Argus: Система Мониторинга Сетевого Трафика и Аудита Безопасности

Введение

Argus – система генерации и использования записей аудита – является первой реализацией мониторинга сетевых потоков и представляет собой продолжающийся проект мониторинга сетевых потоков с открытым исходным кодом. Начатый Картером Буллардом в 1984 году в Технологическом институте Джорджии и разработанный для обеспечения кибербезопасности в Университете Карнеги-Меллона в начале 1990-х годов, Argus на протяжении 30 лет вносил значительный вклад в технологии кибербезопасности Интернета. Проект Argus ориентирован на разработку всех аспектов масштабной сетевой ситуационной осведомленности и создание сетевого аудита для поддержки сетевых операций (NetOps), управления производительностью и безопасностью. Вдохновленный детализированными записями звонков (CDR) в телекоммуникациях, Argus стремится генерировать сетевые метаданные, которые можно использовать для выполнения большого числа задач управления сетью. Argus используется многими университетами, корпорациями и государственными организациями, включая US DISA, DoD, DHS, FFRDC, GLORIAD, и входит в число 100 лучших инструментов для обеспечения безопасности Интернета. Argus разработан как система ситуационной осведомленности в реальном времени, и его данные могут использоваться для отслеживания, сигнализации и оповещения об условиях работы сети. Данные также могут использоваться для создания всестороннего аудита всего сетевого трафика, как описано в «Красной книге» (US DoD NCSC TG 005), дополняя традиционную сетевую безопасность, основанную на системах обнаружения вторжений (IDS). Аудиторский след традиционно используется в качестве исторических данных об измерении сетевого трафика для сетевой криминалистики и обнаружения аномалий сетевого поведения (NBAD). Argus широко используется в кибербезопасности, анализе производительности и, в последнее время, в исследованиях в области программно-определяемых сетей (SDN). Argus также является предметом разработки стандартов управления сетями, таких как RMON (1995) и IPFIX (2001). Argus состоит из продвинутого генератора данных сетевых потоков и монитора Argus, который обрабатывает пакеты (файлы захвата или данные пакетов в реальном времени) и генерирует подробные отчеты о состоянии сетевого трафика для всех потоков в потоке пакетов. Argus контролирует весь сетевой трафик – плоскость данных, плоскость управления и плоскость управления, а не только трафик протокола Интернет (IP). Argus фиксирует значительную часть динамики и семантики пакетов каждого потока, с существенным сокращением объема данных, что позволяет эффективно хранить, обрабатывать, проверять и анализировать большие объемы сетевых данных. Argus предоставляет метрики доступности, связности, длительности, скорости, нагрузки, пропускной способности, потерь, джиттера, повторной передачи (в сетях передачи данных) и задержки для всех сетевых потоков, а также фиксирует большинство атрибутов, доступных из содержимого пакетов, таких как адреса 2-го уровня, идентификаторы туннелей (MPLS, GRE, IPsec и т. д.), идентификаторы протоколов, SAP, количество переходов, опции, идентификация транспорта L4 (обнаружение RTP), индикаторы управления потоком хоста и т. д. Argus реализовал ряд метрик динамики пакетов, специально разработанных для кибербезопасности. Argus обнаруживает поведение человека при работе с любым потоком, но особенно интересен анализ нажатий клавиш в зашифрованных SSH-туннелях. Argus также генерирует коэффициент производитель-потребитель (PCR), который указывает, является ли сетевой объект производителем и/или потребителем данных – важное свойство при оценке потенциала узла, который может быть вовлечен в экфильтрацию данных, опосредованную устойчивой продвинутой угрозой (APT). Argus – это проект с открытым исходным кодом (GPL), принадлежащий и управляемый компанией QoSient, LLC, и был портирован на большинство операционных систем и многие аппаратные платформы с ускорением, такие как Bivio, Pluribus, Arista и Tilera. Программное обеспечение должно быть переносимым на многие другие среды с минимальными или отсутствующими модификациями. Производительность позволяет проводить аудит всей интернет-активности предприятия, используя скромные вычислительные ресурсы.

Argus – the Audit Record Generation and Utilization System is the first implementation of network flow monitoring, and is an ongoing open source network flow monitor project. Started by Carter Bullard in 1984 at Georgia Tech, and developed for cyber security at Carnegie Mellon University in the early 1990s, Argus has been an important contributor to Internet cyber security technology over its 30 years. The Argus Project is focused on developing all aspects of large scale network situational awareness and network audit trail establishment in support of Network Operations (NetOps), Performance and Security Management. Motivated by the telco Call detail record (CDR), Argus attempts to generate network metadata that can be used to perform a large number of network management tasks. Argus is used by many universities, corporations and government entities including US DISA, DoD, DHS, FFRDCs, GLORIAD and is a Top 100 Internet Security Tool. Argus is designed to be a real time situational awareness system, and its data can be used to track, alarm and alert on wire line network conditions. The data can also be used to establish a comprehensive audit of all network traffic, as described in the Red Book, US DoD NCSC TG 005, supplementing traditional Intrusion detection system (IDS) based network security. The audit trail is traditionally used as historical network traffic measurement data for network forensics and Network Behavior Anomaly Detection (NBAD). Argus has been used extensively in cybersecurity, end to end performance analysis, and more recently, software defined networking (SDN) research. Argus has also been a topic in network management standards development. RMON (1995) and IPFIX (2001). Argus is composed of an advanced comprehensive network flow data generator, the Argus monitor, which processes packets (either capture files or live packet data) and generates detailed network traffic flow status reports of all the flows in the packet stream. Argus monitors all network traffic, data plane, control plane and management plane, not just Internet Protocol (IP) traffic. Argus captures much of the packet dynamics and semantics of each flow, with a great deal of data reduction, so you can store, process, inspect and analyze large amounts of network data efficiently. Argus provides reachability, availability, connectivity, duration, rate, load, good put, loss, jitter, retransmission (data networks), and delay metrics for all network flows, and captures most attributes that are available from the packet contents, such as Layer 2 addresses, tunnel identifiers (MPLS, GRE, IPsec, etc ), protocol ids, SAP's, hop count, options, L4 transport identification (RTP detection), host flow control indications, etc Argus has implemented a number of packet dynamics metrics specifically designed for cyber security. Argus detects human typing behavior in any flow, but of particular interest is key stroke detection in encrypted SSH tunnels. and Argus generates the Producer Consumer Ratio (PCR) which indicates whether a network entity is a data producer and/or consumer, an important property when evaluating the potential for a node to be involved in an Advanced persistent threat (APT) mediated exfiltration. Argus is an Open Source (GPL) project, owned and managed by QoSient, LLC, and has been ported to most operating systems and many hardware accelerated platforms, such as Bivio, Pluribus, Arista, and Tilera. The software should be portable to many other environments with little or no modifications. Performance is such that auditing an entire enterprise's Internet activity can be accomplished using modest computing resources.