sFlow/NetFlow InMonTrafficSentinelのご紹介

Size: px

Start display at page:

Download "sFlow/NetFlow InMonTrafficSentinelのご紹介"

しょうこてらわ
5 years ago
Views:

1 sflow / NetFlow InMon TrafficSentinel のご紹介フローマネージメントを活用したネットワークの可視化と管理出野真也 IDENO@flownetsecure.com 1

2 フローマネージメントとはフローマネージメントとはソースとデスティネーション間のフレームの流れを以下のような内容などを認識し分析すること Source / Destination Address Source / Destination Port 番号 Protocol Interface TOS ( IP type of service ) / Priority ( 802.1p ) VLAN (802.1Q) AS 番号次のような分析が可能なぜネットワークが遅いのか? 誰がネットワークを使っているか? 誰が何をしているか? セキュリティ対策は出来ているか? SPAM DoS 攻撃ウイルスワームは? ネットワークの使用内容は? マルチキャスト通信はどの程度? 2

3 sflow とはフローマネージメントを実現するために策定された新たなテクノロジー - ハイスピードネットワークにおいて低コストで効果的なモニタリングを実現 - SNMP や RMON2 に代わる新しい管理技術米国 InMon 社によって開発され規格化し公開 : Open Standard IETF RFC3176(sFlow V4) 多くのスイッチルータ機器ベンダーで実装されているネットワークトラフィックモニタリング技術 (Industry standard) ネットワーク全体を可視化 : 全てのスイッチルータで全てのインターフェースを測定サンプリングベースのテクノロジースイッチやネットワークのパフォーマンスへの影響が少ないハイスピードネットワーク内のトラフィックのモニタリングに効果的 NetFlow/J-Flow/IPFIX はキャッシュベース ( デバイス側でフローを生成 ) ネットワーク機器埋め込み型として設計されたモニタリングテクノロジールータスイッチ内に実装されスイッチの ASIC にて処理スイッチの sflow エージェントが sflow を生成し sflow マネージャーへ即座に送信 MIB やキャッシュ上で保持カウントしない特別な機器を増設することなく sflow 対応デバイスであれば即座に使用可能 3

4 sflow データグラムフォーマット sflow Datagram Packet Header Src/Dst i/f Sampling Perms Forwarding user ID URL i/f counters Flow sample ( フローデータ ) Packet Header : サンプルパケットのパケットヘッダー情報 ( 一部ペイロード含む ) Src/Dst i/f : 入出力インターフェースの ifindex Sampling Perms : sflow ハラメーター (Sampling Rate,Sampling Pool etc) Forwarding Priority ( Src/Dst 802.1p/TOS) VLAN ( Src/Dst 802.1q) Next hop address Source AS, Source Peer AS Destination AS Path Communities, local preference MPLS User ID : Src/Dst RADIUS/TACACS URL SNMP Counter Sample (SNMP カウンター値 ) i/f counters : インターフェースカウンター統計値 4

5 sflow の実装ベンダー sflow 実装ベンダー ; A10 Networks, ADARA Networks, Aerohive, AlaxalA Networks, Alcatel-Lucent Enterprise, Allied Telesis, Arista Networks, AT&T, Aruba Big Switch Networks, Black Box Network Services, Brocade, Cameo Communications, Cisco, Comtec Systems, Cumulus Networks Dax Networks, Digital China Networks (DCN), Dell, D-Link, DrayTek Corp. Edge-Core Networks, Enterasys, Extreme Networks, F5, Fortinet Gambit Communications, Hewlett-Packard, Hitachi, Huawei, IBM, IP Infusion ITS Express, Juniper Networks, LANCOM Systems, LevelOne, LG-ERICSSON, Maipu, Mellanox, MRV, NEC, NETGEAR, Nevion, Open vswitch, Overture Networks, Pica8, Plexxi, Pluribus Networks, Proxim Wireless, Quanta Computer, Radisys Corporation, Silicom Ltd., SMC Networks, Themis Computer, Vyatta, Xenya, XRoads Networks, ZTE, ZyXEL, and... InMon Corp. 詳しくはを参照いただき詳細は各ベンダーにご確認ください 5

6 スイッチに実装された業界標準測定技術 6

7 商用の半導体基板でのサポートによる測定の標準化物理的レベル ( チップポート基盤 ) での実装共通で使用されるチップベースで sflow が提供されるので多くのデバイスベンダーでの実装が進んでいる 7

8 sflow 以外のサポートベンダー NetFlow 系 (NetFlow/J-Flow/IPFIX) 実装メーカー各機器での対応状況の詳細はハードベンダー様へご確認下さい 8

9 sflow: トラフィック量の計算サンプリングされた情報から実際のフレーム数やバイト数を導き出すプロトコル別トラフィック量の計算入力したフレームの総数 = N 総サンプル数 = n そのクラス ( フロトコル ) でのサンプル数 = c そのクラス別のフレーム数は次式により計算 : N c c n N 例 : 入力したフレームの総数 = 1,000,000 サンプリングレート = 0.25% 総サンプル数 = 2,500 Voice トラフィックのサンプル数 = 1,000 表示される Voice トラフィックのフレーム数は : 1,000 1,000,000 2, ,000 フレームサンプリングの誤差が発生統計的手法 (95% 信頼区間分析 ) により把握 9

10 % Error sflow: サンプリングの誤差 ( 解析精度 ) サンプリングの誤差 95% 信頼区間によって分析 100% 75% 50% サンプリングの誤差 (95% 信頼区間 ) 例 :95% の信頼区間でのエラー率を前ページの例で計算すると Voice トラフィックのサンプル数 = 1,000 なので 1 % Error % 1,000 25% 0% クラス別のサンプル数 95% 信頼区間計算式 : 1 %error 196 c 表示された 400,000 フレームに対し 95% 信頼区間では ±6.2% が誤差になるので区間は 375,200 フレーム (Lower) ~ 424,800 フレーム (Upper) となる +6.2% 400,000 フレーム -6.2% 10

11 sflow: サンプリング分析のコンセプト誤差とトラフィックはトレードオフの関係 ( トラフィック = 分析対象トラフィック ) トラフィックが多い誤差は少ない / トラフィックが少ない誤差は大きい誤差を少なくするには? 対象となるフローを増加 ( サンプリングレートを上げる? 分析対象期間を延ばす? ) 誤差を少なくする分析トラフィックが多い場合 : 通常のサーバーアクセス (HTTP 通信など ) DoS 攻撃トラフィックが多いのでリアルタイムでも誤差は少ないトラフィックが少ない場合 : 使用頻度通信量の少ない通信 ( チャット通信など ) トラフィックが少ないのでリアルタイムでは誤差が大きい対象期間を延ばす ( 分から時間, 日, 週, 月へ ) と対象トラフィックが多くなるので誤差が少なくなるサンプリング分析のコンセプトメジャーなトラフィックは誤差が少なくリアルタイム性も保たれるマイナーなトラフィックは対象期間を延ばし誤差を低減スイッチパフォーマンスネットワークパフォーマンスの悪化を防ぐサンプリングベースのテクノロジの為 1G/10G ネットワークから更なるハイスピードネットワークへの対応が可能 11

12 NetFlow Cisco NetFlow Cisco が開発した技術ネットワーク上の IP フローについてネットワーク管理者が情報収集する手段を提供エクスポートされた NetFlow データはネットワークの管理やプランニング課金攻撃対策データマイニングなど様々な用途に利用可能 NetFlow が出力する基本データはフローレコードと呼ばれるバージョン 1,5,7,8,9 が存在バージョン 9 は RFC3954 として公開 ( ただオープンな規格ではなく CISCO の規格として浸透 ) 一般的には全てのポートをモニターするのではなく特定のポートをモニターキャッシュベースのテクノロジー ( キャッシュ上でフローをカウント ) L3 以上のトラフィックの分析が可能 (L2 の分析 (MAC アドレス分析など ) は不可 ) NetFlow はフローとして集計された情報として送られるマネジャー側でフロー情報化する必要がない Juniper の J-Flow は NetFlow と同等の規格ただしサンプリング必須パフォーマンス上に問題がある場合はサンプリングテクノロジーを使用した Sampled NetFlow も用意されている Sampled NetFlow 機能を使用すればルータに転送される x 個の IP パケットごとに 1 個のパケットをサンプリングできますサンプリングパケットはルータの NetFlow フローキャッシュに取り込まれますこのサンプリングパケットにより大多数のパケットに対して NetFlow 用の追加処理が不要となるのでスイッチング処理がより高速に行えるようになり NetFlow パケットの処理に要する CPU 使用率を大幅に低減できます ( Cisco マニュアルより抜粋 ) 12

13 NetFlow フロー以下の図の内容をフローとして統計値 ( フレーム数バイト数 ) を NetFlow キャッシュ内でカウント NetFlow キャッシュ内で保持カウントしている情報を特定のタイミング ( 条件 ) でエクスポートフロー ( 7 つのキー ) Source IP Address Source Port Destinetion IP Address Destinetion Port Layer 3 プロトコルタイプ TOS byte インターフェース ( ifindex ) フローをエクスポートするタイミングインアクティブタイマー ( デフォルト :15 秒 ) 該当のフローセットのセッションが 15 秒間インアクティブ ( 無音 ) の時エクスポートコマンド ip flow-cache timeout inactive 15 で設定アクティブタイマー ( デフォルト :30 分 ) 該当のフローセットのセッションが継続している場合 30 分経過時点でエクスポートコマンド ip flow-cache timeout active 30 で設定 TCP コネクションの RST や FIN フラグの検出 NetFlow キャッシュがフル 13

14 sflow vs NetFlow sflow RFC3176 として公開 ( 機器ベンダ非依存のオープンな規格 ) サンプリングベース対象レイヤー :L2-L7+Payload 高速スイッチングネットワークの測定を目的に開発 WAN のモニタリング (BGP AS path 分析 ) 全インターフェースをモニター AS 分析 (OriginAS/SourcePeerAS/DestPeerAS/DestinationAS Path) NetFlow RFC3954 として公開 (Cisco 色が強い ) キャッシュベース対象レイヤー :L3-L4 WAN リンクの測定が主たる目的としてリリース LAN のモニタリング (Catalyst への NetFlow の実装 ) 特定のインターフォース (VLAN) をモニター AS 分析 (SourcePeerAS/DestPeerAS) 14

15 sflow / NetFlow / J-Flow / IPFIX etc によるフローマネージメントシステム - ネットワーク全体を常時監視 - InMonTrafficSentinel は sflow/netflow/j-flow/ipfix を解釈しフローマネージメントを通してあらゆる企業に有益な情報を提供します今までの SNMP ベースのネットワーク管理では実現し得なかったネットワーク全体に対するネットワークトラフィックの常時監視と分析が可能となります誰がいつどの様な通信をしているのか? 全社に渡るネットワーク使用状況を把握したいがコストが InMonTrafficSentinel の主要機能 ; トラブルシューティングセキュリティ対策キャパシティープランニングシステムのあらゆる側面 ( アプリケーションサーバーネットワークなど ) を一元的総合的に管理 InMonTrafficSentinel のご紹介 Complete Network Visibility and Control - InMonTrafficSentinel による完全なるネットワークの可視化と管理 - InMonTrafficSentinelは sflowをietfでrfc3176として公開したinmon 社が開発したフローマネージマントシステムで世界で唯一すべてのsFlow 統計値を管理できるマネージャーです 15

16 日本語版の提供 InMon Traffic Sentinel は日本語版アプリケーションとして提供します 16

17 Traffic Sentinel ドリルダウン : ネットワーク全体ステータス全てのグループ ( 拠点組織 etc) の中で問題のあるグループをアラートしきい値超過 17

18 Traffic Sentinel ドリルダウン : 問題のロケーション問題のあるグループでのアラートの内容とロケーションの把握ロケーションの把握 18

19 Traffic Sentinel ドリルダウン : 原因の認識アラートに対するトラフィックフローへのドリルダウントラフィックへのドリルダウン IP src, dst TCP port 19

20 発生アラートのロケーションの把握 Traffic Sentinel ドリルダウン : ホストのロケーションスイッチポートでのホストのロケーション 20

21 Traffic Sentinel ドリルダウン : パケットパスのトレースパケット ( トラフィック ) パスのトレースパケットパスのトレース 21

22 SNMP カウンター情報では十分ではないカウンター情報は障害があることを知らせるが原因はわからないカウンター情報はパフォーマンスを集約できるが下記の様な重要な情報は含まれていない : IP アドレスプロトコル URL Memcache keys パフォーマンスの問題を解明するためにはもっと効果的な情報が必要である 1 秒に数百万ものトランザクションがある場合どのようにしてデータを収集することができるか? フルパケットキャプチャ? 現実的ではないなぜトラフィックがここでスパイクしたのか? (100Gb リンクで 14,000,000 packets/second) 22

23 sflow はトラフィックをサンプリングしエクスポートランダムサンプルは低負荷サンプルされたトランザクションをフロー化するのに要求されるリソースは最小限である top keys, connections, clients, servers, URLs などを識別するのが容易. 既知のサンプリングレートでの分析 client, server, port で示されたトラフィックの発生 (14,000,000 packets/second が流れる 100Gb リンクでのサンプルをベースとしたグラフ ) 23

24 トラフィックフローの可視化どこで何がいつ問題解決の為の情報を入手どこで何がいつ 24

25 あらゆるトラフィックの調査運用管理を受け持っているサーバへの接続状況調査 : サーバーアドレスポートクライアントアドレス 25

26 ユニキャストトラフィックユニキャストトラフックをフィルタリング :MAC アドレスでフィルタ MAC アドレスでフィルタ 26

27 エンドホストロケーションロケーション :DNS IP MAC Interface VLAN etc での一覧 DNS Name,Address(IPv4/IPv6), MAC,Interface,VLAN etc 27

28 パケットパスのトレース : 仮想スイッチ仮想スイッチの個々の仮想ポート経由でのパケットパスのトレース 28

29 パケットパスのトレース : 仮想スイッチ VM UUID によるネットワークトラフィックのフィルタリンククロスレイヤーでの相関関係 OpenStack-PROJECT OpenStack-USERID VM UUID VM MAC VPORT VM IP VNI 29

30 サービスの可動性サービスの移動はデータセンター全体のサービス停止につながることがある S1 S1 S2 S2 S1 の負荷分散バックボーンの負荷増大によりデータセンター全体のパフォーマンス障害に発展する 30

31 LAN/SAN コンバージェンスストレージトラフィックはネットワーク使用率を劇的に増加させ SAN や LAN のパフォーマンスに影響を与える iscsi トラフィックはネットワーク上の主要なトラフィック顧客は最近 iscsi ストレージクラスタをネットワーク上に展開しました以前は HTTP / Web トラフィックが支配的でしたが今やストレージトラフィックは支配的です 31

32 物理リソースに対する輻輳内容の識別スイッチ間を経由していくトラフィックの物理的なパスを視覚化輻輳しているリンクを識別混雑しているリンクの輻輳の原因となるコネクション (Top Connections) の識別 32

33 マップ : 全体を俯瞰全体のパスを俯瞰問題解決の為の情報を入手接続プロトコルホスト 33

34 マップ : レイヤー 2 スイッチリンクパスレイヤー 2 レベルでのコネクションパストレースマップ : 34

35 マップ : レイヤー 4 クライアント - サーバー依存関係レイヤー 4 レベルでの接続プロトコルマップ : 35

36 Host sflow ( サーバーパフォーマンスの測定 ) ホスト ( サーバ ) にインストールして統計値を計測計測値は sflow(host sflow) としてマネージャに送信データセンター内の全てのシステムのパフォーマンス計測を集約し表示計測値を結合計測値を比較このシステムが関連するネットワークリソースや生成されるトラフィックと関連付けることが可能 Host sflow ダウンロード : 現在 Host sflow プロジェクト ( が一般的なオペレーティングシステムやアプリケーションに sflow を実装するのに関連する各種オープンソースプロジェクトの中心になっている 36

37 サーバーモニタリング : トップサーバー全てのサーバーのパフォーマンス (Load,CPU,Memory etc) を集約 : 37

transaction-sampling Application transactions: application operation client server initiator

38 アプリケーションモニタリング (Application sflow) counter-push Per-application counters: status codes cpu memory file-descriptors connections threads transactions delayed transactions dropped transaction-sampling Application transactions: application operation client server initiator target attributes status time duration bytes sent/received 例 : HTTP, memcached, database queries, storage r/w, VoIP calls 38

仮想化環境 : 仮想スイッチのフロー化 VM1 VM2 VM3 VM4 Virtual Machines Virtual Network Adapters Virtual Switches Physical Network Adapters 仮想スイッチに実装された sflow 等は仮想マシンの可視化を実現する

39 仮想化環境 : 仮想スイッチのフロー化 VM1 VM2 VM3 VM4 Virtual Machines Virtual Network Adapters Virtual Switches Physical Network Adapters 仮想スイッチに実装された sflow 等は仮想マシンの可視化を実現する Local Area Networks Open vswitch (Xen,KVM,Proxmox VE,VirtualBox) : sflow/netflow/ipfix Microsoft Windows 2012 Server Hyper-V : sflow VMWARE vsphere : NetFlow 39

40 仮想スイッチでの sflow モニタリング : トラフィックフロー Windows2012HyperV-VM 全てのトラフィックを可視化 VM-VM, VM から他ホスト Layer 2 TCP/UDP 管理されたスイッチトラフィックデータ VLANs Layer 2 priorities (CoS etc) IPv6 40

41 仮想スイッチでの sflow モニタリング : インターフェースカウンター XenServer-VM ネットワーク管理での重要要素であるインターフェース使用率のトレンド sflow は仮想インターフェースを管理するための現実的な方法 sflow カウンターエクスポートは 200,000 以上の仮想ポートをサポートできるスケーラビリティー 41

42 統合されたデータモデル Traffic Sentinel は各種 sflow データを統合します Sampled Transactions APPLICATION Transaction Counters TCP/UDP Socket CPU Memory Packet Header HOST I/O Power, Temp. Source TCP/UDP Socket Destination TCP/UDP Socket Adapter MACs MAC Address MAC Address Sampled Packet Headers 独立したエージェント NETWORK I/F Counters Power, Temp. 測定値をリンクさせるとデータの値が指数関数的に増加します 42

43 sflow は仮想スイッチサーバアプリケーションを統合的にモニタリング Simple agents Network Servers Virtual switches Virtual servers Applications Internet Smart collector Analyser System-wide integrated visibility and control 43

44 sflow は総合的な可視化を提供する Applications Apache/PHP Tomcat/Java Memcached Virtual Servers Virtual Network Servers Network Embedded monitoring of all switches, all servers, all applications, all the time 一貫性のある測定が複数の管理ツールで共有される 44

45 各種レポーティング機能豊富なレポートテンプレートからのレポート作成スケジュール化が可能 45

46 スクリプト /API 連携スクリプト /API 連携によるアクセスが可能 REST API ブラウザ 46

47 レホーティンク機能 : 障害発生検知レポートトラフックの内容に対ししきい値を設定し超過時にイベントを発生させるしきい値 : トラフィック ( プロトコルアドレスグループなど ) に対して設定スケジュール化し超過時にイベントを発生させる例 : 拠点内のサーバーで ICMP ECHO を 10,000 フレーム / 秒受信した場合に DoS 攻撃と判断しイベントを発生しレポートを作成する 47

48 レホーティンク機能 : カスタマイズレポート豊富なテンプレートを編集してカスタマイズレポートが作成可能文言表示情報表示情報のフィルタリングなどの編集が可能定型レポートはスケジュール化 48

49 レホーティンク機能 :VoIP-RTP レホート VoIP は RTP によって提供されます sflow によって RTP の Codec QoS の把握が可能です Packet loss は均一的に継続しかし Jitter は 10:35 にスパイク 49

50 レホーティンク機能 :AS パスとパス上のフローは最も激しく使用されている AS パスでまたパスも長いこの AS パスによって転送されているフローの把握 50

セキュリティ管理 : 振る舞い検知ポートスキャンや新種のウイルスワームの検知 : 172.16.

51 セキュリティ管理 : 振る舞い検知ポートスキャンや新種のウイルスワームの検知 : は TCP ポート 445 や 139 を使用して多くのホストとの接続が測定された 51

52 セキュリティ管理 : 履歴データによる監査監査 : フローログ - サーバーへの TELNET 接続者のログ特定のサーバーへのアクセスや特定のクライアントの使用内容の把握 52

53 ダッシュボード機能ログインユーザー毎にダッシュボードが作成できます使用頻度の高いグラフ等を任意に組み合わせて自分用画面が作成できます 53

54 sflowtrend のご紹介 sflowtrend はフリー ( 無償 ) のツールですグラフィカルな sflow コレクターでトップトーカーやインターフェースカウンターを経過時間に渡りプロットします弊社の sflowtrend ホームページよりダウンロードインストールできます 54

55 sflowtrend-pro のご紹介 sflowtrend-pro は sflowtrend の機能強化商用版です sflowtrend と比較し複数台のスイッチのモニタリング (10 台程度まで ) データの長期保存 ( 数週間程度 ) 時間フィルタリングなどの機能が拡張されています標準価格は 90 万円です 55

56 InMonTrafficSentinel 評価用ライセンス必要であれば InMonTrafficSentinel のソフトウェアと評価用 (1 か月 ) ライセンスを提供しますので自社環境にて評価いただくことが可能ですご依頼くださいハードウェア /OS はご用意ください評価であればパソコンレベルで評価いただくことが可能です以下参考スペックになります CPU:Core2Duo クラス以降インフォメーション Memory:4GB 以上 / Disk:100GB 以上 / NIC : 1Gbps OS:Red Hat Enterprise Linux or CentOS or Fedora H/W スペックについては監視対象規模やサンプリングレートデータ保存期間などに依存します InMonTrafficSentinel デモンストレーションサイト InMon 製品紹介 WEB サイト ( 弊社サイト ) お問合せ先株式会社フローネットセキュア出野 ( いでの ) 宛 TEL: Mobile: IDENO@flownetsecure.com V

アジェンダフローマネージメント / フロープロトコル NetFlow InMonTrafficSentinelのご紹介日本語版の提供ネットワーク管理レポーティング機能セキュリティ管理ダッシュボード機能ケーススタディーインフォメーション 2

アジェンダフローマネージメント / フロープロトコル NetFlow InMonTrafficSentinelのご紹介日本語版の提供ネットワーク管理レポーティング機能セキュリティ管理ダッシュボード機能ケーススタディーインフォメーション 2 NetFlow によるフローマネージメント InMon TrafficSentinel のご紹介フラットフォーム & ネットワーク事業本部出野真也 Ideno-Shinya@marubeni-sys.com 1 アジェンダフローマネージメント / フロープロトコル NetFlow InMonTrafficSentinelのご紹介日本語版の提供ネットワーク管理レポーティング機能セキュリティ管理