Service Analyzer

Механизм помогает в первоначальной настройке защиты за счет выявления сервисов в защищаемой сети на основе загруженного дампа. На текущий момент любой загруженный дамп воспринимается механизмом как дамп входящего трафика из внешней сети.

В поле Five tuple threshold задается количество повторений уникального 5-tuple в дампе. Если число повторений меньше установленного лимита, то такой 5-tuple не попадет в отчет.

Для данного механизма можно активировать следующие чекбоксы:

  • Advanced report — для разделов “Used IP addresses in protected network” и “Services in protected network”. В соответствующих секциях отчета отображается более детальная статистика;
  • Aggregated statistics by protocol — добавить в секцию отчета “Services in protected network” раздел “Proto stat”;
  • Advanced report for general statistics — в разделе “General stat” отображается более детальная статистика;
  • Advanced report for external connections — в разделе “SYN+ACK external connections in protected network” отображается более детальная статистика.

Выдача во всех секциях отчета может быть отсортирована по убыванию:

  • количества пакетов;
  • количества байт;
  • скорости в пакетах в секунду;
  • скорости в битах в секунду;
  • времени захвата пакета.

По умолчанию сортировка выполняется по убыванию количества пакетов.

Отчет

Отчет состоит из секций:

  • Total;

    • Packets total — всего пакетов в PCAP-файле;
    • File — название анализируемого PCAP;
    • Capture begin — дата и время начала захвата;
    • Capture end — дата и время окончания захвата;
    • Capture duration — продолжительность захвата.
  • IPs in protected network;

    В секции приводится список уникальных IP-адресов получателя из дампа. По каждому IP-адресу строится следующая статистика:

    • количество пакетов на IP-адрес;
    • процент пакетов на IP-адрес к общему количеству пакетов в дампе;
    • суммарный объем пакетов на IP-адрес в байтах;
    • средняя скорость поступления пакетов на IP-адрес в пакетах в секунду;
    • средняя скорость поступления пакетов на IP-адрес в битах в секунду.

    Если установлен чекбокс “Advanced report”, то в раздел добавляется аналогичная статистика по каждому уникальному IP-адресу отправителя в сторону каждого IP-адреса получателя.

  • Services in protected network;

    В секции приводится список уникальных сочетаний IP-адрес получателя + порт получателя из дампа. По каждому сочетанию отображаются следующие данные:

    • IP-адрес;
    • порт;
    • протокол;
    • количество пакетов на IP-адрес получателя + порт получателя;
    • процент пакетов на IP-адрес получателя + порт получателя к общему количеству пакетов в дампе;
    • суммарный объем пакетов на IP-адрес получателя + порт получателя в байтах;
    • средняя скорость поступления пакетов на IP-адрес получателя + порт получателя в пакетах в секунду;
    • средняя скорость поступления пакетов на IP-адрес получателя + порт получателя в битах в секунду.

    Если установлен чекбокс “Advanced report”, то данные выдаются по каждому уникальному 5-tuple сочетанию (IP-адрес отправителя, порт отправителя, IP-адрес получателя, порт получателя, протокол).

    В разделе “Aggregated services” данные группируются по IP-адресу получателя. Приводится диапазон портов, на которые для каждого IP-адреса получателя поступали пакеты и количество портов в диапазоне.

    Если установлен чекбокс “Aggregated statistics by protocol”, то добавляется раздел “Proto stat”, в котором отображается распределение пакетов из дампа по протоколам транспортного уровня.

  • External connections in protected network;

    В секции приводится список уникальных внешних ресурсов, к которым обращались из защищаемой сети. Во всех разделах секции приводятся данные по уникальным src-эндпойнтам:

    • IP-адрес;
    • порт;
    • протокол;
    • количество пакетов от эндпойнта;
    • процент пакетов от эндпойнта к общему количеству пакетов в дампе;
    • суммарный объем пакетов от эндпойнта в байтах;
    • средняя скорость поступления пакетов от эндпойнта в пакетах в секунду;
    • средняя скорость поступления пакетов от эндпойнта в битах в секунду.
  • Раздел “General stat”;

    Сырые данные по всем src-эндпойнтам, обнаруженным в PCAP-файле.

    Если установлен чекбокс “Advanced report for general statistics”, то отображается расширенная статистика по уникальным 5-tuple.

  • Раздел “SYN+ACK external connections in protected network”;

    Список сессий, установленных с защищаемыми сервисами, учитывается SYN+ACK пакет, полученный в ответ на SYN защищаемого сервиса и остальные пакеты с тем же tuple.

  • Раздел “Src IP + src port –> many dst ports”.

    Список уникальных сочетаний IP-адреса и порта отправителя, обращающихся ко многим портам получателя.

    Если установлен чекбокс “Advanced report for external connections”, то отображается расширенная статистика по уникальным 5-tuple.