VYSOK É U ˇCENÍ TECHNICK É V BRN ˇE BRNO UNIVERSITY OF TECHNOLOGY

(1)

VYSOK ´ E U ˇ CEN´I TECHNICK ´ E V BRN ˇ E

BRNO UNIVERSITY OF TECHNOLOGY

FAKULTA INFORMA ˇ CNÍCH TECHNOLOGIÍ USTAV PO ˇ ´ CÍTA ˇ COV ´ YCH SYST ´ EM ˚ U

FACULTY OF INFORMATION TECHNOLOGY DEPARTMENT OF COMPUTER SYSTEMS

ADAPTIVN´I VZORKOV ´ AN´I PAKET ˚ U IMPLEMENTOVAN ´ E V SOND ˇ E FLOWMON

BAKAL ´ A ˇ RSK ´ A PR ´ ACE

BACHELOR’S THESIS

AUTOR PR ´ ACE PETR KA ˇ STOVSK ´ Y

AUTHOR

BRNO 2007

(2)

VYSOK ´ E U ˇ CEN´I TECHNICK ´ E V BRN ˇ E

BRNO UNIVERSITY OF TECHNOLOGY

FAKULTA INFORMA ˇ CNÍCH TECHNOLOGIÍ USTAV PO ˇ ´ CÍTA ˇ COV ´ YCH SYST ´ EM ˚ U

FACULTY OF INFORMATION TECHNOLOGY DEPARTMENT OF COMPUTER SYSTEMS

ADAPTIVN´I VZORKOV ´ AN´I PAKET ˚ U IMPLEMENTOVAN ´ E V SOND ˇ E FLOWMON

ADAPTIVE SAMPLING OF INPUT PACKETS IMPLEMENTED IN FLOWMON PROBE

BAKAL ´ A ˇ RSK ´ A PR ´ ACE

BACHELOR’S THESIS

AUTOR PR ´ ACE PETR KA ˇ STOVSK ´ Y

AUTHOR

VEDOUC´I PR ´ ACE Ing. JAN KO ˇ RENEK

SUPERVISOR

BRNO 2007

(3)

Abstrakt

V rámci projektu Liberouter je vyv´ıjena sonda FlowMon urˇcená pro pasivn´ı monitorován´ı s´ıt´ı. Sonda na rozd´ıl od programových ˇreˇsen´ı poskytuje vysokou stabilitu a pˇresnost výsledk˚u i pod nadmˇernou zátˇeˇz´ıˇci útokem. Pro zajiˇstˇen´ı kvality výsledk˚u je tˇreba redukovat mnoˇzstv´ı zpracovávaných dat tak, aby nedoˇslo k pˇret´ıˇzen´ı mˇeˇr´ıc´ıho systému. Zp˚usob˚u pouˇz´ıvaných ke sn´ıˇzen´ı objemu vstupn´ıch informac´ı existuje celá ˇrada. Metoda redukce dat pouˇzitá v sondˇe FlowMon se nazývá vzorkován´ı. Adaptivn´ı vzorkovac´ı jednotka pak zaruˇcuje, ˇze aktuáln´ı vzorkován´ı (pomˇer zpracovaných a zahozených paket˚u) se pˇrizp˚usob´ı okamˇzitému stavu monitorované s´ıtˇe.

Kl´ıˇcov´ a slova

Liberouter, FlowMon, VHDL, sit’ový tok, vzorkován´ı, agregace, filtrován´ı, adaptivn´ı vzor- kován´ı, redukce dat, kolektor, sonda, NetFlow

Abstract

There is a FlowMon probe being developed in a Libeouter project that is used for passive network measurements. The probe has better stability and accuracy than sofware based solutions even under a heavy load or network attack. To guarantee a precision of results there is a need to data reduction to prevent measuring system overload. There are few kinds of data reduction. Method used in the FlowMon probe is called sampling.Adaptive sampling unit sets the sampling rate (rate of processed and discarded packets) according to actual state of measured network.

Keywords

Liberouter, FlowMon, VHDL, ip flow, sampling, aggregation, filtering, adaptive sampling, data reduction, collector, probe, NetFlow

Citace

Petr Kaˇstovský: Adaptivn´ı vzorkován´ı paket˚u implementované v sondˇe FlowMon, bakaláˇrská práce, Brno, FIT VUT v Brnˇe, 2007

(4)

Adaptivn´ı vzorkov´ an´ı paket˚ u implementovan´e v sondˇe Flow- Mon

Prohl´ aˇsen´ı

Prohlaˇsuji, ˇze jsem tuto bakaláˇrskou práci vypracoval samostatnˇe pod veden´ım Ing. Jana Koˇrenka. Dalˇs´ı informace mi poskytl Martin ˇZádn´ık, m˚uj vedouc´ı na projektu Liberouter.

Uvedl jsem vˇsechny liter´arn´ı prameny a publikace, ze kter´ych jsem ˇcerpal.

. . . . Petr Kaˇstovsk´y 13. kvˇetna 2007

Podˇekov´ an´ı

Za odborné veden´ı a vstˇr´ıcnost pˇri ˇreˇsen´ı problém˚u bych chtˇel podˇekovat Ing. Janu Koˇrenkovi a Martinovi ˇZádn´ıkovi.

c

Petr Kaˇstovsk´y, 2007.

Tato práce vznikla jako ˇskoln´ı d´ılo na Vysokém uˇcen´ı technickém v Brnˇe, Fakultˇe in- formaˇcn´ıch technologi´ı. Práce je chránˇena autorským zákonem a jej´ı uˇzit´ı bez udˇelen´ı oprávnˇen´ı autorem je nezákonné, s výjimkou zákonem definovaných pˇr´ıpad˚u.

(5)

Zad´an´ı

1. Nastudujte problematiku s´ıt’ov´ych tok˚u na b´azi protokol˚u NetFlow verze 5 a 9.

2. Seznamte se s architekturou sondy FlowMon vyvinut´e v r´amci projektu Liberouter.

3. Proved’te analýzu chován´ı sondy v pˇr´ıpadˇe útok˚u nebo nadmˇerného zat´ıˇzen´ı. Snaˇzte se detekovat situace, kdy docház´ı k nekontrolovanému zahazován´ı paket˚u.

4. Na základˇe provedené analýzy navrhnˇete mechanizmus adaptivn´ıho vzorkován´ı provozu s c´ılem odstranit nekontrolované zahazován´ı paket˚u. Snaˇzte se také o minimalizaci poˇctu paket˚u zahozených v d˚usledku vzorkován´ı.

5. Proved’te simulace navrˇzeného ˇreˇsen´ı pro r˚uzné zat´ıˇzen´ı a typy útok˚u.

6. Implementujte mechanizmus adaptivn´ıho s´amplov´an´ı v jazyce VHDL a ovˇeˇrte funkci na sondˇe FlowMon.

7. V z´avˇeru diskutujte vlastnosti navrˇzen´eho ˇreˇsen´ı.

(6)

Licenˇcn´ı smlouva

Licenˇcn´ı smlouva je uloˇzena v archivu Fakulty informaˇcn´ıch technologi´ı Vysok´eho uˇcen´ı technick´eho v Brnˇe.

(7)

Obsah

1 Uvod´ 5

2 Poˇc´ıtaˇcové s´ıtˇe a monitorován´ı s´ıt’ových tok˚u 7

2.1 Poˇc´ıtaˇcov´a s´ıt’ . . . 7

2.1.1 Architektura poˇc´ıtaˇcov´e s´ıtˇe . . . 7

2.2 S´ıt’ov´y tok . . . 8

2.3 Monitorov´an´ı . . . 8

2.3.1 Aktivn´ı vs. pasivn´ı . . . 8

2.3.2 Motivace . . . 9

2.3.3 Mnoˇzstv´ı dat . . . 9

2.3.4 Kolektor. . . 9

2.4 NetFlow verze 5 . . . 10

2.5 NetFlow verze 9 . . . 10

2.6 Redukce objemu dat . . . 11

2.7 Hardwarov´a akcelerace monitorov´an´ı . . . 12

3 Architektura sondy FlowMon 14 3.1 Blokov´a struktura . . . 14

3.2 Vrstvov´y model . . . 16

3.3 Parametry sondy . . . 16

3.3.1 Zpracov´an´ı hlaviˇcek paket˚u . . . 17

3.3.2 Pˇrenos mezi kartami . . . 17

3.3.3 Pamˇet’ pro uchov´an´ı tok˚u . . . 17

3.3.4 Redukce vstupn´ıch dat. . . 17

4 Analýza chován´ı sondy 19 4.1 Nadmˇerné zat´ıˇzen´ı . . . 19

4.2 Utoky´ . . . 20

4.2.1 DoS . . . 20

4.2.2 Skenov´an´ı port˚u . . . 21

4.3 D˚uleˇzit´e poznatky . . . 21

5 Adaptivn´ı vzorkovac´ı jednotka 23 5.1 N´avrh . . . 23

5.1.1 Blokov´e sch´ema . . . 23

5.1.2 Princip funkce . . . 25

5.1.3 Mˇeˇr´ıc´ı jednotky. . . 25

5.2 Implementace . . . 26

(8)

5.3 Simulace . . . 27

5.3.1 Simulaˇcn´ı model . . . 27

5.3.2 V´ysledky z´ıskan´e simulac´ı . . . 28

5.4 Ovˇeˇren´ı funkce . . . 29

5.5 Diskuze . . . 30

6 Z´avˇer 31

(9)

Kapitola 1

Uvod ´

Monitorován´ı poˇc´ıtaˇcových s´ıt´ı motivuje rostouc´ı zájem o sluˇzby a aplikace dostupné pˇredevˇs´ım skrze internet. S rostouc´ım poˇctem soukromých uˇzivatel˚u a organizac´ı vyuˇz´ıvaj´ıc´ıch vzájemnou komunikaci pomoc´ı poˇc´ıtaˇc˚u roste mnoˇzstv´ı pˇrenáˇsených dat. Nˇekdy jde o nezabezpeˇcené informace nevelké hodnoty, jindy zase o d˚uvˇerná data. Napˇr´ıklad elektronické bankovnictv´ı se stalo velice obl´ıbenou sluˇzbou. To pˇrináˇs´ı zvýˇsenou hrozbu zneuˇzit´ı pˇredávaných informac´ı.

Nejen bezpeˇcnost vyˇzaduje sledov´an´ı toho, co se na komunikaˇcn´ıch veletoc´ıch dˇeje.

Kaˇzdá domácnost vybavená internetem vyuˇz´ıvá nab´ıdky nˇekterého z poskytovatel˚u pˇripojen´ı.

Pˇrehled a kontrola kvality sluˇzeb tvoˇr´ı dalˇs´ı velkou oblast vyuˇzit´ı s´ıt’ov´eho monitoringu.

Poˇcet koncových uˇzivatel˚u internetu v souˇcasnosti nabývá obrovských ˇc´ısel. To pˇrináˇs´ı i vyˇsˇs´ı zátˇeˇz na páteˇrn´ı spoje, které nyn´ı mus´ı obslouˇzit vˇetˇs´ı poˇcet klient˚u. Vyuˇz´ıvaj´ı se nové technologie s vyˇsˇs´ımi pˇrenosovými rychlostmi a vzniká poptávka po nástroj´ıch schopných tyto d˚uleˇzitá m´ısta sledovat. Dosud si poskytovatelé vysokorychlostn´ıch pˇr´ıpojen´ı vystaˇcili s poˇc´ıtaˇcem vybaveným speciáln´ım programem. Ukazuje se vˇsak, ˇze tato ˇreˇsen´ı se stávaj´ı nedostaˇcuj´ıc´ımi.

SondaFlowMon vyv´ıjená v rámci projektuLiberouternab´ız´ı pˇr´ıstup zaloˇzený na vyuˇzit´ı hardwarové akcelerace výpoˇct˚u. Akcelerované zpracován´ı dokáˇze sledovat vyˇsˇs´ı pˇrenosové rychlosti, a proto podává pˇresnˇejˇs´ı informace. Dojde–li vˇsak k extrémn´ı situaci, napˇr´ıklad

´

utoku ˇci nadmˇernému zat´ıˇzen´ı, je tˇreba, i u hardwarem urychlených prostˇredk˚u, redukovat mnoˇzstv´ı zpracovávaných dat a zabránit tak pˇret´ıˇzen´ı, selhán´ı monitorovac´ıho systému.

Existuje nˇekolik metod redukce dat. ˇCasto pouˇz´ıvanou metodou se zaj´ımavými vlastnostmi je vzorkován´ı. Adaptivn´ı vzorkován´ı tvoˇr´ı nástavbu, která dynamicky mˇen´ı parametry vzorkován´ı tak, aby reflektovalo aktuáln´ı stav monitorované s´ıtˇe.

V této práci se snaˇz´ıme odhalit a zamezit nekontrolovanému zahazován´ı paket˚u v d˚usledku redukce dat. Proto je do vstupn´ı ˇcásti sondyFlowMon zaˇrazena adaptivn´ı vzorkovac´ı jednotka. ˇCinnost´ı jednotky je v reálném ˇcase pˇrizp˚usobovat zahazován´ı paket˚u tak, aby ne- docházelo k pˇret´ıˇzen´ı monitorovac´ıho nástroje. Zároveˇn poˇzadujeme minimalizaci mnoˇzstv´ı zahozených paket˚u.

Nejprve je vysvˇetlena teorie monitorován´ı s´ıt’ových tok˚u a pˇredevˇs´ım vhodné metody redukce objemu zpracovávaných dat. Velké objemy dat tvoˇr´ı pˇrekáˇzku pˇri snaze sledovat provoz na vysokorychlostn´ıch páteˇrn´ıch spoj´ıch. Dalˇs´ı kapitola popisuje architekturu sondy FlowMon a odhaluje slabá m´ısta, která zp˚usobuj´ı nekontrolované zahazován´ı paket˚u. At’

uˇz v d˚usledku nadmˇerného zat´ıˇzen´ı ˇci útoku. Spolu s analýzou chován´ı sondy v uvedených situac´ıch tak dává základ pro návrh ˇreˇsen´ı zabraˇnuj´ıc´ıho neˇzádouc´ımu nekontrolovanému zahazován´ı paket˚u.

(10)

Po proveden´ı návrhu jednotky následuje implementace a simulaˇcn´ı model. Implemen- tace tvoˇr´ı praktickou ˇcást práce. Simulaˇcn´ı model slouˇz´ı k ovˇeˇren´ı platnosti hypotéz. Poté je implementace testována pˇr´ımo v hardwaru. V závˇeru diskutujeme z´ıskané ˇreˇsen´ı, jeho pˇrednosti a omezen´ı, vhodnost a moˇznosti nasazen´ı.

(11)

Kapitola 2

Poˇ c´ıtaˇ cov´ e s´ıtˇ e a monitorov´ an´ı s´ıt’ov´ ych tok˚ u

V prvn´ı, teoreticky zamˇeˇrené, ˇcásti si vysvˇetl´ıme základn´ı pojmy z oblasti poˇc´ıtaˇcových s´ıt´ı a monitorován´ı s´ıt’ových tok˚u. Co je to poˇc´ıtaˇcová s´ıt’, vrstvový model ISO/OSI. Jaké se pouˇz´ıvaj´ı komunikaˇcn´ı protokoly. Proˇc v˚ubec monitorovat a jaké nástroje a technologie jsou v souˇcasné dobˇe vyuˇz´ıvány. Ozˇrejm´ıme si také návaznost na sonduFlowMon.

2.1 Poˇ c´ıtaˇ cov´ a s´ıt’

Poˇc´ıtaˇcová s´ıt’ [5] je souhrnné oznaˇcen´ı pro technické prostˇredky, které realizuj´ı spojen´ı a výmˇenu informac´ı mezi poˇc´ıtaˇci. Umoˇzˇnuj´ı tedy uˇzivatel˚um komunikaci podle urˇcitých pravidel, za úˇcelem sd´ılen´ı, vyuˇz´ıván´ı spoleˇcných zdroj˚u nebo výmˇeny zpráv.

2.1.1 Architektura poˇc´ıtaˇcov´e s´ıtˇe

Architektura poˇc´ıtaˇcové s´ıtˇe podle [10] zahrnuje celkové uspoˇrádán´ı s´ıtˇe, tj. jej´ı topologii, formu komunikace, pouˇzité komunikaˇcn´ı protokoly a základn´ı sluˇzby poskytované komunikuj´ıc´ım uzl˚um.

Postupem ˇcasu vzniklo nˇekolik architektur. Uvedeme si ty nejpouˇz´ıvanˇejˇs´ı :

• SNA– firemn´ı architekturaIBMvytvoˇrená s c´ılem propojen´ı terminál˚u s centráln´ımi poˇc´ıtaˇci.

• OSI – referenˇcn´ı model otevˇrených systém˚u tvoˇr´ıc´ı mezinárodn´ı standard a základn´ı koncept architektury poˇc´ıtaˇcové s´ıtˇe [10].

• TCP/IP – vytvoˇrená v rámci výzkumných prac´ı na pokusné akademické s´ıtiARPA- Net. Slouˇz´ı jako architektura pro souˇcasnou nejrozsáhlejˇs´ı s´ıt’ Internet.

Architektury TCP/IP i ISO/OSI tvoˇr´ı nˇekolik oddˇelených vrstev. Kaˇzdá vrstva repre- zentuje jistou funkci poskytovanou vyˇsˇs´ı vrstvˇe a obsahuje protokoly pracuj´ıc´ı na dané vrstvˇe. Srovnán´ı vrstev obou model˚u m˚uˇzeme vidˇet v tabulce 2.1.

V tabulce 2.1 jsou uvedeni i z´astupci protokol˚u pˇr´ısluˇsn´ych vrstev. Popiˇsme struˇcnˇe nejd˚uleˇzitˇejˇs´ı z nich :

• TCP – vytv´aˇr´ı, udrˇzuje a ruˇs´ı transportn´ı spojen´ı, prostˇrednictv´ım nichˇz komunikuj´ı aplikaˇcn´ı procesy v koncov´ych uzlech s´ıtˇe.

(12)

Model OSI Model TCP/IP

ˇc. vrstva ˇc. vrstva

7 aplikaˇcn´ı TELNET

6 prezentaˇcn´ı 4 aplikaˇcn´ı FTP

5 relaˇcn´ı HTTP, . . .

4 transportn´ı 3 transportn´ı TCP, UDP

3 s´ıt’ov´a 2 internet IP, ICMP, ARP

2 linkov´a

1 fyzick´a 1 ˇradiˇc komunikace

Tabulka 2.1: Srovn´an´ı vrstev model˚u ISO/OSI a TCP/IP

• UDP – poskytuje rychlý a nezabezpeˇcený pˇrenos paket˚u bez potvrzován´ı pˇr´ıjmu a opakován´ı pˇrenosu (datagramová sluˇzba).

• IP – smˇeˇruje pakety s údaji protokol˚u vyˇsˇs´ı vrstvy (TCP, UDP) od zdrojového k c´ılovému uzlu na s´ıti, která se skládá z v´ıce vzájemnˇe propojených poˇc´ıtaˇcových s´ıt´ı.

• ICMP – pˇrenáˇs´ı chybové a ˇr´ıd´ıc´ı zprávy mezi uzly a smˇerovaˇci s´ıtˇe TCP/IP.

• ARP – doplˇnkový protokol, který zabezpeˇcuje pˇriˇrazen´ı IP adres fyzickým adresám linkové vrstvy.

2.2 S´ıt’ov´ y tok

S´ıt’ový tok (IP flow) je podle [12] mnoˇzina paket˚u procházej´ıc´ıch pozorovac´ım bodem v s´ıti v daném ˇcasovém intervalu. Vˇsechny pakety pˇr´ısluˇs´ıc´ı k nˇejakému toku sd´ılej´ı jisté spoleˇcné vlastnosti. Tˇemito vlastnostmi mohou být:

• jedno nebo v´ıce pol´ı v záhlav´ı paketu (napˇr. zdrojová/c´ılová IP adresa, zdrojový/c´ılový port, druh protokolu transportn´ı vrstvy, atd.)

• jedna nebo v´ıce charakteristik samotn´eho paketu (napˇr. poˇcet MPLS znaˇcek, a dalˇs´ı)

• jedno nebo v´ıce pol´ı odvozených od zpracován´ı paketu (napˇr. IP adresa následuj´ıc´ıho smˇerovaˇce, vstupn´ı/výstupn´ı rozhran´ı smˇerovaˇce, atd.)

Obecnˇe se neurˇcuje pˇr´ısluˇsnost paketu k toku pouze na základˇe shody hodnot uvedených vlastnost´ı. M˚uˇze to být prakticky libovolná rozhodovac´ı funkce. Napˇr´ıklad skupina paket˚u jejichˇz zdrojová adresa leˇz´ı v daném rozsahu.

2.3 Monitorov´ an´ı

2.3.1 Aktivn´ı vs. pasivn´ı

Monitorov´an´ı poˇc´ıtaˇcov´ych s´ıt´ı dˇel´ıme na dva typy ( viz. [13]) :

• aktivn´ı – mˇeˇren´y provoz je ´uˇcelovˇe vytvoˇren pro potˇreby mˇeˇren´ı

• pasivn´ı – provoz na s´ıti je pouze sledov´an a nen´ı ovlivnˇen^∗ samotn´ym mˇeˇren´ım

(13)

Add^∗) Pˇri pasivn´ım monitorován´ı je tˇreba odes´ılat nashromáˇzdˇená data ze sond rozloˇzených v mˇeˇrené s´ıti do sbˇerného m´ısta. Pˇrenos prob´ıhá po stejném médiu a zvyˇsuje zat´ıˇzen´ı s´ıtˇe, neovlivˇnuje vˇsak samotné mˇeˇren´ı. Snahou samozˇrejmˇe z˚ustává zvýˇsen´ı zátˇeˇze minimalizovat.

Sonda FlowMon realizuje právˇe druhý z výˇse zmiˇnovaných typ˚u. Proto se tato práce bude dále zabývat jenom pasivn´ım monitorován´ım.

2.3.2 Motivace

Poˇzadavky na sledován´ı vyuˇzit´ı s´ıt’ových zdroj˚u pocház´ı zejména od provozovatel˚u a správc˚u s´ıt´ı. P˚uvodn´ı

”best effort“ model internetu nevyhovuje poˇzadavk˚um souˇcasn´ych aplikac´ı.

Je to zp˚usobeno t´ım, ˇze zacház´ı s veˇskerým provozem stejnˇe. Coˇz je nevhodné, napˇr´ıklad kdyˇz chce poskytovatel pˇripojen´ı zajistit kvalitu sluˇzby, která je citlivá na zpoˇzdˇen´ı paket˚u.

Dalˇs´ım d˚uvodem pro monitorován´ı m˚uˇze být úˇctován´ı zaloˇzené na mnoˇzstv´ı pˇrenesených dat a typu vyuˇz´ıvaných sluˇzeb, také snaha pˇredej´ıt zahlcen´ı a t´ım poruˇsen´ı podm´ınek dohodnutých s uˇzivateli. Velmi d˚uleˇzité je také sledován´ı za úˇcelem odhalen´ı bezpeˇcnostn´ıch rizik, pˇr´ıpadnˇe prob´ıhaj´ıc´ıch útok˚u.

2.3.3 Mnoˇzstv´ı dat

Mnoho r˚uzných poˇzadavk˚u motivuj´ıc´ıch monitorován´ı s´ıtˇe vytváˇr´ı rozd´ılné poˇzadavky na mnoˇzstv´ı zpracovávaných dat. Napˇr´ıklad pokud chce poskytovatel pˇripojen´ı úˇctovat své sluˇzby na základˇe objemu pˇrenesených dat, staˇc´ı mu k tomuto úˇcelu souhrnná (tzv. agre- govaná) informace udávaj´ıc´ı poˇcet pˇrenesených bajt˚u. Na druhou stranu, chce–li m´ıt de- tailnˇejˇs´ı pˇrehled o sluˇzbách, které zákazn´ık vyuˇz´ıvá, nen´ı pˇredchoz´ı agregovaná informace dostaˇcuj´ıc´ı.

Dalˇs´ı problematickou ˇcást´ı je sledován´ı stavu s´ıtˇe, stavu jednotlivých linek. Obvyklé je mˇeˇren´ı mezi dvˇema koncovými body. Tento pˇr´ıstup, ale neodhal´ı pˇr´ıpadné problematické spojen´ı na cestˇe. Cestu obvykle tvoˇr´ı posloupnost spojen´ı mezi dvˇema uzly. Pro vyhledán´ı problematického spoje by tedy bylo tˇreba um´ıstit monitorovac´ı zaˇr´ızen´ı do kaˇzdého uzlu po celé délce cesty. To sebou pˇrináˇs´ı nár˚ust dat urˇcených ke zpracován´ı.

Zpracov´an´ı m˚uˇze prob´ıhat pˇr´ımo v uzlu s´ıtˇe, napˇr´ıklad ve smˇerovaˇci nebo pˇrep´ınaˇci.

Tato zaˇr´ızen´ı smˇeˇruj´ı, pˇrep´ınaj´ı pakety a jsou touto ˇcinnost´ı vyt´ıˇzena. Nezbývá zde tedy prostor pro výkonovˇe nároˇcné zpracován´ı. Nav´ıc zaˇr´ızen´ı pro analýzu a uloˇzen´ı z´ıskaných informac´ı jsou drahá.

Popsaná omezen´ı vedou k jakési hierarchii prostˇredk˚u (viz. obrázek2.1) urˇcených k mo- nitorován´ı s´ıt´ı. Ve sledované s´ıti jsou rozm´ıstˇeny sondy, které provád´ı primárn´ı úkony spojené s analýzou provozu. Z´ıskané výsledky pak odes´ılaj´ı do sbˇerných m´ıst urˇcených k sekundárn´ımu zpracován´ı. Tyto jsou nazývány kolektory.

Se vzniklou hierarchi´ı vyvstává problém, jakým zp˚usobem mezi prvky leˇz´ıc´ımi na jiných vrstvách hierarchie pˇredávat informace. Vhodným pˇr´ıstupem je pouˇz´ıt standardizovaný formát, který umoˇzn´ı spolupráci zaˇr´ızen´ı od r˚uzných výrobc˚u. Uvedená kritéria splˇnuj´ı veˇrejnˇe pˇr´ıstupné formáty spoleˇcnosti Cisco:NetFlow verze 5 a NetFlow verze 9.

2.3.4 Kolektor

Jeˇstˇe neˇz pˇrejdeme k popisu formát˚u pouˇz´ıvaných k exportu dat, zm´ın´ıme se krátce o jejich destinaci, tj. kolektoru.

(14)

Obrázek 2.1: Blokové schéma monitorovac´ıho systému

Zpravidla nen´ı kolektor nic jiného neˇz poˇc´ıtaˇcový systém s moˇznost´ı ukládat velké objemy dat. Dovoluje tak uchovávat dlouhodobˇejˇs´ı sledován´ı. Vzhledem k tomu, ˇze kolektor sb´ırá data ze sond rozm´ıstˇených po s´ıti, poskytuje komplexnˇejˇs´ı pohled na monitorovaný objekt (poˇc´ıtaˇcovou s´ıt’).

Na kolektoru (poˇc´ıtaˇcovém systému) bˇeˇz´ı program, který se stará o samotné vyhodno- cován´ı z´ıskaných informac´ı. V pˇr´ıpadˇe sondyFlowMon je pouˇzito WWW grafické rozhran´ı NFSen.

2.4 NetFlow verze 5

Jedná se o formátUDP datagramu, který slouˇz´ı pro export dat smˇerem od sondy do kolektoru. Skládá se z hlaviˇcky (viz. tabulka2.2) a jednoho nebo v´ıce záznam˚u (viz. tabulka2.3) o s´ıt’ovém toku (tzv. flow). V prvn´ım poli hlaviˇcky datagramu je uvedena verze formátu (1 nebo 5; verze 5 je rozˇs´ıˇren´ım verze 1). Druhé pole hlaviˇcky obsahuje poˇcet následuj´ıc´ıch záznam˚u (viz. [1]).

Vzhledem k tomu, ˇze se pro pˇrenos záznam˚u pouˇz´ıvá protokol UDP, m˚uˇze doj´ıt ke ztrátám datagram˚u. Informaci o ztrátˇe je tˇreba pˇredat programu zpracovávaj´ıc´ımu data na kolektoru. Proto má hlaviˇcka datagramu pole oznaˇcované flow sequence, nebo–li poˇradové ˇ

c´ıslo záznamu. Vznikne souˇctem pˇredchoz´ıho poˇradového ˇc´ısla a poˇctu záznam˚u v pˇredchoz´ım datagramu. Po pˇrijet´ı m˚uˇze vyhodnocuj´ıc´ı program odeˇcten´ım oˇcekávané hodnoty od hodnoty v datagramu zjistit mnoˇzstv´ı ztracených záznam˚u. Tato informace je d˚uleˇzitá pro statistické zpracován´ı informac´ı z´ıskaných na kolektoru.

2.5 NetFlow verze 9

Podle [4] se jedná o nejnovˇejˇs´ı formát pouˇz´ıvaný pro export dat. Je zaloˇzen na ˇsablonách, které umoˇzˇnuj´ı definovat tvar exportovaného záznamu. Tento pˇr´ıstup je odolný v˚uˇci zmˇenám protokol˚u. Pokud by se napˇr´ıklad zaˇcali pouˇz´ıvat nové protokoly, staˇc´ı vytvoˇrit novou ˇsablonu pro záznam bez nutnosti zmˇeny verze formátu NetFlow. Stejnˇe lze do záznamu pˇridat nové vlastnosti bez poruˇsen´ı funkˇcnosti stávaj´ıc´ıch implementac´ı pouze úpravou ˇsablony.

(15)

Byty Obsah Popis

0 – 3 verze a poˇcet verze formátu NetFlow a poˇcet záznam˚u v datagramu (1 – 30) 4 – 7 SysUptime souˇcasný ˇcas od nastartován´ı smˇerovaˇce v milisekundách 8 – 11 unix secs poˇcet sekund od 0000 UTC 1970

12 – 15 unix nsecs zbyl´e nanosekundy od 0000 UTC 1970 16 – 19 flow sequence ˇc´ıtaˇc vˇsech dosud monitorovan´ych tok˚u 20 – 23 vyhrazeno nepouˇzito

Tabulka 2.2: Form´at hlaviˇcky datagramu pro NetFlow verze 5

Byty Obsah Popis

0 – 3 srcaddr zdrojov´a IP adresa 4 – 7 dstaddr c´ılov´a IP adresa

8 – 11 nexthop IP adresa n´asleduj´ıc´ıho smˇerovaˇce

12 – 15 vstup a v´ystup SNMP index vstupn´ıho a v´ystupn´ıho rozhran´ı 16 – 19 dPkts poˇcet paket˚u v toku

20 – 23 dOctets celkový poˇcet byt˚u náleˇz´ıc´ıch do vrstvy L3 v paketech daného toku

24 – 27 first SysUptime v dobˇe zaˇc´atku toku

28 – 31 first SysUptime v dobˇe pˇrijet´ı posledn´ıho paketu n´aleˇz´ıc´ıho toku

32 – 35 src a dst port TCP/UDP zdrojov´y a c´ılov´y port 36 – 39 pad1,

tcp flags, prot a tos

nulov´y byte, souhrnn´y OR vˇsech TCP pˇr´ıznak˚u, IP protokol, typ sluˇzby protokolu IP

40 – 43 src as a dst as autonomn´ı syst´em zdroje a c´ıle 44 – 47 src mask,

dst mask a pad2

poˇcet bit˚u v masce adresy zdroje a c´ıle, 2 byty nulov´e

Tabulka 2.3: Form´at z´aznamu o toku pro NetFlow verze 5

Struktura zprávy pˇrenáˇsej´ıc´ı záznamy o toc´ıch je oproti verzi 5 sloˇzitˇejˇs´ı. Na druhé stranˇe tak pˇrináˇs´ı zm´ınˇené výhody ˇsablon. I pˇresto lze naj´ıt spoleˇcné rysy v obou verz´ıch. Stejnˇe jako verze 5 má i verze 9 hlaviˇcku. Ta vycház´ı ze svého pˇredch˚udce a nedoznala výraznˇejˇs´ıch zmˇen. Naopak ˇcást obsahuj´ıc´ı záznamy o toc´ıch je obohacena o moˇznost pˇrenosu ˇsablon a stává se tak výraznˇe komplikovanˇejˇs´ı. Pro naˇsi potˇrebu bude postaˇcuj´ıc´ı vˇedˇet, ˇze má zpráva hlaviˇcku a po té následuje datová ˇcást obsahuj´ıc´ı záznamy o toc´ıch a ˇsablony pro popis formátu jednotlivých záznam˚u.

2.6 Redukce objemu dat

Bˇehem monitorován´ı je tˇreba zpracovat velké mnoˇzstv´ı dat a z´ıskané informace pak pˇrenést po mˇeˇrené s´ıti ke kolektoru. Pokud by se mnoˇzstv´ı dat nijak neredukovalo, mohlo by doj´ıt k situaci, kdy namˇeˇrené informace s´ıt’ zahlt´ı. To je zjevnˇe neˇzádouc´ı. Dále je potˇreba odlehˇcit zátˇeˇz na smˇerovaˇc´ıch, které jsou jiˇz zat´ıˇzeny smˇerován´ım paket˚u.

Zm´ınˇen´e okolnosti vedou k redukci dat, aˇckoliv je to v rozporu se z´ajmem o co nejpˇresnˇejˇs´ı

(16)

a detailn´ı mˇeˇren´ı. Pˇritom je preferováno jednopr˚uchodové zpracován´ı, které potlaˇcuje ukládán´ı dat a následné opˇetovné výpoˇcty. Jednopr˚uchodový pˇr´ıstup také zvyˇsuje propustnost mˇeˇr´ıc´ıch zaˇr´ızen´ı.

Obvykle pouˇz´ıvan´e metody pro redukci dat jsou podle [6] :

• agregace – spojen´ı dat z d´ılˇc´ıch komponent do jednoho celku tak, ˇze komponenty jsou zahozeny. Agregace je obvykle aditivn´ı, tzn. souˇcet komponent. Napˇr´ıklad nalezen´ı celkov´eho provozu z nˇekolika zdroj˚u za ˇcasov´y interval.

Agregáty poskytuj´ı sloˇzenou informaci bez moˇznosti rozliˇsit pˇr´ıspˇevek jednotlivých souˇcást´ı.

• filtrován´ı– výbˇer podmnoˇziny dat na základˇe jejich obsahu. Nevyhovuj´ıc´ı data jsou zahozena. Napˇr´ıklad provoz z daného zdroje. Filtrován´ı lze pouˇz´ıt k zamˇeˇren´ı na jistou ˇcást provozu v okamˇziku, kdy v´ıme, jaké má vlastnosti.

• vzorkován´ı – náhodný nebo pseudonáhodný výbˇer podmnoˇziny. Nevybrané poloˇzky (pakety) jsou zahozeny. Vzorkován´ı a filtrován´ı se svou definic´ı do jisté m´ıry pˇrekrývaj´ı.

Je moˇzné implementovat vzorkován´ı pomoc´ı filtrován´ı za cenu sloˇzitého pravidla.

Kl´ıˇcový atribut, který odliˇsuje agregaci a filtrován´ı od vzorkován´ı, je znalost vlastnost´ı s´ıt’ového provozu. Jinými slovy, pokud chceme provoz agregovat nebo filtrovat mus´ıme pˇredem znát vlastnosti, které sledovaná podmnoˇzina má.

Naneˇstˇest´ı potˇreba redukce dat klesá v m´ıstech v monitorovac´ı hierarchii vzdálených od samotných sond. Pˇredevˇs´ım pak v úloˇziˇst´ıch, kde je moˇzné opakované vyhodnocen´ı skladovaných dat.

2.7 Hardwarov´ a akcelerace monitorov´ an´ı

Jak jiˇz bylo uvedeno, prvotn´ı zpracován´ı paket˚u prob´ıhá pˇr´ımo ve smˇerovaˇc´ıch. Pokud je u smˇerovaˇce zapnuta podpora pro zpracován´ı a export dat, znamená to pro produkty spoleˇcnostiCisco(v nejlepˇs´ım pˇr´ıpadˇe 50 %, v nejhorˇs´ı pˇr´ıpadech aˇz 300 %) nár˚ust zat´ıˇzen´ı vestavˇeného procesoru (viz. [2]).

Takováto ˇreˇsen´ı postaˇcuj´ı pro monitorován´ı v bˇeˇzných uzlech s´ıtˇe. Chceme–li vˇsak monitorovat páteˇrn´ı spoj, nezbývá neˇz pouˇz´ıt PC vybavené s´ıt’ovou kartou a vhodným programem nebo specializované hardwarové ˇreˇsen´ı. Hardwarová ˇreˇsen´ı zastupuje právˇe sonda FlowMon. Mluv´ıme pak o hardwarovˇe akcelerovaném mˇeˇr´ıc´ım zaˇr´ızen´ı, u nˇehoˇz je snaha rozloˇzit zátˇeˇz na vysoce optimalizované výpoˇcty ˇreˇsené n´ızkoúrovˇnovým pˇr´ıstupem (hard- ware) a ménˇe optimáln´ı výpoˇcty s vyˇsˇs´ım stupnˇem abstrakce (software). Software pak ˇreˇs´ı

´

ulohy jako statistické zpracován´ı a vizualizace výsledk˚u; jen obt´ıˇznˇe implementovatelné na

´

urovni hardwaru.

Rozd´ıl mezi obˇema pˇr´ıstupy je pak stabilita, robustnost a zejména vyˇsˇs´ı propustnost obvodového ˇreˇsen´ı (viz. obrázek 2.2). Na rozd´ıl od softwaru, který obecnˇe vykazuje niˇzˇs´ı spolehlivost v mezn´ıch pˇr´ıpadech. Takové chován´ı nemus´ı vˇzdy znamenat velkou nevýhodu.

Pˇredevˇs´ım vzhledem k pestrosti s´ıt’ového provozu. V bˇeˇzném provozu prakticky nenastává situace, kdy registrujeme jen nejkratˇs´ı pakety na maximáln´ı rychlosti linky.

(17)

Obrázek 2.2: Srovnán´ı propustnosti softwarového ˇreˇsen´ınProbe se sondouFlowMon viz. [9]

(18)

Kapitola 3

Architektura sondy FlowMon

Následuj´ıc´ı kapitola se vˇenuje architektuˇre sondy FlowMon vyv´ıjené v rámci projektuLi- berouter. Architektura pop´ıˇseme na úrovni blok˚u. Zaj´ımá nás zejména vstupn´ı ˇcást, do n´ıˇz bude zaˇrazena jednotka adaptivn´ıho vzorkován´ı.

Popisovaná architektura je jiˇz druhou vývojovou fáz´ı. V této fázi je sonda odladˇena ve stabiln´ı verzi a pouˇz´ıvá se a testuje na nˇekolika m´ıstech. V souˇcasnosti vzniká na projektu Liberouter tˇret´ı vývojová fáze. Dospˇela vˇsak zat´ım pouze do stádia návrhu.

3.1 Blokov´ a struktura

Obr´azek 3.1: Blokov´a struktura sondyFlowMon viz. [3]

Z obrázku 3.1 je patrný paralelismus, který ve výkonovˇe nároˇcných aplikac´ıch zvyˇsuje propustnost nejen procesor˚u, ale i jiných obvod˚u. Také m˚uˇzeme vidˇet, ˇze sonda obsahuje dvˇe vstupn´ı rozhran´ı, na kterých je schopna monitorovat s´ıt’ový provoz. Zároveˇn umoˇzˇnuje zr- cadlit provoz z jednoho rozhran´ı na druhé. Typické zapojen´ı pak vypadá jako na obrázku3.2.

(19)

Obr´azek 3.2: Typick´e zapojen´ı sondyFlowMon viz. [14]

Sonda je implementována v programovatelných pol´ıch (FPGA) firmyXilinx, které jsou um´ıstˇeny na základn´ı kartˇe COMBO6X a rozˇsiˇruj´ıc´ı kartˇe COMBO-4SFPRO. Tyto karty jsou rovnˇeˇz vyv´ıjeny v rámci projektuLiberouter.

Pod´ıvejme se nyn´ı na jednotliv´e bloky :

• IBUF – zkratka IBUF zastupuje vstupn´ı vyrovn´avac´ı pamˇet’ (z angl. input buffer).

Tento blok je z hlediska adaptivn´ıho vzorkován´ı nejd˚uleˇzitˇejˇs´ı. Stará se o pˇr´ıjem ethernetových rámc˚u. Nad kaˇzdým pˇrijatým rámcem provede ˇradu kontrol a pokud neskonˇc´ı pozitivn´ım výsledkem, obsah rámce zahod´ı. V opaˇcném pˇr´ıpadˇe postupuje k dalˇs´ımu zpracován´ı. T´ımto zpracován´ım m˚uˇze být i vzorkován´ı, které se tak provád´ı jen s platnými pakety, coˇz chápeme jako poˇzadovanou vlastnost.

• SPLITTER – slouˇz´ı k rozdˇelen´ı vstupn´ıho toku do dvou paraleln´ıch výpoˇcetn´ıch jednotek. T´ımto pˇr´ıstupem dosahujeme vyˇsˇs´ı propustnosti. Na druhou stranu je tak zabráno v´ıce zdroj˚u v programovatelném poli. To také vytváˇr´ı jeden z nejv´ıce omezuj´ıc´ıch faktor˚u hardwarové implementace vFPGA.

• HFE – (z angl. header field extractor) 16bitový procesor architektury s redukovanou instrukˇcn´ı sadou (RISC). Instrukˇcn´ı sada je optimalizována pro zpracován´ı tok˚u dat.

Procesor analyzuje hlaviˇcky paket˚u a z´ıskaná data ukládá do struktury zvané unifi- kovaná hlaviˇcka. Tato datová struktura pak slouˇz´ı pro dalˇs´ı výpoˇcty a monitorován´ı tok˚u (viz. [3]).

V souˇcasné verzi sondy existuje pro kaˇzdé s´ıt’ové rozhran´ı dvojice procesor˚u. Kaˇzdý procesor dokáˇze zpracovat milion paket˚u za sekundu. Dvojice pak zvládne zpracovat plnˇe vyt´ıˇzenou 1Gb/s linku v obou smˇerech.

• UH FIFO – tvoˇr´ı vyrovnávac´ı pamˇet’ pro unifikované hlaviˇcky pˇred jejich dalˇs´ım zpra- cován´ım. Ke kaˇzdému HFE procesoru pˇr´ısluˇs´ı jedno UH FIFO. V sondˇe jsou tedy celkem 4.

• UHDRV – ˇr´ıd´ı vyˇc´ıtán´ı dat ze vˇsech 4 vyrovnávac´ıch pamˇet´ı. O výbˇeru pamˇeti roz- hoduje spravedlivý algoritmus round-robin.

• MONITOR– blok by bylo moˇzné dále rozdˇelit. To vˇsak nen´ı nezbytné. Postaˇc´ı vˇedˇet, ˇze pro kaˇzdou unifikovanou hlaviˇcku vypoˇc´ıtá hash identifikuj´ıc´ı tok, jemuˇz p˚uvodn´ı paket náleˇzel. Záznam o toku je následnˇe aktualizován (pokud existoval) nebo vy- tvoˇren (v opaˇcném pˇr´ıpadˇe). Pokud po uplynut´ı jistého ˇcasového intervalu nedojde k obnoven´ı záznamu o toku, smaˇze se z pamˇeti a odeˇsle do softwaru.

(20)

3.2 Vrstvov´ y model

Obr´azek 3.3: Rozdˇelen´ı sondyFlowMon do vrstev viz. [14]

Obrázek 3.3 ukazuje sondu v hlubˇs´ım kontextu. Vazbu na linkovou vrstvu s´ıt’ového modelu ISO/OSI a zároveˇn vazbu na programovou ˇcást, která je nezbytná pro z´ıskán´ı výsledk˚u zpracovaných v sondˇe.

• fyzická vrstva (physical layer)– fyzické pˇripojen´ı k lince; obsluha na úrovni etherne- tových rámc˚u

• zpracován´ı hlaviˇcek paket˚u (packet header parsing)– odpov´ıdá vstupn´ı ˇcásti blokového schématu aˇz po blok MONITOR

• monitorován´ı (monitoring) – odpov´ıdá ˇcásti MONITOR blokového schématu

• export do softwaru (export to sw) – v blokovém schématu souˇcást MONITORu; rea- lizován výstupn´ı vyrovnávac´ı pamˇet´ı

• ovladaˇc (driver)– modul jádra operaˇcn´ıho systému umoˇzˇnuj´ıc´ı komunikaci uˇzivatelských program˚u s hardwarem

• filtrován´ı a anonymizace (filtering and anonymization) – anonymizace je d˚uleˇzitá k ochranˇe uˇzivatelských dat a soukrom´ı; filtrován´ı slouˇz´ı k výbˇeru záznam˚u následnˇe odes´ılaných na daný kolektor

• odes´ılán´ı záznam˚u o toku (flow exporter)– zapouzdˇruje odes´ılané záznamy do zpráv ve formátu NetFlow v5 nebo NetFlow v9 a následnˇe pˇrenáˇs´ı na kolektor

3.3 Parametry sondy

Realizace sondy na kartách ˇradyCOMBO pˇrináˇs´ı jistá omezen´ı daná hardwarovými zdroji.

Jak jiˇz bylo zm´ınˇeno dˇr´ıve, sondaFlowMon je implementována na dvojici karetCOMBO6X aCOMBO-4SFPRO. Druhá z karet je oznaˇcována jako tzv.interfaceová. Rozˇsiˇruje základn´ı kartu o 4 gigabitové s´ıt’ové porty. Na obou kartách se nacház´ı programovatelné pole (FPGA) s pevnˇe danými zdroji.

(21)

3.3.1 Zpracov´an´ı hlaviˇcek paket˚u

Prvn´ı z omezen´ı, pˇri cestˇe dat od vstupn´ıho rozhran´ı k v´ystupn´ı vyrovn´avac´ı pamˇeti (viz.

ˇ

cást 3.1), tvoˇr´ı jednotka zpracován´ı hlaviˇcek paket˚u (HFE). Pro kaˇzdé monitorované rozhran´ı je tˇreba m´ıt dvojici tˇechto jednotek, aby bylo moˇzné zvládnout plnˇe zat´ıˇzenou giga- bitovou linku. Uvedené ˇreˇsen´ı vˇsak nen´ı dostaˇcuj´ıc´ı pro linku 10 GB/s.

Moˇzným ˇreˇsen´ım by mohlo být doplnˇen´ı návrhu o dalˇs´ı jednotky HFE a ˇskálovat tak výkon. Tento pˇr´ıstup vˇsak naráˇz´ı na mnoˇzstv´ı zdroj˚u dostupných v FPGA. Zároveˇn úzce souvis´ı s následuj´ıc´ım problémem, který by se tak dále vystupˇnoval.

3.3.2 Pˇrenos mezi kartami

Zpracovaná data je tˇreba z rozˇsiˇruj´ıc´ı karty pˇrenést na kartu základn´ı, kde se vyhodnocuj´ı informace o s´ıt’ových toc´ıch. Karty spojuj´ı konektory. Konektor˚u je omezené mnoˇzstv´ı a jejich fyzikáln´ı konstrukce také pˇredurˇcuje maximáln´ı frekvenci, na niˇz jsou schopny spoleh- livˇe pracovat. Poˇcet konektor˚u a pracovn´ı frekvence udává maximáln´ı propustnost spojen´ı.

V souˇcasném návrhu tato kapacita nedostaˇcuje pro monitorován´ı 10Gb/s linky.

Problém by mˇel být odstranˇen v následuj´ıc´ı generaci pˇrechodem k pouˇzit´ı jediné karty nam´ısto stávaj´ıc´ı dvojice. Rozvody pˇr´ımo po desce jsou spolehlivˇejˇs´ı s lepˇs´ımi fyzikáln´ımi vlastnostmi neˇz mechanicky spojené kontakty.

3.3.3 Pamˇet’ pro uchov´an´ı tok˚u

Uspˇ´ eˇsnˇe pˇrenesené informace je tˇreba zpracovat. Jak bylo zm´ınˇeno (viz.15), vyhodnocuje se pˇr´ısluˇsnost paketu k s´ıt’ovému toku. Informace o toc´ıch, které jiˇz byly zachyceny, se ukládaj´ı v pamˇetech na základn´ı (také mateˇrské) kartˇe. Kapacita a rychlost pamˇeti pˇredstavuje dalˇs´ı omezuj´ıc´ı prvek.

Pamˇet’ leˇz´ı na cestˇe od vstupu nejd´al a zahlt´ı se i v pˇr´ıpadˇe, kdy dvˇe pˇredchoz´ı omezen´ı neprojev´ı sv˚uj vliv. Lze ji proto ch´apat jako omezen´ı nejvˇetˇs´ı.

3.3.4 Redukce vstupn´ıch dat

Prvn´ı dvˇe omezen´ı m˚uˇzeme vyˇreˇsit úpravou návrhu, pˇr´ıpadnˇe jiným pˇrizp˚usoben´ım. Nejsou ovlivnˇena skladbou s´ıt’ového provozu. Jedn´ım z moˇzných zp˚usob˚u jak odstranit problémy, by bylo zjistit maximáln´ı teoretickou propustnost pˇrenosového kanálu mezi kartami. Podle n´ı upravit vstupn´ı ˇcást sondy tak, aby nikdy nedoˇslo ke zpracován´ı vˇetˇs´ıho mnoˇzstv´ı dat, neˇz kanál dovoluje pˇrenést.

Pevnˇe nastavená redukce vstupn´ıch dat vˇsak také nen´ı optimáln´ım ˇreˇsen´ım. Ne vˇzdy jsou linky vyuˇzity na 100 %. Pak m˚uˇze doj´ıt k redukci dat v okamˇziku, kdy nen´ı sonda plnˇe vyt´ıˇzena. Ztrác´ı se tak informace, která m˚uˇze být zpracována. Vzniklé ztráty nejsou pˇrijatelné z pohledu koncového uˇzivatele a je tˇreba jim pˇredej´ıt vhodnými opatˇren´ımi.

Omezen´ı vytváˇrené velikost´ı pamˇeti je pˇr´ımo závislé na profilu s´ıt’ového provozu. Proto nen´ı moˇzné vytvoˇrit ideáln´ı ˇreˇsen´ı zaloˇzené na vylepˇsen´ı pamˇet’ového bloku, které by mˇelo dlouhodobˇejˇs´ı platnost. ˇReˇsen´ı by bylo závislé na analýze provozu. Pˇr´ıkladem úpravy m˚uˇze být vylepˇsená organizace pamˇeti. Taková optimalizace je moˇzná pro zefektivnˇen´ı práce sondy ve vˇetˇsinˇe pˇr´ıpad˚u; nen´ı vˇsak obecnˇe platná. Staˇc´ı napˇr´ıklad nasadit sondu v m´ıstˇe s novým typem sluˇzby vytváˇrej´ıc´ım statisticky v´ıce s´ıt’ových tok˚u. Následkem bude zhorˇsené chován´ı (rychleji zaplnˇená pamˇet’, dlouhá doba pˇr´ıstupu k uloˇzeným tok˚um), coˇz nen´ı vhodné.

(22)

Vˇsechna zm´ınˇená omezen´ı vedou k ˇreˇsen´ı zaloˇzeném na redukci mnoˇzstv´ı zpracovávaných dat. Vstupn´ı ˇcást bude vˇzdy zpracovávat jen takový poˇcet paket˚u, který zpracovat dokáˇze.

Pˇrenosový kanál bude pˇrenáˇset také jen objemy, které pˇrenést zvládne a obdobnˇe to plat´ı i pro pamˇet’ tok˚u.

V ˇcásti 2.6 byly uvedeny tˇri metody pouˇz´ıvané za t´ımto úˇcelem. Pro sondu FlowMon se jev´ı nejvhodnˇejˇs´ı vzorkován´ı právˇe proto, ˇze nen´ı tˇreba znát vlastnosti monitorovaného provozu, aby mohl být redukován.

(23)

Kapitola 4

Anal´ yza chov´ an´ı sondy

V této kapitole se budeme zabývat mezn´ımi situacemi, ve kterých se m˚uˇze sondaFlowMon ocitnout. C´ılem je odhalit okamˇziky, kdy docház´ı k nekontrolovanému zahazován´ı paket˚u.

Tato informace bude následnˇe d˚uleˇzitá pro návrh a realizaci ˇreˇsen´ı, které nekontrolovanému zahazován´ı paket˚u zabrán´ı.

V ˇcásti 3.3 byly diskutovány omezen´ı vyplývaj´ıc´ı z architektury a fyzických zdroj˚u.

Kaˇzdé z omezen´ı se projev´ı pˇri obecnˇe r˚uzných (pˇresto ˇcasto podobných) okolnostech.

Pod´ıváme se proto na kaˇzdé omezen´ı v kontextu zkoumaného jevu.

4.1 Nadmˇ ern´ e zat´ıˇ zen´ı

Stav, kdy sonda ˇcel´ı vysokému s´ıt’ovému provozu. Data odpov´ıdaj´ı bˇeˇznému profilu s´ıt’ového provozu.

• HFE – architektura sondy je vytvoˇrena s c´ılem zvl´adnout plnˇe vyt´ıˇzenou 1Gb/s linku.

Tuto rychlost zvládá zpracovat. Pˇripoj´ıme-li vˇsak linku 10Gb/s a provoz bude vyˇsˇs´ı neˇz pˇribliˇznˇe 2,5Gb/s, nebudou jednotky HFE schopny zpracovat pˇr´ıval dat a dojde k nekontrolovanému zahazován´ı paket˚u (viz. obrázek 4.1).

• pˇrenos mezi kartami – omezen´ı se projev´ı v pˇr´ıpadˇe popsaném v pˇredchoz´ım bodˇe, tentokrát vˇsak s krátkými pakety na vstupu. Ty zvládá HFE zpracovat. Ze vˇsech vytváˇr´ı jiˇz zm´ınˇenou unifikovanou hlaviˇcku (délka hlaviˇcky je stejná pro r˚uznˇe dlouhé pakety; pro nejkratˇs´ı pakety je pak UH záznam delˇs´ı neˇz samotný paket). Poˇcet vy- tvoˇrených hlaviˇcek je ale vyˇsˇs´ı, neˇz kapacita pˇrenosového kanálu mezi kartami (viz.

obrázek4.1). Opˇet docház´ı k nekontrolované ztrátˇe dat; zahazován´ı paket˚u.

• kapacita a rychlost pamˇeti– k vyˇcerpán´ı dostupné pamˇeti dojde v okamˇziku, kdy bude, v pˇreváˇzné vˇetˇsinˇe po sobˇe jdouc´ıch paket˚u, paket náleˇzet novému/jinému s´ıt’ovému toku. Tato situace vˇsak za normáln´ıch okolnost´ı nenastává. Naopak je to vlastnost jistých druh˚u útok˚u.

port toky pakety provoz test0p3000 6,2 k/s 146,3 k/s 859,8 Mb/s test0p3001 6,4 k/s 132,8 k/s 786,3 Mb/s

Tabulka 4.1: Hodnoty odpov´ıdaj´ıc´ı grafu na obr´azku 4.2v ˇcase 12:00

(24)

Obrázek 4.1: Propustnost 10gigabitové verze sondy v závislosti na délce paket˚u Na obrázku 4.2 m˚uˇzeme vidˇet bˇeˇzný s´ıt’ový provoz. Obrázek doplˇnuje tabulka 4.1, v n´ıˇz jsou údaje o poˇctu tok˚u, paket˚u a celkovém provozu. Z tˇechto údaj˚u vyplývá, ˇze pr˚umˇerný poˇcet paket˚u na jeden tok je vyˇsˇs´ı neˇz 20. Na rozd´ıl od útoku, kde by se tato hodnota bud’ pˇr´ımo rovnala jedné nebo se jedné bl´ıˇzila.

4.2 Utoky ´

Bˇehem s´ıt’ového útoku je provoz umˇele vytvoˇren za urˇcitým c´ılem. Existuje jeˇstˇe ˇrada dalˇs´ıch útok˚u mimo n´ıˇze uvedené. Ty jsou ale ve vˇetˇsinˇe pˇr´ıpad˚u zamˇeˇreny na uˇzivatelské sluˇzby a chyby v nich obsaˇzené. Nevedou ke zvýˇsené zátˇeˇzi s´ıtˇe ani k velkému mnoˇzstv´ı novˇe vznikaj´ıc´ıch s´ıt’ových tok˚u. Neovlivˇnuj´ı ˇcinnost sondy, a proto nebudou diskutovány.

4.2.1 DoS

Utok typu´ DoS (z angl. Denial Of Service), má za c´ıl pˇret´ıˇzit vybraný objekt(sluˇzba, stroj) a znemoˇznit tak jeho funkˇcnost. Existuje celá ˇrada technik jak tento útok vyvolat (viz. [7] a [8]).

Pod´ıvejme se na dva zp˚usoby veden´ı ´utoku. Jeden s c´ılem zat´ıˇzit s´ıt’ na jej´ı plnou kapa- citu. Druh´y s c´ılem pˇret´ıˇzit sonduFlowMon.

Prvn´ı z uvedených je obdobou nadmˇerného zat´ıˇzen´ı. Vzhledem k tomu, ˇze se vˇsak jedná o útok, budou m´ıt pakety tvar odpov´ıdaj´ıc´ı nejhorˇs´ımu pˇr´ıpadu, tj. nejkratˇs´ı moˇznou délku.

(25)

Obrázek 4.2: Poˇcet tok˚u v ˇcase. Na port test0p3000 a test0p30001 je zapojen páteˇrn´ı spoj dle obrázku 3.2. Sn´ımek je poˇr´ızen z kolektoruNfSen.

V pˇr´ıpadˇe gigabitové linky sonda situaci zvládne (viz. obrázek2.2). V pˇr´ıpadˇe 10gigabitové linky sonda bude nekontrolovanˇe zahazovat pakety (viz. obrázek 4.1).

Druhý typ útoku, zamˇeˇrený proti sondˇe, je zaloˇzen na znalosti problému s uchován´ım informac´ı o velkém mnoˇzstv´ı tok˚u. Provoz se tak bude skládat z nejkratˇs´ıch paket˚u. Kaˇzdý paket bude náleˇzet jinému s´ıt’ovému toku. To povede k vyˇcerpán´ı dostupné pamˇeti pro uchován´ı záznam˚u o toku. Sonda se bude snaˇzit nucenˇe expirovat nejstarˇs´ı záznamy. Tato operace je ˇcasovˇe nároˇcná a pˇri plném vyt´ıˇzen´ı vstupn´ı ˇcásti se stane úzkým m´ıstem. V ta- kovémto pˇr´ıpadˇe bude sonda nekontrolovanˇe zahazovat pakety.

4.2.2 Skenov´an´ı port˚u

Skenován´ı port˚u charakterizuj´ı pokusy o vytvoˇren´ı spojen´ı na porty vybraného stroje. T´ımto postupem útoˇcn´ık zjist´ı pˇr´ıtomnost spuˇstˇených sluˇzeb, jejichˇz prostˇrednictv´ım se následnˇe pokus´ı z´ıskat kontrolu, tj. pˇr´ıstup k dat˚um, správcovská hesla. Pˇritom se snaˇz´ı vyuˇz´ıt ˇspatnˇe zabezpeˇcených nebo zcela nezabezpeˇcených sluˇzeb.

Profil s´ıt’ového provozu bˇehem tohoto útoku tak obsahuje velké mnoˇzstv´ı paket˚u s r˚uznými c´ılovými porty. To znamená i velké mnoˇzstv´ı s´ıt’ových tok˚u. A stejnˇe jako u útoku DoS následuje zahlcen´ı pamˇeti a nekontrolované zahazován´ı paket˚u.

4.3 D˚ uleˇ zit´ e poznatky

Jak vyplývá z provedené analýzy, docház´ı v mezn´ıch situac´ıch k nekontrolovanému za- hazován´ı paket˚u. Nejvˇetˇs´ım negativem nekontrolovaného zahazován´ı je nemoˇznost zpˇetnˇe zjistit mnoˇzstv´ı nezpracovaných dat. Zároveˇn tak nen´ı moˇzné statisticky upravit z´ıskané výsledky a korigovat chybu vzniklou redukc´ı dat.

Reˇˇ sen´ı vede cestou ˇr´ızené redukce dat. V ˇcásti2.6byly vyjmenovány pouˇz´ıvané metody a také odvozen závˇer, ˇze vhodná metoda pro sondu FlowMon je vzorkován´ı dat. Pokud jsou pakety zahazovány v daném pravidelném pomˇeru, lze statistickými metodami urˇcit p˚uvodn´ı mnoˇzstv´ı dat. Z´ıskaný výsledek samozˇrejmˇe zatˇeˇzuje chyba, ta je vˇsak zanedbatelná

(26)

v porovnán´ı se ztrátou informac´ı v okamˇziku nekontrolovaného zahazován´ı, kdy ani nelze vzniklou chybu urˇcit.

Redukce dat se stává nezbytnou pˇredevˇs´ım u 10gigabitového ˇreˇsen´ı, kdy ji potˇrebujeme i pˇri ne zcela zat´ıˇzené lince. Zlepˇsen´ı situace m˚uˇze pˇrinést jednotka s moˇznost´ı nastavit vzorkovac´ı pomˇer (tj. pomˇer zpracovaných a zahozených paket˚u). Pomˇer by se pak odvodil od nejvyˇsˇs´ıho moˇzného toku a propustnosti sondy.

Takové ˇreˇsen´ı je vˇsak suboptimáln´ı v okamˇziku, kdy by nebyla linka plnˇe vyt´ıˇzena (viz. ˇcást3.3). Z tohoto pohledu se nejlepˇs´ım pˇr´ıstupem jev´ı nastavovat vzorkován´ı podle aktuáln´ıho zat´ıˇzen´ı a vyuˇzit´ı zdroj˚u sondy. Nastaven´ı by tak mˇelo reflektovat okamˇzité vyt´ıˇzen´ı monitorované linky (tj. poˇcet paket˚u za sekundu), zat´ıˇzen´ı pˇrenosového kanálu mezi kartami a souˇcasné zaplnˇen´ı pamˇeti.

(27)

Kapitola 5

Adaptivn´ı vzorkovac´ı jednotka

V pˇredchoz´ıch kapitolách jsme uvedli teorii monitorován´ı s´ıt’ových tok˚u, popsali architekturu sondyFlowMon a provedli analýzu chován´ı sondy v mezn´ıch situac´ıch. Z´ıskané závˇery zhodnot´ıme pˇri návrhu ˇreˇsen´ı, které má zabránit nekontrolovanému zahazován´ı paket˚u.

5.1 N´ avrh

V pr˚ubˇehu vývoje sondy byla vytvoˇrena jednotka umoˇzˇnuj´ıc´ı pravidelné, náhodné vzor- kován´ı a vzorkován´ı podle délky (nam´ısto paket˚u jsou poˇc´ıtány byty; je–li napoˇc´ıtána daná hodnota, je paket obsahuj´ıc´ı tento byte zpracován). Tuto jednotku (dále vzorkovac´ı jádro) lze programovˇe nastavit. Tato operace je vˇsak ˇcasovˇe nároˇcná a vyˇzaduje interakci se softwa- rovou vrstvou, která vnáˇs´ı velké zpoˇzdˇen´ı. Proto je vhodná pouze pro jednorázové nastaven´ı.

Jako výsledek dostaneme neoptimáln´ı vzorkován´ı, které nereaguje na zmˇeny v monitoro- vaném provozu (viz. kapitola 4).

Potˇrebujeme vytvoˇrit jednotku, kter´a odstran´ı velk´e zpoˇzdˇen´ı pˇri ˇr´ızen´ı programem.

Pˇritom je tˇreba, aby nová hodnota mˇela platnost alespoˇn po nˇejaký ˇcasový interval. Rozdˇel´ıme si proto mˇeˇrenou veliˇcinu na ˇradu interval˚u, ve kterých z˚ustane nastaven´ı platné.

Navrhovaná jednotka pak v ˇcase mˇen´ı konfiguraci vestavˇeného vzorkovac´ıho jádra.

Chován´ı ˇr´ıd´ı zadané hodnoty; jednotka je nejprve inicializována a na základˇe inicializace jiˇz autonomnˇe ˇr´ıd´ı jádro v závislosti na vstupn´ıch parametrech.

Souˇcasnˇe je umoˇznˇeno pˇrej´ıt do reˇzimu programového ovládán´ı, kdy je kontrola plnˇe na stranˇe softwaru. Reˇzim programového ˇr´ızen´ı se pouˇz´ıvá pˇredevˇs´ım pro lad´ıc´ı úˇcely, nebot’

sebou nese neduhy zm´ınˇené výˇse, tj. velkou odezvu, pomalé reakce.

Jako vstupn´ı parametry jednotky slouˇz´ı dvˇe 16bitové hodnoty. Pro kaˇzdý vstupn´ı parametr existuje mˇeˇr´ıc´ı blok, který zajiˇst’uje pˇrevod stavu zkoumaného jevu do informace v odpov´ıdaj´ıc´ım tvaru. V prvn´ım návrhu byl jeden mˇeˇr´ıc´ı blok zaintegrován pˇr´ımo v adaptivn´ı vzorkovac´ı jednotce. To vˇsak nebylo dostateˇcnˇe obecné ˇreˇsen´ı. Pˇresunut´ım mimo jednotku vzniklo univerzáln´ı rozhran´ı umoˇzˇnuj´ıc´ı vytváˇret dalˇs´ı mˇeˇr´ıc´ı bloky. Tak se do budoucna zvýˇsila moˇznost pro úpravy, vylepˇsen´ı a zmˇeny.

5.1.1 Blokov´e sch´ema

Na obrázku 5.1 vid´ıme blokové schéma návrhu. Popiˇsme si nyn´ı význam a funkci jednot- livých blok˚u :

(28)

Obrázek 5.1: Blokové schéma adaptivn´ı vzorkovac´ı jednotky

• pˇripojen´ı ke sbˇernici (lb connect) – jak bylo uvedeno výˇse, jednotka mus´ı být inici- alizována. Inicializace je ˇr´ızena programovˇe, proto zde mus´ı existovat moˇznost komunikace s registry a pamˇetmi um´ıstˇenými v jednotce. K tomuto úˇcelu slouˇz´ı právˇe popisovaný blok.

Zprostˇredkovává komunikaci mezi systémem sbˇernic navrˇzených pro komunikaci uv- nitˇr FPGA. To je pak svými vývody napojeno na dalˇs´ı podp˚urné obvody umoˇzˇnuj´ıc´ı pˇripojen´ı k systémové sbˇernici PCI/PCI–X/PCI–Express (záleˇz´ı na typu karty, nyn´ı je platná verze PCI–X).

• param1 a param2 – vstupn´ı signály. Na základˇe hodnoty signál˚u se provád´ı nastaven´ı samotné vzorkovac´ı jednotky.

• pamˇet’ rozsah˚u pro param1 a param2 (param1 and param2 range memory) – slouˇz´ı pro uchován´ı hodnot rozsah˚u pro jednotlivé vstupn´ı signály. Vnitˇrnˇe sestává ze dvou oddˇelených pamˇet´ı. Plnˇen´ı prob´ıhá ve fázi inicializace prostˇrednictv´ım bloku pˇripojen´ı ke sbˇernici. Nastavené hodnoty je moˇzno kdykoliv znovu inicializovat.

• pamˇet’ vzorkovac´ıch pomˇer˚u (sampling memory) – udrˇzuje zadané hodnoty pomˇer˚u zpracovaných a zahozených paket˚u; tvoˇren jednou pamˇet´ı. Stejnˇe jako pˇredchoz´ı blok je pˇripojen ke sbˇernici a nastavován v dobˇe inicializace.

• programová konfigurace (sw configuration)– slouˇz´ı k programovému ovládán´ı vzorkovac´ı jednotky prostˇrednictv´ım sady ˇr´ıd´ıc´ıch a datových registr˚u. Stejnˇe jako pˇredchoz´ı dva bloky pˇripojen ke sbˇernici.

• výpoˇcetn´ı jednotka (control unit) – vyhodnocuje pˇr´ısluˇsnost vstupn´ıch parametr˚u do interval˚u zadaných v pamˇetech rozsah˚u pro param1 a param2. Podle výsledku inkre- mentuje/dekrementuje ˇrádkový index spoleˇcný pro vˇsechny pamˇeti (pamˇet’ rozsah˚u pro param1 a param2, pamˇet’ vzorkovac´ıch pomˇer˚u). V pˇr´ıpadˇe potˇreby pak vys´ılá posloupnost ˇr´ıd´ıc´ıch signál˚u provádˇej´ıc´ıch zmˇenu nastaven´ı vzorkovac´ıho jádra.

(29)

• vzorkovac´ı jádro(sau core unit) – vzorkuje vstupn´ı impulsový signál v právˇe nasta- veném pomˇeru zvolenou metodou (at’ uˇz pravidelnou ˇci náhodnou).

Kaˇzdý pˇr´ıchoz´ı impuls odpov´ıdá pˇrijatému paketu. V návaznosti na pˇrijatý impuls jádro nastav´ı/nenastav´ı odpov´ıdaj´ıc´ı výstupn´ı signál a rozhodne, jestli se paket zpra- cuje/zahod´ı.

• mˇeˇr´ıc´ı blok(measurement unit) – zpracovává jev, na jehoˇz základˇe je vzorkován´ı ˇr´ızeno, do podoby skalárn´ı hodnoty (16bit˚u). Vnitˇrn´ı architekturou se mohou jed- notlivé mˇeˇr´ıc´ı bloky výraznˇe liˇsit. Napˇr´ıklad blok vyhodnocuj´ıc´ı aktuáln´ı pr˚umˇerný poˇcet paket˚u za sekundu bude zˇrejmˇe zcela odliˇsný od bloku poskytuj´ıc´ıho informaci o zaplnˇen´ı pamˇeti tok˚u.

5.1.2 Princip funkce

Samotné jádro adaptivn´ı vzorkovac´ı jednotky tvoˇr´ı výpoˇcetn´ı jednotka. Skládá se ze ˇctyˇr 16bitových srovnávac´ıch obvod˚u a vyhledávac´ı tabulky (obsahem adresovaná pamˇet’). Ne- ustále vyhodnocuje porovnán´ı vstupn´ıch parametr˚u s jejich pˇr´ısluˇsnými mezemi uloˇzenými v pamˇetech (viz. obrázek 5.2) :

param1 < doln´ı limit pro param1 param1 > horn´ı limit pro param1 param2 < doln´ı limit pro param2 param2 > horn´ı limit pro param2

Výsledkem tˇechto porovnán´ı dostáváme ˇctyˇri logické hodnoty. Konkatenac´ı pak z´ıskáme 4bitový vektor. Vektor slouˇz´ı jako vstupn´ı adresa jiˇz zm´ınˇené vyhledávac´ı tabulky. Ta repre- zentuje logickou funkci. Výstup logické funkce je 2bitový. Vzniká tedy mapován´ı, kdy pro kaˇzdý moˇzný 4bitový vektor existuje odpov´ıdaj´ıc´ı 2bitová hodnota. Tato hodnota ovládá ˇ

c´ıtaˇc ˇrádkového indexu (viz. obrázek 5.2)

• 1. bit pokud m´a hodnotu logick´a 1, bude se mˇenit hodnota ˇc´ıtaˇce,

• 2. bit logické úrovnˇe ˇr´ıkaj´ı, kterým smˇerem (nahoru ˇci dol˚u) se ˇc´ıtá.

Zmˇena ˇc´ıtaˇce ˇrádkového indexu zp˚usob´ı zmˇenu rozsah˚u pro vstupn´ı parametry a také vzorkovac´ıho pomˇeru. Pokud k takové události dojde, vyvolá ˇr´ıd´ıc´ı jednotka posloupnost signál˚u, které vedou k obnoven´ı nastaven´ı vzorkovac´ıho jádra. Tato akce se opakuje pokaˇzdé, dojde–li ke zmˇenˇe pomˇeru; bud’ následkem posunu ˇrádkového indexu nebo pˇrepsán´ım hodnot v pˇr´ısluˇsné pamˇeti (inicializac´ı).

5.1.3 Mˇeˇr´ıc´ı jednotky

Mˇeˇr´ıc´ı bloky jsou integráln´ı souˇcást´ı adaptivn´ı vzorkovac´ı jednotky. Výˇse jsme popsali i jejich funkci, tj. snaˇz´ı se ohodnotit stav nˇejakého dˇeje skalárn´ı hodnotou. V naˇsem pˇr´ıpadˇe vyjadˇruj´ı poˇcet paket˚u za sekundu nebo zaplnˇen´ı pamˇeti aj. Obecnˇe vˇsak mohou popisovat libovolnou vlastnost sondy, která je nˇejakým zp˚usobem reprezentovatelná skalárn´ı 16bitovou hodnotou.

Vycház´ı z analýzy provedené v pˇredchoz´ı kapitole :

(30)

Obr´azek 5.2: Detail pamˇet´ı pouˇzit´ych v adaptivn´ı vzorkovac´ı jednotce

• pr˚umˇerný poˇcet paket˚u– poˇc´ıtá aktuáln´ı pr˚umˇerný poˇcet paket˚u v uplynulém ˇcasovém intervalu. Intervaly jsou krátké a je tak zajiˇstˇena rychlá reakce na zmˇeny. Tento blok má za c´ıl umoˇznit sondˇe, pomoc´ı zmˇeny vzorkovac´ıho pomˇeru, vypoˇrádat se s nadmˇerným zat´ıˇzen´ım. Nastaven´ı vzorkovac´ıch pomˇer˚u odvod´ıme od zjiˇstˇené ma- ximáln´ı propustnosti. Výsledkem z´ıskáme maximáln´ı vyuˇzit´ı sondy spolu s kontrolo- vaným zahazován´ım paket˚u.

• zaplnˇen´ı vyrovnávac´ı pamˇeti pro pˇrenos mezi kartami – také jeden z moˇzných parametr˚u ovlivˇnuj´ıc´ıch úroveˇn vzorkován´ı; v souˇcasné dobˇe vˇsak nen´ı pro pˇrenos vy- rovnávac´ı pamˇet’ pouˇz´ıvána.

• zaplnˇen´ı pamˇeti tok˚u – spolu s pr˚umˇerným poˇctem paket˚u tvoˇr´ı p˚uvodnˇe plánované vstupn´ı parametry pro ˇr´ızen´ı adaptivn´ıho vzorkován´ı.

Podává informaci o zbývaj´ıc´ı kapacitˇe pamˇeti a pˇredcház´ı tak jej´ımu vyˇcerpán´ı zmˇenou vzorkovac´ıho pomˇeru.

Prozat´ım je implementována pouze jedna mˇeˇr´ıc´ı jednotka a to jednotka pro výpoˇcet pr˚umˇerného poˇctu paket˚u za sekundu. Pˇri návrhu byl brán ohled na moˇznost mˇenit vlastnosti pomoc´ı generických parametr˚u. Jednotka tak umoˇzˇnuje v dobˇe pˇrekladu nastavit ˇ

casový interval z nˇehoˇz se urˇcuje pr˚umˇerný poˇcet paket˚u. Dále lze mˇenit poˇcet pouˇzitých ˇ

c´ıtaˇc˚u a ovlivnit tak mnoˇzstv´ı zabraných zdroj˚u, ale pˇredevˇs´ım rychlost aktualizace mˇeˇrené hodnoty. ˇC´ıtaˇce jsou rovnomˇernˇe pˇrekryty a proto se údaj aktualizuje po uplynut´ı doby

mˇeˇren´y interval poˇcet ˇc´ıtaˇc˚u .

5.2 Implementace

Vzhledem k tomu, ˇze hardwarovou platformou pro realizaci sondy je programovatelné pole (FPGA), byl zvolen jazyk VHDL. V nˇem lze vytváˇrený systém definovat na úrovni struk- turáln´ı, kdy se pop´ıˇse propojen´ı jednotlivých stavebn´ıch prvk˚u, nebo behavioráln´ı, kdy se naopak pop´ıˇse chován´ı architektury. V pˇr´ıpadˇe adaptivn´ı vzorkovac´ı jednotky se jedná o behavioráln´ı popis.

(31)

Implementaˇcn´ım problém se vyskytl pˇri synchronizaci pamˇeti rozsah˚u s rozhodovac´ı funkc´ı. Pˇri ˇcten´ı dat z pamˇeti rozsah˚u docház´ı ke zpoˇzdˇen´ı, následnˇe i pˇri porovnán´ı se vstupn´ımi parametry. Teprve výsledek porovnán´ı slouˇz´ı jako vstup logické funkce. Po dobu neˇz jsou data vyˇctena a provedeno porovnán´ı je tˇreba blokovat ˇc´ıtaˇc ˇrádkového indexu.

Problém se stupˇnuje se snahou zvýˇsit maximáln´ı frekvenci synchronizaˇcn´ıch hodin. Po- psaná cesta od pamˇet´ı rozsah˚u po rozhodovac´ı funkci tvoˇr´ı nejdelˇs´ı logickou cestu. Problém vyˇreˇs´ıme vloˇzen´ım registru do cesty a umoˇzn´ıme tak zpracován´ı ve v´ıce kroc´ıch. Zkrát´ı se délka cesty a zvýˇs´ı maximáln´ı pouˇzitelná frekvence hodin. Na druhou stranu se zvˇetˇs´ı zpoˇzdˇen´ı a je nutno prodlouˇzit dobu, po kterou mus´ı být ˇc´ıtaˇc ˇrádkového indexu blokován.

Naˇstˇest´ı tyto prodlevy nejsou kritické. Zmˇena vstupn´ıch parametr˚u trvá výraznˇe delˇs´ı dobu (samotný pˇr´ıjem paketu trvá déle). Zároveˇn ale negativnˇe p˚usob´ı na dobu, po kterou se jednotka ustaluje v okamˇziku spuˇstˇen´ı (inicializaci).

5.3 Simulace

Nezbytným krokem pˇri realizaci této práce je simulace chován´ı adaptivn´ı vzorkovac´ı jednotky a také analýza vlivu na zbytek sondy. Pomoc´ı simulace jsme schopni odhalit zda navrˇzené ˇreˇsen´ı splˇnuje kladené poˇzadavky.

5.3.1 Simulaˇcn´ı model

Pamˇet’ mez´ı pro param1 Vzorkovac´ı pomˇer horn´ı mez doln´ı mez

0 50 0

48 100 1

98 150 2

148 200 3

198 250 4

248 300 5

298 350 6

348 400 7

398 450 8

448 500 9

498 550 10

548 600 11

698 650 12

648 700 13

698 750 14

748 800 15

Tabulka 5.1: Nastaven´ı adaptivn´ıho vzorkován´ı odpov´ıdaj´ıc´ı grafu z obrázku 5.3 Simulaˇcn´ı model vyuˇz´ıvá rozˇs´ıˇren´ı jazyka C++, konkrétnˇe knihovny SIMLIB (viz. [11]).

Nástroj je vhodný jak pro spojitou tak i pro diskrétn´ı simulaci. V naˇsem pˇr´ıpadˇe se jedná o diskrétn´ı model ˇr´ızený synchronizaˇcn´ımi impulsy (odpov´ıdaj´ı hodinovému signálu v ob- vodovém ˇreˇsen´ı).

(32)

Model popisuje základn´ı bloky uvedené v blokovém schéma (viz. obrázek5.1). Neobsa- huje vˇsak jednotku pro pˇripojen´ı ke sbˇernici, která je v programovac´ım jazyce zastoupena inicializac´ı promˇenných.

Pouˇzit´e nastaven´ı adaptivn´ı vzorkovac´ı jednotky ukazuj´ı tabulky 5.1 (meze vstupn´ıch parametr˚u a odpov´ıdaj´ıc´ı vzorkovac´ı pomˇery) a 5.2(logick´a funkce).

Aby simulaˇcn´ı model odpov´ıdal souˇcasné vývojové fázi jednotky a mˇeˇr´ıc´ıch blok˚u, vyuˇz´ıvá pouze jeden vstupn´ı parametr. Proto uvedená tabulka rozsah˚u obsahuje pouze jeden sloupec pro param1 a zároveˇn se zjednoduˇsila ˇr´ıd´ıc´ı funkce, která reaguje pouze na hodnoty prvn´ıho parametru; hodnoty druhého zanedbává.

vstup mˇenit nahoru — vstup mˇenit nahoru

0000 false false — 1000 true false

0100 true true — 1100 false false

Tabulka 5.2: Logick´a funkce odpov´ıdaj´ıc´ı grafu z obr´azku 5.3

Logická funkce (viz. tabulka 5.2) poskytuje ˇsiroké prostˇredky pro nastaven´ı chován´ı.

T´ım, ˇze jsme schopni pro kaˇzdou vstupn´ı kombinaci definovat výstupn´ı hodnotu, lze dosáhnout prakticky libovolného chován´ı. Zˇrejmˇe nejzaj´ımavˇejˇs´ı se jev´ı varianta, kdy dáme prioritu ˇr´ızen´ı jednomu ze dvou vstupn´ıch parametr˚u. Druhý pak slouˇz´ı jako doplˇnkové ˇr´ızen´ı v pˇr´ıpadˇe, kdy prvn´ı nevyˇzaduje a naopak povoluje zmˇeny.

Vzniká tak moˇznost reflektovat d˚uleˇzitost jednotlivých omezuj´ıc´ıch vliv˚u do nastaven´ı adaptivn´ı vzorkovac´ı jednotky. Prioritu by z´ıskal parametr vypov´ıdaj´ıc´ı o zaplnˇen´ı pamˇeti a jako doplˇnuj´ıc´ı by byl vyuˇzit pr˚umˇerný poˇcet paket˚u.

Alternativn´ı varianta : oba parametry mohou samostatnˇe zvýˇsit vzorkovac´ı pomˇer bez ohledu na druhý. V opaˇcném pˇr´ıpadˇe, tj. sn´ıˇzen´ı pomˇeru, dojde ke zmˇenˇe jen pˇri shodˇe obou parametr˚u. Oba nabývaj´ı stejné váhy a jedná se tak o spravedlivý pˇr´ıstup na m´ısto prioritn´ıho v prvn´ım pˇr´ıpadˇe.

5.3.2 V´ysledky z´ıskan´e simulac´ı

Výsledky z´ıskané simulac´ı zobrazuje graf na obrázku5.3. Rozloˇzen´ı pˇr´ıchodu paket˚u udává funkce cos(x) posunutá nad osu x. Uprostˇred zobrazeného intervalu má minimáln´ı hodnotu. Dojde tedy ke dvˇema pr˚unik˚um s pˇr´ımkou udávaj´ıc´ı maximáln´ı zat´ıˇzen´ı. Jednou jako funkce klesaj´ıc´ı, podruhé rostouc´ı. Právˇe proto byla vybrána; umoˇzˇnuje sledovat chován´ı v okamˇzic´ıch, kdy je tˇreba zaˇc´ıt/pˇrestat vzorkovat pakety.

Maximáln´ı hodnoty funkce pˇr´ıchodu paket˚u nabývá pˇribliˇznˇe desetinásobku maximáln´ıho zat´ıˇzen´ı. Toto je opˇet poˇzadovaná vlastnost a ukazuje, jak by se sonda chovala pˇri pouˇzit´ı adaptivn´ı vzorkovac´ı jednotky na 10Gb/s lince (sonda bezpeˇcnˇe zvládá 1GB/s).

V tˇesné bl´ızkosti svislé osy vid´ıme velké mnoˇzstv´ı paket˚u oznaˇcených za zpracované.

Mnoˇzstv´ı vˇsak výraznˇe pˇresahuje pˇres hladinu maximáln´ı propustnosti. Tyto pakety by v reálném provozu byly nekontrolovatelnˇe zahozeny. Jedná se vˇsak pouze o okamˇzik spuˇstˇen´ı

(33)

0 100 200 300 400 500

0 100000 200000 300000 400000 500000 600000 700000 800000 900000 1e+06

Prumerný pocet paketu za zvolenou casovou jednotku

Pakety

prijaté pakety zahozené pakety zpracované pakety maximální propustnost 50% vyuzití zdroju

Obrázek 5.3: Graf vyjadˇruj´ıc´ı poˇcet pˇrijatých, zpracovaných a zahozených paket˚u sondy, kdy ˇcel´ı velkému s´ıt’ovému provozu. Situace se rychle ustál´ı a k dalˇs´ım obdobným výkyv˚um nadále nedocház´ı.

Popsaná negativn´ı vlastnost se projev´ı pouze v pˇr´ıpadˇe spuˇstˇen´ı nebo opakované inicializace adaptivn´ı vzorkovac´ı jednotky. Nav´ıc se jednotka pˇrizp˚usob´ı velmi rychle, proto popsané chován´ı nebrán´ı pouˇzit´ı v reálné aplikaci.

Velmi d˚uleˇzitou souˇcást´ı grafu je i pˇr´ımka udávaj´ıc´ı hladinu 50% vyuˇzit´ı sondy. Poˇzadované minimáln´ı zat´ıˇzen´ı lze chápat jako vstupn´ı promˇennou pˇri výpoˇctu mez´ı pro jednotlivé parametry. V grafu vid´ıme, ˇze poˇcet zpracovaných paket˚u neklesne pod tuto hranici pokud samotný monitorovaný provoz nepoklesne. Jinými slovy m˚uˇzeme ˇr´ıct, ˇze vyuˇzit´ı sondy je vˇzdy nejménˇe 50%. Tato hranice lze nastavit i vyˇsˇs´ı podle potˇreby. Minimalizuje se tak mnoˇzstv´ı paket˚u zahozených v d˚usledku vzorkován´ı a udrˇzuje se optimáln´ı zat´ıˇzen´ı sondy.

5.4 Ovˇ eˇ ren´ı funkce

Adaptivn´ı vzorkovac´ı jednotka se pouˇz´ıvá jak v 1GB/s verzi tak 10GB/s verzi sondy FlowMon. V reálných nasazen´ıch vyuˇz´ıváme prozat´ım softwarového ˇr´ızen´ı vzorkován´ı. Ve zkuˇsebn´ım provozu vˇsak jiˇz byla jednotka testována a vykazovala poˇzadovanou funkciona- litu.

Zkuˇsebn´ı provoz byl zachycen nástrojem tcpdump a do sondy odeslán pomoc´ı pˇr´ıkazu tcpreplay. Vˇse probˇehlo na jednom z pracovn´ıch poˇc´ıtaˇc˚u projektu Liberouter osazeného kartamiCOMBO6X a COMBO-4SFPRO.

Pˇr´ıkaz tcpreplay umoˇzˇnuje nastavit rychlost odes´ılán´ı zachyceného vzorku dat. Tak bylo moˇzné srovnat reakce vytvoˇrené jednotky se skuteˇcnost´ı.

Po zahájen´ı pˇrenosu paket˚u z pomocného stroje zapojeného proti sondˇe FlowMon byly

(34)

vyˇc´ıtány aktuáln´ı hodnoty lad´ıc´ıch registr˚u, které prokázaly shodu s pˇredpokládanými hod- notami. Chován´ı odpov´ıdalo jak simulac´ım modelu vytvoˇreného v jazyce C++, tak simulac´ım samotné implementace v jazyce VHDL.

5.5 Diskuze

Velký prostor pro práci s jednotkou nab´ız´ı jej´ı konfiguraˇcn´ı moˇznosti, kdy m˚uˇzeme provést ˇrady analýz a test˚u optimáln´ıch vzorkovac´ıch pomˇer˚u a odpov´ıdaj´ıc´ıch rozsah˚u. Neménˇe d˚uleˇzité pak bude nastaven´ı mˇeˇr´ıc´ıch blok˚u (mohou významným zp˚usobem zmˇenit reakce sondy).

Na druhou stranu pˇrináˇs´ı velká variabilita prostor pro vznik nevhodných a ˇspatnˇe fun- guj´ıc´ıch nataven´ı. V pr˚ubˇehu vývoje bylo pˇri simulac´ıch VHDL kódu zjiˇstˇeno, ˇze m˚uˇze napˇr´ıklad doj´ıt k neustálému pˇrep´ınán´ı mezi dvˇema vzorkovac´ımi pomˇery. K takovému jevu docház´ı v pˇr´ıpadˇe, kdy maj´ı stejnou váhu oba vstupn´ı parametry. Jinými slovy je nevhodným zp˚usobem sestavena ˇr´ıd´ıc´ı logická funkce.

Doporuˇcen´ım pro návrh mez´ı je vytvoˇrit pˇrekryt´ı jednotlivých interval˚u. Nastaven´ı se tak stane v´ıce odolným proti oscilaci vstupn´ıho parametru kolem jedné z mez´ı. Pˇr´ıklad takového pˇrekryt´ı lze spatˇrit i v tabulce5.1. Tam vid´ıme pˇrekryt´ı jen minimáln´ı – vycház´ı ze znalosti pr˚ubˇehu rozloˇzen´ı paket˚u (viz. obrázek 5.3). Pro reálné pouˇzit´ı se doporuˇcuje dodrˇzet pˇrekryt´ı, které názornˇeji ukazuje obrázek5.4.

Obrázek 5.4: Ukázka vhodného pˇrekryt´ı mez´ı nastavených pro vstupn´ı parametry Pro správnou funkci je nezbytné korektn´ı nastaven´ı. Pˇri splnˇen´ı tohoto pˇredpokladu bude adaptivn´ı vzorkovac´ı jednotka plnit sv˚uj úˇcel, tj. zamezovat nekontrolovanému zaha- zován´ı paket˚u a zároveˇn minimalizovat mnoˇzstv´ı zahozených paket˚u. Je tˇreba pˇripomenout nekontrolované zahazován´ı, které nastává po spuˇstˇen´ı jednotky pˇri velkém provozu. Ale jak jiˇz bylo ˇreˇceno, jedná se o velmi krátký jev, a proto lze ve výsledku zanedbat.

Dalˇs´ım krokem ve vývoji by mˇelo být vytvoˇren´ı nových mˇeˇr´ıc´ıch blok˚u. D˚uleˇzité bude zejména vytvoˇrit blok pro zpracován´ı aktuáln´ıho stavu pamˇeti tok˚u.

(35)

Kapitola 6

Z´ avˇ er

C´ılem této práce bylo vytvoˇrit jednotku adaptivn´ıho vzorkován´ı, která bude zároveˇn minimalizovat mnoˇzstv´ı paket˚u zahozených v d˚usledku vzorkován´ı. Jednotka byla implemen- tována, odzkouˇsena v hardwaru, a tud´ıˇz byl c´ıl splnˇen.

Pro úspˇeˇsnou realizaci byla nastudována problematika s´ıt’ových tok˚u, metody redukce dat a druhy s´ıt’ových útok˚u. Tyto jsou popsány v druhé kapitole s názvemPoˇc´ıtaˇcové s´ıtˇe a monitorován´ı s´ıt’ových tok˚u.

Jednotka byla vytváˇrena jako souˇcást sondy FlowMon, proto bylo tˇreba se seznámit s architekturou sondy. Architekturu popisuje tˇret´ı kapitola nazvaná Architektura sondy FlowMon. Jako výchoz´ı bod pro samotnou implementaci poslouˇzila analýza chován´ı sondy v krajn´ıch pˇr´ıpadech, jakými jsou útoky a nadmˇerné zat´ıˇzen´ı (kapitola Analýza chován´ı sondy). Návrh a následná implementace byla provedena s ohledem na vysokou variabilitu pouˇzit´ı. Popis návrhu, implementace, simulace i ovˇeˇren´ı funkce obsahuje kapitolaAdaptivn´ı vzorkovac´ı jednotka.

Nejvˇetˇs´ı pˇrednost´ı adaptivn´ı vzorkovac´ı jednotky pak jsou témˇeˇr neomezené moˇznosti mˇenit nastaven´ı hardwaru bez nutnosti zmˇen samotné obvodové realizace. Zároveˇn poskytuje n´ızkoúrovˇnové ˇreˇsen´ı vysoký výkon a rychlou odezvu na zmˇeny.

Moˇznosti nasazen´ı jsou ˇsiroké. Pˇri pouˇzit´ı adaptivn´ı vzorkovac´ı jednotky lze provozovat sondu jak na bˇeˇzných spoj´ıch lokáln´ı úrovnˇe, kdy vhodné nastaven´ı zajist´ı, ˇze se pakety nebudou zahazovat, tak i na páteˇrn´ıch spoj´ıch, kdy bude jednotka mˇenit vzorkovac´ı pomˇery podle aktuáln´ıho zat´ıˇzen´ı a vyuˇzit´ı zdroj˚u.

Adaptivn´ı vzorkován´ı paket˚u zvyˇsuje náskok sondyFlowMon pˇred konkurenˇcn´ımi soft- warovými nástroji. Pˇredevˇs´ım v okamˇzic´ıch útok˚u a nadmˇerné zátˇeˇze. Souˇcasnˇe minimalizuje mnoˇzstv´ı ˇr´ızenˇe zahozených paket˚u a udrˇzuje tak vysokou kvalitu nab´ızených sluˇzeb.

Dovoluji si tedy ˇr´ıct, ˇze práce splnila sv˚uj úˇcel a pˇrinesla ˇradu zaj´ımavých poznatk˚u, které budou zhodnoceny zejména ve fázi nasazen´ı do skuteˇcného provozu. Pˇrispˇeje nejen k lepˇs´ımu pˇrehledu o pouˇz´ıvaných s´ıt’ových sluˇzbách, ale také ke zvýˇsen´ı bezpeˇcnosti poˇc´ı- taˇcových s´ıt´ı.

Do budoucna by mˇela být jednotka doplnˇena o dalˇs´ı mˇeˇr´ıc´ı bloky. Zároveˇn by práci s jednotkou usnadnil nástroj, který by na základˇe zadaných parametr˚u s´ıtˇe a poˇzadovaného vyuˇzit´ı sondy pˇripravil kompletn´ı konfiguraci jednotky. Pˇr´ıpadnˇe i sloˇzitˇejˇs´ı regulaˇcn´ı systém, který by v pravidelných intervalech hodnotil kvalitu aktuáln´ıho nastaven´ı a pˇrizp˚usoboval jej potˇrebám uˇzivatele.