Анализ объемов сетевого трафика

При получении событий в формате NetFlow возникает необходимость в анализе объемов сетевого трафика между хостами. Подсчет трафика между хостами можно выполнять с помощью правил корреляции, но большое количество обращений к активным листам делает такой подход малоэффективным.

Для анализа объемов сетевого трафика мы рекомендуем использовать правила сбора и анализа данных (англ. Data mining), которые позволяют получить данные по трафику и выявить закономерности в массиве событий в формате NetFlow.

Следуя этому сценарию, вы можете создать правило сбора и анализа данных для подсчета сетевого трафика. Для каждого этапа приведены ссылки на инструкции по выполнению необходимых действий и дополнительные материалы для ознакомления.

Создание правила сбора и анализа данных

Создайте правило сбора и анализа данных для анализа трафика между хостами со следующими параметрами поискового SQL-запроса:

• Группировка (GROUP BY) осуществляется по параметрам SourceAddress и DestinationAddress.
• Агрегация выполняется по полям (например, SUM(BytesIn + BytesOut) AS TotalTraffic).
• Частота запуска правила сбора и анализа данных – один час.
• Глубина поискового запроса – один час.

  Если вы хотите проанализировать сетевой трафик за другой период, вам нужно указать этот период.

• Максимальное количество событий для анализа (LIMIT) – 10000.

В блоке параметров Сопоставление нужно также указать значения параметров для настройки сопоставления полей результата SQL-запроса с событиями KUMA. Вы можете сделать это, нажав на кнопку Добавить сопоставление из SQL.

При использовании параметра для агрегированного выражения (AS) вам нужно указать значение вручную. Например, для параметра TotalTraffic в поле Исходное поле в Поле события укажите DeviceCustomNumber1.

Пример поискового SQL-запроса

SELECT SourceAddress, DestinationAddress, SUM(BytesIn + BytesOut) AS TotalTraffic

FROM 'events'

GROUP BY SourceAddress, DestinationAddress

LIMIT 10000

Привязка правила сбора и анализа данных к сервисам

После создания правила сбора и анализа данных выполните следующие действия:

1. Добавьте правило в планировщик, привязав к правилу сбора и анализа данных хранилище и коррелятор.
2. С помощью переключателя включите использование созданного правила для анализа трафика между хостами.

   По умолчанию переключатель выключен.

Создание правила корреляции

После привязки правила сбора и анализа данных создайте правило корреляции, которое будет использоваться в привязанном корреляторе. При создании правила вам нужно учитывать следующее:

• На вкладке Общие в раскрывающемся списке Группирующие поля выберите все значения используемые в правиле сбора и анализа данных параметры (SourceAddress, DestinationAddress, DeviceCustomNumber1).
• Значение параметра Частота срабатываний должно соответствовать максимальному количеству событий для анализа в правиле сбора и анализа данных.
• На вкладке Селекторы в конструкторе параметров фильтра нужно указать значение в байтах, которое используется для определения максимального объема трафика за выбранную единицу времени. Например, если вы хотите определить объем трафика 1 ГБ, нужно указать следующее:

  DeviceCustomNumber1 ≥ 1073741824

• На вкладке Действия с помощью флажка нужно выбрать В дальнейшую обработку.

В результате выполнения указанных в этом сценарии действий Ядро KUMA аккумулирует информацию по событиям в решении и направляет ее в коррелятор, где применяется правило корреляции. Если трафик за один час превышает установленное значение, решение создает алерт.