PĂ„ senare tid har det dök upp en mĂ€ngd material pĂ„ nĂ€tet om analys av trafik pĂ„ nĂ€tverksperimetern. Samtidigt tycks alla ha glömt om analysen av lokal trafik, som Ă€r minst lika viktig. Denna artikel handlar just om detta Ă€mne. Med exemplet frĂ„n kommer vi att pĂ„minna om den gamla goda Netflow (och dess alternativ), titta pĂ„ intressanta fall, möjliga anomalier i nĂ€tverket och förstĂ„ fördelarna med lösningen nĂ€r hela nĂ€tverket fungerar som en enhetlig sensor. Och det mest centrala â att utföra en sĂ„dan analys av lokal trafik kan göras helt gratis, inom ramen för en provlicens (45 dagar). Om du Ă€r intresserad av Ă€mnet, vĂ€lkommen nedan. Om du dock inte har lust att lĂ€sa, kan du pĂ„ förhand registrera dig för , dĂ€r vi kommer att visa och berĂ€tta allt (dĂ€r kan man ocksĂ„ fĂ„ veta om den kommande utbildningen om produkten).
Vad Àr Flowmon Networks?
Först och frÀmst Àr Flowmon en europeisk IT-leverantör. Företaget Àr tjeckiskt och har sitt huvudkontor i Brno (frÄgan om sanktioner Àr inte aktuell). I sin nuvarande form har företaget varit pÄ marknaden sedan 2007. Tidigare var det kÀnt under namnet Invea-Tech. Totalt har det spenderats nÀstan 20 Är pÄ utvecklingen av produkter och lösningar.
Flowmon positioneras som ett A-klass mÀrke. Det utvecklar premiumlösningar för företagskunder och Àr markerat i Gartner-kvadranter inom Network Performance Monitoring and Diagnostics (NPMD). Intressant nog Àr Flowmon den enda leverantören i rapporten som Gartner har identifierat som producent av lösningar bÄde för nÀtverksövervakning och för informationssÀkerhet (Network Behavior Analysis). Det ligger inte pÄ första plats Ànnu, men pÄ grund av detta kostar det inte som en Boeing-vinge.
Vilka uppgifter kan produkten lösa?
Ăvergripande kan följande uppgifter identifieras som löses av företagets produkter:
- öka stabiliteten i nÀtverksarbetet samt nÀtverksresurserna genom att minimera tiden för driftstopp och otillgÀnglighet;
- öka den totala prestandan i nÀtverket;
- öka arbetsförmÄgan hos administrativ personal genom:
- anvÀndande av moderna verktyg för innovativ nÀtverksövervakning, baserat pÄ information om IP-flöden;
- att tillhandahÄlla detaljerad analys av nÀtverksoperationer och tillstÄnd, inklusive anvÀndare och applikationer som arbetar i nÀtverket, överförda data, interagerande resurser, tjÀnster och noder;
- att reagera pÄ incidenter innan de intrÀffar, istÀllet för efter att anvÀndare och kunder har förlorat tjÀnsten;
- att minska tiden och resurserna som krÀvs för administration av nÀtverket och IT-infrastrukturen;
- att förenkla felsökningsuppgifter.
- att höja sÀkerhetsnivÄerna för nÀtverket och företagets informationsresurser genom att anvÀnda icke-signaturbaserad teknologi för att upptÀcka anomal och skadlig nÀtverksaktivitet samt "zero-day" attacker;
- att sÀkerstÀlla den erforderliga SLA-nivÄn för nÀtverksapplikationer och databaser.
Produktportfölj för Flowmon Networks
LÄt oss nu titta nÀrmare pÄ Flowmon Networks produktportfölj och ta reda pÄ vad företaget faktiskt sysslar med. Som mÄnga kanske har listat ut frÄn namnet Àr den frÀmsta specialiseringen lösningar för trafikmonitorering i flöde, samt ett antal tillÀggsmoduler som utvidgar den grundlÀggande funktionaliteten.
Faktum Ă€r att Flowmon kan kallas ett företag för en enda produkt, eller snarare â en enda lösning. LĂ„t oss reda ut om det Ă€r bra eller dĂ„ligt.
KÀrnan i systemet Àr en samlare som ansvarar för datainsamling över olika flödesprotokoll, sÄsom NetFlow v5/v9, jFlow, sFlow, NetStream, IPFIX⊠Det Àr ganska logiskt att ett företag som inte Àr knutet till nÄgon specifik tillverkare av nÀtverksutrustning vill erbjuda marknaden en universell produkt som inte Àr kopplad till nÄgot specifikt standard eller protokoll.
Flowmon Collector
Samlaren erbjuds bÄde som en hÄrdvaruserver och som en virtuell maskin (VMware, Hyper-V, KVM). För övrigt Àr den hÄrdvaruplattform som anvÀnds byggd pÄ specialanpassade servrar frÄn DELL, vilket automatiskt tar bort en stor del av frÄgorna kring garanti och RMA. Den enda hÄrdvarukomponenten Àr FPGA-kort för trafikinsamlings, utvecklade av dotterbolaget Flowmon, och gör det möjligt att utföra övervakning med hastigheter upp till 100 Gbps.
Men vad gör man om den befintliga nÀtverksutrustningen inte kan generera kvalitet flöde? Eller om belastningen pÄ utrustningen Àr för hög? Inga problem:
Flowmon Prob
För detta ÀndamÄl erbjuder Flowmon Networks sina egna sonder (Flowmon Probe), som ansluts till nÀtverket via SPAN-porten pÄ switchen eller med hjÀlp av passiva TAP-fördelare.
SPAN (mirror port) och TAP-implementeringsalternativ
I detta fall konverteras den "rĂ„a" trafiken som gĂ„r till Flowmon Probe till utökat IPFIX, som innehĂ„ller mer Ă€n 240 metrik med information. Medan den standard NetFlow-protokoll som genereras av nĂ€tverksutrustning innehĂ„ller högst 80 metrik. Detta gör det möjligt att sĂ€kerstĂ€lla synlighet av protokoll inte bara pĂ„ nivĂ„ 3 och 4, utan ocksĂ„ pĂ„ nivĂ„ 7 enligt ISO OSI-modellen. DĂ€rigenom kan nĂ€tverksadministratörer övervaka funktionen hos applikationer och protokoll som e-mail, HTTP, DNS, SMBâŠ
Konceptuellt ser systemets logiska arkitektur ut pÄ följande sÀtt:
Den centrala delen av hela Flowmon Networks "ekosystem" Àr Collector, som tar emot trafik frÄn befintlig nÀtverksutrustning eller egna sonder (Probe). Men för Enterprise-lösningar skulle det vara för enkelt att tillhandahÄlla funktionalitet uteslutande för övervakning av nÀtverkstrafik. Detta kan Àven Open Source-lösningar göra, om Àn inte med samma prestanda. VÀrdet av Flowmon Àr de extra moduler som utökar den grundlÀggande funktionaliteten:
- modul Anomaly Detection Security â upptĂ€ckte anomal aktivitet i nĂ€tverket, inklusive attacker av "zero-day", baserat pĂ„ heuristisk trafikanalys och standard nĂ€tverksprofil;
- modul Application Performance Monitoring â övervakning av nĂ€tverksapplikationers prestanda utan att installera "agenter" och pĂ„verka mĂ„lssystem.
- modul Traffic Recorder â inspelning av fragment av nĂ€tverkstrafik enligt en uppsĂ€ttning fördefinierade regler eller via en trigger frĂ„n ADS-modulen, för vidare felsökning och/eller utredning av sĂ€kerhetsincidenter;
- modul DDoS-skydd â skydd av nĂ€tverkets perimeter mot volumetriska DoS/DDoS-attacker, inklusive attacker pĂ„ applikationer (OSI L3/L4/L7).
I denna artikel kommer vi att titta pĂ„ hur allt fungerar live med hjĂ€lp av 2 moduler â Network Performance Monitoring and Diagnostics och Anomaly Detection Security.
UtgÄngsdatan:
- Lenovo RS 140-server med hypervisor VMware 6.0;
- bild av Flowmon Collector virtuella maskin, som du kan ;
- par av switchar som stöder flow-protokoll.
Steg 1. Installation av Flowmon Collector
Utrullning av en virtuell maskin pÄ VMware sker helt standardmÀssigt frÄn en OVF-mall. Resultatet blir en virtuell maskin som kör CentOS och har den nödvÀndiga mjukvaran redo för anvÀndning. Resurskraven Àr rimliga:
Det Àr bara att utföra den grundlÀggande initieringen med kommandot sysconfig:
StÀller in IP pÄ hanteringsporten, DNS, tid, vÀrdnamn och vi kan ansluta till webbgrÀnssnittet.
Steg 2. Installera licensen
En testlicens pÄ en och en halv mÄnad genereras och laddas ner tillsammans med bilden av den virtuella maskinen. Den laddas upp via Configuration Center -> License. Resultatet blir att vi ser:
Allt Àr klart. Vi kan börja arbeta.
Steg 3. Konfigurera mottagaren pÄ samplaren
I detta skede behöver vi bestÀmma hur data frÄn kÀllor ska flöda in i systemet. Som vi nÀmnde tidigare kan detta vara ett av flödesprotokollen eller en SPAN-port pÄ switchen.
I vĂ„rt exempel kommer vi att anvĂ€nda mottagning av data via protokollen NetFlow v9 och IPFIX. I det hĂ€r fallet anger vi IP-adressen för hanteringsgrĂ€nssnittet som mĂ„l â 192.168.78.198. GrĂ€nssnitten eth2 och eth3 (med typ Monitoring interface) anvĂ€nds för att ta emot en kopia av den "rĂ„a" trafiken frĂ„n SPAN-porten pĂ„ switchen. Vi lĂ„ter dem vara, de Ă€r inte vĂ„r situation.
DÀrefter kontrollerar vi samplarens port dÀr trafiken ska ankomma.
I vÄrt fall vÀntar samplaren pÄ trafik pÄ port UDP/2055.
Steg 4. Konfigurera nÀtverksutrustning för att exportera flöde
Att konfigurera NetFlow pÄ Cisco Systems-utrustning kan sÀgas vara en helt vanlig uppgift för varje nÀtverksadministratör. För vÄrt exempel tar vi nÄgot mer ovanligt. Till exempel router MikroTik RB2011UiAS-2HnD. Ja, konstigt nog stöder denna budgetlösning för smÄ och hemmakontor ocksÄ protokollen NetFlow v5/v9 och IPFIX. I instÀllningarna anger vi mÄlet (samplarens adress 192.168.78.198 och port 2055):
Och lÀgger till alla tillgÀngliga metrik för export:
DÄ kan man sÀga att den grundlÀggande konfigurationen Àr avslutad. Vi kontrollerar om trafik kommer in i systemet.
Steg 5. Kontrollera och anvÀnd modulen för nÀtverksprestandaövervakning och diagnostik
För att kontrollera trafik frÄn kÀllan kan man gÄ till avsnittet Flowmon Monitoring Center -> Sources:
Vi ser att data kommer in i systemet. Efter att samplaren har samlat trafik under en tid kommer widgetarna att börja visa information:
Systemen bygger pÄ principen om drill down. Det betyder att anvÀndaren, genom att vÀlja en intressant del av diagrammet eller grafiken, "grÀver" ner till den nivÄ av data som hen behöver:
Ănda ner till information om varje nĂ€tverksanslutning och koppling:
Steg 6. Modul för Anomaly Detection Security
Denna modul kan kallas en av de mest intressanta, tack vare anvÀndningen av signaturfria metoder för att upptÀcka anomalier i nÀtverkstrafik och skadlig nÀtverksaktivitet. Men detta Àr inte en analog till IDS/IPS-system. Arbetet med modulen börjar med att "trÀna" den. För detta anges i en speciell guide alla nyckelkomponenter och tjÀnster i nÀtverket, inklusive:
- adresser till gateway, DNS, DHCP och NTP-servrar,
- adressindelning i segment av anvÀndare och servrar.
DÀrefter gÄr systemet in i lÀget för inlÀrning, som i genomsnitt varar frÄn 2 veckor till 1 mÄnad. Under denna tid bildar systemet en baseline för trafiken som Àr typisk för vÄrt nÀtverk. Enkelt uttryckt studerar systemet:
- vilket beteende som Àr typiskt för nÀtverksnoder?
- vilka datamÀngder som vanligtvis överförs och Àr normala för nÀtverket?
- vilka arbetstider som Àr typiska för anvÀndare?
- vilka applikationer som körs i nÀtverket?
- och mycket mer..
Som ett resultat fÄr vi ett verktyg som identifierar alla anomalier i vÄrt nÀtverk och avvikelser frÄn det typiska beteendet. HÀr Àr nÄgra exempel som systemet kan upptÀcka:
- spridning av ny skadlig programvara i nÀtverket som inte upptÀckts av antivirusens signaturer;
- skapande av DNS, ICMP eller andra tunnlar och överföring av data förbi brandvÀggen;
- framtrÀdandet av en ny dator i nÀtverket som utger sig för att vara en DHCP och/eller DNS-server.
LÄt oss se hur detta ser ut i praktiken. Efter att ditt system har genomgÄtt trÀning och byggt upp en baseline för nÀtverkstrafiken börjar det upptÀcka incidenter:
Huvudsidan för modulen â en tidslinje med visning av upptĂ€ckta incidenter. I vĂ„rt exempel ser vi en tydlig topp, ungefĂ€r mellan klockan 9 och 16. Vi markerar den och kollar nĂ€rmare.
Det Àr tydligt att det finns anomalt beteende frÄn en angripare i nÀtverket. Allt börjar med att vÀrden med adressen 192.168.3.225 inledde en horisontell skanning av nÀtverket pÄ port 3389 (Microsoft RDP-tjÀnsten) och hittar 14 potentiella "offer":
och
Den nÀsta registrerade incidenten Àr att vÀrden 192.168.3.225 inleder en bruteforce-attack för att gissa lösenord pÄ RDP-tjÀnsten (port 3389) pÄ tidigare identifierade adresser:
Som ett resultat av attacken pÄ en av de hackade vÀrdarna registreras en SMTP-anomali. Med andra ord har det börjat skickas SPAM:
Detta exempel Àr en tydlig demonstration av systemets och modulen Anomaly Detection Security, sÀrskilt. Bedöm effektiviteten sjÀlva. Med detta avslutar vi den funktionella översikten av lösningen.
Slutsats
LĂ„t oss sammanfatta vilka slutsatser vi kan dra om Flowmon:
- Flowmon Àr en premiumlösning för företagskunder;
- tack vare universell och kompatibel datainsamling Ă€r data tillgĂ€nglig frĂ„n alla kĂ€llor: nĂ€tverksutrustning (Cisco, Juniper, HPE, HuaweiâŠ) eller egna sonder (Flowmon Probe);
- möjligheterna till skalbarhet i lösningen gör att systemets funktionalitet kan ökas genom att lÀgga till nya moduler, samt öka prestandan tack vare en flexibel licensieringsmetod;
- genom att anvÀnda teknik för signaturlös analys kan systemet upptÀcka till och med okÀnda zero-day-attacker som antivirus och IDS/IPS-systemen inte kÀnner igen;
- tack vare fullstÀndig "transparens" nÀr det gÀller installation och nÀrvaro i nÀtverket pÄverkar lösningen inte driften av andra noder och komponenter i din IT-infrastruktur;
- Flowmon Àr den enda lösningen pÄ marknaden som stöder trafikövervakning med hastigheter upp till 100 Gbit/s;
- Flowmon Àr en lösning för nÀtverk av alla storlekar;
- bÀsta pris-/funktionalitetförhÄllande bland liknande lösningar.
I denna översikt har vi sett mindre Àn 10% av den totala funktionaliteten hos lösningen. I nÀsta artikel kommer vi att berÀtta om de övriga modulerna i Flowmon Networks. Med hjÀlp av modulen Application Performance Monitoring kommer vi att visa hur administratörer av affÀrsapplikationer kan sÀkerstÀlla tillgÀnglighet pÄ den angivna SLA-nivÄn, samt diagnostisera problem sÄ snabbt som möjligt.
Vi vill ocksÄ bjuda in er till vÄrtwebinar (10.09.2019) om lösningarna frÄn Flowmon Networks. För förregistrering ber vi er .
Det Àr allt för nu, tack för ert intresse!
Endast registrerade anvÀndare kan delta i omröstningen. , tack.
AnvÀnder du Netflow för nÀtverksövervakning?
Ja
Nej, men jag planerar det
Ingen
Röstat av 9 anvÀndare. 3 anvÀndare avstod.
KĂ€lla: habr.com
