{"id":37189,"date":"2019-10-31T22:16:15","date_gmt":"2019-10-31T19:16:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\/"},"modified":"2019-10-31T22:16:15","modified_gmt":"2019-10-31T19:16:15","slug":"setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","title":{"rendered":"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/8509341060b74259e9383af1b28c1e59.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nP\u00e5 senare tid har det d\u00f6k upp en m\u00e4ngd material p\u00e5 n\u00e4tet om <b>analys av trafik p\u00e5 n\u00e4tverksperimetern<\/b>. Samtidigt tycks alla ha gl\u00f6mt om <b>analysen av lokal trafik<\/b>, som \u00e4r minst lika viktig. Denna artikel handlar just om detta \u00e4mne. Med exemplet fr\u00e5n <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/flowmon\">Flowmon Networks<\/a><\/noindex> kommer vi att p\u00e5minna om den gamla goda Netflow (och dess alternativ), titta p\u00e5 intressanta fall, m\u00f6jliga anomalier i n\u00e4tverket och f\u00f6rst\u00e5 f\u00f6rdelarna med l\u00f6sningen n\u00e4r <b>hela n\u00e4tverket fungerar som en enhetlig sensor<\/b>. Och det mest centrala \u2014 att utf\u00f6ra en s\u00e5dan analys av lokal trafik kan g\u00f6ras helt gratis, inom ramen f\u00f6r en provlicens (<b>45 dagar<\/b>). Om du \u00e4r intresserad av \u00e4mnet, v\u00e4lkommen nedan. Om du dock inte har lust att l\u00e4sa, kan du p\u00e5 f\u00f6rhand registrera dig f\u00f6r <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/events\/vebinari_flowmon\">det kommande webbinariet<\/a><\/noindex>, d\u00e4r vi kommer att visa och ber\u00e4tta allt (d\u00e4r kan man ocks\u00e5 f\u00e5 veta om den kommande utbildningen om produkten).<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h3>Vad \u00e4r Flowmon Networks?<\/h3>\n<p>\nF\u00f6rst och fr\u00e4mst \u00e4r Flowmon en europeisk IT-leverant\u00f6r. F\u00f6retaget \u00e4r tjeckiskt och har sitt huvudkontor i Brno (fr\u00e5gan om sanktioner \u00e4r inte aktuell). I sin nuvarande form har f\u00f6retaget varit p\u00e5 marknaden sedan 2007. Tidigare var det k\u00e4nt under namnet Invea-Tech. Totalt har det spenderats n\u00e4stan 20 \u00e5r p\u00e5 utvecklingen av produkter och l\u00f6sningar.<\/p>\n<p>Flowmon positioneras som ett A-klass m\u00e4rke. Det utvecklar premiuml\u00f6sningar f\u00f6r f\u00f6retagskunder och \u00e4r markerat i Gartner-kvadranter inom Network Performance Monitoring and Diagnostics (NPMD). Intressant nog \u00e4r Flowmon den enda leverant\u00f6ren i rapporten som Gartner har identifierat som producent av l\u00f6sningar b\u00e5de f\u00f6r n\u00e4tverks\u00f6vervakning och f\u00f6r informationss\u00e4kerhet (Network Behavior Analysis). Det ligger inte p\u00e5 f\u00f6rsta plats \u00e4nnu, men p\u00e5 grund av detta kostar det inte som en Boeing-vinge.<\/p>\n<h3>Vilka uppgifter kan produkten l\u00f6sa?<\/h3>\n<p>\n\u00d6vergripande kan f\u00f6ljande uppgifter identifieras som l\u00f6ses av f\u00f6retagets produkter:<\/p>\n<ol>\n<li>\u00f6ka stabiliteten i n\u00e4tverksarbetet samt n\u00e4tverksresurserna genom att minimera tiden f\u00f6r driftstopp och otillg\u00e4nglighet;<\/li>\n<li>\u00f6ka den totala prestandan i n\u00e4tverket;<\/li>\n<li>\u00f6ka arbetsf\u00f6rm\u00e5gan hos administrativ personal genom:\n<ul>\n<li>anv\u00e4ndande av moderna verktyg f\u00f6r innovativ n\u00e4tverks\u00f6vervakning, baserat p\u00e5 information om IP-fl\u00f6den;<\/li>\n<li> att tillhandah\u00e5lla detaljerad analys av n\u00e4tverksoperationer och tillst\u00e5nd, inklusive anv\u00e4ndare och applikationer som arbetar i n\u00e4tverket, \u00f6verf\u00f6rda data, interagerande resurser, tj\u00e4nster och noder;<\/li>\n<li> att reagera p\u00e5 incidenter innan de intr\u00e4ffar, ist\u00e4llet f\u00f6r efter att anv\u00e4ndare och kunder har f\u00f6rlorat tj\u00e4nsten;<\/li>\n<li> att minska tiden och resurserna som kr\u00e4vs f\u00f6r administration av n\u00e4tverket och IT-infrastrukturen;<\/li>\n<li> att f\u00f6renkla fels\u00f6kningsuppgifter.<\/li>\n<\/ul>\n<\/li>\n<li>att h\u00f6ja s\u00e4kerhetsniv\u00e5erna f\u00f6r n\u00e4tverket och f\u00f6retagets informationsresurser genom att anv\u00e4nda icke-signaturbaserad teknologi f\u00f6r att uppt\u00e4cka anomal och skadlig n\u00e4tverksaktivitet samt \"zero-day\" attacker;<\/li>\n<li>att s\u00e4kerst\u00e4lla den erforderliga SLA-niv\u00e5n f\u00f6r n\u00e4tverksapplikationer och databaser.<\/li>\n<\/ol>\n<p><\/p>\n<h3>Produktportf\u00f6lj f\u00f6r Flowmon Networks<\/h3>\n<p>\nL\u00e5t oss nu titta n\u00e4rmare p\u00e5 Flowmon Networks produktportf\u00f6lj och ta reda p\u00e5 vad f\u00f6retaget faktiskt sysslar med. Som m\u00e5nga kanske har listat ut fr\u00e5n namnet \u00e4r den fr\u00e4msta specialiseringen l\u00f6sningar f\u00f6r trafikmonitorering i fl\u00f6de, samt ett antal till\u00e4ggsmoduler som utvidgar den grundl\u00e4ggande funktionaliteten.<\/p>\n<p>Faktum \u00e4r att Flowmon kan kallas ett f\u00f6retag f\u00f6r en enda produkt, eller snarare \u2013 en enda l\u00f6sning. L\u00e5t oss reda ut om det \u00e4r bra eller d\u00e5ligt.<\/p>\n<p>K\u00e4rnan i systemet \u00e4r en samlare som ansvarar f\u00f6r datainsamling \u00f6ver olika fl\u00f6desprotokoll, s\u00e5som <b>NetFlow v5\/v9, jFlow, sFlow, NetStream, IPFIX<\/b>\u2026 Det \u00e4r ganska logiskt att ett f\u00f6retag som inte \u00e4r knutet till n\u00e5gon specifik tillverkare av n\u00e4tverksutrustning vill erbjuda marknaden en universell produkt som inte \u00e4r kopplad till n\u00e5got specifikt standard eller protokoll.<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/d8dddeaa90c8bc03b78282b7ca00ea86.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Flowmon Collector<\/i><\/p>\n<p>Samlaren erbjuds b\u00e5de som en h\u00e5rdvaruserver och som en virtuell maskin (VMware, Hyper-V, KVM). F\u00f6r \u00f6vrigt \u00e4r den h\u00e5rdvaruplattform som anv\u00e4nds byggd p\u00e5 specialanpassade servrar fr\u00e5n DELL, vilket automatiskt tar bort en stor del av fr\u00e5gorna kring garanti och RMA. Den enda h\u00e5rdvarukomponenten \u00e4r FPGA-kort f\u00f6r trafikinsamlings, utvecklade av dotterbolaget Flowmon, och g\u00f6r det m\u00f6jligt att utf\u00f6ra \u00f6vervakning med hastigheter upp till 100 Gbps.<\/p>\n<p>Men vad g\u00f6r man om den befintliga n\u00e4tverksutrustningen inte kan generera kvalitet fl\u00f6de? Eller om belastningen p\u00e5 utrustningen \u00e4r f\u00f6r h\u00f6g? Inga problem:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/53dda0e4f42ddbf7a8add1064e0ab913.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Flowmon Prob<\/i><\/p>\n<p>F\u00f6r detta \u00e4ndam\u00e5l erbjuder Flowmon Networks sina egna sonder (Flowmon Probe), som ansluts till n\u00e4tverket via SPAN-porten p\u00e5 switchen eller med hj\u00e4lp av passiva TAP-f\u00f6rdelare.<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/298507c4bcb3d562f9621ff59ee6018f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>SPAN (mirror port) och TAP-implementeringsalternativ<\/i><\/p>\n<p>I detta fall konverteras den \"r\u00e5a\" trafiken som g\u00e5r till Flowmon Probe till ut\u00f6kat IPFIX, som inneh\u00e5ller mer \u00e4n <b>240 metrik med information<\/b>. Medan den standard NetFlow-protokoll som genereras av n\u00e4tverksutrustning inneh\u00e5ller h\u00f6gst 80 metrik. Detta g\u00f6r det m\u00f6jligt att s\u00e4kerst\u00e4lla synlighet av protokoll inte bara p\u00e5 niv\u00e5 3 och 4, utan ocks\u00e5 p\u00e5 niv\u00e5 7 enligt ISO OSI-modellen. D\u00e4rigenom kan n\u00e4tverksadministrat\u00f6rer \u00f6vervaka funktionen hos applikationer och protokoll som e-mail, HTTP, DNS, SMB\u2026<\/p>\n<p>Konceptuellt ser systemets logiska arkitektur ut p\u00e5 f\u00f6ljande s\u00e4tt:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/273517a6aa47726fe51c498114908c14.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDen centrala delen av hela Flowmon Networks \"ekosystem\" \u00e4r Collector, som tar emot trafik fr\u00e5n befintlig n\u00e4tverksutrustning eller egna sonder (Probe). Men f\u00f6r Enterprise-l\u00f6sningar skulle det vara f\u00f6r enkelt att tillhandah\u00e5lla funktionalitet uteslutande f\u00f6r \u00f6vervakning av n\u00e4tverkstrafik. Detta kan \u00e4ven Open Source-l\u00f6sningar g\u00f6ra, om \u00e4n inte med samma prestanda. V\u00e4rdet av Flowmon \u00e4r de extra moduler som ut\u00f6kar den grundl\u00e4ggande funktionaliteten:<\/p>\n<ul>\n<li>modul <b>Anomaly Detection Security<\/b> \u2013 uppt\u00e4ckte anomal aktivitet i n\u00e4tverket, inklusive attacker av \"zero-day\", baserat p\u00e5 heuristisk trafikanalys och standard n\u00e4tverksprofil;<\/li>\n<li>modul <b>Application Performance Monitoring<\/b> \u2013 \u00f6vervakning av n\u00e4tverksapplikationers prestanda utan att installera \"agenter\" och p\u00e5verka m\u00e5lssystem.<\/li>\n<li>modul <b>Traffic Recorder<\/b> \u2013 inspelning av fragment av n\u00e4tverkstrafik enligt en upps\u00e4ttning f\u00f6rdefinierade regler eller via en trigger fr\u00e5n ADS-modulen, f\u00f6r vidare fels\u00f6kning och\/eller utredning av s\u00e4kerhetsincidenter;<\/li>\n<li>modul <b>DDoS-skydd<\/b> \u2013 skydd av n\u00e4tverkets perimeter mot volumetriska DoS\/DDoS-attacker, inklusive attacker p\u00e5 applikationer (OSI L3\/L4\/L7).<\/li>\n<\/ul>\n<p>\nI denna artikel kommer vi att titta p\u00e5 hur allt fungerar live med hj\u00e4lp av 2 moduler \u2013 <b>Network Performance Monitoring and Diagnostics<\/b> och <b>Anomaly Detection Security<\/b>.<br \/>\nUtg\u00e5ngsdatan:<\/p>\n<ul>\n<li>Lenovo RS 140-server med hypervisor VMware 6.0;<\/li>\n<li>bild av Flowmon Collector virtuella maskin, som du kan <noindex><a rel=\"nofollow\" href=\"https:\/\/www.flowmon.com\/en\/download-free-trial\">laddas ner h\u00e4r<\/a><\/noindex>;<\/li>\n<li>par av switchar som st\u00f6der flow-protokoll.<\/li>\n<\/ul>\n<p><\/p>\n<h3>Steg 1. Installation av Flowmon Collector<\/h3>\n<p>\nUtrullning av en virtuell maskin p\u00e5 VMware sker helt standardm\u00e4ssigt fr\u00e5n en OVF-mall. Resultatet blir en virtuell maskin som k\u00f6r CentOS och har den n\u00f6dv\u00e4ndiga mjukvaran redo f\u00f6r anv\u00e4ndning. Resurskraven \u00e4r rimliga:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/9ae1559b01c639763e0053ee1de120ca.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDet \u00e4r bara att utf\u00f6ra den grundl\u00e4ggande initieringen med kommandot <b>sysconfig<\/b>:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/c65a47dfd025595f7256b1e30b941e42.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSt\u00e4ller in IP p\u00e5 hanteringsporten, DNS, tid, v\u00e4rdnamn och vi kan ansluta till webbgr\u00e4nssnittet.<\/p>\n<h3>Steg 2. Installera licensen<\/h3>\n<p>\nEn testlicens p\u00e5 en och en halv m\u00e5nad genereras och laddas ner tillsammans med bilden av den virtuella maskinen. Den laddas upp via <b>Configuration Center -&gt; License<\/b>. Resultatet blir att vi ser:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/a5c1c99ad14cf4ca5dfb560d55fa369d.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAllt \u00e4r klart. Vi kan b\u00f6rja arbeta.<\/p>\n<h3>Steg 3. Konfigurera mottagaren p\u00e5 samplaren<\/h3>\n<p>\nI detta skede beh\u00f6ver vi best\u00e4mma hur data fr\u00e5n k\u00e4llor ska fl\u00f6da in i systemet. Som vi n\u00e4mnde tidigare kan detta vara ett av fl\u00f6desprotokollen eller en SPAN-port p\u00e5 switchen.<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/3ff1c77a58c152314a1615dd98ca92ca.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nI v\u00e5rt exempel kommer vi att anv\u00e4nda mottagning av data via protokollen <b>NetFlow v9 och IPFIX<\/b>. I det h\u00e4r fallet anger vi IP-adressen f\u00f6r hanteringsgr\u00e4nssnittet som m\u00e5l \u2013 <b>192.168.78.198<\/b>. Gr\u00e4nssnitten eth2 och eth3 (med typ Monitoring interface) anv\u00e4nds f\u00f6r att ta emot en kopia av den \"r\u00e5a\" trafiken fr\u00e5n SPAN-porten p\u00e5 switchen. Vi l\u00e5ter dem vara, de \u00e4r inte v\u00e5r situation.<br \/>\nD\u00e4refter kontrollerar vi samplarens port d\u00e4r trafiken ska ankomma.<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/31fff2f3bfef52b001edb39bdb3293f9.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nI v\u00e5rt fall v\u00e4ntar samplaren p\u00e5 trafik p\u00e5 port UDP\/2055.<\/p>\n<h3>Steg 4. Konfigurera n\u00e4tverksutrustning f\u00f6r att exportera fl\u00f6de<\/h3>\n<p>\nAtt konfigurera NetFlow p\u00e5 Cisco Systems-utrustning kan s\u00e4gas vara en helt vanlig uppgift f\u00f6r varje n\u00e4tverksadministrat\u00f6r. F\u00f6r v\u00e5rt exempel tar vi n\u00e5got mer ovanligt. Till exempel router MikroTik RB2011UiAS-2HnD. Ja, konstigt nog st\u00f6der denna budgetl\u00f6sning f\u00f6r sm\u00e5 och hemmakontor ocks\u00e5 protokollen NetFlow v5\/v9 och IPFIX. I inst\u00e4llningarna anger vi m\u00e5let (samplarens adress 192.168.78.198 och port 2055):<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/3604b4c1c0b013a3822e99d97ab9e9cb.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nOch l\u00e4gger till alla tillg\u00e4ngliga metrik f\u00f6r export:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/f22fa921b4195b184e82c12a2b852f3c.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nD\u00e5 kan man s\u00e4ga att den grundl\u00e4ggande konfigurationen \u00e4r avslutad. Vi kontrollerar om trafik kommer in i systemet.<\/p>\n<h3>Steg 5. Kontrollera och anv\u00e4nd modulen f\u00f6r n\u00e4tverksprestanda\u00f6vervakning och diagnostik<\/h3>\n<p>\nF\u00f6r att kontrollera trafik fr\u00e5n k\u00e4llan kan man g\u00e5 till avsnittet <b>Flowmon Monitoring Center -&gt; Sources<\/b>:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/b167ac4ba70c07d9d0fb521a1cf1a7ea.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nVi ser att data kommer in i systemet. Efter att samplaren har samlat trafik under en tid kommer widgetarna att b\u00f6rja visa information:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/8cee4912c371366ff30ff7597f87cabc.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSystemen bygger p\u00e5 principen om drill down. Det betyder att anv\u00e4ndaren, genom att v\u00e4lja en intressant del av diagrammet eller grafiken, \"gr\u00e4ver\" ner till den niv\u00e5 av data som hen beh\u00f6ver:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/1caa3b3c59dcd77210f690606a16740f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00c4nda ner till information om varje n\u00e4tverksanslutning och koppling:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/ef8c8f4d2df0ae65b94fcc3be058099b.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>Steg 6. Modul f\u00f6r Anomaly Detection Security<\/h3>\n<p>\nDenna modul kan kallas en av de mest intressanta, tack vare anv\u00e4ndningen av signaturfria metoder f\u00f6r att uppt\u00e4cka anomalier i n\u00e4tverkstrafik och skadlig n\u00e4tverksaktivitet. Men detta \u00e4r inte en analog till IDS\/IPS-system. Arbetet med modulen b\u00f6rjar med att \"tr\u00e4na\" den. F\u00f6r detta anges i en speciell guide alla nyckelkomponenter och tj\u00e4nster i n\u00e4tverket, inklusive:<\/p>\n<ul>\n<li>adresser till gateway, DNS, DHCP och NTP-servrar,<\/li>\n<li>adressindelning i segment av anv\u00e4ndare och servrar.<\/li>\n<\/ul>\n<p>\nD\u00e4refter g\u00e5r systemet in i l\u00e4get f\u00f6r inl\u00e4rning, som i genomsnitt varar fr\u00e5n 2 veckor till 1 m\u00e5nad. Under denna tid bildar systemet en baseline f\u00f6r trafiken som \u00e4r typisk f\u00f6r v\u00e5rt n\u00e4tverk. Enkelt uttryckt studerar systemet:<\/p>\n<ul>\n<li>vilket beteende som \u00e4r typiskt f\u00f6r n\u00e4tverksnoder?<\/li>\n<li>vilka datam\u00e4ngder som vanligtvis \u00f6verf\u00f6rs och \u00e4r normala f\u00f6r n\u00e4tverket?<\/li>\n<li>vilka arbetstider som \u00e4r typiska f\u00f6r anv\u00e4ndare?<\/li>\n<li>vilka applikationer som k\u00f6rs i n\u00e4tverket?<\/li>\n<li>och mycket mer..<\/li>\n<\/ul>\n<p>\nSom ett resultat f\u00e5r vi ett verktyg som identifierar alla anomalier i v\u00e5rt n\u00e4tverk och avvikelser fr\u00e5n det typiska beteendet. H\u00e4r \u00e4r n\u00e5gra exempel som systemet kan uppt\u00e4cka:<\/p>\n<ul>\n<li>spridning av ny skadlig programvara i n\u00e4tverket som inte uppt\u00e4ckts av antivirusens signaturer;<\/li>\n<li>skapande av DNS, ICMP eller andra tunnlar och \u00f6verf\u00f6ring av data f\u00f6rbi brandv\u00e4ggen;<\/li>\n<li>framtr\u00e4dandet av en ny dator i n\u00e4tverket som utger sig f\u00f6r att vara en DHCP och\/eller DNS-server.<\/li>\n<\/ul>\n<p>\nL\u00e5t oss se hur detta ser ut i praktiken. Efter att ditt system har genomg\u00e5tt tr\u00e4ning och byggt upp en baseline f\u00f6r n\u00e4tverkstrafiken b\u00f6rjar det uppt\u00e4cka incidenter:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/e4d7d168716fc9f703dd9f14faf5816f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nHuvudsidan f\u00f6r modulen \u2013 en tidslinje med visning av uppt\u00e4ckta incidenter. I v\u00e5rt exempel ser vi en tydlig topp, ungef\u00e4r mellan klockan 9 och 16. Vi markerar den och kollar n\u00e4rmare. <\/p>\n<p>Det \u00e4r tydligt att det finns anomalt beteende fr\u00e5n en angripare i n\u00e4tverket. Allt b\u00f6rjar med att v\u00e4rden med adressen 192.168.3.225 inledde en horisontell skanning av n\u00e4tverket p\u00e5 port 3389 (Microsoft RDP-tj\u00e4nsten) och hittar 14 potentiella \"offer\":<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/5844fab428bd7adedbc694bf7dc7f19e.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\noch<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/566cb37c28eb803d404e06a8d61372c3.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDen n\u00e4sta registrerade incidenten \u00e4r att v\u00e4rden 192.168.3.225 inleder en bruteforce-attack f\u00f6r att gissa l\u00f6senord p\u00e5 RDP-tj\u00e4nsten (port 3389) p\u00e5 tidigare identifierade adresser:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/18c97646b3982c5a9db86901cae9f5a7.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSom ett resultat av attacken p\u00e5 en av de hackade v\u00e4rdarna registreras en SMTP-anomali. Med andra ord har det b\u00f6rjat skickas SPAM:<\/p>\n<p><img decoding=\"async\" alt=\"N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av onormal n\u00e4tverksaktivitet med hj\u00e4lp av Flowmon Networks-l\u00f6sningar\" src=\"\/wp-content\/uploads\/2019\/08\/fd1fce3c9bb23903a3c54d270924c5fe.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDetta exempel \u00e4r en tydlig demonstration av systemets och modulen Anomaly Detection Security, s\u00e4rskilt. Bed\u00f6m effektiviteten sj\u00e4lva. Med detta avslutar vi den funktionella \u00f6versikten av l\u00f6sningen.<\/p>\n<h3>Slutsats<\/h3>\n<p>\nL\u00e5t oss sammanfatta vilka slutsatser vi kan dra om Flowmon:<\/p>\n<ul>\n<li>Flowmon \u00e4r en premiuml\u00f6sning f\u00f6r f\u00f6retagskunder;<\/li>\n<li>tack vare universell och kompatibel datainsamling \u00e4r data tillg\u00e4nglig fr\u00e5n alla k\u00e4llor: n\u00e4tverksutrustning (Cisco, Juniper, HPE, Huawei\u2026) eller egna sonder (Flowmon Probe);<\/li>\n<li>m\u00f6jligheterna till skalbarhet i l\u00f6sningen g\u00f6r att systemets funktionalitet kan \u00f6kas genom att l\u00e4gga till nya moduler, samt \u00f6ka prestandan tack vare en flexibel licensieringsmetod;<\/li>\n<li>genom att anv\u00e4nda teknik f\u00f6r signaturl\u00f6s analys kan systemet uppt\u00e4cka till och med ok\u00e4nda zero-day-attacker som antivirus och IDS\/IPS-systemen inte k\u00e4nner igen;<\/li>\n<li>tack vare fullst\u00e4ndig \"transparens\" n\u00e4r det g\u00e4ller installation och n\u00e4rvaro i n\u00e4tverket p\u00e5verkar l\u00f6sningen inte driften av andra noder och komponenter i din IT-infrastruktur;<\/li>\n<li>Flowmon \u00e4r den enda l\u00f6sningen p\u00e5 marknaden som st\u00f6der trafik\u00f6vervakning med hastigheter upp till 100 Gbit\/s;<\/li>\n<li>Flowmon \u00e4r en l\u00f6sning f\u00f6r n\u00e4tverk av alla storlekar;<\/li>\n<li>b\u00e4sta pris-\/funktionalitetf\u00f6rh\u00e5llande bland liknande l\u00f6sningar.<\/li>\n<\/ul>\n<p>\nI denna \u00f6versikt har vi sett mindre \u00e4n 10% av den totala funktionaliteten hos l\u00f6sningen. I n\u00e4sta artikel kommer vi att ber\u00e4tta om de \u00f6vriga modulerna i Flowmon Networks. Med hj\u00e4lp av modulen Application Performance Monitoring kommer vi att visa hur administrat\u00f6rer av aff\u00e4rsapplikationer kan s\u00e4kerst\u00e4lla tillg\u00e4nglighet p\u00e5 den angivna SLA-niv\u00e5n, samt diagnostisera problem s\u00e5 snabbt som m\u00f6jligt.<\/p>\n<p>Vi vill ocks\u00e5 bjuda in er till v\u00e5rtwebinar (10.09.2019) om l\u00f6sningarna fr\u00e5n Flowmon Networks. F\u00f6r f\u00f6rregistrering ber vi er <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/events\/vebinari_flowmon\">registrera er h\u00e4r<\/a><\/noindex>.<br \/>\nDet \u00e4r allt f\u00f6r nu, tack f\u00f6r ert intresse!<\/p>\n<p class=\"for_users_only_msg\">Endast registrerade anv\u00e4ndare kan delta i omr\u00f6stningen. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/auth\/login\/\">Logga in<\/a><\/noindex>, tack.<\/p>\n<h2 class=\"default-block__polling-title\">Anv\u00e4nder du Netflow f\u00f6r n\u00e4tverks\u00f6vervakning?<\/h2>\n<ul class=\"content-list content-list_polling\">\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    Ja<\/p>\n<\/li>\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    Nej, men jag planerar det<\/p>\n<\/li>\n<li class=\"content-list__item content-list__item_polling\">\n<p>                    Ingen<\/p>\n<\/li>\n<\/ul>\n<p>    R\u00f6stat av 9 anv\u00e4ndare. 3 anv\u00e4ndare avstod.<br \/>\n<br \/>K\u00e4lla: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/463625\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0412 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u0432 \u0418\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u043e\u0433\u0440\u043e\u043c\u043d\u043e\u0435 \u043a\u043e\u043b-\u0432\u043e \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u043e\u0432 \u043f\u043e \u0442\u0435\u043c\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043d\u0430 \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440\u0435 \u0441\u0435\u0442\u0438. \u041f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0441\u0435 \u043f\u043e\u0447\u0435\u043c\u0443-\u0442\u043e \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u043d\u043e \u0437\u0430\u0431\u044b\u043b\u0438 \u043e\u0431 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u043c\u0435\u043d\u0435\u0435 \u0432\u0430\u0436\u043d\u044b\u043c. \u0414\u0430\u043d\u043d\u0430\u044f \u0441\u0442\u0430\u0442\u044c\u044f \u043a\u0430\u043a \u0440\u0430\u0437 \u0438 \u043f\u043e\u0441\u0435\u0449\u0435\u043d\u0430 \u044d\u0442\u043e\u0439 \u0442\u0435\u043c\u0435. \u041d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 Flowmon Networks \u043c\u044b \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043c \u0441\u0442\u0430\u0440\u044b\u0439 \u0434\u043e\u0431\u0440\u044b\u0439 Netflow (\u0438 \u0435\u0433\u043e \u0430\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u044b), \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u043a\u0435\u0439\u0441\u044b, [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":27883,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37189","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\".\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sv_SE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0421\u0435\u0442\u0435\u0432\u043e\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u0439 Flowmon Networks | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\".\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T19:16:15+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T19:16:15+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47N\u00e4tverks\u00f6vervakning och uppt\u00e4ckter av anomal aktivitet i n\u00e4tverket med hj\u00e4lp av l\u00f6sningar fr\u00e5n Flowmon Networks | ProHoster","description":".","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u0435\u0442\u0435\u0432\u043e\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u044f \u0430\u043d\u043e\u043c\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0440\u0435\u0448\u0435\u043d\u0438\u0439 Flowmon Networks | ProHoster","og:description":".","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/setevoj-monitoring-i-vyyavleniya-anomalnoj-setevoj-aktivnosti-s-pomoshhyu-reshenij-flowmon-networks","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:16:15+00:00","article:modified_time":"2019-10-31T19:16:15+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37189","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 16:39:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:32:13","updated":"2026-01-23 16:39:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/37189","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=37189"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/37189\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/27883"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=37189"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=37189"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=37189"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}