-
نكمل ملخص eCIR : ال Section الثاني : Part 1
ال Section 2 بعنوان Incident Detection by analysing Flow
ناخذ موضوه Network Flows: Definition, Strengths & Limitationsناخذ معنى Flow : وتعني اي traffic بين نقطتين
A network flow is essentially a record of a communication between two hosts🟢بعد وقوع الحادث كل ما كان سيطرة اسرع ما يكون افضل احتواء الـ Incident🟢
عمل Collecting evidence : تحليل كل الادلة (تحليل كل Traffic)
يمسى ب Network traffic flow ، كل اجهزة الشبكة اثناء عملها تعمل Export لل Network flow.كل incident Response : تعمل discover لكل event لمعرفة كيف حدث ال incident
ما هو ال netwerk flow?
هو record للاتصال تم ما بين Two Hosts of more
يحتوى على التالي
على IP: Source and Destination و TCP/UDP ports, Interfaceلذلك يستخدم netflow من CISCO وشرط ان يكون على CISCO devices
Protocols: cFlow, sFlow , jFlow , IPFIX
الا شهر هو NetFlow المستخدم حالياً v9📌اغلب اجهزة الشبكة تعمل export لل logs على collecting server
سيرفر خارجي ويسمى ب Cantrazied , وال export يكون كل من :
IP :Source & destination. &&Port : Source & destination.
Protocols type -L3-
Interface for router & Switch.الnetFlow : لا يعملFull Packet capture , بعكس برنامج wireshark
بديل ال netFlow هو IPFIX من إصدار IETF يعمل على جميع الاجهزة📌 يتكون ال netFlow من ثلاث مكونات 📌
📍ال Exporter : هذا هو جهاز الي نسجل منه (Network devices)
📍الCollector : هو software الي نسحب ال data من ال exporter
الAnalysis : هو ايضا software يعمل تحليل لل logs و traffic📌ال netFlow يعمل export data in UDP ,لان يعمل listening على port 2055
وال traffic هو UDP ،،. اما IPFX على port 4739📌ال record+ export
ال TCP : ياخذ فقط Source and destination portو ال flags وتكون 6 flags
الUDP : يكون Source and destination port
ال IPv4 : يكون Source and destination port و نوع protocols
والflag و ال TotalLength🟢المميزات🟢
يعمل Capturing communication مابين الاجهزة وتعرف ب time-manner
لمعرفة ال communication حتى لو كان مشفر، وحجم ال bandwith
يستخدم baseline لمعرفة استهلاك الموظفين (Network)
ممكن ان نحصل تدفق الdata من multiple Network🔴 السلبيات 🔴
انه لا يعمل Full Packet capture
عند تحليل لا تظهر لنا الاختلافات dividends
