Thông tin chính sách thường được triển khai, lưu trữ và quản lý trong cơ sở dữ liệu chính sách lưu giữ trên mạng. Thông tin chính sách được chuyển giữa cơ sở dữ liệu và thiết bị mạng bằng Dịch vụ chính sách mở chung (COPS) và Giao thức truy cập thư mục dung lượng nhẹ (LDAP).
Chương 4.
CÁC CÔNG NGHỆ VÀ CÔNG CỤ THU THẬP, PHÂN TÍCH, TRỰC QUAN LUỒNG LƯU LƯỢNG MẠNG
4.1. Công nghệ thu thập luồng lưu lượng 4.1.1. Netflow 4.1.1. Netflow
NetFlow là một công nghệ của Cisco cung cấp khả năng hiển thị toàn diện về tất cả lưu lượng mạng truyền qua thiết bị được Cisco hỗ trợ. Cisco đã phát minh ra NetFlow và dẫn đầu trong công nghệ luồng lưu lượng IP. NetFlow ban đầu được tạo ra để lập hóa đơn và tính tốn lưu lượng mạng cũng như để đo lường các đặc điểm lưu lượng IP khác như sử dụng băng thông và hiệu suất ứng dụng. NetFlow cũng đã được sử dụng như một công cụ lập kế hoạch năng lực mạng và giám sát tính khả dụng của mạng. NetFlow được nhiều chuyên gia an ninh mạng sử dụng như một công cụ an ninh mạng vì khả năng báo cáo của nó cung cấp khả năng điều tra, phát hiện bất thường và không từ chối. Khi lưu lượng mạng truyền qua thiết bị hỗ trợ NetFlow, thiết bị sẽ thu thập thông tin về luồng lưu lượng và cung cấp cho quản trị viên mạng hoặc chuyên gia bảo mật thông tin chi tiết về các luồng đó.
NetFlow cung cấp phép đo chi tiết mạng từ xa cho phép quản trị viên thực hiện những việc sau:
• Xem những gì đang thực sự xảy ra trên tồn bộ mạng.
• Xác định các cuộc tấn cơng DoS.
• Nhanh chóng xác định các thiết bị đầu cuối và cơ sở hạ tầng mạng bị xâm phạm.
• Giám sát việc sử dụng mạng của nhân viên, nhà thầu hoặc đối tác.
• Đo từ xa mạng trong q trình ứng phó sự cố an ninh.
• Phát hiện cấu hình sai tường lửa và quyền truy cập khơng phù hợp vào tài nguyên của công ty.
NetFlow hỗ trợ cả IPv4 và IPv6 và nó đóng một vai trị quan trọng trong những điều sau:
• Lập kế hoạch mạng
• Bảo mật mạng
• Kỹ thuật lưu lượng
Luồng trong NetFlow
Luồng là một chuỗi các gói một chiều giữa một nguồn và đích nhất định. Trong một luồng, cùng một địa chỉ IP nguồn và đích, cổng nguồn và đích cũng như giao thức IP được chia sẻ. Đây thường được gọi là 5-tuple. Hình 4.1 cho thấy một ví dụ về luồng giữa máy khách và máy chủ.