Prihlásiť sa Odoslať Novinky :: FAQ :: Rozšírené vyhľadávanie :: Napísali o nás :: Ankety
Main Menu
· Home
· 
· FAQ
· 
· Diskusia
· 











Main Menu
· Domov

Moduly
· AvantGo
· Downloads
· FAQ
· News
· Recommend Us
· Reviews
· Search
· Sections
· Stats
· Topics
· Top List
· Web Links
· Forum

Jazyk
Výber jazykovej mutácie:



The time now is 01.11.2024 - 01:09


Network monitoring tools

Post new topic Reply to topic
View previous topic Printable version Log in to check your private messages View next topic
 
Author Message
kiwi
Post subject: Network monitoring tools  PostPosted: 18.01.2008 - 09:51 #60805
Guru


Joined: Jan 30, 2003
Posts: 1572

Otvaram temu, "Seriozne monitorovanie siete a aktivny pristup k neziaducim javom".

Kedze nase siete uz nie su prave najmensie, je potrebne stanovit "trvale udrzatelny" pristup k monitorovaniu a rieseniu problemovych jedincov.

Vzhladom na to, ze traffic do sveta presahuje desiatky mbits, rozhodol som sa riesit monitoring na mirrored porte, aby som predisiel problemom so zvysenymi latenciami atd.

Na tento mirrored port som zavesil relativne silnu masinu s NTOP-om, ktory na debiane velmi lahko naistalovatelny (apt-get install ntop) a hned je na 192.168.1.1:3000 mozne prezerat si graficke rozhranie. Potial je to hracka Smile, horsie je to uz s identifikaciou problemovych hostov.

Rozhodol som sa pre politku aktivneho riesenia tychto jedincov, kedze pasivny sposob (bloknutie portov kde sa storm objavuje najcastejsie) je vlastne pchanie hlavy do piesku a tak potrebujem ziskat z NTOP-u nejaky dump, ktory budu prehliadat skripty, aby zistili podozrive spravanie (portscan, prilis velke mnozstvo ICMP, prilis vela konekcii, prilis vela ICQ spojeni indikujucich zdielanie netu, traffic na porte 25 s neznamym mailserverom apod).

TODO:

1. Mate niekto skusenosti, ako nakonfigurovat NTOP tak, aby v urcitych intervaloch logoval sessions/konekcie do files?

2. Mate nejake custom skripty na analyzu dump-ov? (nasiel som flow-tools, vie to niekto pouzivat? Pripadne napiste cim inym sa dobre a lahko analyzuju data)


Last edited by kiwi on 18.01.2008 - 16:29; edited 1 time in total
 
 View user's profile Send private message Send e-mail Visit poster's website ICQ Number 
Reply with quote Back to top
eXplorer
Post subject: RE: Network monitoring tools  PostPosted: 18.01.2008 - 10:06 #60807
Majster


Joined: Feb 25, 2003
Posts: 2606
Location: BA,BB
kiwi: pouzit na to tethereal alebo tcpdump nemozes ? sice by to bola zdvojena robota, ale myslim ze by to fungovalo. To co pozadujes su bezne funkcie IDPcka, takze mozno by bolo jednoduchsie ako kodit vlastne skripty nasadit napr SNORT+ACID.

Nechces radsej pouzit profi IDP box ? splni ti to vsetky poziadavky (a este aj viac Wink ), staci zapojit a naklikat. Jediny problem je cena, pri 1Gbite uz je to celkom slusna palka, aj ked pasivny rezim nevyzaduje az tak vykonny box.
 
 View user's profile Send private message Visit poster's website  
Reply with quote Back to top
Robert
Post subject: RE: Network monitoring tools  PostPosted: 18.01.2008 - 12:01 #60813
Majster


Joined: Okt 19, 2003
Posts: 2339
Location: Bratislava
Quote: › 1. Mate niekto skusenosti, ako nakonfigurovat NTOP tak, aby v urcitych intervaloch logoval sessions/konekcie do files?

Logovanie TCP spojeni sa da velmi jednoducho zabezpecit logovanim SYN paketov v iptables. Potreboval somto na vyhladavanie zavirenych pocitacov na zaklade staznosti na spamovanie, pripadne pokusov o prienik (obvykle skusanie prihlasenia cez SSH pod roznymi beznymi menami).
 
 View user's profile Send private message Visit poster's website  
Reply with quote Back to top
kiwi
Post subject: RE: Network monitoring tools  PostPosted: 18.01.2008 - 12:28 #60814
Guru


Joined: Jan 30, 2003
Posts: 1572

robert, prezrad mi ako mam masinu, ktora je na mirrored porte naucit aby vedela tie packety preosiat na iptables
 
 View user's profile Send private message Send e-mail Visit poster's website ICQ Number 
Reply with quote Back to top
Robert
Post subject: RE: Network monitoring tools  PostPosted: 18.01.2008 - 14:31 #60818
Majster


Joined: Okt 19, 2003
Posts: 2339
Location: Bratislava
kiwi: Predpokladam, ze cez mirrorovany port Ti prichadzaju pakety v nezmenenej podobe a sietova karta je v promiskuitnom rezime. V takom pripade my mali iptables zafungovat ako obvykle. Nemam to na com vyskusat, takze Tito netvrdim svatosvate, ale momentalne nevidim dovod, preco by to nemalo takto fungovat. iptables naju moznost logovat hlavicky do syslogu, takze cely setup spravis za par minut. Potrebujes akurat nejaky jednoduchy skript, ktory Ti bude parsovat syslog.

Neodporucam Ti to ako definitivne riesenie, naozaj je lepsie mat nejaky IDS alebo vyspely nastroj na analyzu prevadzky na sieti. Akurat toto rozbehas rychlo a jednoducho, kym si zvolis konkretne definitivne riesenie.
 
 View user's profile Send private message Visit poster's website  
Reply with quote Back to top
kiwi
Post subject: RE: Network monitoring tools  PostPosted: 18.01.2008 - 15:32 #60821
Guru


Joined: Jan 30, 2003
Posts: 1572

iptables samozrejme na mirrored porte nefunguju

po explorerovej rade som ntop zahodil a skusil som to so snortom a robi to co to ma Smile, tzn. na zaklade pravidiel ktore mu dam, loguje eventy do mysql

momentalne som skusil taku vec, ze logujem vsetky packety so SYN flagom, som zvedavy kolko MB v databaze to zozerie za 24 hodin

dokonca to zerie len asi 10% z jedneho cpu (dual core) pri asi 100mbits trafficu IN a 20mbits OUT

ak mate niekto nejake oblubene rules pre snort, sem s nimi
 
 View user's profile Send private message Send e-mail Visit poster's website ICQ Number 
Reply with quote Back to top
Robert
Post subject: RE: Network monitoring tools  PostPosted: 18.01.2008 - 16:29 #60827
Majster


Joined: Okt 19, 2003
Posts: 2339
Location: Bratislava
Quote: › iptables samozrejme na mirrored porte nefunguju

No tak samozrejme to zase nie je. Ako vyzera Tvoj setup? mirrorovanie posiela pakety v *nezmenenej* podobe alebo sa mylim? Bohuzial nemam k dispozicii HW, ktory toto dokaze, tak sa nejdem hadat, ale rad bych vedel, ako sa veci maju. Jedine MAC adresy ethernetovych ramcov, v ktorych su pakety balene, by mohli robit problem.
 
 View user's profile Send private message Visit poster's website  
Reply with quote Back to top
pixall
Post subject: Network monitoring tools  PostPosted: 19.01.2008 - 02:41 #60872
Majster


Joined: Okt 21, 2003
Posts: 4247

kiwi wrote: ›Vzhladom na to, ze traffic do sveta presahuje desiatky mbits, rozhodol som sa riesit monitoring na mirrored porte, aby som predisiel problemom so zvysenymi latenciami atd.


ze i tak sa da... ale som zvolil opacny postup... nie zistovat na hlavnej brane, kto mi ju zasiera, ale nedovolit vobec srackam dostat sa do siete... vsetkych wifi klientov migrujeme na w3000-isp v NATrouter rezime (WISP), kde je pocet spojeni v conntracku obmedzeny na 512. tj, klient mi viac spojeni do siete nikdy nikdy neposle, lebo ich nepusti jeho router... pre tych co su na LANke alebo maju z nejakeho dovodu este wifi v bridge rezime, mame dalsi stupen ochrany, a to je connection limit na APcku resp LAN routeri (w4000g), co vlastne funguje tak, ze zariadenie si periodicky kontroluje kolko conntrack poloziek ma ktory host, a ked niekto presiahne limit, nahodi mu DROP pravidlo. tj, ofiltruje sa tiez este skor, nez vojde do backbone. na hlavnom routeri mavam cez 50tisic conntrack spojeni, tam uz hladat cokolvek je jak ihlu v kope sena, len cat + grep conntracku trva vyse minuty. osobne sa mi vidi lepsie mat 1000 malych filtrov pri klientoch, nez jeden velky na centrale, ktory sa z toho s pribudajucim trafficom moze aj posr*t Wink
 
 View user's profile Send private message Visit poster's website  
Reply with quote Back to top
Jasper
1 Post subject: RE: Network monitoring tools  PostPosted: 20.02.2008 - 09:20 #61986
Basic


Joined: Mar 25, 2003
Posts: 138

kiwi wrote: ›iptables samozrejme na mirrored porte nefunguju
po explorerovej rade som ntop zahodil a skusil som to so snortom a robi to co to ma Smile, tzn. na zaklade pravidiel ktore mu dam, loguje eventy do mysql
momentalne som skusil taku vec, ze logujem vsetky packety so SYN flagom, som zvedavy kolko MB v databaze to zozerie za 24 hodin


...na sieti zatial nelogujeme, chcel by som s tym zacat. Nie som extra zbehly -> mohol by ma niekto nakopnut ako spojazdnit SNORT a SQL pre logovanie SYN paketov (Datum, Cas, Zdrojova IP, Cielova IP, Port(len standatdne porty pre HTTP, FTP a MAIL)). OS je Debian4 snort aj sql samozrejme nainstalovany. Dik.
 
 View user's profile Send private message Visit poster's website ICQ Number 
Reply with quote Back to top
Display posts from previous:     
All times are GMT
Post new topic Reply to topic
View previous topic Printable version Log in to check your private messages View next topic
 
Jump to:  

Powered by PNphpBB2 © 2003-2005 The PNphpBB Group
Credits

(C) SKFree 2002-2010: Powered by POSTNUKE. Môžete prebera? naše správy vo formáte XML(RSS)