Мониторинг, статистика, диагностика

Мониторинг системы с помощью информационных виджетов

ARMA FW позволяет производить мониторинг текущего состояния с помощью различных виджетов.

Панель виджетов доступна в разделе «Инструменты», являющимся по умолчанию стартовым разделом после аутентификации в ARMA FW (см. Рисунок – Панель виджетов).

../../../_images/fw.rp.28.1.1.png — *Рисунок – Панель виджетов*

Существует возможность перемещения виджетов с помощью мыши. Для этого необходимо навести курсор мыши на заголовок виджета, зажать левую кнопку мыши, переместить виджет в требуемое положение и отпустить левую кнопку мыши.

Количество отображаемых столбцов выбирается с помощью выпадающего списка «Столбцы» в верхней правой части раздела.

Для сохранения местоположения виджетов и количества столбцов необходимо нажать кнопку «Сохранить настройки».

Добавление виджетов

Для добавления виджета необходимо выполнить следующие действия:

Нажать кнопку «+Добавить виджет» и выбрать требуемый виджет в открывшейся форме доступных виджетов (см. Рисунок – Добавление виджетов). За один раз возможно выбрать несколько виджетов.
Нажать кнопку «Закрыть», а затем нажать кнопку «Сохранить настройки».

../../../_images/fw.rp.28.1.1.1.png — *Рисунок – Добавление виджетов*

В ARMA FW доступны следующие виджеты для мониторинга текущего состояния:

«CARP» – отображает статус устройства в режиме работы кластера;

«Использование ЦП» – отображает график загрузки ЦП в режиме реального времени;

«Шлюзы» – отображает статус работы настроенных шлюзов, время приёма-передачи и процент потерь;

«Интерфейсы» – отображает включённые сетевые интерфейсы и их основные параметры: имя, скорость и режим передачи, IP-адрес;

«Статистика интерфейса» – отображает сводную таблицу по всем настроенным интерфейсам в режиме реального времени;

«IPsec» – отображает настроенные IPsec туннели;

«Информация о лицензии» – отображает информацию о лицензии;

«Журнал межсетевого экрана» – отображает таблицу событий МЭ в режиме реального времени;

«Monit» – отображает состояния почтовых серверов, доступность различных сервисов и ресурсов, состояние сетевых сервисов;

«Сетевое время» – отображает текущее время системы, а также информацию о сервере синхронизации времени;

«OpenVPN» – отображает настроенные OpenVPN серверы;

«Службы» – отображает статус работы настроенных служб и позволяет остановить/запустить/перезапустить выбранную службу;

«Системная информация» – отображает основную информацию о системе;

«Журнал Syslog» – отображает таблицу журнала Syslog в режиме реального времени;

«Тепловые датчики» – отображает по данным ACPI температуру ЦП, МП, позволяет задавать различные пороговые значения температуры;

«Графики трафика» – отображает график входящего/исходящего трафика в режиме реального времени.

Сбор и статистика Netflow

NetFlow – сетевой протокол, предназначенный для учёта сетевого трафика, разработанный компанией Cisco Systems. Протокол захватывает полные потоки пакетов, включая источник, IP-адрес назначения и номер порта.

ARMA FW позволяет собирать данные NetFlow, проходящие через МЭ для последующего анализа, а также экспортировать эти данные для анализа сторонним ПО.

Настройка NetFlow

Для настройки NetFlow необходимо выполнить следующие действия:

Перейти в подраздел настройки NetFlow («Создание отчетов» - «NetFlow») (см. Рисунок – Параметры работы NetFlow).

../../../_images/fw.rp.28.2.1.1.png — *Рисунок – Параметры работы NetFlow*

Указать интерфейсы, для которых необходимо собирать данные NetFlow.
Указать интерфейс, используемый в качестве выхода в глобальную сеть – WAN.
Установить флажок для параметра «Захватывать внутренний трафик» для сбора локальных данных на ARMA FW. Локальный кэш хранит только последние 100 Мбайт данных.
При необходимости выбрать версию NetFlow, по умолчанию выбрано значение «v9».
В параметре «Получатели» указать адреса получателей данных, если поле оставить пустым – будет осуществляться только локальный сбор данных.

Формат заполнения:

«IP-адрес:номер порта», например «192.168.1.100:2550».

Нажать кнопку «Применить».

Примечание

При использовании стороннего сборщика данных NetFlow, в большинстве случаев, необходимо настроить передачу SNMP (см. SNMP) и создать правило МЭ (см. Создание правил межсетевого экранирования), разрешающее трафик SNMP на выбранном интерфейсе.

В случае сбора локальных данных на вкладке «Кэш» подраздела «NetFlow» будет отображено количество собранных пакетов на различных интерфейсах (см. Рисунок – Данные кэша NetFlow).

../../../_images/fw.rp.28.2.1.2.png — *Рисунок – Данные кэша NetFlow*

При настройке NetFlow доступны дополнительные параметры при включении переключателя «расширенный режим» в левой части формы:

«Тайм-аут активности» – дробление длительных потоков на короткие;

«Тайм-аут неактивности» – разрыв неактивных потоков;

«Время ротации flowd.log» – время ротации создаваемого файла с данными, диапазон доступных значений от 10 до 120 секунд.

Анализ данных Netflow

В случае успешной настройки NetFlow (см. Настройка NetFlow) в подразделе анализа трафика («Создание отчетов» - «Анализ») будет отображена информация о трафике (см. Рисунок – Сводная информация на основании данных NetFlow).

В верхней части страницы существует возможность выбора временного промежутка представления из выпадающего списка.

При выборе значения на диаграмме будет произведён переход на вкладку «Подробности» для более детального представления данных.

На вкладке «Экспорт» подраздела «Анализ» возможно произвести экспорт данных NetFlow. Для этого необходимо выбрать требуемые значения в выпадающих списках и нажать кнопку «Экспорт».

../../../_images/fw.rp.28.2.2.1.png — *Рисунок – Сводная информация на основании данных NetFlow*

Диагностика МЭ

Диагностика МЭ позволяет просматривать общую информацию и статистику МЭ, активные в текущее время маршруты, IP-адреса, записанные как псевдонимы, прослушивающие сокеты для IPv4 и IPv6, активные состояния, отсортированные состояния по различным критериям. Помимо просмотра информации имеется возможность удаления активных состояний и отслеживания источника.

Диагностика pfInfo

Для просмотра общей информации об МЭ необходимо перейти в подраздел диагностики pfInfo («Межсетевой экран» - «Диагностика» - «pfInfo») (см. Рисунок – Диагностика pfinfo).

../../../_images/fw.rp.28.3.1.1.png — *Рисунок – Диагностика pfinfo*

Существует возможность переключения по вкладкам:

«Информация» – отображает различную общую информацию о работе МЭ;

«Память» – отображает заданные ограничения памяти;

«Тайм-ауты» – отображает информацию о тайм-аутах;

«Интерфейсы» – отображает информацию об интерфейсах;

«Правила» – отображает информацию о правилах МЭ.

Диагностика pfTop

Для просмотра доступных маршрутов в текущее время необходимо перейти в подраздел диагностики pfTop («Межсетевой экран» - «Диагностика» - «pfTop») (см. Рисунок – Диагностика pfTop).

Существует возможность изменить вид, настроить сортировку или указать количество строк в соответствующих выпадающих списках.

../../../_images/fw.rp.28.3.2.1.png — *Рисунок – Диагностика pfTop*

Диагностика pfTables

Для просмотра IP-адресов, указанных в псевдонимах необходимо перейти в подраздел диагностики pfTables («Межсетевой экран» - «Диагностика» - «pfTables») (см. Рисунок – Диагностика pfTables).

Выпадающие списки позволяют выбрать псевдоним, очистить и обновить базу псевдонима, нажав соответствующие кнопки.

../../../_images/fw.rp.28.3.3.1.png — *Рисунок – Диагностика pfTables*

Диагностика системы

Действия пользователей

Для просмотра действий пользователей, в том числе системных пользователей, необходимо перейти в подраздел отслеживания активности пользователей («Система» - «Диагностика» - «Активность») (см. Рисунок – Активность).

../../../_images/fw.rp.28.4.1.1.png — *Рисунок – Активность*

Службы

Для просмотра и управления настроенными службами необходимо перейти в подраздел управления службами («Система» - «Диагностика» - «Службы») (см. Рисунок – Службы).

Для служб возможны следующие действия при нажатии соответствующей кнопки:

кнопка «» – остановить службу;

кнопка «» – запустить службу;

кнопка «» – перезапустить службу.

../../../_images/fw.rp.28.4.2.1.png — *Рисунок – Службы*

Диагностика сетевых интерфейсов

Диагностика сетевых интерфейсов позволяет выполнять следующие действия:

просматривать таблицу ARP;

запускать сканирование ARP;

просматривать таблицу DNS-записей;

просматривать таблицу NDP-записей;

экспортировать дамп трафика определённого сетевого интерфейса;

выполнять и просматривать результаты команды «ping»;

выполнять проверку порта на наличие подключения;

выполнять маршрут трассировки.

ARP-таблица

Для просмотра ARP-таблицы необходимо перейти в подраздел просмотра ARP-таблицы («Интерфейсы» - «Диагностика» - «ARP-таблица») (см. Рисунок – ARP-таблица).

../../../_images/fw.rp.28.5.1.1.png — *Рисунок – ARP-таблица*

Просмотр DNS-записей

Для поиска IP-адресов и записей, принадлежащих заданному имени хоста необходимо перейти в подраздел просмотра DNS-записей («Интерфейсы» - «Диагностика» - «Просмотр DNS-записей») (см. Рисунок – Просмотр DNS-записей), указать в параметре «Имя хоста или IP-адрес» IP-адрес и нажать кнопку «Просмотр DNS-записей».

../../../_images/fw.rp.28.5.2.1.png — *Рисунок – Просмотр DNS-записей*

Индикатор интерфейса

Для включения светового индикатора физического сетевого интерфейса необходимо перейти в подраздел управления индикаторами интерфейсов («Интерфейсы» - «Диагностика» - «Индикатор интерфейса») (см. Рисунок – Индикатор интерфейса).

../../../_images/fw.rp.28.5.3.1.png — *Рисунок – Индикатор интерфейса*

Возможность принудительного включения световых индикаторов позволяет визуально определить местоположение физического сетевого интерфейса ARMA FW, соответствующего какому-либо сетевому интерфейсу, отображаемому в подразделе настройки интерфейсов.

Примечание

Не все сетевые карты поддерживают возможность управления состоянием световых индикаторов.

Не все физические сетевые порты могут быть оснащены световыми индикаторами.

Поддерживается одновременное изменение состояния световых индикаторов всех сетевых интерфейсов с помощью переключателя «Вкл/выкл все».

При нажатии на переключатель «Вкл/выкл все» следующего вида:

«» – будет выполнено включение всех индикаторов;

«» – будет выполнено отключение всех индикаторов.

NDP-таблица

Для просмотра NDP-таблицы, в которой перечислены локально подключённые узлы IPv6 необходимо перейти в подраздел просмотра NDP-таблицы («Интерфейсы» - «Диагностика» - «NDP-таблица») (см. Рисунок – NDP-таблица).

../../../_images/fw.rp.28.5.4.1.png — *Рисунок – NDP-таблица*

Netstat

Для просмотра статистики работы с сетевыми интерфейсами необходимо перейти в подраздел диагностики Netstat («Интерфейсы» - «Диагностика» - «Netstat») (см. Рисунок – Статистика работы Netstat).

Статистика работы с сетевыми интерфейсами отображается в группированном виде во вкладках:

«Bpf» – bpf-статистика;

«Интерфейсы» – статистика по интерфейсам;

«Память» – mbuf-статистика;

«Netisr» – netisr-статистика;

«Протокол» – статистика по протоколам;

«Сокеты» –статистика по сокетам.

../../../_images/fw.rp.28.5.5.1.png — *Рисунок – Статистика работы Netstat*

Захват пакетов

Функция захвата пакетов предоставляет возможность записи дампов трафика с последующим экспортом в файл с расширением «cap», например, для проведения расследования инцидентов ИБ.

В качестве примера будет рассмотрен захват HTTP-трафика с ПК «Admin» до ПК «Webserver» по интерфейсу «LAN» (см. Рисунок – Схема стенда для проверки функции захвата пакетов).

../../../_images/fw.rp.28.5.6.1.png — *Рисунок – Схема стенда для проверки функции захвата пакетов*

Для запуска механизма сбора дампов необходимо выполнить следующие действия:

Перейти в подраздел диагностики захватом пакетов («Интерфейсы» – «Диагностика» – «Захват пакетов») (см. Рисунок – Захват пакетов).

../../../_images/fw.rp.28.5.6.2.png — *Рисунок – Захват пакетов*

Указать следующие значения параметров:

«Интерфейс» – «LAN»;

«Порт» – «80»;

остальные параметры отставить без изменений и нажать кнопку «Запустить».

На ПК «Admin» открыть веб-браузер и перейти по адресу «192.168.2.100».
В подразделе «Захват пакетов» нажать кнопку «Остановить». Дамп трафика будет отображён в нижней части страницы подраздела (см. Рисунок – Дамп трафика).

Для просмотра захваченных пакетов в веб-интерфейсе ARMA FW необходимо нажать кнопку «Просмотр захваченных пакетов». Уровень детализации просматриваемых пакетов выбирается в выпадающем списке «Уровень детализации».

Для сохранения дампа захваченных пакетов на локальный ПК необходимо нажать на гиперссылку «packetcapture_emX.cap», где «Х» – это номер физического интерфейса, и выполнить сохранение с помощью интерфейса веб-браузера.

../../../_images/fw.rp.28.5.6.3.png — *Рисунок – Дамп трафика*

Краткое описание параметров при захвате пакетов:

«Смешанный режим» – установка флажка позволяет принимать все пакеты трафика, независимо от адресата;

«Семейство адресов» – позволяет оставлять только трафик IPv4 или IPv6;

«IP-адрес хоста» – указывает IP-адрес/сеть получателя или источника, также существует возможность указания исключения или множество значений, используя логическое выражение с аргументами «not» и «and»;

«Порт» – указывается порт получателя или источника;

«Длина пакета» – указывается значение количества бит каждого захваченного пакета;

«Количество» – указывается значение количества захватываемых пакетов;

«Обратный запрос DNS» – установка флажка позволяет захватывать пакеты трафика, ассоциируемые со всеми IP-адресами обратного запроса DNS:

для этого в группе настроек «Захват пакетов» в поле «Интерфейсы» необходимо выбрать интерфейсы для захвата трафика. В поле «Смешанный режим» необходимо установить флажок для того, чтобы принимать все пакеты, независимо от того, кому они адресованы. В поле «Семейство адресов» необходимо выбрать тип трафика для захвата. В поле «Протокол» необходимо выбрать протокол для захвата трафика. В поле «IP-адрес хоста» необходимо ввести IP-адрес источника. В поле «Порт» необходимо ввести порт. В поле «Длина пакета» необходимо ввести длину пакета (в битах). В поле «Количество» необходимо ввести количество пакетов, которые будут захватываться.

Ping

Ping – утилита для проверки целостности и качества соединений в сетях TCP/IP.

Функция ping используется, например, для проверки наличия доступа к устройству сети. В качестве примера будет рассмотрена проверка наличия доступа к ПК «Admin» (см. Рисунок – Схема стенда для проверки функции захвата пакетов).

Для запуска утилиты ping необходимо выполнить следующие действия:

Перейти в подраздел диагностики ping («Интерфейсы» – «Диагностика» – «Ping») (см. Рисунок – Ping).
Указать IP-адрес «192.168.1.100» в параметре «Хост» и нажать кнопку «Ping».

../../../_images/fw.rp.28.5.7.1.png — *Рисунок – Ping*

Результат команды отобразится в нижней части страницы (см. Рисунок – Результат выполнения команды Ping).

../../../_images/fw.rp.28.5.7.2.png — *Рисунок – Результат выполнения команды Ping*

Проверка порта

Функция проверки порта используется для выполнения простого теста TCP-соединения по указанному порту. В качестве примера будет рассмотрена проверка наличия доступа к ПК «WebServer» по порту «443» (см. Рисунок – Схема стенда для проверки функции захвата пакетов).

Для проверки соединения необходимо выполнить следующие действия:

Перейти в подраздел проверки порта («Интерфейсы» – «Диагностика» – «Проверка порта») (см. Рисунок – Проверка порта).

../../../_images/fw.rp.28.5.8.1.png — *Рисунок – Проверка порта*

Указать следующие значения параметров:

«Хост» – «192.168.2.100»;

«Порт» – «443»;

остальные параметры отставить без изменений и нажать кнопку «Проверка».

Результат команды отобразится в нижней части страницы (см. Рисунок – Результат выполнения команды проверка порта).

../../../_images/fw.rp.28.5.8.2.png — *Рисунок – Результат выполнения команды проверка порта*

Маршрут трассировки

Трассировка маршрута предназначена для определения маршрутов следования данных в сетях TCP/IP. В качестве примера будет рассмотрено определение маршрута к ПК «Admin» (см. Рисунок – Схема стенда для проверки функции захвата пакетов).

Для выполнения трассировки маршрута необходимо выполнить следующие действия:

Перейти в подраздел трассировки маршрутов («Интерфейсы» – «Диагностика» – «Маршрут трассировки») (см. Рисунок – Маршрут трассировки).

../../../_images/fw.rp.28.5.9.1.png — *Рисунок – Маршрут трассировки*

Указать «192.168.1.100» в параметре «Хост» и нажать кнопку «Трассировка прохождения».
Результат команды отобразится в нижней части страницы (см. Рисунок – Результат выполнения команды трассировки).

../../../_images/fw.rp.28.5.9.2.png — *Рисунок – Результат выполнения команды трассировки*

Обзор

В подразделе обзора журналов («Межсетевой экран» - «Журналы» - «Обзор») представлены диаграммы трафика, обработанного ARMA FW, которые перечислены в списке:

«Действия» – Рисунок – Действия;

«Интерфейсы» – Рисунок – Интерфейсы;

«Протоколы» – Рисунок – Протоколы;

«IP-адреса источника» – Рисунок – IP-адреса источника;

«IP-адреса назначения» – Рисунок – IP-адреса назначения;

«Порты источника» – Рисунок – Порты источника;

«Порты назначения» – Рисунок – Порты назначения.

../../../_images/fw.rp.28.5.10.1.png — *Рисунок – Действия*

../../../_images/fw.rp.28.5.10.2.png — *Рисунок – Интерфейсы*

../../../_images/fw.rp.28.5.10.3.png — *Рисунок – Протоколы*

../../../_images/fw.rp.28.5.10.4.png — *Рисунок – IP-адреса источника*

../../../_images/fw.rp.28.5.10.5.png — *Рисунок – IP-адреса назначения*

../../../_images/fw.rp.28.5.10.6.png — *Рисунок – Порты источника*

../../../_images/fw.rp.28.5.10.7.png — *Рисунок – Порты назначения*

Диагностика статической маршрутизации

Для диагностики статической маршрутизации в ARMA FW предусмотрены два подраздела:

статус маршрутизации («Система» - «Маршруты» - «Статус») – в подразделе приведена таблица маршрутов системы (см. Рисунок – Диагностика статической маршрутизации);

Рисунок – Диагностика статической маршрутизации

журнал маршрутизации («Система» - «Маршруты» - «Журнал») – в подразделе отображены события изменения маршрутов (см. Рисунок – Журнал статической маршрутизации).

Рисунок – Журнал статической маршрутизации

Диагностика динамической маршрутизации

Для диагностики динамической маршрутизации в ARMA FW предусмотрены следующие вкладки в подразделе общих настроек динамической маршрутизации («Маршрутизация» - «Диагностика» - «Общие настройки»):

«Маршруты IPv4» – отображает данные о маршрутах IPv4 (см. Рисунок – Маршруты IPv4);

Рисунок – Маршруты IPv4

«Маршруты IPv6» – отображает данные о маршрутах IPv6 (см. Рисунок – Маршруты IPv6);

Рисунок – Маршруты IPv6

«Запущенная конфигурация» – отображает общую конфигурацию настроенных динамических маршрутов (см. Рисунок – Запущенная конфигурация).

Рисунок – Запущенная конфигурация

OSPF

Для просмотра данных о настройке динамической маршрутизации по протоколу OSPF в ARMA FW предусмотрены следующие вкладки в подразделе OSPF динамической маршрутизации («Маршрутизация» - «Диагностика» - «OSPF»):

«Обзор» – отображает общие данные о настройке динамической маршрутизации по протоколу OSPF (см. Рисунок – Обзор);

Рисунок – Обзор

«Таблица маршрутизации» – отображает таблицу маршрутизации сети/роутера (см. Рисунок – Таблица маршрутизации);

Рисунок – Таблица маршрутизации

«База данных» – отображает информацию о состоянии связи (см. Рисунок – База данных);

Рисунок – База данных

«Соседи» – отображает таблицу соседей (см. Рисунок – Соседи);

Рисунок – Соседи

«Интерфейсы» – отображает данные о настроенных интерфейсах (см. Рисунок – Интерфейсы).

Рисунок – Интерфейсы

BGP

Для просмотра данных о настройке динамической маршрутизации по протоколу BGP в ARMA FW предусмотрен соответствующий подраздел («Маршрутизация» - «Диагностика» - «BGP»). Во вкладке «IPv4 Таблица маршрутизации» отображаются следующие данные:

«Валидный»;

«Лучший»;

«Внутренний префикс»;

«Сеть»;

«Следующий шаг»;

«Метрика»;

«Локальные предпочтения»;

«Весовой коэффициент»;

«Путь»;

«Происхождение».

Во вкладках «Подробности», «Соседи», «Сводка» отображаются подробные данные о соединении и соседях (см. Рисунок – BGP. Подробности).

../../../_images/fw.rp.28.7.2.1.png — *Рисунок – BGP. Подробности*

Диагностика СОВ/СПВ

Для просмотра данных СОВ/СПВ в ARMA FW, в подразделе администрирования СОВ («Обнаружение вторжений» - «Администрирование»), предусмотрена вкладка «Журналирование» (см. Рисунок – Диагностика СОВ/СПВ).

../../../_images/fw.rp.28.8.1.png — *Рисунок – Диагностика СОВ/СПВ*

Диагностика синхронизации времени

Для просмотра данных о синхронизации времени в ARMA FW предусмотрен подраздел статуса сетевого времени («Службы» - «Сетевое время» - «Статус») (см. Рисунок – Диагностика синхронизации времени), показывающий текущий статус сетевого времени.

../../../_images/fw.rp.28.9.1.png — *Рисунок – Диагностика синхронизации времени*

Анализ дампа трафика

Для просмотра и анализа дампа трафика, захваченного СОВ, в ARMA FW предусмотрен подраздел журналирования («Сеть» - «Анализ трафика» - «Журналирование») (см. Рисунок – Анализ трафика). Анализ обеспечивается инструментом «Tshark».

Для отображения записей необходимо выбрать из выпадающего списка в верхней левой части формы требуемый файл журнала. Разбиение журналов осуществляется по дате и времени начала записи.

../../../_images/fw.rp.28.10.1.png — *Рисунок – Анализ трафика*

ARMA FW позволяет обнаруживать вторжения и осуществлять мониторинг следующих протоколов:

Modbus TCP;

Modbus TCP x90 func. code (UMAS);

S7Comm | S7Comm Plus;

OPC DA | OPC UA;

IEC 60870-5-104;

IEC 61850-8-1 MMS;

IEC 61850-8-1 GOOSE;

ENIP / CIP;

KRUG Круг ПК-контроллер;

Profinet;

DNP3.

Настройка анализатора

Для отображения корректной информации в таблице журналирования («Сеть» - «Анализ трафика» - «Журналирование») о захваченных пакетах может потребоваться дополнительная настройка анализатора.

В случае передачи сетевых пакетов через порт, отличный от стандартного для используемого протокола, информация, отображаемая в таблице журналирования, о переданных пакетах может быть неактуальна.

В качестве примера приведён порядок настройки переопределения порта для протокола при захвате трафика, переданного по протоколу IEC 104 через порт «2407». В данном случае о переданных пакетах изначально будет отображаться следующая информация (см. Рисунок – Информация о пакетах).

../../../_images/fw.rp.28.10.1.1.png — *Рисунок – Информация о пакетах*

Для настройки переопределения порта для протокола необходимо выполнить следующие действия:

Перейти в подраздел настройки анализатора («Сеть» - «Анализ трафика» - «Настройки») и нажать кнопку «» (см. Рисунок – Настройка анализатора).

../../../_images/fw.rp.28.10.1.2.png — *Рисунок – Настройка анализатора*

В открывшемся окне указать следующие параметры:

«Тип слоя» – «tcp.port»;

«Селектор» – «2407»;

«Разбирать как протокол» – «iec60870_104»;

и нажать кнопку «Сохранить» (см. Рисунок – Переопределение порта).

../../../_images/fw.rp.28.10.1.3.png — *Рисунок – Переопределение порта*

Перейти в подраздел журналирования («Сеть» - «Анализ трафика» - «Журналирование»), выбрать файл журнала, ввести значение «tcp.port == 2407» в поле «Фильтр отображения» и нажать кнопку «».

В журнале для интересующих пакетов будет отображаться актуальная информация (см. Рисунок – Информация о пакетах при настроенном переопределении порта).

../../../_images/fw.rp.28.10.1.4.png — *Рисунок – Информация о пакетах при настроенном переопределении порта*

Экспорт дампа трафика

В случае необходимости экспорта дампа трафика следует в подразделе журналирования («Сеть» - «Анализ трафика» - «Журналирование») в зависимости от требуемого формата выгружаемого файла нажать:

кнопку «» – для экспорта файла с расширением «pcap»;

кнопку «» – для экспорта файла с расширением «csv».

Диагностика состояния ARMA FW

Снимок состояний

Для просмотра активных состояний в текущий момент времени в ARMA FW предусмотрен подраздел состояний ARMA FW («Межсетевой экран» - «Диагностика» - «Снимок состояний») (см. Рисунок – Снимок состояний МЭ).

../../../_images/fw.rp.28.11.1.1.png — *Рисунок – Снимок состояний МЭ*

Сброс состояний

Для удаления активных состояний и/или отслеживания источника в ARMA FW предусмотрен подраздел сброса состояний («Межсетевой экран» - «Диагностика» - «Сброс состояний») (см. Рисунок – Сброс состояний МЭ). Для выполнения данных действий необходимо установить соответствующий флажок и нажать кнопку «Очистить».

../../../_images/fw.rp.28.11.2.1.png — *Рисунок – Сброс состояний МЭ*

Сводка состояний

Для просмотра состояний МЭ в ARMA FW предусмотрен подраздел сводки состояний («Межсетевой экран» - «Диагностика» - «Сводка состояний»). Подраздел позволяет просматривать данные, отсортированные по таблицам:

«По IP-адресу источника» – Рисунок – Сводка состояний МЭ «По IP-адресу источника»;

Рисунок – Сводка состояний МЭ «По IP-адресу источника»

«По IP-адресу назначения» – Рисунок – Сводка состояний МЭ «По IP-адресу назначения»;

Рисунок – Сводка состояний МЭ «По IP-адресу назначения»

«Всего по IP-адресу» – Рисунок – Сводка состояний МЭ «Всего по IP-адресу»;

Рисунок – Сводка состояний МЭ «Всего по IP-адресу»

«По паре IP-адресов» – Рисунок – Сводка состояний МЭ «По паре IP-адресов»;

Рисунок – Сводка состояний МЭ «По паре IP-адресов»

Статистика трафика

Для просмотра текущей загрузки всех сетевых интерфейсов в режиме реального времени в ARMA FW предусмотрен подраздел отслеживания трафика («Создание отчетов» - «Трафик») (см. Рисунок – Трафик).

../../../_images/fw.rp.28.12.1.png — *Рисунок – Трафик*

Monit

Сервис Monit является встроенным в систему пакетом. Это утилита мониторинга с возможностью выполнения скриптов в качестве реакции на заданное событие.

Monit используется для следующих действий:

отслеживание состояния серверов – доступность, потребление ресурсов;

мониторинг сервисов – состояние, потребляемые ресурсы, количество дочерних процессов;

мониторинг сетевых сервисов – возможность подключения и корректность ответа;

выполнение действий – встроенных или собственных, созданных с помощью скриптов, запускаемых при свершении определённых событий;

отправка уведомлений – по электронной почте или в централизованный веб-интерфейс Monit.

Включение сервиса Monit

Для включения Monit необходимо выполнить следующие действия:

Перейти в подраздел настройки Monit («Службы» - «Monit» - «Настройки»).
Установить флажок «Включить Monit».
При необходимости указать значения параметров:

«Интервал опроса» – интервал опроса в секундах;

«Задержка старта» – задержка запуска проверок Monit после загрузки ARMA FW в секундах;

«Почтовый сервер» – IP-адрес или доменное имя почтового сервера. Несколько адресов необходимо разделять знаком «запятая». По умолчанию задано значение «127.0.0.1»;

«Порт почтового сервера» – порт, прослушиваемый почтовым сервером;

«Имя пользователя» – имя пользователя для аутентификации;

«Пароль» – пароль для аутентификации;

«Защищённое соединение» – флажок установить, если почтовый сервер использует шифрование.

Значения параметров «Почтовый сервер», «Имя пользователя», «Пароль» указаны справочно.

Нажать кнопку «Сохранить», а затем нажать кнопку «Применить» (см. Рисунок – Включение Monit).

../../../_images/fw.rp.28.13.1.1.png — *Рисунок – Включение Monit*

Настройка рассылки сообщений

Для настройки рассылки сообщений необходимо выполнить следующие действия:

Перейти во вкладку «Настройки сообщений» подраздела настройки Monit («Службы» - «Monit» - «Настройки») и нажать кнопку «».
В открывшейся форме указать значения параметров:

«Включить сообщения» – флажок установлен;

«Получатель» – адрес для рассылки сообщений;

«События» – список событий, запускающих рассылку. Значение «Не выбрано» означает выбор всех событий.

При необходимости указать значения параметров:

«Not on» – флажок установлен, если требуется отправлять сообщения для событий кроме выбранных;
«Формат почты» – адрес отправителя, адрес для ответа и тема сообщения, например:
From: sender@example.ru
Reply-To: support@example.ru
Subject: $SERVICE at $HOST failed
«Напоминание» – количество повторных событий для напоминающей рассылки.

Нажать кнопку «Сохранить», а затем нажать кнопку «Применить».

Настройка проверки сервиса

Для настройки проверки сервиса необходимо выполнить следующие действия:

Перейти во вкладку «Настройки службы» подраздела настройки Monit («Службы» - «Monit» - «Настройки») и нажать кнопку «».
В открывшейся форме указать значения параметров:

«Включить проверки служб» – флажок установлен;

«Имя» – имя сервиса;

«Тип» – тип проверки. Значение «Настроенное пользователем» выбирать при необходимости применения пользовательского скрипта (см. Особенности настройки Monit с использованием пользовательских скриптов).

При необходимости указать значения доступных параметров в зависимости от выбранного типа проверки:

«PID файл» – файл, содержащий уникальный идентификатор процесса;

«Совпадение» – поиск процесса по шаблону;

«Путь» – путь к файлу или директории;

«Адрес» – целевой IP-адрес;

«Интерфейс» – интерфейс;

«Запустить» – скрипт запуска сервиса;

«Остановить» – скрипт остановки сервиса;

«Тесты» – тесты сервисов. Если в списке отсутствует требуемый тест, необходимо предварительно настроить его во вкладке «Настройки тестов служб»;

«Зависит от» – сервисы, от состояния которых будет зависеть настраиваемый сервис.

Нажать кнопку «Сохранить», а затем нажать кнопку «Применить».

Настройка теста

Для настройки тестов, инициируемых сервисом Monit, необходимо выполнить следующие действия:

Перейти во вкладку «Настройки тестов служб» подраздела настройки Monit («Службы» - «Monit» - «Настройки») и нажать кнопку «».
В открывшейся форме указать значения параметров:

«Имя» – имя теста;

«Условие» – условие выполнения;

«Действие» – выполняемое действие:

«Предупредить (Alert)»;

«Перезапуск»;

«Запустить»;

«Остановить»;

«Выполнить»;

«Перестать мониторить».

Нажать кнопку «Сохранить», а затем нажать кнопку «Применить».

Сценарии использования Monit

Настройка перезапуска службы «Suricata» на ведущем устройстве отказоустойчивого кластера

Для настройки перезапуска службы «Suricata» на ведущем устройстве отказоустойчивого кластера необходимо выполнить следующие действия:

Включить сервис Monit (см. Включение сервиса Monit).
Перейти во вкладку «Настройки тестов служб», нажать кнопку «» и в открывшейся форме указать следующие параметры:

«Имя» – «ChangedStatusRestart»;

«Условие» – «changed status»;

«Действие» – «Перезапуск».

Нажать кнопку «Сохранить».
Перейти во вкладку «Настройки службы», нажать кнопку «» напротив имени «carp_status_change» и в открывшейся форме указать следующие параметры:

«Включить проверки служб» – флажок установлен;

«Запустить» – «/usr/sbin/service suricata start»;

«Остановить» – «/usr/sbin/service suricata stop»;

«Тесты» – «ChangedStatusRestart».

Нажать кнопку «Сохранить», а затем нажать кнопку «Применить» (см. Рисунок – Применение изменений).

../../../_images/fw.rp.28.13.5.1.1.png — *Рисунок – Применение изменений*

Перезапуск сервиса при его отказе

В качестве примера рассмотрен мониторинг и перезапуск сервиса ARPwatch в случае его отказа.

Включить сервис Monit (см. Включение сервиса Monit).
Перейти во вкладку «Настройки тестов служб», нажать кнопку «» и в открывшейся форме указать следующие параметры:

«Имя» – «arpwatch_check»;

«Условие» – «changed status»;

«Действие» – «Перезапуск».

Нажать кнопку «Сохранить».
Перейти во вкладку «Настройки службы», нажать кнопку «» и в открывшейся форме указать следующие параметры:

«Включить проверки служб» – флажок установлен;

«Имя» – «arpwatch_restart»;

«Тип» – «Процесс»;

«PID файл» – «/var/run/arpwatch-vmx1.pid»;

«Запустить» – «/usr/sbin/service arpwatch start»;

«Остановить» – «/usr/sbin/service arpwatch stop».

Нажать кнопку «Сохранить», а затем нажать кнопку «Применить».

Особенности настройки Monit с использованием пользовательских скриптов

Представлен общий подход к настройкам сервиса Monit, которые необходимо изменять с учётом конкретных ситуаций.

Примечание

Применение пользовательских скриптов требует уверенности в их безопасности и понимания последствий, к которым могут привести действия, исполняемые системой.

Для настройки ответного действия с использованием пользовательских скриптов необходимо выполнить следующие действия:

Добавить скрипт в директорию файловой системы ARMA FW, например «/usr/local/scripts/».
Создать тест во вкладке «Настройка тестов служб» (см. Настройка теста) и указать значения в параметрах:

«Имя» – имя теста;

«Условие» – условие срабатывания и путь к добавленному скрипту;

«Действие» – выполняемое действие.

Добавить проверку во вкладке «Настройки службы» (см. Настройка проверки сервиса) и указать значения в параметрах:

«Включить проверки служб» – флажок установлен;

«Имя» – имя сервиса;

«Тип» – «Настроенное пользователем»;

«Тесты» – имя добавленного теста.

Создание отчетов

В ARMA FW реализована возможность формирования отчётов, содержащих информацию о пакетах, состоянии системы или трафике в виде графиков и таблиц.

Для экспорта отчёта необходимо выполнить следующие действия:

Перейти в подраздел состояние («Создание отчетов» - «Состояние»).
Нажать кнопку «Вкл.» («Создание отчетов» - «Трафик») (см. Рисунок – Отчёты) для добавления отображения таблиц.

../../../_images/fw.rp.28.14.1.png — *Рисунок – Отчёты*

Нажать кнопку «Загрузить как CSV» в блоке «Текущий вид ‒ Подробный» (см. Рисунок – Экспорт отчёта) для загрузки файла отчёта.

../../../_images/fw.rp.28.14.2.png — *Рисунок – Экспорт отчёта*

Диагностика RSPAN

Для просмотра данных о конфигурации RSPAN в подразделе диагностики RSPAN («Службы» - «RSPAN» - «Диагностика») предусмотрены следующие вкладки (см. Рисунок – Конфигурация):

«Сводка»;

«Информация»;

«Мосты»;

«Порты»;

«Зеркала».

../../../_images/fw.rp.28.15.1.png — *Рисунок – Диагностика RSPAN*

Диагностика VPN

Для просмотра данных о конфигурации сервера или клиента VPN-соединения в ARMA FW предусмотрена вкладка в подразделе настройки OpenVPN («VPN» - «OpenVPN» - «Конфигурация») (см. Рисунок – Конфигурация).

../../../_images/fw.rp.28.16.1.png — *Рисунок – Конфигурация*