🏂🏽 👵🏻 👗 Netflow और Siem निगरानी समाधान का एकीकरण 🏨 🍯 🐸

सुरक्षा घटनाओं का विश्लेषण करने और घटनाओं का पता लगाने के लिए (हालांकि कुछ गतिविधियाँ मशीन सीखने की तकनीक से ऐड-ऑन के साथ लॉग के प्रबंधन के समाधान के साथ समाधान की जगह है), लेकिन इस समाधान की प्रभावशीलता निर्भर करती है। यह किस डेटा स्रोत के साथ काम करता है। फिर भी, आमतौर पर सिएम विशेषज्ञ मुख्य रूप से लॉग्स के साथ काम करते हैं, जो नेटफ्लो के रूप में सूचना के ऐसे महत्वपूर्ण स्रोत को छोड़ देते हैं, जो आपको कुछ ऐसा देखने की अनुमति देता है जो अक्सर लॉग में नहीं मिलता है या नहीं मिलता है, लेकिन बहुत देर हो चुकी है। इससे कई सवाल उठ रहे हैं। एक आधुनिक सीएमजी समाधान को नेटफ्लो समर्थन की आवश्यकता क्यों है? नेटफ्लो विश्लेषण से कोलम्बिया को क्या मिल सकता है? यदि निर्माता हैं, तो Netflow के साथ RM को एकीकृत करने का कौन सा विकल्प है,जो सीधे अपने समाधान में Netflow समर्थन एम्बेड करते हैं, और ऐसे कई लोग हैं जो विभिन्न Netflow कलेक्टरों के साथ काम करना पसंद करते हैं। क्या काम करता है के साथ काम करते हैं? हम इस बारे में बात करेंगे

खतरे का पता लगाने के लिए नेटफ्लो

पिछले लेख मेंमैंने पहले ही साइबर स्पेस के लिए नेटफ्लो का उपयोग करने की संभावनाओं का वर्णन किया है। मुझे आपको याद दिलाना है कि नेटवर्क उपकरण या कच्चे यातायात के लॉग के विपरीत, नेटफ्लो एक प्रोटोकॉल है जो आपको नेटवर्क सत्रों से एकत्र मेटाडेटा द्वारा ट्रैफ़िक का विश्लेषण करने की अनुमति देता है। ये न केवल पते और गंतव्य और स्रोत पोर्ट हैं, बल्कि ICMP, IP सेवा प्रकार, IP प्रोटोकॉल प्रकार, नेटवर्क इंटरफेस, सत्र अवधि, प्रारंभ और समाप्ति समय, आदि के लिए संदेश प्रकार और कोड भी हैं। यदि लॉग आमतौर पर टर्मिनल डिवाइस (उदाहरण के लिए, सर्वर, वर्कस्टेशन और डीबीएमएस) या सुरक्षा के साधनों पर उत्पन्न होते हैं, तो ऐसी स्थिति में क्या करें जहां पूर्व में सुरक्षा कार्यक्रम उत्पन्न नहीं होते हैं या आप उन पर सुरक्षा साधन नहीं डाल सकते हैं,और बाद वाले केवल परिधि पर स्थापित होते हैं और यह नहीं देखते हैं कि कॉर्पोरेट या विभागीय नेटवर्क के अंदर क्या हो रहा है? एक और चीज नेटवर्क उपकरण है - स्विच और राउटर (हार्डवेयर या वर्चुअल), वायरलेस एक्सेस पॉइंट और कंट्रोलर। वे अंदर स्थापित होते हैं और उपयोगकर्ताओं, उपकरणों, अनुप्रयोगों के इंटरैक्शन हमेशा उनके माध्यम से गुजरते हैं। उन्हें पारित करना असंभव है! नेटफ्लो (यहां तक कि सिस्को एएसए या फायरपावर इसे उत्पन्न करता है) के लिए इस इंटरैक्शन के बारे में डेटा संचारित करके, हमें न केवल आईटी, बल्कि साइबर सुरक्षा के लिए जानकारी का एक मूल्यवान स्रोत मिलता है। जहां उपकरण प्रवाह प्रोटोकॉल को नहीं समझते हैं, हम विशेष निर्यातकों, सॉफ़्टवेयर या हार्डवेयर समाधानों का उपयोग कर सकते हैं जो उनके माध्यम से पारित ट्रैफ़िक के लिए स्ट्रीम रिकॉर्ड उत्पन्न करते हैं (सिस्को के साथ, नेटफ्लो जेनरेशन उपकरण याजो उनके माध्यम से (सिस्को, नेटफ्लो जेनरेशन उपकरण या) के माध्यम से पारित यातायात के लिए स्ट्रीम रिकॉर्ड उत्पन्न करते हैंजो उनके माध्यम से (सिस्को, नेटफ्लो जेनरेशन उपकरण या) के माध्यम से पारित यातायात के लिए स्ट्रीम रिकॉर्ड उत्पन्न करते हैंवायरलेस एक्सेस पॉइंट और कंट्रोलर। वे अंदर स्थापित होते हैं और उपयोगकर्ताओं, उपकरणों, अनुप्रयोगों के इंटरैक्शन हमेशा उनके माध्यम से गुजरते हैं। उन्हें पारित करना असंभव है! नेटफ्लो (यहां तक कि सिस्को एएसए या फायरपावर इसे उत्पन्न करता है) के लिए इस इंटरैक्शन के बारे में डेटा संचारित करके, हमें न केवल आईटी, बल्कि साइबर सुरक्षा के लिए जानकारी का एक मूल्यवान स्रोत मिलता है। जहां उपकरण प्रवाह प्रोटोकॉल को नहीं समझते हैं, हम विशेष निर्यातकों, सॉफ़्टवेयर या हार्डवेयर समाधानों का उपयोग कर सकते हैं जो उनके माध्यम से पारित यातायात के लिए प्रवाह रिकॉर्ड उत्पन्न करते हैं (सिस्को के लिए, नेटफ्लो जेनरेशन उपकरण यावायरलेस एक्सेस पॉइंट और कंट्रोलर। वे अंदर स्थापित होते हैं और उपयोगकर्ताओं, उपकरणों, अनुप्रयोगों के इंटरैक्शन हमेशा उनके माध्यम से गुजरते हैं। उन्हें पारित करना असंभव है! नेटफ्लो (यहां तक कि सिस्को एएसए या फायरपावर इसे उत्पन्न करता है) के लिए इस इंटरैक्शन के बारे में डेटा संचारित करके, हमें न केवल आईटी, बल्कि साइबर सुरक्षा के लिए जानकारी का एक मूल्यवान स्रोत मिलता है। जहां उपकरण प्रवाह प्रोटोकॉल को नहीं समझते हैं, हम विशेष निर्यातकों, सॉफ़्टवेयर या हार्डवेयर समाधानों का उपयोग कर सकते हैं जो उनके माध्यम से पारित यातायात के लिए प्रवाह रिकॉर्ड उत्पन्न करते हैं (सिस्को के लिए, नेटफ्लो जेनरेशन उपकरण यानेटफ्लो (यहां तक कि सिस्को एएसए या फायरपावर इसे उत्पन्न करता है) के लिए इस इंटरैक्शन के बारे में डेटा संचारित करके, हमें न केवल आईटी, बल्कि साइबर सुरक्षा के लिए जानकारी का एक मूल्यवान स्रोत मिलता है। जहां उपकरण प्रवाह प्रोटोकॉल को नहीं समझते हैं, हम विशेष निर्यातकों, सॉफ़्टवेयर या हार्डवेयर समाधानों का उपयोग कर सकते हैं जो उनके माध्यम से पारित यातायात के लिए प्रवाह रिकॉर्ड उत्पन्न करते हैं (सिस्को के लिए, नेटफ्लो जेनरेशन उपकरण यानेटफ्लो (यहां तक कि सिस्को एएसए या फायरपावर इसे उत्पन्न करता है) के लिए इस इंटरैक्शन के बारे में डेटा संचारित करके, हमें न केवल आईटी, बल्कि साइबर सुरक्षा के लिए जानकारी का एक मूल्यवान स्रोत मिलता है। जहां उपकरण प्रवाह प्रोटोकॉल को नहीं समझते हैं, हम विशेष निर्यातकों, सॉफ़्टवेयर या हार्डवेयर समाधानों का उपयोग कर सकते हैं जो उनके माध्यम से पारित यातायात के लिए प्रवाह रिकॉर्ड उत्पन्न करते हैं (सिस्को के लिए, नेटफ्लो जेनरेशन उपकरण याजो उनके माध्यम से (सिस्को, नेटफ्लो जेनरेशन उपकरण या) के माध्यम से पारित यातायात के लिए स्ट्रीम रिकॉर्ड उत्पन्न करते हैंजो उनके माध्यम से (सिस्को, नेटफ्लो जेनरेशन उपकरण या) के माध्यम से पारित यातायात के लिए स्ट्रीम रिकॉर्ड उत्पन्न करते हैंStealthwatch फ्लो सेंसर )। Netflow धाराओं, साथ ही मशीन सीखने के तरीकों पर आरोपित विसंगतियों या हस्ताक्षर का पता लगाने के लिए एल्गोरिदम, आपको नेटवर्क ट्रैफ़िक के संदर्भ व्यवहार से विचलन की पहचान करने की अनुमति देता है, जो सूचना सुरक्षा खतरों या आईटी बुनियादी ढांचे के साथ समस्याओं की विशेषता होगी।

यह याद रखने योग्य है कि नेटफ्लो यह नहीं कह सकता है कि नेटवर्क ट्रैफ़िक के अंदर क्या संचारित है (हालाँकि पहले से ही ऐसी तकनीकें हैं जो आपको नेटफ़्लो द्वारा उपयोग किए गए एप्लिकेशन और दुर्भावनापूर्ण कोड को पहचानने की अनुमति देती हैं), इसे अन्य कार्यों के लिए विकसित किया गया था। लेकिन वह बता सकता है कि किसने "बात की" और किसके साथ, कैसे और कितनी देर तक। प्रवाह प्रोटोकॉल के विभिन्न संस्करणों के अस्तित्व के बावजूद, उनमें से अधिकांश आपको निम्नलिखित डेटा एकत्र करने की अनुमति देते हैं:

स्रोत और गंतव्य आईपी पता
स्रोत और गंतव्य बंदरगाह
मसविदा बनाना
सेवा का प्रकार
स्रोत इंटरफ़ेस
टाइमस्टैम्प शुरू और अंत करें
प्रेषित सूचना की मात्रा।

कुछ संस्करणों में, उदाहरण के लिए, आईपीएफआईएक्स या नेटफ्लो वी 9 में, आप डेटा बॉडी से कुछ जानकारी निकाल सकते हैं, जो नेटफ्लो एनालाइज़र (स्टैंड-अलोन या बिल्ट-इन-टू-सीएमईड) को रनिंग एप्लिकेशन की पहचान करने की अनुमति देता है। यह सभी जानकारी अक्सर नेटवर्क ट्रैफ़िक में विसंगतियों या खतरों का पता लगाने के लिए पर्याप्त है।

नेटफ्लो और कोलम्बिया: क्या ताकत है भाई?

क्या होगा यदि लक्ष्य प्रणाली लॉग उत्पन्न नहीं करती है या वे घुसपैठियों द्वारा अक्षम हैं? जब लक्ष्य प्रणाली पर बस कोई सुरक्षा विशेषताएं नहीं होती हैं तो क्या करें, क्योंकि वे प्रोसेसर को लोड करते हैं और सिस्टम को धीमा कर देते हैं? जब कोई कर्मचारी अपने व्यक्तिगत उपकरण को लाता है जो सिएम के लिए वायर्ड नहीं है तो क्या करें? हमारे पास अभी भी सूचना का एकमात्र स्रोत है - नेटवर्क ट्रैफ़िक, जो किसी भी स्थिति में लक्ष्य डिवाइस द्वारा उत्पन्न होता है। नेटवर्क ट्रैफ़िक विश्लेषण (एनटीए) समाधानों का उपयोग करके एक "स्वच्छ" नेटफ्लो की पहचान करने में मदद की जा सकती है, जो कि बिना सीमलेस का विश्लेषण किए हो सकता है? यहाँ इस तरह के खतरों और विसंगतियों की एक छोटी सूची है:

दुर्भावनापूर्ण कोड, रैंसमवेयर और क्रिप्टो खनिक
कमांड सर्वर के साथ बातचीत
नेटवर्क स्कैन
सेवा हमलों का इनकार
गोपनीय जानकारी का चोरी हो जाना
हैकिंग ssh या rdp
torrents और अन्य P2P अनुप्रयोग
,
..

और वे क्या लॉग होते हैं जो आपके एसईएम एकत्रित करते हैं जो आपको देते हैं? नोड्स पर उपयोगकर्ता गतिविधि की निगरानी करने की क्षमता, संसाधनों तक पहुंच, प्रवेश और निकास प्रणाली से, नेटवर्क उपकरण और सुरक्षा उपकरण से अलार्म, और बहुत कुछ। कोलम्बिया में आने वाले लॉग और नेटफ्लो के संयोजन और वहां विश्लेषण करने से आप उन उपकरणों से नए सत्रों और नए ट्रैफ़िक की तुरंत पहचान कर सकते हैं जिनमें उन पर हमला किया गया है, जिसमें आपकी परिधि को भी शामिल किया गया है। इन डेटा प्रकारों को मिलाकर, आप गलत तरीके से कॉन्फ़िगर नेटवर्क सुरक्षा सुविधाओं की पहचान कर सकते हैं। नेटफ्लो पारंपरिक सीआरएम क्षमताओं को नए प्रकार के ट्रैफ़िक, इसके फटने, बाहरी और आंतरिक संसाधनों के साथ बातचीत, डेटा लीक, दुर्भावनापूर्ण कोड वितरण, टीम सर्वर के साथ बातचीत की क्षमता के साथ पूरक करता है।अनुमत प्रोटोकॉल आदि में दुर्भावनापूर्ण भार का एनकैप्सुलेशन।

नेटफ्लो के साथ पारंपरिक रूप से संसाधित सीएमजी डेटा का संयोजन न केवल अधिक विभिन्न सुरक्षा घटनाओं को देखने की अनुमति देता है, बल्कि उन्हें तेजी से देखने के लिए, तथाकथित टीटीडी (टाइम-टू-डिटेक्ट) पैरामीटर को कम करने और, परिणामस्वरूप, प्रतिक्रिया समय। यह स्पष्ट है कि सिएम और नेटफ्लो विश्लेषण एक दूसरे से स्वतंत्र रूप से काम कर सकते हैं और अपना काम अच्छी तरह से कर सकते हैं, लेकिन यह इन दो समाधानों का संयोजन है जो आपको एक synergistic प्रभाव प्राप्त करने की अनुमति देता है।

ट्रैफ़िक व्यवहार के पैटर्न को बदलना संदिग्ध या असामान्य व्यवहार का संकेत दे सकता है। उदाहरण के लिए, इंटरनेट पर अपलोड किए गए डेटा के लिए सीमा से अधिक होने पर रिसाव का संकेत हो सकता है। RFC के साथ तुलना में DNS प्रश्नों और प्रतिक्रियाओं के आकार में परिवर्तन, दुर्भावनापूर्ण कोड के संचालन के तथ्य को चिह्नित कर सकता है (सिस्को के आंकड़ों के अनुसार, 92% मैलवेयर कमांड प्राप्त करने, डेटा डाउनलोड करने या अपडेट डाउनलोड करने के लिए DNS का उपयोग करते हैं)। इक्विफैक्स वाली कहानी याद है? तब हमलावर वेब-पोर्टल तक पहुंचने में सक्षम थे, और फिर आंतरिक डेटाबेस सर्वरों में, धीरे-धीरे बड़ी मात्रा में डेटा को बाहर तक अपलोड कर रहे थे। अलग-अलग, ये सभी आयोजन बहुत रुचि के नहीं थे और केवल एक साथ इकट्ठा हुए और नेटफ्लो डेटा के साथ समृद्ध हुए, उन्होंने सूचना सुरक्षा घटनाओं की पहचान करने की अनुमति दी। यह Netflow विश्लेषण प्रणालियों के लिए एक और मामला है,जो दोनों वेब पोर्टल के गैर-मानक व्यवहार का पता लगा सकता है जिसमें से डेटाबेस में क्वेरी को बारंबार किया जाता है, और डेटाबेस जो अचानक पोर्टल को बहुत अधिक डेटा देते हैं। मैं पहले से हीइस परिदृश्य का वर्णन हैबर पर पहले किया गया था। घटना से अधिक प्रभावी ढंग से प्रतिक्रिया देने के लिए, आईईएमयू, आईटीयू, प्रॉक्सिस, एंटीवायरस, ईडीआर, आदि द्वारा उत्पन्न घटनाओं के लिए एक अतिरिक्त संदर्भ प्राप्त कर सकते हैं।

एक और उदाहरण। अज्ञात हमलों का पता लगाना जिसके लिए घुसपैठ का पता लगाने वाले सिस्टम में हस्ताक्षर नहीं हैं - नेटवर्क की विसंगतियों और मेजबानों से घटनाओं के साथ-साथ ट्रिगर्स के ट्रिगर के कारण। उदाहरण के लिए, 3 मिनट में 100 नोड्स स्कैन करना दुर्भावनापूर्ण कोड के संचालन को चिह्नित कर सकता है जो इसके ब्रिजहेड का विस्तार करता है। सर्वर से प्रतिक्रिया समय में वृद्धि इसके खिलाफ DDoS हमले को चिह्नित कर सकती है, और उदाहरण के लिए, DNS प्रोटोकॉल के माध्यम से प्राप्त और भेजी जाने वाली जानकारी की एक बेमेल डेटा लीक का संकेत दे सकती है। यह एक ऐसा मामला है जिसे हमने पहले ही देखा था जब मैंने DNSpionage अभियान खोजने की बात की थी। उसी समय, आप यह नोट कर सकते हैं कि एक मामले में हमने केवल नेटफ्लो का विश्लेषण किया, और दूसरे में , हमने टर्मिनल डिवाइस, सैंडबॉक्स, एक डीएनएस गेटवे, आदि से भी डेटा एकत्र किया।

एक और क्षेत्र जहां सीमांत को नेटफ्लो को एकीकृत करने में मदद मिल सकती है, वह है व्यावसायिक जागरूकता। लॉग, संदर्भ, जियोलोकेशन जानकारी, उपयोगकर्ता गतिविधि, प्रतिष्ठा डेटा के साथ प्रवाह का सहसंबंध। उदाहरण के लिए, पिछले एक नोट में, मैंने ईरान या उत्तर कोरिया के नोड्स के साथ आंतरिक यातायात का पता लगाने के मामले का हवाला दिया। यदि आपके पास इन देशों के साथ संपर्क नहीं है, तो शायद यह दुर्भावनापूर्ण कोड चोरी करने वाली जानकारी का संकेत है, या सरकार के समर्थक हैकर्स इस कंपनी को लक्षित कर रहे हैं। एक नेटवर्क विसंगति विश्लेषण प्रणाली संबंधित विसंगति की पहचान करके इस कार्य को कर सकती है। लेकिन अगर आप यह भी समझना चाहते हैं कि इस घटना में कौन सा उपयोगकर्ता शामिल था, तो आपको सक्रिय निर्देशिका से उपयोगकर्ता नाम के रूप में अतिरिक्त संदर्भ की आवश्यकता होगी।नेटफ्लो स्वयं इस जानकारी पर काम नहीं करता है - इसलिए हमें इसे AD से जानकारी के साथ समृद्ध करने की आवश्यकता है। यदि तुम प्रयोग करते होसिस्को Stealthwatch , इसके लिए आपको सिस्को ISE के साथ इसे एकीकृत करने की आवश्यकता है , जो विशिष्ट उपयोगकर्ताओं और डिवाइस प्रोफाइल के साथ आईपी और मैक पते को लिंक करेगा। यदि सिस्को ISE नेटवर्क पर तैनात नहीं है तो क्या होगा? नेटफ्लो को उपयोगकर्ता की जानकारी के साथ समृद्ध करने का कार्य, डब्लूडीएम की जिम्मेदारी है।

एक और उदाहरण। मेरे पास अपने कंप्यूटर पर चलने वाली एक वेब साइट है जो कई कार्यों के लिए उपयोग की जाती है। लेकिन कितने सामान्य उपयोगकर्ता एक ही दावा कर सकते हैं? उपयोगकर्ता कंप्यूटर से वेब सर्वर के संचालन में निहित ट्रैफ़िक को अचानक पकड़ लेते हैं? या उस खंड में जहां विंडोज पीसी पर काम करने वाले उपयोगकर्ता स्थित हैं, आपको अचानक लिनक्स ओएस में निहित ट्रैफिक दिखाई देता है। शायद इस "काम" उपयोगकर्ता ने लिनक्स के साथ एक वर्चुअल मशीन को उठाने का फैसला किया, जिससे सुरक्षा नीति का उल्लंघन हो रहा है? और आप इस तरह से रिमोट एक्सेस के लिए उपयोगिताओं की पहचान भी कर सकते हैं (उदाहरण के लिए, आरएटी), क्रिप्टोमिनर्स, क्लाउड या पीयर-टू-पीयर एप्लिकेशन, आदि।

यदि आप सिंगल-वेंडर दृष्टिकोण के प्रस्तावक हैं, तो सिस्को समाधानों पर आधारित एक सुरक्षा प्रणाली का निर्माण, कोलम्बिया पर आपकी निर्भरता को कम करेगा - फायरवॉल, ईमेल सुरक्षा, एक सैंडबॉक्स, एक पीसी सुरक्षा समाधान ( एंडपॉइंट के लिए सिस्को एएमपीपी ) सहित सभी सिस्को समाधान और आदि। सीधे आपस में डेटा, संदर्भ, सुरक्षा घटनाओं, आदेशों का आदान-प्रदान कर सकते हैं। लेकिन अगर आपके इंफ्रास्ट्रक्चर को विभिन्न निर्माताओं से कई अलग-अलग समाधान विरासत में मिले हैं, तो सीएमजी वह लिंक होगा जो विभिन्न उत्पादों के चिड़ियाघर से एक पूर्ण समाधान बनाने में मदद करेगा। किसी भी स्थिति में, मौजूदा नेटवर्क के बुनियादी ढांचे से एकत्र किए गए नेटवर्क ट्रैफ़िक का विश्लेषण, उस डेटा के साथ संयुक्त होता है जो आमतौर पर सीएमजी एकत्र करता है, ~~क्षितिज का~~ विस्तार करता ~~है।~~आईएस सेवा की क्षमता अधिक देखने और तेजी से प्रतिक्रिया करने की है।

सिएम में नेटफ्लो का उपयोग करने के लाभ:

एप्लिकेशन और पीसी / सर्वर के स्तर से एकत्र की गई सूचना सुरक्षा पर अन्य जानकारी के साथ नेटवर्क गतिविधि का सहसंबंध
निगरानी करने की क्षमता जहां गोपनीयता कानूनों के उल्लंघन के उच्च जोखिम हैं (उदाहरण के लिए, जीडीपीआर) और आप नेटवर्क ट्रैफ़िक के केवल हेडर या मेटाडेटा का विश्लेषण कर सकते हैं, और इसकी सामग्री नहीं
किसी घटना या लक्षित हमलों के विकास के पहले चरणों की विशेषता वाली विसंगतियों का पता लगाना
घटना को चिह्नित करने वाले विभिन्न डेटा का संग्रह और भंडारण, और उन्हें आईएस प्रवर्तन या कानून प्रवर्तन एजेंसियों के साथ बातचीत के हिस्से के रूप में प्रदान करता है।

चांदी की गोली?

लेकिन यह मत सोचो कि Netflow चांदी की गोली है जिसे हर कोई इतने लंबे समय से देख रहा है। इसके नुकसान भी हैं। उदाहरण के लिए, इसका प्रसंस्करण पुराने या गलत तरीके से चयनित नेटवर्क उपकरणों के प्रोसेसर और मेमोरी को लोड कर सकता है और इससे इसके प्रदर्शन और नेटवर्क बैंडविड्थ पर प्रतिकूल प्रभाव पड़ सकता है। नेटफ्लो के साथ प्रभावी ढंग से काम करने के लिए, आपको इसके हार्डवेयर समर्थन या तथाकथित निर्यातकों के उपयोग की आवश्यकता हो सकती है, जो स्वयं के माध्यम से ट्रैफ़िक पास करके इसे नेटफ़्लो में बदल देंगे (जिन्होंने स्विच किए गए नेटवर्क में आईडीएस / सीओबी की शुरूआत का सामना किया है, एक समान कार्य के लिए तथाकथित टेप या स्प्लिटर का उपयोग किया है। ) मैंने पहले ही ऐसे बाहरी समाधानों के दो उदाहरण दिए हैं - सिस्को स्टील्थवॉच फ्लो सेंसरऔर सिस्को नेटफ्लो जेनरेशन उपकरण। हालांकि, नेटवर्क के हाल के आधुनिकीकरण को देखते हुए, यह माना जा सकता है कि आपके स्विच और राउटर पहले से ही नेटफ्लो के एक या दूसरे संस्करण का समर्थन करते हैं और आपको किसी भी अतिरिक्त निर्यातकों की आवश्यकता नहीं होगी।

जानने के लायक अन्य नेटफ्लो सुविधाओं में शामिल हैं:

झूठी सकारात्मकता जो विश्लेषण प्रणाली के गलत या अपर्याप्त प्रशिक्षण से जुड़ी हो सकती है, साथ ही साथ आईटी संचालन में बदलाव के साथ, जिसके बारे में विश्लेषण प्रणाली अभी तक "सूचित" नहीं हुई है
प्रदर्शन कम हो गया और इसका असर एमएमजी स्टोरेज पर पड़ा (हम आगे भी इस बारे में बात करेंगे)
नेटफ्लो के माध्यम से एकत्र मेटाडेटा हमेशा एक पूर्ण जांच की अनुमति नहीं देता है, जिसे पीसीएपी प्रारूप में कच्चे यातायात की आवश्यकता हो सकती है।

Netflow के साथ सिएम एकीकरण विकल्प

बाजार में आज कौन से सर्ज नेटवर्क ट्रैफिक के साथ काम करते हैं? मुझे कहना होगा कि लगभग सब कुछ, लेकिन अलग-अलग तरीकों से और अक्सर इसके लिए एक अलग भुगतान लाइसेंस की आवश्यकता होती है, जो बदले में, विकल्प में भी विभाजित होता है। मैं कोलम्बिया में नेटफ्लो के विश्लेषण के लिए तीन विकल्पों पर प्रकाश डालूंगा:

में निर्मित सहयोग में Netflow के लिए सहयोग
खुद के निर्यातकों / सेंसर नेटफ्लो पैदा करने और सिएमएम को प्रेषित करने के लिए
नेटवर्क ट्रैफ़िक विश्लेषण (एनटीए) वर्ग के बाहरी समाधान के साथ सीएमजी एकीकरण।

एकीकृत नेटफ्लो समर्थन के साथ सिएम

उदाहरण के लिए, माइक्रोफ़ोकस आर्कसाइट, जो सोवियत-सोवियत के बाद के स्थान में काफी लोकप्रिय है, में नेटफ्लो के लिए अंतर्निहित समर्थन है। इस सुविधा की अनुमति देता है कि कोलम्बिया मक्खी पर अन्य सुरक्षा घटनाओं के साथ नेटवर्क प्रवाह को सहसंबंधित करता है या उन्हें थ्रेट इंटेलिजेंस स्रोतों से डेटा के साथ समृद्ध करता है। हालाँकि, इस विकल्प की कमियां हैं, अर्थात्:

-, , . ( , « », )?
-, Netflow SIEM, Netflow . ? SIEM , , , ? - «» Netflow ?

-, . ? VPN- ( ).
-, Netflow SIEM FPS ?
, , flow- (. ). Netflow, SIEM. Netflow — v5, , v9, IPv6, MPLS . Flexible Netflow ( Netflow v9), IPFIX, Netflow v10, sFlow, , , , NetStream, Jflow .. SIEM?

यदि आप केवल कोलम्बिया की पसंद का सामना कर रहे हैं, तो विचाराधीन मापदंडों की सूची में भी शामिल करें, नेटफ्लो का प्रकार, जो आपके उपकरण द्वारा उत्पन्न होता है। यदि आपने पहले से ही CRM खरीदा है, तो आपके पास ज्यादा विकल्प नहीं हैं। इस मामले में, आपको निम्नलिखित विकल्पों पर विचार करना चाहिए:

एक अलग आईएस नेटवर्क विसंगति विश्लेषक (उदाहरण के लिए, सिस्को स्टेलवॉच), जो अपने आप ही संपूर्ण विश्लेषण करेगा, और अपने परिणामों को कोलम्बिया को देगा।
अलग-अलग नेटफ्लो कलेक्टर, जो नेटवर्क प्रवाह पर सिएम सारांश विश्लेषण के लिए प्रस्तुत करने में सक्षम होगा, और सिएमग पहले से ही इस डेटा का विश्लेषण करेगा।

ग्राम में कितना लटका है, अर्थात् बाइट्स में संग्रहीत किया जाता है?

वैसे, इससे पहले कि हम नेटफ्लो को कोलम्बिया के साथ एकीकृत करने के लिए अगले विकल्प पर आगे बढ़ें, यह सवाल पर छूने का समय है, हम अपने सुरक्षा घटना विश्लेषण प्रणाली में कितना नेटफ्लो डेटा प्राप्त करेंगे? उपचार या नियमित लॉग के लिए, ईपीएस (प्रति सेकंड ईवेंट) पर काफी संख्या में उदाहरण और आंकड़े हैं। एफपीएस (प्रति सेकंड प्रवाह) पर बहुत अधिक डेटा नहीं है। नेटफ्लो की औसत मात्रा आपके नेटवर्क पर क्लाइंट डिवाइस और सर्वर द्वारा बनाई गई अद्वितीय टीसीपी / यूडीपी सॉकेट की संख्या के सीधे आनुपातिक है, जो कि केस से केस में काफी भिन्न हो सकती है। और नमूनाकरण (यानी, नेटफ्लो डेटा का चयनात्मक हस्तांतरण) का समावेश भी डेटा की कुल मात्रा को प्रभावित करता है।

तो हम कितने एफपीएस उत्पन्न कर सकते हैं? बेशक, यह स्थिति पर बहुत कुछ निर्भर करता है, लेकिन मैं कहूंगा कि एक नियमित कार्य केंद्र के लिए यह संख्या औसतन, 1.5 एफपीएस और 6 एफपीएस चरम भार पर है। दूसरे शब्दों में, यदि आपके नेटवर्क में 10 हजार नोड हैं और उनमें से प्रत्येक के लिए औसत एफपीएस 4 है, तो नेटवर्क लगभग 40 हजार प्रवाह प्रति सेकंड उत्पन्न करता है। इतना क्यों? जैसा कि मैंने ऊपर लिखा है, यह इस बात पर निर्भर करता है कि आपके एप्लिकेशन या आपके नेटवर्क से कितने अनूठे कनेक्शन हैं। आज, उपयोगकर्ताओं के कंप्यूटर पर बहुत सारे "गपशप" कार्यक्रम चल रहे हैं, जो या तो इंटरनेट से सामग्री को सक्रिय रूप से लोड करते हैं, जैसे कि ब्राउज़र, या लगातार अपडेट की जांच करते हैं, जैसे एंटीवायरस। यहां सॉफ्टवेयर और सेवाओं की एक नमूना सूची दी गई है जो सक्रिय रूप से नेटवर्क पर एफपीएस की संख्या बढ़ा रहे हैं:

एडोब, एंटीवायरस, जावा
स्काइप
ईमेल क्लाइंट
NetBIOS
ब्राउज़रों
फ़ीड-उन्मुख एप्लिकेशन (ट्विटर, समाचार, टेलीग्राम, आदि)।

एक अधिक सटीक उत्तर आपको नेटवर्क सेगमेंट में नेटफ्लो के विश्लेषण की आवश्यकता बताएगा, जो कि नेटवर्क डिवाइस (निर्माता पर निर्भर करता है) पर सिर्फ एक कमांड के साथ किया जाता है।

एक Netflow v5 रिकॉर्ड की लंबाई 48 बाइट्स है। नेटफ्लो के 9 वें संस्करण के लिए, ऐसा सटीक आंकड़ा मौजूद नहीं है, क्योंकि यह संस्करण आपको यह वर्णन करने की अनुमति देता है कि आप रिकॉर्ड में क्या शामिल करेंगे और इसलिए इसकी लंबाई बहुत भिन्न हो सकती है। लेकिन अगर, बहुत मोटे तौर पर, हम एक स्ट्रीम रिकॉर्ड की औसत लंबाई (और प्रत्येक नेटवर्क पैकेट 20-30 स्ट्रीम उत्पन्न कर सकते हैं) के लिए 100 बाइट्स लेते हैं, तो हम अनुमान लगा सकते हैं कि कितना डेटा उत्पन्न होगा और एसईएम में स्थानांतरित किया जाएगा। इसी समय, इस डेटा के लिए CRM संग्रहण वॉल्यूम बड़ा हो सकता है (यह संग्रहण प्रारूप, अनुक्रमण, संपीड़न, बैकअप, आदि पर निर्भर करेगा)। वैसे, जब एफपीएस की संख्या की गणना करते हैं, तो याद रखें कि DDoS हमले की रूपरेखा में, "औसत एफपीएस" की अवधारणा काम नहीं करती है, प्रत्येक कनेक्शन के बाद से, प्रत्येक टीसीपी SYN पैकेट एक अलग स्ट्रीम होगा, और एक शक्तिशाली DDoS हमले के साथ, एफपीएस की संख्या। आपकी चोटी बहुत बड़ी होगी।

मैंने ऊपर उल्लेख किया है कि नेटफ्लो को केंद्रीय सिएम में स्थानांतरित करने के मामले में, आपको इंटरनेट के माध्यम से इसे "ड्राइव" करना होगा। ऐसा मत सोचो कि नेटफ्लो की पीढ़ी नेटवर्क पर एक बड़ा भार पैदा करेगी और इसकी बैंडविड्थ को कम करेगी। हमारे शोध के अनुसार, चूंकि केवल हेडिंग जानकारी और अतिरिक्त टेलीमेट्री नेटफ्लो में संचारित होती है, न कि पूरे डेटा बॉडी में, लोड लगभग 1-2% तक बढ़ जाएगा, जिस इंटरफेस से नेटवर्क टेलीमेट्री निर्यात की जाती है (वास्तव में, नमूने और आधुनिक प्रोटोकॉल संस्करणों का उपयोग करके) नेटफ्लो यह मान परिमाण के एक क्रम से भी कम हो सकता है और 0.1% के स्तर पर भिन्न हो सकता है)।

लीजिए विश्लेषण नहीं किया जा सकता

लेकिन मान लीजिए कि आपने अभी भी अपने सेग्मेंट पर कच्चा नेटफ्लो लाने का फैसला किया है। इस परिदृश्य में एक और अति सूक्ष्म अंतर है। यह समझना बहुत महत्वपूर्ण है कि कोलम्बिया में नेटफ्लो समर्थन होना पर्याप्त नहीं है; सुरक्षा के दृष्टिकोण से इस नेटफ्लो को संभालने में सक्षम होना बेहद जरूरी है, यानी नए प्रकार के हमलों के लिए बनाए गए नेटफ्लो धाराओं का विश्लेषण और सहसंबंध बनाने के नियम हैं। मान लीजिए कि Netflow हमें यह तस्वीर देता है:

हम SSH प्रोटोकॉल में उछाल देखते हैं। वास्तव में, हम अब आरडीपी प्रोटोकॉल पर हमलों के साथ एक ही तस्वीर देख रहे हैं। यह पासवर्ड अनुमान है। लेकिन यह केवल इस शर्त पर प्रकट किया जा सकता है कि हमारे पास एक समान नियम है, जो कई नेटफ्लो धाराओं से एक घटना "पासवर्ड मिलान" एकत्र करेगा। तब हम कह सकते हैं कि सिएम में बिल्ट-इन नेटफ्लो सपोर्ट है और सुरक्षा के दृष्टिकोण से इसका विश्लेषण कर सकते हैं। इसलिए, इस रास्ते को चुनते हुए, आपको विक्रेता से पूछना चाहिए कि नेटफ्लो में "आउट ऑफ द बॉक्स" के रूप में सिएम का क्या विश्लेषण किया जा सकता है और, यदि कुछ भी नहीं, तो श्रमसाध्य अपने खुद के नेटफ्लो प्रोसेसर का वर्णन करने की प्रक्रिया क्या है और क्या आपके पास कोई विशेषज्ञ है जो यह करेगा? हम अच्छी तरह से जानते हैं कि Netflow के लिए एक कनेक्टर लिखना इतना मुश्किल नहीं है, इसे संसाधित करने और इसमें विसंगतियों की पहचान करने के नियमों के विपरीत, जिन्हें लगातार काम करने की आवश्यकता होती है।यह आपके IDS (Snort, Zeek या Suricata) के लिए किसी और के इंजन की नकल करने के बारे में है, लेकिन नए खोज किए गए कारनामों और निरंतर आधार पर हमलों के लिए हस्ताक्षर लिखने में सक्षम नहीं है। ऊपर दिए गए उदाहरण में, सिस्टम को स्वयं SSH पर ट्रैफ़िक में वृद्धि को पहचानना चाहिए और स्वयं से यह कहना चाहिए कि ये SSH (या टेलनेट, या RDP, या FTP) पर "पासवर्ड अनुमान" हमले हैं। यह इस तरह दिख सकता है (उदाहरण के लिएसिस्को स्टील्थवॉच एंटरप्राइज ):

और फिर आप इस घटना की गहराई से जांच कर सकते हैं, या तो कोलम्बिया या एक अलग नेटफ्लो विश्लेषण उपकरण द्वारा प्रदान की गई क्षमताओं का उपयोग कर। सूचना सुरक्षा के संदर्भ में नेटफ्लो को "समझने" की क्षमता के बिना, नेटफ्लो के लिए अंतर्निहित समर्थन की उपस्थिति, एम्स्टर्डम के लिए एक संदिग्ध लाभ है।

अपने स्वयं के नेटफ्लो निर्यातक के साथ सिएम

एक अन्य खिलाड़ी, जो कि CRM बाजार में है, LogRhythm, बदले में, NetMon धाराओं का एक अतिरिक्त निर्यातक प्रदान करता है, जो एक वितरित अवसंरचना में उपयोगी हो सकता है, साथ ही एक नेटवर्क में जिसका उपकरण नेटफ्लो का समर्थन नहीं करता है और इसके लिए गुजरने वाले नेटवर्क के लिए एक अलग नेटफ्लो जनरेटर की आवश्यकता होती है। वास्तव में, इस अवतार में, CRM निर्माता नेटवर्क विक्रेताओं के कार्यों को लेता है, Netflow उत्पन्न करने के लिए एक समाधान विकसित करता है और RM पर लोड को कम करता है, जो कच्चे Netflow को संसाधित करने और संग्रहीत करने की आवश्यकता को समाप्त करता है। स्थिति कई नई पीढ़ी के फायरवॉल पर एसएसएल ऑफलोड के समर्थन के समान है। हां, यह वहां मौजूद है, लेकिन HTTPS ट्रैफिक के गहन आदान-प्रदान के साथ, NGFW पर अतिरिक्त भार से इसके थ्रूपुट में महत्वपूर्ण कमी आती है।इसलिए, अत्यधिक भरी हुई आर्किटेक्चर में, इस कार्य के लिए एक अलग उपकरण आमतौर पर आवंटित किया जाता है, जो एसएसएल ट्रैफिक को डिक्रिप्ट करने और फिर इसे एनजीएफडब्ल्यू को वापस करने का काम करता है। यही बात इस परिदृश्य में कोलम्बस नेटफ्लो प्रोसेसिंग के साथ भी होती है।

यह स्पष्ट है कि इस परिदृश्य में भी एक खामी है - समाधान की अंतिम कीमत में वृद्धि, चूंकि विश्लेषण किए गए एफपीएस की संख्या के लिए लाइसेंस का भुगतान करने के अलावा, आपको अतिरिक्त सेंसर के लिए भी भुगतान करना होगा जो ट्रैफ़िक को स्वयं से गुजरेंगे और नेटफ्लो उत्पन्न करेंगे। इसके अलावा, आपको नेटवर्क आर्किटेक्चर में बदलाव करने की आवश्यकता होगी, लेकिन यह वैसे भी करना होगा, इसलिए मैं इसे कमियां नहीं कहूंगा, लेकिन इस परिदृश्य की एक विशेषता है। यदि आपके नेटवर्क उपकरण को नेटफ्लो उत्पन्न करने का तरीका नहीं पता है, और आप नेटवर्क विसंगतियों का विश्लेषण करना चाहते हैं, तो ऐसा करने का एकमात्र विकल्प अलग-अलग सेंसर का उपयोग करना है। एकमात्र सवाल यह है कि क्या सस्ता होगा - सिएम निर्माता से सेंसर खरीदें या नेटवर्क निर्माताओं से सेंसर का उपयोग करें (उदाहरण के लिए, सिस्को नेटफ्लो जेनरेशन उपकरण) या नेटवर्क विसंगति विश्लेषण उपकरण के डेवलपर्स (उदाहरण के लिए)सिस्को Stealthwatch एंटरप्राइज फ्लो सेंसर)। इस विकल्प में, यह पता लगाना भी सार्थक है कि क्या सूचना सूचना सुरक्षा के दृष्टिकोण से सिएम नेटफ्लो का विश्लेषण करने में सक्षम है, या क्या उसके पास बस निर्यातकों / सेंसर के रूप में कनेक्टर्स हैं (आमतौर पर यह हो सकता है)?

SIEM, NTA

तीसरा विकल्प, एनटीए वर्ग समाधानों के साथ एकीकरण, काफी स्पष्ट है, क्योंकि वास्तव में, एनटीए एनजीएफडब्ल्यू, एंटीवायरस, सुरक्षा स्कैनर, आईपीएस, आदि के समान सुरक्षा घटना जनरेटर है। हालाँकि, यह परिदृश्य इस मायने में दिलचस्प है कि आपके पास दो सुरक्षा विश्लेषण उपकरण हैं, लेकिन आप उनके साथ अलग से काम कर सकते हैं। NTA आपको नेटवर्क ट्रैफ़िक का गहन विश्लेषण करने देता है, दुर्भावनापूर्ण कोड का पता लगाता है, DDoS हमलों, सूचना लीक, दूरस्थ उपयोगकर्ताओं की निगरानी करता है ... साथ ही, एक अच्छा नेटवर्क ट्रैफ़िक विश्लेषण उपकरण आपको उन सेगमेंट में अलग-अलग सेंसर का उपयोग करने की भी अनुमति देता है, जहाँ नेटवर्क नेटफ़्लो या इसके समर्थन में सहायता नहीं करता है समावेशन नेटवर्क उपकरण पर लोड में वृद्धि की ओर जाता है। इस परिदृश्य में एनटीए आपको नेटफ़्लो (इसके विभिन्न संस्करणों में) को एकत्रित करने, प्रक्रिया करने, विश्लेषण करने की अनुमति देता है,और एक या किसी अन्य दुर्भावनापूर्ण गतिविधि का पता लगाने के तथ्य पर, CRM केवल CRM को अलार्म देता है। जाहिर है, यह विकल्प भी उपयोग करने के लिए समझ में आता है जब आपके या आपके आईटी कर्मचारियों के पास नेटवर्क समस्या निवारण के लिए पहले से ही एनटीए वर्ग समाधान होता है और इसका उपयोग नेटवर्क सुरक्षा कार्यों के लिए भी किया जा सकता है। या जब, इसके विपरीत, आप अपने नेटवर्क के साथ एनटीए समाधान के लिए खर्चों को साझा करना चाहते हैं, जो इसका उपयोग अपने कार्यों के लिए करेंगे, और आप अपने लिए।जो इसे अपने कार्यों के लिए उपयोग करेंगे, और आप अपने लिए।जो इसे अपने कार्यों के लिए उपयोग करेंगे, और आप अपने लिए।

इस विकल्प का नुकसान एक एनटीए वर्ग समाधान की अतिरिक्त लागत है, साथ ही दो अलग-अलग समाधानों के साथ काम करने की मूल बातें में विशेषज्ञों के दोहरे प्रशिक्षण की आवश्यकता है। लेकिन दूसरी ओर, नेटवर्क ट्रैफ़िक का विश्लेषण करने के लिए एक अलग समाधान अंतर्निहित घटना के साथ एक एकल के साथ गहरी घटना की जांच के लिए अनुमति देगा, नेटफ्लो समर्थन के साथ और अधिक लचीले अनुप्रयोगों की तुलना में और अधिक निर्माता के साथ है, जिनके पास नेटफ्लो सेंसर हैं। लेकिन यह याद रखने योग्य है कि जब हम एनटीए वर्ग के एक अलग समाधान के बारे में बात करते हैं, तो मेरा मतलब सुरक्षा समाधान है, न कि केवल नेटवर्क ट्रैफ़िक का विश्लेषण करने या नेटवर्क प्रदर्शन की निगरानी करने के लिए एक उपकरण। उदाहरण के लिए, पहले से ही वर्णित SolarWinds NTA आईटी कार्यों का समर्थन करने के लिए नेटवर्क ट्रैफ़िक का अच्छी तरह से विश्लेषण करता है, लेकिन यह सुरक्षा उद्देश्यों के लिए बहुत खराब करता है।वही InfoVista से 5View या Fluke से Visual TruView के लिए जाता है। और एक ही, उदाहरण के लिए,Cisco Stealthwatch Enterprise का उपयोग कंपनी में दोनों द्वारा किया जा सकता है।

चुनने पर क्या देखना है?

जब सुरक्षा उद्देश्यों के लिए एनटीए समाधान चुनते हैं, साथ ही नेटफ्लो समर्थन के साथ डिएगो या सिएम विक्रेताओं द्वारा प्रदान किए गए निर्यातकों / सेंसर का विश्लेषण करते हैं, तो मैं निम्नलिखित मानदंडों पर ध्यान देने की सलाह दूंगा:

पता लगाने योग्य दुर्भावनापूर्ण गतिविधि के प्रकार। आप सूचना सुरक्षा की निगरानी के लिए एक उपकरण लेते हैं; यह मानना तर्कसंगत है कि यह सूचना सुरक्षा से संबंधित विभिन्न विसंगतियों और खतरों की पहचान करने में सक्षम होना चाहिए "बॉक्स से बाहर"। इसके अलावा, इस पैरामीटर को तीन भागों में विभाजित किया गया है - विभिन्न प्रकार की सूचना सुरक्षा खतरों का पता लगाने, कस्टम हैंडलर / नियम लिखने और खतरों के बारे में डेटा के साथ विश्लेषण किए गए प्रवाह को समृद्ध करने के लिए थ्रेट इंटेलिजेंस के बाहरी स्रोतों का समर्थन करने के लिए अंतर्निहित एल्गोरिदम।
Netflow. , , .
. , 1 ( FPS)? 60 FPS, NTA 40 , , , , , 80 FPS.
. , flat, … , . , . . , (, , Argus, Fluke, Plixer, Riverbed SolarWinds), , . , . , ; , . , , Cisco Stealthwatch.
. , , , , . — NTA. , Cisco nfdump OSU FlowTools Lancope, .
. , - . :
- /
- flow cache ( cash flow :-)
- . MAC-, VLAN, MPLS, TCP, , , , , ( IPFIX ).
. Netflow SIEM, SIEM NTA . , , (, ) REST API, syslog ..

अगर यह एक सवाल था कि क्या चाहे जो भी हो, सीएमआर की परवाह किए बिना, तो मैं खतरे के शिकार अवसरों की ओर देखने की सलाह दूंगा जो चुना गया समाधान प्रदान करता है। लेकिन चूंकि नोट के विषय को थोड़ा अलग चुना गया था, इसलिए हम अब इस पहलू पर ध्यान नहीं देंगे।

मूल्य का मुद्दा

यदि आप इन तीन विकल्पों को उनकी लागत के दृष्टिकोण से देखते हैं, तो तीसरा विकल्प पूंजी व्यय के दृष्टिकोण से सबसे महंगा होगा (सभी तीन परिदृश्यों में नेटफ्लो विश्लेषण के लिए समान क्षमताओं के अधीन)। यह समझने योग्य है। कोलम्बिया की लागत के अलावा, आपको नेटवर्क ट्रैफ़िक के विश्लेषण के लिए एक अलग समाधान की आवश्यकता होगी, जिसमें कम से कम एक नियंत्रण प्रणाली और विभिन्न निर्यातकों / सेंसर से नेटफ़्लो एकत्र करने वाले कलेक्टरों की आवश्यक संख्या शामिल होगी। दूसरी ओर, चाहे आप नए निर्यातकों / सेंसर के साथ अपने नेटवर्क के कवरेज का कितना भी विस्तार क्यों न करें, लेकिन इससे पहले से ही संसाधित किए गए अलार्म के साथ काम नहीं करेंगे, और कच्चे नेटफ्लो धाराओं के साथ काम नहीं करेंगे, क्योंकि यह कॉम्बो और बुनियादी ढांचे की लागत को प्रभावित नहीं करेगा। जो (संकेत) परिमाण के कई क्रम कम होंगे।

पहला विकल्प इसकी कीमत के दृष्टिकोण से सबसे आकर्षक लग रहा है, क्योंकि हमें विश्लेषकों और एनटीए प्रशासकों के प्रशिक्षण के लिए, या अतिरिक्त निर्यातकों / सेंसर के लिए अतिरिक्त भुगतान करने की आवश्यकता नहीं है; पता है, Netflow धाराओं को CRM और सभी में स्थानांतरित करें। हालांकि, सिएम के लिए बुनियादी ढांचे की लागत में काफी वृद्धि होगी, क्योंकि आपको कच्चे नेटफ्लो धाराओं को स्टोर करना होगा, जिसके लिए आपके मौजूदा भंडारण का विस्तार करना होगा। दूसरा विकल्प दोनों चरम सीमाओं के बीच मध्यवर्ती है, दोनों नेटफ्लो विश्लेषण क्षमताओं के संदर्भ में और लागत के संदर्भ में। किसी भी मामले में, पहले दो विकल्पों में, यह सीएमजी निर्माता के साथ चुनौतियों के आधार पर समाधान के स्वामित्व की कुल लागत के साथ-साथ वर्तमान और अपेक्षित एफपीएस की जांच के लायक है और, परिणामस्वरूप, कोलम्बिया के लिए लाइसेंस की लागत में परिवर्तन और इसके लिए भंडारण। उदाहरण के लिएNetRflow विश्लेषण के लिए LogRhythm और उसके सबसिस्टम। इसके कार्यान्वयन के लिए कम से कम तीन विकल्प हैं और, परिणामस्वरूप, मूल्य निर्धारण। सबसे छोटा विकल्प, फ्रीमियम केवल सिएम को अलार्म भेज सकता है, बैंडविड्थ 1 जीबी / एस से अधिक नहीं हो सकता है, भंडारण क्षमता केवल 1 जीबी है (यह नमूने के बिना नेटफ्लो भंडारण का एक दिन है), सूचकांक भंडारण अवधि 3 दिनों से अधिक नहीं है और अतिरिक्त डेटा स्रोतों के साथ कोई संबंध नहीं है, और समर्थन केवल ऑनलाइन और समुदाय के माध्यम से काम करता है। अगले संस्करण में, नेटमॉन, संकेतक बेहतर हैं (सभी निर्यातकों के लिए 10 जीबी / एस तक बैंडविड्थ, भंडारण असीमित है, सूचकांक एक महीने तक संग्रहीत किया जाता है, लेकिन अन्य स्रोतों के साथ कोई संबंध नहीं है)। और केवल NetworkXDR के प्रीमियम संस्करण में आपके पास कोई प्रतिबंध नहीं है, लेकिन यह "मॉस्को सड़कों का एक किलोमीटर" के रूप में खड़ा है, अर्थात, सस्ता नहीं है।

एक परियोजना में, हमें इस तथ्य का सामना करना पड़ा कि 1 टीबी के नेटवर्क टेलीमेट्री की दैनिक मात्रा के साथ और निर्मित नेटफ्लो समर्थन के साथ इसे सिएम में भेजना, समाधान की कुल लागत लगभग 600 हजार अमेरिकी डॉलर (पाठ्यक्रम में अगली छलांग से पहले भी) थी। इस समय, इस डेटा का कुछ हिस्सा, CRM और डुप्लिकेट में उपयुक्त नियमों की कमी के कारण असुरक्षित बना हुआ था। एक अलग एनटीए-समाधान (हमारे मामले में यह सिस्को स्टील्थवॉच एंटरप्राइज था ) के उपयोग से सिएम में स्थानांतरित किए गए डेटा की मात्रा में 80% की कमी आई और समाधान की लागत 99 हजार अमेरिकी डॉलर तक गिर गई। गणित प्रोजेक्ट से प्रोजेक्ट में भिन्न हो सकता है, लेकिन हमने देखा कि हमें जितना अधिक नेटफ्लो प्रोसेस करने की आवश्यकता है, उतना ही महंगा इन्फ्रास्ट्रक्चर इसे प्रोसेस करना होगा। ऐसा क्यों है?

आइए एक उदाहरण देखें। जब कोई उपयोगकर्ता सूचना सुरक्षा घटनाओं के शास्त्रीय विश्लेषण के दृष्टिकोण से सर्वर से जुड़ता है, तो हम सशर्त रूप से केवल एक घटना के साथ सौदा करते हैं, जिसे हम सर्वर से "हटा" देते हैं, उदाहरण के लिए, syslog के माध्यम से सिएम्स (वास्तव में, दो घटनाएँ होंगी) - एक प्रयास कनेक्शन और इसका परिणाम)। यदि इस घटना को नेटवर्क घटकों में विघटित किया जाता है, तो हम देखेंगे कि उत्पन्न होने वाले अधिक धागों का एक क्रम होगा। उदाहरण के लिए, क्लाइंट से सर्वर तक "हॉप" (हॉप) की औसत संख्या औसत नेटवर्क में 5-6 है। प्रत्येक स्विच या राउटर, जिसके माध्यम से क्लाइंट से सर्वर साइड तक अनुरोध गुजरता है, अपने नेटफ्लो प्रविष्टियों को ट्रैफिक से गुजरने का वर्णन करता है। इसके अलावा, यह सत्र की प्रत्येक दिशा (अनुरोध और प्रतिक्रिया) के लिए अलग-अलग किया जाता है। यह पता चला है कि वहाँ,जहां आवेदन स्तर पर केवल 1-2 घटनाएं उत्पन्न हुई थीं, नेटफ्लो प्रवाह कम से कम 10 गुना अधिक (वास्तव में और भी अधिक आवश्यक है, क्योंकि एक नेटवर्क पैकेट लगभग 20-30 नेटफ्लो प्रवाह उत्पन्न करता है)। और न केवल हमें इन सभी दर्जनों धागे के लिए भुगतान करना होगा (हालांकि घटना अभी भी एक है) और उनके भंडारण के लिए जगह आवंटित करें। तो, सिएम को भी उन्हें संसाधित करना होगा, डुप्लिकेट को हटाना होगा, एक सत्र के भीतर बहुआयामी प्रवाह को संयोजित करना होगा और उसके बाद ही इस डेटा को अन्य घटनाओं के साथ सहसंबंधित करना होगा। इसलिए, प्रतीत होता है कि स्पष्ट समाधान की कुल लागत एक अलग नेटफ्लो निर्यातक या एक स्टैंडअलोन नेटवर्क विसंगति विश्लेषण समाधान के साथ एकीकृत हो सकती है, जो कि कोलम्बिया के साथ एकीकृत है।इसलिए एक नेटवर्क पैकेट लगभग 20-30 नेटफ्लो स्ट्रीम उत्पन्न करता है)। और न केवल हमें इन सभी दर्जनों धागे के लिए भुगतान करना होगा (हालांकि घटना अभी भी एक है) और उनके भंडारण के लिए जगह आवंटित करें। तो, सिएम को भी उन्हें संसाधित करना होगा, डुप्लिकेट को हटाना होगा, एक सत्र के भीतर बहुआयामी प्रवाह को संयोजित करना होगा और उसके बाद ही इस डेटा को अन्य घटनाओं के साथ सहसंबंधित करना होगा। इसलिए, प्रतीत होता है कि स्पष्ट समाधान की कुल लागत एक अलग नेटफ्लो निर्यातक या एक स्टैंडअलोन नेटवर्क विसंगति विश्लेषण समाधान के साथ एकीकृत हो सकती है, जो कि कोलम्बिया के साथ एकीकृत है।इसलिए एक नेटवर्क पैकेट लगभग 20-30 नेटफ्लो स्ट्रीम उत्पन्न करता है)। और न केवल हमें इन सभी दर्जनों धागे के लिए भुगतान करना होगा (हालांकि घटना अभी भी एक है) और उनके भंडारण के लिए जगह आवंटित करें। तो, सिएम को भी उन्हें संसाधित करना होगा, डुप्लिकेट को हटाना होगा, एक सत्र के भीतर बहुआयामी प्रवाह को संयोजित करना होगा और उसके बाद ही इस डेटा को अन्य घटनाओं के साथ सहसंबंधित करना होगा। इसलिए, एक स्पष्ट रूप से स्पष्ट समाधान की कुल लागत एक अलग नेटफ्लो निर्यातक या एक स्टैंडअलोन नेटवर्क विसंगति विश्लेषण समाधान के साथ एकीकृत हो सकती है, जो कि कोलम्बिया के साथ एकीकृत है।एक सत्र के भीतर बहुआयामी प्रवाह को संयोजित करने के लिए और उसके बाद ही अन्य घटनाओं के साथ इस डेटा को सहसंबंधित करें। इसलिए, प्रतीत होता है कि स्पष्ट समाधान की कुल लागत एक अलग नेटफ्लो निर्यातक या एक स्टैंडअलोन नेटवर्क विसंगति विश्लेषण समाधान के साथ एकीकृत हो सकती है, जो कि कोलम्बिया के साथ एकीकृत है।एक सत्र के भीतर बहुआयामी प्रवाह को संयोजित करने के लिए और उसके बाद ही अन्य घटनाओं के साथ इस डेटा को सहसंबंधित करें। इसलिए, प्रतीत होता है कि स्पष्ट समाधान की कुल लागत एक अलग नेटफ्लो निर्यातक या एक स्टैंडअलोन नेटवर्क विसंगति विश्लेषण समाधान के साथ एकीकृत हो सकती है, जो कि कोलम्बिया के साथ एकीकृत है।

और ऐसे बाहरी नेटफ्लो विश्लेषक दो परिदृश्यों में से एक में उपयोग किए जा सकते हैं। बहुप्रचलित धाराओं के संयोजन से, पहले से अनुकूलित टेलीमेटरी, क्लीयरेंस ऑफ क्लीयर (डिफ्लिकेटेड) के एसईएम में स्थानांतरण होता है। हमारे अनुभव के आधार पर (और स्टील्थवॉच एंटरप्राइज इस मोड में काम कर सकता है), मैं कह सकता हूं कि इससे टेलीमेट्री की मात्रा में कमी हुई है, जो कि कोलम्बिया को प्रेषित होती है, जो इस परिदृश्य में, अभी भी सुरक्षा के दृष्टिकोण से नेटफ्लो का विश्लेषण करने में सक्षम होना चाहिए।

दूसरा परिदृश्य मानता है कि सभी प्रसंस्करण एनटीए वर्ग के समाधान पर किए जाते हैं, और केवल कोलम्बिया में नेटफ्लो प्रसंस्करण के परिणामस्वरूप प्राप्त अलार्म को प्राप्त किया जाता है। यह विकल्प अपने लाइसेंस और बुनियादी ढांचे की लागत को कम करते हुए, CRM को भेजे गए अधिक डेटा को कम कर देता है। हां, और CRM को अब Net Netflow का विश्लेषण करने में सक्षम होने की आवश्यकता नहीं है, जो सूचना सुरक्षा घटनाओं के विश्लेषण के लिए उपकरण चुनने की संभावनाओं का विस्तार करता है।

क्या कोई विकल्प हैं?

नेटफ्लो की तुलना में अधिक सुरक्षा घटनाओं का पता लगाने के लिए कोलम्बिया में नेटफ्लो का उपयोग करने के विकल्पों की जांच करने के बाद, आइए संभावित विकल्पों को देखें।

नेटवर्क डायग्नोस्टिक टूल

नेटवर्क बैंडविड्थ, आंतरिक नोड्स और सेगमेंट की उपलब्धता, पीक लोड आदि का आकलन करने के लिए उपयोग किए जाने वाले नेटवर्क डायग्नोस्टिक टूल का उपयोग करके आप कोशिश कर सकते हैं। उदाहरण के लिए, SolarWinds नेटफ्लो ट्रैफ़िक विश्लेषक। इन समाधानों को आईएस की विसंगतियों और खतरों का पता लगाने के लिए डिज़ाइन नहीं किया गया है, लेकिन इनका उपयोग प्रवाह सूचना को सिएम में स्थानांतरित करने के लिए किया जा सकता है, जो नेटफ्लो का विश्लेषण करने में सक्षम हो सकता है। जैसा कि मैंने ऊपर वर्णित किया है, यह सिएम लोड करेगा, और आपको यह तय करना होगा कि क्या आप इसके लिए तैयार हैं? सच है, पहले यह स्पष्ट करना सार्थक है कि क्या नेटवर्क विश्लेषक नेटफ्लो डेटा को बाहरी सिस्टम में भेज सकता है। कभी-कभी वे केवल सारांश आंकड़े दे सकते हैं या अलार्म उत्पन्न कर सकते हैं, जो स्पष्ट रूप से आईएस कार्यों के लिए पर्याप्त नहीं है।

घुसपैठ का पता लगाने की प्रणाली और NGFW

नेटवर्क IPS और NGFW एक और विकल्प हैं। वे नेटवर्क ट्रैफ़िक के अंदर सहकर्मी बन सकते हैं और एक गहरे नेटवर्क निरीक्षण तंत्र के माध्यम से कई खतरों का पता लगा सकते हैं ... लेकिन परिधि पर। फिर भी, आमतौर पर NGFW और IPS को कॉरपोरेट नेटवर्क और इंटरनेट की सीमा पर रखा जाता है और केवल वही देखते हैं जो उनके बीच से गुजरता है। इन उपकरणों को स्थापित करना, "लोहा" या आभासी, हर जगह आप में रुचि रखते हैं बहुत महंगा हो जाएगा, और कुछ मामलों में तकनीकी रूप से असंभव है। सीमा या परिधि के बारे में बोलते हुए, यह याद रखने योग्य है कि कॉर्पोरेट डेटा केंद्र और उपयोगकर्ता खंडों के बीच का इंटरफ़ेस भी सीमा है। और कॉर्पोरेट और औद्योगिक नेटवर्क के बीच जंक्शन भी। लेकिन किसी भी स्थिति में, अतिरिक्त आईपीएस या एनजीएफडब्ल्यू सेंसर स्थापित करने से आपके वॉलेट में दर्द हो सकता है, जबकि नेटफ्लो को पहले से खरीदे गए और कार्यान्वित नेटवर्क उपकरण से एकत्र किया जाएगा।

नेटवर्क घटना जांच उपकरण

नेटवर्क फोरेंसिक टूल (एनएफटी) वर्ग समाधान आपको घटनाओं की जांच करने के लिए नेटवर्क ट्रैफ़िक को स्टोर, प्रोसेस और विश्लेषण करने की अनुमति देता है। लेकिन इस प्रकार के समाधान और एनटीए के बीच एक महत्वपूर्ण अंतर है - एनएफटी ट्रैफ़िक की पूरी प्रतिलिपि के साथ काम करता है, अर्थात, आमतौर पर पीसीएपी फ़ाइलों के साथ, और एनटीए इसके बारे में रिकॉर्ड के साथ। और अगर नेटफ्लो विश्लेषण समाधान वास्तविक समय में लगभग काम करते हैं, तो एनएफटी - एक महत्वपूर्ण देरी के साथ। इसके अलावा, कोई भी समाधान जो पीसीएपी के साथ काम करता है (या सभी नेटवर्क ट्रैफ़िक की एक प्रतिलिपि को कैप्चर करने और सहेजने के लिए अन्य तरीके से) सभी एकत्रित डेटा को संग्रहीत करने के लिए एक जगह की समस्या में चलेगा।

कल्पना करें कि आपके पास 1 Gb / s नेटवर्क डिवाइस पर एक पोर्ट है। 64 बाइट्स की एक पैकेट लंबाई के साथ, यह पोर्ट 1953125 पैकेट प्रति सेकंड से गुजरने में सक्षम होगा, और 1500 बाइट्स की लंबाई के साथ - 83,333 पैकेट। यही है, पैकेट की लंबाई पर निर्भर करता है (और यह नेटवर्क पर अनुप्रयोगों पर निर्भर करता है), हमारे पास प्रति सेकंड लगभग 80 हजार से 2 मिलियन पैकेट होंगे, जिसे हमें बचाने की आवश्यकता होगी। एक दिन में, ऐसा पोर्ट 86400 Gbit / s या लगभग 11 TB की अनुमति देगा। लगभग 4 पीबी वर्ष में चलेगा, और यह केवल एक बंदरगाह के लिए है, जिसमें से हमारे नेटवर्क में हजारों और दसियों हजार हो सकते हैं। यहां तक कि यातायात का चयनात्मक भंडारण हमारे जीवन को बहुत सुविधाजनक नहीं बनाएगा। इसलिए, एनएफटी वर्ग के समाधानों की आवश्यकता है, लेकिन वे नेटफ्लो विश्लेषक की जगह लेने में सक्षम नहीं हैं। ये ऐसे उपकरण हैं जो विभिन्न कार्यों को हल करते हैं - घटनाओं की निगरानी और जांच।आमतौर पर, ये समाधान जोड़े में काम करते हैं - नेटफ्लो हमें घटनाओं की पहचान करने की अनुमति देता है, और एनएफटी पहले से ही सभी नेटवर्क ट्रैफ़िक को कैप्चर करने के रूप में उन पर विस्तृत डेटा एकत्र करता है।

" लेकिन एनएफटी के साथ सिएम है, उदाहरण के लिए, आईबीएम क्यूराडार हादसा फोरेंसिक या आरएसए सिक्योरिटी एनालिटिक्स, जो आपको नेटवर्क ट्रैफिक की पूरी कॉपी के साथ काम करने की अनुमति देता है और सभी नेटफ्लो मेटा-डेटा स्वचालित रूप से कोलम्बिया में उपलब्ध होंगे।"हाँ, वहाँ है! इसके अलावा, इस समाधान का लाभ ब्याज के सभी नेटवर्क सत्रों को फिर से संगठित करने और उन्हें विज़ुअलाइज़ करने की संभावना है, जो घटनाओं की जांच की सुविधा प्रदान कर सकता है। यह कोलम्बिया आपको हमलावर की जगह लेने और वह सब कुछ देखने की अनुमति देता है जो वह देखता है। लेकिन यह लाभ छिपा हुआ है। और एक गंभीर खामी जिसका मैंने ऊपर उल्लेख किया है कि नेटवर्क ट्रैफ़िक की एक पूरी प्रति संग्रहीत करने के लिए एक बड़ी, नहीं, इतनी बड़ी मात्रा में भंडारण की आवश्यकता होती है, जिसकी लागत एक अलग सेडैम के रूप में हो सकती है, या इससे भी अधिक (केवल कच्चे नेटफ्लो को संग्रहीत करने से अधिक) ) .आपको स्थान बचाने के लिए कौन से विशिष्ट सत्र चुनने की आवश्यकता हो सकती है, और इससे कुछ ट्रैफ़िक खो सकता है, इसके अलावा, घटनाओं से संबंधित डेटा संग्रहीत करने के लिए कानूनी आवश्यकताओं के अनुपालन के मामले में,आपको उन्हें तोड़ने या भंडारण के लिए अतिरिक्त पैसे का भुगतान करना होगा। इस समाधान की एक अन्य विशेषता यह है कि ट्रैफ़िक को बचाने की आवश्यकता है जो पहले से ही डीएमआर में डिक्रिप्ट हो चुका है, जिसका अर्थ है कि आपको ट्रैफ़िक को डिक्रिप्ट करने में सक्षम होने के लिए अपने मॉनिटरिंग सिस्टम के आर्किटेक्चर की समीक्षा करने और इसे सीएमएस को सबमिट करने की आवश्यकता होगी। और यह मत भूलो कि इस तरह के समाधान अभी भी जांच कराने पर केंद्रित हैं, जिनके लिए योग्य कर्मियों की आवश्यकता है, और तैयार एल्गोरिदम का उपयोग करके विसंगतियों और खतरों का पता लगाने पर नहीं।इस तरह के निर्णय फिर भी जांच कराने पर केंद्रित होते हैं, जिसके लिए योग्य कर्मियों की आवश्यकता होती है, और तैयार एल्गोरिदम का उपयोग करते हुए विसंगतियों और खतरों का पता लगाने पर नहीं।इस तरह के निर्णय फिर भी जांच कराने पर केंद्रित होते हैं, जिसके लिए योग्य कर्मियों की आवश्यकता होती है, और तैयार एल्गोरिदम का उपयोग करते हुए विसंगतियों और खतरों का पता लगाने पर नहीं।

इस परिदृश्य में, मैं अभी भी नेटफ्लो का उपयोग करके नेटवर्क ट्रैफ़िक के प्रारंभिक विश्लेषण को देखूंगा, और उसके बाद ही, मेरे लिए ब्याज की घटनाओं और घटनाओं के लिए, मैं नेटवर्क ट्रैफ़िक रिकॉर्डिंग को सक्षम करूंगा। यह "सब कुछ" के भंडारण पर संसाधनों को बचाएगा और खर्च नहीं करेगा।

निष्कर्ष

तो, संक्षेप में संक्षेप करने के लिए। नेटफ्लो कॉर्पोरेट और विभागीय नेटवर्क की सुरक्षा की निगरानी के लिए डेटा का एक मूल्यवान स्रोत है, अक्सर केवल एक ही जिसे एकत्र किया जा सकता है और जिसके आधार पर आप अपने वातावरण में खतरों की उपस्थिति या अनुपस्थिति के बारे में निर्णय ले सकते हैं। सिद्धांत रूप में, नेटफ्लो का एनटीए वर्ग समाधानों का उपयोग करके भी स्वतंत्र रूप से विश्लेषण किया जा सकता है, जो दुर्भावनापूर्ण और असामान्य गतिविधि का पता लगाने के लिए नियमों और एल्गोरिदम का एक बड़ा डेटाबेस होने के कारण, घटनाओं का शीघ्रता से पता लगाने और उनका जवाब देने में सक्षम हैं। सिएम द्वारा एकत्रित आंकड़ों के साथ नेटफ्लो का एकीकरण हमें बहुत अधिक देता है। इससे पहले कि हम नुकसान नहीं पहुँचा सकते हैं, इसे देखें और इसे पहले नहीं देखा है। उसी समय, हमें मौजूदा निगरानी बुनियादी ढांचे में मजबूत बदलाव करने की आवश्यकता नहीं है, क्योंकि हमारे पास पहले से ही नेटवर्क उपकरण हैं,- आपको सीधे Netflow को रीडायरेक्ट करने की आवश्यकता है, सीधे या मध्यवर्ती समाधान के माध्यम से। नेटफ्लो को सक्षम करना मुझे एक छोटी लेकिन त्वरित जीत हासिल करने की अनुमति देता है - हमारे सभी समाधान पायलटों के लगभगसिस्को स्टील्थवॉच एंटरप्राइज इस तथ्य के साथ समाप्त होता है कि हम आईएस नीतियों के कुछ उल्लंघनों का पता लगाते हैं जो पहले आईएस सेवा द्वारा नहीं देखे गए थे। नेटफ्लो ने उन्हें देखने की अनुमति दी, और सीएमजी के साथ इसके एकीकरण, लागू नेटवर्क निगरानी उपकरण और गतिविधि प्रणाली से एक synergistic प्रभाव प्राप्त करने के लिए।

Netflow और Siem निगरानी समाधान का एकीकरण