{"id":37437,"date":"2019-10-31T22:17:38","date_gmt":"2019-10-31T19:17:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\/"},"modified":"2019-10-31T22:17:38","modified_gmt":"2019-10-31T19:17:38","slug":"flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","title":{"rendered":"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>Ke\u010f sa hovor\u00ed o monitorovan\u00ed bezpe\u010dnosti vn\u00fatornej firemnej alebo \u0161t\u00e1tnej siete, mnoh\u00fdm sa hne\u010f vynor\u00ed predstava kontroly \u00fanikov inform\u00e1ci\u00ed a zav\u00e1dzania DLP rie\u0161en\u00ed. Ak sa ale pok\u00fasime objasni\u0165 ot\u00e1zku a op\u00fdta\u0165 sa, ako zist\u00edte \u00fatoky vo vn\u00fatornej sieti, odpove\u010fou b\u00fdva zvy\u010dajne zmienka o syst\u00e9moch detekcie \u00fatokov (intrusion detection systems, IDS). A to, \u010do bolo jedinou mo\u017enos\u0165ou pred 10-20 rokmi, sa dnes st\u00e1va anachronizmom. Existuje efekt\u00edvnej\u0161ia, miestami aj jedin\u00e1 mo\u017en\u00e1 varianta monitorovania vn\u00fatornej siete \u2014 vyu\u017e\u00edva\u0165 flow protokoly, p\u00f4vodne ur\u010den\u00e9 na h\u013eadanie sie\u0165ov\u00fdch probl\u00e9mov (troubleshooting), ale \u010dasom sa transformovali na ve\u013emi zauj\u00edmav\u00fd n\u00e1stroj bezpe\u010dnosti. O tom, ak\u00e9 flow protokoly existuj\u00fa a ktor\u00e9 z nich najlep\u0161ie pom\u00e1haj\u00fa odha\u013eova\u0165 sie\u0165ov\u00e9 \u00fatoky, kde je najlep\u0161ie zavies\u0165 monitorovanie flow, na \u010do si da\u0165 pozor pri nasaden\u00ed takejto sch\u00e9my, a dokonca ako to v\u0161etko \u201erozbehn\u00fa\u0165\u201c na dom\u00e1com zariaden\u00ed, budeme hovori\u0165 v r\u00e1mci tohto \u010dl\u00e1nku.<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<p>Nebudem sa zastavova\u0165 na ot\u00e1zke \u201ePre\u010do je potrebn\u00e9 monitorovanie bezpe\u010dnosti vn\u00fatornej infra\u0161trukt\u00fary?\u201c Odpove\u010f na \u0148u je u\u017e viac-menej jasn\u00e1. Ale ak by ste sa predsa len chceli e\u0161te raz presved\u010di\u0165, \u017ee dnes bez toho sa nikam nepohneme, <noindex><a rel=\"nofollow\" href=\"https:\/\/gblogs.cisco.com\/ru\/17attackvectors\/\">pozrite si<\/a><\/noindex> kr\u00e1tke video s rozpr\u00e1van\u00edm o tom, ako mo\u017eno 17 sp\u00f4sobmi prenikn\u00fa\u0165 do firemnej siete, chr\u00e1nen\u00e9 firewallom. Preto budeme pova\u017eova\u0165, \u017ee ch\u00e1peme, \u017ee vn\u00fatorn\u00e9 monitorovanie je potrebn\u00e9 a zost\u00e1va len pochopi\u0165, ako ho m\u00f4\u017eeme zorganizova\u0165.<\/p>\n<p>Vyzdvihol by som tri k\u013e\u00fa\u010dov\u00e9 zdroje \u00fadajov na monitorovanie infra\u0161trukt\u00fary na sie\u0165ovej \u00farovni:<\/p>\n<ul>\n<li>\u201esurov\u00fd\u201c trafik, ktor\u00fd zachyt\u00e1vame a pod\u00e1vame na anal\u00fdzu niektor\u00fdm analyza\u010dn\u00fdm syst\u00e9mom,<\/li>\n<li>udalosti zo sie\u0165ov\u00fdch zariaden\u00ed, cez ktor\u00e9 prech\u00e1dza trafik,<\/li>\n<li>inform\u00e1cie o traffiku z\u00edskan\u00e9 prostredn\u00edctvom jedn\u00e9ho z flow protokolov.<\/li>\n<\/ul>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/09c7087593661d5b159ecc9e9ab39d16.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZachytenie surov\u00e9ho trafficu je najpopul\u00e1rnej\u0161ou vo\u013ebou medzi bezpe\u010dnostn\u00fdmi odborn\u00edkmi, preto\u017ee historicky vzniklo ako prv\u00e9. Be\u017en\u00e9 sie\u0165ov\u00e9 syst\u00e9my na detekciu \u00fatokov (prv\u00fdm komer\u010dn\u00fdm syst\u00e9mom na detekciu \u00fatokov bol NetRanger od spolo\u010dnosti Wheel Group, ktor\u00fd v roku 1998 zak\u00fapila spolo\u010dnos\u0165 Cisco) sa prim\u00e1rne zaoberali zachyt\u00e1van\u00edm paketov (a nesk\u00f4r aj rel\u00e1ci\u00ed), v ktor\u00fdch sa h\u013eadali ur\u010dit\u00e9 podpisy (\u201erozhoduj\u00face pravidl\u00e1\u201c v terminol\u00f3gii FSTEK), signalizuj\u00face \u00fatoky. Samozrejme, surov\u00fd traffic je mo\u017en\u00e9 analyzova\u0165 nielen pomocou IDS, ale aj in\u00fdmi n\u00e1strojmi (napr\u00edklad Wireshark, tcpdump alebo funkciou NBAR2 v Cisco IOS), av\u0161ak obvykle im ch\u00fdba datab\u00e1za poznatkov, ktor\u00e1 odli\u0161uje bezpe\u010dnostn\u00fd n\u00e1stroj od be\u017en\u00e9ho IT n\u00e1stroja.<\/p>\n<p>Tak\u017ee, syst\u00e9my na detekciu \u00fatokov. Najstar\u0161ia a najpopul\u00e1rnej\u0161ia met\u00f3da detekcie sie\u0165ov\u00fdch \u00fatokov, ktor\u00e1 celkom dobre pln\u00ed svoju \u00falohu na perimetri (nez\u00e1le\u017e\u00ed na tom, \u010di je to podnikov\u00fd, d\u00e1tov\u00e9 centrum, segment at\u010f.), ale zlyh\u00e1va v s\u00fa\u010dasn\u00fdch prep\u00ednan\u00fdch a softv\u00e9rovo definovan\u00fdch sie\u0165ach. V pr\u00edpade siete postavenej na be\u017en\u00fdch prep\u00edna\u010doch sa infra\u0161trukt\u00fara senzorov detekcie \u00fatokov st\u00e1va pr\u00edli\u0161 ve\u013ekou - budete musie\u0165 umiestni\u0165 senzor na ka\u017ed\u00e9 pripojenie k uzlu, ktor\u00fd chcete monitorova\u0165. Ka\u017ed\u00fd v\u00fdrobca v\u00e1m r\u00e1d pred\u00e1 stovky a tis\u00edce senzorov, ale mysl\u00edm si, \u017ee v\u00e1\u0161 rozpo\u010det nevydr\u017e\u00ed tak\u00e9 n\u00e1klady. M\u00f4\u017eem poveda\u0165, \u017ee ani v spolo\u010dnosti Cisco (kde sme v\u00fdvoj\u00e1ri NGIPS) sme to nedok\u00e1zali, aj ke\u010f sa zdalo, \u017ee cena by nemala by\u0165 pre n\u00e1s probl\u00e9mom - je to predsa na\u0161e vlastn\u00e9 rie\u0161enie. Okrem toho sa objavuje ot\u00e1zka, ako pripoji\u0165 senzor v takom pr\u00edpade? V prepojen\u00ed? A ak sa samotn\u00fd senzor pokaz\u00ed? Po\u017eadova\u0165 pr\u00edtomnos\u0165 bypass modulu v senzore? Pou\u017ei\u0165 rozdvojova\u010de (tap)? To v\u0161etko zvy\u0161uje n\u00e1klady a rob\u00ed rie\u0161enie nevhodn\u00fdm pre ak\u00fako\u013evek firmu.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/4763c13237dbe9ffa38d62075939ffba.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nM\u00f4\u017eete sa pok\u00fasi\u0165 \"pripevni\u0165\" senzor na porty SPAN\/RSPAN\/ERSPAN a nasmerova\u0165 na ne prev\u00e1dzku z po\u017eadovan\u00fdch portov prep\u00edna\u010da. T\u00e1to mo\u017enos\u0165 \u010diasto\u010dne vyrie\u0161i probl\u00e9m pop\u00edsan\u00fd v predch\u00e1dzaj\u00facom odseku, ale vytvor\u00ed in\u00fd \u2014 SPAN port nem\u00f4\u017ee prija\u0165 absol\u00fatne v\u0161etku prev\u00e1dzku, ktor\u00e1 do neho bude smerovan\u00e1 \u2014 nebude ma\u0165 dostato\u010dn\u00fa kapacitu. Budete musie\u0165 nie\u010do obetova\u0165. Bu\u010f ponech\u00e1te niektor\u00e9 uzly bez monitorovania (potom ich mus\u00edte najprv prioritizova\u0165), alebo budete smerova\u0165 nie cel\u00fa prev\u00e1dzku z uzla, ale iba ur\u010dit\u00fd typ. V ka\u017edom pr\u00edpade m\u00f4\u017eeme vynecha\u0165 niektor\u00e9 \u00fatoky. Okrem toho m\u00f4\u017ee by\u0165 SPAN port obsaden\u00fd na in\u00e9 \u00fa\u010dely. Nakoniec budeme musie\u0165 prehodnoti\u0165 existuj\u00facu topol\u00f3giu siete a mo\u017eno do nej vplyvni\u0165 zmeny, aby sme maximalizovali pokrytie va\u0161ej siete dostupn\u00fdm po\u010dtom senzorov (a dohodn\u00fa\u0165 sa s IT).<\/p>\n<p>A \u010do ke\u010f va\u0161a sie\u0165 pou\u017e\u00edva asymetrick\u00e9 trasy? A \u010do ak m\u00e1te implementovan\u00fa alebo pl\u00e1nujete implement\u00e1ciu SDN? A \u010do ak potrebujete monitorova\u0165 virtualizovan\u00e9 stroje alebo kontajnery, ktor\u00fdch prev\u00e1dzka sa v\u00f4bec nedostane k fyzick\u00e9mu prep\u00edna\u010du? Tieto ot\u00e1zky nemaj\u00fa radi v\u00fdrobcovia tradi\u010dn\u00fdch IDS, preto\u017ee nevedia, ako na ne odpoveda\u0165. Mo\u017eno v\u00e1s bud\u00fa presvied\u010da\u0165, \u017ee v\u0161etky tieto modern\u00e9 technol\u00f3gie s\u00fa len hype a \u017ee ich nepotrebujete. Mo\u017eno v\u00e1m povedia, \u017ee je potrebn\u00e9 za\u010da\u0165 s mal\u00fdm. Alebo mo\u017eno povedia, \u017ee potrebujete nain\u0161talova\u0165 v\u00fdkonn\u00fd stroj do centra siete a nasmerova\u0165 na\u0148 v\u0161etku prev\u00e1dzku pomocou vyrovn\u00e1va\u010dov z\u00e1\u0165a\u017ee. Ak\u00fako\u013evek mo\u017enos\u0165 v\u00e1m pon\u00faknu, mus\u00edte si sami jasne uvedomi\u0165, ako ve\u013emi v\u00e1m vyhovuje. A a\u017e potom urobte rozhodnutie o pr\u00edstupe k monitorovaniu bezpe\u010dnosti v sieti. Ke\u010f sa vr\u00e1tim k zachyt\u00e1vaniu paketov, chcem poveda\u0165, \u017ee t\u00e1to met\u00f3da na\u010falej zost\u00e1va ve\u013emi popul\u00e1rna a d\u00f4le\u017eit\u00e1, ale jej hlavn\u00e9 ur\u010denie \u2014 kontrola hran\u00edc; hran\u00edc medzi va\u0161ou organiz\u00e1ciou a internetom, hran\u00edc medzi d\u00e1tov\u00fdm centrom a ostatn\u00fdmi sie\u0165ami, hran\u00edc medzi automatizovan\u00fdmi riadiacimi syst\u00e9mami a firemn\u00fdm segmentom. Na t\u00fdchto miestach maj\u00fa klasick\u00e9 IDS\/IPS st\u00e1le pr\u00e1vo na existenciu a dobre sa daj\u00fa s \u00falohami.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/7a5898e0aa9e3e9275dda3e2c7b75c5c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPrejdeme k druhej mo\u017enosti. Anal\u00fdza udalost\u00ed prij\u00edman\u00fdch zo sie\u0165ov\u00fdch zariaden\u00ed m\u00f4\u017ee by\u0165 vyu\u017eit\u00e1 na detekciu \u00fatokov, nie v\u0161ak ako hlavn\u00fd mechanizmus, preto\u017ee umo\u017e\u0148uje detegova\u0165 len mal\u00fd rozsah naru\u0161en\u00ed. Navy\u0161e m\u00e1 ur\u010dit\u00fa reak\u010dnos\u0165 \u2014 \u00fatok mus\u00ed najprv nasta\u0165, potom mus\u00ed by\u0165 zaznamenan\u00fd sie\u0165ov\u00fdm zariaden\u00edm, ktor\u00e9 nejak\u00fdm sp\u00f4sobom signalizuje probl\u00e9m s informa\u010dnou bezpe\u010dnos\u0165ou. Existuje nieko\u013eko tak\u00fdch sp\u00f4sobov. M\u00f4\u017ee to by\u0165 syslog, RMON alebo SNMP. Posledn\u00e9 dva protokoly na sie\u0165ov\u00e9 monitorovanie sa v kontexte informa\u010dnej bezpe\u010dnosti aplikuj\u00fa len v pr\u00edpade, ak potrebujeme odhali\u0165 DoS \u00fatok na samotn\u00e9 sie\u0165ov\u00e9 zariadenie, preto\u017ee pomocou RMON a SNMP m\u00f4\u017eeme sledova\u0165 napr\u00edklad za\u0165a\u017eenie procesora zariadenia alebo jeho rozhran\u00ed. To je jeden z najlacnej\u0161\u00edch sp\u00f4sobov (syslog alebo SNMP m\u00e1 ka\u017ed\u00fd), ale aj najneefekt\u00edvnej\u0161\u00ed zo v\u0161etk\u00fdch sp\u00f4sobov monitorovania informa\u010dnej bezpe\u010dnosti v r\u00e1mci vn\u00fatornej infra\u0161trukt\u00fary \u2014 mnoh\u00e9 \u00fatoky s\u00fa jednoducho pred n\u00edm skryt\u00e9. Samozrejme, netreba ich podce\u0148ova\u0165 a anal\u00fdza syslog v\u00e1m pom\u00e1ha v\u010das identifikova\u0165 zmeny v konfigur\u00e1cii samotn\u00e9ho zariadenia, jeho kompromit\u00e1ciu, ale detekcia \u00fatokov na cel\u00fa sie\u0165 sa ve\u013emi nehod\u00ed.<\/p>\n<p>Tretia mo\u017enos\u0165 \u2014 je anal\u00fdza inform\u00e1ci\u00ed o prev\u00e1dzke prech\u00e1dzaj\u00facej cez zariadenie, ktor\u00e9 podporuje jeden z nieko\u013ek\u00fdch flow protokolov. V tomto pr\u00edpade, nez\u00e1visle od protokolu, infra\u0161trukt\u00fara pr\u00e1ce s pr\u00fadmi sa nevyhnutne sklad\u00e1 z troch komponentov:<\/p>\n<ul>\n<li>Gener\u00e1cia alebo export flow. T\u00e1to \u00faloha sa zvy\u010dajne prira\u010fuje smerova\u010du, prep\u00edna\u010du alebo in\u00e9mu sie\u0165ov\u00e9mu zariadeniu, ktor\u00e9, prech\u00e1dzaj\u00face sie\u0165ovou prev\u00e1dzkou, umo\u017e\u0148uje vy\u0165a\u017ei\u0165 k\u013e\u00fa\u010dov\u00e9 parametre, ktor\u00e9 sa n\u00e1sledne odosielaj\u00fa na zbern\u00fd modul. Napr\u00edklad u Cisco protokol Netflow podporuj\u00fa nielen smerova\u010de a prep\u00edna\u010de, vr\u00e1tane virtu\u00e1lnych a priemyseln\u00fdch, ale aj bezdr\u00f4tov\u00e9 kontrol\u00e9ry, firewall-och a dokonca aj servery.<\/li>\n<li>Zber flow. Vzh\u013eadom na to, \u017ee v modernej sieti b\u00fdva zvy\u010dajne viac ako jedno sie\u0165ov\u00e9 zariadenie, vznik\u00e1 \u00faloha zhroma\u017edenia a konsolid\u00e1cie pr\u00fadov, ktor\u00fa rie\u0161ia takzvan\u00e9 kolektory, ktor\u00e9 spracov\u00e1vaj\u00fa prijat\u00e9 pr\u00fady a n\u00e1sledne ich odosielaj\u00fa na anal\u00fdzu.<\/li>\n<li>Anal\u00fdza flow. Analiz\u00e1tor preber\u00e1 hlavn\u00fa intelektu\u00e1lnu \u00falohu a, aplikovan\u00edm r\u00f4znych algoritmov na toky, rob\u00ed ist\u00e9 z\u00e1very. Napr\u00edklad, v r\u00e1mci IT funkcie m\u00f4\u017ee tak\u00fdto analiz\u00e1tor odhalova\u0165 \u00fazke miesta v sieti alebo analyzova\u0165 profil za\u0165a\u017eenia prev\u00e1dzky na \u010fal\u0161iu optimaliz\u00e1ciu siete. A pre IB m\u00f4\u017ee analiz\u00e1tor odha\u013eova\u0165 \u00faniky d\u00e1t, \u0161\u00edrenie malv\u00e9ru alebo DoS \u00fatoky. <\/li>\n<\/ul>\n<p>Netreba si myslie\u0165, \u017ee tak\u00e1to trojvrstvov\u00e1 architekt\u00fara je pr\u00edli\u0161 zlo\u017eit\u00e1 \u2014 v\u0161etky ostatn\u00e9 varianty (okrem mo\u017eno syst\u00e9mov sie\u0165ov\u00e9ho monitorovania funguj\u00facich so SNMP a RMON) pracuj\u00fa pod\u013ea nej. M\u00e1me gener\u00e1tor d\u00e1t na anal\u00fdzu, ktor\u00fdm je sie\u0165ov\u00e9 zariadenie alebo samostatn\u00fd senzor. M\u00e1me syst\u00e9m na zber sign\u00e1lov poplachu a syst\u00e9m na spr\u00e1vu celej monitorovacej infra\u0161trukt\u00fary. Posledn\u00e9 dva komponenty m\u00f4\u017eu by\u0165 zjednoten\u00e9 v r\u00e1mci jedn\u00e9ho uzla, ale v relat\u00edvne ve\u013ek\u00fdch sie\u0165ach s\u00fa zvy\u010dajne rozdelen\u00e9 na dve, minim\u00e1lne, zariadenia za \u00fa\u010delom zabezpe\u010denia \u0161k\u00e1lovania a spo\u013eahlivosti.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/65de74b0a7556606355f9b176ef7e19c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNa rozdiel od anal\u00fdzy paketov, ktor\u00e1 sa zaklad\u00e1 na sk\u00faman\u00ed hlavi\u010dky a obsahu ka\u017ed\u00e9ho paketu a pozost\u00e1va z nich rel\u00e1ci\u00ed, anal\u00fdza tokov sa opiera o zber metad\u00e1t o sie\u0165ovej prev\u00e1dzke. Kedy, ko\u013eko, odkia\u013e a kam, ako\u2026 to s\u00fa ot\u00e1zky, na ktor\u00e9 odpoved\u00e1 anal\u00fdza sie\u0165ovej telemetrie pomocou r\u00f4znych protokolov flow. P\u00f4vodne sa pou\u017e\u00edvali na anal\u00fdzu \u0161tatistiky a h\u013eadanie IT probl\u00e9mov v sieti, ale nesk\u00f4r, s rozvojom analytick\u00fdch mechanizmov, ich bolo mo\u017en\u00e9 aplikova\u0165 aj na t\u00fa ist\u00fa telemetriu a na \u00fa\u010dely bezpe\u010dnosti. Je potrebn\u00e9 e\u0161te raz zd\u00f4razni\u0165, \u017ee anal\u00fdza tokov nenahr\u00e1dza a neodstr\u00e1\u0148uje zber paketov. Ka\u017ed\u00e1 z t\u00fdchto met\u00f3d m\u00e1 svoju oblas\u0165 aplik\u00e1cie. Ale v kontexte tohto \u010dl\u00e1nku je pr\u00e1ve anal\u00fdza tokov najvhodnej\u0161ia na monitorovanie vn\u00fatornej infra\u0161trukt\u00fary. M\u00e1te sie\u0165ov\u00e9 zariadenia (a nez\u00e1le\u017e\u00ed na tom, \u010di pracuj\u00fa v softv\u00e9rovo definovanej paradigme alebo pod\u013ea statick\u00fdch pravidiel), ktor\u00e9 \u00fatok nem\u00f4\u017ee ob\u00eds\u0165. Senzor klasickej IDS m\u00f4\u017ee \u00fatok ob\u00eds\u0165, ale sie\u0165ov\u00e9 zariadenie podporuj\u00face flow protokol nie. V tom spo\u010d\u00edva v\u00fdhoda tejto met\u00f3dy. <\/p>\n<p>Na druhej strane, ak potrebujete d\u00f4kazy pre org\u00e1ny \u010dinn\u00e9 v trestnom konan\u00ed alebo vlastn\u00fa skupinu na vy\u0161etrovanie incidentov, bez zachyt\u00e1vania paketov sa nezaob\u00eddete \u2014 sie\u0165ov\u00e1 telemetria nie je k\u00f3piou prev\u00e1dzky, ktor\u00fa m\u00f4\u017eete pou\u017ei\u0165 pri zhroma\u017e\u010fovan\u00ed d\u00f4kazov; je potrebn\u00e1 na r\u00fdchle zistenie a rozhodovanie v oblasti bezpe\u010dnosti inform\u00e1ci\u00ed. Na druhej strane, pomocou anal\u00fdzy telemetrie m\u00f4\u017eete \"zapisova\u0165\" nie v\u0161etku sie\u0165ov\u00fa prev\u00e1dzku (inak sa o to staraj\u00fa Cisco a d\u00e1tov\u00e9 centr\u00e1 :-), ale len t\u00fa, ktor\u00e1 sa podie\u013ea na \u00fatoku. N\u00e1stroje na anal\u00fdzu telemetrie v tomto oh\u013eade dobre doplnia tradi\u010dn\u00e9 mechanizmy zachyt\u00e1vania paketov, pri\u010dom daj\u00fa pr\u00edkaz na selekt\u00edvne zachyt\u00e1vanie a uchov\u00e1vanie. Inak budete musie\u0165 ma\u0165 obrovsk\u00fa infra\u0161trukt\u00faru na uchov\u00e1vanie.<\/p>\n<p>Predstavme si sie\u0165, ktor\u00e1 pracuje r\u00fdchlos\u0165ou 250 Mbit\/s. Ak by ste chceli uchov\u00e1va\u0165 cel\u00fd tento objem, potrebovali by ste \u00falo\u017eisko na 31 MB pre jednu sekundu prenosu prev\u00e1dzky, 1,8 GB \u2014 pre jednu min\u00fatu, 108 GB \u2014 pre jednu hodinu a 2,6 TB \u2014 pre jeden de\u0148. Na uchov\u00e1vanie denn\u00fdch \u00fadajov zo siete s priepustnos\u0165ou 10 Gbit\/s by ste potrebovali \u00falo\u017eisko na 108 TB. A niektor\u00ed regul\u00e1tori po\u017eaduj\u00fa uchov\u00e1vanie \u00fadajov o bezpe\u010dnosti po cel\u00e9 roky... Z\u00e1znam \u201ena po\u017eiadanie\u201c, ktor\u00fd v\u00e1m pom\u00e1ha realizova\u0165 anal\u00fdza pr\u00fadov, pom\u00e1ha zn\u00ed\u017ei\u0165 tieto hodnoty o poriadky. Mimochodom, ak hovor\u00edme o pomere objemu zapisovan\u00fdch \u00fadajov sie\u0165ovej telemetrie a \u00fapln\u00e9ho zachytenia \u00fadajov, ten \u010din\u00ed pribli\u017ene 1 ku 500. Pre rovnak\u00e9 uveden\u00e9 hodnoty bude uchov\u00e1vanie \u00faplnej de\u0161ifrovanej prev\u00e1dzky po\u010das cel\u00e9ho d\u0148a predstavova\u0165 5 a 216 GB resp. (m\u00f4\u017eete to dokonca zap\u00edsa\u0165 na oby\u010dajn\u00fa USB k\u013e\u00fa\u010d).<\/p>\n<p>Ak sa met\u00f3dy na anal\u00fdzu surov\u00fdch sie\u0165ov\u00fdch d\u00e1t u jednotliv\u00fdch dod\u00e1vate\u013eov takmer nel\u00ed\u0161ia, v pr\u00edpade anal\u00fdzy tokov je situ\u00e1cia in\u00e1. Existuje nieko\u013eko variantov flow protokolov, o ktor\u00fdch rozdieloch je potrebn\u00e9 vedie\u0165 pr\u00e1ve v kontexte bezpe\u010dnosti. Najpopul\u00e1rnej\u0161\u00edm je protokol Netflow vyvinut\u00fd spolo\u010dnos\u0165ou Cisco. Existuje nieko\u013eko verzi\u00ed tohto protokolu, ktor\u00e9 sa l\u00ed\u0161ia svojimi schopnos\u0165ami a objemom zapisovan\u00fdch inform\u00e1ci\u00ed o prev\u00e1dzke. Aktu\u00e1lna verzia \u2014 deviata (Netflow v9), na z\u00e1klade ktorej bol vyvinut\u00fd priemyseln\u00fd \u0161tandard Netflow v10, zn\u00e1my aj ako IPFIX. Dnes v\u00e4\u010d\u0161ina sie\u0165ov\u00fdch dod\u00e1vate\u013eov podporuje pr\u00e1ve Netflow alebo IPFIX vo svojich zariadeniach. Existuj\u00fa v\u0161ak aj r\u00f4zne in\u00e9 varianty flow protokolov \u2014 sFlow, jFlow, cFlow, rFlow, NetStream a podobne, z ktor\u00fdch je sFlow najpopul\u00e1rnej\u0161\u00ed. Tento protokol je naj\u010dastej\u0161ie podporovan\u00fd dom\u00e1cimi v\u00fdrobcami sie\u0165ov\u00fdch zariaden\u00ed kv\u00f4li jednoduchej implement\u00e1cii. Ak\u00e9 s\u00fa k\u013e\u00fa\u010dov\u00e9 rozdiely medzi Netflow, ktor\u00e9ho sa stal de-facto \u0161tandardom, a sFlow? Rozdielov by som vyzdvihol nieko\u013eko. Po prv\u00e9, Netflow m\u00e1 nastavite\u013en\u00e9 polia pou\u017e\u00edvate\u013eom v porovnan\u00ed s fixn\u00fdmi poliami v sFlow. Po druh\u00e9, a to je v na\u0161om pr\u00edpade najd\u00f4le\u017eitej\u0161ie, sFlow zbiera takzvan\u00fa vzorkovan\u00fa telemetriu; na rozdiel od nevzorkovanej u Netflow a IPFIX. Ak\u00fd je teda medzi nimi rozdiel?<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/96782b57ccaddd731d5084c127076d49.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPredstavte si, \u017ee ste sa rozhodli obozn\u00e1mi\u0165 sa s knihou \u201c<noindex><a rel=\"nofollow\" href=\"http:\/\/www.ciscopress.com\/store\/security-operations-center-building-operating-and-maintaining-9780134052014\">Security Operations Center: Building, Operating, and Maintaining your SOC<\/a><\/noindex>\u201d mojich kolegov \u2014 Garyho MakinTaira, Josepha Munica a Nadema Al-Fardana (na odkaze si m\u00f4\u017eete stiahnu\u0165 \u010das\u0165 knihy). M\u00e1te tri mo\u017enosti, ako dosiahnu\u0165 stanoven\u00fd cie\u013e \u2014 pre\u010d\u00edta\u0165 knihu cel\u00fa, prebehnu\u0165 ju o\u010dami s t\u00fdm, \u017ee sa zastav\u00edte na ka\u017edej 10., alebo 20. strane, alebo sa pok\u00fasi\u0165 n\u00e1js\u0165 zhrnutie k\u013e\u00fa\u010dov\u00fdch konceptov v nejakom blogu alebo slu\u017ebe typu SmartReading. Tak\u017ee nevzorkovan\u00e1 telemetria je \u010d\u00edtanie ka\u017edej 'strany' sie\u0165ovej prev\u00e1dzky, to znamen\u00e1 anal\u00fdzu metad\u00e1t pre ka\u017ed\u00fd paket. Vzorkovan\u00e1 telemetria je v\u00fdberov\u00e9 \u0161tudovanie prev\u00e1dzky s n\u00e1dejou, \u017ee v vybran\u00fdch vzork\u00e1ch bude to, \u010do potrebujete. V z\u00e1vislosti od r\u00fdchlosti kan\u00e1la vzorkovan\u00e1 telemetria poskytne na anal\u00fdzu ka\u017ed\u00fd 64., 200., 500., 1000., 2000., alebo dokonca 10000. paket.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/28b798498a11a5e6f72ef847ea2dbaaa.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nV kontexte monitorovania IT bezpe\u010dnosti to znamen\u00e1, \u017ee vzorkovan\u00e1 telemetria je dobre prisp\u00f4soben\u00e1 na detekciu DDoS \u00fatokov, skenovania, \u0161\u00edrenia malv\u00e9ru, ale m\u00f4\u017ee vynecha\u0165 atom\u00e1rne alebo viacpaketov\u00e9 \u00fatoky, ktor\u00e9 sa nedostali do vzorky poslanej na anal\u00fdzu. Nesmplovan\u00e1 telemetria m\u00e1 tak\u00e9to nev\u00fdhody minim\u00e1lne a s jej pomocou je spektrum detekovan\u00fdch \u00fatokov ove\u013ea \u0161ir\u0161ie. Tu je mal\u00fd zoznam udalost\u00ed, ktor\u00e9 je mo\u017en\u00e9 detekova\u0165 pomocou prostriedkov anal\u00fdzy sie\u0165ovej telemetrie.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/be3a11d4826978d9c882074f22ee97c1.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSamozrejme, \u017eiadny open source analyz\u00e1tor Netflow v\u00e1m to nedovol\u00ed, ke\u010f\u017ee jeho hlavnou \u00falohou je zbiera\u0165 telemetriu a vykon\u00e1va\u0165 nad \u0148ou z\u00e1kladn\u00fa anal\u00fdzu z poh\u013eadu IT. Na identifik\u00e1ciu hrozieb IT bezpe\u010dnosti na z\u00e1klade flow je potrebn\u00e9 vybavi\u0165 analyz\u00e1tor r\u00f4znymi motor\u010dekmi a algoritmami, ktor\u00e9 bud\u00fa vyhodnocova\u0165 probl\u00e9my kybernetickej bezpe\u010dnosti na z\u00e1klade \u0161tandardn\u00fdch alebo pou\u017e\u00edvate\u013esk\u00fdch pol\u00ed Netflow, obohacova\u0165 \u0161tandardn\u00e9 d\u00e1ta o extern\u00e9 \u00fadaje z r\u00f4znych zdrojov Threat Intelligence a pod.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/60e876dbfbdffd160e9899f87aa6303c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPreto, ak m\u00e1te na v\u00fdber, zastavte sa na Netflow alebo IPFIX. Ale aj ke\u010f va\u0161e zariadenia pracuj\u00fa iba s sFlow, ako u dom\u00e1cich v\u00fdrobcov, aj v tomto pr\u00edpade m\u00f4\u017eete z\u00edska\u0165 z neho benefity v kontexte bezpe\u010dnosti. <\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/ee75809ccde4f366ca5f5ead7beed58c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nV lete 2019 som vykonal anal\u00fdzu mo\u017enost\u00ed, ktor\u00e9 maj\u00fa rusk\u00ed v\u00fdrobcovia sie\u0165ov\u00e9ho hardv\u00e9ru a v\u0161etci, okrem NSG, Poligon a Kraftway, uv\u00e1dzali podporu sFlow (minim\u00e1lne Zelaks, Natex, Eltex, QTech, Rusteletech). <\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/acd1ed477af59e1439d941374c596d16.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNasleduj\u00faca ot\u00e1zka, ktor\u00e1 pred vami vyvstane, je, kde implementova\u0165 podporu flow pre bezpe\u010dnostn\u00e9 \u00fa\u010dely? V skuto\u010dnosti nie je ot\u00e1zka \u00faplne presne formulovan\u00e1. Na modern\u00fdch zariadeniach je podpora flow protokolov takmer v\u017edy. Preto by som ot\u00e1zku preformuloval inak \u2013 kde je najefekt\u00edvnej\u0161ie zbiera\u0165 telemetriu z poh\u013eadu bezpe\u010dnosti? Odpove\u010f bude dos\u0165 zrejm\u00e1 \u2013 na \u00farovni pr\u00edstupu, kde uvid\u00edte 100 % v\u0161etkej prev\u00e1dzky, kde budete ma\u0165 podrobn\u00e9 inform\u00e1cie o hostite\u013eoch (MAC, VLAN, ID rozhrania), kde budete m\u00f4c\u0165 sledova\u0165 aj P2P prev\u00e1dzku medzi hostite\u013emi, \u010do je kritick\u00e9 na odhalenie skenovania a \u0161\u00edrenia malv\u00e9ru. Na \u00farovni jadra niektor\u00e9 prev\u00e1dzky jednoducho neuvid\u00edte, a na \u00farovni perimetra uvid\u00edte dobre, ak \u0161tvrtinu v\u0161etk\u00e9ho v\u00e1\u0161ho sie\u0165ov\u00e9ho toku. Ale ak z nejak\u00e9ho d\u00f4vodu vo va\u0161ej sieti existuj\u00fa ne\u017eiaduce zariadenia, ktor\u00e9 umo\u017e\u0148uj\u00fa \u00fato\u010dn\u00edkom \u201evstupova\u0165 a vystupova\u0165\u201c obch\u00e1dzaj\u00face perimetr, anal\u00fdza telemetrie z neho v\u00e1m ni\u010d ned\u00e1. Preto sa odpor\u00fa\u010da zahrn\u00fa\u0165 zber telemetrie pr\u00e1ve na \u00farovni pr\u00edstupu. Pri tom je potrebn\u00e9 poznamena\u0165, \u017ee aj ke\u010f hovor\u00edme o virtualiz\u00e1cii alebo kontajneroch, v modern\u00fdch virtu\u00e1lnych prep\u00edna\u010doch sa \u010dasto vyskytuje podpora flow, \u010do umo\u017e\u0148uje kontrolova\u0165 prev\u00e1dzku aj tam.<\/p>\n<p>Ale ke\u010f\u017ee som otvoril t\u00fato t\u00e9mu, mus\u00edm odpoveda\u0165 na ot\u00e1zku, \u010do ak predsa len zariadenie, fyzick\u00e9 alebo virtu\u00e1lne, nepodporuje flow protokoly? Alebo jeho zapnutie je zak\u00e1zan\u00e9 (napr\u00edklad v priemyseln\u00fdch segmentoch pre zabezpe\u010denie spo\u013eahlivosti)? Alebo jeho zapnutie vedie k vysokej z\u00e1\u0165a\u017ei procesora (to sa st\u00e1va na zastaran\u00fdch zariadeniach)? Na rie\u0161enie tohto probl\u00e9mu existuj\u00fa \u0161pecializovan\u00e9 virtu\u00e1lne senzory (flow sensor), ktor\u00e9 v podstate funguj\u00fa ako be\u017en\u00e9 rozbo\u010dova\u010de, ktor\u00e9 prep\u00fa\u0161\u0165aj\u00fa cez seba prev\u00e1dzku a pren\u00e1\u0161aj\u00fa ju vo forme flow na zbern\u00fd modul. Pravda, v tomto pr\u00edpade dost\u00e1vame cel\u00fd bal\u00edk probl\u00e9mov, o ktor\u00fdch sme hovorili vy\u0161\u0161ie v s\u00favislosti s prostriedkami na zachyt\u00e1vanie paketov. To znamen\u00e1, \u017ee mus\u00edme ch\u00e1pa\u0165 nielen v\u00fdhody technol\u00f3gie anal\u00fdzy pr\u00fadenia, ale aj jej obmedzenia.<\/p>\n<p>\u010eal\u0161\u00ed aspekt, ktor\u00fd je d\u00f4le\u017eit\u00e9 ma\u0165 na pam\u00e4ti pri diskusii o n\u00e1strojoch na anal\u00fdzu tokov. Pokia\u013e pri be\u017en\u00fdch n\u00e1strojoch na generovanie bezpe\u010dnostn\u00fdch udalost\u00ed pou\u017e\u00edvame metriku EPS (event per second, udalosti za sekundu), pri anal\u00fdze telemetrie sa t\u00e1to metrika nahr\u00e1dza FPS (flow per second, toky za sekundu). Rovnako ako pri EPS, jej hodnotu nie je mo\u017en\u00e9 vypo\u010d\u00edta\u0165 vopred, ale je mo\u017en\u00e9 odhadn\u00fa\u0165 pribli\u017en\u00fd po\u010det tokov, ktor\u00e9 generuje konkr\u00e9tne zariadenie v z\u00e1vislosti od jeho \u00falohy. Na internete n\u00e1jdete tabu\u013eky s pribli\u017en\u00fdmi hodnotami pre r\u00f4zne typy podnikov, \u010do v\u00e1m pom\u00f4\u017ee ur\u010di\u0165, ak\u00e9 licencie potrebujete pre n\u00e1stroje na anal\u00fdzu a ak\u00e1 bude ich architekt\u00fara. Ide o to, \u017ee IDS senzor m\u00e1 obmedzen\u00fa priepustnos\u0165, ktor\u00fa dok\u00e1\u017ee \u201evytiahnu\u0165\u201c, a kolektor tokov m\u00e1 svoje obmedzenia, ktor\u00e9 je potrebn\u00e9 ch\u00e1pa\u0165. Preto v ve\u013ek\u00fdch, teritori\u00e1lne rozlo\u017een\u00fdch sie\u0165ach je be\u017ene viacero kolektorov. Ke\u010f som opisoval, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/348532\/\">ako sa monitoruje sie\u0165 v r\u00e1mci Cisco<\/a><\/noindex>, u\u017e som uviedol po\u010det na\u0161ich kolektorov \u2014 je ich 21. A to na sie\u0165 rozprestieraj\u00facu sa na piatich kontinentoch a obsahuj\u00facu pribli\u017ene pol mili\u00f3na akt\u00edvnych zariaden\u00ed).<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/a5935ef7f7a3511cbf291fce59e96d71.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAko syst\u00e9m monitorovania Netflow pou\u017e\u00edvame na\u0161e vlastn\u00e9 rie\u0161enie <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/ru_ru\/products\/security\/stealthwatch\/index.html\">Cisco Stealthwatch<\/a><\/noindex>, ktor\u00e9 je \u0161peci\u00e1lne zameran\u00e9 na rie\u0161enie bezpe\u010dnostn\u00fdch \u00faloh. M\u00e1 mno\u017estvo vnoren\u00fdch motorov na detekciu anom\u00e1lnej, podozrivej a jednozna\u010dne \u0161kodlivej aktivity, \u010do umo\u017e\u0148uje detekciu \u0161irok\u00e9ho spektra r\u00f4znych hrozieb \u2014 od kryptominingu po \u00faniky inform\u00e1ci\u00ed, od \u0161\u00edrenia \u0161kodliv\u00e9ho k\u00f3du po podvody. Rovnako ako v\u00e4\u010d\u0161ina analyz\u00e1torov tokov je Stealthwatch postaven\u00fd na trojstup\u0148ovej sch\u00e9me (gener\u00e1tor \u2014 zbera\u010d \u2014 analytik), av\u0161ak je doplnen\u00fd o mno\u017estvo zauj\u00edmav\u00fdch funkci\u00ed, ktor\u00e9 s\u00fa d\u00f4le\u017eit\u00e9 v kontexte preberan\u00e9ho materi\u00e1lu. Po prv\u00e9, integruje sa s rie\u0161eniami na zachyt\u00e1vanie paketov (napr\u00edklad Cisco Security Packet Analyzer), \u010do umo\u017e\u0148uje zaznamen\u00e1va\u0165 vybran\u00e9 sie\u0165ov\u00e9 rel\u00e1cie na neskor\u0161ie hlbok\u00e9 vy\u0161etrovanie a anal\u00fdzu. Po druh\u00e9, \u0161peci\u00e1lne na roz\u0161\u00edrenie bezpe\u010dnostn\u00fdch \u00faloh sme vyvinuli \u0161peci\u00e1lny protokol nvzFlow, ktor\u00fd umo\u017e\u0148uje \u201etransmitova\u0165\u201c aktivitu aplik\u00e1ci\u00ed na koncov\u00fdch uzloch (serveroch, pracovn\u00fdch staniciach a pod.) do telemetrie a pren\u00e1\u0161a\u0165 ju na zbera\u010d na \u010fal\u0161iu anal\u00fdzu. Ak v svojom p\u00f4vodnom variante Stealthwatch pracuje s ak\u00fdmko\u013evek flow-protokolom (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) na \u00farovni siete, podpora nvzFlow umo\u017e\u0148uje vykon\u00e1va\u0165 korel\u00e1ciu \u00fadajov aj na \u00farovni uzla, \u010d\u00edm zvy\u0161uje efektivitu cel\u00e9ho syst\u00e9mu a vid\u00ed viac \u00fatokov ako be\u017en\u00e9 sie\u0165ov\u00e9 analyz\u00e1tory tokov.<\/p>\n<p>Je zrejm\u00e9, \u017ee ke\u010f hovor\u00edme o syst\u00e9moch anal\u00fdzy Netflow z h\u013eadiska bezpe\u010dnosti, trh nie je obmedzen\u00fd len na jedno rie\u0161enie od Cisco. M\u00f4\u017eete pou\u017e\u00edva\u0165 ako komer\u010dn\u00e9, tak aj bezplatn\u00e9 alebo podmiene\u010dne bezplatn\u00e9 rie\u0161enia. Je dos\u0165 zvl\u00e1\u0161tne, ak by som na blogu Cisco uv\u00e1dzal ako pr\u00edklad rie\u0161enia konkurentov, preto poviem p\u00e1r slov o tom, ako m\u00f4\u017ee by\u0165 sie\u0165ov\u00e1 telemetria analyzovan\u00e1 pomocou dvoch popul\u00e1rnych, podobne pomenovan\u00fdch, ale predsa len r\u00f4znych n\u00e1strojov \u2014 SiLK a ELK.<\/p>\n<p>SiLK \u2014 je s\u00fabor n\u00e1strojov (the System for Internet-Level Knowledge) na anal\u00fdzu prev\u00e1dzky, vyvinut\u00fd americk\u00fdm CERT\/CC, ktor\u00fd podporuje, v kontexte dne\u0161n\u00e9ho \u010dl\u00e1nku, Netflow (5. a 9. najpopul\u00e1rnej\u0161ie verzie), IPFIX a sFlow, a pomocou r\u00f4znych util\u00edt (rwfilter, rwcount, rwflowpack a \u010fal\u0161ie) vykon\u00e1va r\u00f4zne oper\u00e1cie na sie\u0165ovej telemetrii s cie\u013eom identifikova\u0165 v nej znaky neopr\u00e1vnen\u00fdch \u010dinnost\u00ed. Je v\u0161ak potrebn\u00e9 zd\u00f4razni\u0165 nieko\u013eko d\u00f4le\u017eit\u00fdch bodov. SiLK je n\u00e1stroj pr\u00edkazov\u00e9ho riadku a pre vykon\u00e1vanie operat\u00edvnej anal\u00fdzy je potrebn\u00e9 neust\u00e1le zad\u00e1va\u0165 pr\u00edkazy typu (identifik\u00e1cia ICMP paketov v\u00e4\u010d\u0161\u00edch ako 200 bajtov):<\/p>\n<p><code>rwfilter --flowtypes=all\/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15<\/code><\/p>\n<p>nie je to ve\u013emi pohodln\u00e9. M\u00f4\u017eete pou\u017ei\u0165 grafick\u00e9 rozhranie iSiLK, ale to v\u00fdrazne nezjednodu\u0161\u00ed v\u00e1\u0161 \u017eivot, preto\u017ee pln\u00ed iba funkciu vizualiz\u00e1cie, a nie nahr\u00e1dzania analytika. A toto je druh\u00fd bod. Na rozdiel od komer\u010dn\u00fdch rie\u0161en\u00ed, ktor\u00e9 u\u017e obsahuj\u00fa sol\u00eddnu analytick\u00fa z\u00e1klad\u0148u, algoritmy na detekciu anom\u00e1li\u00ed, workflow a podobne, v pr\u00edpade SiLK budete musie\u0165 v\u0161etko toto vykona\u0165 sami, \u010do si vy\u017eaduje in\u00e9 kompetencie, ne\u017e pou\u017e\u00edvanie u\u017e hotov\u00e9ho n\u00e1stroja. Nie je to dobr\u00e9 ani zl\u00e9 \u2014 to je vlastnos\u0165 takmer ka\u017ed\u00e9ho bezplatn\u00e9ho n\u00e1stroja, ktor\u00fd predpoklad\u00e1, \u017ee presne viete, \u010do robi\u0165, a on v\u00e1m iba pom\u00f4\u017ee v tomto (komer\u010dn\u00e9 n\u00e1stroje s\u00fa menej z\u00e1visl\u00e9 od kompetenci\u00ed svojich pou\u017e\u00edvate\u013eov, aj ke\u010f tie\u017e predpokladaj\u00fa, \u017ee analytici rozumej\u00fa aspo\u0148 z\u00e1kladom sie\u0165ov\u00fdch vy\u0161etrovan\u00ed a monitorovania). Ale vr\u00e1\u0165me sa k SiLK. Pracovn\u00fd cyklus analytika s n\u00edm vypad\u00e1 nasledovne:<\/p>\n<ul>\n<li>Formulovanie hypot\u00e9zy. Mus\u00edme ch\u00e1pa\u0165, \u010do budeme h\u013eada\u0165 v sie\u0165ovej telemetrii, pozna\u0165 unik\u00e1tne atrib\u00faty, pod\u013ea ktor\u00fdch identifikujeme tie alebo in\u00e9 anom\u00e1lie alebo hrozby.<\/li>\n<li>Vybudovanie modelu. Formulovan\u00edm hypot\u00e9zy ju programujeme pomocou Pythonu, shellu alebo in\u00fdch n\u00e1strojov, ktor\u00e9 nie s\u00fa s\u00fa\u010das\u0165ou SiLK.<\/li>\n<li>Testovanie. Prich\u00e1dza \u010das na overenie spr\u00e1vnosti na\u0161ej hypot\u00e9zy, ktor\u00e1 sa potvrdzuje alebo vyvracia pomocou n\u00e1strojov SiLK, za\u010d\u00ednaj\u00facich s 'rw', 'set', 'bag'.<\/li>\n<li>Anal\u00fdza re\u00e1lnych d\u00e1t. V priemyseln\u00fdch aplik\u00e1ci\u00e1ch n\u00e1m SiLK pom\u00e1ha identifikova\u0165 nie\u010do a analytik mus\u00ed odpoveda\u0165 na ot\u00e1zky ako \u201eNa\u0161li sme to, \u010do sme predpokladali?\u201c, \u201eZodpoved\u00e1 to na\u0161ej hypot\u00e9ze?\u201c, \u201eAko zn\u00ed\u017ei\u0165 po\u010det falo\u0161n\u00fdch poplachov?\u201c, \u201eAko zlep\u0161i\u0165 \u00farove\u0148 rozpoznania?\u201c a podobne.<\/li>\n<li>Zlep\u0161enie. V kone\u010dnej f\u00e1ze vylep\u0161ujeme to, \u010do sme u\u017e vytvorili \u2013 vytv\u00e1rame \u0161abl\u00f3ny, zlep\u0161ujeme a optimalizujeme k\u00f3d, preformulov\u00e1vame a spres\u0148ujeme hypot\u00e9zu a in\u00e9.<\/li>\n<\/ul>\n<p>Tento cyklus bude aplikovate\u013en\u00fd aj na Cisco Stealthwatch, len posledn\u00fd tieto p\u00e4\u0165 krokov maximalizuje automatiz\u00e1ciu, \u010d\u00edm zni\u017euje po\u010det ch\u00fdb analytika a zvy\u0161uje operat\u00edvnos\u0165 pri odha\u013eovan\u00ed incidentov. Napr\u00edklad v SiLK m\u00f4\u017eete sie\u0165ov\u00fa \u0161tatistiku obohati\u0165 o extern\u00e9 d\u00e1ta o \u0161kodliv\u00fdch IP pomocou vlastnoru\u010dne nap\u00edsan\u00fdch skriptov, zatia\u013e \u010do v Cisco Stealthwatch je to vstavan\u00e1 funkcia, ktor\u00e1 okam\u017eite zobrazuje alarm, ak sa v sie\u0165ovej prev\u00e1dzke vyskytuje interakcia s IP adresami zo zoznamu zak\u00e1zan\u00fdch.<\/p>\n<p>Ak sa posunieme vy\u0161\u0161ie po pyram\u00edde \u201eplaten\u00e9ho\u201c softv\u00e9ru na anal\u00fdzu flow, potom gr\u00e1tis SiLK nasleduje podmiene\u010dne zadarmo ELK, ktor\u00fd sa sklad\u00e1 z troch k\u013e\u00fa\u010dov\u00fdch komponentov \u2013 Elasticsearch (index\u00e1cia, vyh\u013ead\u00e1vanie a anal\u00fdza d\u00e1t), Logstash (vstup\/v\u00fdstup d\u00e1t) a Kibana (vizualiz\u00e1cia). Na rozdiel od SiLK, kde v\u0161etko mus\u00edte nap\u00edsa\u0165 sami, m\u00e1 ELK u\u017e mnoho pripraven\u00fdch kni\u017en\u00edc\/module (\u010das\u0165 platen\u00fdch, \u010das\u0165 nie), ktor\u00e9 automatizuj\u00fa anal\u00fdzu sie\u0165ovej telemetrie. Napr\u00edklad filter GeoIP v Logstash umo\u017e\u0148uje priradi\u0165 pozorovan\u00e9 IP adresy k ich geografickej polohe (u Stealthwatch je to vstavan\u00e1 funkcia).<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/addd9d9656f64f81d86a0cce8ee0810b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nELK m\u00e1 tie\u017e dos\u0165 ve\u013ek\u00e9 komunity, ktor\u00e1 dopisuje ch\u00fdbaj\u00face komponenty pre toto rie\u0161enie na monitorovanie. Napr\u00edklad na pr\u00e1cu s Netflow, IPFIX a sFlow m\u00f4\u017eete vyu\u017ei\u0165 modul <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/robcowart\/elastiflow\">elastiflow<\/a><\/noindex>, ak v\u00e1s neuspokojuje Logstash Netflow Module, ktor\u00fd podporuje iba Netflow.<\/p>\n<p>Zatia\u013e \u010do ELK poskytuje v\u00e4\u010d\u0161iu operat\u00edvnos\u0165 pri zbere flow a jeho vyh\u013ead\u00e1van\u00ed, moment\u00e1lne postr\u00e1da bohat\u00fa vstavan\u00fa analytiku na odha\u013eovanie anom\u00e1li\u00ed a hrozieb v sie\u0165ovej telemetrii. To znamen\u00e1, \u017ee pod\u013ea vy\u0161\u0161ie pop\u00edsan\u00e9ho \u017eivotn\u00e9ho cyklu budete musie\u0165 samostatne pop\u00edsa\u0165 modely poru\u0161ovania a potom u\u017e nimi m\u00f4c\u0165 disponova\u0165 v re\u00e1lnom syst\u00e9me (vstavan\u00e9 modely tam nie s\u00fa).<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/6d8368f4c130c3a5770890cb6c5fe5ab.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSamozrejme, existuj\u00fa aj sofistikovanej\u0161ie roz\u0161\u00edrenia pre ELK, ktor\u00e9 u\u017e obsahuj\u00fa niektor\u00e9 modely na odha\u013eovanie anom\u00e1li\u00ed v sie\u0165ovej telemetrii, ale tak\u00e9to roz\u0161\u00edrenia stoja peniaze a tu u\u017e je ot\u00e1zka, \u010di to stoj\u00ed za to \u2014 vyvin\u00fa\u0165 si podobn\u00fd model s\u00e1m, zak\u00fapi\u0165 jeho implement\u00e1ciu pre svoje monitorovacie prostriedky alebo k\u00fapi\u0165 hotov\u00e9 rie\u0161enie triedy Anal\u00fdza sie\u0165ov\u00e9ho prev\u00e1dzky.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/d938ebb4271c4dfb73a1e4b6e94c91d6.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nV\u00f4bec sa nechcem zaobera\u0165 polemikou, \u010di lep\u0161ie je utrati\u0165 peniaze a k\u00fapi\u0165 hotov\u00e9 rie\u0161enie pre monitorovanie anom\u00e1li\u00ed a hrozieb v sie\u0165ovej telemetrii (napr\u00edklad Cisco Stealthwatch) alebo sa s t\u00fdm vysporiada\u0165 samostatne a prisp\u00f4sobi\u0165 si k ka\u017edej novej hrozbe rovnak\u00e9 SiLK, ELK alebo nfdump \u010di OSU Flow Tools (mysl\u00edm tie posledn\u00e9 dva z nich z minulej doby)? Ka\u017ed\u00fd si vyber\u00e1 pre seba a ka\u017ed\u00fd m\u00e1 svoje pohn\u00fatky, pre\u010do si zvoli\u0165 ktor\u00fako\u013evek z dvoch variant. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/348532\/\">rozpr\u00e1val<\/a><\/noindex> Ja som chcel len uk\u00e1za\u0165, \u017ee sie\u0165ov\u00e1 telemetria je ve\u013emi d\u00f4le\u017eit\u00fd n\u00e1stroj pri zabezpe\u010den\u00ed sie\u0165ovej bezpe\u010dnosti vlastnej infra\u0161trukt\u00fary, a nemali by sme \u0148ou poh\u0155da\u0165, aby sme sa neocitli na zozname spolo\u010dnost\u00ed, ktor\u00fdch meno sa spom\u00edna v m\u00e9di\u00e1ch spolu s epitetami \u201ehacknut\u00e1\u201c, \u201enedodr\u017eiavaj\u00faca po\u017eiadavky v oblasti informa\u010dnej bezpe\u010dnosti\u201c, \u201eneprem\u00fd\u0161\u013eaj\u00faca o bezpe\u010dnosti svojich d\u00e1t a \u00fadajov klientov\u201c.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/de7df67df66b7abe89170c7f92fcefca.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNa z\u00e1ver by som chcel uvies\u0165 k\u013e\u00fa\u010dov\u00e9 rady, ktor\u00fdmi by sa malo riadi\u0165 pri budovan\u00ed monitorovania informa\u010dnej bezpe\u010dnosti vlastnej infra\u0161trukt\u00fary:<\/p>\n<ol>\n<li>Nerobte si len obvodov\u00e9 bezpe\u010dnostn\u00e9 opatrenia! Pou\u017e\u00edvajte (a vyberajte) sie\u0165ov\u00fa infra\u0161trukt\u00faru nielen na prenos prev\u00e1dzky z bodu A do bodu B, ale aj na rie\u0161enie ot\u00e1zok kybernetickej bezpe\u010dnosti.<\/li>\n<li>Presk\u00famajte existuj\u00face mechanizmy monitorovania informa\u010dnej bezpe\u010dnosti vo va\u0161om sie\u0165ovom zariaden\u00ed a vyu\u017e\u00edvajte ich.<\/li>\n<li>Pre vn\u00fatorn\u00e9 monitorovanie d\u00e1vajte prednos\u0165 anal\u00fdze telemetrie \u2014 umo\u017e\u0148uje odhali\u0165 a\u017e 80-90% v\u0161etk\u00fdch sie\u0165ov\u00fdch incidentov informa\u010dnej bezpe\u010dnosti, zatia\u013e \u010do poskytuje to, \u010do je nemo\u017en\u00e9 pri zachyt\u00e1van\u00ed sie\u0165ov\u00fdch paketov a \u0161etr\u00ed miesto na ukladanie v\u0161etk\u00fdch udalost\u00ed informa\u010dnej bezpe\u010dnosti.<\/li>\n<li>Na monitorovanie tokov pou\u017e\u00edvajte Netflow v9 alebo IPFIX \u2013 poskytuj\u00fa viac inform\u00e1ci\u00ed v kontexte bezpe\u010dnosti a umo\u017e\u0148uj\u00fa monitorova\u0165 nielen IPv4, ale aj IPv6, MPLS at\u010f.<\/li>\n<li>Pou\u017e\u00edvajte nesamp\u013eovan\u00fd flow-protokol \u2013 poskytuje viac inform\u00e1ci\u00ed pre odha\u013eovanie hrozieb. Napr\u00edklad, Netflow alebo IPFIX.<\/li>\n<li>Skontrolujte za\u0165a\u017eenie va\u0161ich sie\u0165ov\u00fdch zariaden\u00ed \u2013 mo\u017eno nezvl\u00e1dnu spracov\u00e1va\u0165 aj flow protokol. Potom zv\u00e1\u017ete vyu\u017eitie virtu\u00e1lnych senzorov alebo Netflow Generation Appliance.<\/li>\n<li>Implementujte kontrolu najprv na \u00farovni pr\u00edstupu \u2013 to v\u00e1m umo\u017en\u00ed vidie\u0165 100% cel\u00e9ho trafficu.<\/li>\n<li>Ak nem\u00e1te na v\u00fdber a pou\u017e\u00edvate rusk\u00e9 sie\u0165ov\u00e9 zariadenia, vyberte si tie, ktor\u00e9 podporuj\u00fa flow protokoly alebo maj\u00fa SPAN\/RSPAN porty.<\/li>\n<li>Kombinujte syst\u00e9my detekcie\/prevent\u00edvne syst\u00e9my \u00fatokov na hraniciach a syst\u00e9my anal\u00fdzy tokov vo vn\u00fatornej sieti (vr\u00e1tane a v cloude).<\/li>\n<\/ol>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/c54e4b02a906f470bbfb617f48cdd216.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u010co sa t\u00fdka poslednej rady, r\u00e1d by som uviedol ilustr\u00e1ciu, ktor\u00fa som u\u017e spom\u00ednal sk\u00f4r. Vid\u00edte, \u017ee ak predt\u00fdm slu\u017eba IT bezpe\u010dnosti Cisco t\u00e9m\u011b\u0159 \u00faplne budovala svoj monitoring informa\u010dnej bezpe\u010dnosti na z\u00e1klade syst\u00e9mov detekcie vniknutia a signat\u00farnych met\u00f3d, teraz na ich podiel pripad\u00e1 iba 20% incidentov. \u010eal\u0161\u00edch 20% pripad\u00e1 na syst\u00e9my anal\u00fdzy tokov, \u010do nazna\u010duje, \u017ee tieto rie\u0161enia s\u00fa re\u00e1lnym n\u00e1strojom v \u010dinnosti slu\u017eieb informa\u010dnej bezpe\u010dnosti modern\u00e9ho podniku. O to viac, \u017ee m\u00e1te na ich implement\u00e1ciu to najd\u00f4le\u017eitej\u0161ie \u2013 sie\u0165ov\u00fa infra\u0161trukt\u00faru, do ktorej m\u00f4\u017eete dodato\u010dne investova\u0165, a na sie\u0165 m\u00f4\u017eete zveri\u0165 aj funkcie monitorovania bezpe\u010dnosti.<\/p>\n<p><img decoding=\"async\" alt=\"Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete\" src=\"\/wp-content\/uploads\/2019\/08\/2166f265222c43b0b2cbbcf4091c1f8c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u0160peci\u00e1lne som sa nechcel zaobera\u0165 t\u00e9mou reakcie na zisten\u00e9 anom\u00e1lie alebo hrozby vo sie\u0165ov\u00fdch tokoch, ale mysl\u00edm, \u017ee je jasn\u00e9, \u017ee monitoring by nemal kon\u010di\u0165 iba detekciou hrozby. N\u00e1sledne by mala nasledova\u0165 reakcia, a to ide\u00e1lne automaticky alebo v automatizovanom re\u017eime. Ale to je u\u017e t\u00e9ma samostatn\u00e9ho materi\u00e1lu.<\/p>\n<p>\u010eal\u0161ie inform\u00e1cie:<\/p>\n<ul>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/ios-nx-os-software\/ios-netflow\/index.html\">Opis Cisco IOS Netflow<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/netflow-support-matrix\/ta-p\/3644638\">Matrica podpory Netflow v r\u00f4znych rie\u0161eniach Cisco<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/td\/docs\/security\/stealthwatch\/netflow\/Cisco_NetFlow_Configuration.pdf\">Pr\u00edru\u010dka na nastavenie Netflow na r\u00f4znych platform\u00e1ch Cisco<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/sflow.org\">Komunita sFlow<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.ciscolive.com\/c\/dam\/r\/ciscolive\/us\/docs\/2015\/pdf\/LTRSEC-3336.pdf\">Laborat\u00f3rna pr\u00e1ca na vyu\u017eitie Stealthwatch, SiLK a ELK na anal\u00fdzu Netflow z poh\u013eadu bezpe\u010dnosti<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/tools.netsa.cert.org\/silk\/\">Webov\u00e1 str\u00e1nka SiLK<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/tools.netsa.cert.org\/silk\/analysis-handbook.pdf\">Tristostr\u00e1nkov\u00e1 pr\u00edru\u010dka na vyu\u017eitie SiLK s mno\u017estvom pr\u00edkladov<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.elastic.co\/guide\/en\/logstash\/current\/netflow-module.html\">Modul Netflow Logstash<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/blogs.cisco.com\/security\/step-by-step-setup-of-elk-for-netflow-analytics\">Krok-za-krokom pr\u00edru\u010dka Cisco na anal\u00fdzu Netflow v ELK<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/307528\/\">Anal\u00fdza NetFlow v.9 Cisco ASA pomocou Logstash (ELK)<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/ru_ru\/products\/security\/stealthwatch\/index.html\">Rie\u0161enie Cisco Stealthwatch<\/a><\/noindex><\/li>\n<\/ul>\n<p>P.S. Ak m\u00e1te jednoduch\u0161ie vn\u00edma\u0165 v\u0161etko, \u010do bolo nap\u00edsan\u00e9 vy\u0161\u0161ie, m\u00f4\u017eete si pozrie\u0165 hodinov\u00fa prezent\u00e1ciu, ktor\u00e1 sa stala z\u00e1kladom tejto pozn\u00e1mky.<\/p>\n<p><center><div class=\"youtube-placeholder\" data-id=\"ncDRZsueETo\" onclick=\"loadVideo(this)\">\r\n        <img decoding=\"async\" src=\"https:\/\/img.youtube.com\/vi\/ncDRZsueETo\/hqdefault.jpg\" alt=\"Prehrajte video\" loading=\"lazy\" width=\"480\" height=\"360\" style=\"width:100%;height:auto;\">\r\n        <div class=\"play-button\"><\/div>\r\n    <\/div><\/center><br \/>\n<br \/>Zdroj: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/464601\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u0410 \u0435\u0441\u043b\u0438 \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u0443\u0442\u043e\u0447\u043d\u0438\u0442\u044c \u0432\u043e\u043f\u0440\u043e\u0441 \u0438 \u0441\u043f\u0440\u043e\u0441\u0438\u0442\u044c, \u043a\u0430\u043a \u0432\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0435\u0442\u0435 \u0430\u0442\u0430\u043a\u0438 \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u043e\u0442\u0432\u0435\u0442\u043e\u043c \u0431\u0443\u0434\u0435\u0442, \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a (intrusion detection systems, IDS). \u0418 \u0442\u043e, \u0447\u0442\u043e \u0431\u044b\u043b\u043e \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":28091,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37437","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sk_SK\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Flow-\u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T19:17:38+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T19:17:38+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Flow protokoly ako n\u00e1stroj na monitorovanie bezpe\u010dnosti vn\u00fatornej siete | ProHoster","description":"Ke\u010f pr\u00edde re\u010d na monitorovanie bezpe\u010dnosti vn\u00fatornej firemnej alebo vl\u00e1dnej siete, mnoh\u00fdm sa vybav\u00ed kontrola \u00fanikov inform\u00e1ci\u00ed a implement\u00e1cia DLP rie\u0161en\u00ed.","canonical_url":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sk_SK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Flow-\u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 | ProHoster","og:description":"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:17:38+00:00","article:modified_time":"2019-10-31T19:17:38+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37437","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 17:49:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:26:28","updated":"2026-01-23 17:49:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/posts\/37437","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/comments?post=37437"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/posts\/37437\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/media\/28091"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/media?parent=37437"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/categories?post=37437"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sk\/wp-json\/wp\/v2\/tags?post=37437"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}