HERRAMIENTA DE MONITORIZACIÓN DE INTRANETS MEDIANTE SNMP

Transcripción

1 HERRAMIENTA DE MONITORIZACIÓN DE INTRANETS MEDIANTE SNMP Rodeiro J., Baqueiro M. (p) Escuela Superior de Ingeniería Informática (Ourense). SUMMARY Nowadays, network systems are more and more important, but also more heterogenous and complexes. Complexity of such systems causes that are necessary automated tools for monitoring, which help to maintain an inventory of the different services and resources that offer the network devices, as well as to facilitate the accomplishment of an audit. For it, a modular tool has been developed that analyzes and documents certain parameters of different services that circulate around a network. This tool, receives network traffic through SNMP (Simple Network Management Protocol), and with mechanisms of treatment and flow control, identifies the services offered by each device, the type of device and a brief description of the same one, or the types of traffic that circulate around the network. With all the obtained data, documents XML from the NetML definition are created. RESUMEN Hoy en día, los sistemas de redes son cada vez más importantes, pero también más complejos y heterogéneos. La complejidad de tales sistemas hace que sean necesarias herramientas automatizadas de monitorización, que ayuden a mantener un inventario de los diferentes servicios y recursos que ofrecen los dispositivos de red, así como a facilitar la realización de una auditoría. Para ello, se ha desarrollado una herramienta modular que analiza y documenta determinados parámetros de los distintos servicios que circulan por una red. La herramienta, recibe tráfico de red a través de SNMP (Simple Network Management Protocol), y con mecanismos de tratamiento y control de flujo, identifica los servicios ofrecidos por cada dispositivo, el tipo de dispositivo y una breve descripción del mismo, o los tipos de tráfico que circulan por la red. Con toda la información obtenida, se crean documentos XML a partir de la definición NetML. 617

2 1. INTRODUCCIÓN Desde finales de la década de los 80, y debido al crecimiento de la World Wide Web [W3C] las redes y los sistemas de proceso distribuido son cada vez más importantes y, de hecho, han llegado a ser críticos en el mundo de los negocios. Los sistemas de redes de hoy en día tienen una gran complejidad, con una heterogeneidad de redes de área local (LANs) apoyadas por multitud de dispositivos de diferentes vendedores, y que ofrecen múltiples servicios a través de diferentes protocolos (HTTP, FTP, POP3, SMTP,...). Con tal complejidad de redes, resulta difícil mantener actualizado un inventario tanto de los dispositivos hardware y software instalados en nuestra red, como de los servicios que éstos puedan estar ofreciendo. Otras razones para la monitorización de la red son: La predicción de las posibles necesidades para un futuro crecimiento de la red. La detección de cambios inesperados en su estado, entre los que se pueden incluir un fallo en un router o un switch, un intento de acceso ilegal a la red o un fallo en los enlaces de comunicación. Si no tiene la capacidad para monitorizar la red, un administrador sólo puede reaccionar a los problemas a medida que ocurren, en lugar de prevenirlos. La finalidad de este proyecto ha sido desarrollar una herramienta GNU para monitorizar Intranets, utilizando SNMP [STALLINGS, 1999] (La IAB [IAB] recomienda que todas las implementaciones TCP/IP sean gestionadas mediante alguna versión de SNMP). Este protocolo permite capturar información de configuración y de estado, según un formato estándar, de los sistemas de red y enviársela a un equipo designado para que éste monitorice y sobre todo documente dicha red. En la actualidad, existen múltiples herramientas de monitorización que utilizan el protocolo SNMP, tanto libres como comerciales. Estas herramientas muestran una gran cantidad de información de los dispositivos, protocolos y servicios ofrecidos en las redes que están monitorizando. Aunque esta información es muy útil, resulta ininteligible para un usuario que desconozca el marco teórico de SNMP, así como el significado de los valores que se le están mostrando. Entre toda la gran cantidad de información que generan estas herramientas, se encuentran muchas variables que deben contener valores por defecto (normalmente 0 o -1) que no son significativos. Por todo ello, resulta necesario filtrar la información obtenida y dársela al usuario adecuadamente, además de que pueda decidir cómo desea verla. El lenguaje XML es un estándar ampliamente reconocido de libre utilización. Además, es fácilmente procesable, separa radicalmente la información o el contenido de su presentación o formato, permite poderosas técnicas de extracción de información y proporciona portabilidad e independencia del lenguaje, de la aplicación y de la plataforma. 618

3 2. OBJETIVOS Los objetivos del proyecto son: - Integración y centralización. La herramienta está orientada a centralizar la monitorización desde una estación de red, integrando la monitorización de los múltiples servicios en una única aplicación. - Detección de dispositivos IP. Será necesario interrogar a cada una de las direcciones IP que componen la red para comprobar la existencia de dispositivos en las mismas. - Obtención de información. Mediante técnicas de interrogación se conocerán: o Nombre de dispositivos. o Direcciones IP. o Direcciones MAC asociadas. Clasificación de las máquinas en Servidores o hosts en función de que sirvan o no dichos dispositivos, respectivamente. Reunión de toda la información obtenida. Dicha información será almacenada en un fichero y con un formato bien definido para su posterior traducción a XML. Creación de NetML. Crear un lenguaje de marcado que nos permita almacenar de manera clara y concisa la información obtenida. Generación de contenido XML a partir de la definición NetML. 3. MÉTODOS La aplicación utiliza dos métodos de reunión de información, uno mediante aperturas de conexiones a todos los hosts de la red y el otro mediante SNMP. Los datos reunidos mediante los dos métodos son almacenados en un fichero de texto, que será parseado posteriormente, para la obtención de la definición en NetML. Para aplicar los métodos de reunión de información es necesario, primeramente, hacer un descubrimiento de dispositivos de red. Así, se obtiene la MAC del equipo donde reside la herramienta, y a partir de ella se hace un barrido a todas las direcciones que pertenecen a la misma red. En el primer método, mediante un escaneo, se informa de la dirección IP y MAC de cada uno de los dispositivos, como se muestra en la figura 1. En caso de que esté activo el servicio DNS, se obtiene también el nombre de dispositivo. 619

4 Figura 1. Detección de dispositivos de red. Una vez conocidas las IPs activas, realizamos un escaneo de puertos para conocer qué puertos están disponibles en cada uno de los dispositivos. Debido a que un escaneo completo consume mucho tiempo (a través del archivo /etc/services), se da la posibilidad de realizar un escaneo de una menor cantidad de puertos a través de un fichero similar a /etc/services, aunque con un número significativamente inferior de puertos a consultar. Figura 2. Listado de puertos abiertos en un dispositivo. El servicio SNMP se encuentra ubicado en el puerto 161 udp, mediante un demonio que modifica la base de datos del dispositivo cada vez que se produce algún cambio en cualquier recurso que éste monitorice. Si el servicio SNMP está activo, es entonces cuando se genera el proceso de recogida de información más significativa. La figura 3 ilustra gráficamente este proceso. 620

5 Figura 3. Proceso de recogida de la información. La aplicación define una relación cliente/servidor entre el manager (cliente) y los agentes (servidores). Agentes y gestor manejan una MIB (Management Information Base)[MIB], que contiene un conjunto de variables estadísticas y de control, organizadas de forma jerárquica, y que pueden ser estándar o ser extensiones propias de los fabricantes [PRIVATE] de los diferentes agentes/gestores. El manager pide el valor de ciertos objetos de la MIB mediante una petición SNMP (GetRequest-PDU). El agente recibe esta petición, la procesa y devuelve los valores correspondientes a través de una respuesta SNMP (Response-PDU) [RFC 3412]. A medida que se va recibiendo la información, se almacena en el fichero de texto con un formato específico y bien definido para que la conversión a NetML sea más sencilla. Figura 4. Proceso de tratamiento de la información. 621

6 4. CONCLUSIÓN La herramienta desarrollada permite realizar un inventario de recursos y dispositivos IP de nuestra red desde una única estación. De esta forma no es necesario ir físicamente a cada dispositivo para averiguar qué servicios ofrece. La información recogida en los ficheros ayudarán a corregir o evitar ciertas vulnerabilidades que puedan ser fuente de ataques, e incluso hacer una mejor distribución y gestión de los recursos de la LAN. Debido a que SNMP genera gran cantidad de información, se ha optado por pedir valores estáticos, es decir, valores como información del sistema, aplicaciones instaladas, fecha de instalación de las mismas, número de particiones en un host o su capacidad. Si bien en una futura versión, se tendrán en cuenta también los aspectos dinámicos (número de paquetes recibidos, enviados, erróneos, ). Este trabajo ha sido desarrollado y financiado en el marco del proyecto del Plan Nacional de I+D (CICYT) TIC C BIBLIOGRAFIA. [IAB] Internet Architecture Board. [JU, 2003] Ju, Hong-Taek Development of SNMP-XML translator and gateway for XML-based integrated network management. International Journal of Network Management. July, pp [MIB] Management Information Base for Network Management of TCP/IPbased internets: MIB-II. ftp://ftp.rfc-editor.org/in-notes/rfc1213.txt [PRIVATE] SMI Network Management Private Enterprise Codes. [RFC-3412] Message Processing and Dispatching for the Simple Network Management Protocol (SNMP). ftp://ftp.rfc-editor.org/in-notes/rfc3412.txt [STALLINGS,1999] Stallings, W. SNMP, SNMPv2, SNMPv3, and RMON 1 and 2. 3 rd edition. Addison-Wesley: Reading, MA [W3C] World Wide Web Consortium, CORRESPONDENCIA. Javier Rodeiro Iglesias Escuela Superior de Ingeniería Informática Edificio Politécnico Campus As Lagoas s/n Universidad de Vigo Ourense Telf Fax jrodeiro@uvigo.es 622