Integracja łączy te dwie perspektywy w obu kierunkach. Statystyki oraz informacje inventory zbierane przez Zabbix mogą być synchronizowane z Sycope i analizowane razem z ruchem sieciowym. Jednocześnie Sycope może przekazywać bezpośrednio do Zabbix informacje sieciowe, bezpieczeństwa, wydajnościowe oraz dotyczące assetów jako natywne monitoring items, triggers, wykresy i dashboardy.
Dzięki temu zespoły mogą korelować to, co dzieje się na monitorowanym hoście, z tym, co dzieje się wokół niego w sieci, zachowując jednocześnie procesy monitoringowe już zbudowane wokół obu systemów.
Spis treści
Od metryki Zabbix do kontekstu sieciowego
Monitoring infrastruktury często dostarcza pierwszego sygnału, że coś się zmieniło. Zabbix może pokazać wzrost wykorzystania CPU lub pamięci, packet loss, dłuższy response time albo pogorszenie wydajności aplikacji.
Dzięki integracji wybrane statystyki Zabbix mogą być synchronizowane z Sycope i prezentowane razem z network flow data dla tych samych systemów i przedziałów czasowych.
Pozwala to zespołom porównywać podczas analizy metryki infrastrukturalne z network latency, wolumenem ruchu oraz rzeczywistą komunikacją pomiędzy hostami. Zamiast traktować monitoring infrastruktury i monitoring sieci jako dwa oddzielne źródła informacji, oba mogą uczestniczyć w tej samej analizie.
Dane inventory z Zabbix również mogą być synchronizowane z Sycope, w tym takie informacje jak hostnames, szczegóły systemu operacyjnego, numery seryjne, notatki i URL-e. Zapewnia to dodatkowy kontekst podczas analizy ruchu związanego z konkretnym systemem.
Integracja rozszerza więc informacje z metryk hosta lub aplikacji o dane dotyczące warunków sieciowych i wzorców komunikacji wokół danego systemu.
Od network intelligence Sycope do workflow Zabbix
Integracja działa również w przeciwnym kierunku.
Sycope Monitoring Template for Zabbix pobiera wybrane informacje z Sycope poprzez REST API. Zapytania NQL są wykonywane dla poszczególnych monitorowanych hostów z wykorzystaniem ich adresów IP, a wyniki są zwracane do Zabbix jako standardowe dane monitoringowe.
Aktualny template obejmuje 33 monitoring items na host, związane z alertami bezpieczeństwa, wydajnością, network visibility, Asset Discovery oraz severity alertów.
Informacje te mogą być prezentowane w Zabbix Latest Data, na wykresach i dashboardach. Mogą być również oceniane przez konfigurowalne triggers i włączane do istniejącego workflow Zabbix Problems, acknowledgement i eskalacji.
Zespoły wykorzystujące Zabbix jako główne środowisko monitoringu operacyjnego mogą więc uwzględniać wybrane informacje sieciowe i bezpieczeństwa z Sycope bez tworzenia osobnego data pipeline i bez zmiany sposobu obsługi alertów infrastrukturalnych.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Zabbix i Sycope pozostają niezależnymi produktami. Integracja łączy ich dane, dzięki czemu każda platforma może nadal realizować zadania, do których została zaprojektowana.
Zabbix zapewnia:
- Monitoring infrastruktury, hostów i aplikacji
- Metryki wydajności systemów i usług
- Monitoring dostępności
- Active checks
- Triggers i problem management
- Ugruntowane workflow monitoringu i eskalacji
Sycope zapewnia:
- Analizę sieci opartą na flow data
- Widoczność komunikacji host-to-host
- Analizę wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Pasywne wykrywanie assetów i usług
- Mapowanie aplikacji i protokołów
- Historyczne dane o komunikacji sieciowej
Zabbix dostarcza szczegółowych informacji o stanie monitorowanych systemów. Sycope dodaje aktywność sieciową związaną z tymi systemami i umożliwia analizę ich komunikacji, wydajności oraz kontekstu bezpieczeństwa.
Dlaczego monitoring infrastruktury i network visibility lepiej działają razem
Metryki infrastrukturalne opisują stan systemu, ale nie zawsze wyjaśniają, co dzieje się w komunikacji wokół niego. Network flow data stanowią dodatkowe źródło informacji, które można korelować z metrykami już zbieranymi przez Zabbix.
Kontekst wydajności wykraczający poza metryki hosta
Pogorszenie wydajności widoczne w Zabbix można porównać z zachowaniem sieci zarejestrowanym przez Sycope w tym samym okresie.
Przykładowo wzrost response time aplikacji można analizować razem z network latency, packet loss, wolumenem ruchu i wzorcami komunikacji związanymi z danym hostem. Zapewnia to więcej kontekstu przy ustalaniu, czy problem jest związany z aplikacją, systemem bazowym, komunikacją sieciową czy kilkoma elementami jednocześnie.
To samo podejście można zastosować podczas analizy problemów występujących okresowo. Historyczne dane sieciowe w Sycope mogą dostarczyć informacji o komunikacji, która miała miejsce w czasie, gdy Zabbix zarejestrował zmianę wydajności.
Pasywna widoczność aktywnych usług
Sycope obserwuje komunikację sieciową i może identyfikować usługi TCP, które aktywnie przyjmują połączenia. Informacje te mogą być udostępniane bezpośrednio w Zabbix, w tym liczba zaobserwowanych usług, aktywne porty TCP oraz powiązane aplikacje.
Ponieważ informacje pochodzą z ruchu już widocznego dla Sycope, ich uzyskanie nie wymaga dodatkowego port scanu.
Zapewnia to dodatkowy sposób weryfikacji, które usługi są rzeczywiście aktywne na monitorowanym systemie, i może pomóc zespołom zidentyfikować usługi, które również powinny zostać objęte aktywnym monitoringiem Zabbix.
Weryfikacja rzeczywistej komunikacji sieciowej
Integracja może dostarczać do Zabbix informacje o połączeniach związanych z monitorowanym hostem, w tym o komunikacji z adresami publicznymi i prywatnymi oraz o połączeniach, w których system występuje jako client lub server.
Pozwala to porównywać zaobserwowane zachowanie sieciowe z oczekiwaną rolą systemu.
Serwer, który powinien komunikować się wyłącznie w sieciach wewnętrznych, może zostać sprawdzony pod kątem połączeń z adresami publicznymi. Komunikację pomiędzy segmentami sieci można zweryfikować względem oczekiwanych polityk segmentacji, a nowe lub nieoczekiwane destinations mogą stanowić podstawę do dalszej analizy.
Efektem jest dodatkowa warstwa weryfikacji oparta na ruchu, który rzeczywiście wystąpił, a nie wyłącznie na konfiguracji lub dokumentacji.
Kontekst bezpieczeństwa w istniejącym procesie monitoringu
Alerty bezpieczeństwa Sycope mogą być również prezentowane w Zabbix i przetwarzane przy użyciu jego standardowych mechanizmów monitoringu.
Template zawiera informacje związane z takimi zachowaniami sieciowymi jak horizontal i vertical scanning, initial connections from public IP addresses, nietypowa aktywność flag TCP oraz wysoki network latency po stronie client lub server.
Zabbix może wyświetlać aktywne alerty Sycope wraz z ich severity i wykorzystywać konfigurowalne thresholds do generowania problems.
Pozwala to włączyć wybrane sygnały bezpieczeństwa sieciowego do workflow monitoringu już używanego przez zespoły operacyjne, podczas gdy Sycope nadal odpowiada za bazową analizę sieci i detekcję.
Gotowa i udokumentowana integracja
Integracja Sycope–Zabbix jest dostępna w publicznym repozytorium GitHub Sycope i obejmuje komponenty dla obu kierunków wymiany danych.
Dla synchronizacji Zabbix → Sycope repozytorium udostępnia skrypty Python służące do zbierania statystyk i informacji inventory, wraz z plikami konfiguracyjnymi i komponentami wykorzystywanymi do utworzenia wymaganego custom indexu oraz Lookup w Sycope.
Dostępne są gotowe dashboardy do prezentowania statystyk Zabbix i informacji inventory wewnątrz Sycope. Można również importować custom fields oraz drilldown actions, które dostarczają dodatkowego kontekstu i ułatwiają nawigację podczas analizy.
Dla przeciwnego kierunku repozytorium zawiera Sycope Monitoring Template for Zabbix, external check script, predefiniowane monitoring items, triggers, wykresy oraz multi-host dashboard.
Komponenty mogą zostać wykorzystane jako punkt wyjścia i dostosowane do wymagań monitoringowych konkretnego środowiska.
Jak działa integracja
Integracja składa się z czterech głównych elementów.
1. Synchronizacja statystyk
Skrypt synchronizacyjny oparty na Pythonie łączy się z Zabbix API i pobiera wybrane metryki monitoringowe dla zdefiniowanych systemów.
Metryki takie jak CPU load, ICMP response time, wykorzystanie pamięci i packet loss są synchronizowane względem timestampu. Skrypt porównuje pobrane informacje z danymi już dostępnymi w custom indexie Sycope, aby uniknąć zapisywania zduplikowanych próbek, a następnie zapisuje nowe dane do dalszej analizy i wizualizacji.
2. Synchronizacja inventory
Oddzielny skrypt pobiera z Zabbix informacje inventory, w tym hostnames, wersje systemów operacyjnych, numery seryjne, notatki i URL-e.
Nowe lub zmienione informacje są zapisywane w dedykowanym Sycope Lookup, gdzie mogą być wykorzystywane jako dodatkowy kontekst dla monitorowanych systemów i komunikacji sieciowej.
3. Sycope Monitoring Template for Zabbix
W kierunku Sycope → Zabbix external check script komunikuje się bezpośrednio z Sycope REST API.
Dla każdego monitorowanego hosta integracja wykorzystuje zapytania NQL filtrowane według adresu IP hosta, aby pobrać odpowiednie informacje dotyczące sieci, wydajności, bezpieczeństwa i assetów.
Wyniki są zwracane do Zabbix i przetwarzane jako natywne monitoring items. Konfigurowalne triggers mogą następnie oceniać te informacje przy użyciu tych samych mechanizmów, które są stosowane dla innych danych monitoringowych Zabbix.
4. Dashboardy, wykresy i drilldowns
Obie platformy mogą prezentować informacje otrzymane poprzez integrację w swoich istniejących interfejsach.
Zabbix może wyświetlać informacje Sycope poprzez monitoring items, wykresy, triggers i dashboardy, podczas gdy Sycope może prezentować zsynchronizowane statystyki Zabbix oraz dane inventory obok ruchu sieciowego.
Repozytorium udostępnia również drilldown actions i custom fields, które mogą być wykorzystywane do łączenia istotnych informacji podczas analizy.
Analiza obejmująca dane hosta i sieci
Rozważmy aplikację, której wydajność zaczyna się pogarszać.
Zabbix rejestruje zmiany w metrykach monitorowanego hosta lub aplikacji i dostarcza operacyjny symptom, od którego rozpoczyna się analiza. Odpowiadające im statystyki zsynchronizowane z Sycope mogą następnie zostać przeanalizowane w tym samym przedziale czasowym co ruch sieciowy dotyczący danego systemu.
Zespół może przeanalizować komunikację z zależnymi usługami, network latency, wolumeny ruchu oraz inne informacje oparte na flow data, aby ustalić, czy zachowanie sieci zmieniło się w tym samym czasie co metryka aplikacyjna.
Jeśli analiza zaczyna się od strony sieciowej, ta sama zależność działa w przeciwnym kierunku. Sycope może wykryć nietypową komunikację, scanning pattern, zwiększony network latency lub nieoczekiwane połączenie związane z monitorowanym serwerem. Wybrane informacje o tej aktywności mogą pojawić się bezpośrednio w Zabbix, gdzie można je ocenić razem z metrykami hosta i istniejącymi alertami operacyjnymi.
Obie platformy zapewniają więc różne perspektywy tego samego środowiska, bez konieczności zastępowania jednej przez drugą.
Rozszerzenie istniejącego monitoringu o kontekst sieciowy
Integracja Sycope–Zabbix łączy monitoring infrastruktury z komunikacją zachodzącą pomiędzy monitorowanymi systemami.
Statystyki Zabbix i dane inventory zyskują dodatkową wartość, gdy mogą być korelowane z ruchem sieciowym w Sycope. Network visibility, informacje dotyczące wydajności, pasywne wykrywanie usług oraz alerty bezpieczeństwa z Sycope mogą z kolei stać się częścią standardowego workflow monitoringu Zabbix.
Efektem jest szerszy kontekst dla troubleshooting, analizy wydajności, monitoringu infrastruktury i analiz bezpieczeństwa, wykorzystujący dane już zbierane przez obie platformy.
Chcesz zobaczyć, jak integracja Sycope–Zabbix może działać w Twoim środowisku? Umów rozmowę z naszym zespołem.
