Network Instruments Solutions d Analyse Réseau

Transcription

1 Network Instruments Solutions d Analyse Réseau ELEXO 20 Rue de Billancourt Boulogne-Billancourt Téléphone : 33 (0) Télécopie : 33 (0) Courriel : [email protected] TVA : FR

2 Qui sommes-nous? Société fondée en 1994 Siège Minneapolis USA Fonds privés, 100% détenus par fondateurs près de licences installées 16 bureaux dans le monde 3 nouveaux bureaux en partenaires dans 50 pays Plus d une nouvelle société par jour cliente en France Network Instruments croît de manière constante contrairement à d autres vendeurs qui chutent ou abandonnent le marché. - Steve Steinke, Groupe 451 Nous célébrons notre 13ème année de croissance à deux chiffres

3 Un coup d oeil sur notre croissance Seule société sur le marché de l analyse réseau avec un historique constant de croissance et de développement Croissance de Network Instruments Depuis 5 ans = 25% de croissance annuelle Croissance 2006 = 26% Croissance France +300% entre 2003 et 2006 Les facteurs de la croissance Ventes de GigaStor Fidélité et développement de la clientèle existante Remplacement d installations concurrentes La satisfaction de nos clients est le porteur de notre croissance

4 Quelques références clients -~ ~ ==-=~= THJ.\LES AVAYA 6. ~ REUTERS =i~ KNOW. NOW. vodafone Capgemini CD N SU l T 1 N li. T E CH ND LO li '1'. DUT S DU 1! C 1 N li LVMH TOTAL -~ NEC CABLE & WI RE LE SS DE~A Banque/ l n k...._'.1:.,.'......_... pages~aunes secodip IM _ elp><o... LAVA ~AIRBUS cp FUJITSU

5 Pourquoi Network Instruments?

6 Comment résoudre les problèmes efficacement? 1 ère étape: Démarrez avec l Analyse Distribuée du Network (NI-ADN ) 2 ème étape: Assurez vous d avoir une Analyse puissante et précise 3 ème étape: Déterminez si le vendeur vous Garantie une Capture fiable 4 ème étape: Expertisez les problèmes complexes grâce à l Analyse Rétrospective du Network (ARN ) Seul «Pure Player» sur le marché de l analyse Réseau

7 Démarrez avec l Analyse Distribuée du Network (NI-ADN ) Trois avantages uniques Code unifié Le coeur de l application se connecte à tous les produits Les Améliorations sont ajoutées à toutes les plateformes Ex. IPv6, NetFlow, VoIP, MPLS Visibilité locale et distante Fonctionnalités identiques à travers tous les segments Une seule interface (GUI) pour toutes les fonctionnalités Multi-Instances Topologies multiples Utilisateurs multiples le tout simultanément Du LAN jusqu au WiFi. En Local & A Distance. Données & Applications.

8 Démarrez avec l Analyse Distribuée du Network (NI-ADN ) Une ou plusieurs consoles peuvent se connecter à une ou plusieurs sondes. Chaque utilisateur peut effectuer des tâches différentes en simultané et obtenir son environnement de travail personnalisé. Les consoles permettent une analyse locale (avec les cartes réseaux de la machine) et l analyse des sondes distantes Du LAN jusqu au WiFi. En Local & A Distance. Données & Applications.

9 Assurez vous d avoir une Analyse puissante et précise Analyse Experte en temps réel Analyse Applicative VoIP Collecteurs NetFlow / sflow Analyse des temps de réponse Analyse Forensics (sécurité) Rapports à travers toute l entreprise Détail des appels VoIP rapport Site Survey WiFi Analyse Experte Temps de réponse

10 Déterminez si le vendeur vous Garantie une Capture fiable Carte de Capture Gen2 Carte conçue en interne créée spécifiquement pour des analyses hautes performances Performance Traitement rapide en temps réel Capture pleine bande Full-duplex en GB & 10GbE Transfère directement vers la mémoire physique Horodatage à la nanoseconde Flexibilité Haute densité de ports jusqu à 8 ports Gb Basée sur des SFP: passez du cuivre à l optique facilement Adaptabilité Traitement et analyse au niveau de la carte Upgrade du driver par Flash Exclusivement dans les Appliances Network Instruments Gen2 Délivre Performance Flexibilité Adaptabilité Compatible Gigabit, Fibre Channel, & 10 GbE

11 Expertisez les problèmes complexes grâce à l Analyse Rétrospective du Network (ARN ) Analyse Rétrospective du Network Équipement de haute capacité de stockage Capturez de grosses quantités de données afin d étendre la période de temps d analyse Idéal pour Forensics Conformité Forage des données Identification de Problèmes Avant l ARN Capacités Reconstruction de données Diagnostic des attaques de sécurité Navigation dans le Temps Après l ARN L analyse rétrospective est le nouveau paradigme du troubleshooting

12 Positionnement Produit Observer Qui / Quoi Quelles tendances Où / Quand Pourquoi / Comment

13 Quelques exemples

14 Exemple 1 Le réseau ne fonctionne plus

15 Courriel d un utilisateur vers le support technique g; Que se passe-t-il sur le réseau??? - Message ~ (QJL8J ~ Eichier 8.ffichage Insertion Forma~ Qutils T abjeau Feo.être z. Tapez une question X : 44. Times New Roman. - l j~ Eny_oyer 1 Co[!]ptes... ' A... support; Cc... Objet: Que se passe-t-il sur le réseau??? Salut Steve, Est-ce que le réseau est tombé? Je n'arrive pas à acceder à notre CfilJ... Merci de revenir vers moi au }lins vite j'ai une proposition à envoyer p our cet après midi... Thierry l Q.essiner L Foi:mes automatiques "'..._, D 0 "'= -41 ~:~ [j] 1&... 0 rd A... = L - - -

16 Schéma de l architecture CRM Serveur Web Frontal Serveur Oracle Site Paris Thierry Raban Maxime elpxo -~ Site Marseille

17 Méthode classique de résolution de l incident a) Ignorer le problème en espérant que le système revienne à la normale rapidement b) Visualiser quelques graphiques de bande passante et une carte de disponibilité des équipements : Pas d alertes en rouge, Bande passante à 30 %: le problème doit être résolu c) Se déplacer avec un analyseur sur le réseau, tenter de se positionner à l endroit où le problème s est produit et espérer que le problème apparaisse à nouveau dans l heure qui suit

18 Nouvelle méthode : Analyse Rétrospective du Network (ARN) Possibilité de revenir dans le temps afin d investiguer les problèmes sans la nécessité de les reproduire Problème reporté par un utilisateur ou par la direction Investigation avec les outils de management Déploiement d une solution d analyse pour capturer le trafic Recréer ou attendre que le problème apparaisse à nouveau Capturer les événements Analyser l information Prendre les actions appropriées Temps Problème remonté par le système d Alerting Demander au système de voir ce qu il s est passé Analyse des informations remontées Prendre les actions appropriées Communiquer vers les autres services et la direction grâce au rapports Temps Réduit = Réduction des coûts Plus de temps pour d autres tâches

19 Alerte le serveur de base de données Surveillance des serveurs constituant l application CRM

20 Recherche Temps / Utilisateur / Application Recherche de la période de temps + Sélection de la station concernée Sélection de l application CRM

21 Analyse Applicative sur le Serveur CRM Temps de réponse Acceptable sur le serveur frontal HTTP. Aucune Erreur Applicative Beaucoup d Erreurs de notifications du serveur Oracle Le Reconstruction du flux nous montre que la base de données a été modifiée : un Dossier n est plus présent

22 Exemple 2 Lenteur sur un site distant

23 Courriel de Maxime de Marseille vers le support ~I E.ichier ~ ~~~au~~~~~ --~ -=_ lllj À... llr!l cc... 1 support; Objet: Internet est très lent.., T 12 1~! ~- -~-~-~-- -~-----~-e_ct_~_e - ag? A Bonjour Steve, J'essaye d' accèder à Internet et à nos applications de Paris c'est très lent ~ que se passe-t-il? J'ai une réunion à préparer merci de résoudre le problème rapidement Maxim~ Q For.mes automatiques T ' "' D 0 A: ~ c~ [:al,, 1& -. - J. A.= - :;

24 Schéma de l architecture CRM Serveur Web Frontal Serveur Oracle Site Paris Thierry elpxo -~ Roban Maxime Site Marseille

25 Santé du réseau : Monitoring Bande passante faiblement utilisée mais des pointes de trafic sont Observées La répartition des protocoles montre que l utilisation Web est au même niveau que le CRM Roban est le Top Utilisateur de la bande passante.

26 Zoom sur Roban Roban utilise une grande partie de la bande passante en téléchargeant de la musique et en regardant des Vidéos en Streaming Modification des règles sur le Firewall pour bloquer les Vidéos et musiques. Le problème persiste.

27 Analyse Experte et Diagnostic automatique Summary Expert Data ~ Util % 80% 60% 40% JJ Pkt/s lom look lk 20% 10 TCP Events "0 UDP Events 1 07:00 09:07:12 09:07:24 09:07:36 09:07:48 09:08:00 09:08:12 ICMP Events IPX Events ~ NetBIOS Events ~Q Wireless Events Analy sis Connection Dynamics Ethernet T oo Big errors (sec) TCP slow response Too fast TCP retransmissions UDP excessive retransmissions UDP slow response Expert Analysis Expert detected 6 errer conditions. For Expert E xplanation right click on a condition in the list above This occurs when a sequence number is either identical to a previous sequence number, or is less than a previous sequence number. This indicates that the packet is a duplicate of one previously sent. TCP retransmissions occur for a number of reasons, including the sending station did net receive an acknowledgment, the packetwas lest, dropped or otherwise missing. The event is displayed when the percentage of retransmitted packets (by application and address pair) is above the critical value set in the Expert Thresholds. This value is the sum of all identified events in the TCP Events display. Possible reasons for the event: a) The receiving station was too busy to respond to the sending station. b) Network traffic load was so high the original packet was lest, or the ACKwas never received due to the high utilization. c) A router dropped the packet, or was unable to forward the packet. This could be be cause the router is toc busy, or is malfunctioning. d) Bad cabling or a failing switch/hub is causing an intermittent network failure. Decode Summary Protocols Top Talkers irs ( Site Surv WAN

28 Événements TCP Visualisation de la session entre Maxime et notre CRM: Le mode Expert nous indique un nombre important de retransmissions du Serveur vers Maxime

29 Connexions Dynamiques Paquets retransmis Le serveurs envoie aussi un grand nombre de Reset de connexion TCP sans raison

30 Analyse Multipoints Grâce à l analyse Multipoints Observer montre qu un grand nombre de trames sont perdues du côté du Routeur de Paris Un ticket d erreur est ouvert au support du provider Une vérification sur le serveur montre qu il est mal configuré et «Reset» la connexion lorsque les temps de réponse sont trop lents.

31 Exemple 3 Qualité de la VoIP médiocre

32 Qualité de la communication médiocre. Le service réseau est averti que la qualité de la VoIP d un utilisateur est très mauvaise Le problème est sporadique et les autres téléphones dans le même étage ne subissent pas de problème. Les statistiques agrégées du logiciel de gestion de la téléphonie montre une bonne qualité globale Un état des lieux rapide montre que certains liens sont fortement utilisés, l état général du réseau est bon.

33 Sélection du temps et de la station Sélection de la période de temps et de la station L utilisation de la bande passante est faible avec des pics de temps à autres Le jitter est assez élevé

34 Laissons l Expert travailler Le mode Expert nous indique que le niveau de QOS a changé durant la conversation Nous pouvons le vérifier en rejouant la conversation pour en juger la qualité Le jitter qui en résulte est instable

35 Investigation de l équipement en cause Le niveau de qualité de service entre le téléphone 1 et le serveur SIP et vers le téléphone 2 est «temps réel», Le niveau de qualité de service entre le téléphone 2 et le serveur SIP est «temps réel» mais vers le téléphone 1 en «best effort» Conclusion : Changement des paramètres de QOS sur le téléphone

36 Exemple 4 Migration vers un réseau MPLS

37 Rapports : Données fondamentales du réseau Stations les plus bavardes Vue Agrégée de la répartition des protocoles sur la globalité des sites distants Temps de réponse Serveurs Métiers Utilisation de la bande passante

38 Modélisation du trafic Modélisation pour un site distant supplémentaire Ajout d un site et conséquence sur la bande passante et sur les temps de réponse des serveurs métiers

39 Vérification des niveaux de Cos / Labels Suivi de la bande passante par Label. Quel est le site distant qui consomme le plus de ressources? Quelle est la quantité d information qui circule par site distant? Suivi des applications et de leurs Cos respectives Vérification de la SLA fournit par l opérateur

40 Alerte lors d un changement de Cos / Label Alertes paramétrables lors d un changement de Cos ou lorsque la SLA n est pas respectée par l opérateur Alertes sur les Labels inconnus

41 Exemple 5 Trafic suspect d un utilisateur

42 Utilisation non appropriée du Système d information John est accusé de visiter des sites Web inappropriés pendant les heures de travail Les méthodes traditionnelles permettent de suivre seulement les URL visitées. Les ressources humaines ont besoin d un outils fournissant les preuves factuelles et les données échangées. La solution : L analyse Rétrospective et la possibilité de reconstruire le flux

43 Recherche de la période de temps et de la station :11 :30-16:12:30 No Selection - Displa.ying Network Tota.ls - Pa.ckets/Second o i=:===========~==~~~======1=================================================:4:::================~~~=' 16:11:00 16:11 :12 16:11 :24 16:11 :36 16:12:00 16:12:12 16:12:36 16:12:48 Station 1 Station 2 IF!";i'i mrnsi m s NIBN dedicated-192.dri-services.net r OI 1 -> <- 2 1 Bytes Total v: 1 -> 2 1 1<- 2 Tc ii:~u irll rl 2l2 c:;m r r NIBN NIBN ,892 18E ,564 23,029 43,!

44 Observer Reconstruit le trafic Q SYN!Comection 1eaues1edl Xl256J. EA 1 OCIEœ2564. 'W' ~ """' ""' EJ& [02[!S 19Œ>J2564, A"" W'-65535, P 107'3J ~ r---- SYN ACK 1 11!$... 9"74115, EA Œ, A 19Œ>J2564, W'-5840, 1 175u Click on a!ile link or the ~ i con below to view t he reconstructed! ile: Packet. 132 : 192. l6e. l. 102 : > : 60 GET I :ITTP/ 1. 1 Accept. : l.ma9e/ 91t. ima9e/ x-xb1tmap. ima9e/ jpe;, l.ma9e/ pjpe9, appll.cat1on/ x-shockwa1 Accept- t.anoua çe: tr UA-CPU: xe6 Accept- Encod.1n9 : 9z1p. d.etlate User-AQent: Mozilla/ 1.0 (compatible; KSI! 7.0; Windows NT 5. 1;. NET CLR ; Ho~111:.: www. poker. tr Connection: Keep-Alive ~' Tout s<1vo1r sur le poker, venez decouvnr ce Jeu, ou putdger votre pi!sslon Regles, Photos, J Windows Internet Explorer l.=.j~ X.,. ~ :\PrOQl"arri Files\Observer\Temp\Reconstruct\Strearri (3)\TempFile,htm Pa cke t. 134 : l95. ll l92 : eo --> l92. 16e : 1019?.TTP/ CK Date: rr1, 20 Jul 200; 11 : 03 : 1:. mrr Se:::::ver : Apac!':e Set-Cookl.e: PHPS!SSIO-vsl".e qp5h"'l".:r.et1.l1oo56q6ibnl3; pa th / Exp i:::::es : n.u, 19 Nov :.9el Oe : 52 : 00 G!-IT Cache-Control: no-store, no-cac!':e, r::ust-revalidate, post-check-0, pre-cl".eck-0 Praçr.a: no-cache Keep-Alive : t1rc.eout l5, :r.ax l OO Con:".:ectior.: Keep-Al1ve I:::::a:-.:ster-Encod1.nQ: chur.ked Conter.t-Iype: text/ htr::i.l Conter.t - :. a ~ quaqe :!::::: Packet 135: l95. ll l92 : eo --> : 1079 mo:::::e tlle d a ta l!errpfl.le.?ltm>... [ite lllpfile.bta (27837 bytes) Preview fil e cont ent: <'doctype ht.al public "-//v3c//dtd bt.ml 4.0 transitional//en"> <btal > <head> <meta na.me-"keywords" content "poker poker.fr poker onltne à.butant r-qles da poker loi cartes jetons texas bol el~><o -~ Reconstruction de la page Web visitée

45 Exemple 6 Attaque du réseau

46 Pourquoi l analyse Forensic? Le périmètre de défense peut être pénétré Les attaques internes sont très souvent négligées des systèmes de protection contre les menaces extérieures Un grand nombre des système de défense fonctionnent avec les vulnérabilités connues ou existantes, en oubliant les nouvelles attaques

47 Utilisateur distant connecté via le VPN CRM Serveur Web Frontal Serveur Oracle Site Paris Thierry Raban elpxo -~ Maxime Site Marseille Eddy connecté en VPN via son accès WiFi à son domicile Eddy

48 Scénario Eddy se connecte depuis son domicile pour voir ses courriels grâce au VPN de l entreprise Il utilise un accès en WiFi avec une clé de chiffrement WEP de 128 bits Quelques heures suffisent pour qu une personne hack son réseau et récupère le mot de passe du VPN Le pirate obtient alors l accès à toutes les ressources de l entreprise. Les systèmes de protection existant ne détectent pas cette intrusion

49 Avec le Gigastor Identification du trafic anormal grâce au Baseline établi par le rapport Le Graphique montre la déviation d une utilisation normale vers un comportement suspect

50 Données lues et copiées par le pirate Le pirate à accédé à la structure des répertoires d un serveur Windows Identification de chaque fichier et commande effectuée par le pirate

51 Exemple 6 Approche Globale

52 Méthode Contenant / Contenu Link Analyst : Contenant Observer : Contenu

53 Link Analyst : Cartographie / Supervision Temps de réponse Cartographie complète Rapport d alarmes Intégration automatique avec Observer

54 Observer : Monitoring / Alertes/ Analyse / rapportss Santé du réseau Détail des appels VoIP Alertes rapport Site Survey WiFi Analyse Experte Temps de réponse

55 Famille de Produits

56 Console Observer SNMP, RMON, sflow, NetFlow Analyse MPLS Statistiques Temps Réel Déclenchement d Alarmes Capture / Décodage de Paquets +570 Évènements Experts Analyse Applicative Connexions Dynamiques Modélisation «What If» Analyse VoIP Rapports Web

57 Sonde logicielle Experte Sonde Logicielle Analyse Experte en temps réel à distance Décodage à distance des trames Console locale pour analyse et administration Supporte toutes les topologies Standard avec les sondes Gigabit Full duplex et WAN

58 Sonde Gigabit Les avantages de la sonde Gigabit Exécute l analyse en local éliminant la nécessité de transférer les données vers la console Analyse du trafic en temps réel à distance sans arrêter la capture Carte de capture Gen2, choix entre 2, 4 ou 8 ports + Carte de management 10 /100 /1000 ntaps cuivre ou optique inclus pour une visibilité en full-duplex Technologie Experte embarquée Sonde WAN, Gigabit, FC, 10 GbE Double processeur, 2GB de RAM, DD 250 Go, Graveur DVD Unité 64bit OS / Matériel Multi utilisateurs / multi sessions Plusieurs configurations possibles avec un Buffer de capture jusqu à 124 Go

59 Sonde Gigastor Les avantages de la sonde Gigastor Possibilité de remonter dans le temps Interface de navigation temporelle Exécute l analyse en local éliminant la nécessité de transférer les données vers la console Reconstruit le flux de données collecté Enregistrement du trafic 24/7 avec des options de stockage entre 4 et 48 TéraOctets. Possibilité d écriture sur SAN 1,2 ou 4 Gbits: capacité de stockage illimité Écriture sur disque à des vitesses à plus de 3,7 Gbits. Carte de capture Gen2, choix entre 2, 4 ou 8 ports + Carte de management 10 /100 /1000 ntaps cuivre ou optique inclus pour une visibilité en full-duplex Multi utilisateurs / multi sessions GigaStor pour Gigabit, 10 GbE, FC, et WAN Technologie Experte embarquée Double processeur, 2GB de RAM, DD 250 Go, Graveur DVD Unité 64bit OS / Matériel

60 Solution d Analyse Réseau complète Console Observer Sonde Logicielle Sonde 10/100/1000 Sonde WAN, Gigabit, FC, 10 GbE GigaStor pour Gigabit, 10 GbE, FC, et WAN Système Portable Gigabit, WAN, FC et 10 GbE

61 Gamme de ntaps ntap 10/100/1000 Serveur Routeur A 1Gb 1Gb 1Gb 1Gb B Switch Firewall ntap SX / LX 1Gb 1Gb ntap 10/100/1000 convertisseur Analyseur Full-duplex (2 ports) Full-duplex Aggrégateurs Serveur Routeur A 1Gb 1Gb 1Gb 1Gb B Switch Firewall ntap Aggrégateur 256 / 512 Mo 1Gb Analyseur Half-duplex (1 port) ntaps élimine la possibilité de perte de paquets et erreurs couches basses

62 Gamme de produits Observer Console Observer Expert Observer Suite Sondes logicielles Multi Expert Sondes Appliances 10/100/1000 Wide Area Network (WAN) Full-duplex Gigabit Fibre Channel 10 Gigabit (GbE) GigaStor Gigabit, WAN, Fibre Channel, 10 GbE et Portable Solutions Portables GOSS FOSS WOSS 10 GbE GOSS Management des sondes Network Instruments Management Server (NIMS) Supervision Link Analyst Serveur de rapports Observer Reporting Server ntaps Cuivre Optique Convertisseur Aggrégateur

63 Placement des sondes Observer Suite c~i '. 9 LAN 0 Fibre Channel Sonde Appliance pour les résea u>< 10/ 100/ 1000 Switch Fibre Channel 9 Gigabit / 10 GbE Switch 10/100/ WAN 9 wifi elpxo -~

64 Nos Formations Introduction à Observer (1 Jour) Graœ ~ce coun, chaque partlclpantapprend les com~ences tlém enta Ires de la gestion réseau awec le log lclel d'ana l)'se rtseau Observer. OpU miser votre lnwestlsseme nt dans la sol utlo n ObserYer en apprenant~ résoudre les pro blêmes l lés au trafic et ~ surveiller et améliorer les perfor1tli1nces du réseau. Suite ~ cette sesslo n, les pa rtlcl pa nts auront a pprts ~ : DécouYrir les probl~mes réseaux courants et li1 méthode pour les résoudre Comprendre les spécifications d' un réseau, les prt ncl pes et les composants du réseau physique Comprendre corn ment utiliser un analyseur de protocoles en enylronnement commuté, Fast Ethernet et Glgablt Ethernet Installer et configurer la console ObserYer et les sondes awncées Dia g nostlquer un réseau par l'anlayse au nliweau du dtcodilge de trames et en utilisant les fonctions SNMP Formation Observer Avancee ** (2 Jours) Passez ~ la vitesse supérieure CNec la formation avancée. Découvrez en détail les fonctionna lités d'obse rver et notamment le mcxl ule S NMP, l'analyse e:.pe rte, les filtres et bien d'autres. Suite à cette session, les participants auront appris à : Utiliser les techniques de filtrage du trafic p:iur résoudre plus rapldem ent les problèmes réseau Mettre en é'l'i den œ les problèmes les plus complexes grace à l'analyse e:q>e rte en temps réel ou post-ca pture.. Recon na1tre les dlffére nces entre les problèmes liés au réseau et ceux liés aux couches supérieures Uu sqlfau niveau applicatif) Déterminer une approche sure pour la résolution de problèmes réseaux grace à une bonne compréhension des ooncepts déflnlssa nt l'envlro nneme nt S urveil Ier les équipements SNMP quelle que soit leur positlo n sur le réseau Surveiller et mettre en pla œ des alertes basées sur des «traps» SNMP Partager vos analyses a.-ec des graphiques, tableaux et rapports d'activités sur mesure.. Comprendre les techniques de swltch scripting.. pré requis: lntrod uclion ~ Observer. - UNIVrRSI Y NEil'WIRK llnst!rwmenh