इंटरनेट को कौन स्कैन करता है। लोहे बनाने का समय

मैं उपाधि नहीं छोड़ना चाहता। आखिरकार, वह अपना कार्य करता है - ध्यान आकर्षित करता है। मैं ईमानदारी से कहता हूं कि यदि लेख की सामग्री आपकी अपेक्षाओं को पूरा नहीं करती है, तो आप नाराज न हों। अब समय है। "ऐसी सामग्री," उन्होंने कहा, "आपको शौकीनों के लिए मंचों पर पोस्ट करने की आवश्यकता है, और हैबर पर केवल अत्यधिक बुद्धिमान आईटी दर्शक उन चीजों के बारे में बात करते हैं जिन्हें आपको कभी समझने की आवश्यकता नहीं है और आपको समझने की कोशिश करने की आवश्यकता नहीं है।" हालाँकि, ग्लोरी टू हबरू! वह काफी लोकतांत्रिक है।

नेटवर्क ट्रैफ़िक का विश्लेषण करने और अनधिकृत नेटवर्क गतिविधि (बाद में NSA के रूप में संदर्भित) का पता लगाने के संदर्भ में नेटवर्क सुरक्षा के विषय पर कुछ ने मुझे पकड़ा।

एनएसए के पहलू जो मेरी रुचि रखते हैं:

• एक खुले नेटवर्क (बाद में - ओएस) से संरक्षित नेटवर्क के संसाधनों (बंदरगाहों, वेब-लक्ष्य) (बाद में - एपी) की अनधिकृत स्कैनिंग;
• - / से एपी तक अनधिकृत यातायात। यह अनुप्रयोगों की एक स्वतंत्र नेटवर्क गतिविधि है;
• अनुचित सामग्री का अनधिकृत सम्मिलन (इसके बाद - एनके)। यह विज्ञापन है, संदिग्ध सामग्री।
• ज्ञात नेटवर्क हमलों (इसके बाद - सीए)।

अब तक मुझे क्या दिलचस्पी नहीं है: सब कुछ जो नेटवर्क की चिंता नहीं करता है। यह एंटी-वायरस सुरक्षा सीधे वर्कस्टेशन और सर्वर, मेल स्पैम, पासवर्ड क्रैकिंग आदि। आदि

मैंने पहिया को फिर से बनाने का फैसला क्यों किया? आखिरकार, बहुत सारा लोहा और सॉफ्टवेयर है जो समान कार्य करता है और लगता है कि यह खराब नहीं है। लेकिन यहाँ सवाल यह है कि हम अगली पीढ़ी के हाइपरकॉन्वर्ड सुपरपावर पर बहुत पैसा खर्च करते हैं, लेकिन इसका कोई मतलब नहीं है। एक अद्यतन आया और सभी पीसी में विफल रहा। उपयोगकर्ता ब्राउज़र में प्रवेश, पोक विज्ञापनों के अधिकार के साथ बैठते हैं और रैंसमवेयर को पकड़ते हैं। "ओह, हम तकनीकी कारणों से आज बंद हैं," व्यवसाय के मालिक का कहना है। सभी खुले बंदरगाहों के साथ अपडेट करने के लिए, Admins नेटवर्क पर एक नया सर्वर जारी करते हैं, यह तुरंत "जैसा कि इसे अपडेट किया जाना चाहिए।" और फिर यह नेटवर्क को धीमा करना शुरू कर देता है, डोमेन स्पैमर और आईटी जीवन के अन्य प्रसन्नता में गिर जाता है। ठीक है, व्यापार एक तरह से प्रवेश करने के लिए प्रवेश भुगतान करने की कोशिश कर रहा है। वे चलते हैं, लेकिन लंबे समय तक नहीं - उन्हें इसकी आदत होती है। हर कोई जानता है कि आईटी घटनाएं हमेशा सार्वजनिक उपयोगिताओं के लिए सर्दियों की तरह अचानक होती हैं। सार्वजनिक क्षेत्र के लिए, फिर यहाँ, हमेशा की तरह - "मूर्ख और सड़कें।" एक ओर, "नेटवर्क आधुनिकीकरण", महंगे उपकरणों की खरीद के लिए भारी खर्च होते हैं, जो बजट में कटौती के एक उचित संदेह के अलावा कुछ भी नहीं कर सकते हैं। दूसरी ओर, आईटी विशेषज्ञों के लिए कम वेतन, जो कर्मचारियों के कारोबार की ओर जाता है और व्यवस्थापक का कुल निम्न पेशेवर स्तर। नतीजतन, हमारे पास महंगे उपकरण और एक छात्र है जो नहीं जानता कि कैसे, नहीं जानता है और यह जानना नहीं चाहता है कि इसके साथ क्या करना है। यानी सुरक्षा समस्या हार्डवेयर में नहीं है। मानव कारक वह है जो प्रणालियों की समग्र सुरक्षा को निर्धारित करता है।

मैं क्यों हूँ? इसके अलावा, प्रत्येक व्यवसाय के मालिक के लिए एक "व्यवस्थापक" होना दिलचस्प होगा जो अपने कर्तव्यों को समान रूप से 24/7 व्यावहारिक रूप से "भोजन के लिए" करता है।

यह ठीक उसी तरह का है, जिस तरह से "आयरन एडमिन" मैं लागू करना चाहता हूं।

मैंने नेटवर्क सुरक्षा के साथ शुरुआत करने का फैसला किया। एपी पर बाहरी प्रभाव को सीमित करने या बाहर करने के लिए पहले से ही मामला 50% है।

तो, सामान्य अवधारणा:

मुख्य प्रारंभिक (आदर्श?) स्थितियाँ:

1. कम लागत मूल संस्करण में लोहे का टुकड़ा सभी श्रेणियों के लिए सस्ती होना चाहिए, एक उपयोगकर्ता के साथ एक पीसी और ऊपर।
2. लोहे के टुकड़े को अपने कर्तव्यों को पूरा करने के लिए योग्य कर्मियों के निरंतर ध्यान की आवश्यकता नहीं होनी चाहिए। सेट करें और भूल जाएं।
3. अतिरिक्त कॉन्फ़िगरेशन की आवश्यकता के बिना लोहे के टुकड़े को आसानी से प्रतिस्थापित किया जाना चाहिए।
4. लोहे का टुकड़ा इंटरैक्टिव होना चाहिए - वर्तमान या संदिग्ध खतरों, उनकी स्थिति के बारे में लोगों के एक पूर्व निर्धारित सर्कल को सूचित करें और स्थिति के विश्लेषण के आधार पर स्वतंत्र रूप से निर्णय लें। यही है, यह व्यवस्थापक नहीं है जिसे लगातार लॉग में देखना चाहिए, लेकिन आयरन को रिपोर्ट करना चाहिए कि कुछ गलत हुआ और उसने इसे "गलत" ठीक करने के लिए क्या किया।
5. लोहे के साथ बातचीत का इंटरफ़ेस नौसिखिए आईटी विशेषज्ञ के लिए भी सरल और समझने योग्य होना चाहिए। कोई शान्ति या नियमित भाव नहीं। पक्षियों को आकाश छोड़ दो।

यह रणनीतिक लक्ष्यों के संबंध में है। अब वापस पृथ्वी पर। बता दें कि जेलेज़का में कलेक्टर्स की जानकारी एकत्रित होगी, और सेंटर फॉर एनालिसिस एंड डिसीजन मेकिंग (इसके बाद - सीएसीआर)। स्मार्ट होम, IoT के साथ कुछ उपमाएँ हैं। इसे "स्मार्ट ऑक्टोपस" (फू, घृणित) होने दें। पर क्यों नहीं? ऐसा लगता है कि सभी के बाद - संग्राहक तम्बू हैं, और मस्तिष्क DACR है

DACR के लिए कई विकल्प हैं:

1. एकीकृत - लोहे के एक ही टुकड़े पर कलेक्टर और डीएसी।
2. स्थानीय - उपकरणों की एक सीमित सूची के साथ काम करना। आइए एक ही संगठन या क्षेत्र के भीतर बताते हैं।
3. ग्लोबल - एक इंटरनेट संसाधन जो इंटरनेट के भीतर कलेक्टरों के साथ काम करता है।
4. क्षेत्रीय (विकल्प) - ग्लोबल के भार को वितरित करने के लिए।

सभी निम्न-स्तरीय DACAs वैश्विक DAC के साथ बातचीत कर सकते हैं, जो NSA सुविधाओं के सबसे व्यापक डेटाबेस को संग्रहीत करता है।

पहली क्रिया। हम NSA की निगरानी के लिए एक एकीकृत CARP- कलेक्टर बनाते हैं।

वर्तमान चरण में एनएसए कलेक्टर क्या है? यह अनिवार्य रूप से 1U पैकेज में रखा गया लिनक्स कंप्यूटर है। कलेक्टर के पास 3 नेटवर्क इंटरफेस हैं। दो पूरे नेटवर्क पर चालू हैं। एक प्रबंधन इंटरफ़ेस। DAC उसी प्लेटफॉर्म पर स्थित है।

यहाँ वर्तमान वायरिंग आरेख है:



किसी भी बाहरी कलेक्टर की बातचीत केवल नियंत्रण इंटरफ़ेस के माध्यम से होती है। इंटरनेट यातायात के लिए, कलेक्टर पारदर्शी है।

चूंकि अब हम इस स्टैंड के लिए बुनियादी एल्गोरिदम विकसित कर रहे हैं, यह पर्याप्त है। बेशक, तैयार उत्पाद में अधिक उन्नत हार्डवेयर और रिज़ॉल्यूशन उपकरण होंगे।

कलेक्टर क्या करता है? यातायात के दिए गए भागों को एकत्र करता है। हेडर और, यदि आवश्यक हो, पैकेज सामग्री। यह नियमों द्वारा विन्यास योग्य है। यह सभी यातायात को इकट्ठा करने के लिए कोई मतलब नहीं है। थोड़े समय के लिए ट्रैफ़िक डेटा (कार्य डिस्क के लोड और वॉल्यूम के आधार पर, सप्ताह-महीने) कलेक्टर पर संग्रहीत किया जाता है। इस प्रकार, कलेक्टर नेटफ्लो प्रकार के स्रोत, कलेक्टर और सांख्यिकी प्रदर्शन प्रणाली के एक साथ प्रतिस्थापन के रूप में कार्य कर सकता है। बेशक, चूंकि कलेक्टर में प्रत्येक सत्र के बारे में जानकारी होती है, इसलिए यह लंबे समय तक आंकड़ों को संग्रहीत करने का इरादा नहीं है। यदि यह आवश्यक है, तो फ़ाइलों के रूप में आँकड़ों को नेटवर्क स्टोरेज या मैप किए गए ड्राइव पर डंप किया जा सकता है, और भविष्य में डीएसी के माध्यम से विश्लेषण और प्रदर्शित किया जा सकता है।

कलेक्टर बेवकूफ नहीं है। यह डीएसी द्वारा परिभाषित नियमों के आधार पर ट्रैफ़िक का विश्लेषण करता है और डीएसी से परिभाषित फ़िल्टर ट्रिगर्स की स्थिति में डीएसी को सूचना भेजता है। इसके अलावा, कलेक्टर अपने दम पर यातायात को फ़िल्टर करता है।

कुछ इस तरह।

जैसा कि आप कलेक्टर पर काम करते हैं, यह विचार अन्य कार्यों के साथ लोड करने के लिए आया था। मैं सभी नियोजित कार्यों के बारे में बात नहीं करूंगा। लेकिन एसएनएमपी ट्रैप कलेक्टर सर्वर और कलेक्टर को एसवाईएसएलओजी कलेक्टर में एकीकृत करने की इच्छा है। यह आवश्यक है, कुछ घटनाओं के सहसंबंध के विश्लेषण के लिए।

एक उप-उत्पाद के रूप में, एक वाणिज्यिक उत्पाद, क्या बुरा कहना है, हार्डवेयर का एक टुकड़ा, जो बॉक्स से बाहर हो सकता है, ट्रैफ़िक का प्रबंधन कर सकता है, लॉग एकत्र कर सकता है, नेटवर्क आँकड़े, जाल और घटनाओं की अधिसूचना के साथ सरल और समझ में यह सब प्रदर्शित कर सकता है?

परियोजना भागीदारी के लिए खुली है।

यदि किसी के पास SYSLOG के विषय पर अपने स्वयं के दिलचस्प घटनाक्रम हैं, तो PM को SNMP लिखें, एक संयुक्त उत्पाद बनाएं।

बुनियादी शर्तें:

1. कोई "पर आधारित ...", केवल अपने ही, अद्वितीय, और अगर कोई सामने वाला है तो यह निश्चित रूप से उपयोगकर्ता के अनुकूल है! ताकि आप बिना कीबोर्ड के काम कर सकें। कोई जावा ब्रेक या घटता नहीं। ज़ैबिक्स और लोगस्टैश भी किबेन के पास जाते हैं। सी, पायथन, पर्ल, पीएचपी, एचटीएमएल, सीएसएस, जेएस का स्वागत है (स्वच्छ, फ्रेम-वर्कऑफ़ के बिना। यहां तक ​​कि jQuery के बिना, हाँ)।
2. केवल आधुनिक ओएस और ब्राउज़रों के लिए अभिविन्यास। आईबीएम एक्सटी और इंटरनेट एक्सप्लोरर 1.0 पर कोई एमएस-डॉस संगतता नहीं।
3. लिनक्स केवल।

व्यावसायिक विचारों का स्वागत है, लेकिन यह बात नहीं है। इस स्तर पर, तकनीकी विचारों, दिमाग और समय की आवश्यकता होती है। यदि लोहे का एक योग्य टुकड़ा, कैसे फाइल किया जाए और कैसे बेचा जाए, इसका निर्णय स्वयं किया जाएगा।

एक उच्च बुद्धिमान समुदाय के लिए, मैं कलेक्टर से एक पहेली का प्रस्ताव करता हूं (उन्होंने खुद अभी तक फैसला नहीं किया है):
प्रारंभिक सर्किट ऊपर की आकृति में है। राउटर पीपीपीओ के माध्यम से आईएसपी से जुड़ा है और उस पर पता 91.122.49.173 है। इसका पता पहले से ही पिछले लेखों से लगा हुआ है। लेकिन यह परीक्षण के लिए अच्छा है - लगातार ब्याज है।

यहाँ वही है जो कलेक्टर ने दिखाया:



लाल मार्कर एक NSA का एक उदाहरण है। इस मामले में, संकेत यह है कि न तो स्रोत का पता और न ही गंतव्य का पता एपी का है। यूडीपी, गंतव्य बंदरगाह 5000। ट्रोजन का विषय प्रसिद्ध है। लेकिन AP का केवल एक बाहरी PAT पता (91.122.49.173) है। यही है, मुझे उम्मीद है कि आईएसपी-राउटर चैनल में मैं केवल पैकेट देखूंगा जिनके स्रोत का पता या गंतव्य पता राउटर का बाहरी पता है।

आइए आज की कहानी देखते हैं:



यहां हम देखते हैं कि, एक ही योजना के अनुसार, एक स्रोत पते वाले पैकेट, लेकिन विभिन्न गंतव्य पते हमारे कलेक्टर के माध्यम से उड़ते हैं।

यह ट्रैफिक कैसे आता है मुझे अभी तक पता नहीं चला है। अगर किसी के विचार हैं, तो कृपया टिप्पणियों में लिखें। इस तरह के एक एनएसए का सामना करते हुए, कलेक्टर इस ट्रैफ़िक पर एक जाल सेट करता है और इसकी अगली उपस्थिति के बारे में अधिक विस्तृत जानकारी एकत्र करता है, और फिर इसे छोड़ देता है। यह, ज़ाहिर है, केवल एक मामला है। बस मेरे लिए यह अब के लिए अकथनीय है;

निष्ठा से,
R_voland।