00e3o de Anomalias de Seguran\u00e7a<\/h3>\n<p>\nEste m\u00f3dulo pode ser considerado, sem d\u00favida, um dos mais interessantes, devido ao uso de m\u00e9todos de detec\u00e7\u00e3o de anomalias sem assinatura no tr\u00e1fego de rede e na atividade maliciosa da rede. Mas isso n\u00e3o \u00e9 um sistema equivalente ao IDS\/IPS. O trabalho com o m\u00f3dulo come\u00e7a com seu \"treinamento\". Para isso, em um assistente especial, s\u00e3o especificados todos os componentes e servi\u00e7os-chave da rede, incluindo:<\/p>\n<ul>\n<li>os endere\u00e7os dos servidores de gateway, DNS, DHCP e NTP,<\/li>\n<li>endere\u00e7amento nos segmentos de usu\u00e1rios e servidores.<\/li>\n<\/ul>\n<p>\nDepois disso, o sistema passa para o modo de treinamento, que geralmente dura de 2 semanas a 1 m\u00eas. Durante esse tempo, o sistema forma uma baseline de tr\u00e1fego, caracter\u00edstico diretamente da nossa rede. Em outras palavras, o sistema estuda:<\/p>\n<ul>\n<li>qual comportamento \u00e9 caracter\u00edstico para os n\u00f3s da rede?<\/li>\n<li>quais volumes de dados geralmente s\u00e3o transmitidos e considerados normais para a rede?<\/li>\n<li>qual \u00e9 o tempo de uso t\u00edpico para os usu\u00e1rios?<\/li>\n<li>quais aplicativos est\u00e3o em execu\u00e7\u00e3o na rede?<\/li>\n<li>e muito mais..<\/li>\n<\/ul>\n<p>\nComo resultado, obtemos uma ferramenta que identifica quaisquer anomalias na nossa rede e desvios do comportamento caracter\u00edstico. Aqui est\u00e3o alguns exemplos que o sistema pode detectar:<\/p>\n<ul>\n<li>dissemina\u00e7\u00e3o na rede de um novo malware, n\u00e3o detect\u00e1vel por assinaturas de antiv\u00edrus;<\/li>\n<li>constru\u00e7\u00e3o de t\u00faneis DNS, ICMP ou outros e transmiss\u00e3o de dados contornando o firewall;<\/li>\n<li>aparecimento na rede de um novo computador se passando por um servidor DHCP e\/ou DNS.<\/li>\n<\/ul>\n<p>\nVamos ver como isso se apresenta na pr\u00e1tica. Depois que seu sistema foi treinado e construiu a baseline do tr\u00e1fego da rede, ele come\u00e7a a detectar incidentes:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/e4d7d168716fc9f703dd9f14faf5816f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA p\u00e1gina principal do m\u00f3dulo \u2013 um gr\u00e1fico temporal mostrando os incidentes identificados. No nosso exemplo, vemos um aumento claro, aproximadamente entre 9 e 16 horas. Destacamos isso e olhamos em mais detalhes. <\/p>\n<p>\u00c9 claramente percept\u00edvel o comportamento an\u00f4malo de um invasor na rede. Tudo come\u00e7a quando o host com o endere\u00e7o 192.168.3.225 inicia uma varredura horizontal na rede pela porta 3389 (servi\u00e7o Microsoft RDP) e encontra 14 potenciais \"v\u00edtimas\":<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/5844fab428bd7adedbc694bf7dc7f19e.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\ne<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/566cb37c28eb803d404e06a8d61372c3.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nO pr\u00f3ximo incidente detectado \u00e9 que o host 192.168.3.225 inicia um ataque de for\u00e7a bruta tentando adivinhar as senhas no servi\u00e7o RDP (porta 3389) nos endere\u00e7os anteriormente identificados:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/18c97646b3982c5a9db86901cae9f5a7.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nComo resultado do ataque, uma anomalia SMTP \u00e9 registrada em um dos hosts invadidos. Em outras palavras, come\u00e7ou a dissemina\u00e7\u00e3o de SPAM:<\/p>\n<p><img decoding=\"async\" alt=\"Monitoramento de rede e detec\u00e7\u00e3o de atividade an\u00f4mala na rede com solu\u00e7\u00f5es da Flowmon Networks\" src=\"\/wp-content\/uploads\/2019\/08\/fd1fce3c9bb23903a3c54d270924c5fe.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEste exemplo \u00e9 uma demonstra\u00e7\u00e3o clara das capacidades de opera\u00e7\u00e3o do sistema e do m\u00f3dulo de Detec\u00e7\u00e3o An\u00f4mala de Seguran\u00e7a, em particular. Julgue a efic\u00e1cia por si mesmo. Com isso, conclu\u00edmos nossa vis\u00e3o funcional da solu\u00e7\u00e3o.<\/p>\n<h3>Conclus\u00e3o<\/h3>\n<p>\nResumindo, quais conclus\u00f5es sobre o Flowmon podemos fazer no final das contas:<\/p>\n<ul>\n<li>Flowmon \u00e9 uma solu\u00e7\u00e3o de n\u00edvel premium para clientes corporativos;<\/li>\n<li>Gra\u00e7as \u00e0 sua versatilidade e compatibilidade, a coleta de dados est\u00e1 dispon\u00edvel a partir de qualquer fonte: equipamentos de rede (Cisco, Juniper, HPE, Huawei\u2026) ou sondas pr\u00f3prias (Flowmon Probe);<\/li>\n<li>As capacidades de escalabilidade da solu\u00e7\u00e3o permitem expandir a funcionalidade do sistema por meio da adi\u00e7\u00e3o de novos m\u00f3dulos, al\u00e9m de aumentar o desempenho gra\u00e7as a uma abordagem flex\u00edvel de licenciamento;<\/li>\n<li>Com o uso de tecnologias de an\u00e1lise sem assinatura, o sistema pode detectar at\u00e9 mesmo ataques zero-day que n\u00e3o s\u00e3o conhecidos por antiv\u00edrus e sistemas IDS\/IPS;<\/li>\n<li>Gra\u00e7as \u00e0 total \"transpar\u00eancia\" em termos de instala\u00e7\u00e3o e presen\u00e7a do sistema na rede, a solu\u00e7\u00e3o n\u00e3o afeta o funcionamento de outros n\u00f3s e componentes da sua infraestrutura de TI;<\/li>\n<li>Flowmon \u00e9 a \u00fanica solu\u00e7\u00e3o no mercado que suporta monitoramento de tr\u00e1fego em velocidades de at\u00e9 100 Gbit\/s;<\/li>\n<li>Flowmon \u00e9 uma solu\u00e7\u00e3o para redes de qualquer escala;<\/li>\n<li>Melhor rela\u00e7\u00e3o custo \/ funcionalidade entre solu\u00e7\u00f5es semelhantes.<\/li>\n<\/ul>\n<p>\nNeste artigo, analisamos menos de 10% da funcionalidade total da solu\u00e7\u00e3o. No pr\u00f3ximo artigo, falaremos sobre os outros m\u00f3dulos do Flowmon Networks. Usando o m\u00f3dulo de Monitoramento de Desempenho de Aplica\u00e7\u00f5es, demonstraremos como os administradores de aplicativos de neg\u00f3cios podem garantir a disponibilidade em um n\u00edvel SLA definido e diagnosticar problemas o mais r\u00e1pido poss\u00edvel.<\/p>\n<p>Al\u00e9m disso, gostar\u00edamos de convid\u00e1-lo para nosso webinar (10.09.2019), dedicado \u00e0s solu\u00e7\u00f5es do fornecedor Flowmon Networks. Para pr\u00e9-registro, pedimos que voc\u00ea <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/events\/vebinari_flowmon\">fa\u00e7a a inscri\u00e7\u00e3o aqui<\/a><\/noindex>.<br \/>\nPor enquanto, \u00e9 isso, obrigado pelo seu interesse!<\/p>\n<p class=\"for_users_only_msg\">Apenas usu\u00e1rios registrados podem participar da pesquisa. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/auth\/login\/\">Entre<\/a><\/noindex>, por favor.<\/p>\n<h2 class=\"default-block__polling-title\">Voc\u00ea utiliza Netflow para monitoramento de rede?<\/h2>\n<ul class=\"content-list content-list_polling\">\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    Sim<\/p>\n<\/li>\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    N\u00e3o, mas pretendo<\/p>\n<\/li>\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    N\u00e3o<\/p>\n<\/li>\n<\/ul>\n<p>    9 usu\u00e1rios votaram. 3 usu\u00e1rios abstiveram-se.<br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/463625\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0412 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u0432 \u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0435 \u043a\u043e\u043b-\u0432\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u0442\u0435\u043c\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440\u0435 \u0441\u0435\u0442\u0438. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0441\u0435 \u043f\u043e\u0447\u0435\u043c\u0443-\u0442\u043e \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u043d\u043e \u0437\u0430\u0431\u044b\u043b\u0438 \u043e\u0431 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u043c. \u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043a\u0430\u043a \u0440\u0430\u0437 \u0438 \u043f\u043e\u0441\u0435\u0449\u0435\u043d\u0430 \u044d\u0442\u043e\u0439 \u0442\u0435\u043c\u0435. \u041d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 Flowmon Networks \u043c\u044b \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043c \u0441\u0442\u0430\u0440\u044b\u0439 \u0434\u043e\u0431\u0440\u044b\u0439 Netflow (\u0438 \u0435\u0433\u043e \u0430\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u044b), \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u043a\u0435\u0439\u0441\u044b, [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":27883,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37189","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\".\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0421\u0435\u0442\u0435\u0432\u043e\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u0439 Flowmon Networks | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\".\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T19:16:15+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T19:16:15+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Monitoramento de rede e identifica\u00e7\u00e3o de atividades an\u00f4malas na rede com solu\u00e7\u00f5es Flowmon Networks | ProHoster","description":".","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u0435\u0442\u0435\u0432\u043e\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u0439 Flowmon Networks | ProHoster","og:description":".","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:16:15+00:00","article:modified_time":"2019-10-31T19:16:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37189","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 16:39:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:32:13","updated":"2026-01-23 16:39:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/37189","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=37189"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/37189\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/27883"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=37189"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=37189"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=37189"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}