- - W tej lekcji
skupimy się na monitorowaniu i audycie.
Zacznijmy najpierw od monitorowania.
Kiedy mówimy o monitorowaniu,
jednym z głównych zadań analityka bezpieczeństwa
jest monitorowanie sieci.
Jesteśmy jak detektywi.
Staramy się wykorzenić wszystko,
co nie wydaje się właściwe, a można to
zrobić ręcznie lub za pomocą zautomatyzowanych środków.
Obecnie syslog jest protokołem umożliwiającym różnym urządzeniom
i aplikacjom przesyłanie swoich dzienników lub zapisów
zdarzeń do scentralizowanego serwera.
Teraz syslog będzie działał zgodnie ze standardowym modelem klient-serwer.
Jest to defacto standard rejestrowania zdarzeń
z systemów rozproszonych w sieci.
Syslog jest wykorzystywany w wielu systemach, nad
którymi pracujesz na co dzień.
Obecnie syslog działa w większości systemów operacyjnych i
na większości urządzeń sieciowych.
Niezależnie od tego, czy korzystasz z routera
Cisco, maszyny z systemem Windows czy serwera Linux, wszystkie
one mogą korzystać z syslog.
Jak wygląda wiadomość syslog,
gdy wysyłamy ją z powrotem?
Cóż, komunikat syslog będzie zawierał kilka rzeczy.
Zawiera on kod PRI, który jest kodem priorytetowym.
Zawiera nagłówek i część zawierającą wiadomość.
Porozmawiajmy o każdym z nich.
Po pierwsze, mamy ten kod PRI, ten priorytet,
który zostanie obliczony na podstawie
obiektu i poziomu ważności danych.
Następnie mamy nagłówek,
który będzie zawierał znacznik czasu
zdarzenia i nazwę hosta.
Wiemy więc, skąd pochodzi i o której godzinie.
Wreszcie, mamy część wiadomości, która
zawiera proces źródłowy zdarzenia i powiązaną
treść, w zasadzie jakie dane się wydarzyły i o czym chcesz nam
powiedzieć?
I o to właśnie chodzi z częścią wiadomości.
To jest sedno tej wiadomości.
Teraz, gdy zajmowaliśmy
się syslogiem, w oryginalnej wersji ma on kilka wad.
Oryginalny protokół opierał się na protokole UDP.
Może to powodować problemy z dostarczaniem w przeciążonych sieciach,
ponieważ UDP jest protokołem typu "fire and forget".
Wysyła go i nie czeka na odpowiedź
ani potwierdzenie.
Więc po prostu zakłada, że tam dotarł.
Jeśli masz przeciążoną
sieć, dane mogą być porzucane,
a zatem informacje nie dotrą do serwera dziennika
i nie zostaną zarejestrowane.
Na początku mogło to być w porządku, ponieważ
ludzie zakładali, że wszyscy
w sieci są godni zaufania, ale obecnie
tego nie chcemy.
Chcemy mieć pewność, że nasze dane tam dotrą.
Musimy więc znaleźć rozwiązanie tego problemu.
Drugą rzeczą jest to, że nie ma zbyt wielu
podstawowych kontroli bezpieczeństwa.
Nie było niczego takiego jak szyfrowanie lub uwierzytelnianie
domyślnie dołączone do syslog.
I to znowu była kolejna wada.
Tak więc w nowoczesnych implementacjach syslog
poprawiliśmy te rzeczy.
Teraz, ze względu na te kwestie bezpieczeństwa,
nasze nowsze implementacje syslog dodały wiele różnych
funkcji i możliwości.
Omówimy tutaj kilka z nich.
Pierwsze nowsze implementacje używają protokołu TCP
do spójnego dostarczania.
W ten sposób, jeśli sieć zostanie przeciążona i wiadomość
nie będzie mogła tam dotrzeć, będzie
ona dostarczana ponownie i ponownie, ponieważ
korzysta z protokołu TCP.
Drugie ulepszenie, nowsze implementacje, mogą
wykorzystywać TLS, czyli transport layer security, do
szyfrowania wiadomości wysyłanych do serwerów.
W ten sposób przesyłane dane nie mogą zostać
odczytane przez inną osobę w sieci.
Może być odczytany tylko przez punkt końcowy, który
go wysłał i serwer, który go odbiera.
Trzecią rzeczą
jest to, że nowsze implementacje używają również MD5 i SHA1 do zapewnienia
uwierzytelniania i integralności.
W ten sposób wiadomości mogą mieć uwierzytelnianie i integralność
wiadomości podczas przechodzenia przez sieć,
aby upewnić się, że nikt inny ich nie manipuluje.
Ponownie, wiele innych funkcji.
Nie skupiam się jednak zbytnio na tym zestawie, ponieważ
tak naprawdę trzy duże, na których nam zależy, to przejście
na TCP w celu zapewnienia spójnej dostawy.
Przeszliśmy na TLS do szyfrowania
i zaczęliśmy używać MD5 i SHA1 do uwierzytelniania
i integralności.
Teraz ta nowsza wersja serwera
jest zwykle nazywana syslog-ng, czyli syslog nowej generacji
lub rsyslog.
Ostatnią rzeczą, o której chcę wspomnieć na temat
syslog, jest to, że syslog jest często używany do oznaczania trzech rzeczy.
Może odnosić się do protokołu, przez który wysyłamy dane.
Może odnosić się do serwera, jak w przypadku serwera syslog,
lub do samych wpisów dziennika, jak w przypadku
danych syslog.
Ludzie często mówią po prostu syslog i
mają na myśli wszystkie trzy lub dowolny z tych trzech,
w zależności od kontekstu.
Bądź więc ostrożny, gdy
słyszysz ludzi mówiących w branży,
aby upewnić się, że rozumiesz,
który z trzech, o których mówią, SNMP jest
naszym następnym.
SNMP to protokół prostego zarządzania siecią.
Jest to protokół TCP, który pomaga w monitorowaniu
podłączonych do sieci urządzeń i komputerów.
SNMP jest włączony do systemów zarządzania i monitorowania
sieci i jest intensywnie wykorzystywany w koncepcji
zarządzania i monitorowania.
SNMP dzieli się na trzy komponenty.
Są to zarządzane urządzenia, agent
i same systemy zarządzania siecią.
Mówimy o urządzeniach zarządzanych.
Są to komputery i inne urządzenia podłączone do sieci,
które są monitorowane za pomocą agentów
przez system zarządzania siecią.
Agenci to oprogramowanie, które jest ładowane na zarządzane urządzenie.
Dzięki temu możemy przekierować informacje
do systemu zarządzania siecią, który
będzie monitorował.
System zarządzania siecią (NMS) to oprogramowanie
uruchamiane na jednym lub kilku serwerach, które
kontroluje monitorowanie
wszystkich podłączonych do sieci urządzeń i komputerów
w całej sieci.
SNMP jest klejem, który sprawia, że wszystkie te trzy
elementy komunikują się ze sobą za pomocą protokołu SNMP.
Jak to wszystko wygląda wewnątrz sieci?
Cóż, tutaj na ekranie można zobaczyć krótki schemat.
Po lewej stronie mamy naszą stację zarządzania siecią lub nasz
NMS, który jest częścią naszego systemu zarządzania siecią.
To będzie działać jako nasz menedżer
i będzie wysyłać i odbierać wiadomości
do wszystkich zarządzanych urządzeń w sieci,
routerów, przełączników i serwerów, prawda?
Teraz, gdy chce uzyskać
informacje, wyśle żądanie
get, a następnie te urządzenia odeślą informacje
za pomocą żądania set.
Teraz jest też coś, co nazywa się żądaniem pułapki, które
będzie odbierać niezamówione informacje z tych urządzeń
zarządzających, gdzie po prostu wysyłają
informacje w razie potrzeby w okresowych odstępach
czasu.
Tak więc podczas zarządzania siecią za pomocą SNMP dostępne
są dwie opcje przesyłania danych.
Można go wysłać za pośrednictwem używanej
sieci, co jest znane jako komunikacja
wewnątrzpasmowa, lub poza pasmem.
W przypadku transmisji w
paśmie oznacza to, że dane zarządzania będą
przesyłane przez tę samą sieć, przez którą
przesyłane są informacje firmowe i zwykłe dane.
Jest to tańsze, łatwiejsze, ale mniej bezpieczne.
Teraz, aby być bardziej bezpiecznym,
należy utworzyć sieć pozapasmową.
Jest to sieć drugorzędna, w której odbywa
się całe zarządzanie, ale nadal masz
tę podstawową sieć w paśmie, w której będą znajdować
się wszystkie dane, które otrzymają użytkownicy.
Zarządzanie powinno zawsze odbywać
się w sieci pozapasmowej, ponieważ zwiększa to bezpieczeństwo
i przenosi tę funkcję zarządzania z miejsca, w którym użytkownicy
mogą ją dotknąć lub zobaczyć.