Мониторинг мреже и детекција аномалних мрежних активности помоћу Фловмон Нетворкс решења

Недавно можете пронаћи огромну количину материјала на ову тему на Интернету. анализа саобраћаја на периметру мреже. У исто време, из неког разлога су сви потпуно заборавили анализа локалног саобраћаја, што није ништа мање важно. Овај чланак се бави управо овом темом. На пример Фловмон Нетворкс сетићемо се доброг старог Нетфлов-а (и његових алтернатива), погледати занимљиве случајеве, могуће аномалије у мрежи и сазнати предности решења када цела мрежа ради као један сензор. И што је најважније, такву анализу локалног саобраћаја можете спровести потпуно бесплатно, у оквиру пробне дозволе (КСНУМКС дана). Ако вам је тема интересантна, добродошли у кат. Ако сте превише лењи за читање, онда, гледајући унапред, можете се регистровати предстојећи вебинар, где ћемо вам све показати и рећи (тамо можете сазнати и о предстојећој обуци производа).

Шта је Фловмон Нетворкс?

Пре свега, Фловмон је европски ИТ добављач. Компанија је чешка, са седиштем у Брну (питање санкција се чак и не поставља). У садашњем облику, компанија је на тржишту од 2007. године. Раније је био познат под брендом Инвеа-Тецх. Дакле, укупно је скоро 20 година потрошено на развој производа и решења.

Фловмон је позициониран као бренд А класе. Развија врхунска решења за пословне кориснике и препознат је у Гартнер кутијама за праћење и дијагностику мрежних перформанси (НПМД). Штавише, занимљиво, од свих компанија у извештају, Фловмон је једини продавац којег је Гартнер навео као произвођача решења за надгледање мреже и заштиту информација (Анализа понашања мреже). Још увек не заузима прво место, али због тога не стоји као крило Боинга.

Које проблеме решава производ?

Глобално, можемо разликовати следеће групе задатака које решавају производи компаније:

1. повећање стабилности мреже, као и мрежних ресурса, минимизирањем њиховог застоја и недоступности;
2. повећање укупног нивоа перформанси мреже;
3. повећање ефикасности административног особља због:
   • коришћење савремених иновативних алата за праћење мреже заснованих на информацијама о ИП токовима;
   • пружање детаљне аналитике о функционисању и стању мреже - корисника и апликација које раде на мрежи, пренетих података, интеракцијских ресурса, услуга и чворова;
   • реаговање на инциденте пре него што се догоде, а не након што корисници и клијенти изгубе услугу;
   • смањење времена и ресурса потребних за администрирање мреже и ИТ инфраструктуре;
   • поједностављивање задатака за решавање проблема.
4. повећање нивоа безбедности мрежних и информационих ресурса предузећа, коришћењем непотписних технологија за откривање аномалних и злонамерних мрежних активности, као и „напада нултог дана“;
5. обезбеђивање потребног нивоа СЛА за мрежне апликације и базе података.

Фловмон Нетворкс портфолио производа

Сада погледајмо директно у портфолио производа Фловмон Нетворкс и сазнамо шта тачно компанија ради. Као што су многи већ претпоставили из имена, главна специјализација је у решењима за праћење протока протока саобраћаја, плус низ додатних модула који проширују основну функционалност.

У ствари, Фловмон се може назвати компанијом једног производа, односно једног решења. Хајде да схватимо да ли је ово добро или лоше.

Језгро система је колектор, који је одговоран за прикупљање података коришћењем различитих протокола протока, као нпр. НетФлов в5/в9, јФлов, сФлов, НетСтреам, ИПФИКС... Сасвим је логично да је за компанију која није повезана ни са једним произвођачем мрежне опреме важно да тржишту понуди универзални производ који није везан ни за један стандард или протокол.

Фловмон Цоллецтор

Колектор је доступан и као хардверски сервер и као виртуелна машина (ВМваре, Хипер-В, КВМ). Иначе, хардверска платформа је имплементирана на прилагођеним ДЕЛЛ серверима, што аутоматски елиминише већину проблема са гаранцијом и РМА. Једине власничке хардверске компоненте су ФПГА картице за хватање саобраћаја које је развила подружница компаније Фловмон, које омогућавају праћење брзинама до 100 Гбпс.

Али шта учинити ако постојећа мрежна опрема није у стању да генерише висококвалитетан проток? Или је оптерећење опреме превелико? Нема проблема:

Фловмон Проб

У овом случају, Фловмон Нетворкс нуди коришћење сопствених сонди (Фловмон Пробе), које су повезане на мрежу преко СПАН порта свича или помоћу пасивних ТАП разделника.

Опције имплементације СПАН (порт за огледало) и ТАП

У овом случају, сирови саобраћај који стиже на Фловмон сонду се претвара у проширени ИПФИКС који садржи више 240 метрика са информацијама. Док стандардни НетФлов протокол који генерише мрежна опрема не садржи више од 80 метрика. Ово омогућава видљивост протокола не само на нивоима 3 и 4, већ и на нивоу 7 према ИСО ОСИ моделу. Као резултат тога, администратори мреже могу да прате функционисање апликација и протокола као што су е-пошта, ХТТП, ДНС, СМБ...

Концептуално, логичка архитектура система изгледа овако:

Централни део целокупног „екосистема“ Фловмон Нетворкс-а је колектор, који прима саобраћај од постојеће мрежне опреме или сопствених сонди (Пробе). Али за Ентерприсе решење, обезбеђивање функционалности само за праћење мрежног саобраћаја било би превише једноставно. Решења отвореног кода такође могу то да ураде, али не са таквим перформансама. Вредност Фловмона су додатни модули који проширују основну функционалност:

• модул Безбедност детекције аномалија – идентификација аномалне мрежне активности, укључујући нападе нултог дана, на основу хеуристичке анализе саобраћаја и типичног мрежног профила;
• модул Мониторинг перформанси апликације – праћење перформанси мрежних апликација без инсталирања „агента“ и утицаја на циљне системе;
• модул Траффиц Рецордер – снимање фрагмената мрежног саобраћаја према сету унапред дефинисаних правила или према тригеру из АДС модула, ради даљег решавања проблема и/или истраге инцидената безбедности информација;
• модул ДДоС Протецтион – заштита периметра мреже од волуметријских ДоС/ДДоС напада ускраћивања услуге, укључујући нападе на апликације (ОСИ Л3/Л4/Л7).

У овом чланку ћемо погледати како све функционише уживо на примеру 2 модула - Мониторинг и дијагностика мрежних перформанси и Безбедност детекције аномалија.
Почетни подаци:

• Леново РС 140 сервер са ВМваре 6.0 хипервизором;
• Слика виртуелне машине Фловмон Цоллецтор коју можете преузми овде;
• пар прекидача који подржавају протоколе протока.

Корак 1. Инсталирајте Фловмон Цоллецтор

Примена виртуелне машине на ВМваре се одвија на потпуно стандардан начин из ОВФ шаблона. Као резултат, добијамо виртуелну машину са ЦентОС-ом и софтвером спремним за употребу. Захтеви за ресурсе су хумани:

Остаје само да извршите основну иницијализацију помоћу команде сисцонфиг:

Конфигуришемо ИП на порту за управљање, ДНС, време, име хоста и можемо да се повежемо на ВЕБ интерфејс.

Корак 2. Инсталација лиценце

Пробна лиценца за месец и по се генерише и преузима заједно са сликом виртуелне машине. Учитано преко Конфигурациони центар -> Лиценца. Као резултат видимо:

Све је спремно. Можете почети са радом.

Корак 3. Постављање пријемника на колектор

У овој фази морате одлучити како ће систем примати податке из извора. Као што смо раније рекли, ово може бити један од протокола протока или СПАН порт на прекидачу.

У нашем примеру користићемо пријем података помоћу протокола НетФлов в9 и ИПФИКС. У овом случају наводимо ИП адресу интерфејса за управљање као циљ - 192.168.78.198. Интерфејси етх2 и етх3 (са типом интерфејса Мониторинг) се користе за примање копије „сировог“ саобраћаја са СПАН порта комутатора. Пустили смо их да прођу, а не наш случај.
Затим проверавамо порт колектора где саобраћај треба да иде.

У нашем случају, колектор слуша саобраћај на порту УДП/2055.

Корак 4. Конфигурисање мрежне опреме за извоз тока

Подешавање НетФлов-а на опреми Цисцо Системс вероватно се може назвати потпуно уобичајеним задатком за сваког мрежног администратора. За наш пример, узећемо нешто необичније. На пример, рутер МикроТик РБ2011УиАС-2ХнД. Да, што је чудно, такво буџетско решење за мале и кућне канцеларије такође подржава НетФлов в5/в9 и ИПФИКС протоколе. У подешавањима поставите циљ (адреса колектора 192.168.78.198 и порт 2055):

И додајте све метрике доступне за извоз:

У овом тренутку можемо рећи да је основно подешавање завршено. Проверавамо да ли саобраћај улази у систем.

Корак 5: Тестирање и рад модула за праћење и дијагностику мрежних перформанси

У одељку можете проверити присуство саобраћаја са извора Фловмон Мониторинг Центер –> Извори:

Видимо да подаци улазе у систем. Неко време након што сакупљач акумулира саобраћај, виџети ће почети да приказују информације:

Систем је изграђен на принципу дрилл довн. То јест, корисник, када бира фрагмент од интереса на дијаграму или графикону, „пада“ на ниво дубине података који му је потребан:

Све до информација о свакој мрежној вези и вези:

Корак 6. Сигурносни модул за откривање аномалија

Овај модул се може назвати можда једним од најзанимљивијих, захваљујући коришћењу метода без потписа за откривање аномалија у мрежном саобраћају и злонамерне мрежне активности. Али ово није аналог ИДС/ИПС система. Рад са модулом почиње његовом „обуком“. Да бисте то урадили, посебан чаробњак одређује све кључне компоненте и услуге мреже, укључујући:

• адресе мрежног пролаза, ДНС, ДХЦП и НТП сервере,
• адресирање у сегментима корисника и сервера.

Након тога, систем прелази у режим обуке, који у просеку траје од 2 недеље до 1 месеца. Током овог времена, систем генерише основни саобраћај који је специфичан за нашу мрежу. Једноставно речено, систем учи:

• какво је понашање типично за мрежне чворове?
• Које количине података се обично преносе и које су нормалне за мрежу?
• Које је типично радно време за кориснике?
• које апликације раде на мрежи?
• и још много тога..

Као резултат, добијамо алат који идентификује све аномалије у нашој мрежи и одступања од типичног понашања. Ево неколико примера које вам систем омогућава да откријете:

• дистрибуција новог малвера на мрежи који није откривен антивирусним потписима;
• изградња ДНС-а, ИЦМП-а или других тунела и пренос података заобилазећи заштитни зид;
• појава новог рачунара на мрежи који се представља као ДХЦП и/или ДНС сервер.

Да видимо како то изгледа уживо. Након што је ваш систем обучен и изградио основну линију мрежног саобраћаја, почиње да открива инциденте:

Главна страница модула је временска линија која приказује идентификоване инциденте. У нашем примеру видимо јасан скок, отприлике између 9 и 16 сати. Хајде да га изаберемо и погледамо детаљније.

Јасно је видљиво аномално понашање нападача на мрежи. Све почиње чињеницом да је домаћин са адресом 192.168.3.225 започео хоризонтално скенирање мреже на порту 3389 (Мицрософт РДП сервис) и пронашао 14 потенцијалних „жртва“:

и

Следећи забележени инцидент – хост 192.168.3.225 почиње напад грубом силом да би грубо форсирао лозинке на РДП сервису (порт 3389) на претходно идентификованим адресама:

Као резултат напада, СМТП аномалија је откривена на једном од хакованих хостова. Другим речима, СПАМ је почео:

Овај пример је јасна демонстрација могућности система и посебно модула за безбедност детекције аномалија. Сами процените ефикасност. Овим је завршен функционални преглед решења.

Закључак

Хајде да сумирамо које закључке можемо да извучемо о Фловмону:

• Фловмон је врхунско решење за корпоративне клијенте;
• захваљујући својој свестраности и компатибилности, прикупљање података је доступно из било ког извора: мрежне опреме (Цисцо, Јунипер, ХПЕ, Хуавеи...) или сопствених сонди (Фловмон Пробе);
• Могућности скалабилности решења омогућавају вам да проширите функционалност система додавањем нових модула, као и да повећате продуктивност захваљујући флексибилном приступу лиценцирању;
• коришћењем технологија анализе без потписа, систем вам омогућава да откријете нападе нултог дана чак и непознате антивирусима и ИДС/ИПС системима;
• захваљујући потпуној „транспарентности“ у погледу инсталације и присуства система на мрежи - решење не утиче на рад других чворова и компоненти ваше ИТ инфраструктуре;
• Фловмон је једино решење на тржишту које подржава праћење саобраћаја при брзинама до 100 Гбпс;
• Фловмон је решење за мреже било ког обима;
• најбољи однос цене и функционалности међу сличним решењима.

У овом прегледу смо испитали мање од 10% укупне функционалности решења. У следећем чланку ћемо говорити о преосталим Фловмон Нетворкс модулима. Користећи модул Мониторинг перформанси апликације као пример, показаћемо како администратори пословних апликација могу да обезбеде доступност на датом СЛА нивоу, као и да дијагностикују проблеме што је брже могуће.

Такође, желимо да вас позовемо на наш вебинар (10.09.2019.) посвећен решењима добављача Фловмон Нетворкс. За претходну регистрацију, молимо вас региструјте овде.
То је све за сада, хвала на интересовању!

Само регистровани корисници могу учествовати у анкети. Пријавите се, Добродошао си.

Да ли користите Нетфлов за праћење мреже?

• Да

• Не, али планирам

• Не

Гласало је 9 корисника. 3 корисника су била уздржана.

Извор: ввв.хабр.цом