La deuxième génération Netflow : Cisco IOS Flexible Netflow

Transcription

1 28 janvier 2008 numéro 14 La deuxième génération Netflow : Cisco IOS Flexible Netflow 1. Vue d ensemble a. Introduction Grâce à sa flexibilité et à son évolutivité, Flexible NetFlow, deuxième génération de la technologie Netflow permet l'optimisation de l'infrastructure réseau, la réduction des coûts opérationnels, l amélioration du capacity planning et la détection d'incidents de sécurité. Technologie créée par Cisco, Netflow est devenu pour de nombreux clients le standard de fait pour collecter des données IP opérationnelles. Avoir la visibilité du trafic réseau est une nécessité vitale. La surveillance des flux IP permet ainsi d assurer l adéquation de l utilisation des ressources avec les objectifs business de l entreprise. Ceci permet de : Connaître l utilisation du réseau par les applications Comprendre qui, quand, et où est utilisé le réseau Mesurer l efficacité du réseau et l utilisation des ressources Appréhender l'impact des changements au réseau Détecter les anomalies et les vulnérabilités de sécurité de réseau Auditer la conformité et les processus business La technologie Netflow peut être utilisée dans une grande variété d applications. Les utilisations principales sont : Surveillance en temps réel du réseau Profiling applicatif et utilisateur Capacity planning Détection et classification d'incidents de sécurité Accounting et facturation Troubleshooting Le tableau suivant résume les applications principales de la technologie NetFlow Applications de la technologie NetFlow : Analyser les nouvelles applications et leur impact sur le réseau Réduction des pics de trafic WAN Troubleshooting Description Identifier la charge réseau des nouvelles applications telles que la VoIP, ou l ajout de sites distants dans une application client-serveur. Utilisation des statistiques de NetFlow pour mesurer le trafic WAN et comprendre qui utilise le réseau (top talkers/top applications). Diagnostiquer les lenteurs réseau grâce aux commandes en ligne (CLI) ou grâce à des outils de reporting. 1

2 Détection du trafic WAN non autorisé Détection d anomalies et d évènements de sécurité Validation des paramètres de QoS Éviter les upgrades coûteux de bande passante en identifiant les applications responsables de la congestion. NetFlow peut être employé pour la détection d'anomalies, le diagnostic de problèmes de sécurité (DoS, Worms) Confirmer le bon dimensionnement des paramètres des classes de service. b. Flexible Netflow Flexible Netflow représente la nouvelle génération de la technologie Netflow. Cela permet de définir un environnement capable de tirer parti simultanément de multiples applications Netflow. Par exemple, il est possible de créer des exports Netflow séparés et simultanés pour de l analyse de performance et pour de l analyse de sécurité. Il est aussi possible de créer simultanément un environnement d analyse temps réel et un environnement d analyse de tendances en manipulant les paramètres des différents caches Flexible Netflow. Flexible Netflow enrichit les fonctions déjà disponibles avec Netflow en apportant la capacité de suivi d informations de niveau 2 pour les environnements commutés et en enrichissant les fonctions réalisables aux niveaux 3, 4 et jusqu au niveau 7 grâce à des mécanismes d inspection permettant le monitoring d applications. Customisation de Flexible Netflow pour monitorer différentes informations c. Exemple : monitoring applicatif avec Flexible NetFlow Contrairement au NetFlow Classique, Flexible NetFlow permet à l'utilisateur de customiser et d adapter la collecte d informations à un besoin spécifique. L évolutivité de l'analyse est optimisée car Flexible NetFlow permet de se concentrer uniquement sur l information importante. En ciblant ainsi les informations spécifiques, le volume de données à prendre en compte est fortement réduit et la quantité d informations exportées plus faible. Si par exemple l'utilisateur est intéressé par l'analyse d'une application TCP, il configure dans les champs Flexibles Netflow les informations : source, destination, port source, port destination. Seuls ces quatre champs seront pris en compte et l information permettra d identifier l émetteur et le receveur pour le trafic applicatif. Dans Netflow classique, cette information est aussi disponible, mais les champs sont fixes et non configurables par l utilisateur : sept champs sont alors traités systématiquement ce qui conduit à générer un plus grand 2

3 nombre de flux, un plus gros volume d export et une moins bonne capacité d agrégation au niveau de l équipement. d. Exemple : Flexible Netflow et sécurité NetFlow flexible est un excellent outil de détection d'attaques grâce entre autres à ses capacités de prise en compte de l ensemble des champs de l entête IPv4. La capacité de Flexible Netflow à créer des caches à la volée en combinant des informations spécifiques combinées à la fonction «input filtering» (filtrage des flows vers une destination spécifique) permet d améliorer considérablement les capacités de Flexible Netflow pour la détection d incidents de sécurité. Les attaques courantes de type scanning de ports ou propagations de vers peuvent être identifiées avec Flexible Netflow. Prenons par exemple une attaque courante simple dans laquelle les flaqs TCP sont utilisés pour flooder un serveur (i.e.: SYN flood attack). L attaquant émet un TCP SYN vers une destination mais ne renvoie jamais le ACK en réponse au SYN-ACK. Les informations nécessaires pour l identification de cette attaque sont : adresse de destination, flags TCP, nombre de paquets. L équipement de sécurité peut recevoir les informations Flexible Netflow et facilement identifier cette attaque. De plus l équipement Flexible Netflow peut mettre en place un input filter pour limiter encore le trafic à analyser (par exemple en ne gardant que les informations à destination du sousréseau où se trouvent les serveurs). 2. Flexible Netflow Architectures et principes a. Les composants NetFlow a un certain nombre de composants : Le cache NetFlow Le record Netflow Les timers d exports Le format d export Le collecteur Netflow et l analyseur Le cache Netflow stocke les informations des flux. Le Record Netflow est créé en examinant un paquet et génère une entrée dans le cache Netflow. Netflow exporte (push) les informations du cache vers le collecteur. C'est un mécanisme inverse de SNMP qui tire (polling) les informations. Les Records Netflow en cache expirent ou se terminent et sont alors exportés vers le collecteur. L expiration est basée sur des timers décrits ultérieurement. b. Record Flexible Netflow Un Record Netflow est un ensemble de valeurs des champs clés et non clés permettant de caractériser un flux dans le cache. Des modèles de Records Neflow sont prédéfinis et permettent d agréger des flux de données qui satisferont à des applications classiques de Netflow. Flexible Netflow permet également à l utilisateur de définir le contenu de ses propres Record Netflow par sélection des champs clés et non clés. Différentes applications de gestion des réseaux utilisent des formats de records prédéfinis ou définis par les utilisateurs en fonction des informations qu ils veulent monitorer (sécurité, capacity planning, analyse de trafic ) c. Monitor Flexible Netflow. Le Monitor Flexible Netflow décrit le cache Neflow. Il contient les Record Netflow (champs clés et non-clés). Le monitor contient également les informations relatives à l export : adresse du collecteur, 3

4 format d export, protocole d export. Enfin le Monitor contient des informations caractéristiques du cache : timers, taille, échantillonnage (Sample Neflow). Monitor Netflow d. Les champs clés de Flexible NetFlow Chaque paquet qui traverse un routeur ou un commutateur est examiné. Un certain nombre d attributs IP sont identifiés et constituent les champs (ou clés). Les paquets ayant les mêmes clés appartiennent au même flux. Traditionnellement, un flux IP est basé sur un ensemble de sept attributs du paquet IP. Cet ensemble de clés est détecté et si l'ensemble de valeurs pour ces champs sont uniques, un nouveau Record Netflow est créé dans le cache. Tous les paquets avec les mêmes adresses IP source/destination, ports de source/destination, protocole, interface d entrée et classe de service (TOS byte) sont groupés dans un record auquel on associe également le nombre de paquets et d octets. Cette méthodologie de caractérisation des flux permet de condenser une grande quantité réseau (matrice de flux) dans le cache Netflow. Avec Flexible Netflow, le cache apporte une grande flexibilité dans la création des flux en associant les différentes clés. Création d un Record Netflow dans le cache NetFlow e. Les champs non clés de Flexible Netflow De l'information additionnelle peut être ajoutée au record Netflow. Cette information est appelée des 4

5 champs non-clés. Ces champs ajoutés au record Netflow sont également exportés. Les champs nonclés ne sont pas utilisés pour créer ou caractériser les flux. Dans flexible NetFlow, les champs nonclés sont également configurables par l'utilisateur. Les champs non-clés incluent : Nombre de paquets et d octets Horodatage : timestamp de début et fin du flux Next-HOP IGP et BGP Numéro d AS Flags TCP L'ensemble des valeurs clé sont utilisées pour déterminer si un flux est unique. Flexible Netflow permet à l utilisateur de choisir quels sont les champs clés utilisés pour caractériser les flux et de choisir quels sont les champs non clés qu il souhaite ajouter dans le Record. Ces possibilités améliorent la flexibilité, l'agrégation et la scalabilité comparé à NetFlow traditionnel. f. Exemple de création de record Netflow Paquet 1 création d un nouveau record Netflow sur la base des champs clés. On stocke par exemple le nombre de paquet et le nombre de bytes qui sont donc mis à jour pour ce premier paquet : Paquet 2 - les valeurs des champs clés sont identiques à celle du paquet 1, on utilise donc le même record Netflow puisqu il s agit du même flux. Les champs Nombre de paquets et bytes sont incrémentés pour le flux : Paquet 3 ce paquet est inspecté et la valeur de la clé adresse source est différente des paquets précédents. Un nouveau Record Netflow est donc créé dans le cache avec les informations associées : 5

6 3. Export Netflow a. Principe Il y a deux méthodes pour accéder à des données de NetFlow : l interface ligne de commandes (CLI) avec des commandes show ou l utilisation d une application recevant les exports. L'export de NetFlow est un mécanisme de push contrairement à SNMP. Périodiquement, les informations sont poussées du cache vers un collecteur Netflow. Généralement, le cache NetFlow se remplit constamment de flux, et le logiciel du routeur ou commutateur recherche les flux expirés ou terminés afin de les exporter vers le collecteur. L'export de Flexible NetFlow permet de définir la destination des exports, le format des exports et le protocole de transport des exports. De multiples destinations peuvent être configurées par Monitor, par exemple, si on souhaite envoyer les mêmes données à un outil de facturation et à un outil d analyse de performances. L'export Flexible NetFlow a également la possibilité d envoyer des données optionnelles au collecteur, par exemple la table de correspondance entre les ifindex des interfaces et les noms des interfaces. Flexible Netflow permet aussi de marquer le champ DSCP des exports. L export supporte différents formats comprenant v5 et v9 et la norme d export IETF IPFIX. (IP Flow Information Export). L export supporte le transport UDP et SCTP (Stream Control Transmission Protocol).. Monitors NetFlow, exportation et définition flexibles de records b. Caractéristiques d un cache Netflow et Timers En permanence des flux sont créés, sont identifiés, génèrent une entrée dans le cache, expirent et sont exportés du cache vers un collecteur. Un flux est prêt pour l'export quand il est inactif pendant 6

7 un certain temps (aucun nouveaux paquets reçus pour le flux) ou s il est actif pendant une durée supérieure à la valeur d un timer particulier (exemple : long téléchargement ftp). Deux timers sont donc définis : le timer d inactivité dont la valeur par défaut est de 15 secondes et le timer d activité dont la valeur par défaut est de 30 minutes. Ces deux timers sont configurables. Chaque cache peut également être configuré pour le sampling (échantillonnage) de paquets. Un sous-ensemble aléatoire de paquets du flux est prélevé et utilisé pour caractériser le trafic. Le sampling de paquets est efficace pour le capacity planning ou pour avoir une vue approximative du trafic réseau. Le sampling est souvent employé pour les interfaces à haut débit (exemple OC-192). Le sampling est une méthode efficace pour diminuer le volume des exports et de ce fait réduire la capacité de calcul nécessaire à leur traitement. c. Caches disponibles avec Flexible NetFlow Il y a trois types de caches utilisables avec Flexible NetFlow : cache Normal cache Permanent cache Immédiat Dans Netflow traditionnel, le seul cache disponible est le cache normal (Normal Cache). Ce cache utilise les timers pour faire expirer les flux et les exporter vers le collecteur. Dans Flexible Netflow le cache normal a un avantage par rapport au Netflow classique. Le timer d activité peut est positionné à 1 seconde (60 secondes dans le Netflow traditionnel). Ceci permet de suivre les incidents de sécurité quand seuls des flux partiels sont enregistrés (exemple SYN flood). Le cache permanent est très différent d un cache normal et est très utile pour l accounting et le monitoring de la sécurité. Il a une taille fixe définie par l utilisateur. Une fois plein, tous les autres flux sont droppés. Ce cache peut être utilisé pour enregistrer une matrice de trafic, où un ensemble fixe de flux est utilisée pour caractériser le trafic entre des points. Dans ce cas, le cache enregistre les flux et continue à les suivre jusqu à ce que les compteurs aient atteint leur limite. Ceci est comparable à l utilisation de compteurs d interface. Le cache permanent est configuré pour exporter périodiquement ces informations vers le collecteur. Le cache immédiat est très efficace pour le monitoring de la sécurité ou quand l utilisateur souhaite que chaque paquet crée un nouveau flux. Un bon exemple d utilisation est quand l utilisateur souhaite exporter des sections complètes de paquets. Avec la version 9, Flexible Netflow a la capacité d exporter des portions de paquet dans des data flowsets. d. Format d'export Netflow Version 9 Il existe divers formats d export généralement appelés versions d export. Les versions d'export sont des formats bien documentés comprenant la version 5, 7, et 9. Le format le plus couramment utilisé est la version 5. La version 9, le dernier format créé par Cisco, présente un certain nombre d avantages pour les technologies telles que la sécurité, l'analyse de trafic et le multicast. Sans la version 9, NetFlow flexible ne serait pas possible. En effet la version 5 de NetFlow est un format fixe, ce qui signifie que les données ne peuvent pas être augmentées. La force de Flexible NetFlow est la flexibilité dans la configuration des données recueillies. La version 9 qui est un format générique permettant d exporter n importe quelle information s impose donc. La version 9 de NetFlow emploie un template pour décrire les données qui sont exportées. Le format du Record version 9 de NetFlow se compose d'une entête de paquet suivi d'un ou plusieurs template Flowsets et/ou de data FlowSets. Un Template FlowSet fournit une description des champs qui seront présents dans les data Flowsets qui suivront. Ces data Flowsets peuvent se trouver dans le même paquet d'export ou dans les paquets suivants. Les Templates et data Flowsets peuvent être mélangés dans un même paquet d'export, comme illustré sur la figure 8. 7

8 Paquet d'export Netflow version 9 La version 9 de NetFlow exporte périodiquement les données de template, ainsi le collecteur peut interpréter à tout moment les données qui lui sont envoyées. Avec Flexible NetFlow, l'utilisateur configure un record Netflow qui est converti en template version 9 et expédié au collecteur. La figure 9 est un exemple détaillé du format d'export NetFlow v9 comprenant l'entête, le template et les data FlowSets. Vue détaillée export Netflow v9 4. Exemple de configuration d export L exemple suivant est un extrait d exemple d export d une section de paquet. On souhaite ici exporter le trafic DNS (UDP 53) pour faire une inspection fine du contenu des requêtes DNS. Le Monitor utilise pour créer son flux les adresses source et destination et le port UDP de destination. Cette information est exportée avec une section du paquet de 900 bytes. Comme c est un cache immédiat, chaque paquet crée un flux. L export est réalisé en marquant le dscp en af43. Le cache est configuré pour un maximum de 1000 flux. C est un cache immédiat, ainsi chaque paquet crée un flux. Le TTL de l export est positionné à 20 sauts.! flow record packet-section match ipv4 section payload size 900 match transport udp destination-port match ipv4 destination address match ipv4 source address collect counter packets 8

9 ! flow exporter my-exporter destination dscp af43! flow monitor immediate-export record packet-section exporter my-exporter cache type immediate cache entries 1000 ttl 20! 5. Résumé Flexible NetFlow est une technologie clé disponible sur les équipements Cisco pour permettre la visibilité de l utilisation de l infrastructure réseau et comprendre le comportement du réseau. Flexible NetFlow est une nouvelle génération de Netflow apportant une meilleure scalabilité, une meilleure capacité d agrégation des données et une plus grande souplesse dans la customisation utilisateur. Flexible NetFlow améliore la capacité à détecter les incidents de sécurité et la compréhension du comportement du trafic réseau. Pour aller plus loin Pour plus d informations sur Netflow : Pour plus de détails sur Flexible NetFlow : Pour une overview de la technologie Netflow classique - "Understanding NetFlow-Technical Overview" document : Pour une discussion détaillée des services et solutions basées sur Netflow classique : ide09186a00800d6a11.html 9

10 Contactez-nous : Siège social Mondial Cisco Systems, Inc. 170 West Tasman Drive San Jose, CA Etats-Unis Tél. : NETS (6387) Fax : Siège social France Cisco Systems France 11 rue Camille Desmoulins Issy Les Moulineaux Cedex 9 France Tél. : Fax : Siège social Amérique Cisco Systems, Inc. 170 West Tasman Drive San Jose, CA Etats-Unis Tél. : Fax : Siège social Asie Pacifique Cisco Systems, Inc. Capital Tower 168 Robinson Road #22-01 to #29-01 Singapour Tél. : Fax : Cisco Systems possède plus de 200 bureaux dans les pays et les régions suivantes. Vous trouverez les adresses, les numéros de téléphone et de télécopie à l adresse suivante : w w w. c i s c o. c o m / g o / o f f i c e s Afrique du Sud Allemagne Arabie saoudite Argentine Australie Autriche Belgique Brésil Bulgarie Canada Chili Colombie Corée Costa Rica Croatie Danemark Dubaï, Emirats arabes unis Ecosse Espagne Etats-Unis Finlande France Grèce Hong Kong SAR Hongrie Inde Indonésie Irlande Israël Italie Japon Luxembourg Malaisie Mexique Nouvelle Zélande Norvège Pays-Bas Pérou Philippines Pologne Portugal Porto Rico République tchèque Roumanie Royaume-Uni République populaire de Chine Russie Singapour Slovaquie Slovénie Suède Suisse Taiwan Thaïlande Turquie Ukraine Venezuela Vietnam Zimbabwe Copyright 2008 Cisco Systems, Inc. Tous droits réservés. CCSP, CCVP, le logo Cisco Square Bridge, Follow Me Browsing et StackWise sont des marques de Cisco Systems, Inc. ; Changing the Way We Work, Live, Play, and Learn, et iquick Study sont des marques de service de Cisco Systems, Inc. ; et Access Registrar, Aironet, ASIST, BPX, Catalyst, CCDA, CCDP, CCIE, CCIP, CCNA, CCNP, Cisco, le logo Cisco Certified Internetwork Expert, Cisco IOS, Cisco Press, Cisco Systems, Cisco Systems Capital, le logo Cisco Systems, Cisco Unity, Empowering the Internet Generation, Enterprise/Solver, EtherChannel, EtherFast, EtherSwitch, Fast Step, FormShare, GigaDrive, GigaStack, HomeLink, Internet Quotient, IOS, IP/TV, iq Expertise, le logo iq, iq Net Readiness Scorecard, LightStream, Linksys, MeetingPlace, MGX, le logo Networkers, Networking Academy, Network Registrar, Packet, PIX, Post-Routing, Pre- Routing, ProConnect, RateMUX, ScriptShare, SlideCast, SMARTnet, StrataView Plus, TeleRouter, The Fastest Way to Increase Your Internet Quotient et TransPath sont des marques déposées de Cisco Systems, Inc. et/ou de ses filiales aux États-Unis et dans d autres pays. Toutes les autres marques mentionnées dans ce document ou sur le site Web appartiennent à leurs propriétaires respectifs. L emploi du mot partenaire n implique pas nécessairement une relation de partenariat entre Cisco et une autre société. (0502R) E_ETMG_JD_01/08 10