{"id":37437,"date":"2019-10-31T22:17:38","date_gmt":"2019-10-31T19:17:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\/"},"modified":"2019-10-31T22:17:38","modified_gmt":"2019-10-31T19:17:38","slug":"flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","title":{"rendered":"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>N\u00e4r det g\u00e4ller s\u00e4kerhets\u00f6vervakning av interna f\u00f6retags- eller myndighetsn\u00e4tverk, s\u00e5 f\u00e5r m\u00e5nga en association till informationsl\u00e4ckagekontroll och implementering av DLP-l\u00f6sningar. Men om man f\u00f6rs\u00f6ker precisera fr\u00e5gan och fr\u00e5gar hur ni uppt\u00e4cker attacker i det interna n\u00e4tverket, s\u00e5 blir svaret vanligtvis en h\u00e4nvisning till intr\u00e5ngsdetekteringssystem (IDS). Det som f\u00f6r 10-20 \u00e5r sedan var det enda alternativet, blir idag en anomali. Det finns ett mer effektivt, och p\u00e5 vissa s\u00e4tt det enda m\u00f6jliga alternativet f\u00f6r \u00f6vervakning av det interna n\u00e4tverket \u2013 att anv\u00e4nda flow-protokoll, som ursprungligen var avsedda f\u00f6r att hitta n\u00e4tverksproblem (troubleshooting), men som med tiden har utvecklats till ett mycket intressant s\u00e4kerhetsverktyg. I denna artikel kommer vi att diskutera vilka flow-protokoll som finns, vilka som b\u00e4st hj\u00e4lper att uppt\u00e4cka n\u00e4tverksattacker, var det \u00e4r b\u00e4st att implementera flow-\u00f6vervakning, vad man b\u00f6r t\u00e4nka p\u00e5 vid implementeringen av ett s\u00e5dant system, och till och med hur allt detta kan k\u00f6ras p\u00e5 inhemsk utrustning.<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<p>Jag kommer inte att stanna vid fr\u00e5gan \"Varf\u00f6r beh\u00f6vs s\u00e4kerhets\u00f6vervakning av den interna infrastrukturen?\" Svaret p\u00e5 den fr\u00e5gan verkar v\u00e4l klart. Men om ni \u00e4nd\u00e5 skulle vilja f\u00f6rs\u00e4kra er om att detta idag \u00e4r oumb\u00e4rligt, <noindex><a rel=\"nofollow\" href=\"https:\/\/gblogs.cisco.com\/ru\/17attackvectors\/\">titta p\u00e5<\/a><\/noindex> en kort video som visar hur man p\u00e5 17 olika s\u00e4tt kan tr\u00e4nga in i ett f\u00f6retagsn\u00e4tverk skyddat av en brandv\u00e4gg. D\u00e4rf\u00f6r kan vi anta att vi f\u00f6rst\u00e5r att intern \u00f6vervakning \u00e4r n\u00f6dv\u00e4ndig och det kvarst\u00e5r bara att f\u00f6rst\u00e5 hur man kan organisera den.<\/p>\n<p>Jag skulle framh\u00e4va tre nyckelk\u00e4llor f\u00f6r datainsamling f\u00f6r \u00f6vervakning av infrastrukturen p\u00e5 n\u00e4tverksniv\u00e5:<\/p>\n<ul>\n<li>\"r\u00e5\" trafik som vi f\u00e5ngar upp och skickar f\u00f6r analys till vissa analysystem,<\/li>\n<li>h\u00e4ndelser fr\u00e5n n\u00e4tverksenheter genom vilka trafiken passerar,<\/li>\n<li>information om trafiken, erh\u00e5llen genom ett av flow-protokollen.<\/li>\n<\/ul>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/09c7087593661d5b159ecc9e9ab39d16.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nCapturing raw traffic \u00e4r det mest popul\u00e4ra alternativet bland s\u00e4kerhetsexperter, eftersom det historiskt sett \u00e4r det \u00e4ldsta. Vanliga n\u00e4tverkssystem f\u00f6r att uppt\u00e4cka attacker (det f\u00f6rsta kommersiella systemet f\u00f6r att uppt\u00e4cka attacker var NetRanger fr\u00e5n f\u00f6retaget Wheel Group, som k\u00f6ptes av Cisco 1998) \u00e4gnade sig just \u00e5t att f\u00e5nga paket (och senare \u00e4ven sessioner) d\u00e4r specifika signaturer (\"avg\u00f6rande regler\" enligt FSTEC:s terminologi) som signalerade attacker letades efter. Sj\u00e4lvklart kan man analysera r\u00e5 trafik inte bara med hj\u00e4lp av IDS, utan ocks\u00e5 med andra verktyg (som Wireshark, tcpdump eller NBAR2-funktionaliteten i Cisco IOS), men de brukar sakna den kunskapsbas som skiljer ett s\u00e4kerhetsverktyg fr\u00e5n ett vanligt IT-verktyg.<\/p>\n<p>S\u00e5, system f\u00f6r att uppt\u00e4cka attacker. Den \u00e4ldsta och mest popul\u00e4ra metoden f\u00f6r att uppt\u00e4cka n\u00e4tverksattacker, som fungerar ganska bra vid perimetern (oavsett om det \u00e4r f\u00f6retags-, datacenter- eller segmenteringsperimeter), men som faller kort i moderna switchade och programvarudefinierade n\u00e4tverk. I ett n\u00e4tverk byggt p\u00e5 vanliga switchar blir infrastrukturen f\u00f6r sensorer som uppt\u00e4cker attacker f\u00f6r stor \u2014 du m\u00e5ste installera en sensor f\u00f6r varje anslutning till en nod vars attacker du vill \u00f6vervaka. Sj\u00e4lvklart skulle varje tillverkare vara glad att s\u00e4lja dig hundratals och tusentals sensorer, men jag tror att din budget inte klarar av s\u00e5dana utgifter. Jag kan s\u00e4ga att \u00e4ven hos Cisco (d\u00e4r vi utvecklar NGIPS) har vi inte kunnat \u00e5stadkomma detta, \u00e4ven om det skulle se ut som priss\u00e4ttningen inte borde vara en fr\u00e5ga f\u00f6r oss \u2014 det \u00e4r ju v\u00e5r egen l\u00f6sning. Dessutom uppst\u00e5r fr\u00e5gan, hur ska sensorn anslutas i detta arrangemang? I ett avbrott? Och om sj\u00e4lva sensorn g\u00e5r s\u00f6nder? Kr\u00e4va att en bypass-modul ska finnas i sensorn? Anv\u00e4nda tap-splittrar? Allt detta g\u00f6r l\u00f6sningen dyrare och om\u00f6jligg\u00f6r den f\u00f6r f\u00f6retag av alla storlekar.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/4763c13237dbe9ffa38d62075939ffba.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDu kan f\u00f6rs\u00f6ka \"h\u00e4nga\" sensorn p\u00e5 SPAN\/RSPAN\/ERSPAN-porten och rikta trafik fr\u00e5n n\u00f6dv\u00e4ndiga portar p\u00e5 switchen till den. Detta alternativ delvis avhj\u00e4lper problemet som beskrevs i f\u00f6reg\u00e5ende stycke, men st\u00e4ller ett annat - SPAN-porten kan inte ta emot all trafik som riktas till den - den har inte tillr\u00e4cklig kapacitet. Du blir tvungen att offra n\u00e5got. Antingen l\u00e4mna vissa noder utan \u00f6vervakning (d\u00e5 m\u00e5ste du f\u00f6rst prioritera dem) eller rikta inte all trafik fr\u00e5n noden, utan endast viss typ. I alla fall riskerar vi att missa vissa attacker. Dessutom kan SPAN-porten vara upptagen av andra behov. I slut\u00e4ndan m\u00e5ste vi ompr\u00f6va den befintliga n\u00e4tverksarkitekturen och eventuellt g\u00f6ra justeringar f\u00f6r att maximalt t\u00e4cka ditt n\u00e4tverk med det antal sensorer du har (och samordna detta med IT).<\/p>\n<p>Och om ditt n\u00e4tverk anv\u00e4nder asymmetriska rutter? Och om du har implementerat eller planerar att implementera SDN? Och om du beh\u00f6ver \u00f6vervaka virtualiserade maskiner eller containrar vars trafik \u00f6verhuvudtaget inte n\u00e5r den fysiska switchen? Dessa fr\u00e5gor ogillas av tillverkare av traditionella IDS, eftersom de inte vet hur de ska svara p\u00e5 dem. Kanske kommer de att f\u00f6rs\u00f6ka intala dig att alla dessa trendiga teknologier \u00e4r en hype och att du inte beh\u00f6ver dem. Kanske kommer de att prata om behovet av att b\u00f6rja i liten skala. Eller s\u00e5 kanske de s\u00e4ger att du m\u00e5ste installera en kraftfull maskin i n\u00e4tverkscentret och rikta all trafik dit med hj\u00e4lp av lastbalanserare. Vilken variant de \u00e4n f\u00f6resl\u00e5r, m\u00e5ste du sj\u00e4lv tydligt f\u00f6rst\u00e5 hur v\u00e4l den passar f\u00f6r dig. Och f\u00f6rst d\u00e4refter fatta beslut om tillv\u00e4gag\u00e5ngss\u00e4ttet f\u00f6r \u00f6vervakning av n\u00e4tverksinfrastrukturens informationss\u00e4kerhet. \u00c5terv\u00e4nde till paketf\u00e5ngst, jag vill s\u00e4ga att denna metod fortfarande \u00e4r mycket popul\u00e4r och viktig, men dess huvudsakliga syfte \u00e4r gr\u00e4nskontroll; gr\u00e4nser mellan din organisation och internet, gr\u00e4nser mellan datacentret och resten av n\u00e4tverket, gr\u00e4nser mellan automatiserade styrsystem och f\u00f6retagssegmentet. P\u00e5 dessa st\u00e4llen har klassiska IDS\/IPS fortfarande r\u00e4tt att existera och klarar uppgiften bra.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/7a5898e0aa9e3e9275dda3e2c7b75c5c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nL\u00e5t oss g\u00e5 vidare till det andra alternativet. Analysen av h\u00e4ndelser som kommer fr\u00e5n n\u00e4tverksenheter kan ocks\u00e5 anv\u00e4ndas f\u00f6r att uppt\u00e4cka attacker, men inte som en prim\u00e4r mekanism, eftersom det bara kan detektera en liten klass av intr\u00e5ng. Dessutom \u00e4r det n\u00e5got reaktivt \u2014 attacken m\u00e5ste f\u00f6rst intr\u00e4ffa, och sedan m\u00e5ste den registreras av n\u00e4tverksenheten, som p\u00e5 n\u00e5got s\u00e4tt kommer att signalera ett problem med informationss\u00e4kerheten. Det finns flera s\u00e4tt att g\u00f6ra detta. Det kan vara syslog, RMON eller SNMP. De tv\u00e5 sista protokollen f\u00f6r n\u00e4tverks\u00f6vervakning till\u00e4mpas inom ramen f\u00f6r informationss\u00e4kerhet endast om vi beh\u00f6ver uppt\u00e4cka en DoS-attack mot sj\u00e4lva n\u00e4tverksutrustningen, eftersom vi med RMON och SNMP kan, till exempel, \u00f6vervaka belastningen p\u00e5 enhetens centrala processor eller dess gr\u00e4nssnitt. Detta \u00e4r en av de mest \"kostnadseffektiva\" (syslog eller SNMP finns hos alla), men ocks\u00e5 den mest ineffektiva metoden f\u00f6r att \u00f6vervaka informationss\u00e4kerheten i den interna infrastrukturen \u2014 m\u00e5nga attacker \u00e4r helt enkelt dolda f\u00f6r den. Sj\u00e4lvklart b\u00f6r man inte f\u00f6rsumma detta och analysen av syslog hj\u00e4lper dig att i tid identifiera f\u00f6r\u00e4ndringar i konfigurationen av sj\u00e4lva enheten, dess kompromiss, men f\u00f6r att uppt\u00e4cka attacker i hela n\u00e4tverket \u00e4r den inte s\u00e4rskilt l\u00e4mplig.<\/p>\n<p>Det tredje alternativet \u00e4r analys av trafikinformation som passerar genom enheten, som st\u00f6der en av flera flow-protokoll. I detta fall, oavsett protokoll, best\u00e5r infrastrukturen f\u00f6r arbete med fl\u00f6den alltid av tre komponenter:<\/p>\n<ul>\n<li>Generering eller export av fl\u00f6de. Denna roll tilldelas vanligtvis till en router, switch eller annan n\u00e4tverksenhet som, genom att sl\u00e4ppa genom sig n\u00e4tverkstrafik, m\u00f6jligg\u00f6r att extrahera nyckelparametrar som sedan \u00f6verf\u00f6rs till insamlingsmodulen. Till exempel, hos Cisco st\u00f6ds protokollet Netflow inte bara p\u00e5 routrar och switchar, inklusive virtuella och industriella, utan ocks\u00e5 p\u00e5 tr\u00e5dl\u00f6sa kontroller, brandv\u00e4ggar och till och med servrar.<\/li>\n<li>Insamling av fl\u00f6de. Med tanke p\u00e5 att det i moderna n\u00e4tverk vanligtvis finns mer \u00e4n en n\u00e4tverksenhet, uppst\u00e5r behovet av att samla in och konsolidera fl\u00f6den, vilket l\u00f6ses med hj\u00e4lp av s\u00e5 kallade samlare som bearbetar de mottagna fl\u00f6dena och sedan \u00f6verf\u00f6r dem f\u00f6r analys.<\/li>\n<li>Flow-analys. Analysatorn tar p\u00e5 sig den huvudsakliga kognitiva uppgiften och till\u00e4mpar olika algoritmer p\u00e5 fl\u00f6den f\u00f6r att dra slutsatser. Till exempel kan en s\u00e5dan analysator inom IT-funktionen identifiera flaskhalsar i n\u00e4tverket eller analysera trafikbelastningsprofilen f\u00f6r vidare optimering av n\u00e4tverket. F\u00f6r informationss\u00e4kerhet kan en s\u00e5dan analysator uppt\u00e4cka datal\u00e4ckage, spridning av skadlig kod eller DoS-attacker. <\/li>\n<\/ul>\n<p>Det \u00e4r inte rimligt att t\u00e4nka att en s\u00e5dan trelagersarkitektur \u00e4r f\u00f6r komplicerad \u2014 alla andra alternativ (med undantag f\u00f6r vissa n\u00e4tverksmonitoreringssystem som anv\u00e4nder SNMP och RMON) fungerar ocks\u00e5 enligt denna. Vi har en datagenerator f\u00f6r analys, vilken utg\u00f6rs av en n\u00e4tverksenhet eller en separat sensor. Vi har ett system f\u00f6r insamling av larm och ett system f\u00f6r hantering av hela \u00f6vervakningsinfrastrukturen. De senaste tv\u00e5 komponenterna kan sl\u00e5s samman inom en enhet, men i st\u00f6rre n\u00e4tverk \u00e4r de vanligtvis spridda \u00f6ver minst tv\u00e5 enheter f\u00f6r att s\u00e4kerst\u00e4lla skalbarhet och tillf\u00f6rlitlighet.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/65de74b0a7556606355f9b176ef7e19c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nTill skillnad fr\u00e5n paketanalys, som baseras p\u00e5 att studera rubriken och kroppen av varje paket och de sessioner som dessa best\u00e5r av, bygger fl\u00f6desanalys p\u00e5 att samla in metadata om n\u00e4tverkstrafik. N\u00e4r, hur mycket, varifr\u00e5n och vart, hur... dessa fr\u00e5gor besvaras av n\u00e4tverks telemetrianalys med hj\u00e4lp av olika flow-protokoll. De anv\u00e4ndes ursprungligen f\u00f6r att analysera statistik och identifiera IT-problem i n\u00e4tverket, men med tiden, i takt med att analysmekanismer utvecklades, blev det m\u00f6jligt att till\u00e4mpa dem ocks\u00e5 p\u00e5 denna telemetri f\u00f6r s\u00e4kerhets\u00e4ndam\u00e5l. H\u00e4r b\u00f6r det \u00e5terigen understrykas att fl\u00f6desanalys inte ers\u00e4tter eller utesluter paketupptagning. Varje metod har sitt eget anv\u00e4ndningsomr\u00e5de. Men i kontexten av denna artikel passar fl\u00f6desanalys b\u00e4st f\u00f6r \u00f6vervakning av intern infrastruktur. Ni har n\u00e4tverksenheter (och det spelar ingen roll om de arbetar i en mjukvarudefinierad paradigm eller enligt statiska regler) som attacken inte kan kringg\u00e5. En klassisk IDS-sensor kan attacken undvika, men en n\u00e4tverksenhet som st\u00f6der flow-protokoll kan inte. Detta \u00e4r f\u00f6rdelen med denna metod. <\/p>\n<p>\u00c5 andra sidan, om du beh\u00f6ver bevis f\u00f6r brottsbek\u00e4mpande myndigheter eller din egen incidentutredningsgrupp, kan du inte undvika paketf\u00e5ngst \u2014 n\u00e4ttelemetri \u00e4r inte en kopia av den trafik som kan anv\u00e4ndas vid insamling av bevis; det beh\u00f6vs f\u00f6r snabb uppt\u00e4ckte och beslut inom informationss\u00e4kerhet. Genom att anv\u00e4nda telemetrianalys kan du \"spela in\" inte hela n\u00e4tverkstrafiken (om det nu \u00e4r s\u00e5, s\u00e5 sysslar Cisco och datacenter med det :-), utan bara den som \u00e4r involverad i attacken. Verktyg f\u00f6r telemetrianalys kompletterar traditionella paketf\u00e5ngstmetoder v\u00e4l, vilket ger ett team m\u00f6jlighet till selektiv f\u00e5ngst och lagring. Annars kommer du att beh\u00f6va ha en kolossal lagringsinfrastruktur.<\/p>\n<p>L\u00e5t oss t\u00e4nka oss ett n\u00e4tverk som arbetar med en hastighet av 250 Mbit\/s. Om du vill spara hela den volymen, kommer du att beh\u00f6va 31 Mb lagring f\u00f6r en sekunds trafik\u00f6verf\u00f6ring, 1,8 Gb f\u00f6r en minut, 108 Gb f\u00f6r en timme, och 2,6 Tb f\u00f6r ett dygn. F\u00f6r lagring av dagsdata fr\u00e5n ett n\u00e4tverk med en bandbredd p\u00e5 10 Gbit\/s beh\u00f6ver du 108 Tb lagring. Och vissa regleringsmyndigheter kr\u00e4ver ju att data om s\u00e4kerhet ska lagras i \u00e5ratal... Inspelning \"vid behov\", som du f\u00e5r hj\u00e4lp med att genomf\u00f6ra genom str\u00f6manalys, hj\u00e4lper dig att minska dessa v\u00e4rden med flera ordningar. F\u00f6r \u00f6vrigt, n\u00e4r det kommer till f\u00f6rh\u00e5llandet mellan m\u00e4ngden inspelad data fr\u00e5n n\u00e4ttelemetri och fullst\u00e4ndig dataf\u00e5ngst, \u00e4r det ungef\u00e4r 1 till 500. F\u00f6r ovanst\u00e5ende v\u00e4rden kommer lagringen av den fullst\u00e4ndiga avkodningen av all daglig trafik att uppg\u00e5 till 5 respektive 216 Gb (det kan till och med spelas in p\u00e5 ett vanligt USB-minne).<\/p>\n<p>Om metoderna f\u00f6r att analysera r\u00e5a n\u00e4tverksdata \u00e4r n\u00e4stan desamma mellan olika leverant\u00f6rer, \u00e4r situationen en annan vid analys av fl\u00f6den. Det finns flera alternativ f\u00f6r flow-protokoll, vars skillnader \u00e4r viktiga att k\u00e4nna till s\u00e4rskilt i s\u00e4kerhetskontexten. Det mest popul\u00e4ra \u00e4r Netflow-protokollet, utvecklat av Cisco. Det finns flera versioner av detta protokoll, som skiljer sig \u00e5t i sina funktioner och m\u00e4ngden information som registreras om trafiken. Den nuvarande versionen \u00e4r nionde (Netflow v9), p\u00e5 vilken den industriella standarden Netflow v10, \u00e4ven k\u00e4nd som IPFIX, har utvecklats. Idag st\u00f6der de flesta n\u00e4tverksleverant\u00f6rer antingen Netflow eller IPFIX i sin utrustning. Men det finns \u00e4ven flera andra alternativ f\u00f6r flow-protokoll \u2013 sFlow, jFlow, cFlow, rFlow, NetStream med mera, d\u00e4r sFlow \u00e4r det mest popul\u00e4ra. Det st\u00f6ds oftast av inhemska tillverkare av n\u00e4tverksutrustning p\u00e5 grund av dess enkelhet vid implementering. Vad \u00e4r de viktigaste skillnaderna mellan Netflow, som blivit en de facto-standard, och sFlow? N\u00e5gra centrala punkter skulle jag n\u00e4mna. F\u00f6r det f\u00f6rsta har Netflow anv\u00e4ndardefinierade f\u00e4lt, till skillnad fr\u00e5n de fasta f\u00e4lten i sFlow. F\u00f6r det andra, och detta \u00e4r det mest avg\u00f6rande i v\u00e5rt fall, samlar sFlow s\u00e5 kallad samplad telemetri, till skillnad fr\u00e5n osamplad telemetri hos Netflow och IPFIX. Vad \u00e4r d\u00e5 skillnaden mellan dem?<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/96782b57ccaddd731d5084c127076d49.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nF\u00f6rest\u00e4ll dig att du har best\u00e4mt dig f\u00f6r att l\u00e4sa boken \u201c<noindex><a rel=\"nofollow\" href=\"http:\/\/www.ciscopress.com\/store\/security-operations-center-building-operating-and-maintaining-9780134052014\">Security Operations Center: Building, Operating, and Maintaining your SOC<\/a><\/noindex>\u201d av mina kollegor \u2013 Gary McIntyre, Joseph Muniz och Nadeem alfar dan (via l\u00e4nken kan du ladda ner en del av boken). Du har tre alternativ f\u00f6r att uppn\u00e5 ditt m\u00e5l \u2013 l\u00e4sa boken i sin helhet, snabbt \u00f6gna igenom den med stopp p\u00e5 var tionde eller tjugonde sida, eller f\u00f6rs\u00f6ka hitta en sammanfattning av de viktigaste koncepten p\u00e5 n\u00e5gon blogg eller tj\u00e4nst som SmartReading. S\u00e5 osamplad telemetri handlar om att l\u00e4sa varje \u201csida\u201d av n\u00e4tverkstrafik, det vill s\u00e4ga att analysera metadata f\u00f6r varje paket. Samplad telemetri inneb\u00e4r att endast en del av trafiken studeras i hopp om att det i de utvalda urvalen finns det du beh\u00f6ver. Beroende p\u00e5 hastigheten p\u00e5 l\u00e4nken kommer samplad telemetri att ge var 64:e, 200:e, 500:e, 1000:e, 2000:e eller till och med 10000:e paket f\u00f6r analys.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/28b798498a11a5e6f72ef847ea2dbaaa.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nI kontexten av \u00f6vervakning av IT-s\u00e4kerhet inneb\u00e4r detta att provtagningsbaserad telemetri \u00e4r v\u00e4l l\u00e4mpad f\u00f6r att uppt\u00e4cka DDoS-attacker, skanning, spridning av skadlig kod, men kan missa atom\u00e4ra eller flerpaketsattacker som inte kommit med i provet som skickades f\u00f6r analys. Den osamplingbaserade telemetrin har inte dessa nackdelar, och med dess hj\u00e4lp \u00e4r spektrumet av uppt\u00e4ckta attacker mycket bredare. H\u00e4r \u00e4r en kort lista \u00f6ver h\u00e4ndelser som kan uppt\u00e4ckas med hj\u00e4lp av verktyg f\u00f6r analys av n\u00e4tverks telemetri.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/be3a11d4826978d9c882074f22ee97c1.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSj\u00e4lvklart kommer ingen open source Netflow-analysator att till\u00e5ta detta, eftersom dess huvudsakliga uppgift \u00e4r att samla in telemetri och genomf\u00f6ra en grundl\u00e4ggande analys ur IT-perspektiv. F\u00f6r att uppt\u00e4cka IT-s\u00e4kerhetshot baserat p\u00e5 flow m\u00e5ste analysatorn utrustas med olika motorer och algoritmer som ska identifiera cybers\u00e4kerhetsproblem baserat p\u00e5 standard- eller anv\u00e4ndardefinierade f\u00e4lt i Netflow, berika standarddata med externa uppgifter fr\u00e5n olika k\u00e4llor till Threat Intelligence, osv.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/60e876dbfbdffd160e9899f87aa6303c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nD\u00e4rf\u00f6r, om du har valet, b\u00f6r du v\u00e4lja Netflow eller IPFIX. Men \u00e4ven om din utrustning bara arbetar med sFlow, som hos inhemska producenter, kan du \u00e4ven i detta fall dra nytta av det ur s\u00e4kerhetsperspektiv. <\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/ee75809ccde4f366ca5f5ead7beed58c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nUnder sommaren 2019 gjorde jag en analys av m\u00f6jligheterna som finns hos ryska tillverkare av n\u00e4tverksutrustning och alla, med undantag f\u00f6r NSG, Poligon och Kraftvey, angav att de st\u00f6djer sFlow (minst Zhelax, Natex, Eltex, QTech, Rusteltec). <\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/acd1ed477af59e1439d941374c596d16.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDen n\u00e4sta fr\u00e5gan som du kommer att st\u00e4lla dig \u00e4r var st\u00f6d f\u00f6r flow ska implementeras f\u00f6r s\u00e4kerhets\u00e4ndam\u00e5l? Faktum \u00e4r att fr\u00e5gan \u00e4r lite felst\u00e4lld. P\u00e5 modern utrustning finns st\u00f6d f\u00f6r flowprotokoll n\u00e4stan alltid. D\u00e4rf\u00f6r skulle jag omformulera fr\u00e5gan till var det \u00e4r mest effektivt att samla telemetri ur s\u00e4kerhetssynpunkt? Svaret \u00e4r ganska uppenbart \u2013 p\u00e5 \u00e5tkomstniv\u00e5, d\u00e4r du ser 100 % av all trafik, d\u00e4r du har detaljerad information om v\u00e4rdar (MAC, VLAN, gr\u00e4nssnitts-ID), d\u00e4r du till och med kan sp\u00e5ra P2P-trafik mellan v\u00e4rdar, vilket \u00e4r kritiskt f\u00f6r att uppt\u00e4cka skanning och spridning av skadlig kod. P\u00e5 k\u00e4rnniv\u00e5 kan du helt enkelt missa en del av trafiken, och p\u00e5 perimeter kan du max se en fj\u00e4rdedel av all din n\u00e4tverkstrafik. Men om det av n\u00e5gon anledning har dykt upp obeh\u00f6riga enheter i ditt n\u00e4tverk som till\u00e5ter angripare att \"komma in och ut\" utan att g\u00e5 via perimetern, kommer analys av telemetrin d\u00e4rifr\u00e5n inte att ge dig n\u00e5got. D\u00e4rf\u00f6r rekommenderas det f\u00f6r maximal t\u00e4ckning att aktivera insamlingen av telemetri just p\u00e5 \u00e5tkomstniv\u00e5. Det \u00e4r v\u00e4rt att n\u00e4mna att \u00e4ven om vi pratar om virtualisering eller containrar s\u00e5 finns det ofta st\u00f6d f\u00f6r flow i moderna virtuella switchar, vilket m\u00f6jligg\u00f6r trafik\u00f6vervakning d\u00e4r ocks\u00e5.<\/p>\n<p>Men eftersom jag tog upp \u00e4mnet, m\u00e5ste jag svara p\u00e5 fr\u00e5gan: vad h\u00e4nder om utrustningen, antingen fysisk eller virtuell, \u00e4nd\u00e5 inte st\u00f6der flowprotokoll? Eller om dess aktivering \u00e4r f\u00f6rbjuden (t.ex. i industriella segment f\u00f6r att s\u00e4kerst\u00e4lla tillf\u00f6rlitlighet)? Eller om dess aktivering leder till h\u00f6g belastning p\u00e5 centralprocessorn (vilket kan h\u00e4nda p\u00e5 gammal utrustning)? F\u00f6r att l\u00f6sa detta problem finns det specialiserade virtuella sensorer (flow sensor) som i grunden \u00e4r vanliga grenare som passerar trafik genom sig och s\u00e4nder den i form av flow till insamlingsmodulen. Men i det h\u00e4r fallet f\u00e5r vi hela h\u00f6g med problem som vi tidigare diskuterat i f\u00f6rh\u00e5llande till paketf\u00e5ngstverktyg. Det vill s\u00e4ga, man m\u00e5ste f\u00f6rst\u00e5 inte bara f\u00f6rdelarna med fl\u00f6desanalystekniken, utan \u00e4ven dess begr\u00e4nsningar.<\/p>\n<p>En annan aspekt att komma ih\u00e5g n\u00e4r man talar om analyssystem f\u00f6r fl\u00f6den \u00e4r att, om vi f\u00f6r vanliga s\u00e4kerhetsh\u00e4ndelsegeneratorer anv\u00e4nder m\u00e5ttet EPS (event per second, h\u00e4ndelser per sekund), s\u00e5 \u00e4r detta m\u00e5tt inte applicerbart p\u00e5 analys av telemetri; det ers\u00e4tts av FPS (flow per second, fl\u00f6den per sekund). Precis som med EPS kan man inte ber\u00e4kna detta i f\u00f6rv\u00e4g, men man kan uppskatta det ungef\u00e4rliga antalet fl\u00f6den som en viss enhet genererar beroende p\u00e5 dess uppgift. P\u00e5 internet kan du hitta tabeller med ungef\u00e4rliga v\u00e4rden f\u00f6r olika typer av f\u00f6retagsenheter och villkor som g\u00f6r att du kan uppskatta vilka licenser som beh\u00f6vs f\u00f6r analysverktyg och vilken arkitektur som kommer att vara n\u00f6dv\u00e4ndig. Faktum \u00e4r att IDS-sensorn \u00e4r begr\u00e4nsad av en viss bandbredd som den kan \"hantera\", och fl\u00f6deskollektorn har ocks\u00e5 sina begr\u00e4nsningar som man m\u00e5ste f\u00f6rst\u00e5. D\u00e4rf\u00f6r har stora, geografiskt distribuerade n\u00e4tverk vanligtvis flera kollektorer. N\u00e4r jag beskrev <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/348532\/\">hur n\u00e4tverket inom Cisco \u00f6vervakas<\/a><\/noindex>, n\u00e4mnde jag redan antalet av v\u00e5ra kollektorer \u2013 de \u00e4r 21. Och detta f\u00f6r ett n\u00e4tverk som \u00e4r spritt \u00f6ver fem kontinenten och har omkring en halv miljon aktiva enheter).<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/a5935ef7f7a3511cbf291fce59e96d71.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSom \u00f6vervakningssystem f\u00f6r Netflow anv\u00e4nder vi v\u00e5r egen l\u00f6sning <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/ru_ru\/products\/security\/stealthwatch\/index.html\">Cisco Stealthwatch<\/a><\/noindex>, vilket \u00e4r speciellt utformat f\u00f6r att l\u00f6sa s\u00e4kerhetsproblem. Det har m\u00e5nga inbyggda motorer f\u00f6r att uppt\u00e4cka anomal, misst\u00e4nksam och uppenbart skadlig aktivitet, vilket m\u00f6jligg\u00f6r detektion av ett brett spektrum av olika hot \u2014 fr\u00e5n kryptovaluta-mining till informationsl\u00e4ckor, fr\u00e5n spridning av skadlig kod till bedr\u00e4geri. Precis som de flesta str\u00f6manalysatorer \u00e4r Stealthwatch uppbyggd enligt ett tre-niv\u00e5-schema (generator \u2014 insamlare \u2014 analysator), men den har \u00e4ven flera intressanta funktioner som \u00e4r viktiga i detta sammanhang. F\u00f6r det f\u00f6rsta integreras det med paketf\u00e5ngstl\u00f6sningar (t.ex. Cisco Security Packet Analyzer), vilket m\u00f6jligg\u00f6r inspelning av utvalda n\u00e4tverkssessioner f\u00f6r djupare utredning och analys. F\u00f6r det andra, f\u00f6r att utvidga s\u00e4kerhetsuppgifterna, har vi utvecklat ett speciellt protokoll, nvzFlow, som g\u00f6r det m\u00f6jligt att \u201cs\u00e4nda\u201d aktivitet fr\u00e5n applikationer p\u00e5 \u00e4ndpunkter (servrar, arbetsstationer och liknande) till telemetri och \u00f6verf\u00f6ra det till insamlaren f\u00f6r vidare analys. Om Stealthwatch i sin ursprungliga version fungerar med vilket flow-protokoll som helst (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) p\u00e5 n\u00e4tverksniv\u00e5, m\u00f6jligg\u00f6r st\u00f6det f\u00f6r nvzFlow korrelation av data \u00e4ven p\u00e5 nodniv\u00e5, vilket d\u00e4rmed \u00f6kar effektiviteten f\u00f6r hela systemet och ger en b\u00e4ttre \u00f6versikt \u00f6ver attacker \u00e4n vanliga n\u00e4tverksstr\u00f6manalysatorer.<\/p>\n<p>Det \u00e4r uppenbart att n\u00e4r man pratar om Netflow-analysystem ur s\u00e4kerhetssynpunkt, s\u00e5 \u00e4r marknaden inte begr\u00e4nsad till enbart Cisco-l\u00f6sningen. Du kan anv\u00e4nda b\u00e5de kommersiella och gratis eller delegerat gratis alternativ. Det \u00e4r lite konstigt om jag i Cisco-bloggen skulle n\u00e4mna exempel p\u00e5 konkurrenters l\u00f6sningar, s\u00e5 jag ska s\u00e4ga n\u00e5gra ord om hur n\u00e4tverks telemetri kan analyseras med hj\u00e4lp av tv\u00e5 popul\u00e4ra, liknande namngivna, men \u00e4nd\u00e5 olika verktyg \u2014 SiLK och ELK.<\/p>\n<p>SiLK \u2014 ett verktyg (System for Internet-Level Knowledge) f\u00f6r trafikanalys, utvecklat av den amerikanska CERT\/CC, som i kontexten av dagens artikel st\u00f6der Netflow (versioner 5 och 9, de mest popul\u00e4ra), IPFIX och sFlow. Genom olika verktyg (rwfilter, rwcount, rwflowpack, med flera) kan det utf\u00f6ra olika operationer p\u00e5 n\u00e4ttelemetri f\u00f6r att uppt\u00e4cka tecken p\u00e5 obeh\u00f6riga aktiviteter. Men det finns ett par viktiga punkter att notera. SiLK \u00e4r ett kommandoradsverktyg, och f\u00f6r att utf\u00f6ra operativ analys m\u00e5ste kommandon ges i formatet (detektering av ICMP-paket st\u00f6rre \u00e4n 200 byte):<\/p>\n<p><code>rwfilter --flowtypes=all\/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15<\/code><\/p>\n<p>det \u00e4r inte s\u00e4rskilt bekv\u00e4mt. Du kan anv\u00e4nda det grafiska gr\u00e4nssnittet iSiLK, men det kommer inte att g\u00f6ra ditt liv l\u00e4ttare, d\u00e5 det endast fungerar som visualisering och inte som en ers\u00e4ttning f\u00f6r analytikern. Och det \u00e4r den andra punkten. Till skillnad fr\u00e5n kommersiella l\u00f6sningar som redan inneh\u00e5ller en solid analytisk bas, algoritmer f\u00f6r att uppt\u00e4cka avvikelser och korresponderande arbetsfl\u00f6den, m\u00e5ste du i fallet med SiLK sj\u00e4lv g\u00e5 igenom hela processen, vilket kr\u00e4ver lite andra kompetenser \u00e4n vad som beh\u00f6vs f\u00f6r att anv\u00e4nda ett redan klart verktyg. Detta \u00e4r varken bra eller d\u00e5ligt \u2014 det \u00e4r en egenskap hos n\u00e4stan alla gratisverktyg, som f\u00f6ruts\u00e4tter att du vet vad du g\u00f6r, medan de endast hj\u00e4lper dig med det (kommersiella verktyg \u00e4r mindre beroende av anv\u00e4ndarnas kompetens, \u00e4ven om de ocks\u00e5 antar att analytikerna \u00e5tminstone f\u00f6rst\u00e5r grunderna i n\u00e4tverksunders\u00f6kningar och \u00f6vervakning). Men l\u00e5t oss \u00e5terg\u00e5 till SiLK. En analytikers arbetscykel med det ser ut p\u00e5 f\u00f6ljande s\u00e4tt:<\/p>\n<ul>\n<li>Formulering av hypotesen. Vi m\u00e5ste f\u00f6rst\u00e5 vad vi ska leta efter inom n\u00e4ttelemetrin, veta de unika attributen genom vilka vi ska identifiera olika avvikelser eller hot.<\/li>\n<li>Bygga modellen. Efter att ha formulerat hypotesen programmerar vi den med hj\u00e4lp av Python, shell, eller andra verktyg som inte ing\u00e5r i SiLK.<\/li>\n<li>\u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435. \u041d\u0430\u0441\u0442\u0443\u043f\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0434 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u043d\u0430\u0448\u0435\u0439 \u0433\u0438\u043f\u043e\u0442\u0435\u0437\u044b, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f \u0438\u043b\u0438 \u043e\u043f\u0440\u043e\u0432\u0435\u0440\u0433\u0430\u0435\u0442\u0441\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0443\u0442\u0438\u043b\u0438\u0442 SiLK, \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0449\u0438\u0445\u0441\u044f \u0441 &#8216;rw&#8217;, &#8216;set&#8217;, &#8216;bag&#8217;.<\/li>\n<li>Analys av verkliga data. I industriell anv\u00e4ndning hj\u00e4lper SiLK oss att identifiera n\u00e5got, och analytikern m\u00e5ste svara p\u00e5 fr\u00e5gorna \"Har vi funnit det vi f\u00f6rv\u00e4ntade oss?\", \"St\u00e4mmer detta med v\u00e5r hypotes?\", \"Hur kan vi minska antalet falska positiva?\", \"Hur kan vi f\u00f6rb\u00e4ttra igenk\u00e4nningen?\" och s\u00e5 vidare.<\/li>\n<li>F\u00f6rb\u00e4ttring. I det slutliga steget f\u00f6rb\u00e4ttrar vi det som tidigare har skapats \u2013 vi skapar mallar, f\u00f6rb\u00e4ttrar och optimerar koden, omformulerar och preciserar hypotesen m.m.<\/li>\n<\/ul>\n<p>Denna cykel kommer \u00e4ven att till\u00e4mpas p\u00e5 Cisco Stealthwatch, men den senare automatiserar dessa fem steg maximalt, vilket minskar analytikerns fel och \u00f6kar snabbheten i incidentuppt\u00e4ckten. Till exempel kan du i SiLK berika n\u00e4tverksstatistiken med externa data om skadliga IP-adresser med hj\u00e4lp av sj\u00e4lvskrivna skript, medan det i Cisco Stealthwatch \u00e4r en inbyggd funktion som omedelbart visar en varningssignal om det i n\u00e4tverkstrafiken f\u00f6rekommer interaktion med IP-adresser fr\u00e5n svartlistan.<\/p>\n<p>Om man g\u00e5r h\u00f6gre upp i \"betalningspyramiden\" f\u00f6r programvara f\u00f6r flowanalys kommer SiLK, som \u00e4r helt gratis, att f\u00f6ljas av det villkorligt gratis ELK, som best\u00e5r av tre nyckelkomponenter \u2013 Elasticsearch (indexering, s\u00f6kning och datanalys), Logstash (data in\/ut) och Kibana (visualisering). Till skillnad fr\u00e5n SiLK, d\u00e4r allt m\u00e5ste skrivas sj\u00e4lv, har ELK redan m\u00e5nga f\u00e4rdiga bibliotek\/moduler (vissa betalda, vissa gratis) som automatiserar analysen av n\u00e4tverkstelemetri. Till exempel till\u00e5ter GeoIP-filtret i Logstash att koppla de observerade IP-adresserna till deras geografiska plats (vilket i Stealthwatch \u00e4r en inbyggd funktion).<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/addd9d9656f64f81d86a0cce8ee0810b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nELK har ocks\u00e5 en ganska stor gemenskap som skriver till de saknade komponenterna f\u00f6r denna \u00f6vervakningsl\u00f6sning. Till exempel, f\u00f6r att arbeta med Netflow, IPFIX och sFlow kan du anv\u00e4nda modulen <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/robcowart\/elastiflow\">elastiflow<\/a><\/noindex>, om du inte \u00e4r n\u00f6jd med Logstash Netflow-modulen som endast st\u00f6der Netflow.<\/p>\n<p>Genom att ge mer snabbhet f\u00f6r insamling av flow och s\u00f6kning i det, saknar ELK f\u00f6r n\u00e4rvarande rik inbyggd analys f\u00f6r uppt\u00e4ckten av anomalier och hot inom n\u00e4tverkstelemetri. Det inneb\u00e4r att, enligt den ovan beskrivna livscykeln, att du sj\u00e4lv m\u00e5ste definiera avvikelsemodeller och sedan anv\u00e4nda dem i det skarpa systemet (det finns ingen inbyggd modeller d\u00e4r).<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/6d8368f4c130c3a5770890cb6c5fe5ab.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDet finns naturligtvis mer avancerade till\u00e4gg f\u00f6r ELK, som redan har vissa modeller f\u00f6r att uppt\u00e4cka avvikelser i n\u00e4tverkstelemetri, men s\u00e5dana till\u00e4gg kostar pengar och d\u00e5 handlar det om huruvida det \u00e4r v\u00e4rt att skriva en liknande modell sj\u00e4lv, k\u00f6pa dess implementation f\u00f6r sitt \u00f6vervakningsverktyg eller k\u00f6pa en f\u00e4rdig l\u00f6sning inom Network Traffic Analysis.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/d938ebb4271c4dfb73a1e4b6e94c91d6.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nJag vill \u00f6verhuvudtaget inte g\u00e5 in p\u00e5 debatten om det \u00e4r b\u00e4ttre att spendera pengar p\u00e5 att k\u00f6pa en f\u00e4rdig l\u00f6sning f\u00f6r \u00f6vervakning av avvikelser och hot i n\u00e4tverkstelemetri (till exempel Cisco Stealthwatch) eller att f\u00f6rst\u00e5 det sj\u00e4lv och justera SiLK, ELK eller nfdump eller OSU Flow Tools f\u00f6r varje nytt hot (jag pratar om de tv\u00e5 senare?). <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/348532\/\">om<\/a><\/noindex> Var och en v\u00e4ljer f\u00f6r sig sj\u00e4lv och alla har sina sk\u00e4l att v\u00e4lja n\u00e5got av de tv\u00e5 alternativen. Jag ville bara visa att n\u00e4tverkstelemetri \u00e4r ett mycket viktigt verktyg f\u00f6r att s\u00e4kerst\u00e4lla n\u00e4tverkss\u00e4kerheten i sin interna infrastruktur, och man b\u00f6r inte bortse fr\u00e5n det f\u00f6r att undvika att hamna p\u00e5 listan \u00f6ver f\u00f6retag vars namn n\u00e4mns i media tillsammans med epitet som 'hackade', 'som inte f\u00f6ljde s\u00e4kerhetskraven', 'som inte t\u00e4nker p\u00e5 s\u00e4kerheten f\u00f6r sina egna och sina kunders data'.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/de7df67df66b7abe89170c7f92fcefca.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nF\u00f6r att sammanfatta vill jag lista de nyckeltips som man b\u00f6r f\u00f6lja n\u00e4r man bygger \u00f6vervakning av IT-s\u00e4kerheten i sin interna infrastruktur:<\/p>\n<ol>\n<li>Begr\u00e4nsa dig inte bara till perimeterna! Anv\u00e4nd (och v\u00e4lj) ditt n\u00e4tverksinfrastruktur inte bara f\u00f6r att \u00f6verf\u00f6ra trafik fr\u00e5n punkt A till punkt B, utan ocks\u00e5 f\u00f6r att hantera fr\u00e5gor kring cybers\u00e4kerhet.<\/li>\n<li>Studera de existerande mekanismerna f\u00f6r \u00f6vervakning av IT-s\u00e4kerhet i din n\u00e4tverksutrustning och implementera dem.<\/li>\n<li>F\u00f6r intern \u00f6vervakning, f\u00f6redra att analysera telemetri \u2014 det g\u00f6r det m\u00f6jligt att uppt\u00e4cka upp till 80-90% av alla n\u00e4tverksincidenter relaterade till IT-s\u00e4kerhet, vilket g\u00f6r det som \u00e4r om\u00f6jligt vid f\u00e5ngst av n\u00e4tverkspaket och sparar lagringsutrymme f\u00f6r alla IT-s\u00e4kerhetsh\u00e4ndelser.<\/li>\n<li>F\u00f6r \u00f6vervakning av fl\u00f6den, anv\u00e4nd Netflow v9 eller IPFIX \u2013 de ger mer information i s\u00e4kerhetskontext och m\u00f6jligg\u00f6r \u00f6vervakning av inte bara IPv4, utan ocks\u00e5 IPv6, MPLS etc.<\/li>\n<li>Anv\u00e4nd ett osampling flow-protokoll \u2013 det ger mer information f\u00f6r att uppt\u00e4cka hot. Till exempel, Netflow eller IPFIX.<\/li>\n<li>Kontrollera belastningen p\u00e5 din n\u00e4tverksutrustning \u2013 det kan h\u00e4nda att den inte klarar av att hantera flow-protokollet ocks\u00e5. \u00d6verv\u00e4g i s\u00e5 fall att anv\u00e4nda virtuella sensorer eller Netflow Generation Appliance.<\/li>\n<li>Implementera kontroll i f\u00f6rsta hand p\u00e5 \u00e5tkomstniv\u00e5 \u2013 det ger dig m\u00f6jlighet att se 100% av all trafik.<\/li>\n<li>Om du inte har n\u00e5got val och anv\u00e4nder rysk n\u00e4tverksutrustning, v\u00e4lj den som st\u00f6djer flow-protokoll eller har SPAN\/RSPAN-portar.<\/li>\n<li>Kombinera system f\u00f6r uppt\u00e4ckta\/preventiva intr\u00e5ng\/attacker vid gr\u00e4nserna och system f\u00f6r fl\u00f6desanalys i det interna n\u00e4tverket (inklusive i molnen).<\/li>\n<\/ol>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/c54e4b02a906f470bbfb617f48cdd216.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nN\u00e4r det kommer till det sista r\u00e5det vill jag g\u00e4rna ta upp en illustration som jag redan n\u00e4mnt tidigare. Ni ser att om den tidigare s\u00e4kerhetstj\u00e4nsten fr\u00e5n Cisco n\u00e4stan helt byggde sitt \u00f6vervakningssystem p\u00e5 system f\u00f6r intr\u00e5ngsdetektering och signaturmetoder, s\u00e5 st\u00e5r de nu f\u00f6r endast 20% av incidenterna. Ytterligare 20% g\u00e5r till fl\u00f6desanalysystem, vilket visar att dessa l\u00f6sningar inte \u00e4r en lyx, utan ett verkligt verktyg i verksamheten f\u00f6r moderna s\u00e4kerhetstj\u00e4nster. S\u00e4rskilt eftersom ni har det mest avg\u00f6rande f\u00f6r deras implementering \u2013 n\u00e4tverksinfrastrukturen, vars investeringar kan skyddas ytterligare genom att \u00e4ven tilldela n\u00e4tverket funktioner f\u00f6r s\u00e4kerhets\u00f6vervakning.<\/p>\n<p><img decoding=\"async\" alt=\"Flow-protokoll som ett verktyg f\u00f6r att \u00f6vervaka s\u00e4kerheten i det interna n\u00e4tverket\" src=\"\/wp-content\/uploads\/2019\/08\/2166f265222c43b0b2cbbcf4091c1f8c.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nJag avstod medvetet fr\u00e5n att ber\u00f6ra \u00e4mnet f\u00f6r hur man reagerar p\u00e5 uppt\u00e4ckta anomalier eller hot i n\u00e4tverksfl\u00f6den, men jag tror det \u00e4r tydligt att \u00f6vervakning inte b\u00f6r avslutas vid att bara uppt\u00e4cka hot. Det ska f\u00f6ljas av reaktion, helst automatiskt eller i automatiserad form. Men det \u00e4r ett \u00e4mne f\u00f6r ett annat material.<\/p>\n<p>Ytterligare information:<\/p>\n<ul>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/ios-nx-os-software\/ios-netflow\/index.html\">Beskrivning av Cisco IOS Netflow<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/community.cisco.com\/t5\/security-documents\/netflow-support-matrix\/ta-p\/3644638\">Netflow-st\u00f6dmatris i olika Cisco-l\u00f6sningar<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/td\/docs\/security\/stealthwatch\/netflow\/Cisco_NetFlow_Configuration.pdf\">Guide f\u00f6r att konfigurera Netflow p\u00e5 olika Cisco-plattformar<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/sflow.org\">sFlow-gemenskapen<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.ciscolive.com\/c\/dam\/r\/ciscolive\/us\/docs\/2015\/pdf\/LTRSEC-3336.pdf\">Laboration om anv\u00e4ndning av Stealthwatch, SiLK och ELK f\u00f6r att analysera Netflow ur ett s\u00e4kerhetsperspektiv<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/tools.netsa.cert.org\/silk\/\">SiLK-webbplatsen<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/tools.netsa.cert.org\/silk\/analysis-handbook.pdf\">Helt\u00e4ckande guide om att anv\u00e4nda SiLK med massor av exempel<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.elastic.co\/guide\/en\/logstash\/current\/netflow-module.html\">Logstash Netflow-modul<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/blogs.cisco.com\/security\/step-by-step-setup-of-elk-for-netflow-analytics\">Steg-f\u00f6r-steg-guide fr\u00e5n Cisco f\u00f6r analysering av Netflow i ELK<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/307528\/\">Analys av NetFlow v.9 Cisco ASA med hj\u00e4lp av Logstash (ELK)<\/a><\/noindex><\/li>\n<li><noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/ru_ru\/products\/security\/stealthwatch\/index.html\">Cisco Stealthwatch-l\u00f6sning<\/a><\/noindex><\/li>\n<\/ul>\n<p>PS. Om det \u00e4r l\u00e4ttare f\u00f6r dig att ta till dig allt som skrivits ovan genom att lyssna, kan du titta p\u00e5 en timmes presentation som l\u00e5g till grund f\u00f6r denna anteckning.<\/p>\n<p><center><div class=\"youtube-placeholder\" data-id=\"ncDRZsueETo\" onclick=\"loadVideo(this)\">\r\n        <img decoding=\"async\" src=\"https:\/\/img.youtube.com\/vi\/ncDRZsueETo\/hqdefault.jpg\" alt=\"Spela video\" loading=\"lazy\" width=\"480\" height=\"360\" style=\"width:100%;height:auto;\">\r\n        <div class=\"play-button\"><\/div>\r\n    <\/div><\/center><br \/>\n<br \/>K\u00e4lla: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/cisco\/blog\/464601\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u0410 \u0435\u0441\u043b\u0438 \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u0443\u0442\u043e\u0447\u043d\u0438\u0442\u044c \u0432\u043e\u043f\u0440\u043e\u0441 \u0438 \u0441\u043f\u0440\u043e\u0441\u0438\u0442\u044c, \u043a\u0430\u043a \u0432\u044b \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u0435\u0442\u0435 \u0430\u0442\u0430\u043a\u0438 \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u043e\u0442\u0432\u0435\u0442\u043e\u043c \u0431\u0443\u0434\u0435\u0442, \u043a\u0430\u043a \u043f\u0440\u0430\u0432\u0438\u043b\u043e, \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0430\u0442\u0430\u043a (intrusion detection systems, IDS). \u0418 \u0442\u043e, \u0447\u0442\u043e \u0431\u044b\u043b\u043e \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u043c [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":28091,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37437","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sv_SE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Flow-\u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T19:17:38+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T19:17:38+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Flow-protokoll som verktyg f\u00f6r s\u00e4kerhets\u00f6vervakning av interna n\u00e4tverk | ProHoster","description":"N\u00e4r det handlar om att \u00f6vervaka s\u00e4kerheten i ett internt f\u00f6retags- eller myndighetsn\u00e4tverk, s\u00e5 v\u00e4cker m\u00e5nga tankar om kontroll av informationsl\u00e4ckor och implementering av DLP-l\u00f6sningar.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Flow-\u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 | ProHoster","og:description":"\u041a\u043e\u0433\u0434\u0430 \u0440\u0435\u0447\u044c \u0437\u0430\u0445\u043e\u0434\u0438\u0442 \u043e \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u0438\u043b\u0438 \u0432\u0435\u0434\u043e\u043c\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438, \u0442\u043e \u0443 \u043c\u043d\u043e\u0433\u0438\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0430\u0441\u0441\u043e\u0446\u0438\u0430\u0446\u0438\u044f \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0443\u0442\u0435\u0447\u0435\u043a \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435\u043c DLP-\u0440\u0435\u0448\u0435\u043d\u0438\u0439.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/flow-protokoly-kak-instrument-monitoringa-bezopasnosti-vnutrennej-seti","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:17:38+00:00","article:modified_time":"2019-10-31T19:17:38+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37437","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 17:49:20","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:26:28","updated":"2026-01-23 17:49:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/37437","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=37437"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/37437\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/28091"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=37437"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=37437"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=37437"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}