Konfigurując Sycope jako NetFlow collector w PAN-OS, organizacje mogą wykorzystywać istniejącą infrastrukturę Palo Alto Networks jako źródło danych do ciągłego monitoringu sieciowego i analizy historycznej.
Integracja wykorzystuje standardowe mechanizmy NetFlow dostępne w obu systemach i nie wymaga dedykowanego proprietary connector.
Table of Contents
Od ruchu przez firewall do analizy sieciowej
NetFlow Server Profile w PAN-OS definiuje collector, który powinien odbierać flow records, oraz parametry wykorzystywane do eksportu.
Profil jest przypisywany do interfejsów, których ruch powinien być monitorowany. Palo Alto Networks obsługuje eksport NetFlow z interfejsów Layer 3, Layer 2, virtual wire, tap, VLAN, loopback i tunnel. Firewall przetwarza informacje NetFlow dla pakietów IP na tych interfejsach i eksportuje rekordy NetFlow v9 do skonfigurowanego collectora.
Po odebraniu rekordów przez Sycope stają się one częścią danych sieciowych dostępnych do wyszukiwania, dashboardów, raportowania, reguł monitoringu i analizy historycznej.
Pozwala to analizować komunikację obserwowaną przez firewall w czasie, zamiast ograniczać analizę do bieżącego stanu pojedynczej sesji.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Firewalle Palo Alto Networks i Sycope pozostają niezależnymi systemami i pełnią różne role w architekturze sieciowej.
Palo Alto Networks zapewnia:
- Firewalling i egzekwowanie polityk ruchu
- Przetwarzanie sesji sieciowych
- Security inspection
- Widoczność ruchu na interfejsach firewalla
- Eksport NetFlow v9
- Routing i łączność sieciową
Sycope zapewnia:
- Zbieranie i analizę NetFlow
- Widoczność komunikacji host-to-host
- Historyczne dane o ruchu sieciowym
- Analizę wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Wyszukiwanie i filtrowanie ruchu
- Dashboardy, raportowanie i alerting
Palo Alto Networks kontroluje i analizuje komunikację podczas jej przechodzenia przez firewall. Sycope wykorzystuje wyeksportowane flow records do analizy tej komunikacji w czasie oraz razem z ruchem odbieranym z innych urządzeń sieciowych.
Wykorzystanie flow data z firewalla dla szerszej widoczności sieciowej
NetFlow zapewnia ustrukturyzowany zapis komunikacji obserwowanej przez firewall. Zbieranie tych rekordów w Sycope pozwala wykorzystywać je szerzej niż tylko w bieżącym widoku firewalla.
Komunikacja pomiędzy systemami
Flow records dostarczają informacji o endpointach uczestniczących w komunikacji, portach, wolumenach ruchu, timestamps i interfejsach.
Sycope może wykorzystać te informacje, aby pokazać, które systemy się komunikowały, kiedy komunikacja miała miejsce i jaka ilość danych została wymieniona.
Wspiera to analizę problemów z łącznością, nieoczekiwanej komunikacji i zmian w wzorcach ruchu dotyczących systemów chronionych przez firewalle Palo Alto Networks.
Historyczna analiza ruchu
Bieżące zdarzenie na firewallu nie zawsze dostarcza wystarczającego kontekstu, aby wyjaśnić, co wydarzyło się przed incydentem lub problemem wydajnościowym.
Dzięki przechowywaniu i analizowaniu informacji flow Sycope pozwala zespołom wrócić do wcześniejszego okresu i przejrzeć komunikację związaną z konkretnym hostem, usługą lub częścią sieci.
Historyczny ruch może pomóc ustalić, które systemy komunikowały się przed zdarzeniem, czy podobna aktywność występowała wcześniej oraz jak zachowanie sieci zmieniało się w czasie.
Wydajność sieci i wykorzystanie ruchu
Rekordy NetFlow zawierają liczniki ruchu, które mogą być wykorzystywane do analizy sposobu wykorzystania zasobów sieciowych.
Sycope może wykorzystać te dane do analizowania wolumenów ruchu pomiędzy hostami, interfejsami i usługami oraz do identyfikowania systemów lub wzorców komunikacji odpowiedzialnych za znaczące zmiany w wykorzystaniu sieci.
Zapewnia to dodatkowe informacje dla troubleshooting, capacity analysis i analizy pogorszenia wydajności.
Analiza bezpieczeństwa oparta na zachowaniu komunikacji
Mechanizmy bezpieczeństwa firewalla i analiza flow data zapewniają różne perspektywy na aktywność sieciową.
Palo Alto Networks pozostaje odpowiedzialne za egzekwowanie polityk bezpieczeństwa i inspekcję ruchu. Sycope analizuje wzorce komunikacji w czasie i może wykorzystywać informacje flow do identyfikowania anomalii oraz zachowań wymagających dalszej analizy.
Zapewnia to zespołom NOC i SOC historyczny widok komunikacji obejmującej systemy chronione przez firewall i pozwala oceniać detekcje sieciowe w szerszym kontekście ruchu.
Widoczność wybranych interfejsów firewalla
PAN-OS umożliwia przypisanie NetFlow Server Profile do interfejsów, których ruch powinien być eksportowany.
Daje to administratorom kontrolę nad tym, które części sieci powinny dostarczać dane do Sycope. W zależności od konfiguracji firewalla NetFlow może być włączony na interfejsach fizycznych i logicznych, w tym VLAN, tunnel i virtual wire.
Wiele firewalli Palo Alto Networks może przesyłać rekordy NetFlow do tego samego środowiska Sycope, dzięki czemu ruch z różnych lokalizacji sieciowych lub granic bezpieczeństwa może być analizowany na wspólnej platformie.
Sycope przechowuje również informacje o poszczególnych exporterach i interfejsach, co umożliwia rozróżnianie i analizowanie ruchu według jego źródła.
Pełny eksport flow bez samplingu
Firewalle Palo Alto Networks nie wykorzystują sampled NetFlow. Przetwarzanie NetFlow odbywa się dla pakietów IP przechodzących przez interfejsy skonfigurowane do eksportu.
Jest to dobrze zgodne z wdrożeniami Sycope, w których unsampled NetFlow jest rekomendowany zawsze wtedy, gdy urządzenie eksportujące go obsługuje.
Wykorzystanie unsampled records zapewnia pełniejsze odwzorowanie obserwowanej komunikacji i eliminuje konieczność opierania późniejszej analizy na statystycznym podzbiorze ruchu.
Jak działa integracja
Integracja składa się z trzech głównych elementów.
1. NetFlow Server Profile w PAN-OS
Na firewallu Palo Alto Networks tworzony jest NetFlow Server Profile.
Profil definiuje hostname lub adres IP collectora Sycope, port docelowy, ustawienia odświeżania template oraz Active Timeout. PAN-OS obsługuje do dwóch collectorów w ramach jednego NetFlow Server Profile.
Następnie profil jest przypisywany do interfejsów, których ruch powinien być eksportowany.
Sycope wymaga active flow timeout wynoszącego 60 sekund. PAN-OS pozwala konfigurować Active Timeout w minutach, dlatego wartość jednej minuty odpowiada wymaganiom dotyczącym interwału eksportu w Sycope.
2. Zbieranie NetFlow w Sycope
Sycope odbiera i dekoduje rekordy NetFlow v9 eksportowane przez firewall.
Zebrane dane stają się dostępne w Sycope razem z informacjami flow odbieranymi z innych kompatybilnych urządzeń sieciowych.
Sycope przechowuje informacje o exporterze i interfejsie razem z flow data, dzięki czemu ruch może być analizowany według urządzenia i interfejsu, z którego pochodzi.
3. Analiza, wizualizacja i alerting
Po przetworzeniu flow data z Palo Alto Networks mogą być wykorzystywane w całym środowisku analitycznym Sycope.
Zespoły mogą przeszukiwać historyczną komunikację, budować dashboardy i raporty, analizować wolumeny ruchu oraz wykorzystywać reguły monitoringu do identyfikowania warunków sieciowych wymagających uwagi.
Firewall pozostaje odpowiedzialny za egzekwowanie ruchu i security inspection, natomiast Sycope zapewnia długoterminowy widok analityczny komunikacji obserwowanej przez urządzenie.
Specyficzne dla Palo Alto Networks template’y NetFlow
PAN-OS obsługuje zarówno standardowe pola NetFlow, jak i enterprise-specific NetFlow templates.
Firewall wybiera odpowiedni template w zależności od takich cech jak ruch IPv4 lub IPv6 oraz to, czy wykorzystywany jest NAT. Templates są okresowo odświeżane, aby collector mógł poprawnie interpretować eksportowane rekordy.
PAN-OS może również uwzględniać specyficzne dla Palo Alto Networks typy pól w eksporcie NetFlow. Dokładne pola wykorzystywane we wdrożeniu Sycope powinny zostać zweryfikowane względem konfiguracji PAN-OS i danych wymaganych dla konkretnego use case’u monitoringowego.
Od sesji firewalla do historycznego kontekstu sieciowego
Rozważmy serwer, którego komunikacja przechodzi przez firewall Palo Alto Networks.
Firewall przetwarza ruch zgodnie z istniejącymi politykami routingu i bezpieczeństwa, jednocześnie eksportując rekordy NetFlow do Sycope.
Sycope przechowuje i analizuje komunikację w czasie.
Jeśli serwer później stanie się częścią analizy wydajnościowej lub bezpieczeństwa, zespół może przejrzeć w Sycope jego wcześniejszą aktywność sieciową, partnerów komunikacji, usługi i wolumeny ruchu.
Te same dane mogą być porównywane z ruchem zbieranym z innych exporterów, zapewniając szerszy obraz aktywności w całym środowisku.
Palo Alto Networks nadal kontroluje i analizuje ruch na granicy bezpieczeństwa, natomiast Sycope dostarcza historycznych danych sieciowych potrzebnych do zrozumienia sposobu komunikacji systemów objętych analizą.
Integracja Palo Alto Networks i Sycope
Eksport NetFlow z Palo Alto Networks zapewnia standardowy sposób wykorzystania istniejącej infrastruktury firewall jako źródła danych sieciowych dla Sycope.
Uzyskane flow data mogą być analizowane razem z danymi pochodzącymi z innych urządzeń sieciowych, zapewniając szerszą widoczność komunikacji, wydajności i zachowań związanych z bezpieczeństwem bez zmiany roli firewalla w środowisku.
Aby omówić wykorzystanie flow data z Palo Alto Networks w Sycope, skontaktuj się z naszym zespołem.
