CHƯƠNG 1: TỔNG QUAN VỀ GIÁM SÁT MẠNG 1. GIÁM SÁT MẠNG Giám sát mạng là quá trình quan sát liên tục theo dõi một mạng máy tính, phân tích xử lý các gói dữ liệu được truyền tải trên mạng máy tính, cung cấp thông tin về tình trạng hoạt động của mạng, thông báo cho các quản trị viên mạng khắc phục kịp thời nếu có sự cố xảy ra trong thời gian thực. Giám sát mạng là một việc quan trọng, cần thiết cho một hệ thống mạng duy trì tính toàn vẹn, giúp quản trị viên mạng quản lý mạng, theo dõi hiệu suất hoạt động, sử dụng băng thông của hệ thống, đảm bảo tính sẵn sàng, đưa ra cảnh báo phòng tránh thời gian ngừng hoạt động, xác định các mối đe dọa tiềm ẩn, kịp thời khắc phục các vấn đề khi xảy ra sự cố hoặc bị tấn công mạng. Việc giám sát có thể được thực hiện thủ công nhưng với một hệ thống có hàng chục, hàng trăm thiết bị mạng, ứng dụng, dịch vụ sẽ rất tốn công sức và thời gian, không mang lại hiệu quả.
Vì vậy người quản trị cần xây dựng một hệ thống giám sát mạng để thực hiện công việc giám sát một cách tự động và chủ động hơn. Hệ thống giám sát mạng (Network Mornitoring System) là hệ thống sử dụng các phần mềm giám sát mạng thực hiện công việc thu thập thông tin về tình trạng, hiệu suất của các thiết bị mạng trong hệ thống để phân tích và đưa ra các thông tin hỗ trợ cho người quản trị có cái nhìn tổng quan, chi tiết về môi trường mạng. Dựa trên những thông tin thu thập được, hệ thống phân tích và tổng hợp thành báo cáo, gửi cảnh báo tới người quản trị thông qua Email, SMS, … để kịp thời xử lý và đưa ra phương pháp an toàn cho hệ thống, giúp họ có được cái nhìn tổng thể về tình trạng, hiệu suất và các mối quan tâm tiềm ẩn của hệ thống mạng mà họ quản lý. LỢI ÍCH - Khả năng hiển thị: có bức tranh tổng quan, dễ hiểu về tất cả thiết bị, ứng dụng, dịch vụ trong hệ thống mạng chỉ trong nháy mắt, giúp nhận biết liệu có bất kỳ vấn đề nào đang xảy ra hoặc dự đoán vấn đề đó sẽ xảy ra để xử lý.
- Tự động hóa: tuy việc này cần sử dụng nhiều tài nguyên để nó tự động xử lý vấn đề nhưng thay vào đó chúng ta có thể dùng thời gian để xử lý các vấn đề đó dành cho các dự án khác giúp tạo ra giá trị cốt lõi khác cho tổ chức. - Cung cấp thông tin, cảnh báo sớm về nhu cầu bổ sung hoặc nâng cấp cho hệ thống hay các thành phần mạng nhất định. 9 - So sánh lưu lượng truy cập ở các giờ cao điểm trong ngày và trong mùa, xác định những đột biến về lưu lượng truy cập có thể xảy ra sự cố để phòng bị cho dù là do nhu cầu sử dụng hay do tấn công mạng. TẦM QUAN TRỌNG Trong doanh nghiệp, hệ thống mạng có vai trò rất quan trọng nên việc để xảy ra lỗi mạng hay vấn đề liên quan tới hệ thống sẽ ảnh hướng rất lớn đến doanh nghiệp, vì vậy giám sát mạng mang lại một số lợi ích rất quan trọng cho doanh nghiệp như: + Tiết kiệm thời gian, tiết kiệm chi phí: giảm thời gian ngừng hoạt động và tăng tốc độ khắc phục do hỗ trợ phân tích nguyên nhân của sự cố.
+ Phát hiện các vấn đề về hiệu suất trước khi chúng gây ảnh hưởng tới các hoạt động kinh doanh hoặc trải nghiệm của khách hàng. + Hỗ trợ nâng cao việc bảo mật bằng cách phát hiện các lưu lượng truy cập không mong muốn hoặc không xác định từ thiết bị mạng nào đó ở bên ngoài kết nối vào hệ thống, cũng như phát hiện việc sử dụng ứng dụng giả mạo do việc giám sát có thể xác định được những ứng dụng cần được theo dõi và xem người dùng đó đang làm gì, đó có thể là dấu hiệu của các cuộc tấn công mạng hay nỗ lực tống tiền. CÁC LOẠI GIÁM SÁT MẠNG - Network packet analyzers (Bộ phân tích gói mạng): kiểm tra dữ liệu trong mỗi gói di chuyển qua mạng và thông tin bên trong các gói có thể xác định xem chúng có được định tuyến chính xác hay không, liệu nhân viên có đang truy cập các trang web bị cấm hay dữ liệu nhạy cảm bao gồm personally identifiable information (PII) chẳng hạn như thông tin xã hội đang được lọc ra khỏi mạng. - Application and services monitoring (Giám sát ứng dụng và dịch vụ): tập trung vào hệ thống và các thiết bị cần thiết để duy trì tính toàn vẹn của mạng nhằm đảm bảo chúng đang hoạt động trong giới hạn bình thường cũng như cho biết ứng dụng nào đang được đơn vị nào trong doanh nghiệp sử dụng.
- Access Management monitoring (Giám sát quản lý truy cập): đảm bảo rằng những kẻ xâm nhập không được cấp quyền truy cập vào tài nguyên mạng, ví dụ nếu một nhân viên đăng nhập từ một địa chỉ IP ở nơi khác. Điều này có thể nhanh chóng phát hiện các lỗ hổng mạng và giúp khắc phục chúng cũng như phát hiện những kẻ xâm nhập trước khi chúng có thể gây hại. 10 - Bandwidth Monitoring (Giám sát băng thông): kiểm tra biến động bất thường của lưu lượng truy cập trong hệ thống mạng để tránh việc tắc nghẽn trì trệ và cũng có thể là do tấn công mạng. - Trap monitoring (Giám sát Trap): nhờ vào một giao thức cho phép giám sát này và một bộ thu/phát tạo ra các bẫy and/or để thu thập các thông báo khẩn cấp lưu thông qua mạng.
- Syslog monitoring (Giám sát nhật ký): để thu thập những thông tin, báo cáo tạo thành nhật ký để có thể so sánh tình trạng của hệ thống mạng theo thời gian qua từng giai đoạn. CÁCH THỨC HOẠT ĐỘNG Giám sát mạng được thực hiện bằng các phương pháp từ xa để từ một nơi có thể quét mạng và nhận thông tin của hệ thống mạng, có thể đơn giản xem nó đơn giản như việc các thiết bị mạng có phản hồi một lệnh đơn giản như ping, để xem chúng có được kết nối, bật hay được gọi là còn “sống” hay không. Không cần biết thành phần bị giám sát là máy chủ, router, … chỉ biết rằng ít nhất chúng vẫn ở đó và phản hồi lại, nếu ngừng phản hồi thì chắc chắn biết được chúng đã xảy ra gì đó với chúng. Có thể định kỳ làm việc đó 5 phút một lần (mặc định) hoặc điều chỉnh chu kỳ lên 1 phút - 1 tiếng 1 lần tùy vào mức độ quan trọng của thành phần muốn giám sát trong hệ thống ví dụ như các thiết bị mạng đầu cuối (pc, máy in, …) có thể cài nửa tiếng hoặc 1 tiếng nhưng những thiết bị quan trọng như router, core switch, server thì cần phải giám sát định kỳ nhiều hơn.
Đó là giám sát mạng và điều này không chỉ giám sát mỗi thiết bị mà còn mở rộng sang việc giám sát các ứng dụng, dịch vụ, … 11 CHƯƠNG 2: CÁC GIAO THỨC GIÁM SÁT MẠNG Giao thức là tập hợp các quy tắc phải tuân theo, giao thức mạng gồm các tiêu chuẩn và chính sách được tạo ra từ các quy tắc, quy trình và định dạng xác định sự giao tiếp giữa hai hay nhiều thiết bị. Các thiết bị không thể truyền dữ liệu mà không sử dụng các giao thức nên hệ thống giám sát mạng có các phần mềm giám sát sử dụng các giao thức giám sát như SNMP, sFlow, NetFlow,… vậy các giao thức ở đây là cách thức hoạt động trao đổi thông tin giữa máy giám sát và máy bị giám sát, các phần mềm giám sát mạng chỉ là công cụ diễn giải các thông tin dữ liệu ấy dưới dạng đồ thị để hỗ trợ việc quản lý các hoạt động mạng. GIỚI THIỆU SNMP (Simple Network Management Protocol), giao thức quản lý mạng đơn giản, là một giao thức quản lý được Hội đồng Kiến trúc Internet (IAB) xác định trong RFC1157 để trao đổi thông tin quản lý giữa các thiết bị mạng. Đây là một giao thức quản lý phổ biến được sử dụng rộng rãi vì nó miễn phí và có mã nguồn mở, hầu hết các thiết bị mạng đều được cài đặt SNMP.
SNMP là một giao thức lớp ứng dụng trong đó 1 manager có thể quản lý 1 tập hợp các agent, được thiết kế ở cấp độ ứng dụng có thể giám sát các thiết bị do các nhà sản xuất khác nhau sản xuất và được sử dụng trong một mạng không đồng nhất được tạo thành từ các mạng LAN và WAN khác nhau kết nối bởi router, switch, … Hình 2. Mô hình giao thức SNMP 12 2. CÁC THÀNH PHẦN SNMP Manager: Là bộ phận quản lý, thường là một máy tính sử dụng để vận hành một hay nhiều hệ thống quản lý mạng, có vai trò gửi các Request, nhận các Response và xác nhận các sự kiện không đồng bộ từ SMNP Agent. SMNP Agent: Các Agent thường được đóng gói trong các thiết bị mạng, cần kích hoạt và cấu hình để các Agent có thể giao tiếp, truyền thông tin cung cấp cho SNMP manager khi được truy vấn.
Chúng có vai trò thu thập, lưu trữ một cơ sở dữ liệu về thông tin, chỉ số hiệu suất hoạt động của thiết bị được gọi là Management Information Base (MIB), và chúng có thể chủ động báo các sự kiện (Trap) cho Manager. Management information base (MIB): Mỗi tác nhân có MIB riêng, là tập hợp tất cả các đối tượng mà Manager có thể quản lý. MIB được phân loại thành tám nhóm: hệ thống (system), giao diện (interface), dịch địa chỉ (address translation), ip, icmp, tcp, udp và egp. Structure of management information (SMI): là một thành phần được sử dụng trong quản lý mạng.
Chức năng chính của nó là xác định loại dữ liệu có thể được lưu trữ trong một đối tượng và chỉ ra cách mã hóa dữ liệu để truyền qua mạng. CÁCH THỨC HOẠT ĐỘNG Hình 2. Cách thức hoạt động của SNMP 13 Do có cấu trúc đơn giản giao thức SNMP có các lệnh cơ bản để trao đổi thông tin giữa Manager và Agent gồm: + Get: Manager gửi tin nhắn yêu cầu Get Request, Get-next Request để nhận thông tin từ Agent và sau khi nhận được request, Agent sẽ trả về tin nhắn Get Response chứa thông tin được yêu cầu hoặc thông báo lỗi giải thích không thể xử lý request. + Set: Manager yêu cầu thực hiện cài đặt hoặc thay đổi đối với thiết bị được quản lý, sau đó Agent gửi Set Response về thông báo thông tin đã được thay đổi hoặc lỗi giải thích tại sao không thể thực hiện thay đổi.