Detailní report nezávislého Network auditu pro FIRMA, s.r.o.

Transkript

1 Detailní report nezávislého Network auditu pro FIRMA, s.r.o. na základě výsledků měření sítě v období 01-02/2014. Digital Telecommunications s.r.o.. Obránců míru 208/12, Ostrava, IČ: , DIČ: CZ Tomáš Vrba jednatel tomas.vrba@dto.cz

2 1. Obsah 2. POPIS měření VÝSLEDKY měření sítě LAN - období až Rozložení celkového provozu sítě: Celkový objem přenesených dat: Nejčastěji využívané síťové služby TCP: Nejčastěji využívané síťové služby UDP: Poštovní provoz: Protokoly messenger klientů: Servisní provoz: Stanice s největším množstvím TOKŮ: Stanice s největším počtem ODESLANÝCH dat: Stanice s největším objemem STAŽENÝCH dat v síti: Stanice s největšími DATOVÝMI PŘENOSY: TOP WEBOVÉ SERVERY: TOP klienti WEBOVÝCH SERVERŮ: TOP odesílatelé pošty a SMTP servery: TOP uživatelé pošty a POP3/IMAP servery: Manažerský souhrn TOP ADS SYSTÉM detekce anomálií a nežádoucího chování v datové síti v období ANALÝZA sítě LAN: LAN / LAN / LAN / LAN / LAN / LAN 10.21/ LAN 10.23/ LAN / LAN / LAN / LAN / LAN / LAN /24 (multicast) LAN ostatní = not net 10.0/16 and not net 10.34/16 and not net / VLAN tags

3 5.16. VLAN tag = VLAN tag = LAN ALL - order by IP with SUM trafic (Bytes) src net /24 and dst net / src net /24 and dst net / src net /24 and dst net / src net /24 and dst net / src net 10.21/16 and dst net / src net 10.23/16 and dst net / src net /24 and dst net / src net /24 and dst net / src net /24 and dst net / src net /24 and dst net 10.21/ src net /24 and dst net 10.23/ src net /24 and dst net / src net /24 and dst net / src net /24 and dst net / src net /24 and dst net / src net /16 and dst net / IP = CISCO IP =? IP = AD IP = MAIL IP = SERVER DELL rack IP = SERVER DELL tower IP = RADIUS IP =? IP IP = TERMINAL IP = CERT.AUTORITA CA IP =? IP = SWITCH IP = = SWITCH IP = VIDEOPŘENOSY IP = VIDEOPŘENOSY VIDEOPŘENOS ze dne od 16:00 do 23:55 (IP , ) IP = TISKÁRNA

4 5.53. IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA IP = PC IP = PC IP = TEST PC IP = WiFi AP IP = WiFi AP IP = WiFi AP WiFi test přenosu (8:00-9:30) IP = management IT (?) IP = management IT (UPS) RYCHLOST INTERNETu OTEVŘENÉ/NEZABEZPČENÉ porty na veřejných IP adresách

5 2. POPIS měření Měření probíhalo v období až za pomocí síťové sondy NetFlow IFP-4000-CU a FlowMon Monitoringu a FlowMon ADS. Termíny: od do (24 dnů) měření sítě LAN nastavení MIRROR u vybraných portů v hlavním switchi: 1/g22 > připojení k metropolitní síti Brna + internet 1/g23 > připojení k virtuální telefonní síti Vodafone (pevné IP linky) 2/g23 + 2/g24 > Připojení serveru R710 (virtuální servery: Mail, CA, Terminálový server) 3/g23 + 3/g24 > Připojení serveru T300 (virtuální servery: AD, DHCP, DNS) 4/g23 + 4/g24 > Připoení ke switchi se zapojenými tiskárnami a WiFi přístupovými body. od do (14 dnů) měření sítě TISK+WiFi nastavení MIRROR u všech portů v pomocném switchi Certifikace pro autorizované zpracování výsledků: 5

6 3. VÝSLEDKY měření sítě LAN - období až Rozložení celkového provozu sítě: celkový provoz sítě vykazuje pravidelný průběh a je zobrazen v počtech bitů, paketů a toků za sekundu 3.2. Celkový objem přenesených dat: 6

7 3.3. Nejčastěji využívané síťové služby TCP: zobrazení deseti nejpoužívanějších TCP portů. Služby využívající známé porty (tzv. well-known ports) jsou již označeny odpovídajícím jménem služby, ostatní (neznámé, popř. dynamicky přidělované) jsou označeny numerickou hodnotou Nejčastěji využívané síťové služby UDP: zobrazení deseti nejpoužívanějších UDP portů 7

8 3.5. Poštovní provoz: zobrazení poštovního provozu v síti včetně souhrnných statistik dle jednotlivých protokolů 8

9 3.6. Protokoly messenger klientů: zobrazení provozu používaných messenger klientů 9

10 3.7. Servisní provoz: zobrazení služeb servisního provozu sítě 10

11 3.8. Stanice s největším množstvím TOKŮ: zobrazení deseti nejaktivnějších stanic v síti z pohledu počtu zaznamenaných toků. Nadměrný výskyt může indikovat pokus o prolomení počítačové sítě (lámání hesel, skenování sítě, aj.) či šíření virů a červů v síti. 11

12 3.9. Stanice s největším počtem ODESLANÝCH dat: zobrazení deseti nejaktivnějších stanic v síti z pohledu objemu odeslaných dat. Zobrazené stanice způsobují největší vytížení interní infrastruktury. 12

13 3.10. Stanice s největším objemem STAŽENÝCH dat v síti: zobrazení deseti nejaktivnějších stanic v síti z pohledu objemu stažených dat 13

14 3.11. Stanice s největšími DATOVÝMI PŘENOSY: zobrazení deseti nejaktivnějších stanic v síti s největším objemem přenesených dat (stažených i přijatých). Stanice uvedené v tomto seznamu by měly spadat do kategorie serverů, klíčových síťových prvků infrastruktury. 14

15 3.12. TOP WEBOVÉ SERVERY: zobrazení deseti nejvyužívanějších webových serverů 15

16 3.13. TOP klienti WEBOVÝCH SERVERŮ: zobrazení deseti nejaktivnějších stanic v síti z pohledu aktivity na webových serverch, tzn. stanice využívající porty TCP/80 a TCP/443 16

17 3.14. TOP odesílatelé pošty a SMTP servery: zobrazení deseti nejaktivnějších stanic v síti z pohledu SMTP provozu, čili klienti, kteří odesílají nejvíce pošty a nejvíce využívané poštovní (SMTP) servery. 17

18 3.15. TOP uživatelé pošty a POP3/IMAP servery: zobrazení deseti nejaktivnějších stanic v síti z pohledu POP3, SPOP3, IMAP, IMAPS provozu, čili uživatelé pošty a nejvíce využívané poštovní servery. 18

19 3.16. Manažerský souhrn TOP 10 19

20 20

21 21

22 4. ADS SYSTÉM detekce anomálií a nežádoucího chování v datové síti v období

23 23

24 24

25 25

26 26

27 27

28 28

29 29

30 30

31 31

32 32

33 33

34 34

35 5. ANALÝZA sítě LAN: 5.1. LAN /24 35

36 5.2. LAN /24 36

37 5.3. LAN /24 37

38 5.4. LAN /24 38

39 5.5. LAN /24 39

40 5.6. LAN 10.21/16 40

41 5.7. LAN 10.23/16 41

42 5.8. LAN /24 42

43 5.9. LAN /24 43

44 5.10. LAN /24 44

45 5.11. LAN /24 45

46 5.12. LAN /24 46

47 5.13. LAN /24 (multicast) 47

48 5.14. LAN ostatní = not net 10.0/16 and not net 10.34/16 and not net /16 48

49 5.15. VLAN tags VLAN tag = 10 49

50 5.17. VLAN tag = LAN ALL - order by IP with SUM trafic (Bytes) 50

51 5.19. src net /24 and dst net / src net /24 and dst net / src net /24 and dst net / src net /24 and dst net /24 51

52 5.23. src net 10.21/16 and dst net / src net 10.23/16 and dst net / src net /24 and dst net / src net /24 and dst net /24 52

53 5.27. src net /24 and dst net / src net /24 and dst net 10.21/ src net /24 and dst net 10.23/ src net /24 and dst net / src net /24 and dst net /16 53

54 5.32. src net /24 and dst net / src net /24 and dst net / src net /16 and dst net /24 54

55 5.35. IP = CISCO 55

56 5.36. IP =? 56

57 5.37. IP = AD 57

58 5.38. IP = MAIL 58

59 5.39. IP = SERVER DELL rack 59

60 5.40. IP = SERVER DELL tower 60

61 5.41. IP = RADIUS 61

62 5.42. IP =? 62

63 5.43. IP

64 5.44. IP = TERMINAL 64

65 5.45. IP = CERT.AUTORITA CA 65

66 5.46. IP =? 66

67 5.47. IP = SWITCH IP = = SWITCH 2 67

68 5.49. IP = VIDEOPŘENOSY 1 68

69 5.50. IP = VIDEOPŘENOSY 2 69

70 5.51. VIDEOPŘENOS ze dne od 16:00 do 23:55 (IP , ) 70

71 5.52. IP = TISKÁRNA IP = TISKÁRNA 71

72 5.54. IP = TISKÁRNA IP = TISKÁRNA 72

73 5.56. IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA 73

74 5.59. IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA 74

75 5.62. IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA 75

76 5.65. IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA 76

77 5.68. IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA 77

78 5.71. IP = TISKÁRNA IP = TISKÁRNA IP = TISKÁRNA 78

79 5.74. IP = PC 79

80 5.75. IP = PC 80

81 5.76. IP = TEST PC 81

82 5.77. IP = WiFi AP1 82

83 5.78. IP = WiFi AP2 83

84 5.79. IP = WiFi AP3 84

85 5.80. WiFi test přenosu (8:00-9:30) a) Veřejná, otevřená WiFi přidělená IP adresa = / / výstupní veřejná IP = x.x.x.x rychlost internetu = 0,17 Mbps / 0,24 Mbps povolené porty OUT = 80 (ale na vnitřní OK) povolené porty IN = otevřený telnet 23, ostatní směrem dovnitř odmítnuto připojené přes AP = (= , = ) b) Interní, skrytá WiFi přidělená IP adresa = / / výstupní veřejná IP = x.x.x.x rychlost internetu = 20,85 Mbps / 24,72 Mbps povolené porty OUT = neblokováno povolené porty IN = otevřený telnet 23, ostatní směrem dovnitř odmítnuto připojené přes AP = (= , = ) Při testu dne bylo zkopírováno cca 330MB dat z počítače na WiFi NTB (čas 8:28 8:34). Měření sítě zaznamenalo toto kopírování následujícím způsobem: 85

86 86

87 5.81. IP = management IT (?) 87

88 5.82. IP = management IT (UPS) 88

89 6. RYCHLOST INTERNETu 7. OTEVŘENÉ/NEZABEZPČENÉ porty na veřejných IP adresách 89

90 90