Argus: Желілік ағын мониторингі және аудит жүйесі

Кіріспе

Argus – аудит жазбасын жасау және пайдалану жүйесі – желілік ағынды бақылаудың алғашқы іске асырылуы және дамып келе жатқан ашық бастапқы кодты желілік ағын мониторы болып табылады. 1984 жылы Картер Буллард Джорджия Техникалық институтында бастап, 1990 жылдардың басында Карнеги Меллон университетінде киберқорғаныс үшін әзірленген Argus, 30 жылдан бері Интернет киберқорғаныс технологиясына маңызды үлес қосып келеді. Argus жобасы желілік операцияларды (NetOps), өнімділікті және қауіпсіздікті басқаруды қолдау мақсатында кең ауқымды желілік ахуалдық хабардарлықты және желілік аудит іздерін құрудың барлық аспектілерін дамытуға бағытталған. Телекоммуникациялық байланыс деректеріне (CDR) ұқсас, Argus желілік метадеректерді жасауға тырысады, оларды желілік басқарудың көптеген міндеттерін орындау үшін пайдалануға болады. Argus көптеген университеттерде, корпорацияларда және мемлекеттік мекемелерде, соның ішінде АҚШ DISA, DoD, DHS, FFRDC, GLORIAD қолданылады және ол Top 100 Интернет қауіпсіздік құралы болып саналады. Argus – нақты уақыт ахуалдық хабардарлық жүйесі ретінде жобаланған, оның деректері желілік жағдайды бақылау, дабылдарды және ескертулерді беру үшін пайдаланылуы мүмкін. Деректерді сонымен қатар барлық желілік трафиктің жан-жақты аудитін құру үшін пайдалануға болады, бұл АҚШ Қорғаныс министрлігінің NCSC TG 005 еңбегінде, сондай-ақ «Қызыл кітапта» сипатталған, дәстүрлі кіріп келуді анықтау жүйесіне (IDS) негізделген желілік қауіпсіздікті толықтырады. Аудит іздері әдетте желілік криминалистика және желілік мінез-құлық аномалиясын анықтау (NBAD) үшін желілік трафиктің тарихи өлшемдері ретінде қолданылады. Argus киберқорғаныс, өнімділікті талдау және соңғы кезде бағдарламалық қамтамасыз ету арқылы анықталатын желілерді (SDN) зерттеуде кеңінен қолданылған. Argus желілік басқару стандарттарын әзірлеуде де тақырып болып келді, мысалы RMON (1995) және IPFIX (2001). Argus – кеңейтілген желілік ағым деректерін өндіруші, Argus мониторынан тұрады, ол пакеттерді (файлдар немесе тікелей пакеттік деректер) өңдеп, пакеттік ағындағы барлық ағындардың желілік трафик ағынының егжей-тегжейлі есептерін жасайды. Argus барлық желілік трафикті – деректер деңгейін, басқару деңгейін және басқару деңгейін, тек Интернет протоколы (IP) трафигін ғана емес, бақылайды. Argus әрбір ағынның пакеттік динамикасы мен семантикасының көп бөлігін қамтиды, деректерді қысқарту арқылы үлкен көлемдегі желілік деректерді тиімді сақтауға, өңдеуге, тексеруге және талдауға мүмкіндік береді. Argus барлық желілік ағындар үшін қолжетімділік, байланыс, ұзақтық, жылдамдық, жүктеме, жақсы өткізу қабілеті, жоғалту, джиттер, қайта тарату (деректер желілері) және кідіру сияқты өлшемдерді ұсынады, сондай-ақ пакет мазмұнынан қол жетімді көптеген атрибуттарды қамтиды, мысалы 2-деңгейдегі мекенжайлар, туннель идентификаторлары (MPLS, GRE, IPsec және т.б.), протокол идентификаторлары, SAP, хоптар саны, опциялар, L4 тасымалдау идентификациясы (RTP анықтау), хост ағынын басқару көрсеткіштері және т.б. Argus киберқорғанысқа арналған пакеттік динамиканың бірнеше өлшемдерін іске асырды. Argus кез келген ағында адамның теру мінез-құлқын анықтайды, бірақ SSH шифрланған туннельдеріндегі пернелерді анықтауға ерекше қызығушылық танытады. Сонымен қатар Argus желілік субъектісі деректерді өндіруші және/немесе тұтынушы екенін көрсететін өндіруші-тұтынушы қатынасын (PCR) жасайды, бұл түйіннің АПТ арқылы деректерді сыртқа шығаруға қатысы бар екенін бағалау кезінде маңызды қасиет болып табылады. Argus – QoSient, LLC меншігіндегі және басқарылатын ашық бастапқы кодты (GPL) жоба. Ол көптеген операциялық жүйелерге және Bivio, Pluribus, Arista және Tilera сияқты көптеген аппараттық жеделдетілген платформаларға көшірілді. Бағдарламалық жасақтама басқа көптеген орталарға аз немесе мүлдем өзгеріссіз орнатылуы мүмкін. Өнімділігі жоғары, сондықтан бүкіл кәсіпорынның Интернет-қызметін қарапайым есептеу ресурстарын пайдалану арқылы тексеруге болады.

Argus – the Audit Record Generation and Utilization System is the first implementation of network flow monitoring, and is an ongoing open source network flow monitor project. Started by Carter Bullard in 1984 at Georgia Tech, and developed for cyber security at Carnegie Mellon University in the early 1990s, Argus has been an important contributor to Internet cyber security technology over its 30 years. The Argus Project is focused on developing all aspects of large scale network situational awareness and network audit trail establishment in support of Network Operations (NetOps), Performance and Security Management. Motivated by the telco Call detail record (CDR), Argus attempts to generate network metadata that can be used to perform a large number of network management tasks. Argus is used by many universities, corporations and government entities including US DISA, DoD, DHS, FFRDCs, GLORIAD and is a Top 100 Internet Security Tool. Argus is designed to be a real time situational awareness system, and its data can be used to track, alarm and alert on wire line network conditions. The data can also be used to establish a comprehensive audit of all network traffic, as described in the Red Book, US DoD NCSC TG 005, supplementing traditional Intrusion detection system (IDS) based network security. The audit trail is traditionally used as historical network traffic measurement data for network forensics and Network Behavior Anomaly Detection (NBAD). Argus has been used extensively in cybersecurity, end to end performance analysis, and more recently, software defined networking (SDN) research. Argus has also been a topic in network management standards development. RMON (1995) and IPFIX (2001). Argus is composed of an advanced comprehensive network flow data generator, the Argus monitor, which processes packets (either capture files or live packet data) and generates detailed network traffic flow status reports of all the flows in the packet stream. Argus monitors all network traffic, data plane, control plane and management plane, not just Internet Protocol (IP) traffic. Argus captures much of the packet dynamics and semantics of each flow, with a great deal of data reduction, so you can store, process, inspect and analyze large amounts of network data efficiently. Argus provides reachability, availability, connectivity, duration, rate, load, good put, loss, jitter, retransmission (data networks), and delay metrics for all network flows, and captures most attributes that are available from the packet contents, such as Layer 2 addresses, tunnel identifiers (MPLS, GRE, IPsec, etc ), protocol ids, SAP's, hop count, options, L4 transport identification (RTP detection), host flow control indications, etc Argus has implemented a number of packet dynamics metrics specifically designed for cyber security. Argus detects human typing behavior in any flow, but of particular interest is key stroke detection in encrypted SSH tunnels. and Argus generates the Producer Consumer Ratio (PCR) which indicates whether a network entity is a data producer and/or consumer, an important property when evaluating the potential for a node to be involved in an Advanced persistent threat (APT) mediated exfiltration. Argus is an Open Source (GPL) project, owned and managed by QoSient, LLC, and has been ported to most operating systems and many hardware accelerated platforms, such as Bivio, Pluribus, Arista, and Tilera. The software should be portable to many other environments with little or no modifications. Performance is such that auditing an entire enterprise's Internet activity can be accomplished using modest computing resources.