{"id":2725,"date":"2017-07-07T14:17:10","date_gmt":"2017-07-07T18:17:10","guid":{"rendered":"http:\/\/arielantigua.com\/weblog\/?p=2725"},"modified":"2017-07-07T14:17:10","modified_gmt":"2017-07-07T18:17:10","slug":"analizando-trafico-con-netflow-pmacct-flowanalyzer","status":"publish","type":"post","link":"https:\/\/arielantigua.com\/weblog\/2017\/07\/analizando-trafico-con-netflow-pmacct-flowanalyzer\/","title":{"rendered":"Analizando tr\u00e1fico con Netflow \u2013 pmacct \u2013 flowAnalyzer."},"content":{"rendered":"

<\/p>\n

Adem\u00e1s de usar LibreNMS <\/a>en aaNetworks<\/a>, desde hace tiempo ten\u00eda la idea de usar NetFlow [https:\/\/en.wikipedia.org\/wiki\/NetFlow<\/a>], esta configuraci\u00f3n est\u00e1 al borde de OverKill en un home network, pero qu\u00e9 m\u00e1s da!<\/p>\n

\u00a0Flow Exporter<\/strong>: por el momento cuento con cinco equipos que cumplen con esta tarea, lo exportadores o probe como son mejor conocidos son los encargados de agregar los paquetes en flows y exportarlos al equipo central el cual se usara para hacer visualizaci\u00f3n de la informaci\u00f3n exportada.<\/p>\n

Equipos cumpliendo esta tarea son:<\/p>\n

zapp<\/strong> \u2013 Mikrotik RB493AH<\/em>: RouterOS tiene la funcionalidad de capturar paquetes y enviarlos como flow ya sean v5, v9 o IPFIX, en mi caso est\u00e1 configurado para v9.<\/p>\n

 <\/p>\n

elzar<\/strong> \u2013 Ubuntu 17.04.<\/p>\n

vul<\/strong> \u2013 Debian Jessie.<\/p>\n

leela<\/strong> \u2013 Debian Stretch.<\/p>\n

fry<\/strong> \u2013 Debian Stretch.<\/p>\n

En el caso de Debian, existen varias opciones para tener la funcionalidad de PROBE, algunas son directamente en el kernel otras son aplicaciones que usan libcap, en mi caso me decid\u00ed por una aplicaci\u00f3n llamada pmacct <\/a>(ni idea como se pronuncia) la cual cuenta con un PROBE y muchas otras funcionalidades que en una entrada futura hablare de ellas.<\/p>\n

Flow Collector<\/strong>: esta es la plataforma\/aplicaci\u00f3n responsable de recibir los flows que fueron generados en los PROBE, esta es la parte dif\u00edcil, muchas de estas plataformas\/aplicaciones son de pago. La raz\u00f3n, sencilla, los PROBE ya vienen en los routers asi que solo faltar\u00eda el Collector y dependiendo de la calidad del software que se use para colectar se ver\u00e1n los beneficios de tener NetFlow.<\/p>\n

En mi caso he implementado una aplicaci\u00f3n no tan conocida, tope con ella en un sub-reddit. flowAnalyzer <\/a>es una combinaci\u00f3n de varias aplicaciones las cuales forman el Colector y la aplicaci\u00f3n de An\u00e1lisis. Esta plataforma est\u00e1 basada en ELK, esta es la ventaja, luego que tenemos informaci\u00f3n generada en los probe importadas en un index de Kibana, podemos generar cualquier tipo de gr\u00e1ficos con informaci\u00f3n importada en el index.<\/p>\n

En el caso de flowAnalyzer<\/a>, los colectores son el producto del creador de la plataforma, estos colectores fueron desarrollados espec\u00edficamente para esta tarea usando Python como lenguaje.<\/p>\n

<\/a><\/p>\n

En esta tabla se pueden apreciar las versiones de flow soportadas y sus respectivos puertos.<\/p>\n

 <\/p>\n

Discover<\/strong>: esta es una secci\u00f3n t\u00edpica de Kibana, aqu\u00ed podemos ver casi en real-time todo lo que fue indexado y procesado por ElasticSearch y Kibana. Partiendo de este punto crearemos visualizaciones para luego crear dashboards.<\/p>\n

<\/a><\/p>\n

La siguiente captura muestra todo el tr\u00e1fico relacionado a la categor\u00eda Web que ha pasado por Vul.<\/p>\n

<\/a><\/p>\n

 <\/p>\n","protected":false},"excerpt":{"rendered":"

Adem\u00e1s de usar LibreNMS en aaNetworks, desde hace tiempo ten\u00eda la idea de usar NetFlow [https:\/\/en.wikipedia.org\/wiki\/NetFlow], esta configuraci\u00f3n est\u00e1 al borde de OverKill en un home network, pero qu\u00e9 m\u00e1s da! \u00a0Flow Exporter: por el momento cuento con cinco equipos que cumplen con esta tarea, lo exportadores o probe como son mejor conocidos son los […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[24,33,34],"tags":[],"class_list":["post-2725","post","type-post","status-publish","format-standard","hentry","category-debian","category-ipv6","category-networking"],"_links":{"self":[{"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/posts\/2725","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/comments?post=2725"}],"version-history":[{"count":0,"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/posts\/2725\/revisions"}],"wp:attachment":[{"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/media?parent=2725"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/categories?post=2725"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/arielantigua.com\/weblog\/wp-json\/wp\/v2\/tags?post=2725"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}