トラヒック 監 視 系 のツール(ここを 探 すのが 一 番 よい.) プローブ 系 VERMONT Maji softflowd YAF コレクタ

Transcription

1 トラヒック 監 視 ツールの 紹 介 小 林 淳 史 1

2 トラヒック 監 視 系 のツール(ここを 探 すのが 一 番 よい.) プローブ 系 VERMONT Maji softflowd YAF コレクタ 型 Net::sFlow Perl モジュール.いろいろ 試 すのに 便 利. Net::Flow Perl モジュール.いろいろ 試 すのに 便 利. NFSEN nfdump,nfcapdのツール 類 を 使 って グラフィカルに 表 示. NTOP dumpするツール.netflowを 受 信 するplugあり. 2

3 Net::sFlow Perl モジュール AMS-IX Elisaさん 作 成. sflowを 使 っていろいろ 遊 ぼうと 思 うときに 有 効. sflowのペイロードを 使 って 何 かする!? Brocade ACL-based sflow もデコード 可 能. my $sock = IO::Socket::INET->new( LocalPort => '6343', Proto => 'udp') or die "Can't bind : $@ n"; while ($sock->recv($packet,1548)) { &processpacket($packet); } die "Socket recv: $!"; sub processpacket { my $sflowpacket = shift; ここでデコー ドしてくれる ので 楽. my ($sflowdatagramref, $sflowsamplesref, $errorsref) = Net::sFlow::decode($sFlowPacket); 略 # print errors foreach my $error (@{$errorsref}) { warn "$error"; } NetPacket::IPとかと 一 緒 に 使 えば フローサン プルのヘッダまで 簡 単 にデコードできる. 3

4 Net::Flow Perl モジュール NetFlow/IPFIXのデータ 内 容 の 確 認 に 有 効. Cisco Flexible NetFlow もデコード 可 能. Templateを 作 ってエンコードも 可 能. my $sock = IO::Socket::INET->new( LocalPort => $port, Proto => 'udp') or die "Can't bind : $! n"; while ($sock->recv($packet,1548)) { &processpacket($packet); } sub processpacket{ my ($pkt,$ipheaderref) ; my ($NetFlowHeaderRef,$NetFlowRef, $errorsref) = () ; my $EncodeHeaderRef = undef ; } my $Session = $IPHeaderRef->{SrcIP} ; ($NetFlowHeaderRef, $NetFlowTemplateRef->{$Session}, $NetFlowRef, $errorsref) = Net::Flow::decode( $pkt,$netflowtemplateref->{$session}); ここでデコー ドしてくれる ので 楽. 4

5 NFSEN いろいろなところで 紹 介. RIPE,NANOG NetFlowのコレクタ 類 の 中 でActivity が 高 PHP, Perlを 使 用.コアのツールはc. NetFlow v.5, v.9に 対 応. NetFlow v.9 でも 取 得 できる 情 報 は 限 られる. IPv6もOK.MPLSでも 受 けられるが 情 報 は 落 ちる. sflow v.4, v.5 に 対 応. 蓄 積 の 形 式 は NetFlowと 同 じ. 5

6 収 集 可 能 な 情 報 今 後 BGP Next-Hopはほしい 部 分. NF9_LAST_SWITCHED NF9_FIRST_SWITCHED NF9_IN_BYTES NF9_IN_PACKETS NF9_FLOWS NF9_IN_PROTOCOL NF9_SRC_TOS NF9_TCP_FLAGS NF9_IPV4_SRC_ADDR NF9_IPV6_SRC_ADDR NF9_IPV4_DST_ADDR NF9_IPV6_DST_ADDR NF9_L4_SRC_PORT NF9_L4_DST_PORT NF9_INPUT_SNMP NF9_OUTPUT_SNMP NF9_SRC_AS NF9_DST_AS 6

7 NFSENの 構 成 nfsen: xfcapd, nfdumpをもとにweb 上 でのグラフィカル 表 示 やnfdumpを 使 ったクエリを 可 能 とする. nfcapd:netflowを 受 信 して 周 期 単 位 にファイルを 蓄 積. sfcapd:netflowを 受 信 して 周 期 単 位 にファイルを 蓄 積. NFSEN Router-a NetFlow nfcapd./profiles/live/router-x/2007/03/02 rounfcapd RRDツール グラフィカル 表 示 Router-b NetFlow nfcapd nfdump クエリ 内 容 の 表 示 Router-c sflow sfcapd フラットファイル 構 成 (5 分 周 期 ) Top 10 Port ordered by flows: Date first seen Duration Proto Port Flows Packets Bytes pps :14: any :15: any :14: any :14: any :14: any :14: any :15: any :14: any :14: any :15: any

8 nfsen.conf による 設 定 各 種 のDIRの 設 定. DISK 領 域 の 制 限. ツール 類 (pluginsなど) フラットファイルの 構 成 は 多 彩. # 0 default no hierachy levels - flat layout # 1 %Y/%m/%d year/month/day # 2 %Y/%m/%d/%H year/month/day/hour 略 # 6 %Y/%j/%H year/day-of-year/hour # 7 %Y-%m-%d year-month-day # 8 %Y-%m-%d/%H year-month-day/hour $SUBDIRLAYOUT = 0; ルータ 単 位 にポートを 指 定 してnfcapdを 起 動. %sources = ( router-a' => { 'port' => '30002', 'col' => '#0000ff', 'type' => 'netflow' }, router-b' => { 'port' => '41001', 'col' => '#ff0000', 'type' => 'netflow' }, router-c' => { 'port' => '40000', 'col' => '#FFFF00', 'type' => 'netflow' }, ); 8

9 Top 画 面 NetFlowのデータにフィルタをかけて 独 自 のプロファイルの 作 成 が 可 能. Flow packets Traffic day グラフの 色 は ルータ 別 に 表 示. week 9

10 ドリルダウン 詳 細 な 情 報 検 索 が 可 能. 時 間 幅 を 指 定 して 生 データ 出 力,TopN, 集 約. 時 間 幅 の 設 定 10

11 ドリルダウン 詳 細 な 情 報 検 索 が 可 能. 時 間 幅 を 指 定 して 生 データ 出 力,TopN, 集 約. nfdumpの 情 報 を 出 力 - 生 NetFlowを 出 力 -TopNを 出 力 (SrcIP,DstIP,Port ) クエリ 内 容 指 定 11

12 ドリルダウン 詳 細 な 情 報 検 索 が 可 能. 時 間 幅 を 指 定 して 生 データ 出 力,TopN, 集 約. IPv6 の 出 力 もOK 12

13 プロファイルの 作 成 tcpdumpのようなフィルタで 絞 り 込 んだトラヒックの 動 向 を 把 握. DARK.NETに 飛 んでくるTCP SYN(SCANパケット)だけを 監 視. OUT IF 0 and proto TCP and ( flags S and not flags AFRPU ) 13

14 DARKNETの 分 析 GWのACLでDropするパケットを 集 めてDARKNET 分 析. PortScanの 動 向. 複 数 のGW( /24 )を 跨 る 大 きなSCAN. Top 50 Dst Port ordered by flows: :39: TCP :4406 -> : Date first seen Duration Proto Dst Port Flows Packets Bytes :39: TCP :4425 -> : :39: any :39: TCP : > : :39: any :39: TCP :4570 -> : :39: any :39: TCP : > : :39: any :39: TCP :4817 -> : :39: any :39: TCP : > : :39: any :39: TCP :2169 -> : :40: any :39: TCP :1063 -> : :05: any :39: TCP :1109 -> : :39: any :40: TCP : > : :50: any :40: TCP :2522 -> : :39: any :40: TCP :2587 -> : scan 14

15 何 か 機 能 を 追 加 (plugin) Pluginするのもそれほど 難 しくなさそう. Backend plugins: 周 期 単 位 で 特 定 のpluginをKick.(Perl) 引 数 に profile 名, 時 間 を 教 えてくれるので それをもとにnfdump 可 能. Frontend plugins: ポート 毎 の 状 況 を 表 示 するなどのこともできそう.そ の 他 時 系 列 分 析 など.(PHP) Frontend Plugin Backend Plugin - nfsen.conf = ( # profile # module [ '*', 'demoplugin' ], ); sub run { } my $profile = shift; my $timeslot = shift; 略 15

16 NTOP もともとは キャプチャツール. NetFlow 受 信 のpluginを 動 かしてみる. sflowもある. HOST 毎 にどことつないでいるかの 情 報 がまるわかり ルータ 単 位 に 色 分 け March 2, 2007 xflow Operators Meeting 16

17 NTOP セグメント 単 位 (ルータ 単 位 )の 接 続 情 報 がわかる. 逆 引 きで 調 べ 尽 くす. 17

18 NTOP HOST 単 位 の 接 続 情 報 がわかる. 何 をしてるかわかっちゃう. 18