IPFIXCOL MODULÁRNÍ KOLEKTOR SÍŤOVÝCH TOKŮ Lukáš Huták CESNET 4. listopad 2018 OpenAlt, Brno
CESNET VE ZKRATCE Zájmové sdružení Členové (26 univerzit + AV ČR) Připojeno ~ 300 menších organizací (školy, úřady, ) Činnost Rozvoj a provoz sítě národního výzkumu a vzdělávání Podpora vzdělávání, kultury, atd. a mnohem více na cesnet.cz
INFRASTRUKTURA MONITOROVÁNÍ TOKŮ
MONITOROVÁNÍ TOKŮ (ZÍSKÁNÍ ZÁZNAMŮ) SRC IP:Port DST IP:Port Proto Start TS Duration Pkts Bytes
MONITOROVÁNÍ TOKŮ (ZÍSKÁNÍ ZÁZNAMŮ) SRC IP:Port DST IP:Port Proto Start TS Duration Pkts Bytes A.A.A.A:65345 B.B.B.B:80 TCP 13:14:46.597 0.0 1 40
MONITOROVÁNÍ TOKŮ (ZÍSKÁNÍ ZÁZNAMŮ) SRC IP:Port DST IP:Port Proto Start TS Duration Pkts Bytes A.A.A.A:65345 B.B.B.B:80 TCP 13:14:46.597 0.0 1 40 B.B.B.B:80 A.A.A.A:65345 TCP 13:14:46.773 0.0 1 40
MONITOROVÁNÍ TOKŮ (ZÍSKÁNÍ ZÁZNAMŮ) SRC IP:Port DST IP:Port Proto Start TS Duration Pkts Bytes A.A.A.A:65345 B.B.B.B:80 TCP 13:14:46.597 5.489 6 945 B.B.B.B:80 A.A.A.A:65345 TCP 13:14:46.773 5.499 7 625
VSUVKA O FORMÁTU IPFIX Zachycené zprávy jsou naformátovány do podoby IPFIX a odeslány na kolektor Binární; nástupce NetFlow Formát záznamů je definován pomocí tzv. šablon (každý exportér může monitorovat různé vlastnosti provozu) Podpora proprietárních položek (Cisco, NetScaler, ) Řetězce variabilní délky, biflow, strukturované typy Zajímavost: lze zneužít i pro jiné přenosy (např. naměřené teploty z IoT senzoru)
MONITOROVÁNÍ TOKŮ (SBĚR ZÁZNAMŮ) Kolektor IPFIXcol
MONITOROVÁNÍ TOKŮ (SBĚR ZÁZNAMŮ) Kolektor IPFIXcol
IPFIXCOL ANEB KDYŽ KOLEKTOR TAK MODULÁRNĚ Kolektor IPFIXcol MODULÁRNÍ Poskládej si, co potřebuješ Vstupní/vnitřní/výstupní parametrizovatelné moduly Např. různé výstupní formáty (JSON, FastBit, UniRec, atd.) PARALELNÍ DESIGN Výkon na prvním místě Máme mnoho toků a v budoucnu jich bude ještě více Dostupný na github.com/cesnet/ipfixcol2 Již druhá generace postupný převod a modernizace modulů
Kolektor IPFIXcol USE CASE: STREAMOVÁ ANALÝZA TOKŮ
USE CASE: STREAMOVÁ ANALÝZA TOKŮ Kolektor IPFIXcol HostStats DDoS detektor detekované incidenty záznamy toků (UniRec) Bruteforce detektor VPort-scan detektor Amplification det. Nemea
USE CASE: STREAMOVÁ ANALÝZA TOKŮ Kolektor IPFIXcol HostStats DDoS detektor detekované incidenty Honeypoty, IDS/IPS, jiné zdroje událostí záznamy toků (UniRec) Bruteforce detektor VPort-scan detektor Amplification det. Nemea správci sítí
USE CASE: MANUÁLNÍ ANALÝZA TOKŮ Kolektor IPFIXcol Uložiště Administrátor záznamy toků (nfdump formát) Filtrovací/agregační dotazy *Do budoucna vlastní formát podporující nové schopnosti IPFIX formátu
USE CASE: VIZUALIZACE A DETEKCE ANOMÁLIÍ Kolektor IPFIXcol Apache Spark (streamová analýza) záznamy toků (JSON) Apache Kafka Elastic Stack + GUI (dotazování a vizualizace)
USE CASE: VIZUALIZACE A DETEKCE ANOMÁLIÍ Kolektor IPFIXcol Apache Spark (streamová analýza) záznamy toků (JSON) Apache Kafka Elastic Stack + GUI (dotazování a vizualizace)
ARCHITEKTURA KOLEKTORU
ARCHITEKTURA KOLEKTORU
ARCHITEKTURA KOLEKTORU TCP UDP SCTP Anonymizace RRD statistiky Profiler JSON Nfdump formát UniRec a jiné
PARALELIZACE Jednosměrná datová pipeline (se signalizačními zprávami) co instance modulu, to samostatné vlákno komplikovanější udržování stavových informací Mezi instancemi jsou kruhové buffery pro předávání IPFIX zpráv se záznamy vylepšený design buffer se synchronizačním blokem (> 30x rychlejší než naivní řešení)
PARALELIZACE Jednosměrná datová pipeline (se signalizačními zprávami) co instance modulu, to samostatné vlákno komplikovanější udržování stavových informací Mezi instancemi jsou kruhové buffery pro předávání IPFIX zpráv se záznamy vylepšený design buffer se synchronizačním blokem (> 30x rychlejší než naivní řešení)
PROČ VYZKOUŠET IPFIXCOL Rychlost (na běžném HW) 1 000 000 záznamů/s do JSONu 1 500 000 záznamů/s do nfdump souboru Snadno rozšiřitelná podpora privátních položek různých výrobců sond/exportérů (dneska lze ocenit zejména při konverzi do JSONu...) Nově podpora Biflow (obousměrné toky lepší analýza do budoucna)
PROČ VYZKOUŠET IPFIXCOL Rychlost (na běžném HW) 1 000 000 záznamů/s do JSONu 1 500 000 záznamů/s do nfdump souboru Snadno rozšiřitelná podpora privátních položek různých výrobců sond/exportérů (dneska lze ocenit zejména při konverzi do JSONu...) Nově podpora Biflow (obousměrné toky lepší analýza do budoucna) Heartbleed (chyba v knihovně OpenSSL) - Do sondy přidán vlastní plugin - IPFIXcol přeposílal do systému Nemea a speciální modul detekoval incidenty - ~ 7 dní od objevení chyby
VYZKOUŠEJTE SI Máte malou síť nebo vás zajímá, s kým dlouhodobě komunikuje vaše PC? Softwarový exportér yaf (tools.netsa.cert.org/yaf/) yaf --in <síť. rozhraní> --live pcap --out 127.0.0.1 --ipfix tcp --idle-timeout 30 --active-timeout 300 ipfixcol2 (ukázková konfigurace dostupná na GitHubu) github.com/cesnet/ipfixcol2 Vstupní TCP modul Výstupní JSON modul do souboru yaf TCP vstup Preprocesor + výstupní mgr. JSON výstup
SPOLUPRÁCE Zaujaly Vás aktivity nebo projekty? Přidejte se k nám https://www.cesnet.cz/sdruzeni/kariera/ Spolupráce se studenty BP, DP Dotazy: lukas.hutak@cesnet.cz