Salut tout le monde et bon retour.
Maintenant, dans la vidéo d'aujourd'hui, nous allons discuter de la mise en miroir du trafic.
Aujourd'hui, de nombreuses organisations ont généralement des exigences liées à la capture du trafic réseau pour
divers cas d'utilisation.
Cela peut être lié aux idées, à la propriété intellectuelle, à l'asile, etc.
Donc, ce qu'ils avaient généralement l'habitude de faire, c'était d'installer une sorte d'outils de collecte de données filaires
comme Splunk Stream qui capterait certains types de trafic réseau pour les analyser pour les menaces de sécurité.
Alors laissez-moi aussi vous montrer.
Ainsi, dans l'année de base Splunk, vous disposez d'une application Splunk pour le flux et vous pouvez capturer de nombreux
protocoles.
Il peut s'agir d'un protocole HTTP, d'un protocole DNS et de divers autres.
Et dans ce protocole également, vous pouvez définir quelles sont les choses exactes dont vous avez besoin dans la
capture et sur la base desquelles l'agent a utilisé pour capturer ces détails.
Ainsi, bien que ce soit l'une des excellentes applications qui permet la capture du trafic réseau en fonction d'un
filtre spécifique, l'un des inconvénients que vous verrez généralement non seulement lié à Splunk
Stream, mais également lié à d'autres captures de trafic réseau, est associé à une performance du système.
Maintenant, je me souviens que dans l'organisation avec laquelle je travaillais, nous avions des centaines d'instances
et j'étais généralement responsable de Splunk Stream que je m'occupais du déploiement de Splunk pour l'ensemble de l'organisation.
Maintenant, tous ces flux Splunk étaient bons, mais l'un des problèmes répétés auxquels nous étions confrontés était
lié aux performances.
On peut dire que pendant cette période, je faisais partie à la fois de la sécurité et de l'équipe, car le
flux Splunk ralentissait parfois le système global ainsi que l'application, puis nous devions
l'examiner et résoudre le problème en conséquence. .
Alors, quelles sont les alternatives que l'appareil a proposées pour capturer le réseau ?
Le trafic de l'instance AC Two est la fonction de mise en miroir du trafic.
Ainsi, dans un aperçu de haut niveau, la mise en miroir du trafic est une fonctionnalité Amazon VPC que vous pouvez utiliser pour copier
le trafic réseau à partir d'une interface réseau élastique.
Donc, cela peut être compris avec ce diagramme où vous avez un ensemble d'instances AC deux et
ces instances faciles auraient une sorte d'interface réseau et la mise en miroir du trafic nous permettrait
de copier le trafic réseau associé à l'interface réseau et d'envoyer vers une instance de surveillance centralisée.
Ainsi, cette instance de surveillance centralisée pourrait être une instance Splunk, il pourrait s'agir d'un système IP d'identification,
etc.
Ainsi, vous n'avez plus besoin d'installer l'agent individuellement dans l'instance AC Two pour capturer le trafic
réseau, vous pouvez directement utiliser la mise en miroir du trafic.
C'est donc la vue d'ensemble de haut niveau.
Allons-y et faisons une démonstration rapide.
Donc pour la démo d'aujourd'hui, j'ai trois AC, deux instances.
Le premier est le client, le deuxième est le serveur et le troisième est l'outil de surveillance.
Donc, ce que nous ferons du client ici, nous enverrons le trafic au serveur et nous examinerons
l'outil de surveillance pour vérifier si ce trafic du client au serveur a été capturé.
Maintenant, j'ai déjà la mise en miroir du trafic qui est déjà configurée entre ces serveurs.
Donc, idéalement, le trafic réseau devrait être capturé.
Donc actuellement dans ce CLE, j'ai deux onglets qui sont ouverts.
L'un est associé au client qui enverra du trafic au serveur.
Et le deuxième onglet est lié à notre outil de surveillance que nous utiliserons pour capturer le trafic qui
atteint le serveur.
Maintenant, à partir de l'outil de surveillance, la commande TCP sera exécutée pour continuer et capturer un trafic spécifique.
Maintenant, à ce stade, vous verrez qu'il n'y a pas de trafic visible dans un vidage.
Alors faisons une chose.
Copions l'adresse IP associée au serveur et depuis la machine cliente.
Je vais envoyer une simple demande à cette adresse IP spécifique.
J'ai donc déjà un serveur HTTP qui s'exécute sur le serveur facile à utiliser.
Maintenant, à ce stade, si vous voyez qu'il n'y a toujours pas de trafic dans l'outil de surveillance.
Mais dès que j'exécute la commande, vous voyez immédiatement qu'un ensemble de trafic a été capturé au niveau du serveur de surveillance.
D'accord.
Donc, juste pour réviser du client, nous avons fait une demande à l'adresse IP du serveur et une mise en miroir du trafic capturait le trafic
qui arrivait au serveur et il transmettait ce trafic à notre outil de surveillance à partir duquel
il peut être analysé.
Maintenant, permettez-moi également de vous montrer rapidement à quoi cela ressemblerait dans la fonction de mise en miroir du trafic.
Donc, si vous voyez que j'ai une session de mise en miroir du trafic et que la source ici est une interface réseau spécifique.
Comme nous en discutons ici, les copies de mise en miroir du trafic sont le trafic réseau d'une interface réseau
élastique et de l'intérieur.
A 81 ans.
Donc, du plus facile à l'exemple, si vous allez sur le serveur pour examiner l'interface réseau élastique qui
lui est associée, vous voyez qu'il s'agit d'une base de données et la même chose que nous pouvons voir dans la fonction de mise en miroir du trafic.
Ainsi, tout trafic arrivant sur cette interface réseau spécifique associée
au serveur facile à instancier, la cible est celle-ci.
Et si je vais ouvrir rapidement cela, vous voyez essentiellement la destination qui est la cible.
Donc, tout trafic qui arrive sur le serveur où il doit être copié exactement, puis vous devez spécifier
l'interface réseau de l'outil de surveillance qui se termine par FCC et la même chose que vous voyez dans la destination
ici.
Super.
J'espère donc que cet aperçu de haut niveau vous a permis de comprendre les bases de la fonction de surveillance
du trafic dans VPC.