Каким образом реализовать хранение копии трафика организации?

Question

[Дядька Серёжа]

Прочитал СТО БР ИББС-1.3-2016, в стандарте указывается необходимость сбора сетевого трафика для дальйнейшего анализа в случае выявления инцидентов.
Какими средствами такое возможно реализовать (как понимаю временное хранение трафика, например, за неделю)?

Answer 1

[mace-ftl]

Олд-скульный метод, это

1) Зеркалирование на свитче (может быть из нескольких точек, тогда задумайтесь о нескольких сетевых на получателе, а то в пики будут дропы и странности в сети)
2) tcpdump + пара простых скриптов (новый файл должен начинать писаться чуть раньше чем старый закончился, чтобы небыло "дропов")
- сохранение
- удаление старейшего файла когда больше ...% диска занято
3) Последние добавления были - алерты, если файл дампа последний меньше\больше ... мегабайт, дабы отследить момент начала каких-то проблем

Answer 2

[cssman]

SIEM систему из коробки, там предусмотрено хранилище.
Ну а трафик само собой собираете спаном.

Если денег на SIEM нету - то костыли из скриптов, но как будете инциденты выявлять?

Comments

[Дядька Серёжа]

Да это так вопрос для общего понимания. У нас есть Pfsense как шлюз, в принципе там можно воткнуть tcpdump, да и шлюз со span-портом есть...
"но как будете инциденты выявлять?"
никак :)

[cssman]

Дядька Серёжа: ну и нахрен это нужно?) Для общего понимания: машина с пфсенсом у вас загнётся от нагрузки, т.к. это шлюз с фильтрацией, натом и другими сервисами + трафик собирать?

Собирать лучше трафик с коммутаторов уровня дистрибьюции. Всё остальное возможно - но совершенно не масштабируемо и годно только для локалки из нескольких машин, там можно костыли собрать, но зачем там выполнять какие то стандарты? :)

[athacker]

SIEM будет очень кудряво стоить :-)

[cssman]

athacker: да сейчас любое решение из коробки для среднего и больше бизнеса будет неплохо стоить) потому что там tcpdump -w не обойдёшься

Answer 3

[Илья Мальцев]

1. Межсетевой экран -> NetFlow -> nfdump + nfsen
www.natalink.ru/articles/analiz_statistiki_netflow...

2. Межсетевой экран/свитч -> зеркалирование трафика через SPAN-порт -> IDS Suricata
https://xakep.ru/2015/06/28/suricata-ids-ips-197/