Source: https://pandorafms.com/docs/index.php?title=Pandora:Documentation_es:Netflow&diff=59662&oldid=52796
Timestamp: 2020-02-24 04:54:14+00:00

Document:
Revision as of 17:15, 26 March 2019 (view source)
Latest revision as of 09:35, 31 December 2019 (view source)
(→‎Como operar con Netflow en Pandora)
= Introducción al análisis de red en tiempo real =
Pandora FMS utiliza dos sistemas alternativos y complementarios para analizar la red en tiempo real: Pandora NTA y Netflow. Cualquiera de los dos sistemas utiliza el mismo principio: "''escuchar''" el cable ethernet de manera continua y analizar el tráfico para generar estadísticas. En ambos casos hay que, de alguna manera, "interceptar" el tráfico de la red para enviarlo a una sonda que lo analice y enviar esos resultados a Pandora FMS.
Pandora FMS utiliza dos sistemas alternativos y complementarios para analizar la red en tiempo real: Pandora NTA y Netflow. Ambos sistemas utilizan el mismo principio: "''escuchar''" el cable ethernet de manera continua y analizar el tráfico para generar estadísticas. En ambos casos hay que, de alguna manera, "interceptar" el tráfico de la red para enviarlo a una sonda que lo analice y envíe esos resultados a Pandora FMS.
Para interceptar el tráfico de la red y poder analizarla, hace falta tener acceso físico a esa red o al menos entender su topología, ya que el punto de captura de la red debe ser el más apropiado. No es lo mismo, por ejemplo, capturar el tráfico de la red de un router o AP local, que el de todo el tráfico de la red de servidores justo antes de llegar al router de salida.
Existen dos maneras para capturar el tráfico:
* '''Redirigir el tráfico de un puerto del switch a otro puerto''', mediante un "port-mirror". No todos los dispositivos de red permiten hacerlo (sólo los de gama alta/media). También se puede hacer un port-mirror en algunos firewalls comerciales. Es la forma más sencilla de interceptar el tráfico y no requiere hardware adicional. Al enviar todo el tráfico hacia un puerto, ese puerto se conecta directamente al analizador de red (sonda netflow o pandora nta/ntop).
* '''Redirigir el tráfico de un puerto del switch a otro puerto''' mediante un "port-mirror". No todos los dispositivos de red permiten hacerlo (sólo los de gama media/alta). También se puede hacer un port-mirror en algunos firewalls comerciales. Es la forma más sencilla de interceptar el tráfico y no requiere hardware adicional. Al enviar todo el tráfico hacia un puerto, ese puerto se conecta directamente al analizador de red (sonda netflow o pandora nta/ntop).
* '''Capturar el tráfico mediante un ''network TAP'' '''. Un tap es un dispositivo de red muy sencillo que copia el tráfico de una boca a otra en un solo sentido (es imposible interferir en la red). Es un dispositivo PASIVO que no se puede "caer" ni causar molestias de ningún tipo ya que es una copia física, por hardware del tráfico de red. Es indetectable. Hay TAPs desde 12€ a 900€ pero el principio es el mismo. El tap genera una salida para cada dirección de la comunicación por lo que necesitará una sonda que escuche en dos puertos o limitarse a escuchar una única dirección.
* '''Capturar el tráfico mediante un ''network TAP'' '''. Un TAP es un dispositivo de red muy sencillo que copia el tráfico de una interfaz a otra en un solo sentido (es imposible interferir en la red). Es un dispositivo PASIVO indetectable, que no se puede "caer" ni causar molestias de ningún tipo ya que es una copia física conducida por hardware del tráfico de red. Hay TAPs desde 12€ a 900€, pero el principio es el mismo. El tap genera una salida para cada dirección de la comunicación, por lo que necesitará una sonda que escuche en dos puertos, o limitarse a escuchar una única dirección.
Si vamos a usar Netflow para analizar nuestra red únicamente mediante Pandora FMS y disponemos de un switch o firewall de gama alta, se podrá realizar la monitorización de manera más sencilla. Esto se debe a que estos dispositivos permiten enviar información estadística del flujo de red directamente al recolector de Netflow de Pandora FMS sin necesidad de usar una sonda independiente. Se debe consultar las características del hardware para saber si puede habilitar Netflow y enviar los flujos a un colector de Netflow independiente (en este caso, el colector de Netflow de Pandora FMS).
En resumen, este podría ser un escenario de trabajo para poder analizar el tráfico de red en tiempo real. Para ello solo sería necesario un par de TAPS de 12€ (o un par de port-mirrors) y un servidor de Pandora FMS:
A partir de la versión 5.0, Pandora FMS es capaz de monitorizar el tráfico IP haciendo uso del protocolo NetFlow. Permite mostrar patrones y datos generales del tráfico que resultan de gran utilidad.<br><br>
NetFlow es un protocolo de red, desarrollado por Cisco Systems para recolectar información sobre tráfico IP. Se ha convertido en un estándar de la industria para monitorización de tráfico de red, y actualmente está soportado para varias plataformas además de Cisco IOS y NXOS, como por ejemplo en dispositivos de fabricantes como Juniper, Enterasys Switches, y en sistemas operativos como Linux, FreeBSD, NetBSD y OpenBSD.
=== Protocolo Netflow ===
Los dispositivos con Netflow habilitado, cuando activan esta característica, generan "registros de netflow" que consisten en pequeños fragmentos de información que envian a un dispositivo central (un servidor o un colector Netflow), que es el que recibe información de los dispositivos (sondas Netflow) para almacenarla y procesarla.
Esa información se transmite mediante el protocolo Netflow, basado en UDP o SCTP. Cada registro de Netflow es un pequeño paquete que contiene una cantidad mínima de información, pero en ningún caso contiene los datos en bruto del tráfico. Es decir, no envía el "payload" del tráfico que circula por el colector, sólo datos estadísticos.
Existen varias diferencias entre las versiones de implementación del Netflow original, por lo que algunas incorporan algunos datos más, pero en líneas generales, el Netflow básico envía al menos la siguiente información.
Aunque se ha descrito Netflow de muchas maneras, la definición tradicional de Cisco es utilizar una clave de 7 elementos, donde el flujo se define como una secuencia unidireccional de paquetes que comparten los siguientes 7 valores:
* Dirección IP de origen.
* Tipo de servicio IP
Con el tiempo, otros fabricantes han diseñado sistemas equivalentes para sus dispositivos de red, con diferentes nombres pero propósito similar:
* Jflow o cflowd de Juniper Networks
NetFlow genera y recoge esta información, pero se necesita un software que permita almacenar y analizar dicho tráfico. Con Pandora FMS, utilizaremos un servidor especial para este propósito, que Pandora FMS levanará y parará cuando se arranque Pandora. Este servidor, se llama '''nfcapd''' y es necesario instalarlo para poder usar monitorización Netflow.
NetFlow genera y recoge esta información, pero se necesita un software que permita almacenar y analizar dicho tráfico. Con Pandora FMS, utilizaremos un servidor especial para este propósito, que Pandora FMS iniciará y detendrá cuando se arranque Pandora. Este servidor se llama '''nfcapd''' y es necesario instalarlo para poder usar monitorización Netflow.
=== Sonda Netflow ===
Las sondas son generalmente Routers con el netflow habilitado, configurado, y enviando información al colector Netflow (que en este caso será el servidor de Pandora con el demonio ''nfcapd'' habilitado.
Las sondas son generalmente Routers con Netflow habilitado, configurado, y enviando información al colector Netflow (que en este caso será el servidor de Pandora FMS con el demonio ''nfcapd'' habilitado.
== Requisitos e instalación ==
Pandora FMS utiliza una herramienta OpenSource llamada ''nfcapd'' para procesar todo el trafico netflow. Este demonio lo levanta de forma automática el servidor de Pandora FMS. Este sistema almacena los datos en ficheros binarios, en una ubicación determinada. Debe instalar ''nfcapd'' en su sistema antes de proder trabajar con Netflow en Pandora. El demonio ''nfcapd'' por defecto escucha en el puerto 9995/UDP, por lo que tendrá que tenerlo en cuenta si tiene firewalls para abrir este puerto y a la hora de configurar sus sondas Netflow.
Pandora FMS utiliza una herramienta OpenSource llamada ''nfcapd'' (perteneciente al paquete nfdump) para procesar todo el tráfico Netflow. Este demonio lo levanta de forma automática el servidor de Pandora FMS. Este sistema almacena los datos en ficheros binarios, en una ubicación determinada. Debe instalar ''nfcapd'' en su sistema antes de proder trabajar con Netflow en Pandora FMS. El demonio ''nfcapd'' por defecto escucha en el puerto 9995/UDP, por lo que tendrá que tenerlo en cuenta si tiene firewalls para abrir este puerto y a la hora de configurar sus sondas Netflow.
=== Instalacion de nfcapd ===
La instalacion de ''nfcapd'' requiere que usted lo instale por su cuenta, Pandora FMS no lo instalará. Para más información, vaya a la [http://nfdump.sourceforge.net página oficinal del proyecto nfcapd]
La instalacion de ''nfcapd'' debe hacerse manualmente, pues Pandora FMS no lo instalará. Para más información, vaya a la [https://github.com/phaag/nfdump página oficinal del proyecto nfcapd].
Pandora por defecto usa el directorio ''/var/spool/pandora/data_in/netflow'' para procesar la informacion, de manera que cuando arranque ''nfcapd'' utilizará este directorio. No lo modifique si no sabe exactamente qué está haciendo.
Pandora FMS por defecto usa el directorio ''/var/spool/pandora/data_in/netflow'' para procesar la informacion, de manera que cuando arranque ''nfcapd'' utilizará este directorio. No lo modifique si no sabe exactamente qué está haciendo.
{{tip|Es necesario que instale la '''version 1.6.8p1''' de ''nfdump'' para poder usarla con Pandora FMS}}
{{warning|Tenga en cuenta que es necesario que Pandora FMS, y en concreto el servidor WEB que ejecuta la consola, tenga acceso a esos ficheros de datos, en este ejemplo, en /var/spool/pandora/data_in/netflow}}
{{warning|Tenga en cuenta que es necesario que Pandora FMS, y en concreto el servidor WEB que ejecuta la consola, tenga acceso a esos ficheros de datos. En este ejemplo están en /var/spool/pandora/data_in/netflow}}
=== Instalación de sondas ===
Si no dispone de un router con Netflow, pero su tráfico pasa por un sistema Linux, puede instalar un software que actúe de sonda y envíe información de tráfico Netflow al colector.
En Linux existe un programa llamado ''fprobe'' que captura el tráfico y lo reenvia a un servidor NetFlow. Con él puede generar tráfico Netflow, de todo el tráfico de red que pasa por sus interfaces.
En Linux existe un programa llamado ''fprobe'' que captura el tráfico y lo reenvía a un servidor NetFlow. Con él puede generar tráfico Netflow, de todo el tráfico de red que pasa por sus interfaces.
Para descargar el paquete rpm basta con ejecutar el siguiente comando, y posteriormente instalarlo:
Por ejemplo ejecutando el siguiente comando se enviará todo el tráfico del interfaz ''eth0'' al colector Netflow escuchando en el puerto ''9995'' de la IP ''192.168.70.185'':
Por ejemplo, ejecutando el siguiente comando se enviará todo el tráfico del interfaz ''eth0'' al colector Netflow escuchando en el puerto ''9995'' de la IP ''192.168.70.185'':
Una vez generado tráfico, podrá ver estadísticas del mismo en el colector Netflow con el comando:
Que debe mostrar información similar a la siguiente:
== Como operar con Netflow en Pandora ==
== Como operar con Netflow en Pandora FMS ==
Pandora FMS trabaja con Netflow como un sistema auxiliar, es decir, no almacena la información de Netflow en la base de datos. Pandora FMS muestra esta información como informes solicitados bajo demanda.
Pandora FMS opera con Netflow usando "filtros", conjuntos de reglas para visualizar un tráfico determinado. Estas reglas pueden ser algo tan sencillo como "Todo el tráfico de la red 192.168.70.0/24" o algo más complejo usando expresiones pcap.
Una vez definidos los filtros, definiremos los informes, que determinan cómo vamos a ver los datos (gráficas, listas...) y en qué intervalo de tiempo. Al definir filtros e informes dejamos definida esa información, de forma similar a como se opera con los informes de Pandora FMS, para utilizarla —bajo demanda— cuando queramos.
Los informes Netflow aparecerán también como "tipo de informe" en la sección de Informes personalizados de Pandora FMS, para poderlos incorporar a los informes "normales" de Pandora FMS.
Por otro lado, disponemos de una consola de vista en "tiempo real" para analizar el tráfico, componiendo directamente las reglas. Es útil para investigar problemas, ver graficas puntuales que no corresponden a un filtro determinado, etc.
=== Configuración ===
En primer lugar, hay que habilitar Netflow para que sea accesible desde los menús Operación y Administración. En el apartado de Configuracion (menú administración) hay una opción para habilitar o deshabilitar el Netflow globalmente.
Una vez activado, aparecerá una nueva opción de configuración de Netflow en la sección de configuración.
Se debe configurar correctamente este apartado para que el demonio ''nfcapd'' pueda iniciarse sin problemas junto con el servidor de Pandora FMS:
* '''Data storage path''': Directorio donde se almacenarán los ficheros de datos de netflow.
* '''Daemon interval''': Intervalo de tiempo en segundos después del cual se rotan los ficheros de datos. Se recomienda un valor de 3600. Un intervalo mayor significa ficheros más grandes potencialmente, lo que significa menos sobrecarga de E/S. Pero también hace que encontrar datos para un intervalo específico sea más lento.
* '''Daemon interval''': Intervalo de tiempo en segundos después del cual se rotan los ficheros de datos. Se recomienda un valor de 3600. Un intervalo mayor significa ficheros potencialmente mayores, lo que significa menos sobrecarga de E/S, pero también hace que encontrar datos para un intervalo específico sea más lento.
* '''Daemon binary path''': Ruta al binario de ''nfcapd''.
* '''Nfdump binary path''': Ruta al binario de ''nfdump''.
* '''Nfexpire binary path''': Ruta al binario de ''nfexpire''.
* '''Maximum chart resolution''': Número máximo de puntos que mostrará una gráfica de área de netflow. Cuanto más alta la resolución peor el rendimiento. Se recomiendan valores entre 50 y 100.
* '''Maximum chart resolution''': Número máximo de puntos que mostrará una gráfica de área de Netflow. Cuanto más alta la resolución, peor el rendimiento. Se recomiendan valores entre 50 y 100.
* '''Disable custom live view filters''': Desabilita la definición de filtros personalizados desde la vista de Netflow (solo permitiría el uso de filtros ya creados).
* '''Disable custom live view filters''': Deshabilita la definición de filtros personalizados desde la vista de Netflow (solo permitiría el uso de filtros ya creados).
* '''Max. Netflow lifespan''': Indica el máximo tiempo en días de datos Netflow que se almacenarán.
* '''Enable IP address name resolution''': Permite la resolución de IPs para tratar de obtener los hostname de los dispositivos Netflow.
* '''Enable IP address name resolution''': Permite la resolución de IPs para tratar de obtener los hostnames de los dispositivos Netflow.
{{warning|La velocidad de acceso del disco en el que residen los datos de Netflow es normalmente el factor limitante del rendimiento}}
Una vez configurado el Netflow, habrá que reiniciar el servidor de Pandora FMS para que éste levante el servidor ''nfcapd''. Este debe estar correctamente instalado antes de intentar arrancarlo. Compruebe los logs del servidor ante cualquier duda.
Una vez configurado Netflow en la consola, habrá que reiniciar el servidor de Pandora FMS para que éste inicie el servidor ''nfcapd''. Este debe estar correctamente instalado antes de intentar arrancarlo. Compruebe los logs del servidor ante cualquier duda.
{{tip|El servidor Netflow no aparecerá como servidor en la vista de servidores de Pandora, ya que no es un servidor de Pandora FMS}}
{{tip|El servidor Netflow no aparecerá como servidor en la vista de servidores de Pandora FMS, ya que no es un servidor de Pandora FMS}}
== Filtros ==
También podemos crear un filtro directamente desde la vista de "Netflow live view", guardando el filtro activo como un nuevo filtro. Los filtros Netflow pueden ser "basicos" o "avanzados". La diferencia está en que los primeros tienen unos campos mas o menos fijos de filtrado (IP origen, IP destino, Puerto origen, puerto destino) y los avanzados se definen con una expresión ''pcap'' que es el estándar en expresiones de filtrado para tráfico de red, y que utilizan herramientas de todo tipo.
También se puede crear un filtro directamente desde la vista de "Netflow live view", guardando el filtro activo como uno nuevo. Los filtros Netflow pueden ser "básicos" o "avanzados". La diferencia está en que los primeros tienen unos campos fijos de filtrado (IP origen, IP destino, Puerto origen, Puerto destino) y los avanzados se definen mediante una expresión ''pcap'' (estándar en expresiones de filtrado para tráfico de red) y utilizan herramientas de todo tipo.
=== Creación del filtro ===
* '''Name''': Es aconsejable que el nombre del filtro sea descriptivo.
* '''Group''': Un usuario solo podrá crear un filtro o editar un filtro de un grupo al que tenga acceso.
* '''Filter''': Existen dos tipos de filtros, básico y avanzado. El filtro avanzado permite introducir expresiones avanzadas en el mismo formato que ''nfdump''. El filtro básico permite filtrar el tráfico por ip origen, ip destino, puerto origen y puerto destino. Son válidas las listas de Ips y puertos separados por comas.
* '''Aggregate by''': El tráfico se agrupará siguiendo alguno de éstos criterios:
Line 295: Line 298:
Más ejemplos de filtros avanzados:
*Capturar el tráfico entrante o saliente de 192.168.0.1:
*Capturar el tráfico entrante en 192.168.0.1:
*Capturar el tráfico saliente de 192.168.0.0/24:
*Capturar el tráfico de HTTP y HTTPS:
*Capturar todo el tráfico excepto el de DNS (53):
*Capturar el tráfico hacia 192.168.0.1 del protocolo SSH:
== Informes ==
Los informes de Netflow están integrados con los informes de Pandora FMS (ver [http://www.openideas.info/wiki/index.php?title=Pandora:Documentation_en:Data_Presentation#Reports Informes] para más información).
Los informes de Netflow están integrados con los informes de Pandora FMS (ver [https://pandorafms.com/docs/index.php?title=Pandora:Documentation_es:Presentacion_datos/Informes Informes] para más información).
*'''Description''': Descripción del elemento.
*'''Period''': Longitud del intervalo de datos a mostrar.
*'''Resolution''': Los datos se leerán en bloques de un tamaño igual a la resolución. Si Periodo / Resolución es mayor que la máxima resolución configurada la resolución se ajustará de forma dinámica. Por ejemplo, para un periodo de 1 día y una resolución de 1 hora se dibujarán 24 puntos en la gráfica.
*'''Resolution''': Algunos informes requiren que se recojan muestras cada cierto periodo. Este parámetro sirve para definir el número de muestras. La resolución puede ser baja (6 muestras), media (12 muestras), alta (24 muestras) ultra alta (30 muestras). Hay dos valores especiales (''hourly'' y ''daily'' para que no se recoja un valor fijo de muestras sino una cada cierto periodo.
*'''Max. values''': Número máximo de elementos para agregados. Por ejemplo, si una gráfica de tráfico HTTP está agregada por dirección IP de origen y Max. values se configura a 5, sólo se mostrarán 5 direcciones IP.
Hay tres tipos de elementos de informe de Netflow:
* '''Netflow area chart''': Una gráfica de área, agregada o sin agregar.
* '''Netflow pie chart''': Una gráfica de tarta agregada.
Line 359: Line 367:
* '''Netflow statistics chart''': Una representación en texto de la gráfica de tarta.
* '''Netflow summary chart''': Resumen de tráfico para el periodo dado. Hay tres elementos: una tabla con información global, un gráfico de tarta con las IPs o puertos más relevantes y una tabla con la misma información del gráfico de tarta desglosada.
* '''Netflow summary chart''': Resumen de tráfico para el periodo dado.
== Vista en tiempo real ==
Esta vista se utiliza para consultar el histórico de datos capturados en base a diferentes filtros de búsqueda. Se pueden usar filtros y diferentes formas de visualización de información. Se debe definir la manera de agrupar la información mostrada, así como la manera de obtener dicha información para poder empezar a visualizar datos.
Line 387: Line 385:
La manera de obtener la información puede ser por: IP de origen, IP de destino, Puerto de origen o Puerto de destino. Si se escoge, por ejemplo, mostrar la información IP de destino se mostrará la información ordenada por las IP's con más tráfico hacia el destino de mayor a menor. Lo mismo sería para saber el consumo de su red por protocolo, escogiendo por puerto de destino.
Las maneras de visualización posibles son las siguientes:
* '''Gráficas de área''' (de tipo ''stacked''), muestra a lo largo del tiempo (desde la fecha de origen a la fecha de destino), la evolución de los datos. Escoja el nivel de precisión de la gráfica en el control "Resolución".
* '''Gráficas de área''' (de tipo ''stacked''): muestra a lo largo del tiempo (desde la fecha de origen a la fecha de destino), la evolución de los datos. Se debe escoger el nivel de precisión de la gráfica en el token "Resolución".
* '''Sumario'''. Muestra una tabla resumen, una tarta y una tabla con los datos de todo el periodo.
* '''Sumario''': Muestra una tabla resumen, una tarta y una tabla con los datos de todo el periodo.
Line 403: Line 401:
* '''Detallado'''. Muestra una mapa de porciones que representa el tráfico por IP.
* '''Detallado''': Muestra un mapa de porciones que representa el tráfico por IP.
Line 409: Line 407:
* '''Tabla de datos'''. Muestra una tabla de datos con cada IP y un número de filas que depende de la resolución elegida (como en la gráfica).
* '''Tabla de datos''': Muestra una tabla de datos con cada IP y un número de filas que depende de la resolución elegida.
* '''Gráfico circular'''. Muestra un gráfico interactivo cirtcular que representa los pares de conexiones entre IP y su volumen de tráfico.
* '''Gráfico circular''': Muestra un gráfico interactivo circular que representa los pares de conexiones entre IP y volumen de tráfico.
Line 424: Line 422:
Vaya a [[Pandora:Documentation_es:Netflow#Informes|informes]] y [[Pandora:Documentation_es:Netflow#Filtros|filtros]] para aprender a configurar las opciones de la vista en tiempo real.
== Mapas de tráfico de red ==
Esta es una nueva característica introducida en el OUM 733 y que será mejorada en el futuro. Crea mapas de red dinámicos, basados en el tráfico entre nodos. Muestra la relación (conexiones) entre diferentes direcciones, mostrando las N conexiones más importantes (por tamaño de los datos transferidos entre ellas).
==Configuración distribuida==
Es posible ubicar el nodo de Pandora FMS que recoge datos de Netflow en un host independiente de la consola. En entornos con muchos datos Netflow es más que recomendable ubicarlo en un servidor con discos rápidos y una CPU rápida de al menos dos núcleos. Para que la consola de Pandora FMS pueda extraer datos de Netflow será necesario modificar la configuración por defecto del sistema, siguiendo los pasos descritos a continuación:
Habilitar login para el usuario apache. Para ello hay que modificar en el fichero /etc/passwd la linea del usuario apache con esta configuración:
Line 439: Line 446:
# mkdir /var/www/.ssh
# chown apache:apache /var/www/.ssh
# su apache
bash-4.2$ ssh-keygen
bash-4.2$ ssh-copy-id user@<netflow_server>
bash-4.2$ ssh-copy-id root@<netflow_server>
Una vez compartida se debe comprobar que es posible acceder al servidor mediante el usuario apache sin indicar contraseña:
bash-4.2$ ssh user@<netflow_server>
bash-4.2$ ssh usuario@<netflow_server>
* '''Crear un script en la consola de Pandora FMS que reemplace a /usr/bin/nfdump por uno similar al siguiente'''
Dar permisos de ejecución al script:
Probar a ejecutar el script, de esta forma
Line 496: Line 499:
Pandora Network Traffic Analyzer (Pandora NTA) es una herramienta de análisis de tráfico de red pensada para entornos donde no se quiere, o no se puede, utilizar Netflow para hacer un análisis de la red. Es importante destacar que ofrecen funcionalidades ligeramente diferentes: '''Netflow muestra información (relativa a los puertos) que Pandora NTA no muestra, cuenta con una interfaz en tiempo real más avanzada''', y tiene características únicas, como poder crear módulos de datos como resultado de filtros avanzados de expresiones PCAP.
Pandora Network Traffic Analyzer (Pandora NTA) es una herramienta de análisis de tráfico de red pensada para entornos donde no se quiere o no se puede utilizar Netflow para hacer un análisis de la red. Es importante destacar que ofrecen funcionalidades ligeramente diferentes, pero que '''Netflow muestra información (relativa a los puertos) que Pandora NTA no muestra (esa es casi la única diferencia) y que Netflow permite una interfaz en tiempo real mucho más avanzada''', así como características únicas como crear módulos de datos como resultado de filtros avanzados de expresiones PCAP.
Como base de Pandora NTA/NTOP se utiliza un fork del proyecto NTOP (de la versión licenciada como GPL2), además de código propio del proyecto Pandora FMS. Se encarga de recoger los datos y enviárselos en forma de XML al servidor de Pandora FMS. Todo ese código está disponible en nuestro repositorio público para el que quiera utilizarlo, puesto que se trata de una funcionalidad 100% Open Source.
Pandora NTA utiliza uno o varios sensores de red para inspeccionar tráfico y generar estadísticas de consumo por IP de origen e IP de destino. No genera información específica de tráfico por puerto o aplicación, para esa función más avanzada se debería usar NetFlow.
Pandora NTA es una forma sencilla de monitorizar a bajo nivel su red, sin invertir en hardware especializado o herramientas de terceros, e incorporar esa información en su plataforma de monitorización existente. Pandora NTA ofrece:
* Consumo detallado por tráfico de entrada y salida de cada IP local de la red local.
* Consumo detallado por tráfico, de entrada y salida de cada IP local de su red local.
* Detección de problemas de red (mediante la generación de eventos).
* Informes específicos del consumo de su red, por IP de origen.
* Informes específicos del consumo de red, por IP de origen.
* Una relación de las IP's de destino con más tráfico por IP de origen en su red.
* Una relación de las IP's de destino con más tráfico por IP de origen en la red.
* Informes de consumo de red local por origen, mapas dinámicos y opciones de búsqueda y filtrado con los datos acumulados.
Con los datos individuales del tráfico de cada equipo de la red, Pandora NTA podrá generar alertas, informes de tipo TopN y emplear cualquier otra función de Pandora FMS, ya que se guardan como módulos de un agente.
== Arquitectura y funcionamiento ==
Necesitará instalar la sonda '''pandora-ntop''' en una máquina que tenga acceso al tráfico de su red LAN, generalmente instalándola en un servidor Linux con acceso al tráfico (si este actúa de router o firewall), o bien redireccionando el tráfico a un puerto por medio de un port-mirror desde un switch, firewall o router. También puede duplicar el tráfico en un sólo sentido por medio de un TAP, pero requerirá un equipamiento hardware específico. '''Es importante que entienda que si instala Pandora NTA en un equipo ordinario, sin realizar previamente un portmirror o conectar un TAP que redirija tráfico a dicha máquina, no recibirá todo el tráfico de la red, solo observará el tráfico generado por esa máquina, no el resto de la red.'''
Se necesitará instalar la sonda '''Pandora-NTOP''' en una máquina que tenga acceso al tráfico de la red LAN, generalmente en un servidor Linux que actúa como router o firewall, o bien redireccionando el tráfico a un puerto por medio de un port-mirror desde un switch, firewall o router. También se puede duplicar el tráfico en un sólo sentido por medio de un TAP, pero requerirá un equipamiento hardware específico.
{{Tip|Es '''importante''' que se entienda que si se instala Pandora NTA en un equipo ordinario, sin realizar previamente un portmirror o conectar un TAP que redirija tráfico a dicha máquina, no se recibirá todo el tráfico de la red: solo se observará el tráfico generado por esa máquina.}}
Pandora-NTOP escuchará el tráfico y generará datos que no almacenará en ningún sitio (los mantiene en memoria). Pandora-NTA enviará los datos recogidos por Pandora-NTOP y los enviará a Pandora FMS Data Server.
Pandora-NTOP escuchará el tráfico y generará datos sin almacenarlos en ningún sitio (los mantiene en memoria). Pandora NTA enviará los datos recogidos por Pandora-NTOP a Pandora FMS Data Server.
'''Puede instalar tantos Pandora-NTA como necesite''', si tiene varias redes locales y varios puntos de escucha, permite hacer un despliegue distribuido.
'''Se puede instalar tantos Pandora NTA como se necesite'''; si existen varias redes locales y varios puntos de escucha, se puede realizar un despliegue distribuido.
Pandora NTA además ofrece información relativa a problemas en la red local en tiempo real, ya que puede generar eventos de tres tipos:
* Máscara inválida (Wrong netmask).
Line 526: Line 530:
* Dirección MAC Duplicada (Duplicated mac).
Se puede crear alertas de eventos para conocer en tiempo real, por ejemplo, cuándo aparece una MAC duplicada en su sistema. Se deben utilizar las cadenas de texto en inglés descritas anteriormente para crear una alerta de evento.
Actualmente se dispone de un tarball compatible con CentOS 7. Se distribuye comprimido en un tgz, disponible en la librería de módulos de Pandora FMS en https://pandorafms.com/library/pandora-nta/. Para instalarlo hay que descomprimirlo:
Para desinstalar el Pandora NTA hay que lanzar el mismo script de la siguiente forma:
Si se encuentra instalada la versión de Pandora FMS distribuida en ISO, ya estará instalado en el sistema, teniendo solo que activarlo (A partir de OUM 733).
=== Requisitos ===
La parte de Perl de Pandora NTA necesita algunas dependencias, además de disponer de un intérprete de Perl en la máquina donde corre.
Line 565: Line 569:
Para saber si falta alguna dependencia basta con ejecutar el script principal con la opción -h, y si aparece un error en vez de una ventana de ayuda significa que faltan dependencias. Con este error se pueden ver cuales son y se pueden instalar con CPAN o directamente descargando los paquetes de Perl desde los repositorios oficiales de cada distribución.
De la parte binaria de Pandora NTA basada en NTOP (Pandora-NTOP), se puede obtener el código para su compilación desde el repositorio público de github (https://github.com/pandorafms), o bien utilizar uno de los binarios precompilados que se distribuyen en lalibrería de modulos de Pandora FMS en https://pandorafms.com/library). Viene distribuida por defecto en las imágenes ISO de instalación de Pandora FMS a partir de NG 733.
== Configuración de Pandora NTA ==
'''Parámetros aceptados por linea de comandos'''
'''Parámetros aceptados por línea de comandos'''
Intervalo en segundos entre dos ciclos de trabajo del Pandora NTA (300 segundos por defecto).
Número de fallos consecutivos que puede dar la aplicación antes de que se considere que hay un error grave y se pare. Si está a 0 no se parará nunca, por muchos fallos que haya (2 por defecto).
Tiempo máximo en segundos para enviar los ficheros por Tentacle. Si se excede este tiempo, Pandora NTA reiniciará todo su estado y memoria (15 segundos por defecto).
Nivel de información volcada por el log. Cuanto más alto, más información arroja. Con 0 no se muestra nada, con 3 se muestran los errores graves, con 5 se muestran warnings y con 9 se muestra todo. No se recomiendan valores muy altos para que no consuma mucho disco (3 por defecto).
Carpeta donde está el fichero de caché de la aplicación. Es necesario escribir en este fichero. Si no está creado, Pandora NTA lo crea. Hay que tener cuidado al cambiarlo, pues puede que se cree uno nuevo y se dupliquen los agentes que mandan información a Pandora, puesto que no encontraría sus nombres y generaría otros nuevos (* /tmp/pandorata_cache.json*).
Host al que hacer las peticiones de servidor web de Pandora-NTOP (por defecto localhost).
Puerto mediante el que se realizan las peticiones de proceso de Pandora-NTOP (por defecto 3000).
Subredes que son consideradas como locales por NTOP. Si se quiere especificar más de una subred, se puede hacer concatenándolas mediante comas (por ejemplo ntop_local_subnets 192.168.50.0/24,114.15.0.0/16).
{{Warning|Si no hay ninguna subred configurada se volcará información a Pandora de todos los host que NTOP descubra (opción de todos los hosts por defecto). Por favor, asegúrese de configurar al menos una red local.}}
{{Warning|Si no hay ninguna subred configurada se volcará información a Pandora FMS de todos los host que NTOP descubra (opción por defecto). Por favor, asegúrese de configurar al menos una red local.}}
Line 645: Line 649:
Puerto donde está escuchando el servidor de Tentacle para recibir los XML (por defecto 41121).
Directorio donde se escriben los XML para que el cliente de Tentacle los envíe (por defecto /tmp). Tiene que tener permisos de escritura.
=== Despliegue y arranque ===
Line 657: Line 661:
== Visualización ==
Por defecto (aunque este comportamiento se puede modificar en la configuración de pandora_nta.conf) se creará un agente llamado Pandora NTA que contendrá las siguientes métricas:
* El estado del sistema NTA
Line 671: Line 675:
Además el sistema creará un agente por cada una de las IP's que encuentre en la red local (tal como se haya definido en pandora_nta.conf).
Para cada IP gestionada, se monitorizarán los mismos parámetros:
* Suma del caudal de tráfico de toda la red (entrada y salida).
Line 688: Line 692:
Se dispone de un informe específico de NTA al crear informes:
Line 704: Line 708:
En esta vista se muestran las IPs con más tráfico de salida o de entrada. El top de IPs se puede establecer por número de paquetes o por número de bytes. Además, está la posibilidad de hacer filtros por una IP en concreto, para ver las IP's hacia las cuales hay tráfico desde ese origen.
Line 710: Line 714:
== NTA usage map ==
Esta vista permite mostrar el tráfico, en un intervalo de tiempo determinado, en forma de mapa topológico. Simplemente hay que seleccionar una fecha de inicio y una fecha de final, mostrandose las IPs con más tráfico de salida o de entrada.
Latest revision as of 09:35, 31 December 2019
2.3 Como operar con Netflow en Pandora FMS
2.4.1 Creación del filtro
2.4.1.1 Ejemplos
2.7 Mapas de tráfico de red
2.8 Configuración distribuida
Pandora FMS utiliza dos sistemas alternativos y complementarios para analizar la red en tiempo real: Pandora NTA y Netflow. Ambos sistemas utilizan el mismo principio: "escuchar" el cable ethernet de manera continua y analizar el tráfico para generar estadísticas. En ambos casos hay que, de alguna manera, "interceptar" el tráfico de la red para enviarlo a una sonda que lo analice y envíe esos resultados a Pandora FMS.
Redirigir el tráfico de un puerto del switch a otro puerto mediante un "port-mirror". No todos los dispositivos de red permiten hacerlo (sólo los de gama media/alta). También se puede hacer un port-mirror en algunos firewalls comerciales. Es la forma más sencilla de interceptar el tráfico y no requiere hardware adicional. Al enviar todo el tráfico hacia un puerto, ese puerto se conecta directamente al analizador de red (sonda netflow o pandora nta/ntop).
Capturar el tráfico mediante un network TAP . Un TAP es un dispositivo de red muy sencillo que copia el tráfico de una interfaz a otra en un solo sentido (es imposible interferir en la red). Es un dispositivo PASIVO indetectable, que no se puede "caer" ni causar molestias de ningún tipo ya que es una copia física conducida por hardware del tráfico de red. Hay TAPs desde 12€ a 900€, pero el principio es el mismo. El tap genera una salida para cada dirección de la comunicación, por lo que necesitará una sonda que escuche en dos puertos, o limitarse a escuchar una única dirección.
NetFlow genera y recoge esta información, pero se necesita un software que permita almacenar y analizar dicho tráfico. Con Pandora FMS, utilizaremos un servidor especial para este propósito, que Pandora FMS iniciará y detendrá cuando se arranque Pandora. Este servidor se llama nfcapd y es necesario instalarlo para poder usar monitorización Netflow.
Las sondas son generalmente Routers con Netflow habilitado, configurado, y enviando información al colector Netflow (que en este caso será el servidor de Pandora FMS con el demonio nfcapd habilitado.
Pandora FMS utiliza una herramienta OpenSource llamada nfcapd (perteneciente al paquete nfdump) para procesar todo el tráfico Netflow. Este demonio lo levanta de forma automática el servidor de Pandora FMS. Este sistema almacena los datos en ficheros binarios, en una ubicación determinada. Debe instalar nfcapd en su sistema antes de proder trabajar con Netflow en Pandora FMS. El demonio nfcapd por defecto escucha en el puerto 9995/UDP, por lo que tendrá que tenerlo en cuenta si tiene firewalls para abrir este puerto y a la hora de configurar sus sondas Netflow.
La instalacion de nfcapd debe hacerse manualmente, pues Pandora FMS no lo instalará. Para más información, vaya a la página oficinal del proyecto nfcapd.
Pandora FMS por defecto usa el directorio /var/spool/pandora/data_in/netflow para procesar la informacion, de manera que cuando arranque nfcapd utilizará este directorio. No lo modifique si no sabe exactamente qué está haciendo.
Tenga en cuenta que es necesario que Pandora FMS, y en concreto el servidor WEB que ejecuta la consola, tenga acceso a esos ficheros de datos. En este ejemplo están en /var/spool/pandora/data_in/netflow
En Linux existe un programa llamado fprobe que captura el tráfico y lo reenvía a un servidor NetFlow. Con él puede generar tráfico Netflow, de todo el tráfico de red que pasa por sus interfaces.
Por ejemplo, ejecutando el siguiente comando se enviará todo el tráfico del interfaz eth0 al colector Netflow escuchando en el puerto 9995 de la IP 192.168.70.185:
Daemon interval: Intervalo de tiempo en segundos después del cual se rotan los ficheros de datos. Se recomienda un valor de 3600. Un intervalo mayor significa ficheros potencialmente mayores, lo que significa menos sobrecarga de E/S, pero también hace que encontrar datos para un intervalo específico sea más lento.
Maximum chart resolution: Número máximo de puntos que mostrará una gráfica de área de Netflow. Cuanto más alta la resolución, peor el rendimiento. Se recomiendan valores entre 50 y 100.
Disable custom live view filters: Deshabilita la definición de filtros personalizados desde la vista de Netflow (solo permitiría el uso de filtros ya creados).
Enable IP address name resolution: Permite la resolución de IPs para tratar de obtener los hostnames de los dispositivos Netflow.
Una vez configurado Netflow en la consola, habrá que reiniciar el servidor de Pandora FMS para que éste inicie el servidor nfcapd. Este debe estar correctamente instalado antes de intentar arrancarlo. Compruebe los logs del servidor ante cualquier duda.
El servidor Netflow no aparecerá como servidor en la vista de servidores de Pandora FMS, ya que no es un servidor de Pandora FMS
También se puede crear un filtro directamente desde la vista de "Netflow live view", guardando el filtro activo como uno nuevo. Los filtros Netflow pueden ser "básicos" o "avanzados". La diferencia está en que los primeros tienen unos campos fijos de filtrado (IP origen, IP destino, Puerto origen, Puerto destino) y los avanzados se definen mediante una expresión pcap (estándar en expresiones de filtrado para tráfico de red) y utilizan herramientas de todo tipo.
Capturar el tráfico entrante o saliente de 192.168.0.1:
Capturar el tráfico entrante en 192.168.0.1:
Capturar el tráfico saliente de 192.168.0.0/24:
Capturar el tráfico de HTTP y HTTPS:
Capturar todo el tráfico excepto el de DNS (53):
Capturar el tráfico hacia 192.168.0.1 del protocolo SSH:
Resolution: Algunos informes requiren que se recojan muestras cada cierto periodo. Este parámetro sirve para definir el número de muestras. La resolución puede ser baja (6 muestras), media (12 muestras), alta (24 muestras) ultra alta (30 muestras). Hay dos valores especiales (hourly y daily para que no se recoja un valor fijo de muestras sino una cada cierto periodo.
Netflow summary chart: Resumen de tráfico para el periodo dado. Hay tres elementos: una tabla con información global, un gráfico de tarta con las IPs o puertos más relevantes y una tabla con la misma información del gráfico de tarta desglosada.
Gráficas de área (de tipo stacked): muestra a lo largo del tiempo (desde la fecha de origen a la fecha de destino), la evolución de los datos. Se debe escoger el nivel de precisión de la gráfica en el token "Resolución".
Sumario: Muestra una tabla resumen, una tarta y una tabla con los datos de todo el periodo.
Detallado: Muestra un mapa de porciones que representa el tráfico por IP.
Tabla de datos: Muestra una tabla de datos con cada IP y un número de filas que depende de la resolución elegida.
Gráfico circular: Muestra un gráfico interactivo circular que representa los pares de conexiones entre IP y volumen de tráfico.
Configurar la autenticación automática SSH entre el usuario propietario del demonio web y el usuario con capacidad de ejecutar nfdump en el nodo colector.
Crear un script en la consola de Pandora FMS que reemplace a /usr/bin/nfdump por uno similar al siguiente
Pandora Network Traffic Analyzer (Pandora NTA) es una herramienta de análisis de tráfico de red pensada para entornos donde no se quiere, o no se puede, utilizar Netflow para hacer un análisis de la red. Es importante destacar que ofrecen funcionalidades ligeramente diferentes: Netflow muestra información (relativa a los puertos) que Pandora NTA no muestra, cuenta con una interfaz en tiempo real más avanzada, y tiene características únicas, como poder crear módulos de datos como resultado de filtros avanzados de expresiones PCAP.
Consumo detallado por tráfico de entrada y salida de cada IP local de la red local.
Informes específicos del consumo de red, por IP de origen.
Una relación de las IP's de destino con más tráfico por IP de origen en la red.
Se necesitará instalar la sonda Pandora-NTOP en una máquina que tenga acceso al tráfico de la red LAN, generalmente en un servidor Linux que actúa como router o firewall, o bien redireccionando el tráfico a un puerto por medio de un port-mirror desde un switch, firewall o router. También se puede duplicar el tráfico en un sólo sentido por medio de un TAP, pero requerirá un equipamiento hardware específico.
Es importante que se entienda que si se instala Pandora NTA en un equipo ordinario, sin realizar previamente un portmirror o conectar un TAP que redirija tráfico a dicha máquina, no se recibirá todo el tráfico de la red: solo se observará el tráfico generado por esa máquina.
Pandora-NTOP escuchará el tráfico y generará datos sin almacenarlos en ningún sitio (los mantiene en memoria). Pandora NTA enviará los datos recogidos por Pandora-NTOP a Pandora FMS Data Server. Se puede instalar tantos Pandora NTA como se necesite; si existen varias redes locales y varios puntos de escucha, se puede realizar un despliegue distribuido.
Parámetros aceptados por línea de comandos
Si no hay ninguna subred configurada se volcará información a Pandora FMS de todos los host que NTOP descubra (opción por defecto). Por favor, asegúrese de configurar al menos una red local.
Retrieved from "https://pandorafms.com/docs/index.php?title=Pandora:Documentation_es:Netflow&oldid=59662"

References: resolución 
 resolución 
 resolución 
 Resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución