Christian Cinetto GARR Flow Passive Monitoring CCR 2003, Paestum 11/06/2003 …Analisi di traffico e sicurezza

GARR Gruppo Passive Monitoring Christian Cinetto Michele Sciuto GARR NOC (Network Operation Center )

Preambolo CCR 2003 Paestum 12/06/2003 …Prima di cominciare Abbiamo uno storico del “cosa oltre che del quanto” passa nella rete? E se andassimo oltre MRTG? Interventi di sicurezza proattivi… o quasi utilizzo ACL non ottimale (non sempre risolutive, CPU alle stelle ) packet sniffing laborioso disponibilità di risorse limitata Trade-off : costo dell'accounting(disco,cpu,RAM,human) Vs. livello di dettaglio e real time desiderato

Monitoring CCR 2003 Paestum 12/06/2003 Christian Cinetto MONITORING Differenti approcci per scopi differenti Passive Active Analisi del traffico di produzione Sniffer-- schede dedicate (OCxMon) Built-in devices per snmp, RMON,NetFlow Analisi di performance di rete, QoS Iniezione di custom-traffic nella rete Apparati di sincronizzazione Es. GPS

NetFlow CCR 2003 Paestum 12/06/2003 Christian Cinetto NetFlow Feature IOS CISCO dalla 11.* (1996) Standard de facto Memorizza i flussi in una cache e permette l’export verso un collector Diversi software che permettono l’analisi (sia open-source che commerciali)

Flusso CCR 2003 Paestum 12/06/2003 Christian Cinetto Flow-based Passive Monitoring Un flusso NetFlow è definito come una : “ serie unidirezionale di pacchetti IP che viaggiano da una coppia IP/Porta sorgente ad una destinazione, entro un certo intervallo di tempo, avendo definito un protocollo di livello 3 ed un TOS” ES:UNICA SESSIONE TCP!!! / /20 Flusso B Flusso A syn syn-ack ack clientserver

NetFlowPdu CCR 2003 Paestum 12/06/2003 Christian Cinetto NetFlow PDU V5

Architettura CCR 2003 Paestum 12/06/2003 Christian Cinetto Architettura

Collectors CCR 2003 Paestum 12/06/2003 Christian Cinetto Collector-Tools Cflowd –CAIDA Difficile tuning Poco flessibile Poche utilities- no filtri Flow-Tools Facile implementazione Filtraggio possibile Vari reports Continuo aggiornamento

Flow-tools CCR 2003 Paestum 12/06/2003 Christian Cinetto flow-tools Insieme di tools realizzati alla Ohio State University (OSU) dal 1996 Principali tools: Flow-fanout (duplicazione) Flow-capture (collector-box) Flow-cat (concatenazione) Flow-nfilter (selezione) Flow-stat (statistiche) Flow-print (visualizzazione testo)

FlowScan CCR 2003 Paestum 12/06/2003 Christian Cinetto FlowScan Tool di analisi e visualizzazione (linguaggio perl) by D.Plonka Universita’ del Winsconsin Elabora i raw flow files creati da flow-tools Round Robin DataBase ---RRDtool Report per un utente GARR DEMO

Show-reports CCR 2003 Paestum 12/06/2003 Christian Cinetto Architettura Show-reports

Applicazioni CCR 2003 Paestum 12/06/2003 Christian Cinetto Applicazioni(1) Accounting / Billing Planning & Analisys Monitoring / Security Network Activity

AS-Matrix CCR 2003 Paestum 12/06/2003 Christian Cinetto AS-Matrix

Applicazioni CCR 2003 Paestum 12/06/2003 Christian Cinetto Applicazioni(2) Pattern di traffico Anomali Flash Crowd Abusi: DoS Port scans Comportamenti Anomali

Screen-shots CCR 2003 Paestum 12/06/2003 Christian Cinetto Visulizzazione Router Utente GARR Monitoring : Show-reports Coppia IP sorgente -IP destinazione –Porte Top n IP src, IP dst Ordinamento per bytes e per flussi Scanning IP Filtraggio on demand DEMO

DoS CCR 2003 Paestum 12/06/2003 Christian Cinetto DoS: un segnale Statistiche MRTG : Fast Ethernet Statistiche MRTG : ATM 34 Mbps OUT IN DoS

Config. CCR 2003 Paestum 12/06/2003 RC_MILANO(config)#ip flow-export source Loopback0 RC_MILANO(config)#ip flow-export version 5 origin-as RC_MILANO(config)#ip flow-export destination x.x 8700 RC_MILANO(config)#interface ATM1/0/0 RC_MILANO(config-if)#ip route-cache flow RC_MILANO(config)#ip flow-cache timeout active 3 CONFIGURAZIONE ROUTER

verifica CCR 2003 Paestum 12/06/2003 RC_MILANO#if-con 0 con Entering CONSOLE for VIP2 R5K 0 Type ^C^C^C or if-quit to end this session VIP-Slot0>sh ip cache flow | include Se0/1/1 SrcIf SrcIPaddress DstIf DstIPaddress Pr SrcP DstP Pkts Se0/1/ x AT8/1/ D 1 Se0/1/ x AT8/0/ D 1 VERIFICA

cattura CCR 2003 Paestum 12/06/2003 flow-capture -z4 -V5 -n288 -w/home/netfow/Statistiche/Milano-RC -E5G -S x.x/ x/8700 -rw-r-r- 1 root root 100 Jan 8 17:16 ft-v rw-r-r- 1 root root 100 Jan 8 17:21 ft-v rw-r-r- 1 root root 100 Jan 8 17:26 ft-v rw-r-r- 1 root root 100 Jan 8 17:31 ft-v rw-r-r- 1 root root 92 Jan 8 17:31 tmp-v flow-capture In / home/netfow/Statistiche/Milano-RC/ 2003/ / / otteniamo

Risultati CCR 2003 Paestum 12/06/2003 bash-2.05$ flow-cat ft-v * |flow-stat -p -P -f9 -S2| head -30 # IPaddr flows octets packets x x x x x x x x x x Risultati

Riferimenti CCR 2003 Paestum 12/06/2003 Riferimenti charter.html

Export

RT_NAPOLI>show ip flow export Flow export is enabled Exporting flows to (8300) Exporting using source interface Loopback0 Version 5 flow records, origin-as flows exported in udp datagrams 0 flows failed due to lack of export packet 0 export packets were sent up to process level 0 export packets were punted to the RP 0 export packets were dropped due to no fib 0 export packets were dropped due to adjacency issues export packets were dropped enqueuing for the RP export packets were dropped due to IPC rate limiting 0 export packets were dropped due to output drops show ip flow export Deficit DRAM sulla VIP

Un po’di numeri CiscoFlussi/sec (Med) Flussi/sec (Max) Bytes Per flusso Pacchetto (Bytes) GSR