StealthWatch: बुनियादी अवधारणाओं और न्यूनतम आवश्यकताओं। भाग 1

1. परिचय
यह आलेख सिस्को चुपके नेटवर्क निगरानी उत्पाद के बारे में है।
सिस्को सिस्टम्स सक्रिय रूप से नेटवर्क सुरक्षा में सुधार के लिए एक उत्पाद के रूप में इसे बढ़ावा दे रहा है, तो चलो इसे सही करें।
टीएस सॉल्यूशन ब्लॉग में इस विषय पर पहले से ही एक लेख है , लेखों की इस श्रृंखला में मैं उत्पाद को कॉन्फ़िगर करने और तैनात करने पर ध्यान केंद्रित करूंगा। फिर भी, उन लोगों के लिए जिन्होंने पहली बार StealthWatch के बारे में सुना है, हम बुनियादी अवधारणाओं को परिभाषित करते हैं।
सिस्को का कहना है कि 50 सफल कहानियों के बारे में आप यहां जान सकते हैं । स्टालवॉच सिस्टम उद्योग को अग्रणी नेटवर्क निगरानी और सुरक्षा विश्लेषण क्षमताओं को गति प्रदान करने और अधिक सटीक रूप से खतरों का पता लगाने, घटनाओं का जवाब देने और जांच करने के लिए प्रदान करता है। ।

आपके बुनियादी ढांचे के टेलीमेट्री डेटा के आधार पर, StealthWatch आपको इसकी अनुमति देता है:
· विभिन्न साइबर हमलों (APTs, DDoS, 0-day, डेटा रिसाव, botnet) का पता लगाएं
· सुरक्षा नीतियों के अनुपालन की निगरानी करना
उपयोगकर्ताओं और उपकरणों के व्यवहार में असामान्यताओं का पता लगाना
· यातायात का क्रिप्टो ऑडिट (ईटीए तकनीक)

StealthWatch के केंद्र में रूटर्स, स्विच और अन्य नेटवर्क उपकरणों से NetFlow और IPFIX का संग्रह है। नतीजतन, नेटवर्क एक संवेदनशील सेंसर बन जाता है और व्यवस्थापक को यह देखने की अनुमति देता है कि एनजीएफडब्ल्यू जैसे नेटवर्क की सुरक्षा के पारंपरिक तरीके कहां तक ​​नहीं पहुंच सकते। निम्नलिखित प्रोटोकॉल StealthWatch: NetFlow (संस्करण 5 से शुरू), sFlow, jFlow, cFlow, Netstream, nvzFlow, IPFIX, Packeteer-2 और अन्य कस्टम सुधारों को एकत्र कर सकते हैं।


2. एनालिटिक्स के लिए यह सॉफ्टवेयर किस टूल का उपयोग करता है?
सबसे पहले, व्यवहार मॉडलिंग और व्यवहार हस्ताक्षर, दूसरे शब्दों में, नेटवर्क में प्रत्येक डिवाइस की निरंतर निगरानी और सामान्य और असामान्य व्यवहार के बुनियादी संकेतकों को निर्धारित करने की क्षमता। प्रत्येक होस्ट के लिए, चाहे कोई उपयोगकर्ता, सर्वर या राउटर, अपनी खुद की आधार रेखा (एक आदर्श व्यवहार मॉडल) बनाया गया है, जिससे हम इस मेजबान के संबंध में सभी विसंगतियों को देखते हैं।
एक उदाहरण के रूप में: एक उपयोगकर्ता ने अचानक बड़ी मात्रा में डेटा डाउनलोड करना शुरू कर दिया, हालांकि उसने कभी ऐसा नहीं किया - स्टील्थवॉच लगभग तुरंत इसका पता लगाता है।

दूसरे, वैश्विक खतरे का विश्लेषण। यह प्रसिद्ध सिस्को तालोस के साथ एकीकरण को संदर्भित करता है - ज्ञात हमलों के हस्ताक्षरों का एक विशाल डेटाबेस, वास्तविक समय में दुनिया भर में अद्यतन किया गया।

तीसरा, संज्ञानात्मक खुफिया तकनीक पर आधारित सिस्को के मामले में, अच्छी पुरानी मशीन लर्निंग।
प्रौद्योगिकी भी ईटीए समाधान - एनक्रिप्टेड ट्रैफ़िक एनालिटिक्स को रेखांकित करती है, जो आपको यह निर्धारित करने की अनुमति देती है कि एन्क्रिप्ट किए गए कनेक्शन को डिक्रिप्ट किए बिना खराब है (हमला, अवांछित ट्रैफ़िक और सीएंडसी संचार)।

3. इंटरफ़ेस का एक संक्षिप्त परिचय
ताकि आप समझ सकें कि यह कैसे दिखता है और सुंदर चित्रों के साथ नहीं आता है, मैं सिस्को लैब के काम से कुछ स्क्रीनशॉट दिखाना चाहता हूं जो कि सभी के द्वारा dcloud में किया जा सकता है।

डैशबोर्ड में काफी सुविधाजनक चार्ट और ग्राफ़ सामान्य नेटवर्क आँकड़े दिखाते हैं: अलार्म, किससे और कब, नेटवर्क प्रोटोकॉल, एप्लिकेशन और सुरक्षा घटनाओं का ट्रैफ़िक।






मॉनिटर टैब में, संदिग्ध मेजबानों की एक अधिक विस्तृत सूची होती है और एक तालिका जिसके मान किसी विशेष होस्ट पर संदिग्ध व्यवहार और हमलों के लिए जिम्मेदार हैं।



इसके बाद, आप प्रोटोकॉल द्वारा टूटे हुए एप्लिकेशन ट्रैफ़िक का निरीक्षण कर सकते हैं। बेशक, समय अवधि बदल जाती है, आप आवक के माध्यम से गिर सकते हैं, आवश्यक अनुभाग को उजागर कर सकते हैं (डैशबोर्ड में प्रवाह में आप "के माध्यम से गिर सकते हैं")।

इंटरफ़ेस में सभी सेटिंग्स और पूर्ण विसर्जन, आप निम्नलिखित लेखों में देखेंगे।

4. वास्तुकला

स्टील्थवॉच की वास्तुकला एक तरफ अपने प्रतियोगियों की तुलना में थोड़ी अधिक जटिल है, लेकिन दूसरी तरफ यह अधिक दानेदार है और अधिक अनुकूलन की अनुमति देता है। आवश्यक घटक फ्लो कलेक्टर (एफसी) और स्टील्थवॉच मैनेजमेंट कंसोल (एसएमसी) हैं।
FlowCollector एक भौतिक या आभासी उपकरण है जो स्विच, राउटर और फायरवॉल से NBAR के माध्यम से नेटफ्लो डेटा और एप्लिकेशन डेटा एकत्र करता है।

एसएमसी एक भौतिक या आभासी उपकरण है जो एफसी से एकत्र किए गए डेटा को जोड़ती, व्यवस्थित और रेखांकन करता है। AD और Cisco ISE के साथ एकीकरण संभव है।

वैकल्पिक के रूप में, लेकिन कोई कम दिलचस्प उपकरण नहीं है, मैं फ़्लोसेन्सर (एफएस) और यूडीपी-निदेशक (यूडीपी-डी) को उजागर करता हूं।

पहला या तो एक भौतिक या आभासी उपकरण हो सकता है, और विरासत उपकरणों से नेटफ्लो उत्पन्न करने के लिए एक समाधान है या जब आप सस्ते एक्सेस स्तर स्विच का उपयोग करते हैं। FlowSensor SPAN, RSPAN प्रोटोकॉल का उपयोग करके आने वाले सभी ट्रैफ़िक के लिए नेटफ़्लो रिकॉर्ड बनाने की सुविधा प्रदान कर सकता है।
इसके अलावा, ज्यादातर मामलों में फ्लो सेंसर को ईटीए तकनीक (एन्क्रिप्टेड ट्रैफ़िक में मैलवेयर का पता लगाने) का उपयोग करने की आवश्यकता होती है, हालांकि, आईएसआर और एएसआर श्रृंखला से शुरू होकर, राउटर फ्लो सेंसर के बिना ईटीए के साथ काम कर सकते हैं।

यूडीपी-डी एक भौतिक उपकरण है जो नेटफ्लो डेटा एकत्र करता है और इसे फ्लोकोलेलेक्टर के लिए एकल और संपीड़ित स्ट्रीम के रूप में रूट करता है। एक उदाहरण के रूप में, यह एक ही समय में StealthWatch, SolarWinds और कुछ और के लिए एक स्ट्रीम निर्यात कर सकता है। यह फ्लो कलेक्टर पर लोड को भी कम करता है और नेटवर्क प्रदर्शन का अनुकूलन करता है। सच में, विभिन्न प्लेटफार्मों के लिए एक स्ट्रीम निर्यात करना केवल आवश्यक है। नतीजतन, स्टील्थवॉच वास्तुकला का सबसे महंगा घटक इतना आवश्यक नहीं है।

वास्तुकला एक सरलीकृत संस्करण में कुछ इस तरह दिखता है:


और अधिक पूर्ण (जटिल और समझ से बाहर) संस्करण में:


5. न्यूनतम सिस्टम आवश्यकताएँ
अब आप StealthWatch के साथ "आप" पर स्विच कर सकते हैं, तो आइए इसे नेटवर्क पर तैनात करने के लिए न्यूनतम संसाधनों को देखें।
StealthWatch प्रबंधन कंसोल के लिए:
रैम 16 जीबी (24 जीबी अनुशंसित), 3 सीपीयू, 125 जीबी ड्राइव
फ़्लोकोलेक्टर के लिए:
रैम 16 जीबी, 2 सीपीयू, 200 जीबी डिस्क
* समर्थन करता है <250 निर्यातकों, <125000 मेजबान, <4500 एफपीएस

और अगर हम एक पूर्ण वास्तुकला चाहते हैं, जिसे हम भविष्य में विचार करेंगे, तो हमें फ़्लोवेन्सर और यूडीपी-निदेशक के लिए संसाधनों का भी आवंटन करना चाहिए।
फ़्लोसेंस के लिए:
रैम 4 जीबी, 1 सीपीयू, 60 जीबी डिस्क
यूडीपी-निदेशक के लिए:
रैम 4 जीबी, 1 सीपीयू, 60 जीबी डिस्क
* एसएसडी सभी वीएम के लिए बेहतर है, लेकिन नेटफ्लो फ्लोकोलेक्टर के लिए "मक्खियों", इसलिए, पहले एफसी के लिए संसाधनों का आवंटन किया जाना चाहिए

एक महत्वपूर्ण चेतावनी यह है कि इन आभासी मशीनों के लिए चित्र केवल VMware (ESXi) और KVM के लिए उपलब्ध हैं। उनके लिए आवश्यकताएँ।

VMware (ESXi):
संस्करण 6.0 या 6.5।
लाइव माइग्रेशन और स्नैपशॉट समर्थित नहीं हैं।

केवीएम:
किसी भी संगत लिनक्स वितरण का उपयोग करना।
KVM होस्ट संस्करण libvirt 3.0.0, qemu-KVM 2.8.0, ओपन vSwitch 2.6.1 और लिनक्स कर्नेल 4.4.38 हैं। वे अन्य हो सकते हैं, लेकिन सिस्को इंजीनियरों ने इन पर परीक्षण किए और उनकी संचालन क्षमता की पुष्टि की।

यदि आप एक अलग कोण से अपने नेटवर्क की सुरक्षा को देखने में रुचि रखते हैं, तो आप हमें sales@tssolution.ru पर संपर्क कर सकते हैं और हम आपके नेटवर्क पर एक प्रदर्शन या पायलट स्टील्थवॉच मुफ्त में आयोजित करेंगे।

अभी के लिए बस इतना ही। अगले लेख में, हम सीधे StealthWatch की तैनाती के लिए आगे बढ़ेंगे और इस प्रक्रिया की बारीकियों के बारे में अधिक बात करेंगे।