Ciao a tutti e bentornati.
Ora, nel video di oggi, parleremo del mirroring del traffico.
Ora, molte organizzazioni hanno generalmente requisiti relativi all'acquisizione del traffico di
rete per vari casi d'uso.
Può essere correlato a idee, IP, asilo e così via.
Quindi quello che generalmente facevano era installare una sorta di strumento di raccolta dati via cavo come Splunk Stream
che catturava determinati tipi di traffico di rete per analizzarli alla ricerca di minacce alla sicurezza.
Quindi lascia che te lo mostri anche io.
Quindi nell'anno base di Splunk, hai un'app Splunk per lo streaming e al tuo interno potresti acquisire molti protocolli.
Potrebbe essere un protocollo HTTP, un protocollo DNS e vari altri.
E all'interno di quel protocollo, inoltre, potresti definire quali sono le cose esatte di cui hai bisogno all'interno dell'acquisizione
e in base alle quali l'agente ha utilizzato per acquisire quei dettagli.
Quindi, sebbene questa sia una delle fantastiche app che consente l'acquisizione del traffico di rete in base a un
filtro specifico, ma uno degli svantaggi che generalmente vedrai non solo relativo a Splunk Stream,
ma anche relativo ad altre acquisizioni del traffico di rete, è associato a una prestazione del sistema.
Ora, ricordo che nell'organizzazione con cui lavoravo c'erano centinaia di istanze ed ero generalmente
responsabile di Splunk Stream che mi occupavo dell'implementazione di Splunk per l'intera organizzazione.
Ora tutti quei flussi Splunk erano buoni, ma uno dei problemi ripetuti che dovevamo affrontare era legato
alla performance.
Si potrebbe dire che durante quel periodo facevo parte sia della sicurezza che del team, perché il flusso
Splunk a volte rallentava il sistema generale e anche l'applicazione, quindi abbiamo dovuto esaminarlo
e risolvere il problema di conseguenza .
Quindi quali sono le alternative che il dispositivo ha rilasciato per acquisire la rete?
Il traffico dell'istanza AC due è la funzione di mirroring del traffico.
Quindi, a una panoramica di alto livello, il mirroring del traffico è una funzionalità di Amazon VPC che puoi utilizzare per copiare
il traffico di rete da un'interfaccia di rete elastica.
Quindi questo può essere compreso con questo diagramma in cui hai un set di due istanze AC e questo
facile da istanze avrebbe una sorta di interfaccia di rete e il mirroring del traffico ci consentirebbe di copiare
il traffico di rete associato all'interfaccia di rete e inviare a un'istanza di monitoraggio centralizzata.
Quindi questa istanza di monitoraggio centralizzato potrebbe essere un'istanza Splunk, potrebbe essere un sistema IP di ID
e così via.
Quindi non è più necessario installare l'agente individualmente nell'istanza AC due per acquisire il traffico di rete,
è possibile utilizzare direttamente il mirroring del traffico.
Quindi questa è la panoramica di alto livello.
Andiamo avanti e facciamo una rapida demo.
Quindi, per la demo di oggi, ho tre AC, due istanze.
Uno è il client, il secondo è il server e il terzo è lo strumento di monitoraggio.
Quindi, quello che faremo dal client qui, invieremo il traffico al server e esamineremo lo
strumento di monitoraggio per verificare se questo traffico dal client al server è stato catturato.
Ora ho già il mirroring del traffico che è già impostato tra questi server.
Quindi idealmente il traffico di rete dovrebbe essere catturato.
Quindi attualmente all'interno di questo CLE, ho due schede aperte.
Uno è associato al client che invierà del traffico al server.
E la seconda scheda è correlata al nostro strumento di monitoraggio che useremo per catturare il traffico che sta raggiungendo
il server.
Ora dallo strumento di monitoraggio verrà eseguito il comando TCP per andare avanti e acquisire un traffico specifico.
Ora, a questo punto, vedrai che non c'è traffico che viene visto in una discarica.
Quindi facciamo una cosa.
Copiamo l'indirizzo IP associato al server e dalla macchina client.
Invierò una semplice richiesta a questo specifico indirizzo IP.
Quindi ho già un server HTTP in esecuzione sul server basato su facile.
A questo punto, se vedrai che non c'è ancora traffico nello strumento di monitoraggio.
Ma non appena eseguo il comando, vedi immediatamente che una serie di traffico è stata catturata a livello di server di monitoraggio.
Tutto bene.
Quindi, solo per rivedere dal client, abbiamo fatto una richiesta all'IP del server e un mirroring del traffico stava catturando il traffico
che stava arrivando al server e lo sta inoltrando al nostro strumento di monitoraggio da cui può essere
analizzato.
Ora, lascia che ti mostri rapidamente anche come sarebbe nella funzione di mirroring del traffico.
Quindi, se vedi che ho una sessione di mirroring del traffico e la fonte qui è un'interfaccia di rete specifica.
Come stiamo discutendo qui, le copie di mirroring del traffico sono il traffico di rete da un'interfaccia di
rete elastica e quella interna.
Ha 81 anni.
Quindi, dal facile all'istanza, se andrai al server per esaminare l'interfaccia di rete elastica
ad esso associata all'interno del tuo, vedrai che è un DB e lo stesso che possiamo vedere nella funzione di mirroring del traffico.
Quindi, qualsiasi traffico che arriva a questa specifica interfaccia di rete associata al
server basato su facile istanza, l'obiettivo è questo specifico.
E se lo apro rapidamente, in pratica vedrai la destinazione che è l'obiettivo.
Quindi tutto il traffico che arriva al server dove deve essere copiato esattamente e quindi devi
specificare l'interfaccia di rete dello strumento di monitoraggio che termina con FCC e la stessa cosa che vedi
nella destinazione qui.
Grande.
Quindi spero che questa panoramica di alto livello abbia compreso le basi della funzione di monitoraggio
del traffico in VPC.