Nanci Abarca Pablo Cruz Gabriela Palacios Cisne Sarmiento SEGURIDAD DE REDES Nanci Abarca Pablo Cruz Gabriela Palacios Cisne Sarmiento Monitoreo de la Red

Introducción Importancia de contar con un esquema capaz de notificarnos las fallas en la red y demostrarnos su comportamiento mediante el análisis y recolección de tráfico. Enfoques de monitoreo Monitoreo activo Monitoreo pasivo

Monitoreo Activo Inyectando paquetes de prueba en la red, o enviando paquetes a determinadas aplicaciones midiendo sus tiempos de respuesta, agrega tráfico en la red.

Técnicas de monitoreo activo ICMP. – Diagnosticar problemas en la red – Detectar retardo, perdida de paquetes. – RTT – Disponibilidad de host y redes. TCP – Tasa de transferencia – Diagnosticar problemas a nivel aplicación UDP – Pérdida de paquetes en un sentido (one-way) – RTT (traceroute)

Monitoreo Pasivo Se basa en la obtención de datos a partir de recolectar y analizar el tráfico que circula por la red. Se emplean diversos dispositivos como sniffers, ruteadores, computadoras con software de análisis de tráfico y en general dispositivos con soporte para snmp, rmon y netflow. No agrega tráfico.

Técnicas de monitoreo pasivo Solicitudes remotas: Mediante SNMP Utilizada para obtener estadísticas sobre la utilización de ancho de banda en los dispositivos de red. Al mismo tiempo genera paquetes traps que indican que un evento inusual se ha producido. Otros métodos de acceso Realizar scripts que tengan acceso a dispositivos remotos para obtener información importante. En esta técnica se pueden emplear módulos de perl, ssh con autenticación de llave pública, etc. Captura de tráfico: Dos formas: 1) Configuración de un puerto espejo en un dispositivo de red, el cual hará una copia del tráfico que se recibe en un puerto hacia otro donde estará conectado el equipo que realizará la captura. 2) Instalación de un dispositivo intermedio que capture el tráfico, el cual puede ser una computadora con el software de captura o un dispositivo extra. Esta técnica es utilizada para contabilizar el tráfico que circula por la red.

Técnicas de monitoreo pasivo (2) Análisis de tráfico: Usado para identificar el tipo de aplicaciones que son mas utilizadas. Se puede implementar haciendo uso de dispositivos probe que envíen información mediante RMON o a través de un dispositivo intermedio con una aplicación capaz de clasificar el tráfico por aplicación, direcciones IP origen y destino, puertos origen y destino, etc.

Técnicas de monitoreo pasivo (3) Flujo: Usado para identificar el tipo de tráfico utilizado en la red. Un flujo es un conjunto de paquetes con: • La misma IP origen y destino • El mismo puerto TCP origen y destino • El mismo tipo de aplicación. Los flujos pueden ser obtenidos de ruteadores o mediante dispositivos capaces de capturar tráfico y transformarlo en flujos. También es usado para tareas de facturación (billing).

Estrategia de monitoreo ¿Qué monitorear? Delimitar espectro de trabajo. Aspectos a monitorear: uso de ancho de banda, consumo de CPU, de memoria, estado Físico de las conexiones, tipo de tráfico, alarmas, servicios (Web, correo, base de datos). Alcance de dispositivos a monitorear: • Dispositivos de Interconexión: ruteadores, switches, hubs, firewall • Servidores: Web, Mail, DB • Red de Administración: monitoreo, Logs, Configuración.

Estrategia de monitoreo (2) Métricas Permite establecer patrones de comportamiento para los dispositivos a monitorear. Hay diversos tipos de métricas que dependerán de las necesidades de la red. Las métricas deben ser congruentes con los objetos a monitorear. Ejemplo: • Métricas de tráfico de entrada y salida • Métricas de utilización de procesador y memoria • Métrica de estado de las interfaces • Métrica de conexiones lógicas A cada métrica se le asigna un valor promedio, el cual identifica su patrón de comportamiento.

Estrategia de monitoreo (3) Alarmas Consideradas como eventos con comportamiento inusual. Las mas comunes reportan cuando el estado operacional cambia. Existen otros tipos de alarmas basado en patrones previamente definidos en nuestras métricas, son valores máximos conocidos como umbrales o threshold. Cuando estos patrones son superados se produce una alarma, ya que es considerado como un comportamiento fuera del patrón. Algunos tipos de alarmas son: • De procesamiento • De conectividad • Ambientales • De utilización • De disponibilidad (estado operacional)

Estrategia de monitoreo (4) Elección de herramientas Depende de varios factores: humanos, económicos como de infraestructura. a)Perfil de los administradores, sus conocimientos en determinados sistemas operativos. b) Recursos económicos disponibles. c) Equipo de cómputo disponible.

Elección de herramientas Cacti. Completa solución para monitoreo de redes. Utiliza RRDTool para almacenar la información de los dispositivos y aprovecha sus funcionalidades de graficación. Proporciona un esquema rápido de obtención de datos remotos, múltiples métodos de obtención de datos (snmp, scripts), un manejo avanzado de templates, y características de administración de usuarios. Además, ofrece un servicio de alarmas mediante el manejo de umbrales. Todo ello en una sola consola de administración, fácil de configurar.

Elección de herramientas Net-SNMP. Conjunto de aplicaciones para obtener información vía snmp de los equipos de interconexión. Soporta la versión 3 del protocolo la cual ofrece mecanismos de seguridad tanto de confidencialidad como de autenticación. Provee de manejo de traps para la notificación de eventos.

Elección de herramientas Nagios. Aplicación para el monitoreo de servicios, hosts que pertenecen a una red. Es capaz de monitorear si un servicio se encuentra activo o no, o si un hosts se encuentra operacional o no. Muestra el estadio operacional de todos los servicios y hosts en un ambiente Web. Envía notificaciones mediante mail o pager cuando el estado operacional de un elemento a monitorear cambia.

Topología sistema de monitoreo Servidor que hace las solicitudes mediante el protocolo SNMP a los dispositivos de red, el cual a través de un agente de snmp envía la información solicitada.

Topología sistema de monitoreo El dispositivo envíe mensajes trap al servidor de SNMP anunciando que un evento inusual ha sucedido.

Referencia: Monitoreo de Recursos de Red, Vicente Altamirano Carlos, UNAM, Primera edición, México 2005.