Hallo zusammen und willkommen zurück.
Nun, im heutigen Video werden wir über Verkehrsspiegelung sprechen.
Nun haben viele der Organisationen im Allgemeinen Anforderungen in Bezug auf die Erfassung des Netzwerkverkehrs für verschiedene
Anwendungsfälle.
Es kann sich auf Ideen, geistiges Eigentum, Asyl und so weiter beziehen.
Was sie also im Allgemeinen taten, war, eine Art drahtgebundene Datenerfassungstools wie Splunk Stream zu installieren,
die bestimmte Arten von Netzwerkverkehr erfassten, um sie auf Sicherheitsbedrohungen zu analysieren.
Also lass es mich dir auch zeigen.
Im Splunk-Basisjahr haben Sie also eine Splunk-App für Streams und darin können Sie viele Protokolle
erfassen.
Es könnte ein HTTP-Protokoll, ein DNS-Protokoll und verschiedene andere sein.
Und innerhalb dieses Protokolls können Sie auch definieren, was die genauen Dinge sind, die Sie in den erfassten
Daten benötigen und auf deren Grundlage der Agent diese Details erfasst hat.
Dies ist zwar eine der großartigen Apps, die die Erfassung des Netzwerkverkehrs basierend auf einem bestimmten Filter ermöglicht,
aber einer der Nachteile, die Sie im Allgemeinen nicht nur im Zusammenhang mit Splunk Stream, sondern auch im Zusammenhang
mit der Erfassung anderer Netzwerkverkehre sehen werden, ist damit verbunden eine Systemleistung.
Ich erinnere mich, dass wir in der Organisation, mit der ich früher zusammengearbeitet habe, Hunderte von Instanzen
hatten und ich allgemein für Splunk Stream verantwortlich war, dass ich mich um die Splunk-Bereitstellung für die gesamte Organisation
gekümmert habe.
Jetzt waren all diese Splunk-Streams gut, aber eines der wiederholten Probleme, mit denen wir früher konfrontiert waren, hing mit
der Leistung zusammen.
Man könnte sagen, dass ich in dieser Zeit sowohl Teil der Sicherheit als auch des Teams war, weil der Splunk-Stream
manchmal das Gesamtsystem und auch die Anwendung verlangsamte, und dann mussten wir uns darum kümmern
und das Problem entsprechend beheben .
Was sind also die Alternativen, die das Gerät freigegeben hat, um das Netzwerk zu erfassen?
Der Datenverkehr der AC-Zwei-Instanz ist die Datenverkehrsspiegelungsfunktion.
Auf hoher Ebene ist die Verkehrsspiegelung also eine Amazon VPC-Funktion, mit der Sie den Netzwerkverkehr von einer
elastischen Netzwerkschnittstelle kopieren können.
Dies kann also mit diesem Diagramm verstanden werden, in dem Sie einen Satz von AC-Zwei-Instanzen haben und
diese einfachen Instanzen eine Art Netzwerkschnittstelle hätten und die Verkehrsspiegelung es uns ermöglichen würde, den
Netzwerkverkehr, der der Netzwerkschnittstelle zugeordnet ist, zu kopieren und zu senden an eine zentralisierte Überwachungsinstanz.
Diese zentralisierte Überwachungsinstanz könnte also eine Splunk-Instanz sein, es könnte ein IDs-IP-System sein und
so weiter.
Sie müssen den Agenten also nicht mehr einzeln in der AC two-Instanz installieren, um den Netzwerkverkehr zu
erfassen, sondern können direkt die Verkehrsspiegelung nutzen.
Dies ist also die Übersicht auf hoher Ebene.
Lassen Sie uns weitermachen und eine kurze Demo haben.
Für die heutige Demo habe ich also drei AC, zwei Instanzen.
Einer ist der Client, der zweite der Server und der dritte das Überwachungstool.
Was wir also vom Client hier drüben tun werden, wir werden den Datenverkehr an den Server senden und wir werden
in das Überwachungstool schauen, um zu überprüfen, ob dieser Datenverkehr vom Client zum Server erfasst wurde.
Jetzt habe ich bereits die Verkehrsspiegelung, die bereits zwischen diesen Servern eingerichtet ist.
Idealerweise sollte also der Netzwerkverkehr erfasst werden.
Derzeit habe ich in diesem CLE also zwei geöffnete Registerkarten.
Einer ist dem Client zugeordnet, der Datenverkehr an den Server sendet.
Und die zweite Registerkarte bezieht sich auf unser Überwachungstool, mit dem wir den Datenverkehr erfassen, der
den Server erreicht.
Jetzt wird vom Überwachungstool aus der TCP-Befehl ausgeführt, um fortzufahren und einen bestimmten Datenverkehr zu erfassen.
Jetzt, in diesem Stadium, werden Sie sehen, dass es keinen Datenverkehr gibt, der in einem Dump gesehen wird.
Also lasst uns eine Sache tun.
Lassen Sie uns die IP-Adresse kopieren, die dem Server und dem Client-Computer zugeordnet ist.
Ich sende eine einfache Anfrage an diese spezifische IP-Adresse.
Also ich habe bereits einen HTTP-Server, der einfach auf dem Server läuft.
Wenn Sie jetzt in diesem Stadium sehen, gibt es immer noch keinen Datenverkehr im Überwachungstool.
Aber sobald ich den Befehl ausführe, sehen Sie sofort, dass eine Reihe von Datenverkehr auf der Ebene eines Überwachungsservers erfasst
wurde.
Gut.
Nur um vom Client zu überarbeiten, haben wir eine Anfrage an die Server-IP gestellt und eine Verkehrsspiegelung erfasste den Verkehr,
der zum Server kam, und leitete diesen Verkehr an unser Überwachungstool weiter, von dem aus er analysiert
werden kann.
Lassen Sie mich Ihnen jetzt auch schnell zeigen, wie das in der Verkehrsspiegelungsfunktion aussehen würde.
Wenn Sie also sehen, dass ich eine Verkehrsspiegelungssitzung habe und die Quelle hier eine bestimmte Netzwerkschnittstelle ist.
Wie wir hier besprechen, handelt es sich bei den Verkehrsspiegelungskopien um Netzwerkverkehr von einer elastischen Netzwerkschnittstelle
und der inneren.
Ist 81.
Wenn Sie also von der einfachen Instanz aus zum Server gehen, um die damit verbundene elastische Netzwerkschnittstelle
in Ihrem zu überprüfen, sehen Sie, dass es sich um eine DB-Schnittstelle handelt, und dasselbe können wir in der Datenverkehrsspiegelungsfunktion sehen.
Jeglicher Datenverkehr, der zu dieser spezifischen Netzwerkschnittstelle kommt, die mit dem Server verbunden ist,
der einfach zu instanziieren ist, ist das Ziel dieser spezifischen Schnittstelle.
Und wenn ich das schnell öffne, sehen Sie im Grunde das Ziel, das das Ziel ist.
Also jeder Datenverkehr, der zum Server kommt, wohin genau er kopiert werden muss, und dann
müssen Sie die Netzwerkschnittstelle des Überwachungstools angeben, die mit FCC endet, und dasselbe, was
Sie hier im Ziel sehen.
Groß.
Ich hoffe also, dass Sie mit diesem allgemeinen Überblick die Grundlagen der Verkehrsüberwachungsfunktion
in VPC verstanden haben.