आंतरिक नेटवर्क की सुरक्षा की निगरानी के लिए एक उपकरण के रूप में प्रवाह प्रोटोकॉल

जब किसी आंतरिक कॉर्पोरेट या विभागीय नेटवर्क की सुरक्षा की निगरानी करने की बात आती है, तो कई में सूचना लीक के नियंत्रण और डीएलपी समाधानों के कार्यान्वयन के साथ जुड़ाव होता है। और यदि आप प्रश्न को स्पष्ट करने का प्रयास करते हैं और पूछते हैं कि आप आंतरिक नेटवर्क पर हमलों का पता कैसे लगाते हैं, तो उत्तर आमतौर पर घुसपैठ का पता लगाने वाले सिस्टम (आईडीएस) का उल्लेख होगा। और 10-20 साल पहले एकमात्र विकल्प क्या था, आज एक बंजरवाद बन रहा है। अधिक प्रभावी है, और कुछ स्थानों पर आंतरिक नेटवर्क की निगरानी के लिए एकमात्र संभव विकल्प है - प्रवाह प्रोटोकॉल का उपयोग करने के लिए, मूल रूप से नेटवर्क समस्याओं (समस्या निवारण) की खोज करने के लिए डिज़ाइन किया गया है, लेकिन अंततः एक बहुत ही दिलचस्प सुरक्षा उपकरण में बदल गया। हम इस बारे में बात करेंगे कि कौन से प्रवाह प्रोटोकॉल हैं और कौन से बेहतर नेटवर्क हमलों का पता लगाने में मदद करते हैं, जहां प्रवाह निगरानी को लागू करना सबसे अच्छा है, ऐसी योजना को लागू करते समय क्या देखना है, और यहां तक ​​कि घरेलू उपकरणों पर "इसे कैसे उठाएं"। इस लेख के भाग के रूप में।

मैं इस सवाल पर ध्यान नहीं दूंगा कि "हमें आंतरिक बुनियादी ढांचे की सुरक्षा की निगरानी करने की आवश्यकता क्यों है?" उत्तर स्पष्ट प्रतीत हो रहा है। लेकिन, फिर भी, आप एक बार फिर यह सुनिश्चित करना चाहेंगे कि इसके बिना कहीं भी नहीं है, एक छोटी वीडियो देखें एक कहानी के साथ कि आप 17 तरीकों से फ़ायरवॉल द्वारा संरक्षित कॉर्पोरेट नेटवर्क में कैसे पहुँच सकते हैं। इसलिए, हम मानेंगे कि हम समझते हैं कि आंतरिक निगरानी एक आवश्यक चीज है और यह केवल यह समझने के लिए बनी हुई है कि इसे कैसे व्यवस्थित किया जा सकता है।

मैं नेटवर्क स्तर पर बुनियादी ढांचे की निगरानी के लिए तीन प्रमुख डेटा स्रोतों को एकल करूँगा:

• "रॉ" ट्रैफ़िक, जिसे हम कुछ विश्लेषण प्रणालियों के विश्लेषण के लिए कैप्चर करते हैं और जमा करते हैं,
• नेटवर्क उपकरणों से होने वाली घटनाएँ जिससे यातायात गुजरता है,
• प्रवाह प्रोटोकॉल में से एक का उपयोग करके प्राप्त यातायात जानकारी।

सुरक्षा गार्डों के बीच कच्चे यातायात पर कब्जा करना सबसे लोकप्रिय विकल्प है, क्योंकि यह ऐतिहासिक रूप से बहुत पहले दिखाई दिया था। पारंपरिक नेटवर्क-आधारित हमले का पता लगाने वाले सिस्टम (बहुत पहले वाणिज्यिक हमले का पता लगाने वाला सिस्टम WheelR का NetRanger था, जो 1998 में सिस्को द्वारा खरीदा गया था) केवल पैकेट (और बाद के सत्र) पर कब्जा करने के व्यवसाय में थे जो विशिष्ट हस्ताक्षर ("निर्णायक नियम") के लिए खोज करते थे। FSTEC शब्दावली में), संकेतन हमले। बेशक, आप न केवल आईडीएस का उपयोग करके कच्चे यातायात का विश्लेषण कर सकते हैं, बल्कि अन्य उपकरण (उदाहरण के लिए, सिस्को आईओएस में विंडसरक, टीसीपीडीएम या एनबीएआर 2 कार्यक्षमता) का उपयोग भी कर सकते हैं, लेकिन उनके पास आमतौर पर एक ज्ञान आधार की कमी होती है जो एक नियमित आईटी टूल से सूचना सुरक्षा उपकरण को अलग करती है।

इसलिए, अटैक डिटेक्शन सिस्टम। नेटवर्क हमलों का पता लगाने का सबसे पुराना और सबसे लोकप्रिय तरीका, जो परिधि पर अपने कार्य के साथ अच्छी तरह से मुकाबला करता है (कोई फर्क नहीं पड़ता कि क्या - कॉर्पोरेट, डेटा सेंटर, सेगमेंट, आदि), लेकिन आधुनिक स्विच्ड और सॉफ्टवेयर-परिभाषित नेटवर्क में गुजरता है। पारंपरिक स्विच के आधार पर निर्मित नेटवर्क के मामले में, हमले का पता लगाने वाले सेंसर की संरचना बहुत बड़ी हो जाती है - आपको मेजबान के प्रत्येक कनेक्शन पर एक सेंसर लगाना होगा, जिसके हमलों की आप निगरानी करना चाहते हैं। कोई भी निर्माता, निश्चित रूप से, आपको सैकड़ों और हजारों सेंसर बेचने में खुशी होगी, लेकिन मुझे लगता है कि आपका बजट ऐसी लागतों का सामना नहीं कर सकता है। मैं कह सकता हूं कि सिस्को (और हम एनजीआईपीएस के डेवलपर हैं) पर भी हम ऐसा करने में सक्षम नहीं थे, हालांकि ऐसा लगता है कि कीमत का मुद्दा हमारे सामने है। खड़ा नहीं होना चाहिए - यह हमारा अपना निर्णय है। इसके अलावा, सवाल उठता है, लेकिन सेंसर को इस अवतार में कैसे जोड़ा जाए? अंतर करने के लिए? और यदि सेंसर स्वयं अक्षम है? सेंसर में एक बायपास मॉड्यूल की आवश्यकता है? टैप स्प्लिटर्स का उपयोग करें? यह सब समाधान को अधिक महंगा बनाता है और इसे किसी भी पैमाने की कंपनी के लिए असहनीय बनाता है।



आप स्पैन / RSPAN / ERSPAN पोर्ट पर सेंसर को "हैंग" करने की कोशिश कर सकते हैं और स्विच पर आवश्यक पोर्ट से इसे सीधे ट्रैफ़िक दे सकते हैं। यह विकल्प पिछले पैराग्राफ में वर्णित समस्या को आंशिक रूप से दूर करता है, लेकिन एक अलग स्थिति बनाता है - स्पैन पोर्ट पूरी तरह से सभी ट्रैफ़िक को स्वीकार नहीं कर सकता है जो इसे भेजा जाएगा - इसमें पर्याप्त बैंडविड्थ नहीं होगी। बलिदान करने के लिए कुछ छीनो। या तो निगरानी के बिना नोड्स का हिस्सा छोड़ दें (फिर आपको उन्हें पहले प्राथमिकता देने की आवश्यकता है), या नोड से सभी ट्रैफ़िक को रूट न करें, लेकिन केवल एक निश्चित प्रकार। किसी भी मामले में, हम कुछ हमलों को छोड़ सकते हैं। इसके अलावा, अन्य जरूरतों के लिए स्पैन पोर्ट पर कब्जा किया जा सकता है। नतीजतन, हमें मौजूदा नेटवर्क टोपोलॉजी को संशोधित करना होगा और संभवतः आपके नेटवर्क को अधिकतम करने के लिए इसे समायोजित करना होगा जो आपके पास सेंसर की संख्या के साथ अधिकतम हो जाएगा (और आईटी के साथ इसे समन्वयित करें)।

और अगर आपका नेटवर्क असममित मार्गों का उपयोग करता है? और यदि आपने एसडीएन लागू करने की योजना बनाई है या शुरू की है? और अगर आपको उन वर्चुअलाइज्ड मशीनों या कंटेनरों पर नजर रखने की जरूरत है, जिनका ट्रैफिक भौतिक स्विच तक नहीं पहुंचता है? पारंपरिक आईडीएस के निर्माता इन सवालों को पसंद नहीं करते क्योंकि उन्हें पता नहीं है कि उन्हें कैसे जवाब देना है। शायद वे आपको इस तथ्य के लिए प्रेरित करेंगे कि ये सभी फैशनेबल प्रौद्योगिकियां प्रचारित हैं और आपको इसकी आवश्यकता नहीं है। शायद वे छोटे से शुरू करने की आवश्यकता के बारे में बात करेंगे। या हो सकता है कि वे कहेंगे कि आपको नेटवर्क के केंद्र में एक शक्तिशाली थ्रेशर लगाने की जरूरत है और सभी ट्रैफिक को निर्देशित करने के लिए इसे बैलेंसरों का उपयोग करना होगा। आपको जो भी विकल्प पेश किया जाता है, आपको अपने आप को स्पष्ट रूप से समझने की आवश्यकता है कि यह आपको कितना सूट करता है। और उसके बाद ही नेटवर्क इंफ्रास्ट्रक्चर की सूचना सुरक्षा की निगरानी के लिए एक दृष्टिकोण चुनने पर निर्णय लें। पैकेट कैप्चरिंग पर लौटना, मैं कहना चाहता हूं कि यह विधि बहुत लोकप्रिय और महत्वपूर्ण है, लेकिन इसका मुख्य उद्देश्य सीमा नियंत्रण है; आपके संगठन और इंटरनेट के बीच की सीमाएं, डेटा केंद्र और बाकी नेटवर्क के बीच की सीमाएं, आईसीएस और कॉर्पोरेट सेगमेंट के बीच की सीमाएं। इन जगहों पर, क्लासिक आईडीएस / आईपीएस को अभी भी अपने कार्यों का एक अच्छा अस्तित्व रखने और करने का अधिकार है।



दूसरे विकल्प पर चलते हैं। नेटवर्क उपकरणों से प्राप्त घटनाओं का विश्लेषण भी हमलों का पता लगाने के लिए किया जा सकता है, लेकिन मुख्य तंत्र के रूप में नहीं, क्योंकि यह केवल घुसपैठ के एक छोटे वर्ग का पता लगाने की अनुमति देता है। इसके अलावा, कुछ प्रतिक्रियाशीलता इसमें निहित है - एक हमला पहले होना चाहिए, फिर इसे एक नेटवर्क डिवाइस द्वारा तय किया जाना चाहिए, जो एक तरह से या किसी अन्य को सूचना सुरक्षा के साथ एक समस्या का संकेत देगा। इसके कई तरीके हैं। यह syslog, RMON या SNMP हो सकता है। सूचना सुरक्षा के संदर्भ में नेटवर्क की निगरानी के लिए अंतिम दो प्रोटोकॉल का उपयोग केवल तभी किया जाता है, जब हमें नेटवर्क उपकरण पर एक DoS हमले का पता लगाने की आवश्यकता होती है, क्योंकि RMON और SNMP का उपयोग करते हैं, उदाहरण के लिए, हम डिवाइस या इंटरफेस के केंद्रीय प्रोसेसर के लोड की निगरानी कर सकते हैं। यह "सबसे सस्ता" (सभी में syslog या SNMP है) में से एक है, लेकिन आंतरिक बुनियादी ढांचे की सूचना सुरक्षा की निगरानी के लिए सभी तरीकों में से सबसे अप्रभावी है - कई हमले बस इससे छिपे हुए हैं। बेशक, उन्हें उपेक्षित नहीं किया जाना चाहिए और उसी syslog विश्लेषण से आपको डिवाइस के कॉन्फ़िगरेशन में समयबद्ध तरीके से बदलाव की पहचान करने में मदद मिलती है, यह एक समझौता है, लेकिन यह पूरे नेटवर्क पर हमलों का पता लगाने के लिए बहुत उपयुक्त नहीं है।

तीसरा विकल्प एक उपकरण से गुजरने वाले यातायात के बारे में जानकारी का विश्लेषण करना है जो कई प्रवाह प्रोटोकॉल में से एक का समर्थन करता है। इस मामले में, प्रोटोकॉल की परवाह किए बिना, प्रवाह के बुनियादी ढांचे में तीन घटक शामिल हैं:

• उत्पादन या निर्यात प्रवाह। यह भूमिका आमतौर पर एक राउटर, स्विच, या अन्य नेटवर्क डिवाइस को सौंपी जाती है, जो स्वयं के माध्यम से नेटवर्क ट्रैफ़िक पास कर रहा है, आपको इससे प्रमुख पैरामीटर निकालने की अनुमति देता है, जो तब संग्रह मॉड्यूल में स्थानांतरित हो जाते हैं। उदाहरण के लिए, सिस्को नेटफ्लो प्रोटोकॉल में न केवल वर्चुअल और औद्योगिक लोगों सहित राउटर और स्विच पर, बल्कि वायरलेस नियंत्रक, फायरवॉल और यहां तक ​​कि सर्वर पर भी समर्थित है।
• संग्रह का प्रवाह। यह देखते हुए कि एक आधुनिक नेटवर्क में आमतौर पर एक से अधिक नेटवर्क डिवाइस होते हैं, समस्या प्रवाह को इकट्ठा करने और समेकित करने के लिए उत्पन्न होती है, जिसे तथाकथित कलेक्टरों का उपयोग करके हल किया जाता है, जो प्राप्त प्रवाह की प्रक्रिया करते हैं और फिर उन्हें विश्लेषण के लिए संचारित करते हैं।
• प्रवाह विश्लेषण। विश्लेषक मुख्य बौद्धिक कार्य करता है और प्रवाह के लिए विभिन्न एल्गोरिदम को लागू करता है, कुछ निष्कर्ष निकालता है। उदाहरण के लिए, आईटी फ़ंक्शन के भाग के रूप में, इस तरह के एक विश्लेषक नेटवर्क की अड़चनों की पहचान कर सकते हैं या नेटवर्क को और अधिक अनुकूलित करने के लिए ट्रैफ़िक लोड प्रोफ़ाइल का विश्लेषण कर सकते हैं। और सूचना सुरक्षा के लिए, इस तरह के एक विश्लेषक डेटा लीक, दुर्भावनापूर्ण कोड या DoS हमलों के प्रसार का पता लगा सकता है।

आपको यह नहीं सोचना चाहिए कि ऐसी त्रि-स्तरीय वास्तुकला बहुत जटिल है - अन्य सभी विकल्प (सिवाय, शायद, नेटवर्क मॉनिटरिंग सिस्टम जो एसएनएमपी और आरएमओएन के साथ काम करते हैं) भी इसके अनुसार काम करते हैं। हमारे पास विश्लेषण के लिए एक डेटा जनरेटर है, जो एक नेटवर्क डिवाइस या एक फ्रीस्टैंडिंग सेंसर है। हमारे पास एक अलार्म संग्रह प्रणाली है और हमारे पास संपूर्ण निगरानी बुनियादी ढांचे के लिए एक प्रबंधन प्रणाली है। अंतिम दो घटकों को एक नोड के भीतर जोड़ा जा सकता है, लेकिन अधिक या कम बड़े नेटवर्क में वे आमतौर पर स्केलेबिलिटी और विश्वसनीयता सुनिश्चित करने के लिए कम से कम दो उपकरणों द्वारा अलग किए जाते हैं।



पैकेट विश्लेषण के विपरीत, प्रत्येक पैकेट के हेडर और डेटा बॉडी के अध्ययन और उनसे जुड़े सत्रों के आधार पर, प्रवाह विश्लेषण नेटवर्क ट्रैफ़िक के बारे में मेटाडेटा के संग्रह पर निर्भर करता है। कब, कितना, कहां और कैसे, कैसे ... ये विभिन्न प्रवाह प्रोटोकॉल का उपयोग करके नेटवर्क टेलीमेट्री के विश्लेषण से पूछे गए प्रश्न हैं। प्रारंभ में, उनका उपयोग आंकड़ों का विश्लेषण करने और नेटवर्क में आईटी समस्याओं की खोज करने के लिए किया गया था, लेकिन फिर, विश्लेषणात्मक तंत्र के विकास के साथ, उन्हें एक ही टेलीमेट्री और सुरक्षा उद्देश्यों के लिए लागू करना संभव हो गया। यहां यह फिर से ध्यान देने योग्य है कि स्ट्रीम विश्लेषण पैकेट कैप्चर को प्रतिस्थापित या रद्द नहीं करता है। इन विधियों में से प्रत्येक के पास आवेदन का अपना क्षेत्र है। लेकिन इस लेख के संदर्भ में, यह प्रवाह विश्लेषण है जो आंतरिक बुनियादी ढांचे की निगरानी के लिए सबसे उपयुक्त है। आपके पास नेटवर्क डिवाइस हैं (और अगर यह सॉफ़्टवेयर-परिभाषित प्रतिमान में या स्थिर नियमों के अनुसार काम करता है) तो कोई बात नहीं है। यह क्लासिक आईडीएस सेंसर को बायपास कर सकता है, लेकिन कोई नेटवर्क डिवाइस नहीं है जो फ्लो प्रोटोकॉल का समर्थन करता है। यह इस विधि का लाभ है।

दूसरी ओर, यदि आपको कानून प्रवर्तन या अपनी स्वयं की घटना की जांच टीम के लिए सबूत की आवश्यकता है, तो आप पैकेट पर कब्जा किए बिना नहीं कर सकते हैं - नेटवर्क टेलीमेट्री यातायात की एक प्रति नहीं है जिसे सबूत इकट्ठा करने के लिए उपयोग किया जा सकता है; यह सूचना सुरक्षा के क्षेत्र में परिचालन का पता लगाने और निर्णय लेने के लिए आवश्यक है। दूसरी ओर, टेलीमेट्री विश्लेषण का उपयोग करते हुए, आप सभी नेटवर्क ट्रैफ़िक को "लिख" सकते हैं (यदि कुछ भी हो, तो सिस्को डेटा सेंटरों में शामिल है :-), लेकिन केवल एक ही जो हमले में शामिल है। इस संबंध में टेलीमेट्री विश्लेषण उपकरण पारंपरिक पैकेट कैप्चर तंत्र को अच्छी तरह से पूरक करेंगे, जो चयनात्मक कैप्चर और स्टोरेज के लिए कमांड देगा। अन्यथा, आपके पास एक विशाल भंडारण संरचना होनी चाहिए।

250 एमबीपीएस की गति से काम करने वाले नेटवर्क की कल्पना करें। यदि आप इस सभी वॉल्यूम को बचाना चाहते हैं, तो आपको ट्रैफ़िक ट्रांसफर के एक सेकंड के लिए 31 एमबी स्टोरेज, एक मिनट के लिए 1.8 जीबी, एक घंटे के लिए 108 जीबी और एक दिन के लिए 2.6 टीबी की आवश्यकता होगी। 10 Gbit / s की बैंडविड्थ वाले नेटवर्क से दैनिक डेटा को स्टोर करने के लिए, आपको 108 टीबी स्टोरेज की आवश्यकता होती है। लेकिन कुछ नियामकों को आपको सालों के लिए सुरक्षा डेटा संग्रहीत करने की आवश्यकता होती है ... रिकॉर्डिंग "मांग पर", जो आपको प्रवाह विश्लेषण को लागू करने में मदद करता है, परिमाण के आदेशों द्वारा इन मूल्यों को कम करने में मदद करता है। वैसे, अगर हम कुल डेटा कैप्चर के लिए नेटवर्क टेलीमेट्री डेटा के रिकॉर्ड किए गए वॉल्यूम के अनुपात के बारे में बात करते हैं, तो यह लगभग 1 से 500 है। ऊपर दिए गए समान मानों के लिए, सभी दैनिक ट्रैफ़िक के पूर्ण डिक्रिप्शन का संग्रहण क्रमशः 5 और 216 जीबी होगा, (आप नियमित रूप से यूएसबी फ्लैश ड्राइव पर भी लिख सकते हैं। )।

यदि कच्चे नेटवर्क डेटा विश्लेषण टूल में उन्हें कैप्चर करने का एक तरीका है जो लगभग विक्रेता के समान है, तो प्रवाह के विश्लेषण के साथ स्थिति अलग है। प्रवाह प्रोटोकॉल के लिए कई विकल्प हैं, जिनमें अंतर आपको सुरक्षा संदर्भ में जानने की आवश्यकता है। सबसे लोकप्रिय सिस्को द्वारा विकसित नेटफ्लो प्रोटोकॉल है। इस प्रोटोकॉल के कई संस्करण हैं जो उनकी क्षमताओं और यातायात के बारे में दर्ज की गई जानकारी की मात्रा में भिन्न हैं। वर्तमान संस्करण नौवें (Netflow v9) है, जिसके आधार पर उद्योग मानक Netflow v10, जिसे IPFIX के रूप में भी जाना जाता है, विकसित किया गया था। आज, अधिकांश नेटवर्क विक्रेता अपने उपकरणों में बिल्कुल Netflow या IPFIX का समर्थन करते हैं। लेकिन प्रवाह प्रोटोकॉल के लिए कई अन्य विकल्प हैं - sFlow, jFlow, cFlow, rFlow, NetStream, आदि, जिनमें से sFlow अधिक लोकप्रिय है। यह वह है जो कार्यान्वयन की आसानी के कारण नेटवर्क उपकरण के घरेलू निर्माताओं द्वारा सबसे अधिक बार समर्थित है। Netflow के बीच प्रमुख अंतर क्या हैं, एक वास्तविक मानक के रूप में, और sFlow? मैं कुछ प्रमुख लोगों को बाहर करूँगा। सबसे पहले, नेटफ्लो में उपयोगकर्ता-परिभाषित फ़ील्ड हैं, जो कि sFlow में निश्चित फ़ील्ड के विपरीत हैं। और दूसरी बात, और यह हमारे मामले में सबसे महत्वपूर्ण बात है, sFlow तथाकथित नमूना टेलीमेट्री एकत्र करता है; नेटफ्लो और IPFIX में अपरिवर्तित के विपरीत। उनमें क्या अंतर है?



कल्पना करें कि आपने मेरे सहयोगियों - गैरी मैकइंटायर, जोसेफ मुनिज़, और नडेफ अल्फर्डन (आप लिंक से पुस्तक का हिस्सा डाउनलोड कर सकते हैं) की पुस्तक " सिक्योरिटी ऑपरेशंस सेंटर: बिल्डिंग, ऑपरेटिंग एंड मेन्टेनिंग योर एसओसी " को पढ़ने का फैसला किया। आपके पास अपने लक्ष्य को प्राप्त करने के लिए तीन विकल्प हैं - पूरी पुस्तक को पढ़ने के लिए, इसे आंखों के माध्यम से चलाएं, हर 10 वें या 20 वें पृष्ठ पर रुकें, या स्मार्टरडिंग जैसे ब्लॉग या सेवा में प्रमुख अवधारणाओं को पुनः प्राप्त करने का प्रयास करें। इसलिए बिना सूचना वाली टेलीमेट्री नेटवर्क ट्रैफ़िक के प्रत्येक "पृष्ठ" को पढ़ रही है, अर्थात प्रत्येक पैकेट के लिए मेटाडेटा का विश्लेषण कर रही है। सैंपलिंग टेलीमेट्री इस उम्मीद में ट्रैफ़िक का एक चयनात्मक अध्ययन है कि चयनित नमूनों में आपके लिए क्या आवश्यक होगा। चैनल की गति के आधार पर, नमूना टेलीमेट्री हर 64 वें, 200 वें, 500 वें, 1000 वें, 2000 वें या यहां तक ​​कि 10000 वें पैकेट के विश्लेषण के लिए भेजेगा।



सूचना सुरक्षा निगरानी के संदर्भ में, इसका अर्थ है कि डीडीओएस हमलों का पता लगाने, स्कैन करने और दुर्भावनापूर्ण कोड को फैलाने के लिए सैंपल टेलीमेट्री अच्छी तरह से अनुकूल है, लेकिन यह परमाणु या बहु-पैकेट हमलों को छोड़ सकता है जो विश्लेषण के लिए भेजे गए नमूने में नहीं गिरता। Unsampled टेलीमेट्री में ऐसी कमियां नहीं हैं। पता लगाने योग्य हमलों की सीमा का उपयोग करना अधिक व्यापक है। यहां उन घटनाओं की एक छोटी सूची है जिन्हें नेटवर्क टेलीमेट्री विश्लेषण टूल का उपयोग करके पता लगाया जा सकता है।



बेशक, कुछ खुले स्रोत नेटफ्लो विश्लेषक आपको ऐसा करने की अनुमति नहीं देंगे, क्योंकि इसका मुख्य कार्य एक आईटी बिंदु से टेलीमेट्री इकट्ठा करना और उस पर बुनियादी विश्लेषण करना है। प्रवाह के आधार पर सूचना सुरक्षा खतरों की पहचान करने के लिए, विभिन्न इंजनों और एल्गोरिदम के साथ विश्लेषक को लैस करना आवश्यक है जो मानक या कस्टम नेटफ्लो फ़ील्ड के आधार पर साइबर सुरक्षा समस्याओं की पहचान करेगा, थ्रेट इंटेलिजेंस के विभिन्न स्रोतों से बाहरी डेटा के साथ मानक डेटा को समृद्ध करेगा।



इसलिए, यदि आपके पास कोई विकल्प है, तो इसे नेटफ्लो या IPFIX पर रोक दें। लेकिन यहां तक ​​कि अगर आपके उपकरण केवल घरेलू निर्माताओं की तरह sFlow के साथ काम करते हैं, तो इस मामले में भी आप सुरक्षा के संदर्भ में इसका लाभ उठा सकते हैं।



2019 की गर्मियों में, मैंने उन अवसरों का विश्लेषण किया जो कि नेटवर्क हार्डवेयर के रूसी निर्माताओं ने किया है, और उनमें से सभी ने एनएसजी, बहुभुज और क्राफ्टवे को छोड़कर, sFlow (कम से कम ज़लैक्स, नैटेक्स, एलटेक्स, क्यूटेक, रस्टीचेल) के लिए समर्थन की घोषणा की।



अगला सवाल आपके सामने होगा कि सुरक्षा उद्देश्यों के लिए फ्लो सपोर्ट कहां से लागू किया जाए? वास्तव में, सवाल पूरी तरह से सही नहीं है। आधुनिक उपकरणों पर, प्रवाह प्रोटोकॉल का समर्थन लगभग हमेशा होता है। इसलिए, मैं प्रश्न को अलग तरह से सुधारूंगा - जहां सुरक्षा के दृष्टिकोण से टेलीमेट्री इकट्ठा करने का सबसे कुशल तरीका कहां है? उत्तर काफी स्पष्ट होगा - एक्सेस स्तर पर, जहां आपको सभी ट्रैफ़िक का 100% दिखाई देगा, जहां आपको मेजबानों (मैक, वीएलएएन, इंटरफ़ेस आईडी) पर विस्तृत जानकारी होगी, जहां आप मेजबानों के बीच पी 2 पी ट्रैफ़िक को भी ट्रैक कर सकते हैं, जो स्कैन का पता लगाने के लिए महत्वपूर्ण है। और दुर्भावनापूर्ण कोड का प्रसार। कर्नेल स्तर पर, आप केवल यातायात का हिस्सा नहीं देख सकते हैं, लेकिन परिधि के स्तर पर आप अच्छी तरह से देखेंगे यदि आपके सभी नेटवर्क ट्रैफ़िक का एक चौथाई है। लेकिन अगर, किसी कारण से, बाहरी डिवाइस आपके नेटवर्क पर घायल हो जाते हैं जो हमलावरों को "प्रवेश और बाहर निकलने" की अनुमति देते हैं, तो परिधि को दरकिनार करते हैं, तो इससे टेलीमेट्री का विश्लेषण करने से आपको कुछ भी नहीं मिलेगा। इसलिए, अधिकतम कवरेज के लिए, एक्सेस स्तर पर टेलीमेट्री संग्रह को शामिल करने की सिफारिश की जाती है। इसी समय, यह ध्यान देने योग्य है कि भले ही हम वर्चुअलाइजेशन या कंटेनरों के बारे में बात कर रहे हैं, प्रवाह समर्थन भी अक्सर आधुनिक वर्चुअल स्विच में पाया जाता है, जो आपको वहां ट्रैफ़िक को भी नियंत्रित करने की अनुमति देता है।

लेकिन जब से मैंने विषय उठाया, मुझे सवाल का जवाब देने की आवश्यकता है, लेकिन क्या होगा, आखिरकार, उपकरण, भौतिक या आभासी, प्रोटोकॉल का समर्थन नहीं करता है? या इसका समावेश निषिद्ध है (उदाहरण के लिए, औद्योगिक क्षेत्रों में विश्वसनीयता सुनिश्चित करने के लिए)? या इसका समावेश उच्च CPU उपयोग की ओर जाता है (यह पुराने उपकरणों पर होता है)? इस समस्या को हल करने के लिए, विशेष वर्चुअल सेंसर (फ्लो सेंसर) हैं, जो अनिवार्य रूप से साधारण स्प्लिटर हैं जो स्वयं के माध्यम से ट्रैफ़िक पास करते हैं और इसे संग्रह मॉड्यूल में प्रवाह के रूप में प्रसारित करते हैं। सच है, इस मामले में हमें उन समस्याओं का एक पूरा गुच्छा मिलता है, जिनके बारे में हमने पैकेट कैप्चर टूल्स के संबंध में बात की थी। यही है, आपको न केवल प्रवाह विश्लेषण तकनीक के फायदे, बल्कि इसकी सीमाओं को भी समझने की आवश्यकता है।

एक अन्य बिंदु जो प्रवाह विश्लेषण उपकरणों के बारे में बात करते समय याद रखना महत्वपूर्ण है। यदि हम सुरक्षा घटनाओं को उत्पन्न करने के पारंपरिक साधनों के लिए ईपीएस मीट्रिक (प्रति सेकंड, घटनाओं प्रति सेकंड) लागू करते हैं, तो यह संकेतक टेलीमेट्री विश्लेषण पर लागू नहीं होता है; इसे FPS (प्रति सेकंड प्रवाह) से बदल दिया जाता है। जैसा कि ईपीएस के मामले में, इसकी गणना पहले से नहीं की जा सकती है, लेकिन आप अनुमानित प्रवाह की अनुमानित संख्या का अनुमान लगा सकते हैं जो एक विशेष उपकरण अपने कार्य के आधार पर उत्पन्न करता है। इंटरनेट पर आप विभिन्न प्रकार के कॉर्पोरेट उपकरणों और शर्तों के लिए अनुमानित मूल्यों के साथ तालिकाओं को पा सकते हैं, जो आपको यह पता लगाने की अनुमति देगा कि आपको विश्लेषण उपकरण के लिए कौन से लाइसेंस की आवश्यकता है और उनकी वास्तुकला क्या होगी? तथ्य यह है कि आईडीएस सेंसर एक निश्चित बैंडविड्थ द्वारा सीमित है, जिसे यह "पुल" करेगा, और प्रवाह कलेक्टर की अपनी सीमाएं हैं, जिन्हें समझना होगा। इसलिए, बड़े, भौगोलिक रूप से वितरित नेटवर्क में, आमतौर पर कई जलाशय होते हैं। जब मैंने बताया कि सिस्को के अंदर नेटवर्क की निगरानी कैसे की जाती है , तो मैंने पहले ही हमारे कलेक्टरों की संख्या का हवाला दिया - 21 हैं। और यह पांच महाद्वीपों में बिखरे हुए नेटवर्क पर है और लगभग आधे मिलियन सक्रिय उपकरणों की संख्या है)।



नेटफ्लो मॉनिटरिंग सिस्टम के रूप में, हम अपने स्वयं के सिस्को स्टील्थवॉच समाधान का उपयोग करते हैं , जो विशेष रूप से सुरक्षा समस्याओं को हल करने पर केंद्रित है। इसमें असामान्य, संदिग्ध और स्पष्ट रूप से दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए कई अंतर्निहित इंजन हैं, जो विभिन्न खतरों की एक विस्तृत श्रृंखला का पता लगाने की अनुमति देता है - क्रिप्टो खनन से सूचना लीक तक, दुर्भावनापूर्ण कोड के प्रसार से धोखाधड़ी तक। अधिकांश फ्लो एनालाइज़र की तरह, स्टेलवॉच को तीन-स्तरीय स्कीम (जनरेटर - कलेक्टर - एनालाइज़र) के अनुसार बनाया गया है, लेकिन यह कई दिलचस्प विशेषताओं द्वारा पूरक है जो विचार के तहत सामग्री के संदर्भ में महत्वपूर्ण हैं। सबसे पहले, यह पैकेट कैप्चर सॉल्यूशंस (जैसे सिस्को सिक्योरिटी पैकेट एनालाइज़र) के साथ एकीकृत होता है, जो आपको आगे की गहन जांच और विश्लेषण के लिए चयनित नेटवर्क सत्र रिकॉर्ड करने की अनुमति देता है। दूसरे, विशेष रूप से सुरक्षा कार्यों के विस्तार के लिए, हमने एक विशेष प्रोटोकॉल nvzFlow विकसित किया, जो आपको अंत नोड्स (सर्वर, वर्कस्टेशन आदि) पर अनुप्रयोगों की गतिविधि को टेलीमेट्री में "अनुवाद" करने और इसे आगे के विश्लेषण के लिए कलेक्टर को प्रेषित करने की अनुमति देता है। यदि इसके मूल संस्करण में Stealthwatch नेटवर्क स्तर पर किसी भी प्रवाह प्रोटोकॉल (sFlow, rFlow, Netflow, IPFIX, cFlow, jFlow, NetStream) के साथ काम करता है, तो nvzFlow समर्थन मेजबान स्तर पर डेटा को सहसंबद्ध करने की अनुमति देता है। संपूर्ण प्रणाली की दक्षता में वृद्धि और पारंपरिक नेटवर्क प्रवाह विश्लेषकों की तुलना में अधिक हमलों को देखना।

यह स्पष्ट है कि सुरक्षा विश्लेषण नेटफ्लो सिस्टम की बात करें तो बाजार सिस्को के एक समाधान तक ही सीमित नहीं है। आप वाणिज्यिक और फ्रीवेयर या शेयरवेयर दोनों समाधानों का उपयोग कर सकते हैं। विचित्र रूप से पर्याप्त है, अगर मैं सिस्को ब्लॉग का उपयोग प्रतिस्पर्धा समाधानों के उदाहरण के रूप में करता हूं, तो मैं कुछ शब्दों के बारे में कहूंगा कि कैसे नेटवर्क टेलीमेट्री का उपयोग दो लोकप्रिय, नाम के समान, लेकिन अभी भी अलग-अलग टूल - SiLK और ELK का उपयोग करके किया जा सकता है।

SiLK ट्रैफ़िक विश्लेषण के लिए टूल (इंटरनेट-स्तरीय ज्ञान के लिए सिस्टम) का एक सेट है, जिसे अमेरिकी CERT / CC द्वारा विकसित किया गया है और जो आज के लेख, Netflow (5 वें और 9 वें, सबसे लोकप्रिय संस्करणों), IPFIX और sFlow के संदर्भ में समर्थन करता है। और इसमें अनधिकृत कार्यों के संकेतों का पता लगाने के लिए नेटवर्क टेलीमेट्री पर विभिन्न संचालन करने के लिए विभिन्न उपयोगिताओं (rwfilter, rwcount, rwflowpack, आदि) का उपयोग करना। लेकिन नोट करने के लिए कुछ महत्वपूर्ण बिंदु हैं। SiLK एक कमांड लाइन उपकरण है और परिचालन विश्लेषण का संचालन करता है, जब भी आप फॉर्म की एक कमांड दर्ज करते हैं (200 बाइट्स से बड़ा ICMP पैकेट का पता लगाना):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

बहुत सुविधाजनक नहीं है। आप iSiLK GUI का उपयोग कर सकते हैं, लेकिन यह विश्लेषक के प्रतिस्थापन के बजाय केवल विज़ुअलाइज़ेशन फ़ंक्शन को हल करके आपके जीवन को बहुत आसान नहीं बनाएगा। और यह दूसरा बिंदु है। वाणिज्यिक समाधानों के विपरीत, जिसमें पहले से ही एक ठोस विश्लेषणात्मक आधार है, विसंगति का पता लगाने वाले एल्गोरिदम, वर्कफ़्लो से संबंधित एल्गोरिदम, आदि, SiLK के मामले में आपको यह सब स्वयं करना होगा, जिसके लिए आपको पहले से उपयोग करने की तुलना में थोड़ी अलग दक्षताओं का उपयोग करना होगा। उपयोग के लिए तैयार उपकरण। यह बुरा है और बुरा नहीं है - यह लगभग किसी भी मुफ्त उपकरण की एक विशेषता है जो इस तथ्य से आता है कि आप जानते हैं कि क्या करना है, और यह केवल आपको इसमें मदद करेगा (वाणिज्यिक उपकरण अपने उपयोगकर्ताओं की क्षमताओं पर कम निर्भर हैं, हालांकि यह भी मानता है कि यह कम से कम समझ में आता है। नेटवर्क जांच और निगरानी की मूल बातें)। लेकिन वापस सी.आई.एल.के. उनके साथ विश्लेषक का कार्य चक्र इस प्रकार है:

• एक परिकल्पना का गठन। हमें यह समझना चाहिए कि हम नेटवर्क टेलीमेट्री के अंदर क्या खोज करेंगे, अद्वितीय विशेषताओं को जानने के लिए जिनके द्वारा हम कुछ विसंगतियों या खतरों की पहचान करेंगे।
• एक मॉडल का निर्माण। एक परिकल्पना तैयार करने के बाद, हम इसे उसी पायथन, शेल, या अन्य टूल का उपयोग करके प्रोग्राम करते हैं जो SiLK में शामिल नहीं हैं।
• परीक्षण। यह हमारी परिकल्पना की वैधता का परीक्षण करने की बारी है, जो 'rw', 'set', 'bag' के साथ शुरू होने वाली SiLK उपयोगिताओं की पुष्टि या अस्वीकृत है।
• वास्तविक आंकड़ों का विश्लेषण। औद्योगिक संचालन में, SiLK हमें कुछ पहचानने में मदद करता है और विश्लेषक को उन सवालों के जवाब देने चाहिए "क्या हमें वह मिला जिसकी हमें उम्मीद थी?", "क्या यह हमारी परिकल्पना के अनुरूप है?", "झूठी सकारात्मक की संख्या को कैसे कम करें?", "मान्यता स्तर में सुधार कैसे करें?" " आदि
• सुधार। अंतिम चरण में, हम पहले जो किया गया था उसमें सुधार करते हैं - टेम्पलेट बनाएं, सुधार करें और कोड को अनुकूलित करें, सुधार करें और परिकल्पना को परिष्कृत करें, आदि।

यह चक्र समान सिस्को स्टेलवॉच पर लागू होगा, केवल अंतिम पांच चरण अधिकतम तक स्वचालित होंगे, विश्लेषक त्रुटियों की संख्या को कम करेंगे और घटना का पता लगाने की गति बढ़ाएंगे। उदाहरण के लिए, SiLK में, आप अपनी स्वयं की लिपियों का उपयोग करके दुर्भावनापूर्ण IP पर बाहरी डेटा के साथ नेटवर्क आँकड़े को समृद्ध कर सकते हैं, और सिस्को Stealthwatch में, यह एक अंतर्निहित फ़ंक्शन है जो नेटवर्क ट्रैफ़िक में ब्लैक लिस्टेड IP पतों के साथ सहभागिता होने पर तुरंत एक अलार्म प्रदर्शित करता है।

यदि हम प्रवाह विश्लेषण सॉफ्टवेयर के लिए "सशुल्क" पिरामिड में उच्चतर जाते हैं, तो शेयरवेयर ELK द्वारा पीछा किया जाएगा, जिसमें तीन प्रमुख घटक शामिल हैं - एलिटिक्सर्च (अनुक्रमण, डेटा खोज और विश्लेषण), लॉगस्टैश (डेटा इनपुट / आउटपुट) और किबाना ( दृश्य)। SiLK के विपरीत, जहां आपको खुद को सब कुछ लिखना होगा, ELK में पहले से ही कई तैयार लाइब्रेरी / मॉड्यूल हैं (कुछ भुगतान किए जाते हैं, कुछ नहीं हैं) जो नेटवर्क टेलीमेट्री के विश्लेषण को स्वचालित करते हैं। उदाहरण के लिए, लॉगस्टैश में जियोआईपी फ़िल्टर आपको उनके भौगोलिक स्थान के लिए देखे गए आईपी पतों को बांधने की अनुमति देता है (स्टील्थवॉच के लिए, यह एक अंतर्निहित फ़ंक्शन है)।



ईएलके में एक काफी बड़ा समुदाय भी है जो इस निगरानी समाधान के लिए लापता घटकों को पूरा कर रहा है। उदाहरण के लिए, Netflow, IPFIX और sFlow के साथ काम करने के लिए, आप इलास्टिफ्लो मॉड्यूल का उपयोग कर सकते हैं यदि आप Logstash Netflow मॉड्यूल के साथ सहज नहीं हैं, जो केवल Netflow का समर्थन करता है।

प्रवाह को इकट्ठा करने और इसमें खोज करने में अधिक दक्षता देते हुए, वर्तमान में ELK के पास नेटवर्क टेलीमेट्री में विसंगतियों और खतरों का पता लगाने के लिए समृद्ध अंतर्निहित विश्लेषण नहीं है। यही है, ऊपर वर्णित जीवन चक्र के बाद, आपको स्वतंत्र रूप से उल्लंघनों के मॉडल का वर्णन करना होगा और फिर इसका मुकाबला प्रणाली में उपयोग करना होगा (वहां कोई अंतर्निहित मॉडल नहीं हैं)।



बेशक, ईएलके के लिए और अधिक परिष्कृत एक्सटेंशन हैं जो पहले से ही नेटवर्क टेलीमेट्री में विसंगतियों का पता लगाने के लिए कुछ मॉडल हैं, लेकिन ऐसे एक्सटेंशन में पैसा खर्च होता है और सवाल यह है कि क्या खेल मोमबत्ती के लायक है - खुद उसी मॉडल को लिखें, अपने कार्यान्वयन को अपने निगरानी उपकरण से खरीदें या खरीदें नेटवर्क ट्रैफ़िक विश्लेषण वर्ग के लिए टर्नकी समाधान।



सामान्य तौर पर, मैं इस बहस में नहीं जाना चाहता कि पैसे खर्च करने और नेटवर्क टेलीमेट्री (उदाहरण के लिए, सिस्को स्टेलवॉच) में खतरों की निगरानी के लिए टर्नकी समाधान खरीदना बेहतर है या इसे अपने दम पर समझें और उसी SiLK, ELK या nfdump या OSU फ्लो टूल (प्रत्येक नए खतरे के लिए) को स्पिन करें। मैंने पिछली बार उनमें से अंतिम दो के बारे में बात की थी )? हर कोई अपने लिए चुनता है और हर किसी के पास दो विकल्पों में से किसी एक को चुनने का अपना मकसद होता है। मैं सिर्फ यह दिखाना चाहता था कि नेटवर्क टेलीमेट्री आपके आंतरिक बुनियादी ढांचे की नेटवर्क सुरक्षा को सुनिश्चित करने के लिए एक बहुत ही महत्वपूर्ण उपकरण है और आपको इसकी उपेक्षा नहीं करनी चाहिए, ताकि जिस कंपनी का नाम मीडिया में उल्लिखित है, उसे "हैक किया गया", "जो सूचना सुरक्षा आवश्यकताओं का पालन नहीं करता है" "," इसके डेटा और ग्राहक डेटा की सुरक्षा के बारे में नहीं सोच रहा है। "



सारांशित करते हुए, मैं आपके आंतरिक बुनियादी ढांचे की सूचना सुरक्षा निगरानी का निर्माण करते समय उन प्रमुख सुझावों को सूचीबद्ध करना चाहूंगा, जिनका आपको पालन करना चाहिए:

1. खुद को केवल परिधि तक ही सीमित न रखें! न केवल बिंदु A से बिंदु B तक ट्रैफ़िक स्थानांतरित करने के लिए, बल्कि साइबर सुरक्षा मुद्दों को भी हल करने के लिए नेटवर्क इन्फ्रास्ट्रक्चर का उपयोग और चुनें)।
2. अपने नेटवर्क उपकरणों में मौजूदा सुरक्षा निगरानी तंत्रों का अन्वेषण करें और उन्हें तैनात करें।
3. आंतरिक निगरानी के लिए, टेलीमेट्री विश्लेषण को प्राथमिकता दें - यह आपको सभी सूचना सुरक्षा घटनाओं का 80-90% तक पता लगाने की अनुमति देता है, जबकि ऐसा करना संभव नहीं है जब नेटवर्क पैकेटों को कैप्चर करना और सभी सूचना सुरक्षा घटनाओं को संग्रहीत करने के लिए स्थान की बचत करना।
4. प्रवाह की निगरानी के लिए, Netflow v9 या IPFIX का उपयोग करें - वे सुरक्षा के संदर्भ में अधिक जानकारी प्रदान करते हैं और आपको न केवल IPv4, बल्कि IPv6, MPLS आदि की निगरानी करने की अनुमति देते हैं।
5. flow- – . , Netflow IPFIX.
6. – flow-. Netflow Generation Appliance.
7. – 100% .
8. , , flow- SPAN/RSPAN-.
9. / / ( ).

अंतिम टिप के लिए, मैं एक दृष्टांत देना चाहूंगा, जिसका मैंने पहले भी उल्लेख किया है। आप देखते हैं कि यदि पहले सिस्को आईएस सेवा ने घुसपैठ पहचान प्रणाली और हस्ताक्षर विधियों के आधार पर लगभग पूरी तरह से अपना आईएस निगरानी तंत्र बनाया था, तो अब वे केवल 20% घटनाओं के लिए जिम्मेदार हैं। प्रवाह विश्लेषण प्रणालियों द्वारा एक और 20% का लेखा-जोखा किया जाता है, जो बताता है कि ये समाधान एक कल्पना नहीं है, बल्कि एक आधुनिक उद्यम की सूचना सुरक्षा सेवाओं की गतिविधियों में एक वास्तविक उपकरण है। इसके अलावा, आपके पास उनके कार्यान्वयन के लिए सबसे महत्वपूर्ण चीज है - नेटवर्क इन्फ्रास्ट्रक्चर, जिसमें नेटवर्क के साथ-साथ आईएस निगरानी कार्यों को असाइन करके निवेश को अतिरिक्त रूप से संरक्षित किया जा सकता है।



मैंने जानबूझकर नेटवर्क धाराओं में पहचानी गई विसंगतियों या खतरों का जवाब देने के विषय पर नहीं छुआ, लेकिन मुझे लगता है कि यह पहले से ही स्पष्ट है कि निगरानी केवल एक खतरे का पता लगाने के द्वारा पूरी नहीं होनी चाहिए। यह एक प्रतिक्रिया द्वारा पीछा किया जाना चाहिए और अधिमानतः एक स्वचालित या स्वचालित मोड में। लेकिन यह एक अलग सामग्री का विषय है।

अतिरिक्त जानकारी:

• सिस्को IOS Netflow का विवरण
• विभिन्न सिस्को सॉल्यूशंस में नेटफ्लो सपोर्ट मैट्रिक्स
• विभिन्न सिस्को प्लेटफार्मों के लिए नेटफ्लो कॉन्फ़िगरेशन गाइड
• SFlow समुदाय
• सुरक्षा Netflow विश्लेषण के लिए Stealtjwatch, SiLK और ELK का उपयोग करके लैब
• SiLK वेबसाइट
• उदाहरणों के टन के साथ एक 300-पृष्ठ SiLK ट्यूटोरियल
• लॉगस्टैश नेटफ्लो मॉड्यूल
• सिस्को ईएलके नेटफ्लो विश्लेषण वॉकथ्रू ईएलके
• NetFlow v.9 सिस्को एएसए विश्लेषण लॉगस्टैश (ईएलके) का उपयोग कर
• सिस्को चुपके समाधान

पुनश्च। यदि आपके लिए यह आसान है कि ऊपर लिखी गई सभी बातों को सुनें, तो आप इस नोट के आधार पर बनने वाली घंटे की प्रस्तुति देख सकते हैं।