🥇Flow protocols e fai ma meafaigaluega mo le mataituina o le saogalemu o fesoʻotaiga i totonu

A oʻo mai i le mataʻituina o le saogalemu o se faʻalapotopotoga faʻapitonuʻu poʻo se matagaluega, e faʻafesoʻotaʻi e le toʻatele i le puleaina o faʻamatalaga faʻamatalaga ma le faʻatinoina o fofo DLP. Ma afai e te taumafai e faʻamalamalama le fesili ma fesili pe faʻafefea ona e iloa osofaʻiga i luga o fesoʻotaʻiga i totonu, o le tali o le a, o se tulafono, o se taʻua o faiga faʻaogaina (IDS). Ma o le a le mea na o le filifiliga 10-20 tausaga talu ai ua avea ma anachronism i aso nei. O loʻo i ai se sili atu le aoga, ma i nisi o nofoaga, na o le pau lava le filifiliga e mafai mo le mataʻituina o se fesoʻotaʻiga i totonu - faʻaaogaina faʻasologa o tafega, lea na muai fuafuaina e suʻe ai faʻafitauli fesoʻotaʻiga (faʻafitauli), ae i le aluga o taimi na liua i se meafaigaluega saogalemu tele. O le a matou talanoa pe o le a le faʻasologa o loʻo i ai ma po o fea e sili atu i le suʻeina o osofaʻiga o fesoʻotaʻiga, o fea e sili ona lelei e faʻatino ai le mataʻituina o le tafe, mea e tatau ona suʻeina pe a faʻapipiʻiina sea polokalame, ma pe faʻapefea ona "siitia" nei mea uma i luga o masini fale. i totonu o le lautele o lenei tusiga.

O le a ou le nofo i luga o le fesili "Aisea e manaʻomia ai le mataʻituina o le puipuiga malu o totonu?" E foliga mai e manino le tali. Ae afai, e ui i lea, e te manaʻo e toe faʻamautinoa o aso nei e le mafai ona e ola e aunoa ma lena, fai se foliga se vitio puupuu e uiga i le auala e mafai ai ona e ulu atu i se fesoʻotaʻiga kamupani puipuia e se pa puipui i 17 auala. O le mea lea, o le a tatou manatu tatou te malamalama o le mataʻituina i totonu o se mea e manaʻomia ma o mea uma e totoe o le malamalama pe faʻapefea ona faʻatulagaina.

O le a ou faʻailoaina ni faʻamatalaga autu se tolu mo le mataʻituina o atinaʻe i le tulaga o fesoʻotaʻiga:

"mata" auala tatou te puʻeina ma tuʻuina atu mo auʻiliʻiliga i nisi faiga suʻesuʻe,
mea na tutupu mai masini feso'ota'iga e ui atu ai feoaiga,
fa'amatalaga fe'avea'i na maua e ala i se tasi o fa'asologa fa'asologa.

O le pu'eina o felauaiga mata'utia o le filifiliga sili lea ona lauiloa i tagata tomai faapitoa mo le puipuiga, aua na fa'aalia i tala faasolopito ma o le mea muamua lava. Faiga masani o fesoʻotaʻiga faʻaogaina (o le faiga faʻatauvaʻa muamua e iloa ai faʻalavelave faʻapisinisi o NetRanger mai le Wheel Group, faʻatau mai i le 1998 e Cisco) sa faʻatinoina tonu i le puʻeina o pepa (ma isi taimi mulimuli ane) lea na sailia ai nisi saini ("tulafono faʻamaonia" i totonu. FSTEC terminology), faʻailoga osofaʻiga. O le mea moni, e mafai ona e suʻesuʻeina fefaʻatauaʻiga mataʻutia e le gata i le faʻaaogaina o le IDS, ae faʻaaoga foi isi mea faigaluega (mo se faʻataʻitaʻiga, Wireshark, tcpdum poʻo le NBAR2 galuega i Cisco IOS), ae e masani lava ona latou le maua le malamalama faʻavae e iloagofie ai se meafaigaluega saogalemu faʻamatalaga mai se masani. meafaigaluega IT.

O lea, osofaʻiga faʻaogaina faiga. O le auala sili ona tuai ma sili ona lauiloa e iloa ai osofaʻiga fesoʻotaʻiga, lea e faia se galuega lelei i le nofoaga (tusa lava pe o le a - kamupani, nofoaga autu o faʻamaumauga, vaega, ma isi), ae le manuia i fesoʻotaʻiga faʻaonaponei ma faʻamalamalamaina polokalama. I le tulaga o se fesoʻotaʻiga ua fausia i luga o le faʻavae o suiga masani, o atinaʻe o osofaʻiga osofaʻiga e matua tele naua - e tatau ona e faʻapipiʻi se masini i luga o fesoʻotaʻiga taʻitasi i le node e te manaʻo e mataʻituina osofaʻiga. Soʻo se gaosiga, ioe, o le a fiafia e faʻatau atu ia te oe le selau ma le afe o masini, ae ou te manatu e le mafai e lau paketi ona lagolagoina ia tupe faʻaalu. E mafai ona ou fai atu e oʻo lava i Cisco (ma oi matou o atinaʻe o NGIPS) e le mafai ona matou faia lenei mea, e ui lava e foliga mai o le mataupu o le tau o loʻo i o matou luma. E le tatau ona ou tu - o la tatou lava filifiliga. E le gata i lea, o le fesili e tulaʻi mai, pe faʻapefea ona faʻafesoʻotaʻi le masini i lenei lomiga? I totonu o le va? Ae fa'afefea pe a le manuia le sensor lava ia? Mana'omia se fa'aoga fa'aoga i totonu o le masini? Fa'aoga vaelua (tap)? O nei mea uma e sili atu le taugata o le fofo ma e le gafatia ai se kamupani o soʻo se tele.

E mafai ona e taumafai e "tautau" le masini i luga o se SPAN/RSPAN/ERSPAN uafu ma tuusaʻo feoaiga mai le manaʻomia uafu ki ki ai. O lenei filifiliga e aveese ai se vaega o le faʻafitauli o loʻo faʻamatalaina i le parakalafa muamua, ae o loʻo tulaʻi mai le isi - e le mafai e le SPAN port ona talia atoatoa auala uma o le a lafoina i ai - e le lava le bandwidth. E tatau ona e ositaulagaina se mea. Pe tu'u nisi o nodes e aunoa ma le mata'ituina (ona e mana'omia lea e fa'amuamua muamua), pe lafo atu e le o ta'avale uma mai le node, ae na'o se ituaiga. I soo se tulaga, atonu tatou te misia nisi osofaiga. E le gata i lea, e mafai ona faʻaogaina le taulaga SPAN mo isi manaʻoga. O se taunuuga, e tatau ona tatou toe iloiloina le topology o fesoʻotaʻiga o loʻo i ai nei ma atonu e faia ni fetuunaiga i ai ina ia mafai ai ona ufiufi lau fesoʻotaiga i le maualuga ma le numera o masini e te maua (ma faʻamaopoopoina ma IT).

Ae fa'afefea pe a fa'aogaina e lau feso'ota'iga auala e le tutusa? Ae fa'apefea pe afai ua e fa'atinoina pe o lo'o e fuafua e fa'atino le SDN? Ae fa'afefea pe a mana'omia le mata'ituina o masini po'o koneteina e le o'o atu le feoaiga i le suiga fa'aletino? O fesili ia e le fiafia i ai le au fa'atau IDS masani ona latou te le iloa pe faapefea ona tali. Masalo o le a latou faʻamaonia oe o nei tekinolosi faʻalelei uma o se faʻasalalauga ma e te le manaʻomia. Atonu o le a latou talanoa e uiga i le manaomia ona amata i sina mea itiiti. Pe atonu latou te fai mai e te manaʻomia le tuʻuina o se thresher malosi i le ogatotonu o le fesoʻotaʻiga ma faʻatonu auala uma i ai e faʻaaoga ai paleni. Po o le a lava le filifiliga e ofoina atu ia te oe, e tatau ona e malamalama lelei pe faapefea ona fetaui ma oe. Ma naʻo le maeʻa ai ona fai se faʻaiuga i le filifilia o se auala e mataʻituina ai le saogalemu o faʻamatalaga o fesoʻotaʻiga fesoʻotaʻiga. Toe foʻi atu i le puʻeina o paʻu, ou te manaʻo e fai atu o lenei metotia o loʻo faʻaauau pea ona taʻutaʻua ma taua, ae o lona autu autu o le puleaina o tuaoi; tuaoi i le va o lau faʻalapotopotoga ma le Initaneti, tuaoi i le va o le nofoaga autu o faʻamatalaga ma le isi vaega o fesoʻotaʻiga, tuaoi i le va o le faʻaogaina o le faʻagasologa o le faiga ma le vaega faʻapisinisi. I nei nofoaga, o loʻo iai pea le aia tatau a le IDS/IPS masani e ola ai ma faʻafetaui lelei a latou galuega.

Sei o tatou agai atu i le filifiliga lona lua. O suʻesuʻega o mea e sau mai masini fesoʻotaʻiga e mafai foi ona faʻaogaina mo faʻamoemoega o osofaʻiga, ae e le o se faiga autu, talu ai e mafai ai ona iloa naʻo se vaega itiiti o faʻalavelave. E le gata i lea, e faʻaalia i nisi o gaioiga - e tatau ona tupu muamua le osofaʻiga, ona tatau lea ona faʻamauina e se masini fesoʻotaʻiga, lea i se tasi auala poʻo se isi o le a faʻaalia ai se faʻafitauli i le saogalemu o faʻamatalaga. E tele auala faapena. Atonu o le syslog, RMON poʻo le SNMP. O faʻamaumauga mulimuli e lua mo le mataʻituina o fesoʻotaʻiga i le tulaga o le saogalemu o faʻamatalaga e faʻaaogaina pe afai tatou te manaʻomia se osofaʻiga a le DoS i luga o masini fesoʻotaʻiga lava ia, talu ai o le faʻaaogaina o le RMON ma le SNMP e mafai, mo se faʻataʻitaʻiga, e mataʻituina le uta i le ogatotonu o le masini. processor po'o ona feso'ota'iga. O se tasi lea o le "sili ona taugofie" (o loʻo i ai i tagata uma le syslog poʻo le SNMP), ae sili ona le aoga o metotia uma e mataʻituina ai le saogalemu o faʻamatalaga o atinaʻe i totonu - o le tele o osofaʻiga na natia mai ai. O le mea moni, e le tatau ona tuulafoaiina i latou, ma o le suʻesuʻega tutusa o le syslog e fesoasoani ia te oe e iloa vave suiga i le faʻatulagaina o le masini lava ia, o le fetuunaiga o ia, ae e le fetaui lelei mo le suʻeina o osofaʻiga i luga o le upega tafaʻilagi atoa.

O le filifiliga lona tolu o le suʻesuʻeina lea o faʻamatalaga e uiga i feoaiga e ui atu i se masini e lagolagoina ai se tasi o le tele o faʻasologa o tafega. I lenei tulaga, e tusa lava po o le a le faʻasalalauga, o le fausiaina o filo e tatau ona aofia ai vaega e tolu:

Fa'atupuina po'o le auina atu i fafo o tafega. O lenei matafaioi e masani lava ona tuʻuina atu i se alalaupapa, sui poʻo isi masini fesoʻotaʻiga, lea, e ala i le pasia o fefaʻatauaiga o fesoʻotaʻiga ia te ia lava, e mafai ai e oe ona aveese mai ai vaega autu, ona tuʻuina atu lea i le module collection. Mo se faʻataʻitaʻiga, e lagolagoina e Cisco le Netflow protocol e le gata i luga o alalaupapa ma fesuiaʻi, e aofia ai ma mea faʻapitoa ma alamanuia, ae faʻapea foʻi i luga o masini e leai se fesoʻotaʻiga, firewalls ma e oʻo lava i servers.
Fa'asologa o le aoina. Mafaufau o se fesoʻotaʻiga faʻaonaponei e masani ona sili atu ma le tasi le masini fesoʻotaʻiga, o le faʻafitauli o le aoina ma le faʻamalosia o tafega e tulaʻi mai, lea e foia e ala i le faʻaaogaina o mea e taʻua o le aoina, lea e faʻagasolo ai tafega na maua ona tuʻuina atu lea mo suʻesuʻega.
Iloiloga o tafega O le suʻesuʻe e faia le galuega faʻapitoa faʻapitoa ma, faʻaaogaina algorithms eseese i vaitafe, e maua ai ni faʻaiuga. Mo se faʻataʻitaʻiga, o se vaega o le IT, e mafai e sea suʻesuʻe ona iloa faʻamaufaʻailoga fesoʻotaʻiga poʻo auʻiliʻili le faʻamatalaga o uta o taavale mo le faʻaleleia atili o fesoʻotaiga. Ma mo le saogalemu o faʻamatalaga, o sea suʻesuʻega e mafai ona iloa le faʻaogaina o faʻamatalaga, le faʻasalalauina o tulafono leaga poʻo osofaʻiga a le DoS.

Aua e te manatu o lenei fausaga e tolu-vaega e faigata tele - o isi filifiliga uma (sei vagana ai, atonu o le mataʻituina o fesoʻotaʻiga o loʻo galulue ma SNMP ma RMON) e faʻaogaina foi. O loʻo i ai a matou faʻamatalaga faʻamaumauga mo auʻiliʻiliga, lea e mafai ona avea ma masini fesoʻotaʻiga poʻo se masini tutoʻatasi. O lo'o iai le matou fa'aputugā fa'ailo ma se faiga fa'afoe mo le mata'ituina uma o atina'e. O vaega mulimuli e lua e mafai ona tuʻufaʻatasia i totonu o le tasi node, ae i totonu o fesoʻotaʻiga tetele pe itiiti foi e masani ona faʻasalalau i luga ole lua masini ina ia mautinoa le faʻaogaina ma le faʻamaoni.

E le pei o suʻesuʻega o paʻu, lea e faʻavae i luga o le suʻesuʻeina o le ulutala ma faʻamatalaga o le tino o faʻamaumauga taʻitasi ma vasega o loʻo aofia ai, faʻalagolago le suʻesuʻeina o le tafe i le aoina o metadata e uiga i fefaʻatauaiga o fesoʻotaiga. O afea, fia, mai fea ma o fea, faʻafefea ... o fesili ia e taliina e le suʻesuʻeina o fesoʻotaʻiga telemetry e faʻaaoga ai faʻasalalauga eseese. I le taimi muamua, sa faʻaaogaina e suʻesuʻe fuainumera ma suʻe faʻafitauli IT i luga o le upega tafailagi, ae o le taimi lea, aʻo atinaʻe faiga suʻesuʻe, na mafai ai ona faʻaaogaina i le telemetry tutusa mo faamoemoega saogalemu. E taua le toe matauina e le suitulaga pe suitulaga au'ili'iliga tafega pu'e. O nei metotia taʻitasi e iai lana lava vaega ole faʻaoga. Ae i le tulaga o lenei tusiga, o le suʻesuʻeina o le tafe e sili ona fetaui mo le mataʻituina o atinaʻe i totonu. E i ai au masini fesoʻotaʻiga (pe latou te faʻaogaina i se faʻataʻitaʻiga faʻapipiʻi polokalama poʻo e tusa ai ma tulafono faʻapitoa) e le mafai e se osofaʻiga ona pasia. E mafai ona pasia se masini IDS masani, ae o se masini fesoʻotaʻiga e lagolagoina le faʻasologa o le tafe e le mafai. O le lelei lea o lenei metotia.

I le isi itu, afai e te manaʻomia ni faʻamaoniga mo le faʻamalosia tulafono poʻo lau lava au suʻesuʻe faʻalavelave, e le mafai ona e faia e aunoa ma le puʻeina o pepa - network telemetry e le o se kopi o fefaʻatauaiga e mafai ona faʻaogaina e aoina ai faʻamaoniga; e manaʻomia mo le vave suʻesuʻeina ma le faia o faʻaiʻuga i le tulaga o le saogalemu o faʻamatalaga. I le isi itu, i le faʻaaogaina o suʻesuʻega telemetry, e mafai ona e "tusia" e le o fefaʻatauaiga uma o fesoʻotaʻiga (pe a fai e iai, Cisco e faʻatatau i nofoaga autu o faʻamatalaga :-), ae naʻo mea e aofia ai i le osofaʻiga. O mea faigaluega su'esu'e Telemetry i lea tulaga o le a fa'atutusa lelei faiga masani e pu'eina pepa, tu'uina atu fa'atonuga mo le pu'eina ma le teuina. A leai, e tatau ona i ai sau atina'e tetele e teu ai.

Sei o tatou mafaufau i se fesoʻotaʻiga o loʻo galue i le saoasaoa o le 250 Mbit/sec. Afai e te manaʻo e teu uma lenei voluma, ona e manaʻomia lea o le 31 MB o le teuina mo le tasi lona lua o felauaiga, 1,8 GB mo le minute e tasi, 108 GB mo le itula e tasi, ma le 2,6 TB mo le aso e tasi. Ina ia teuina faʻamatalaga i aso uma mai se fesoʻotaʻiga ma se bandwidth o le 10 Gbit / s, e te manaʻomia le 108 TB o le teuina. Ae o nisi tulafono faatonutonu e manaʻomia le teuina o faʻamaumauga mo le tele o tausaga... O le faʻamaumauga i luga ole manaʻoga, lea e fesoasoani ai le suʻesuʻeina o le tafe ia te oe e faʻatino, fesoasoani e faʻaitiitia nei tau e ala i poloaiga o le tele. I le auala, afai tatou te talanoa e uiga i le fua faatatau o le tele o faʻamaumauga o fesoʻotaʻiga telemetry faʻamaumauga ma faʻamaumauga faʻamaumauga atoa, ona tusa lea ma le 1 i le 500. Mo tau tutusa o loʻo tuʻuina atu i luga, teuina se faʻamaumauga atoa o fefaʻatauaiga i aso uma. o le a avea ma 5 ma 216 GB, i le faasologa (e mafai foi ona e faamaumauina i luga o se taʻavale masani masani).

Afai mo meafaigaluega mo le suʻeina o faʻamaumauga o fesoʻotaʻiga mata, o le auala e puʻeina ai e toetoe lava tutusa mai le faʻatau i le faʻatau, ona i ai lea i le tulaga o le suʻesuʻeina o le tafe e ese le tulaga. E tele filifiliga mo fa'asologa o le tafe, o eseesega e tatau ona e iloa i le tulaga o le saogalemu. O le sili ona lauiloa o le Netflow protocol na fausia e Cisco. E tele fa'aliliuga o lenei feagaiga, e 'ese'ese i o latou agava'a ma le aofa'i o fa'amatalaga fa'amatalaga fa'amaumau. O le lomiga o loʻo i ai nei o le lona iva (Netflow v9), i luga o le faʻavae na faʻavaeina ai le tulaga o pisinisi Netflow v10, lea e lauiloa foi o le IPFIX. I aso nei, o le tele o tagata faʻatau fesoʻotaʻiga e lagolagoina Netflow poʻo IPFIX ia latou meafaigaluega. Ae o loʻo i ai isi filifiliga eseese mo faʻasologa o faʻasologa - sFlow, jFlow, cFlow, rFlow, NetStream, ma isi, lea sFlow e sili ona lauiloa. O le ituaiga lea e masani ona lagolagoina e le au gaosi oloa i totonu o le upega tafaʻilagi ona o le faigofie o le faʻatinoga. O le a le eseesega autu i le va o Netflow, lea ua avea ma tulaga masani, ma sFlow? O le a ou faamamafaina ni nai mea taua. Muamua, o le Netflow o loʻo i ai ni faʻaoga faʻapitoa e faʻafeagai ma fanua faʻamau i sFlow. Ma lona lua, ma o le mea pito sili lea ona taua i la tatou tulaga, sFlow aoina mea e taʻua o faʻataʻitaʻiga telemetry; e fa'atusatusa i le mea e le'i fa'aaogaina mo Netflow ma IPFIX. O le a le eseesega i lo latou va?

Vaai faalemafaufau ua e filifili e faitau le tusi “Nofoaga Puipuiga Puipuiga: Fausiaina, Fa'agaioiga, ma Tausia lau SOC” o aʻu paaga - Gary McIntyre, Joseph Munitz ma Nadem Alfardan (e mafai ona e siiina se vaega o le tusi mai le sootaga). E tolu au filifiliga e ausia ai lau faʻamoemoe - faitau le tusi atoa, faʻataʻitaʻi i ai, taofi i itulau 10 poʻo le 20 itulau uma, pe taumafai e suʻe se toe faʻamatalaina o manatu autu i luga o se blog poʻo se auaunaga e pei o SmartReading. O lea la, o le telemetry e leʻi faʻaaogaina o loʻo faitauina uma "itulau" o fefaʻatauaiga o fesoʻotaʻiga, o lona uiga, suʻesuʻeina metadata mo pepa taʻitasi. Faʻataʻitaʻiga telemetry o le suʻesuʻega filifilia lea o fefaʻatauaiga i le faʻamoemoe o faʻataʻitaʻiga filifilia o le a aofia ai mea e te manaʻomia. Fa'alagolago i le saoasaoa o le auala, o le a tu'uina atu fa'ata'ita'iga telemetry mo au'ili'iliga i le 64th, 200th, 500th, 1000th, 2000th po'o le 10000th packet.

I le tulaga o le mataʻituina o le saogalemu o faʻamatalaga, o lona uiga o faʻataʻitaʻiga telemetry e fetaui lelei mo le suʻeina o osofaʻiga a le DDoS, suʻesuʻeina, ma faʻasalalau faʻailoga leaga, ae ono misia osofaʻiga atomic poʻo le tele-packet e leʻi aofia i le faʻataʻitaʻiga na auina atu mo le auiliiliga. Ole telemetry e le'i fa'ata'ita'iina e leai ni fa'aletonu fa'apea. Faatasi ai ma lenei mea, o le tele o osofaʻiga ua iloa e sili atu le lautele. Ole lisi pu'upu'u lea o mea na tutupu e mafai ona iloa ile fa'aogaina ole feso'ota'iga feso'otaiga telemetry meafaigaluega.

O le mea moni, o le a le faʻatagaina oe e nisi faʻamatalaga faʻamatalaga Netflow e faia lenei mea, talu ai o lana galuega autu o le aoina mai o le telemetry ma faʻatautaia suʻesuʻega faʻavae i luga mai se vaaiga IT. Ina ia iloa faʻamatalaga faʻamataʻu saogalemu e faʻavae i luga o le tafe, e tatau ona faʻaauupegaina le suʻesuʻe i masini eseese ma algorithms, lea o le a faʻaalia ai faʻafitauli o le cybersecurity e faʻavae i luga o tulaga masani poʻo masani Netflow fanua, faʻatamaoaigaina faʻamaumauga faʻatasi ma faʻamatalaga mai fafo mai faʻamatalaga Faʻamatalaga Mataʻutia, ma isi.

O lea la, afai e iai sau filifiliga, ona filifili lea o Netflow poʻo IPFIX. Ae e tusa lava pe naʻo lau meafaigaluega e galue ma sFlow, pei o fale gaosi oloa, e oʻo lava i lenei tulaga e mafai ona e manuia mai ai i se tulaga saogalemu.

I le taumafanafana o le 2019, na ou suʻesuʻeina ai le gafatia o loʻo i ai i le aufaipisinisi meafaigaluega a Rusia ma i latou uma, e le aofia ai NSG, Polygon ma Craftway, faʻasalalau le lagolago mo sFlow (a itiiti mai Zelax, Natex, Eltex, QTech, Rusteleteh).

O le isi fesili o le a e fa'afeagai o fea e fa'atino ai le lagolago mo le saogalemu? O le mea moni, o le fesili e le o sa'o atoatoa. O meafaigaluega fa'aonaponei e toetoe lava o taimi uma e lagolagoina ai fa'asologa fa'asolosolo. O le mea lea, o le a ou toe faʻafouina le fesili - o fea e sili ona aoga e aoina ai le telemetry mai se vaaiga saogalemu? O le tali o le a matua manino lava - i le tulaga avanoa, lea e te vaʻaia ai le 100% o fefaʻatauaiga uma, lea o le ae maua ai faʻamatalaga auiliili i luga o au (MAC, VLAN, ID ID), lea e mafai ai ona e mataʻituina le P2P fefaʻatauaiga i le va o au, lea. e taua tele mo le su'esu'eina o le su'esu'eina ma le tufatufaina o fa'ailoga leaga. I le tulaga autu, atonu e te le o vaʻai i nisi o fefaʻatauaiga, ae i le tulaga pito i luga, o le a e vaʻai i le kuata o au fefaʻatauaiga uma. Ae afai mo nisi mafuaaga o loʻo i ai au masini mai fafo i luga o lau fesoʻotaʻiga e mafai ai e tagata osofaʻi ona "ulufale ma alu ese" e aunoa ma le pasia o le nofoaga, ona suʻesuʻeina lea o le telemetry mai ai o le a le maua ai se mea. O le mea lea, mo le maualuga o le faʻasalalauga, e fautuaina e faʻatagaina le aoina o telemetry i le tulaga avanoa. I le taimi lava e tasi, e taua le matauina e tusa lava pe tatou te talanoa e uiga i le virtualization poʻo koneteina, o le tafe o le lagolago e masani ona maua i suiga faʻaonaponei faʻaonaponei, lea e mafai ai ona e pulea feoaiga iina.

Ae talu ai na ou lagaina le autu, ou te manaʻomia le taliina o le fesili: faʻafefea pe afai e le lagolagoina e meafaigaluega, faʻaletino poʻo le faʻaogaina o faʻasalalauga faʻasalalau? Po'o fa'asaina lona fa'aaofia (mo se fa'ata'ita'iga, i vaega fa'apisinisi e fa'amautinoa ai le fa'amaoni)? Po'o le fa'aliliuina e ta'ita'i atu i le uta maualuga o le CPU (e tupu lea i masini tuai)? Ina ia foia lenei faʻafitauli, o loʻo i ai masini faʻapitoa faʻapitoa (fesoʻotaʻiga vaʻaia), e masani lava o vaeluaga masani e pasi atu i luga o latou lava auala ma faʻasalalau i le tulaga o le tafe i le module aoina. E moni, i lenei tulaga tatou te maua uma faʻafitauli na tatou talanoa i luga e faʻatatau i mea faigaluega puʻeina pepa. O lona uiga, e tatau ona e malamalama e le gata i le lelei o tekinolosi auʻiliʻiliga, ae faʻapea foʻi ona tapulaʻa.

O le isi itu taua e manatua pe a talanoa e uiga i meafaigaluega suʻesuʻe tafe. Afai e faʻatatau i auala masani o le faʻatupuina o mea saogalemu tatou te faʻaogaina le EPS metric (mea tutupu i le sekone), ona le faʻaogaina lea o lenei faʻailoga i suʻesuʻega telemetry; e suitulaga i le FPS (fesoasoani i le sekone). E pei o le tulaga o le EPS, e le mafai ona fuafua muamua, ae e mafai ona e faʻatatauina le aofaʻi o filo e gaosia e se masini faʻapitoa e faʻatatau i lana galuega. E mafai ona e mauaina laulau i luga o le Initaneti ma tau faʻatatau mo ituaiga eseese o masini atinaʻe ma tulaga, lea o le a faʻatagaina oe e faʻatusatusa poʻo a laisene e te manaʻomia mo auʻiliʻili meafaigaluega ma pe o le a le latou fausaga? O le mea moni o le IDS sensor e faʻatapulaʻaina e se bandwidth patino e mafai ona "toso", ma o le aoina o le tafe e iai ona lava tapulaʻa e tatau ona malamalama i ai. O le mea lea, i totonu o fesoʻotaʻiga lautele, faʻasalalau faʻafanua e masani lava ona tele tagata aoina. Ina ua ou faamatalaina pe faʻafefea ona mataʻituina le fesoʻotaʻiga i totonu Cisco, Ua uma ona ou tuʻuina atu le aofaʻi o a matou tagata aoina - e 21 i latou. Ma o le mea lea mo se fesoʻotaʻiga faʻasalalau i konetineta e lima ma faʻatatau i le afa miliona masini gaogao).

Matou te fa'aogaina a matou lava fofo e avea o se faiga mata'ituina Netflow Cisco Stealthwatch, lea e taulaʻi faʻapitoa i le foia o faʻafitauli saogalemu. O loʻo i ai le tele o masini faʻapipiʻiina mo le suʻesuʻeina o gaioiga faʻalavelave, masalosalo ma manino le leaga, e mafai ai ona iloa le tele o faʻamataʻu eseese - mai le cryptomining i faʻamatalaga faʻamatalaga, mai le faʻasalalauina o tulafono leaga i le taufaasese. E pei o le tele o suʻesuʻega tafe, Stealthwatch e fausia e tusa ai ma se polokalame tolu-tulaga (generator - collector - analyzer), ae faʻaopoopoina i le tele o mea manaia e taua i le tulaga o mea o loʻo iloiloina. Muamua, e tu'ufa'atasia ma fofo pu'eina (e pei o le Cisco Security Packet Analyzer), e mafai ai ona e fa'amaumau fa'asalalauga filifilia mo su'esu'ega loloto ma au'ili'ili mulimuli ane. Lona lua, faʻapitoa i le faʻalauteleina o galuega saogalemu, ua matou atiina ae se faʻasalalauga faʻapitoa nvzFlow, lea e mafai ai e oe ona "faʻasalalau" le gaioiga o talosaga i luga o nodes pito (servers, workstations, etc.) i le telemetry ma tuʻuina atu i le tagata aoina mo nisi auiliiliga. Afai i lona uluai lomiga Stealthwatch e galue ma soʻo se faʻasalalauga faʻasalalau (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) i le tulaga fesoʻotaʻiga, ona faʻatagaina lea e le lagolago a le nvzFlow le faʻamaopoopoina o faʻamaumauga i le tulaga o le node, o lea. faʻateleina le lelei o le faiga atoa ma vaʻaia le tele o osofaʻiga nai lo suʻesuʻega faʻasalalau masani.

E manino lava pe a talanoa e uiga i faiga suʻesuʻe Netflow mai se vaaiga saogalemu, o le maketi e le gata i se fofo se tasi mai Cisco. E mafai ona e fa'aogaina fa'apisinisi ma leai se totogi po'o fa'asoa fa'asoa. E matua ese lava pe a ou taʻua fofo a le au tauva e fai ma faʻataʻitaʻiga i luga o le Cisco blog, o lea o le a ou fai atu ni nai upu e uiga i le auala e mafai ai ona suʻesuʻeina le telemetry fesoʻotaʻiga e faʻaaoga ai ni mea taʻutaʻua e lua, tutusa i le igoa, ae o mea faigaluega eseese lava - SiLK ma ELK.

SiLK o se seti o meafaigaluega (le System for Internet-Level Knowledge) mo suʻesuʻega fefaʻatauaʻiga, na atiaʻe e le American CERT/CC ma o loʻo lagolagoina, i le tulaga o le tusiga o aso nei, Netflow (5th ma le 9th, o lomiga sili ona lauiloa), IPFIX ma le sFlow ma le faʻaaogaina o mea aoga (rwfilter, rwcount, rwflowpack, ma isi) e faʻatino ai gaioiga eseese i luga o fesoʻotaʻiga telemetry ina ia mafai ai ona iloa faʻailoga o gaioiga le faʻatagaina i totonu. Ae o loo i ai ni nai vaega taua e matauina. SiLK o se meafaigaluega laina faʻatonuga e faʻatino ai suʻesuʻega i luga ole laiga e ala i le tuʻuina atu o faʻatonuga pei o lenei (suʻeina o pusa ICMP e sili atu nai lo 200 bytes):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

e le lelei tele. E mafai ona e faʻaogaina le iSiLK GUI, ae o le a le faʻafaigofieina lou olaga, naʻo le fofoina o le galuega faʻaaliga ae le suia le suʻega. Ma o le manatu lona lua lea. E le pei o fofo faʻapisinisi, lea ua uma ona i ai se faʻavae auʻiliʻiliga, anomaly detection algorithms, faʻatatau galuega, ma isi mea, i le tulaga o le SiLK e tatau ona e faia nei mea uma lava, lea o le a manaʻomia ai ni tomai eseʻese mai ia te oe nai lo le faʻaaogaina ua uma ona saunia- e fa'aoga meafaigaluega. E le lelei pe leaga - o se vaega lenei o toetoe lava o soʻo se meafaigaluega e leai se totogi e manatu e te iloa le mea e fai, ma o le a fesoasoani ia te oe i lenei mea (mea faigaluega faʻapisinisi e itiiti le faʻalagolago i agavaa o ona tagata faʻaoga, e ui lava latou te manatu ia malamalama le au suʻesuʻe a itiiti ifo faʻavae o suʻesuʻega fesoʻotaʻiga ma mataʻituina). Ae tatou toe foi i le SiLK. O le taamilosaga o galuega a le tagata suʻesuʻe e foliga faʻapea:

Fa'atulagaina o se manatu. E tatau ona tatou malamalama i mea o le a tatou sailia i totonu o fesoʻotaʻiga telemetry, iloa uiga faʻapitoa e mafai ai ona tatou iloa nisi faʻalavelave poʻo faʻamataʻu.
Fausiaina o se faʻataʻitaʻiga. I le faʻatulagaina o se manatu, matou te faʻapolokalameina e faʻaaoga ai le Python tutusa, atigi poʻo isi mea faigaluega e le o aofia ai i le SiLK.
Su'ega. O lea ua o'o mai le taimi e siaki ai le sa'o o le tatou manatu, lea e fa'amaonia pe fa'afitia i le fa'aaogaina o le SiLK utilities amata ile 'rw', 'set', 'bag'.
Iloiloga o faʻamatalaga moni. I galuega tau alamanuia, SiLK fesoasoani ia i matou e iloa se mea ma e tatau i le tagata suʻesuʻe ona tali fesili "Na matou mauaina le mea na matou faʻamoemoeina?", "E fetaui lenei mea ma lo tatou manatu?", "E faʻafefea ona faʻaitiitia le numera o mea sese?", "Faʻafefea e fa'aleleia le tulaga o le fa'ailoaina? » ma faapena atu ai lava.
Fa'aleleia. I le tulaga mulimuli, matou te faʻaleleia mea na faia muamua - matou te faia faʻataʻitaʻiga, faʻaleleia ma faʻaleleia le tulafono, toe faʻaleleia ma faʻamalamalama le manatu, ma isi.

O lenei taamilosaga o le a faʻaoga foi i Cisco Stealthwatch, naʻo le mea mulimuli e faʻaaogaina nei laasaga e lima i le maualuga, faʻaitiitia le numera o mea sese o le au suʻesuʻe ma faʻateleina le lelei o faʻalavelave faʻafuaseʻi. Mo se faʻataʻitaʻiga, i le SiLK e mafai ona e faʻatamaoaigaina faʻamaumauga o fesoʻotaʻiga ma faʻamatalaga i fafo i luga o IP leaga e faʻaaoga ai tusitusiga tusitusi lima, ma i Cisco Stealthwatch o se galuega faʻapipiʻi e vave faʻaalia ai se faʻailo pe afai o fefaʻatauaiga o fesoʻotaʻiga o loʻo i ai fegalegaleaiga ma tuatusi IP mai le lisi uliuli.

Afai e te alu maualuga i le "totogi" pyramid mo le suʻesuʻeina o polokalame, ona maeʻa ai lea o le SiLK e leai se totogi o le ai ai se ELK shareware, e aofia ai vaega autu e tolu - Elasticsearch (faʻasinomaga, suʻesuʻega ma suʻesuʻega faʻamaumauga), Logstash (faʻamatalaga faʻapipiʻi / gaioiga. ) ma Kibana (fa'aaliga). E le pei o le SiLK, lea e tatau ona e tusia ai mea uma e oe lava, ELK ua uma ona i ai le tele o faletusi / modules ua saunia (o nisi e totogi, o nisi e leai) e faʻaogaina le auiliiliga o fesoʻotaʻiga telemetry. Mo se faʻataʻitaʻiga, o le GeoIP filter i Logstash e mafai ai ona e faʻafesoʻotaʻi tuatusi IP mataʻituina ma o latou nofoaga faʻafanua (Stealthwatch o loʻo i ai lenei mea faʻapipiʻi).

O loʻo i ai foi i le ELK se faʻalapotopotoga lautele tele o loʻo faʻamaeʻaina vaega o loʻo misi mo lenei fofo mataʻituina. Mo se faʻataʻitaʻiga, e galue ma Netflow, IPFIX ma sFlow e mafai ona e faʻaogaina le module elastiflow, pe afai e te le faamalieina i le Logstash Netflow Module, lea e naʻo le lagolagoina Netflow.

A'o tu'uina atu le sili atu le lelei i le aoina mai o le tafe ma su'esu'e i totonu, o le ELK i le taimi nei e leai ni au'ili'iliga fau-i totonu mo le su'eina o fa'aletonu ma fa'amata'u i feso'ota'iga telemetry. O lona uiga, mulimuli i le taamilosaga o le olaga o loʻo faʻamatalaina i luga, e tatau ona e faʻamatalaina tutoʻatasi faʻataʻitaʻiga soliga ona faʻaaogaina lea i le faiga o le taua (e leai ni faʻataʻitaʻiga faʻapipiʻi iina).

O loʻo i ai, ioe, faʻaopoopoga faʻapitoa mo ELK, lea ua uma ona i ai ni faʻataʻitaʻiga mo le suʻeina o faʻalavelave i le telemetry fesoʻotaʻiga, ae o ia faʻaopoopoga e tau ai tupe ma iinei o le fesili pe o le taʻaloga e aoga le moligao - tusi se faʻataʻitaʻiga tutusa oe lava, faʻatau lona fa'atinoga mo lau meafaigaluega mata'ituina, po'o le fa'atau fo'i fofo saunia o le vasega Network Traffic Analysis.

I se tulaga lautele, ou te le manaʻo e alu i le felafolafoaiga e sili atu le faʻaaluina o tupe ma faʻatau se fofo saunia mo le mataʻituina o faʻalavelave ma faʻamataʻu i fesoʻotaʻiga telemetry (mo se faʻataʻitaʻiga, Cisco Stealthwatch) pe faʻataʻitaʻiina oe lava ma faʻavasega tutusa. SiLK, ELK poʻo le nfdump poʻo le OSU Flow Tools mo faʻamataʻu fou taʻitasi (O loʻo ou talanoa e uiga i le lua mulimuli o latou ta'u atu taimi mulimuli)? E filifili tagata uma mo i latou lava ma e tofu tagata uma ma a latou lava faʻamoemoega mo le filifilia o soʻo se tasi o filifiliga e lua. Naʻo loʻu manaʻo e faʻaalia o le telemetry fesoʻotaʻiga o se meafaigaluega taua tele i le faʻamautinoaina o le saogalemu o fesoʻotaʻiga o au atinaʻe i totonu ma e le tatau ona e tuulafoaiina, ina ia aua nei e auai i le lisi o kamupani o loʻo taʻua o latou igoa i le aufaasālalau faatasi ai ma le epithets " hacked", "le ogatasi ma faʻamatalaga saogalemu manaʻomia" ", "le mafaufau e uiga i le saogalemu o latou faʻamatalaga ma faʻamatalaga tagata faʻatau."

I se aotelega, ou te fia lisiina fautuaga autu e tatau ona e mulimuli ai pe a fausia faʻamatalaga saogalemu mataʻituina o au atinaʻe totonu:

Aua le na'o le fa'atapula'aina o oe lava i le nofoaga! Fa'aoga (ma filifili) atina'e feso'ota'iga e le gata e fa'agasolo ai feoaiga mai le vaega A i le itu B, ae fa'apea fo'i le fa'atalanoaina o fa'afitauli tau initaneti.
Su'esu'e auala e mata'ituina ai le puipuiga o fa'amatalaga o lo'o iai i au masini feso'ota'iga ma fa'aoga.
Mo le mataʻituina i totonu, tuʻuina atu le faʻamuamua i suʻesuʻega telemetry - e mafai ai ona e iloa e oʻo atu i le 80-90% o faʻamatalaga uma o faʻamatalaga faʻamatalaga fesoʻotaʻiga, aʻo faia le mea e le mafai pe a puʻeina paʻu fesoʻotaʻiga ma sefe avanoa mo le teuina o faʻamatalaga saogalemu.
Ina ia mataʻituina tafega, faʻaaoga Netflow v9 poʻo le IPFIX - latou te tuʻuina atu faʻamatalaga atili i totonu o se tulaga saogalemu ma faʻatagaina oe e mataʻituina e le gata i le IPv4, ae o le IPv6, MPLS, ma isi.
Fa'aaogā se fa'aa'oa'oga e le'i fa'ata'ita'iina - e maua ai nisi fa'amatalaga mo le su'eina o fa'amata'u. Mo se faʻataʻitaʻiga, Netflow poʻo le IPFIX.
Siaki le uta i lau masini feso'ota'iga - atonu e le mafai fo'i ona fa'atautaia le fa'asologa o le tafe. Ona mafaufau lea e faʻaaoga masini faʻapitoa poʻo Netflow Generation Appliance.
Fa'atino le pulea muamua i le tulaga avanoa - o le a maua ai e oe le avanoa e va'ai ai i le 100% o fefa'atauaiga uma.
Afai e leai sau filifiliga ma o loʻo e faʻaogaina meafaigaluega fesoʻotaʻiga a Rusia, ona filifili lea o se tasi e lagolagoina le faʻasologa o faʻasologa poʻo le iai o ports SPAN/RSPAN.
Faʻatasi faʻalavelave / osofaʻiga suʻesuʻe / puipuiga faiga i pito ma faiga suʻesuʻega tafe i totonu o fesoʻotaiga i totonu (e aofia ai i ao).

E tusa ai ma le fautuaga mulimuli, ou te fia tuʻuina atu se faʻataʻitaʻiga ua uma ona ou tuʻuina atu muamua. E te vaʻai pe a fai o le Cisco faʻamatalaga saogalemu auaunaga toetoe lava fausia atoa lona faʻamatalaga mataʻituina faiga faʻavae i luga o le faʻavaeina o faiga faʻaogaina ma auala saini, o lea latou te faʻatatau mo na o le 20% o faʻalavelave. O le isi 20% o loʻo pa'ū i luga o faiga suʻesuʻe o le tafe, lea e taʻu mai ai o nei fofo e le o se mea e manaʻo ai, ae o se meafaigaluega moni i gaioiga o faʻamatalaga saogalemu auaunaga a se atinaʻe faʻaonaponei. E le gata i lea, o loʻo ia te oe le mea sili ona taua mo la latou faʻatinoga - fesoʻotaʻiga fesoʻotaʻiga, tupe teufaafaigaluega e mafai ona puipuia atili e ala i le tuʻuina atu o faʻamatalaga mataʻituina galuega i le fesoʻotaʻiga.

Ou te leʻi paʻi patino atu i le autu o le tali atu i faʻalavelave poʻo faʻamataʻu ua faʻaalia i fesoʻotaʻiga fesoʻotaʻiga, ae ou te manatu ua uma ona manino o le mataʻituina e le tatau ona muta i le mauaina o se taufaamatau. E tatau ona mulimulita'i i se tali ma e sili i se faiga otometi po'o le otometi. Ae o se autu lenei mo se tala ese.

Faamatalaga faaopoopo:

PS. Afai e faigofie mo oe ona faʻalogo i mea uma na tusia i luga, ona mafai lea ona e vaʻavaʻai i le itula le umi na faʻaalia ai le faʻavae o lenei faʻamatalaga.

puna: www.habr.com

Flow protocols o se meafaigaluega mo le mataituina o le saogalemu o fesoʻotaiga i totonu

Faaopoopo i ai se faamatalaga faalēaogāina tali