0:00:15a já bych hnedka navázal představení pro koho pracuji chtěl bych vám představit se organizaci
0:00:21cesnet která vlasně je poskytovatelem konektivity pro akademickou sféru české republice to znamená pro vysoké
0:00:29školy nemocnice státní správu některou státní správu teda
0:00:34akademii věta a podobné instituce
0:00:36a
0:00:37prostory vykládám je to že ta síť je poměrně komplexní jak vidíte tady zhruba na
0:00:43plánku
0:00:44který je užší tak jako tak zastaralý to znamená tím jak tam bude ještě víc
0:00:48a ty rychlosti které jsou tam uvedeny budou ještě daleko vyšší to znamená dnešní době
0:00:52už se budem pohybovat někdy kolem sto gigabytů když budu hovořit o některých propojí třeba
0:00:57v rámci praha brno a podobné věci
0:01:00vidíme i tady externí konektivitu k zahraničním je dingovým uzlům na dalším vlastně podobným organizacím
0:01:08jako je cesnet
0:01:10to a vlastně proč potřebujeme měřit síťové taky je ve je to že s tou
0:01:16komplexní infrastrukturou g provozujeme a komplexním provozem který na této infrastruktuře provozujeme protože samozřejmě ta
0:01:24sítě dedikovaná nějakému výzkumu
0:01:27je tam potřeba řešit s kdyby nějaké rastrové počítání úložiště a podobné věci a tohle
0:01:35sou všechno služby které musí být dostupné dvacet čtyři hodin denně
0:01:40a tedy je potřeba prosím nějakým způsobem monitorovat takže to je jakýsi mít můj background
0:01:46zcela a nyní bych chtěl push přejít k tomu samotnému monitorování nejprve bych tedy eště
0:01:54si předhodil tak nějak motivaci proč potřebujeme monitorovat obecně
0:02:00protože bez měření vlastně desíti nevíme co se na vesnici děje jak se to tam
0:02:05děje co to způsobuje a kde se to že když dám příklad nejhorší asi noční
0:02:10můrou nějakého administrátora je že nějaká babička prostě překlepneš poli kabel a potom je jaksi
0:02:18bezradný a nemůže poskytovat
0:02:20to připojení svým uživatelům kteří samozřejmě sou taky jako dost bezradní a útočí na toho
0:02:25administrátora
0:02:27to znamená
0:02:28on potřebuje vědět že se něco stalo pak nejenom že by lepí sorry no internet
0:02:34tudle ale nebude vědět i jak to vyřešit
0:02:38to znamená
0:02:39jí kde se to stalo uvidí třeba nějaký právě díky tomu měření uvidí nějaký výpadek
0:02:46v nějaké časové řadě a bude vědět že tohle třeba je na nějaké konkrétní lince
0:02:51a tím pádem že tam není konektivita no a samozřejmě bude vědět kde se to
0:02:55děje to znamená neskončí tak což se opravdu děje
0:02:59že dne dnes ti administrátoři ve stavu měření musí chodit do té serverovny a postupně
0:03:05tam takle vytahovat kabely aby zjistili že například nějaký server tam generuje obrovské množství nějakého
0:03:13balastu nějakého provozu ladiným zahltilo vlastně celou síť jo tak oni potom vytáhnu konečně ten
0:03:18kabel
0:03:19os toho serveru a zjistí jo dobrý tak teďka už je to dobrý a může
0:03:22mít dál takže tohle je důvod proč vlastně dělat to měření toků
0:03:27jo tak sumarizuje i měření toků poskytuje informace pro správu sítě a síťových služeb které
0:03:34běží na té síti dohledávání problémů a incidentu znamená když je tam nějaký u to
0:03:39tak se na ni potom posléze můžu podívat jak probíhal co mi to způsobilo koho
0:03:43dalšího to ovlivnilo
0:03:44plánování rozšíření té sítě znamená vidím že mi dochází nějaká kapacita té linky tak si
0:03:50na plánu nějaké rozšíření optimalizace například směrování to znamená když mám nějaké dohody s různými
0:03:58další mysim těmi a jedna sim tě pro mě levnější než druhá tak většinou provozu
0:04:02se tam budu snažit před auto what
0:04:04samozřejmě do té doby dokud to půjde
0:04:07a co to samotné měření toku obnáší je že musíme z agregovaně jaké informace ze
0:04:12záhlaví několika paketů
0:04:15jednoho toku to znamená máme nějakou množinu paketů ten ta tvoří to já zakrňuju informaci
0:04:21ze záhlaví a to mi potom dává záznam o tom toku
0:04:25a ty záznamy se snažím uchovávat pro pozdější právě řešený incidentu a zároveň se je
0:04:30snažím nějakým způsobem analyzovat
0:04:34abych třeba předcházel tím problému nebo je zjistil včas
0:04:38tato zaměření tento prezentace nebo vlastně celého toho open a mě přišlo že teda vlastně
0:04:46této sekce je bezpečnost a soukromý takže jsem si sem nadhodil je takový slajd potom
0:04:52soukromý takže mohli byste říct že jako narušuje to soukromý
0:04:56asi bych sám je částečně souhlasil ale jenom
0:04:59nuceně
0:05:00tak aby ten administrátor měl možnost řešit i problémy cena té sítě vyskytují to znamená
0:05:05je tam nějaký řekněme s princip proporci elity
0:05:11když to přirovnám například poště to znamená máme tedy nějaké obálky tak pokud měříme toky
0:05:17tak se díváme pouze na adresu třeba příjemce adresou dle odesilatele
0:05:21a nedíváme se do obsahu
0:05:23naproti tomu kdybych potom provozoval nějakou neměl to měření toku a musel tam zkus nějaký
0:05:29tcp dám
0:05:30tak zásadně ten administrátor se potom může dívat i do toho samotného obsahu a tu
0:05:35obal může defakto otevřít takže dá se říci že to měření toků je s tohodle
0:05:40pohledu zachovávání soukromý daleko přívětivý všimneš jakékoliv jiné metody
0:05:45nyní bych přešel a konkrétně co to přesně znamená to měření síťového toku
0:05:51představme si že máme
0:05:53dvě oddělené sítě aha
0:05:55tu linku mezi těmi sítěmi já mohu monitorovat nějakou sondou nebo tam mám router který
0:06:00je schopen změřit toky
0:06:02tak jak takový to vypadá
0:06:03znamená máme nějaký počítač
0:06:06který se který vygeneruje za tu dobu požadavek na nějaký dobových server vzdálený
0:06:12aha
0:06:13ty pakety toho požadavku tečou přes tu linku kterou já monitoruj
0:06:18to znamená já si vezmu
0:06:19potom zdrojovou víte adresu a cílovou víte adresu těch paketů zdrojové porty a cílové porty
0:06:24těch paketů a čísla protokolu
0:06:27uvidíme tady
0:06:30a
0:06:30k těmto k tomuto identifikátoru složenému
0:06:34potom měří
0:06:35a kolik paketů se přeneslo kolik bajtů kdy ten tom začal když skončil jaké tam
0:06:42byli v průběhu to nastavené tcp příznaky a podobné statistiky
0:06:46to samé potom foukačem směru to znamená
0:06:50ten webový server nějakým způsobem odpovídá to generuje pakety a já se snažím z agregovat
0:06:55tu informaci o těch paketech zase kolik jich bylo vtom opačném směru jaké příznaky byly
0:07:00nastaveny
0:07:03ta samotná architektura potom předpokládá že to měření síťových toku je potřeba dělat na různých
0:07:08místech té síti
0:07:10to znamená těch síťových sond tam může být obecním no to známe jakýsi máme nějaký
0:07:15síťový provoz
0:07:16a je síťový provoz může být mě že měřena když třeba datovém centru nebo na
0:07:21nějakém místě v lokální síti nebo při připojení té lokální sítě do plán sítě znamená
0:07:30těch sto může být no a ty sondy potom vlastně sbírají ten síťový provoz
0:07:36agregují ho generují ty záznamy o těch tocích jak ste viděli na předchozím slajdu a
0:07:41exportují je na nějaké centrální místo kterému říkáme kolektor
0:07:46ten export se děje pomocí nějakých standardizovaných protokolů a kdo že to net flow nebo
0:07:51ip fix
0:07:53no a potom na tom kolektoru se ta data uchovávají
0:07:57a zároveň je vlastně nějakým způsobem analyzují
0:08:01administrátor potom se na ta data může dotazovat to znamená dole dávat co se tam
0:08:06stalo nebo si může před připravit nějaké reporty a
0:08:10je pravidelně informovat o tom co se tam děje
0:08:13a zároveň ta může probíhat nějaká behaviorální analýza toho provozu to znamená na základě těch
0:08:19statistik jsme schopni odhalit třeba že někdo skenuje tu síť znamená mohou tomu administrátorovi mít
0:08:25reportování incidenty o tom že tam probíhal třeba nějakým to
0:08:30typicky potom ten administrátor když třeba něco tohle dává tak tam má nějakou takovou časovou
0:08:35řadu jak tam vidíte na té vizualizaci a potom pokud jsem tam třeba zdá že
0:08:40tam nějaká špička nebo naopak tam něco chybí tak si na to může kliknout zaměřit
0:08:46se na to dané časové období
0:08:48a právě se dotazovat hlouběji a hlouběji do těch
0:08:51záznam
0:08:56pak ještě bych se krát se vrátila k protokolům které se používají pro export těch
0:09:01záznamů s těch sond to znamená nejčastěji máme nasazeny ne flow ve pět netlu ve
0:09:06devět a ip fixed přestože tedy existuje ještě i na jiné verze protokolů
0:09:12heslo tady už vůbec nezmiňuji
0:09:14poďme se podívat do historie metlou vlasně nevzniklo nebo samotný ten export ty záznamu nevznikl
0:09:21takže by tady byl byla potřeba sledovat tu síť ale vznikl takže firma cit skoro
0:09:28vlastně ve svých směrovačích urychloval a směrování ták
0:09:33že
0:09:34když přišel první paket daného toku tak pro ní založila pravidlo v nějaké takzvané flow
0:09:39keši znamená vona měla ty identifikátory akty majden strká true mu řekla směruj veškerý provoz
0:09:47který odpovídá těmto identifikátoru na interfejs pět prostě jo a díky tomu uši další pakety
0:09:53toho daného toku bylo velmi jednoduché směrovat push nemuseli je skrz nějakou směrovací tabulku ale
0:09:59vlastně to je už jenom takové běžné přeposílaní
0:10:02a takže pak zjistili ale že vlastně kdyby si exportovat i záznamy ste směrovací tabulky
0:10:09tak by mohli dělat tak by to mohli různě využívat máte nějakou vypovídací hodnotu má
0:10:14tím pádem oni si řekli tak jo tak tady uděláme nějaký ne flow protokol a
0:10:18budem ty pakety teda ty záznamy
0:10:22o těch tocích exportovat na nějaký ten kolektor
0:10:25znamená tolik co se týče historie historicky tedy nejpopulárnější já prosím nejjednodušší pro protokoly ne
0:10:33flow ve pět dá se velmi jednoduše zpracovávat je to vlasně ty sondy chrlí udp
0:10:39pakety rámci toho udp paketu vlasy máme nějakou ne flow hlavičku tam vidíte vpravo
0:10:45která akorát říká nějakou timestamp ú a kolik tam máme záznamů mapa kuš vlastně sou
0:10:53tam samotné záznamy za naskládány za sebou a ty záznamy jsou velmi jednoduché to znamená
0:10:58jsou fixní mají fixní strukturu zdrojového a obsahují zdrojovou cílovou víte adresu počet paketů bajtů
0:11:07kdekoli bylo přeneseno přes ten to začátek toho toku konec toho toků
0:11:11a
0:11:12to zbytek si můžete přečíst takže velmi jednoduché no ale zjistilo se že to uplně
0:11:16nestačí protože
0:11:17třeba při dip ve šest a najednou push místo identifikátoru víte ve čtyři adresa mám
0:11:23vidíte ve šest adresa která je sto dvacet jestli by to vás zná už nemůžu
0:11:26mít nějakej fixní záznam
0:11:29takže nastoupil netlu ve verze devět a ip fit a tyto protokoly uši umožňují si
0:11:36ty záznamy definovat nějakou šablonu
0:11:38to znamená na té soudě
0:11:40vznikají šablony pro vo různé typy toků
0:11:44a takže pro udp to budu mít jinýho šablon š pro tcp to projít ve
0:11:49čtyři to budu nic jinou šablonu nešpor některé šest to a samozřejmě kombinace s na
0:11:54tebe štyři tcp udp ve šestý si ty líbí a podobné věci
0:11:58no
0:11:58a tyto šablony se pravidelně posílají protože víme že software neběží většinou pořád a občas
0:12:04pane to znamená jednou za čas je potřeba třeba takhle to restartovat tak aby měla
0:12:09aktuální šablony tak se tam pravidelně posílají
0:12:13je praha je může se tam definovat ve velkém množství šablonu vlastně v rámci těchto
0:12:18protokolů aby záznamy když přídou na ten kolektor tak se vlastně odkážu na tu šablonu
0:12:24a ten kolektor tím pádem ví co ten záznam obsahuje
0:12:30tak a teďka už bych přešel k té části a k čemu to teda je
0:12:35to znamená máme v rámci sítě různé vlasy dedikované části té sítě to znamená méně
0:12:42jaké datové centrum
0:12:44tam si budu snažit se hlídat že mi běží ty služby dětem službu službám se
0:12:49nepřipojí velké množství třeba uživatelů
0:12:52že na ně nikdo neútočí že ty služby odpovídají že odpovídají v rámci nějakého stanoveného
0:12:58intervalu to znamená že tam je nějaká příliš velká latence
0:13:02jo můžu se to dávat do toho na mého kolektoru zároveň pokuď provozuje nějakou kampus
0:13:07síť tak se tam budu snažit ochránit nějaké ty nějakým způsobem ty uživatele a zároveň
0:13:11třeba abych se nestal i samotným zdrojem toho útoku to znamená tam budu míň nějaké
0:13:16sqrt flow strana záznamy které budu používat pro o bezpečnost
0:13:22v rámci nějaké v rámci isp nejenom že to budu používat proto abych třeba optimalizovala
0:13:28to konektivitu ale mohu to používat opět v dnešní době pro bezpečnost a to je
0:13:33například pro ochranu před velkými jednalo se bys útoky budu tady mít jo true nějakou
0:13:38video ukázku pro jsem si připravil
0:13:41no a to využití je poměrně široké já jsem se to tady snažil sumarizovat
0:13:46na nějakém slajdu určitě to není všechno ale poďme bot podvodu to projít a pak
0:13:51vypíchnou ještě na jedno využití které tady mám
0:13:55takže znalost provozována síti a co se stane když to znamená řekněme že já jsem
0:14:01administrátor a zdá se mi že nějaká ní padesá zlobí a co se stane když
0:14:06i oříznu
0:14:07tak vlastně
0:14:09pokuď vlastně nemám to net flow tak já nevím co za služby třeba ta dívka
0:14:13adresa poskytoval poskytovala to znamená když nemám tu síť kompletně pod kontrolou
0:14:19jo a nevím co se tam děje
0:14:21tady prostě zakázat bučí nemůžu protože bych tím ostřihnout celý nějaké jako kritické služby
0:14:28a nebo když to necloumám tak vím že které služby minimálně odstřihli
0:14:33sledování analýzy aplikací to znamená že mi ta aplikace běží že odpovídá nějaký dodaný zadaný
0:14:42interval a podobné věci že na ni nikdo neútočí
0:14:45zvýšení bezpečnosti sítě detekce vnitřních a vnějších dokud znamená budu se jenom snažit ochránit tu
0:14:52síť před vnějšími útoky ale i budu se snažit dnes tace útokem například skenerem protože
0:14:58v okamžiku kdy se moje síť stane jenom jeden klient začne splňovat tak kde je
0:15:04dost možné
0:15:05že vlastně vtom gray listů vtom black listu který se potom používá pro o vlastně
0:15:11nějaký s dns black listy pro sraní s spam ulicích
0:15:19si tejden tu tak vlastně se objeví celá ta moje podsít a nikdo už si
0:15:24ode mě ten ímejl nepošle
0:15:26a samozřejmě odhalení nesprávný konfigurací to znamená
0:15:30jo že na tom routeru mám to routování správně nastaveno že jeden interfejs není vytěžovat
0:15:35víc než druhý dohledávání incidentů
0:15:40můžem se potom podívat na temuto dlouhodobé sledování informací o přenesených datech třeba pro účtování
0:15:46dodržování zákona dneska komunikaci rozvedu na dalším slajdu účtování fakturace může být kontroly pí ringu
0:15:54to znamená jak jsem říkal třeba mezinárodní provozy pro mě nevšimneš
0:15:57národní a zjistím že ten národní si posílám klidně takle oklikou přesně z mezinárodní linku
0:16:03nějakou co se běžně ně může stát
0:16:06monitorování využití internetu mám jakou poli si ve firmě kdy chci aby ten internet byl
0:16:12nějakým způsobem využívána a jak to mám dodržovat jak to mám vlastně zjistit jestli to
0:16:16tak opravdu ti uživatelé dělají
0:16:18to znamená
0:16:20zde je odpověď
0:16:22měření toku
0:16:23ten zákon elektrické komunikaci to znamená mohli bysme říct že vlastně měření toků je dobrovolné
0:16:31ale v zásadě když si přečtete ten zákon o elektronických komunikacích pak vlasně těma je
0:16:37stykům
0:16:38udává za povinnost protože o nich sou jakoby provozovateli nějaké veřejné komunikační sítě takže mu
0:16:44dává za povinnost ty informace tak jako tak se daňová znamená to měření síťových toků
0:16:51vlastně je přesně odpovídá tady tomu požadavku toho zákona všimněte si že a šest měsíců
0:16:57je potřeba tady toto provozní lokalizační bude udržovat
0:17:01takže vlastně na vážně tu předchozí prezentaci
0:17:06můžete samozřejmě nebo snažte se třeba i šifrovat snažte se snažte se používat s
0:17:13vpn analyzační sítě
0:17:16pokuď nechcete být s vyloženě mít někde záznam že ste šli třeba na nějakou službu
0:17:24tam byl dotaz
0:17:50je to je ta zkratka
0:17:53a
0:17:55co vlasy a pokud potom předem potom ná zákon ok vědecké bezpečnosti a tak tam
0:18:02jsou jmenované potom subjekty které to musí dělat
0:18:06ale souhlasím s tím že z v rámci tady toho pokud to sbírám musím to
0:18:10uchovala pokud ne tak ne ano většinou nějakým způsobem to většinou lidi sbírají co vlastně
0:18:16koza poznám
0:18:18takže video demo které jsem sliboval nejprve si udělá nějaký úvod k tomu demu znamená
0:18:24bude se jednat o dohledání nějakého render neabdikačního toku network file protokol ndnp skládá se
0:18:32z nějakého vlastně
0:18:34ten útok se skládá z nějakého útočníka z nějakých počítačů který má ten útočník pod
0:18:39nějakou zprávu nějakým způsobem je nakazil zběžně veřejně dostupných tebe server u které vlastně nemusí
0:18:46být nakažený prostě jsou tam té síti a existují a souběžně používány legitimně klienti
0:18:53a nějaké oběti na kterou se snažím zaútočit princip je takový že ten útočník typicky
0:18:58kdyby chtěl zaútočit na tu oběť tak má třeba jenom jeden megabitů na dnešní době
0:19:02už ne ale má prostě nějakou omezenou kapacitu svoji linky to znamená a on jen
0:19:07cílem je zahltit tu oběť to znamená jak by asi tak zahltil tím jedný megabit
0:19:11když ta objednat třeba
0:19:13deset megabitů
0:19:15přístupovou linku
0:19:16to znamená on to udělá tak že využije tady ty své sondy který mají stále
0:19:22ještě třeba omezenou kapacitu řekněme jeden nikdy aby zombie vygeneruj o tp dotazy požadavky
0:19:30a smyslem je že ty požadavky jsou velmi malé to znamená tady ta ještě kapacita
0:19:35může být stále omezená
0:19:37naproti tomu ty odpovědi o těch pps průvodčí tomu požadavků můžou být třeba šedesát šest
0:19:42násobně větší no a tím pádem potom když ty požadavky mají podvrženou zdravou víte adresu
0:19:49té oběti
0:19:49tak místo toho aby ten tebe sem bri odpověděli těm co mlíku tak odpoví na
0:19:54tu oběť a tím pádem to by potom když má deset je bitové připojení tak
0:19:58najednou je tam pečeš statistika bitový provoz a přestože by to třeba hardvéru je ten
0:20:03stroj samotnýho zvládal tak ta prostě síťová konektivita tam není
0:20:09takže jak by to mohlo vypadat těch flow datech
0:20:16takže typicky tady vidíme nějakou časovou řadu která mě říká kolik toků se tam v
0:20:24danou dobu vyskytlo
0:20:25a já pustím to
0:20:28prezentaci
0:20:31přepnu si na to abych viděl jenom udp toky to znamená kolik udp toků tam
0:20:37zadanou pěti mě to bylo
0:20:39najdu si tam nějakou špičku tu si označím ukazovátkem
0:20:43a teďka budu do hledávat pro tu danou špičku pro tento nový daný časový interval
0:20:48co se tam vlastně stalo udělám to takže se zaškrtnul nějaký topení statistiky a budu
0:20:54se snažit dohledat která ip adrese zodpovědná za tak velký počet toků který vlastně způsobil
0:21:00tu špičku
0:21:01tady vidíte že to chvíli trvá protože ty záznamu je opravdu hodně a musí se
0:21:06projít ty záznamy
0:21:08a nyní už vidíme těch to deset víte adresu vidíme že jedna tam vyčnívá oproti
0:21:13ostatním a měla tři celé šest mega toků oproti druhém největším která měla pouze šest
0:21:20set tisíc toku
0:21:21to znamená že
0:21:23na tu vypadne sousto šestnáct dvěstě padesát jedna dvě stě sedmnáct něco šlo nejvíce toků
0:21:30a tím pádem se snažím dohledat které toky to byly snad kauzu nezobrazí nějakou agregována
0:21:36informaci o to pět desíti padesát a zobrazím si ty samotné toky
0:21:42no a teďka už vidíme že tady zrovna konkrétně jaká sto čtyřicet sedm co sem
0:21:47sapy něco na portu sto dvacet tři odpovídala právě tím ten té odpovědí jí pere
0:21:55se s to šestnáct dvě stě padesáti lety městě znát ta která je po tvým
0:21:59útokem
0:22:00a takle vidíte že statisticky by to šlo krásně detekovat takže ty toky ty odpovědi
0:22:05jsou prostě naprosto stejné sou to jedno paketové toky které vlastně mají nějaký čtyři sta
0:22:11šedesát osum bajtů a právě na tom je jsou založeny potom nějaké detekčním metody které
0:22:16se snaží vlastně tady takovéhle
0:22:18specifické vzory chování vyhledávat a deportovat se deportovat je tomu administrátorovi
0:22:32takže co se týče software jsou je volně dostupný je open source některým software pro
0:22:38měření toků například graph proud ten flow ve pět sonda lásko měj nízkým výkonem ale
0:22:43můžete si nainstalovat na počítači nejsem to ste viděli právě teďka co jsem použil té
0:22:49populární volně dostupný
0:22:51kolektor teďka by měl být uši na githubu
0:22:56máme ji samozřejmě komerční řešení když začnu tak samozřejmě nejznámější je sice s k o
0:23:03brněnská firma flow a řešení flowmon
0:23:07vieme silnější nějakým způsobem poskytuje může být jako sondou takže ip fix
0:23:14protokoly schopen exportovat o tocích
0:23:17takže máme nějaké řešení
0:23:20nad se snad se vlastně k těmto řešením snaží vlastně do vyvíjet nějaká open source
0:23:24řešení které by umožňovaly sběr těch jakoby nejnovější novinek znamená třeba podporovali ip fix protože
0:23:32to není zcela tak samozřejmé aby ty aktuální
0:23:36aktuální opensource i ale i ty komerční řešení podporovali ty nejnovější protokoly takže se snaží
0:23:44vlastně vidět se řešením je nejen pro sběr ale i pro tu samotnou analýzu
0:23:49když bych představil řekněme tři nástroje které současné době intenzivně vidíme tak je to ip
0:23:56fix k o jak už z názvu napovídá tak je to kolektor i ty k
0:24:00záznamům ale je schopen sbírat jedinec flow je s flow a další protokoly
0:24:07toola nad tím to nástroj na těmi na zdi danými daty nazývaný tady znam potom
0:24:12umožňuje ten kolektor řešit distribuovaně
0:24:16to znamená
0:24:17těch
0:24:18množství těch záznamů za vteřinu třeba co se týče u může být sto tisíc řekněme
0:24:25při běžném provozu a třeba půl milionu za sekundu při nějakém útoku
0:24:30a to je poměrně velké množství záznamů které třeba za den nám dělají celkem objem
0:24:35třeba tři sta gigabajtů dat denně
0:24:37a pokuď potřebám
0:24:41držet nějakou dobu třeba právě proto abysme byli schopní dělení ne dělal nějaký ten incidentem
0:24:46entry
0:24:48tak je potřeba mít si ten kolektor implementovaný distribuovaně znamená to tituly předchozí zatím neumí
0:24:54takže tam se snažíme jakým způsobem přispět nebezpečnosti komunitní bezpečnosti
0:25:00no a dále divím nástroj nemá které která by měla dělat s nějakou bilaterální
0:25:06analýzu ale proudově to znamená to taky není dnešní době obvykle dnešní době to takže
0:25:11nám přijde nějaký nějaké množství záznamu zadaný interval
0:25:15třeba za pětiminutovku je to pětiminutovku vztek další pěti minut ovce teprv zpracovává mé a
0:25:21pak teprv nahlásím že tam byl teda nějakej to
0:25:24a
0:25:25tím pádem vidíme že o té o toho útoku než se stal beneš se něco
0:25:30statek vole může třeba uběhnout klidně deset minut díky různým tady mám tu má zpracování
0:25:35intervalech což by ta proudová analýza měla právě zkrátit
0:25:40tady bych se ještě vrátil k tomu našemu řešení mris dám
0:25:44cože právě nástroj pro distribuované dotazování na s x kolektory defakto samozřejmě jsme uvažovali proč
0:25:52nepoužít tomu nějaký hadů co že dnešní dneska populární přístup platformu která umožňuje defakto máte
0:26:00rigidus operace které sou perfektní pro tuhle úlohu
0:26:03ale v zásadě tom po nějaký test vezme zjistili že ten hadů i když tam
0:26:06máme tady a iksové ose máme množství dat defakto plodina znamená kolik jsme posbírali za
0:26:12hodinu a čas odezvy na nějaký dotaz
0:26:16když tam vlastně vrazíme jenom jednu pětiminutovku a dokážeme se na ní
0:26:21nevdám to je ten klasické co používáme dnes nám vrátí třeba to je do jedné
0:26:25sekundy
0:26:27ta naše problémy zda nám to vrátí do dvou sekund když použijeme hadů tak díky
0:26:32jo ta má obrovskou režii ten díky té režii vlastně ta odezva je poměrně dlouhá
0:26:37na jednoduché dotazy to je samozřejmě prostě fu okamžiku kdy potřebujete dělat a navíc dotazy
0:26:42a nic dohledal naprosto
0:26:45jako nepoužitelné a tím pádem prostě nám to dalo motivaci proč vyvíjet nějaký význam vlastní
0:26:52a řešit to rámci nějaké vlastního výzkumu a vývoje
0:26:59takže závěrem této prezentace by chtěli nahozenou s že měření těch síťových toků je
0:27:05teda doufám si tvrdí že ve většině případů motivováno snahou udržet to si provozu a
0:27:11služby které sem na to jestli těch provozované provozovány tak if provozu nikoliv tím že
0:27:16bysme chtěli sledovat samotné uživatele
0:27:21co když si ti tedy exportují data na kolektor a na tom fakturu se analyzují
0:27:26a využívají se právě pro řešení nějakých problémů s tou sítí a zvýšení bezpečnosti obecně
0:27:31těch uživatelů
0:27:34a takovým nějakým jakoby vizí u je vyvíjet vlastně i ve spolupráci s dalšími organizacemi
0:27:42jako je masarykova univerzita čvut a případně komerční partneři open source nástroje pro zpracování chování
0:27:48těch exportovaných toku
0:27:50jen taková perlička na závěr věděli jste že na u průměrně každý den míří zhruba
0:27:59milion a když to přeženu útoků
0:28:03to znamená útoků které
0:28:06vlastně
0:28:08nějakým způsobem ovlivňují ty připojené organizace artuš školy a ne nebo prostě nějaké nemocnice výzkumná
0:28:15centra podobné věci
0:28:17je pravda že ty útoky je tam za počítáno všechno včetně skenování chceš
0:28:22pravém slova smyslu není to
0:28:24ale těch dvou incidentů a událostí které se tam děje které vlastně potom potřeba nějakým
0:28:30způsobem řešit je poměrně hodně tam zřejmě s toho milionu potom si musíme vybrat nějaký
0:28:37malý vzorek který je opravdu ten nejdůležitější a ten potom řešit úplně až do konce
0:28:44takže děkuji za pozornost a kdyby byly případné dotazy tak nevím jestli máme čas na
0:28:48odpovědi ale tak případně chytnete ještě tady ve fajn