NetFlow Analyzer

運用 WhatsUp Gold 2018 監控暗網流量

監控暗網流量是 IT 管理員擔心卻無能為力的問題。現在,IT 團隊可以運用 WhatsUp Gold 2018 揪出利用公司網路連上暗網的人和裝置。

如果有人不清楚何謂 WhatsUp Gold,有必要解釋一下,這是一套由 Ipswitch 推出的網路監控解決方案。WhatsUp Gold 2018 Service Pack 2 提供一項新功能,能夠監控傳入和傳出暗網的流量。但是,IT 團隊為何非追蹤暗網流量不可?暗網流量並非全部帶有惡意,但其中必定不乏惡意流量。只不過,我們要盡力避免讓一般利用公司網路連上暗網的 Tor 及其他工具有機可趁。

暗網流量極有可能是非法流量

一項近期研究發現,58% 的暗網流量及 Tor 網路流量用於從事非法活動,合法流量只佔 42%。過去有些研究甚至宣稱非法流量幾近 80%。大部分的暗網流量絕非用於正當用途,因此,IT 團隊無不設法防範暗網入侵公司網路,這就是最有力的佐證。暗網終究很有可能會令貴公司陷入極大的困境。

會透過暗網交流的活動,往往是犯罪活動,例如兒童情色以及毒品交易陷阱。大多數的公司行號都不會希望公司網路淪為犯罪活動利用工具,這一點應該無庸置疑。然而,監控暗網流量並不容易,因為暗網的目的就是要隱匿其流量。因此,若能設法揪出部分暗網流量,或者至少查出一些蛛絲馬跡,您可能希望繼續追蹤並設法因應。

監控暗網流量時,該格外留意哪些可能代表這類流量的警訊?暗網的惡意活動特別容易入侵某些網路裝置嗎?

一般而言,如果發現有任何流量利用 Tor 網路用戶端連上個人電腦,就要提高警覺了。最重要的指標就是 Tor 網路用戶端。在此補充說明,要在網際網路上掩藏行蹤可以透過幾種不同的方法。使用 VPN 就是其中一例,不過,這裡主要探討 Tor。

WhatsUp Gold 2018 讓網路監控更加省時省力。立即訂購 WUG。

WhatsUp Gold 網路流量分析與警示

WhatsUp Gold 運用其網路流量分析模組 (也就是所謂的「流量監控程式」) 監控暗網流量。這個模組會使用路由器和交換器的 NetFlow 資料,仔細探查 Tor 網路中所謂的傳入或傳出節點。我們的產品內建這類節點的資料庫,而且會定期更新,而 WhatsUp Gold 2018 也會持續追蹤。雖然是匿名網路,仍須找到特定進出點才能得其門而入。WhatsUp Gold 會細查某人進出網際網路的位置。若 WhatsUp Gold 留意到來自這些位置的流量,您 (IT 團隊) 就會收到警示。

具體而言,WhatsUp Gold 就是網路監控套件,能夠監控網路並發出警示。這項工具不會發揮任何封包篩選功能。因此,您和您的 IT 團隊必須自行斟酌該如何運用這項資訊。

WhatsUp Gold 發出的訊息來自「警示中心」,這項功能會經由電子郵件或簡訊發出通知。一旦收到通知,網路管理員就要自行運用 Windows 或 Linux 版本的網路軟體尋找 IP 位址。WhatsUp Gold 可以協助您完成這個程序,但您必須處理好尋找裝置的步驟。WhatsUp Gold 會查詢 DNS 名稱,並且試著填入該 DNS 名稱,對您而言,這應該是相當充分的線索,不過您可能需要自行運用一些 Microsoft 工具實際追蹤並找到裝置。

此外,IT 團隊可以運用 WhatsUp Gold 2018 統整出一份資訊主頁報告,用於說明偵測到多少流量傳入了暗網。

特殊情況適用的特殊網路監控工具。立即試用 WhatsUp Gold 2018

Scrutinizer 常見問題之三

Q17:如何輸入IP來命名分辨率,以便Scrutinizer不必使用DNS來解析IP?

編輯此文件:/etc/hosts 並輸入IP以轉換 x.x.x.x domain.tld 格式名稱

Q18:界面上的整體使用率似乎被低估了,什麼情況會導致這種狀況?

  • 確保在設備的所有實體連接埠上啟用NetFlow。不要管虛擬連接埠,因為一旦在物理連接埠上啟用了NetFlow,就會自動出現。
  • 如果硬體無法跟上發送NetFlow封包的速度,它會自動丟棄NetFlow。要檢查是否存在此問題,請登錄Cisco設備。

鍵入命令:Router_name> sh ip flow export

匯出資料,尋找“294503 export packets were dropped due to IPC rate limiting”之類的內容。如果此計數器遞增,則表示硬體無法滿足匯出要求。

  • 下面的命令將long-lived flows分解為1分鐘。您可以選擇1到60之間的任意分鐘數; 如果您保留30分鐘的預設值,您的使用率報告將會出現峰值。

輸入命令:ip flow-cache timeout active 1

  • 以下命令可確保及時匯出已完成的Flow。預設值為15秒; 您可以選擇介於10和600之間的任何值。但請注意,如果您選擇的值超過250秒,則Scrutinizer可能會報告顯示較低的Flow級別。

鍵入命令:ip flow-cache timeout inactive 15

  • NetFlow v5僅匯出IP流量(即沒有IPX等),並且此版本的NetFlow不會匯出Layer 2 broadcasts。

Q19:如何設定讓路由器將NetFlow轉發到兩個目的地?

在Cisco路由器上,使用“ip flow-export destination”命令兩次。思科允許使用NetFlow v5 / v9將流量導向到2個不同的目的地

router-name#ip flow-export destination 10.1.1.8 2055 
router-name#ip flow-export destination 10.1.1.9 2055

有關更多訊息,請參閱如何配置運行IOS的Cisco路由器。某些Flow技術僅允許配置單個目標。要導向到多個目標,您可能需要使用flow replicator

Q20:為什麼我的圖表報告的使用率超過100%?

    • 連接埠速度不正確。Scrutinizer使用SNMP OID中指定的速度。登錄路由器或交換機並修復問題或在Scrutinizer中轉到設備詳細訊息並手動輸入正確的速度。
    • 路由器上的活動超時未設置為1分鐘。登錄路由器或切換並解決問題。
    • 非專用的超頻彈性頻寬(burstable bandwidth),ISP允許您在分配的頻寬上使用。
    • 進入流量和出去流量在 NetFlow 收集都已經在連接埠上啟用。如果在出去Flow中設置了方向位,則這可以正常工作。Scrutinizer的最佳工作設定只需要在所有連接埠上配置進入流量 NetFlow 收集。只有收集出去的流量在所有連接埠也是可以的。
    • 你在連接埠上有設定加密通道嗎?
      • 47 – GRE,通用路由封裝。
      • 50 – ESP,封裝安全負載。
      • 94 – IP-within-IP封裝協議。
      • 97 – EtherIP。
      • 98 – 封裝表頭。
      • 99 – 任何私有加密方案。

這可能導致流量在連接埠上計數兩次。在Scrutinizer中可以到Admin Tab > Definitions > Manage Exporters。點擊“ – ”的圓形圖示。當滑鼠懸停在圖示上時,ALT將顯示“View the current protocol exclusions of this device.”點擊此按鈕,確保排除上述協議。

  • 完整流量暫存:匯出前所有流量都存儲在路由器的流量暫存區中。暫存區滿了後它會停止向暫存區中增加條目,直到暫存過期為止。當發生諸如DDOS或“social event”之類的事件時,路由器的暫存會滿載。暫存可以增加; 但是會佔用更多記憶體並可能對路由器產生負面影響。流量遺失將導致Scrutinizer低估使用率。

Q21:如何查看是否有可用的更新在Scrutinizer的程式中?

要檢查更新,請在登出(Log Out)按鈕旁邊的下拉列表中選擇“檢查更新”按鈕。

比較一下Scrutinizer更新歷史

Q22:我忘記了我的Scrutinizer密碼。我怎麼如何處理?

注意:必須從Scrutinizer伺服器執行這些命令。

[USERNAME]是要修改的Scrutinizer用戶帳戶的名稱。執行該命令時,它將提示輸入新密碼,然後重新輸入。

在安裝Scrutinizer本機中,從[homedir]\bin\ directory:命令提示符下輸入以下命令:

版本16.7

scrut_util.exe – set password webui [USERNAME]

版本7.x到16.3

scrut_util.exe -reset_admin_password [USERNAME]

Q23:如何在Scrutinizer設置SSL?

需要此條件使用SSL支援的安裝程式的用戶。請聯繫我們獲取SSL安裝程式。

Q24:Scrutinizer可以在虛擬環境中運行嗎?支援哪些管理程式?

當然可以。目前我們提供可部署在VMware,Hyper-V 2012+和KVM。您可以在“ 安裝選項”頁面上查看更多詳細訊息。

注意:與任何虛擬化環境一樣,當您的伺服器資源在多個虛擬機之間分配使用時,您的性能可能會急劇下降。

Q25:如何更新Scrutinizer?

查看https://forums.plixer.com/viewtopic.php?f=15&t=2544#p9095以更新Windows上的Scrutinizer。

查看https://forums.plixer.com/viewtopic.php?f=15&p=9127#p9127以更新Scrutinizer虛擬設備。

對於硬體設備(僅國外銷售),請聯繫技術支援進行升級。

如果您遇到麻煩,請發送到https://forums.plixer.com 或洽易璽科技尋求技術支援。

Q26:如何設定第三方的整合環境?

查看“ 附加整合(Additional Integration )頁面了解有關Scrutinizer中可用的第三方整合的更多訊息。

Q27:為什麼即使我在Windows中正確配置了DNS,我的IP也無法解析?

注意:這僅適用於Scrutinizer v16.3 +的Windows安裝(註:台灣未發行此版本)

在某些情況下,Scrutinizer可能無法正確解析IP地址。當存在多個具有不同記錄的DNS伺服器時,通常會發生這種情況。為了解決這個問題,Scrutinizer允許您在文件中指定DNS伺服器,而不是從Windows註冊表中獲取設置。步驟概述如下:

  1. 在名為dns.conf的\ scrutinizer \ html目錄中建立一個文件。
  2. 使用記事本等文字編輯器打開此文件。
  3. 使用以下格式在文件中建立DNS伺服器列表。
nameserver 192.168.1.1 
nameserver 166.186.184.2 
nameserver 224.39.1.171

現在您已經建立這個文件,您應該可以進入Scrutinizer Web界面並正確進行查看。

Q28:可以做些什麼來加速Scrutinizer的界面?

如果您遇到性能不佳或認為界面運行緩慢,請聯繫我們的支援團隊與代理商。他們知道許多改進安裝的方法,可以滿足您的系統性能需求。

Q29:我想將我的資料庫密碼從預設更改為更安全的密碼。除了在資料庫中設置密碼之外還有什麼我需要做的嗎?

在16.7版中執行

scrut_util ([HOMEDIR]\Scrutinizer\bin\scrut_util.exe). From the SCRUTINIZER> command line run <set password rootdb>

在16.3及更早版本中,您需要使用scrut_util.exe透過CLI更新MySQL Root密碼:

[HOMEDIR]\Scrutinizer\bin\scrut_util.exe -reset_mysql_password

**警告**此命令將改變Scrutinizer和/或用戶存取資料的方式。請謹慎使用。

Q30:哪裡可以找到Scrutinizer手冊?

以下是Scrutinizer手冊的線上副本供審閱。

Q31:我怎麼知道我需要多少硬碟空間?

使用NetFlow頻寬和硬碟消耗計算器來確定NetFlow資料量將消耗多少硬碟空間。

Q32:為什麼我的Juniper流量資料中的DSCP值錯誤?

在Juniper JunOS 11.2R4中,通過JFlow進行的DSCP報告存在問題。您有時可能會在Scrutinizer中看到意外的DSCP值。請使用Wireshark將您在Scrutinizer中看到的內容與您的Juniper設備在流量資料封包中匯出的內容來進行比較。

Q33:如何將第二個NIC加到Scrutinizer虛擬設備?

  1. 將第二個NIC安裝到ESX(i)主機中
  2. 使用vSphere,將第二個NIC分配給Scrutinizer VM
  3. 登錄Scrutinizer CLI並使用正確的網路設定建立/etc/sysconfig/network-scripts/ifcfg-eth1檔案。您可以使用ifcfg-eth0配置作為示例,因為不會自動建立ifcfg-eth1檔案。
  4. 使用以下命令重新啟動網路:service network restart

Q34:我在哪裡可以找到更改日誌?

每個安裝都包含scrutinizer / files中的changelog.txt,其中概述了所有錯誤修復。您還可以在https://www.plixer.com/support/updates/在線上查看更改日誌。

Plixer與合作夥伴的解決方案

Cisco 解決方案整合簡介

Plixer很榮幸成為思科的首選解決方案合作夥伴,思科是全球IT和網路領域的領導者。Scrutinizer專注在從思科解決方案匯出的Flow和Matedata上,確保整個環境中呈現最佳上下文資料和可見性。對於具有異構網絡的組織,Scrutinizer將這些思科與網路上其他供應商設備的匯出的Flow結合數據來呈現視覺化分析。

[下載完整PDF電子檔]

Gigamon解決方案簡介

當出現問題時,無論是與設備,應用程式或安全相關的IT團隊都需要更好的洞察力和上下文,以便發現不需要的行為或惡意的行為。換句話說,他們需要Scrutinizer。與Gigamon GigaSECURE Security Delivery Platform配合使用時,Scrutinizer可提供快速了解根本原因與分析所需的取證資料並協助選擇最佳行動方案,可縮短解決問題的時間。

[下載完整PDF電子檔]

Palo Alto Networks解決方案簡介

PaloAltoNetworks®使用industry standard protocol安全分析透過Plixer NetFlow提供前所未有的用戶名和應用程式使用訊息的視覺化資料。用Plixer Scrutinizer系統收集並分析NetFlow,IPFIX和sFlow,以便進行監控在法律取證調查時提供上下文詳細訊息。

[下載完整PDF電子檔]

 

Ixia解決方案簡介

Ixia網路可視性解決方案與Plixer Scrutinizer事件反應系統相結合,有助於確保客戶不斷線或降低用戶體驗。Ixia NVS在客戶資料中心的所有實體和虛擬存取點提供分接點並提供客制的監控數據來源的分析工具。

[下載完整PDF電子檔]

Endace解決方案簡介

Scrutinizer和EndaceProbes一起提供獨特的強大Flow和封包分析解決方案,可加速識別、調查和解決安全威脅以及網路和應用程式性能問題。

[下載完整PDF電子檔]

 

Scrutinizer 提供永久免費版本,若有興趣想要了解完整的功能,歡迎在此申請下載

Scrutinizer如何建立Network Map?

Network Map為用戶提供了網路拓撲結構的高階視圖以及流量在網路中的流動方式。最常見的是作為快速參考用,以確定連接是否飽和。如果我們將結合Map功能與當前Flow數據中匯出的一些獨特元素相結合該如何處理?

在此介紹在Scrutinizer中建立網路地圖的過程以及用戶可以在其環境中利用的一些獨特範例。

設計你的地圖

第一步是決定我們想要建立的地圖類型。首先,我將建立一個簡單的網路。我們將從“地圖”標籤開始,然後選擇左側的“新建”選項。首先,我們必須決定要建立哪種地圖類型。我們可以建立一個’html5’,’Plixer Map’,或者我們可以利用Google地圖(請注意,Google地圖需要使用API密鑰,可免費申請)。在這裡,選擇了Plixer Map。

接下來,將設備作為Objects(目標)。正如下面的截圖中看到的,Objects(目標)不僅限於網路設備。在拓撲圖中包含了ISP的Objects(目標),以及嵌在拓撲視圖中的child maps。

一旦設定好Objects(目標),下一步就是建立連接。透過Connections Tab完成,Connections提供選項來表示這些連線。大部分連線都是連接每個設備的physical interfaces(實體介面) 。這允許我們以速率或百分比使用率來查看通過設備的流量。還在連接的設備之間的嵌套地圖建立了logical connections(邏輯連線)。

Connections的好處是雙重的:即時利用我們的連接並允許我們深入研究並查看正在進行的對話。

嵌套地圖

讓我們深入了解“Sales Team”地圖。從我們的拓撲圖中,我們透過點擊該地圖放大到我們的銷售部門:

在這裡,建立了一個代表幾個銷售團隊成員的地圖。該地圖的獨特之處在於連接回到3850的每個連線都是僅根據該用戶的流量進行過濾的自定報告。從這裡可以估計每個用戶消耗的流量。這裡的另一個常見用例是監控VoIP流量而不是用戶的流量。

首先,讓我們看看這些連接是如何形成的。首先建立了一個隔離用戶流量的報告:

然後我使用此報告將Objects(目標)“ShaneS”連接到3850 switch交換機。現在從拓撲圖中可以深入到銷售團隊,在那裡我可以監控每個特定用戶。

讓我們從用戶流量轉向監控我們的應用服務器。從拓撲圖中可以看到應用服務器建立了一個嵌套地圖。與建立銷售團隊地圖的方式類似,使用一個Objects(目標)來表示我們的應用服務器,然後製作一個自定報告來隔離特定的應用程式流量。

在這裡看到了一些特定於最終用戶環境的獨特地圖。由於沒有兩個環境是相同的,因此可以靈活地定義想關注的流量,這是一個很棒的用處。

如果您對Mapping Functionality有任何疑問,請隨時聯繫我們,還可以前往Plixer的Youtube頻道plixerweb,在那裡您可以查看許多影片範例,包括建立地圖的示範操作

Scrutinizer 提供永久免費版本,若有興趣想要了解完整的功能,歡迎在此申請下載

利用 Scrutinizer 縮短遭受網路攻擊時的反應時間

在網路攻擊期間,必須手動破譯大量安全數據來尋找相關訊息會花費很多時間,浪費金錢和失去客戶信任。 網路和安全智慧平台可大大地提高基礎架構的價值,顯著縮短反應時間並實現自動化數據報告和反應。

利用Scrutinizer 的智慧平台從流量Netflow來分析網路和安全更有效率來尋找問題會更有用。

Scrutinizer 提供永久免費版本,若有興趣想要了解完整的功能,歡迎在此申請下載

從NetFlow報告查看監控的BYOD流量

大多數公司都認為BYOD(自帶設備)可以讓企業從員工中獲得更高的生產力。正因為如此,移動工作者正在崛起,它正在創造一個新的IT挑戰。IDC Health Insights項目主管Lynne Dunbrack表示,“某些自帶設備策略會帶來一定的安全風險:例如,將移動惡意軟體引入醫院網路”。一些擁有BYOD的醫院正在限制BYOD設備僅限互聯網接入。為什麼?

“在過去一年裡,BYOD確實成為我們日益增長的問題,”北卡羅來納州Rex Healthcare的高級網路架構師Bryan Safrit在一份聲明中表示。“我們看到的更多流量來自iPhone,iPad和Android設備。如果沒有區分用戶和執行政策的能力,我們的BYOD流量可能會超過我們的頻寬。“雇主如何確保流量的增加實際上與工作相關?而且,公司如何保護自己免受工作場所BYOD爆炸流量帶來的固有風險?這是一個棘手的問題。首先讓我們了解問題。

儘管生產力有所提高,但一些員工喜歡在Scrabble上回應他們,或者回應個人Skype消息等。在過去,公司可以查看電話費,以查看員工當天是否正在撥打或接聽過多的個人電話。今天,這並不是那麼容易,尤其是當像Facebook.com這樣的網站通過SSL連接輕易連接angrybirds遊戲時:https://apps.facebook.com/angrybirds/。

我到目前為止追踪BYOD設備的一些最佳方法是使用NetFlow,sFlow或IPFIX數據:

  • 過濾MAC地址。具體而言,可以使用供應商ID。
  • 過濾專門為無線設備預留的子網
  • 與Cisco ISE或Enterasys Mobile IAM整合

過濾MAC或IP地址:

在使用無線網路時,我們當然可以要求員工管理自己的行為。但是,我們仍然需要使用網路流量報告工具檢查流量,例如NetFlow Analyzer,它可以過濾MAC地址的供應商ID(例如iPhone):

上面報告中的更改以查看過濾後的MAC地址訪問的主要網域可能會生成BYOD流量報告解決方案,其中包含以下信息:

當發現違規者時,對不當行為施加後果,並且在員工之間傳播消息。如果管理員想要查看用戶已在網路上驗證了多少設備,則許多防火牆(例如Cisco ASA,Palo Alto Networks,SonicWALL)支持NetFlow或IPFIX並在其導出中提供用戶名。如果不這樣做,這些流量出口可以與Microsoft Active Directory服務器,Cisco ISE或Extreme Mobile IAM相關聯,以收集用戶名稱與詳細信息。

與Cisco ISE或Enterasys Mobile IAM整合

Extreme Mobile IAM解決方案還可用於跟踪BYOD。這些系統確定設備的類型(例如iPhone,Android,筆記本電腦等),並考慮在網路上進行身份驗證的用戶名,然後將策略下推到將處理設備通信的網路上的交換機。這種類型的BYOD流量監控允許管理員跟踪BYOD設備甚至對它們進行分組:

深入了解上面的操作系統,找到誰在驗證這些設備以及他們產生了多少流量。