PLATAFORMA DE SEGURIDAD Y GESTIÓN DE REDES

Transcripción

1 PLATAFORMA DE SEGURIDAD Y GESTIÓN DE REDES SECURITY AND NETWORK MANAGEMENT PLATFORM Jorge García Pérez, Aynelis Torre Pola 1 UPSI Palacio de la Revolución, Cuba, jorge@palacio.cu, Dirección postal del autor 2 UPSI Palacio de la Revolución, Cuba, pola@palacio.cu RESUMEN: El monitoreo y la seguridad de la red son conceptos que poco a poco van ganando terreno en el entorno informático del país. Existen diversas herramientas para estos fines, las cuales permiten configuraciones personalizadas para brindar información precisa del comportamiento actual e histórico de los sistemas. El presente trabajo expone el diseño e implementación de una plataforma de monitoreo y gestión de la red, partiendo de la necesidad de visualizar, en un frontend único, datos de monitoreo y seguridad colectados con herramientas de software libre. Este proyecto es de tipo experimental. La elaboración de la plataforma se llevó a cabo haciendo uso de las herramientas: Nagios Core,servidor de base de datos MySQL, Snort y Ntop y los lenguajes de programación: Javascript, PHP, Perl, C y C++. En la actualidad una versión estable de la aplicación se encuentra en explotación, la cual muestra información de los equipos y servicios monitoreados en cuanto a: disponibilidad, parámetros de uso, comportamiento histórico, notificaciones y reportes, estadísticas de tráfico y alertas de seguridad de la red. El diseño e implementación de la plataforma trajo consigo una mejora sustancial en el análisis y comprensión de los sucesos en la red, así como un aumento de la toma de decisiones con carácter proactivo. Palabras Clave: Disponibilidad, tráfico de la red, comportamiento estándar, alertas de seguridad, aplicación web. ABSTRACT: Monitoring and network security concepts are gaining importance in the computing environment of the country.there are many tools for this purpose, which allow customized configurations to provide accurate information of current and historical status of the systems. This work describes the design and implementation of a monitoring and managing platform of networks, based on the need of display, on a single fronted, monitoring and security data collected with free software tools. This project is experimental. In the application's development, the following tools was used: Nagios Core, MySQL data base, Snort and Ntop and the next programming languages: JavaScript, PHP, Perl, C and C++. At the present a stable version of the platform is in operation, which displays information such as: availability, usage parameters, historical performance, notifications, reports, traffic statistics and alerts of network security. The design and implementation of the platform resulted in a substantial improvement in the analysis and understanding of events in the network and increased decision-making proactive. Keywords: Availability, network traffic, standard operation, security alerts, web application.

2 1. INTRODUCCIÓN El auge de la informática y las telecomunicaciones en el ámbito empresarial trae consigo el incremento de la proactividad de los administradores de red, para garantizar el mejor funcionamiento posible de los equipos y servicios bajo su supervisión. Para ello se apoyan en las herramientas de monitoreo y seguridad para tener un diagnóstico actualizado y fiable de la salud de la red. Las aplicaciones para dichos fines deben garantizar el monitoreo y gestión de incidentes, recopilar y consolidar información de manera inmediata en tiempo real, en forma de alarmas y eventos. También deben presentar los resultados obtenidos en un formato útil e intuitivo. Durante los últimos años, la tendencia entre los programas de monitoreo de redes ha sido el software todo-en-uno. Este tipo de solución ofrece varias funciones generales, así como especiales para subáreas individuales. La implementación de las herramientas todo-en-uno también asegura tiempos de reacción rápidos para futuros requisitos, lo cual significa que si se agregan posteriormente nuevos dispositivos o segmentos de red, el administrador solo deberá integrar la lista actualizada de los componentes de los diversos fabricantes en el monitoreo.[1] Algunas soluciones ofrecen incluso aplicaciones móviles para smartphones y tablets, además de interfaces de usuario claras y con riqueza gráfica. Esto permite que el administrador pueda seguir de cerca el estado de la red, incluso cuando no está físicamente en la empresa.[1] Este proyecto pretende brindar una solución de monitoreo y gestión basada en una interfaz web desde la cual visualizar la mayor cantidad de información posible en cuanto a la red, sus equipos y servicios. El objetivo general es diseñar e implementar una plataforma de seguridad y gestión de redes (PSGR). Los objetivos específicos son: integrar diferentes herramientas de monitoreo, seguridad y gestión de redes en una sola y diseñar la interfaz web de la plataforma. 2. CONTENIDO 2.1 MATERIALES Y MÉTODOS La arquitectura de la aplicación (figura 1) está compuesta por cinco tipos de agentes colectores, completamente independientes en su funcionamiento, que tributan información a la base de datos. Colectores: PSGR_Monitor_1x: Agente de monitoreo basado en Nagios Core. PSGR_IDS: Agente basado en el IDS Snort. PSGR_CORE_L7: Agente de análisis de tráficos y protocolos de red, basado en Ntop. PSGR_HIDS: Agente de recolección de datos para el sistema de detección de intrusos a nivel de host, basado en OSSEC. La interfaz web facilita el acceso a la información normalizada en la base de datos de forma humanizada, mostrando en una interfaz común los datos brindados por los colectores. La misma ha sido diseñada para generar resúmenes y posibilitar el análisis en intervalos de tiempos concretos. Se utilizó PHP como lenguaje principal, complementado con HTML, Javascript. Se utilizó también Boostrap en el diseño web. Figura. 1: Arquitectura PSGR. Fueron modificados los instaladores de las herramientas usadas como base para los colectores, con el fin de instalarlas de manera conjunta desde una única aplicación de instalación. El código fuente de dichas herramientas fue modificado y optimizado para obtener ejecutables con las funciones específicas de cada aplicación; eliminándose fundamentalmente interfaces web integradas a los sistemas y vinculándolas con herramientas de terceros y complementos disponibles proporcionados por los desarrolladores de las mismas, lo cual permite mejorar su administración y rápido despliegue.

3 A partir del estudio de los métodos de exportación de datos de las herramientas utilizadas fue necesaria la adecuación y en algunos casos la creación de mecanismos para tributar la información a la base de datos, lográndose la homogeneidad en la recolección y normalización de los mismos. 2.2 RESULTADOS Se obtiene una plataforma web homogénea. Las páginas que las componen están diseñadas para ser accedidas desde cualquier navegador. La estructura de la interfaz web de la plataforma tiene tres secciones principales, como se muestra en la Figura. 2. Figura. 3: Estado de hosts y servicios en la red Figura. 4: Top 10 de las IPs con más tráfico Figura. 2: Estructura de la aplicación Estas secciones son: Barra superior: Muestra información sobre la plataforma, el usuario logueado y el botón de cierre de sesión. Menú desplegable izquierdo: Cuenta con los módulos: Monitoreo (Equipos y Servicios): Muestra información general de todos los equipos y servicios (figuras 5 y 6). Dispone de enlaces hacia la información detallada de cada elemento y los gráficos de disponibilidad. En el caso de los equipos informa si tiene alertas de seguridad, y tiene enlace hacia la información de los servicios asociados a cada uno. DashBoard: Página de Inicio. Se da información del estado general de la red en un período de 24 horas. Disponibilidad de equipos y servicios (figura 3), seguridad de la red, estadística del comportamiento general de los equipos y los equipos con mayor tráfico en la red (figura 4). Figura. 5: Equipos de la red Figura. 6: Servicios de la red Parámetros (PSGR): Información de la base de datos y documentación de la aplicación.

4 Tráficos y Protocolos: Módulo de estadísticas de tráficos, protocolos y aplicaciones de la red. Muestra información de los equipos más activos de la red, los países con quien más se establecen conexiones. Informa del uso de protocolos a nivel de capa de transporte y el uso de aplicaciones y contenidos (figura 7). Permite realizar búsquedas personalizadas de uso y flujos de protocolos y aplicaciones, así como búsqueda por IP del uso de protocolos. Figura. 8: Mapa de alertas IDS Figura. 7: Uso de protocolos y aplicaciones L7 Estadísticas y Anomalías: Permite detectar y notificar comportamiento anómalo de la red, tanto de tráfico como de protocolos. Genera líneas bases para la predicción del comportamiento futuro por medio de gráficos que le brindaran información visual a los especialistas de como se predicen los futuros intervalos de tiempo basándose en las estadísticas del comportamiento de la red. Sección principal: Muestra la página de inicio de la plataforma o la información generada según el módulo seleccionado. Disponibilidad: Muestra información estadística de la disponibilidad de los equipos y servicios de la red. Permite llevar un seguimiento continuo de los cambios de estados de hosts y servicios. Métricas (Locales): Estadística generada a partir de la información local de los equipos de la red. Búsqueda de eventos: Permite obtener todos los chequeos registrados para el equipo o host seleccionado y su filtrado respectivo por estado. Sistema de Reportes: Permite obtener información estadística de los estados de host y servicios. Es un módulo en desarrollo que permitirá obtener reportes de disponibilidad en formato PDF o vía . También permite obtener detalles de las notificaciones enviadas a los especialistas. Detección de Intrusos (Red): Permite obtener información de las alertas generadas por el IDS (Snort). Muestra las alertas de seguridad con enlace a la información detallada de la alerta, permiten filtrar alertas atendiendo a parámetros como: la firma, las direcciones IP origen y destino, la categoría. Contiene un mapa donde se muestran los países de origen de las alertas (figura 8), así como también los gráficos representativos de las comunicaciones detectadas como alertas en el IDS. Presenta marco de tiempo en la mayor parte de los módulos, lo cual permite, obtener resultados en el período de tiempo deseado, a partir del comienzo de funcionamiento de la base de datos (figura 9). 2.3 DISCUSIONES Figura. 9: Marco de tiempo La plataforma en desarrollo pretende emular las caracteristicas de un SIEM (security information and event management) [2], tomándose como referencia en lo que respecta al uso simultáneo de herramientas para monitoreo de la red a OSSIM [3]. Como característica indispensable para el desarrollo de PSGR, se decidió utilizar herramientas de código abierto, con el propósito de permitir la auditoría de los cambios realizados para su integración y la constante actualización en cuanto a vulnerabilidades y mejoras en general. Sin embargo, durante el estudio previo realizado, pudimos comprobar que para darle soporte a un sistema tipo OSSIM se hace necesario hardware con elevadas prestaciones,dado el alto consumo de recursos. La principal diferencia es que PSGR en desarrollo permite separar las herramientas y utilizarlas como

5 agentes independientes, permitiendo ser instaladas en diferentes sistemas operativos de tipo UNIX mientras que OSSIM instala el sistema preconfigurado con todas las herramientas que lo componen. Desarrollando la arquitectura de la plataforma PSGR se pretende lograr las bases para una integracion de agentes los más flexible posible, dando la posibilidad al Administrador que la configure de seleccionar la combinacion de agentes que necesite en caso de no contar con servidores dedicados para las funciones específicas de cada agente. Los colectores de monitoreo y seguridad fusionados en esta plataforma, son herramientas que han sido rediseñadas para trabajar de conjunto en la búsqueda de eventos asociados a un mismo equipo o servicio, de forma que diferentes herramientas tributen información hacia una misma pantalla de resultados en la cual se podrán visualizar en tiempo real o por medio de intervalos de tiempo seleccionados, diferentes tipos de informaciones que van desde los tráficos de protocolos en diferentes capas (MODE- LO OSI) hasta su disponibilidad asociada y eventos de seguridad. Los colectores tributan la información normalizada hacia la base de datos en MYSQL. La interfaz web encuesta la base de datos para conformar los resultados mostrados. Como elemento distintivo podemos destacar que esta arquitectura permite una alta escalabilidad en sistemas colectores que necesiten ser sumados a la plataforma y que estén geográficamente distantes, así como la independencia que existe entre la base de datos y la aplicación web. La versión PSGR actualmente en desarrollo es de tipo pasivo, no implementa ninguna acción de escritura sobre los equipos de la red. El colector PSGR_HIDS está en fase de desarrollo e integración a la aplicación. Durante el desarrollo de la plataforma se han identificado varios aspectos que es recomendable incluir o mejorar en versiones posteriores. Como son: Estandarizar la utilización de SNMP para la gestión de los equipos, principalmente equipamiento activo de la red (switches, routers, etc.). Integrar nuevos algoritmos de análisis de tráfico de red. Perfeccionar los métodos de detección de anomalías. Integrar un módulo de respuesta automática a incidencias de red. CONCLUSIONES Al término de dicho trabajo se puede afirmar que se cumplieron los objetivos trazados, concluyéndose de esta manera: Se diseñó e implementó una plataforma para monitoreo de red en software libre. Se integraron diferentes herramientas de monitoreo, seguridad y gestión de redes Se diseñó la interfaz web de la plataforma como terminal común de todas las herramientas que conforman el sistema. AGRADECIMIENTOS Ambos autores agradecen el apoyo de sus familiares, amigos y a su colectivo de trabajo, Subdirección de Infocomunicaciones del Palacio de la Revolución, en especial al Grupo Redes de Datos. REFERENCIAS BIBLIOGRÁFICAS 1. ECHEVERRÍA, Carlos: Revista Gerencia [en línea]. Fecha de actualización: Abril [Fecha de consulta: 20 mayo 2015]. Disponible en: 2. Security information and event management. [Fecha de consulta: agosto 2015]. Disponible en: and_event_management 3. Página web oficial de Ossim. [ Fecha de consulta: ]. Disponible en:

6 SÍNTESIS CURRICULARES DE LOS AUTO- RES Jorge García Pérez Graduado de Técnico Medio Superior en el Instituto Politécnico de Infórmatica Osvaldo Herrera en Actualmente se desempeña como Especialista A en Ciencias Informáticas en el Palacio de la Revolución. Ha obtenido certificaciones en Cubatel por los siguientes cursos: Redes SDH, Introducción a las Telecomunicaciones, Seguridad en Redes de Datos. Programador en C/C++, PHP, LUA, Perl y Java. Tiene experiencia en administración de base de datos, administración de servicios telemáticos y uso de herramientas de monitoreo y sistemas de detección de intrusos. Aynelis Torre Pola Graduada de Ingeniería en Telecomunicaciones y Electrónica en el Instituto Superior Politécnico José Antonio Echeverría en Actualmente se desempeña como Especialista A (adiestrada) en Ciencias Informáticas en el Palacio de la Revolución. Ha obtenido certificación de Cubatel por el curso de Linux Básico. Programadora en Perl y PHP. Tiene experiencia en uso de herramientas de monitoreo. Dirección particular: Vista Hermosa #602 entre Concepción y Santa Ana, piso 7, Apto 4, Cerro. Ciudad Habana. jorge@palacio.cu