ntopng-一款流量审计框架的安装以及应用
核心交换机镜像流量审计对于企业应急响应和防患于未然至关重要,本文想通过介绍ntopng抛砖引玉讲一讲流量审计的功能和应用。
- 安装
安装依赖环境:
sudo yum install subversion autoconf automake autogen libpcap-devel GeoIP-devel hiredis-devel redis glib2-devel libxml2-devel sqlite-devel gcc-c++ libtool wget libcurl-devel pango-devel cairo-devel libpng-devel git
安装nDPI:协议解析库
git clone https://github.com/ntop/nDPI.git cd nDPI ./configure –with-pic make
安装PF_RING(有libcap可以考虑不安装)
it clone https://github.com/ntop/PF_RING.git cd PF_RING/kernel make sudo insmod ./pf_ring.ko cd ../userland make
安装Ntopng
git clone https://github.com/ntop/ntopng.git cd ntopng
./autogen.sh ./configure /usr/bin/gmake geoip \\安装geoip的数据库 make make install
可能会出现报错,解决方法如下:
中途会出现MySQL libraries not found **** 错误
yum list \*mysql\* | grep dev
然后把出现的mysql程序都安装上,sudo yum install ***
- 重要功能
- 单机历史流量审计
毫无疑问,流量审计最重要的功能就是历史流量审计。对于应急溯源有非常重要的作用,在确定攻击时间点和攻击者IP之后,我们可以通过搜索IP或者攻击点之后的流量确定攻击路径。同时在排查完应急事件之后,我们也可以借助流量审计判断是否真正达到了“灭火”的功效,内网内是否还存在被控的相关主机。所以流量历史在应急和流量审计中都起着无可替代的作用。Ntopng提供最基础的流量审计功能。
通过特定时间点的流量我们也可以发现一些问题,确定攻击时间点,分析异常服务器的IP流量信息,发送和接收数据包行为,来判定行为。
2 .GeoIP信息
在传统行业,IDC的服务器往往发起链接的地域性是非常有规律的,举个例子。一个内网OA服务器或者邮件服务器通常情况不会与一个香港或者韩国的IP发生三次握手,基于此。我们通过Ntopng的Geoip模块我们能分析发起链接的地域规律。
3.协议分析
同理如果我们能准确的分析流量协议,往往能发现很多端倪。从安全不相关的说,比如如果我们能审计出边界出口大量P2P协议数据,我们可以判定办公网内可能有人在挂BT或者迅雷下载东西,占用带宽。换做安全相关,在一些MSF或者Samba去控制服务器的时候,由于是shellcode驻留在内存中,从系统日志层面我们只能看到别人获取了一个交互式的Shell并且登录了服务器,至于通过何种漏洞入侵的我们很难发现,通过流量信息我们能准确的获得一些线索,同时当一些日志被删除,我们无法确认黑客是否登录服务器的时候,我们可以通过SSH协议流量去进行分析。
- 不足
首先我在使用过程中隐约感觉到了性能瓶颈,对于中小型互联网不进行二次开发应该可以直接使用。但对于亿级PV的互联网,不借助Strom等框架去处理或者二次开发,目测会血崩。其大数据的延展性并不是很好。
用过商业流量审计的同学应该知道,流量审计最重要的一点就是联合查询,然而Ntopng并没有。确切说是社区版并没有,企业版通过描述或许有这种功能。不过由于费用问题,本文没有研究。企业版的Lisence是一年490欧元,对于预算紧又需要做安全的是个不错的选择。
ntopng-一款流量审计框架的安装以及应用的更多相关文章
- EKFiddle:基于Fiddler研究恶意流量的框架
转载自FreeBuf.COM EKFiddle是一个基于Fiddler web debugger的,用于研究漏洞利用套件.恶意软件和恶意流量的框架. 安装 下载并安装最新版本的Fiddler http ...
- 0818基于360开源数据库流量审计MySQL Sniffer
开源数据库流量审计MySQL Sniffer 我最推崇的数据库安全产品就是基于流量的数据库审计,因为它不需要更改网络结构,并且也是最关键的是,不影响数据库服务器性能,不用苦口婆心的劝数据库管理员安装监 ...
- Django是Python下的一款网络服务器框架
被解放的姜戈01 初试天涯 Django是Python下的一款网络服务器框架.Python下有许多款不同的框架.Django是重量级选手中最有代表性的一位.许多成功的网站和APP都基于Django ...
- SZhe_Scan碎遮:一款基于Flask框架的web漏洞扫描神器
SZhe_Scan碎遮:一款基于Flask框架的web漏洞扫描神器 天幕如遮,唯我一刀可碎千里华盖,纵横四海而无阻,是谓碎遮 --取自<有匪> 写在前面 这段时间很多时间都在忙着编写该项目 ...
- rtvue-lowcode:一款基于uniapp框架和uview组件库的开源低代码开发平台
rtvue-lowcode低代码开发平台 rtvue-lowcode一款基于uniapp框架和uview组件库的低代码开发平台,项目提供可视化拖拽编辑器,采用MIT开源协议,适用于app.小程序等项目 ...
- 几款主流PHP框架的优缺点评比
PHP是一种在国内外都比较流行的开源服务器端脚本开发语言.能够适应大中小型项目的开发需求.我们将在这篇文章中向大家介绍几款主流PHP框架及其相关优缺点评比,作为一个参考分享给朋友们. 主要参考的PHP ...
- Yaf零基础学习总结2-Yaf框架的安装
接着上一篇文章<Yaf零基础学习总结1-Yaf框架简介>我们对Yaf框架有那么一个大概的了解了,但是对于程序员来说,那些文字都是表面的,他们最想的就是开始敲代码了.当然这也是学习Yaf框架 ...
- windows下游戏服务器端框架Firefly安装说明及demo运行
原地址:http://blog.csdn.net/wangqiuyun/article/details/11150503 本来公司一个网游服务器端选定了pomelo框架,后来出了个Firefly,为做 ...
- linux下Python网络编程框架-Twisted安装
Twisted是python下的用来进行网络服务和应用程序编程的框架,安装Twisted前需要系统预先安装有python. 一.安装Twisted http://twistedmatrix.com/R ...
随机推荐
- shopping_cart
#!/usr/bin/env python # -*- coding: utf-8 -*- print('欢迎土豪光临随心所欲旗舰店') user_money = int(input('老板,请输入你 ...
- linux服务器性能(网卡流量、CPU、内存、磁盘使用率)监控
广义的网站的监控涵盖所有的非业务行为的数据采集与管理,包括数据分析师和产品设计师使用的网站用户行为日志.业务运行数据,以及供运维工程师和开发工程师使用的性能统计数据等. 本文主要是通过shell脚本来 ...
- Java线程池总结
前一篇文章Java中实现多线程关键词整理中介绍了Java中创建多线程的各种办法,里面提到了线程池,这里对Java中的线程池做一个总结. 1. 关于ThreadPoolExecutor 为了更好地控制多 ...
- 蚂蚁金服新一代数据可视化引擎 G2
新公司已经呆了一个多月,目前着手一个数据可视化的项目,数据可视化肯定要用到图形库如D3.Highcharts.ECharts.Chart等,经决定我的这个项目用阿里旗下蚂蚁金服所开发的G2图表库. 官 ...
- Vue声明式渲染
Vue.js 的核心是一个允许采用简洁的模板语法来声明式的将数据渲染进 DOM,也就是将模板中的文本数据写进DOM中,使用 {{data}} 的格式写入.此代码都是Vue.js官网上的实例. 1. ...
- 区块链入门(1):搭建(Ubuntu系统)Truffle v3.2.1 开发和测试环境
本文主要讲解ubuntu 16.04下, truffle开发测试环境的搭建. 第一步:安装nodejs 和 npm,有两种比较常见的方法. 方法1:直接在nodejs官网下载nodejs-v6.10 ...
- CentOS系统搭建gitolite服务
1.安装相关支持软件 a.$yum install perl-Time-HiRes openssh-server perl -y b.$yum -y install git 2.服务端操作:创建git ...
- Spring切面编程步骤
什么是面向切面编程 面向对象的编程主要注重核心业务,而面向切面编程主要关注一些不是核心的业务,但又是必须的辅助功能,比如一个完整的系统中,记录平时系统运行时抛出的异常,需要我们去记录,以便我们对系统尽 ...
- 【JavaScript中的this详解】
前言 this用法说难不难,有时候函数调用时,往往会搞不清楚this指向谁?那么,关于this的用法,你知道多少呢? 下面我来给大家整理一下关于this的详细分析,希望对大家有所帮助! this指向的 ...
- 《Android进阶》之第三篇 深入理解android的消息处理机制
Android 异步消息处理机制 让你深入理解 Looper.Handler.Message三者关系 android的消息处理机制(图+源码分析)——Looper,Handler,Message an ...